Noticias

Cuando Rockwell automation publicó su último estudio global sobre resiliencia operativa en septiembre de 2026, la conclusión principal fue contundente: más de un tercio de las organizaciones industriales consideran ahora el riesgo de ciberseguridad como uno de los principales obstáculos para el crecimiento. El estudio, titulado "Resiliencia operativa en la era de la conectividad", encuestó a más de 400 empresas industriales en los sectores de fabricación, petróleo y gas, minería e industrias de procesos, revelando una tensión fundamental entre el impulso hacia las operaciones conectadas y la realidad de la expansión de las superficies de ataque.

El momento en que se realizó el estudio es importante. La automation industrial ha pasado la última década migrando de sistemas de control aislados a arquitecturas interconectadas. Los controladores lógicos programables que antes operaban en redes propietarias ahora se conectan a sistemas empresariales, plataformas en la nube y aplicaciones móviles. Los sistemas de control distribuido que gestionaban refinerías y plantas químicas desde estaciones de trabajo aisladas (air-gapped) ahora se integran con herramientas de inteligencia empresarial y servicios de monitoreo remoto. Esta conectividad ofrece beneficios operativos —visibilidad en tiempo real, mantenimiento predictivo, producción optimizada—, pero también crea vías para que las ciberamenazas lleguen a la infraestructura crítica.

El estudio encontró que el 37 por ciento de los encuestados clasificó la ciberseguridad entre sus tres principales obstáculos de crecimiento, frente al 24 por ciento en una encuesta similar realizada dos años antes. El aumento fue más pronunciado en las industrias de procesos, donde los incidentes de seguridad pueden tener consecuencias catastróficas. Los operadores de petróleo y gas, los fabricantes de productos químicos y las empresas de generación eléctrica expresaron una preocupación particular por la convergencia de la tecnología de la información y la tecnología operativa, señalando que las prácticas tradicionales de seguridad de TO —aislamiento físico, protocolos propietarios, conectividad limitada— ya no proporcionan una protección adecuada en las arquitecturas modernas.

Lo que hace que el hallazgo sea significativo no es solo el porcentaje, sino la correlación con las decisiones de inversión. Las empresas que identificaron la ciberseguridad como un obstáculo principal informaron haber retrasado o reducido sus iniciativas de transformación digital. Describieron dudas a la hora de desplegar computación en el borde (edge computing), conectar equipos heredados a plataformas IIoT o implementar soluciones de acceso remoto para el mAIntenimiento y soporte. La preocupación no era sobre la capacidad tecnológica, sino sobre la gestión de riesgos: cómo modernizar las operaciones sin exponer procesos críticos a amenazas que podrían causar incidentes de seguridad, fugas medioambientales o paradas de producción.

El estudio identificó varios desafíos específicos. En primer lugar, la brecha de habilidades en ciberseguridad de TO sigue siendo aguda. Muchas empresas industriales carecen de personal que comprenda tanto las operaciones de los sistemas de control como las prácticas modernas de ciberseguridad. Los equipos de seguridad de TI a menudo no están familiarizados con los protocolos industriales, los sistemas instrumentados de seguridad y los requisitos de tiempo real del control de procesos. Los ingenieros de TO, por su parte, pueden no sentirse cómodos con la segmentación de redes, la detección de intrusiones o las prácticas de gestión de vulnerabilidades estándar en entornos de TI.

En segundo lugar, los equipos heredados presentan vulnerabilidades persistentes. Muchas instalaciones industriales operan sistemas de control que tienen 15, 20 o incluso 30 años de antigüedad. Estos sistemas fueron diseñados para la fiabilidad y la seguridad, no para la ciberseguridad. Funcionan con sistemas operativos que ya no reciben parches de seguridad, utilizan contraseñas predeterminadas y carecen de características básicas de seguridad como el cifrado o la autenticación. Reemplazar los sistemas heredados es costoso y disruptivo para la operación, pero dejarlos conectados a redes modernas crea un riesgo inaceptable.

En tercer lugar, la seguridad de la cadena de suministro ha surgido como una preocupación crítica. Los sistemas de control industrial dependen de componentes de docenas de proveedores: PLC de un proveedor, HMI de otro, sistemas de seguridad de un tercero, equipos de red de un cuarto. Cada componente representa una vulnerabilidad potencial. El estudio encontró que solo el 41 por ciento de los encuestados tenía procesos formales para evaluar la postura de ciberseguridad de sus proveedores de automation, a pesar del creciente reconocimiento de que los compromisos en la cadena de suministro pueden afectar a la tecnología operativa tan gravemente como a la tecnología de la información.

El estudio también destacó la naturaleza cambiante de las amenazas. Los ataques de ransomware dirigidos a operaciones industriales han aumentado en frecuencia y sofisticación. Los actores de amenazas han demostrado la capacidad de moverse de las redes de TI a los entornos de TO, afectando potencialmente a los systemas de seguridad y los procesos de producción. Los actores patrocinados por estados continúan atacando la infraestructura crítica, motivados por objetivos geopolíticos en lugar de ganancias financieras. Las consecuencias de los ataques exitosos se extienden más allá del robo de datos o la pérdida financiera, incluyendo incidentes de seguridad, daños ambientales y la interrupción de servicios esenciales.

La respuesta de Rockwell a estos hallazgos refleja tendencias más amplias de la industria. La empresa ha invertido fuertemente en capacidades de ciberseguridad, adquiriendo empresas especializadas en seguridad de TO e integrando características de seguridad en sus plataformas de automation. Los controladores Allen-Bradley modernos incluyen funciones de seguridad integradas: autenticación de usuarios, control de acceso, registro de auditoría y comunicaciones cifradas. La plataforma de innovación FactoryTalk de la empresa incorpora seguridad desde el diseño, con segmentación de red, detección de amenazas y capacidades de respuesta a incidentes.

Sin embargo, la tecnología por sí sola no puede resolver el problema. El estudio enfatizó que los factores organizacionales —cultura, gobernanza, trAIning— son igualmente importantes. Las empresas con programas de ciberseguridad maduros informaron mejores resultados, no porque tuvieran una tecnología superior, sino porque habían establecido una responsabilidad clara, formación periódica, planes de respuesta a incidentes y procesos de mejora continua. La seguridad se trató como una disciplina operativa, no como una ocurrencia tardía de TI.

Los hallazgos del estudio tienen implicaciones inmediatas para el diseño de sistemas de automation. Los ingenieros que especifican nuevos sistemas de control deben considerar los requisitos de ciberseguridad desde el principio. Las arquitecturas de red deben incorporar la segmentación entre sistemas de seguridad, control básico de procesos y conectividad empresarial. Los controles de acceso deben ser granulares, con diferentes niveles de permisos para operadores, personal de mantenimiento y soporte externo. Las capacidades de monitoreo deben proporcionar visibilidad del tráfico de red, identificando comportamientos anómalos que podrían indicar una brecha.

Para Maxwell, quien ha pasado más de una década diseñando arquitecturas de control para industrias de procesos, el estudio confirma lo que observa en el campo. "La pregunta ya no es si conectar los sistemas de control a redes más amplias", señala. "La pregunta es cómo hacerlo de forma segura. Eso requiere pensar en la seguridad en cada capa: desde los dispositivos de campo y controladores hasta la infraestructura de red y la integración empresarial. Requiere defensa en profundidad, no seguridad perimetral".

El estudio también abordó el panorama regulatorio. Los gobiernos de todo el mundo están aumentando los requisitos para la ciberseguridad de las infraestructuras críticas. La Directiva NIS2 de la Unión Europea impone obligaciones de seguridad a los proveedores de servicios esenciales, incluidos los sectores de energía, agua y fabricación. Estados Unidos ha emitido directivas de ciberseguridad para operadores de oleoductos y plantas químicas tras incidentes de alto perfil. El cumplimiento de estos requisitos añade complejidad y costos, pero también proporciona marcos para una gestión de riesgos sistemática.

De cara al futuro, el estudio sugiere que la ciberseguridad seguirá siendo un desafío definitorio para la automatización industrial. A medida que las operaciones se vuelven más conectadas, más automatizadas y más dependientes de los datos, la superficie de ataque seguirá expandiéndose. Las empresas que tengan éxito serán aquellas que traten la ciberseguridad como una competencia central, integrando las consideraciones de seguridad en cada aspecto de sus operaciones, desde el diseño y la adquisición de sistemas hasta la operación y el mantenimiento.

El camino a seguir requiere colaboración en toda la industria. Los proveedores de automatización deben seguir incorporando seguridad en sus productos. Los integradores de sistemas deben diseñar arquitecturas que equilibren la conectividad y la seguridad. Los usuarios finales deben invertir en personas, procesos y tecnología. Y la industria en su conjunto debe compartir inteligencia sobre amenazas, mejores prácticas y lecciones aprendidas para elevar la postura de seguridad colectiva.

El estudio de Rockwell no ofrece respuestas fáciles, pero proporciona un mensaje claro: en la era de la conectividad, la ciberseguridad no es opcional. Es fundamental para la resiliencia operativa, la continuidad del negocio y la capacidad de obtener los beneficios de la transformación digital. Las empresas que reconozcan esta realidad y actúen en consecuencia estarán mejor posicionadas para afrontar los desafíos futuros.

Escrito por: Maxwell, un especialista en automatización industrial con más de 15 años de experiencia en seguridad de sistemas de control y tecnología operativa.