Ciberseguridad a largo plazo: proteger los sistemas OT heredados

Muchas instalaciones de fabricación dependen de sistemas OT que permanecen en uso durante muchos años. A largo plazo, importantes riesgos de ciberseguridad pueden permanecer ocultos.

17 de junio de 2026
•
,
Leer durante 5 minutos

En una instalación de producción diseñada para un aumento gradual, una máquina que ha realizado el mismo proceso físico durante años sin problemas merece algo menos discutido que un historial de rendimiento: la confianza institucional. Con el tiempo, una confiabilidad tan silenciosa puede hacer que cierto tipo de control parezca innecesario, hasta el punto de que el equipo puede convertirse en un punto ciego de seguridad.

Durante mucho tiempo existió la lógica de “dejar lo suficientemente bueno en paz”. Gran parte de la tecnología operativa (OT) en la fabricación se diseñó para mantener estable el proceso físico y, una vez que la línea de producción estaba funcionando, la acción sensata era mantener el equipo en buenas condiciones para que pudiera continuar haciendo su trabajo.

Sin embargo, con el paso de los años, el suelo debajo de la máquina ha cambiado y los dispositivos que son menos cambiables ahora suelen requerir la mayor protección a su alrededor. Hoy en día, muchos entornos de fabricación enfrentan preguntas candentes, entre ellas: ¿quién puede tocar los dispositivos a través de la red?, ¿qué tan vulnerables son los sistemas de los que dependen las máquinas? ¿Se ha convertido el antiguo acuerdo de no tocar si funciona en parte del riesgo?

¿Envejecimiento?

Hace dos o tres décadas, los ataques cibernéticos dejaron dormidos a pocos en el sector manufacturero. La amenaza no existía o se limitaba a un puñado de objetivos de Estados-nación. El hecho de que los protocolos industriales no tuvieran seguridad incorporada no importaba mucho: las máquinas estaban aisladas de TI y nada que no fuera de confianza podía acceder a ellas. Simplemente funcionaban y no había ninguna razón de peso para tocarlos.

Hasta que sucedió. El “matrimonio” de TI y OT, un sello distintivo de la digitalización y Industria 4.0Cambió la ecuación conectando sistemas de control industrial (ICS) a redes para las que esos sistemas nunca fueron diseñados. Por supuesto, conectar los sistemas de producción a las redes corporativas aporta beneficios tangibles, pero las implicaciones de seguridad (que los sistemas que alguna vez fueron seguros de repente ya no lo eran) se manifestaron silenciosamente. Las diversas fallas de seguridad (incluidas una autenticación débil, un registro limitado, configuraciones predeterminadas inseguras y procesos de actualización que podrían requerir un costoso tiempo de inactividad) de repente se convirtieron en responsabilidades.

La gravedad de la amenaza quedó finalmente demostrada en ciberataques devastadores como este. Llega a Jaguar Land Rover en 2025 y ahora se considera el ciberataque más devastador en la historia británica. Además, debido a que las cadenas de suministro operan con cronogramas ajustados y tienen poca o ninguna tolerancia al error, detener a un proveedor con compromisos de entrega justo a tiempo desencadena una crisis de producción en toda regla que se extiende a una larga lista de otras empresas.

El costo de tocar una línea en ejecución.

Interrumpir una línea de producción en curso para modernizar la infraestructura sin problemas operativos obvios suele ser difícil de vender. Los activos están demasiado profundamente arraigados en el proceso fisico; De hecho, a menudo quedan atrapados en lo que las principales autoridades de ciberseguridad del mundo llaman acertadamente: «obsolescencia autoinducida.'

Mientras tanto, las bandas de ransomware que se tomaban en serio la fabricación encontraron una superficie de ataque que se había estado expandiendo durante años sin inversiones adecuadas en seguridad. Causar daños que afecten a un entorno operativo también es diferente a una mera violación de TI. Los operadores de ransomware, algunos de los cuales desarrollan capacidades OT especializadas, comprenden este cálculo y ajustan sus requisitos en consecuencia. A veces basta con infiltrarse en la TI corporativa y dejar que las dependencias hagan el resto.

Ciertamente, las ecuaciones comerciales están cambiando, aunque a menudo de afuera hacia adentro. Los contratos de proveedores contienen cada vez más disposiciones relacionadas con la seguridad. Las ciberaseguradoras exigen Evidencia de controles de seguridad, hasta el punto que las organizaciones que no pueden ofrecerlos enfrentan primas elevadas o carecen de cobertura de seguro. Requisitos reglamentarios también están empeorando en varias jurisdicciones; Por ejemplo, NIS2 establece requisitos de ciberseguridad más estrictos para las industrias críticas de Europa, mientras que el entorno regulatorio integral en los EE. UU. también exige medidas específicas que promueven la madurez de la seguridad en las industrias críticas.

Las principales amenazas cibernéticas de cerca

Pocos proveedores de seguridad han estado tan cerca de las amenazas a la infraestructura crítica como ESET. A lo largo de los años, su equipo de investigación de amenazas ha analizado algunos de los incidentes más importantes de todos los tiempos, incluidos Energía Negra que provocó un apagón de cuatro a seis horas para 230.000 personas en Ucrania en 2015, su sucesor, GrisEnergíaY Industrialel malware altamente personalizable que habla múltiples protocolos de comunicaciones industriales utilizados en sistemas de infraestructura crítica en todo el mundo y provocó un corte de energía en Kiev en 2016. En 2022, los investigadores de ESET también identificaron Industria2que una vez más apuntó a la infraestructura energética de Ucrania. Además, Análisis de ESET sobre NotPetya documenta cómo un ataque sin un objetivo OT específico aún puede tener un impacto devastador en las organizaciones que implementan tecnología operativa a escala, incluidos los fabricantes.

(Re)construir la seguridad alrededor de sus equipos críticos

Por supuesto, no se puede proteger lo que no se puede ver, y la visibilidad adecuada de los activos sigue siendo la base de cualquier estrategia adecuada de mitigación de riesgos. Comience por capturar qué sistemas en un entorno están conectados y no tienen cobertura de seguridad, dónde se superponen las redes de TI y OT, qué segmentos no están monitoreados y qué sistemas de producción están fuera de un acuerdo de soporte del proveedor. Dada la complejidad de los sistemas ciberfísicos, es evidente que no existe un enfoque único para el inventario de activos y otras tareas.

La arquitectura de implementación real también debe aclararse desde el principio. Ya sea por motivos de diseño, contratos con clientes, obligaciones reglamentarias u otros motivos, algunos entornos de fabricación tienen requisitos de espacio de aire. Por lo tanto, es posible que las plataformas de seguridad que dependen principalmente de la conectividad en la nube no se ajusten a las necesidades o al presupuesto.

Mientras tanto, las herramientas de seguridad disponibles en el mercado a menudo no satisfacen de manera eficiente las necesidades comerciales en sistemas OT heredados que se ejecutan en hardware antiguo y versiones de sistemas operativos obsoletas. Las herramientas deben ser lo suficientemente estables y discretas para funcionar en sistemas limitados sin afectar la producción. La protección de la red, a su vez, se mantiene en dispositivos que no pueden ejecutar ningún agente de seguridad, lo que de ninguna manera es un caso extremo en la mayoría de los entornos de producción.

El apoyo a largo plazo aborda lo que las otras capas no pueden cerrar por completo. Cuando un proveedor de ICS deja de desarrollar una versión de plataforma, las actualizaciones eventualmente se detendrán. Los sistemas de producción que ejecutan esta versión continúan funcionando durante años y enfrentan amenazas cada vez mayores. Los compromisos de soporte que se extienden más allá de la ventana de soporte del proveedor original son el equivalente en ciberseguridad a firmar un contrato de repuestos a largo plazo para un automóvil que fue retirado hace años. La máquina sigue estando en condiciones de circular.

Construido para funcionar durante años

La industria manufacturera tiene una larga historia de escapar de las crisis. También ha aprendido una serie de lecciones difíciles, entre ellas que ignorar un problema conocido hace que los costos asociados cambien y, a menudo, se multipliquen. La ciberamenaza a la infraestructura OT ahora está bien documentada y la Hay herramientas que puedes utilizar para combatir esto.. En esta industria, esto debería ser suficiente para poner las cosas en marcha y, en última instancia, generar resiliencia cibernética en las operaciones de la industria.