Seguridad OT: a qué están expuestos realmente sus clientes y qué hacer al respecto
Las consecuencias físicas lo cambian todo
La OT abarca los sistemas programables que supervisan o controlan procesos físicos: sistemas de control industrial, SCADA, PLC, automatización de edificios y los ordenadores de planta que los ejecutan. La definición del NIST es más amplia de lo que la mayoría cree. Cualquier cosa que pueda detectar o provocar un cambio físico directo, ya sea una línea de producción, una subestación o los controles ambientales de un edificio, se encuentra dentro de los límites de la OT.
Esto importa porque el peor escenario posible es diferente. En TI, el peor escenario verosímil suele ser la pérdida, el cifrado o la exposición de datos. En OT, puede ser un estado físico inseguro: un recipiente sobrepresurizado, una subestación sin servicio o un lote de producción que no supera la validación. Por eso, la seguridad de la OT prioriza la seguridad física (safety) en primer lugar, luego la disponibilidad, y después la integridad y la confidencialidad. La seguridad de TI suele funcionar al revés, comenzando por la confidencialidad. Si un cliente le pregunta por qué no se puede aplicar simplemente su política de endpoints existente a la planta de producción, esta es la respuesta honesta.
Esto también cambia el significado de la "tolerancia al tiempo de inactividad". Una planta de proceso continuo que no puede asumir un reinicio no planificado no va rezagada en ciberseguridad, sino que opera dentro de la física del proceso. Y una configuración de PLC que ha sido homologada por el OEM a menudo no se puede parchear con la misma frecuencia que un parque de portátiles sin requerir una nueva recertificación. Los controles compensatorios y las ventanas de mantenimiento planificadas realizan la labor que en TI haría un ciclo de parches.
Qué está ocurriendo realmente ahí fuera
Dos patrones distintos están impulsando la mayoría de los incidentes por los que preguntan los clientes, y requieren defensas diferentes. El primero es el ataque directo a los entornos de control. Dragos vinculó un ataque coordinado contra sistemas polacos de cogeneración de energía eléctrica y térmica y de energía renovable a finales de diciembre de 2025 con el grupo ELECTRUM, describiéndolo como el primer ataque coordinado a gran escala contra recursos energéticos distribuidos. Otra campaña independiente contra una empresa estatal de transmisión de energía de Pakistán a mediados de 2025 implicó la búsqueda activa de exploits de SCADA y el escaneo de puertos Modbus, el tipo de reconocimiento para el que están diseñadas la visibilidad de activos y la monitorización consciente de los protocolos.
El segundo patrón es más común y, en ciertos aspectos, más relevante para la forma en que la mayoría de los clientes de nuestros socios se ven afectados realmente: incidentes de TI con repercusiones operativas, sin que se confirme el compromiso de ningún controlador. Nucor detuvo partes de su producción como medida de precaución tras un acceso no autorizado a su TI. Masimo tuvo que operar la fabricación por debajo de su capacidad normal durante semanas tras una intrusión en la red. Jaguar Land Rover prolongó una pausa en la producción durante más de una semana tras un incidente en septiembre de 2025. El evento de ransomware de Asahi en el mismo mes dejó fuera de servicio los sistemas de pedidos y envíos, y la logística no volvió a la normalidad total hasta febrero de 2026. Ninguno de estos fue un ataque a un controlador. Todos ellos detuvieron la producción porque la TI y la OT están más entrelazadas de lo que la mayoría de las evaluaciones de riesgos asumen.
Las cifras respaldan esto. Dragos rastreó 119 grupos de ransomware que afectaron a organizaciones industriales en 2025, frente a los 80 del año anterior, afectando a aproximadamente 3.300 organizaciones, donde el sector de la fabricación se llevó más de dos tercios del impacto. Siemens sitúa el tiempo de inactividad no planificado en cerca de 1,4 billones de dólares al año entre las 500 empresas más grandes del mundo. Lo que destaca en la encuesta de 2025 del SANS Institute no es la detección (casi la mitad de los incidentes se detectaron en un plazo de 24 horas), sino la recuperación: casi uno de cada cinco tardó más de un mes en solucionarse. La detección se ha vuelto más rápida que la restauración, y en la restauración es donde reside el coste real.
El marco con el que se mide realmente a sus clientes
Para la mayoría de sus clientes, la directiva NIS2 es lo que determina si la resiliencia de la OT es una obligación legal o simplemente algo deseable. La directiva no crea un régimen de OT independiente, pero cubre directamente la energía, el transporte, el agua, la salud y la fabricación, y el Artículo 21 detalla requisitos concretos: gestión de incidentes, copias de seguridad y recuperación ante desastres, seguridad de la cadena de suministro y control de accesos. Para un cliente de esos sectores, el cumplimiento de NIS2 y la resiliencia de la OT son la misma conversación, no dos independientes.
La brecha más común entre los clientes que afirman estar preparados para NIS2 es la misma en la práctica: tienen una rutina de copias de seguridad, pero nunca se ha probado frente a restricciones reales de hardware, en las que el dispositivo original ya no existe y no hay disponible un reemplazo equivalente. Respaldar la lógica del PLC, las configuraciones de SCADA y DCS, los archivos HMI y las configuraciones de dispositivos de red es una tarea. Demostrar realmente que se pueden restaurar, que es para lo que el Artículo 21 exige pruebas, es otra muy distinta.
En qué punto deja esto su conversación sobre OT con los clientes
Una arquitectura de seguridad de OT defendible necesita que la visibilidad de activos, la segmentación, la monitorización y la recuperación funcionen al unísono, y ningún fabricante cubre los cuatro aspectos de forma óptima. Ahí es exactamente donde una conversación con un distribuidor le resulta más útil que el discurso comercial de un solo fabricante: puede armar la combinación que realmente se adapte al entorno del cliente en lugar de forzar un solo producto para abarcar cuatro problemas para los que no fue diseñado.
Para la parte de resiliencia en concreto -copia de seguridad y recuperación para los activos de tipo PC que realmente detienen la producción cuando fallan: estaciones de trabajo HMI, servidores SCADA, estaciones de trabajo de ingeniería, historiadores-, Acronis Cyber Protect for OT está diseñado en torno al backup basado en imágenes, la recuperación en hardware heterogéneo y la compatibilidad con los sistemas heredados de Windows y Linux que predominan en las plantas existentes (brownfield). Está concebido para alcanzar un estado de producción validado con rapidez, no solo para completar una tarea de copia de seguridad, y funciona en entornos aislados de la red (air-gapped) donde la conectividad a la nube no es una opción. En lo que respecta a la visibilidad de activos y las vulnerabilidades de la ecuación, Nanitor ofrece a los clientes la panorámica del inventario y la exposición sobre la que las obligaciones del Artículo 21 de NIS2 exigen documentación de forma creciente.
Si un cliente pregunta por la seguridad de la OT, el siguiente paso útil no suele ser un solo p
[...]