Seguridad OT: por qué la red de su planta es hackeable (y qué hacer al respecto)

OT (tecnología operativa) es todo lo que en su planta controla procesos físicos: PLCs, SCADA, balanzas, sensores, líneas de envasado. Durante décadas vivió aislado y nadie se preocupó. Hoy ese equipamiento está conectado —a su red administrativa, a internet, al proveedor que lo mantiene por acceso remoto— y se convirtió en el blanco que más duele: cuando un ataque llega a OT, no se cae el correo; se detiene la producción.

Cómo se conectó lo que nunca debió conectarse

Nadie lo decidió formalmente. El integrador necesitaba ver la balanza desde su oficina y se abrió un acceso remoto. El sistema de gestión necesitaba los datos de producción y se tendió un cable entre la red de planta y la administrativa. La máquina nueva vino con conexión a la nube del fabricante "para telemetría". Diez años de decisiones prácticas, y el resultado es una red industrial alcanzable desde el mismo lugar donde un empleado abre correos.

El equipamiento industrial se diseñó para durar 20 años, no para resistir ataques. Ese PLC que controla su línea probablemente corre un sistema que no recibe actualizaciones desde hace una década — y no se puede "ponerle un antivirus".

Por qué el riesgo es distinto al de IT

• El costo es por hora de producción parada. Un incidente en las oficinas molesta; un incidente en planta detiene despachos, incumple contratos y puede arruinar lotes enteros.
• No se puede parchear como una PC. Actualizar un sistema industrial requiere ventanas de parada que a veces no existen. La defensa no pasa por parchear todo, sino por aislar y vigilar.
• Los accesos de terceros se acumulan. Cada proveedor de maquinaria que alguna vez configuró un acceso remoto es una puerta que quizás sigue abierta, con una contraseña que quizás nadie cambió.
• El ransomware ya no distingue. Los ataques modernos entran por la red administrativa (un correo, una credencial robada) y se propagan hasta donde puedan llegar. Si la red de planta está al alcance, también se cifra.

Las cinco defensas que funcionan en una PyME industrial

1. Inventario de activos OT. No se puede proteger lo que no se conoce: qué equipos hay, qué versión corren, qué conexiones tienen. Es siempre el primer paso, y casi siempre trae sorpresas.
2. Segmentación entre planta y administración. La medida de mayor impacto: que un incidente en las oficinas no pueda tocar la producción. Redes separadas, con un punto de paso controlado para lo que legítimamente debe cruzar.
3. Accesos remotos de proveedores, controlados. Cada integrador entra por un canal propio, con credenciales individuales, doble factor, y acceso que se habilita cuando se necesita y se cierra cuando termina. Nunca un TeamViewer siempre encendido.
4. Monitoreo de la frontera IT/OT. Vigilar el tráfico que cruza entre ambas redes detecta el movimiento lateral de un atacante antes de que llegue a los equipos de producción.
5. Plan de respuesta que incluya la planta. ¿Se puede operar en manual? ¿Cuánto se aguanta? ¿A quién se llama? Las respuestas tienen que existir antes del incidente, no improvisarse durante.

Por dónde empezar

Con una evaluación: relevar los activos, mapear las conexiones reales (no las del diagrama de hace cinco años) y priorizar por impacto en la producción. De ahí sale un plan concreto — segmentar primero, ordenar accesos después, monitorear siempre. Es un proyecto acotado, con precio y plazo cerrados, y suele revelar en días riesgos que llevaban años invisibles.

Artículos relacionados: Cuánto cuesta una hora sin sistemas · Cómo saber si su backup funciona