¿Qué es la ciberseguridad OT?
La ciberseguridad OT protege los sistemas que controlan procesos físicos: la luz que llega a casa, el agua del grifo o una línea de producción. Aquí te explicamos qué es, en qué se diferencia de la ciberseguridad informática y cómo formarte en ella desde la FP.
Qué es la tecnología de operación (OT)
La tecnología de operación (OT, del inglés Operational Technology) es el conjunto de equipos y programas que vigilan y controlan procesos físicos. Abre una válvula, arranca un motor, dosifica un producto u orienta un aerogenerador. La tecnología de la información (IT) gestiona datos; la OT mueve el mundo físico.
Forman parte de la OT los sensores y actuadores, los autómatas programables (PLC), las unidades terminales remotas (RTU), los paneles de operador (HMI) y los sistemas SCADA que supervisan una planta entera. Al conjunto se le llama sistema de control industrial (ICS).
Un ejemplo: un aerogenerador recoge la energía del viento, la convierte en el giro de un eje y un generador la transforma en electricidad para la red. Sensores, controladores y un SCADA deciden en cada momento cómo orientar las palas y cuándo parar la máquina. Lo mismo ocurre, con otros procesos, en una planta embotelladora o en una depuradora.
La ciberseguridad OT protege esos sistemas para que el proceso siga funcionando de forma segura, aunque alguien intente manipularlo o detenerlo.
Infraestructuras críticas: por qué importa la OT
Las infraestructuras críticas son las instalaciones y sistemas que prestan servicios esenciales, cuyo fallo tendría un impacto grave en la sociedad o la economía. Son, por ejemplo, la generación y distribución de energía, el agua, la salud, el transporte o la alimentación.
En España las regula la Ley 8/2011 de protección de las infraestructuras críticas (LPIC), que agrupa los servicios esenciales en 12 sectores estratégicos. En la Unión Europea, la Directiva NIS2 (2022/2555) refuerza la ciberseguridad de los sectores esenciales. La Directiva CER (2022/2557) exige que las entidades críticas sean resilientes: que resistan un incidente y se recuperen.
Casi todas estas infraestructuras funcionan gracias a sistemas OT. Por eso proteger la OT es, en la práctica, proteger los servicios que usamos cada día.
Cómo es un sistema de control industrial
Un sistema de control industrial se organiza por niveles, desde el sensor que mide hasta la gestión de la empresa. La frontera entre IT y OT está entre los niveles 4 y 5, y protegerla es una de las primeras tareas de la ciberseguridad OT.
Cada nivel debería comunicarse solo con sus vecinos: si un atacante entra por el correo del nivel 5, no debería poder llegar hasta un autómata del nivel 2.
IT frente a OT: en qué se diferencian
La diferencia clave: en IT un fallo pierde o expone datos; en OT puede parar una planta o poner en riesgo a personas.
Qué protege. IT: los datos y los servicios informáticos. OT: el proceso físico, las personas y el entorno.
Prioridad. IT: confidencialidad, integridad y disponibilidad. OT: seguridad física (safety) y disponibilidad; después, integridad y confidencialidad.
Tiempo de respuesta. IT: se toleran retrasos. OT: tiempo real y determinista.
Reinicios y parches. IT: reiniciar suele ser sencillo y rápido. OT: parar exige planificar; muchos arranques son manuales y coordinados entre equipos.
Vida útil de los equipos. IT: unos 5 años. OT: hasta 20 años.
Norma de referencia. IT: ISO/IEC 27001. OT: ISA/IEC 62443.
En la 4ª jornada se resumió con las siglas SAIC, en orden de prioridad: Safety, Availability, Integrity, Confidentiality.
No es ciencia ficción: incidentes reales
Los ataques a sistemas OT ya han dejado sin servicio a cientos de miles de personas. Lo que en IT sería una fuga de datos, en OT es un apagón o una planta parada.
2021 · Colonial Pipeline (EE. UU.). Un ransomware en los sistemas informáticos llevó a la empresa a parar varios días el principal oleoducto de combustible de la costa este.
2017 · Triton (Arabia Saudí). Un malware atacó el sistema instrumentado de seguridad de una planta petroquímica, el que debe detenerla ante un peligro.
2015 · Red eléctrica de Ucrania. Un ciberataque a distribuidoras eléctricas dejó sin luz a unos 225.000 clientes durante varias horas.
2010 · Stuxnet (Irán). Un gusano manipuló autómatas que controlaban centrifugadoras de uranio y las dañó mientras los operadores veían valores normales.
En casi todos, el atacante entró por la parte informática o con un dispositivo USB y llegó hasta el control del proceso.
Cómo se protege un entorno OT
Proteger la OT no consiste en instalar un antivirus: es diseñar, operar y recuperar el proceso pensando en la seguridad desde el principio. Estas son las bases:
Conocer lo que hay: un inventario de autómatas, paneles, redes y versiones de software.
Separar redes: dividir la planta en zonas y conductos, como propone la IEC 62443, con una zona intermedia entre IT y OT.
Controlar los accesos: cuentas personales, los permisos mínimos y accesos remotos vigilados.
Vigilar el tráfico industrial: detectar comportamientos anómalos en protocolos como Modbus o PROFINET.
Gestionar las vulnerabilidades sin parar la planta: parches planificados y, mientras tanto, medidas que compensen.
Prepararse para recuperar: copias de la lógica de los autómatas, planes de respuesta y simulacros.
La Agencia de Ciberseguridad de la Comunidad de Madrid lo resumió en la 4ª jornada como el paso de la protección a la resiliencia. No basta con evitar el fallo: hay que asegurar que el servicio esencial continúe o se recupere rápido.
Cómo formarte en ciberseguridad OT desde la FP
La ciberseguridad OT necesita perfiles que entiendan a la vez la planta y la red, y la FP forma justo esa combinación.
Ciclos de grado superior con base técnica: Automatización y Robótica Industrial, Sistemas de Telecomunicaciones e Informáticos, Mantenimiento Electrónico o Administración de Sistemas Informáticos en Red.
Especialización: el curso de especialización de FP en Ciberseguridad en entornos de las tecnologías de operación (Real Decreto 478/2020).
Asociaciones profesionales: los capítulos de estudiantes de ISA España y las actividades de IEEE dan acceso a normas, seminarios web y mentoría.
Práctica: retos tipo CTF como «Sabotaje en parque eólico», presentado en nuestras jornadas, y las guías de ciberseguridad industrial de INCIBE.
Las jornadas CiberFP: masterclass de profesionales, proyectos de fin de ciclo y networking con empresas del sector.
Glosario
OT: tecnología de operación, equipos y programas que controlan procesos físicos.
IT: tecnología de la información, sistemas que gestionan datos.
ICS: sistema de control industrial, el conjunto de equipos OT de una instalación.
PLC: autómata programable, ejecuta la lógica que controla máquinas y procesos.
RTU: unidad terminal remota, recoge datos y actúa en instalaciones alejadas.
HMI: interfaz hombre-máquina, la pantalla desde la que el operador vigila y actúa.
SCADA: sistema que supervisa y adquiere datos de toda una planta o red.
Pirámide de automatización: forma de ordenar por niveles los sistemas de una planta, del sensor a la empresa.
IEC 62443: serie de normas internacionales de ciberseguridad para sistemas industriales.
Resiliencia: capacidad de resistir un incidente y recuperar el servicio rápido.
Preguntas frecuentes
¿Es lo mismo ciberseguridad industrial que ciberseguridad OT?
En la práctica, sí. «Industrial» se refiere al sector y «OT» a la tecnología que se protege, pero ambas hablan de los sistemas que controlan procesos físicos.
¿Necesito saber programar autómatas para dedicarme a esto?
No para empezar. Ayuda conocer redes, sistemas y cómo funciona un proceso industrial; la programación de autómatas se aprende en los ciclos de automatización y en la práctica.
¿No bastaría con desconectar la planta de Internet?
No. Las plantas necesitan datos, mantenimiento remoto y proveedores conectados, y los ataques también entran por un USB o un portátil, como en Stuxnet.
¿Qué salidas profesionales tiene?
Empresas eléctricas y de agua, fabricación, transporte, ingenierías, integradores de automatización, consultoras y centros de operaciones de seguridad (SOC) industriales.
Aprende con nosotros en CiberFP
Las jornadas CiberFP reúnen cada año a estudiantes de FP, docentes y profesionales de la ciberseguridad industrial en Madrid. La quinta edición será en 2027; publicaremos la fecha en cuanto esté confirmada.
Bibliografía
Incidentes
Colonial Pipeline Ransomware Attack (IN11667). Congressional Research Service, 11 de mayo de 2021.
New Critical Infrastructure Facility Hit by Group Behind TRITON. Trend Micro.
Power grid cyberattack in Ukraine (2015). NATO CCDCOE, Cyber Law Toolkit.
Stuxnet (2010). NATO CCDCOE, Cyber Law Toolkit.
Normas técnicas y guías
Normativa
Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas. BOE, 29 de abril de 2011.
Directiva (UE) 2022/2555 (NIS2), relativa a medidas para un elevado nivel común de ciberseguridad en toda la Unión. DOUE L 333, 27 de diciembre de 2022.
Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades críticas. DOUE L 333, 27 de diciembre de 2022.
Real Decreto 478/2020, de 7 de abril, por el que se establece el Curso de especialización en ciberseguridad en entornos de las tecnologías de operación. BOE núm. 134, 13 de mayo de 2020.
Texto de Manuel Ballesteros, organizador de CiberFP, a partir de su Trabajo Fin de Máster.
Ingeniero de ciberseguridad OT, ICS y SCADA en Siemens Energy · Presidente de IEEE Cybersecurity Spain · Senior Member IEEE. Escrito a título personal.
Inscripción
Inscríbete y participa en nuestro evento educativo.
Infórmate de los días disponibles
Programa