Noticias

La ciberseguridad de la infraestructura de agua potable y residual está atrayendo una atención renovada en todo el sector de la automatización industrial tras una serie de incidentes cibernéticos que involucran a los sistemas de agua de Estados Unidos. Aunque las consecuencias operativas de los ataques recientes parecieron limitadas, los incidentes han puesto de manifiesto una vulnerabilidad más amplia: muchas empresas de servicios públicos más pequeñas operan infraestructura esencial con presupuestos limitados, personal de ciberseguridad limitado y entornos de tecnología operativa (OT) envejecidos.

El problema fue examinado recientemente por la Sociedad Internacional de Automatización (ISA) a través de su último episodio de Podomation , que reunió a expertos en automatización, ciberseguridad y agua rural para discutir lecciones prácticas de incidentes recientes. La discusión se centró no solo en la tecnología, sino también en la preparación del operador, la respuesta a incidentes, los estándares de ciberseguridad y las realidades que enfrentan las empresas de servicios públicos de agua pequeñas y rurales.

El panel incluyó a Steve Mustard de au2mation y expresidente de ISA, Leo Staples de Staples Farm y expresidente de ISA, el consultor de ciberseguridad Arun Rajagopal y Charles Stephens de la Asociación Nacional de Agua Rural (NRWA). Morgan Foor moderó la conversación.

Una de las observaciones más importantes de la discusión fue que la ciberseguridad no puede separarse de los requisitos operativos de una empresa de servicios de agua. A diferencia de muchos entornos de TI convencionales, los sistemas de agua potable y residual son responsables de procesos físicos continuos. Las estaciones de bombeo, los sistemas de tratamiento, los equipos de dosificación química, los sistemas de control, la telemetría remota y otros activos de automatización deben permanecer disponibles incluso cuando ocurre un incidente de seguridad.

Para los operadores de servicios públicos, la disponibilidad y la continuidad operativa siguen siendo, por lo tanto, objetivos centrales. Una respuesta de ciberseguridad que interrumpa la capacidad de proporcionar agua segura y confiable puede crear un tipo diferente de riesgo operativo. Esto hace que la protección de los sistemas de control industrial (ICS), los entornos de control de supervisión y adquisición de datos (SCADA) y otros activos de OT sea particularmente importante.

Los incidentes recientes también ilustran por qué la exposición a Internet sigue siendo una preocupación significativa. Algunos de los sistemas discutidos por el panel estaban directamente conectados a Internet, lo que podría crear puntos de entrada sencillos para los atacantes. Los equipos de control conectados a Internet, los servicios de acceso remoto y las redes OT mal segmentadas pueden aumentar la superficie de ataque de las instalaciones que no fueron diseñadas originalmente en torno a los requisitos de ciberseguridad modernos.

Sin embargo, el panel enfatizó que no se debe simplemente criticar a las empresas de servicios públicos después de que ocurra un incidente. El hecho de que varios eventos recientes no hayan resultado en una interrupción pública generalizada puede indicar que algunas organizaciones tenían al menos una preparación básica y capacidades de respuesta a incidentes.

Esa distinción es importante para la industria de la automatización industrial en general. La madurez de la ciberseguridad rara vez se logra a través de una única instalación de software o configuración de red. Depende de una combinación de segmentación de red OT, control de acceso, visibilidad de activos, procedimientos de respaldo, planificación de respuesta a incidentes, capacitación del operador y evaluación continua de riesgos.

Estándares como ISA/IEC 62443 pueden proporcionar un marco importante para las organizaciones que buscan establecer un enfoque más estructurado para la ciberseguridad industrial. La serie de estándares aborda la ciberseguridad en los sistemas de automatización y control industrial y puede ayudar a las organizaciones a establecer una terminología común, definir responsabilidades y desarrollar prácticas de seguridad en las diferentes capas de un entorno de automatización.

La necesidad de un lenguaje de ciberseguridad común es particularmente relevante cuando los equipos de TI y OT trabajan juntos. Los operadores industriales comprenden los requisitos del proceso y el comportamiento de los equipos, mientras que los especialistas en TI y ciberseguridad a menudo abordan el riesgo desde una perspectiva de red y seguridad de la información. La protección efectiva requiere que ambas partes comprendan cómo una vulneración digital puede afectar las operaciones físicas.

Este desafío se vuelve aún más pronunciado en la infraestructura de agua rural.

Según Charles Stephens, más del 90% de los sistemas de agua de EE. UU. son pequeños y rurales. Muchas de estas organizaciones no tienen los recursos financieros o el personal dedicado disponible para operar un programa de ciberseguridad sofisticado. Para tales instalaciones, las recomendaciones de seguridad diseñadas para grandes empresas industriales pueden ser difíciles de implementar y mantener.

Por lo tanto, una estrategia práctica de ciberseguridad debe tener en cuenta la realidad operativa de las empresas de servicios públicos más pequeñas. En lugar de depender de arquitecturas de seguridad complejas que requieren un amplio soporte especializado, las empresas de servicios públicos pueden necesitar priorizar los controles fundamentales que se puedan mantener de manera consistente.

Estos pueden incluir la identificación de todos los activos conectados a Internet, la eliminación del acceso externo innecesario, el fortalecimiento de la autenticación, el mantenimiento de copias de seguridad confiables, la separación de las redes de control críticas de las redes comerciales y la prueba regular de los procedimientos de respuesta a incidentes. Incluso las medidas básicas pueden mejorar significativamente la resiliencia cuando se implementan sistemáticamente.

La preparación del operador es otro tema recurrente. Las políticas de ciberseguridad tienen un valor limitado si el personal no sabe cómo responder cuando ocurre un evento anormal. Los ejercicios regulares pueden ayudar a los operadores a reconocer actividades sospechosas, comprender los procedimientos de escalada y tomar decisiones bajo presión.

Este enfoque se asemeja cada vez más a los principios utilizados en la seguridad funcional. En ingeniería de seguridad, los equipos se preguntan rutinariamente qué puede salir mal, determinan las posibles consecuencias y establecen salvaguardas para reducir la probabilidad o la gravedad de un incidente. Rajagopal argumentó que la ciberseguridad para la infraestructura crítica debe abordarse con una disciplina similar.

La comparación es particularmente relevante porque los eventos cibernéticos pueden ir más allá del entorno digital. Un sistema de control comprometido puede afectar bombas, válvulas, procesos de tratamiento o funciones de monitoreo. En una instalación de tratamiento de agua, una falla de ciberseguridad puede convertirse, por lo tanto, en un problema operativo y, en ciertas circunstancias, en una preocupación de salud pública.

Para los proveedores de automatización industrial y los integradores de sistemas, esta tendencia también refuerza la importancia de la ciberseguridad durante todo el ciclo de vida de los equipos de automatización. Los PLC, RTU, HMI, dispositivos Ethernet industriales, servidores SCADA y sistemas de monitoreo remoto operan cada vez más como componentes conectados dentro de ecosistemas digitales más grandes.

El equipo heredado presenta un desafío adicional. Muchas instalaciones de agua dependen de hardware de automatización que se instaló hace años o incluso décadas. Reemplazar cada controlador o sistema de control heredado rara vez es económicamente realista, particularmente para empresas de servicios públicos más pequeñas. Los controles compensatorios, el aislamiento de la red, las restricciones de acceso y la mejora del monitoreo pueden, por lo tanto, desempeñar un papel importante en la reducción del riesgo en torno a los sistemas más antiguos.

El Programa de "Ciclistas de Seguridad Cibernética" de la NRWA proporciona un ejemplo de un modelo de apoyo más práctico. El programa conecta personal de ciberseguridad experimentado con empresas de servicios públicos más pequeñas, ofreciendo asistencia y orientación directas en lugar de esperar que cada organización construya un gran equipo de seguridad interno.

Este tipo de apoyo práctico podría volverse cada vez más importante a medida que las empresas de servicios de agua se enfrentan a crecientes expectativas regulatorias y a un entorno de amenazas más complicado. Los programas de ciberseguridad deben ser sostenibles después de que los consultores se vayan, lo que significa que la capacitación y la transferencia de conocimientos son tan importantes como la remediación técnica.

La lección más amplia de la discusión de ISA es que la ciberseguridad para la infraestructura del agua no puede tratarse únicamente como un proyecto de TI. Es un problema de gestión de riesgos operativos que involucra al personal de ingeniería, automatización, mantenimiento, gestión y ciberseguridad.

Para las empresas de automatización B2B, este cambio también está modificando la forma en que se evalúan los productos de control industrial. Los equipos de compras necesitan cada vez más considerar no solo si un PLC, controlador, módulo de comunicación o dispositivo de monitoreo realiza su función prevista, sino también cómo el equipo encaja en una arquitectura OT segura.

A medida que los sistemas industriales se conectan más, la ciberseguridad de la OT se está acercando al centro de la estrategia de automatización. Las empresas de servicios de agua potable y residual proporcionan un ejemplo particularmente claro porque sus sistemas apoyan servicios públicos esenciales mientras que a menudo operan con recursos técnicos limitados.

La discusión de ISA, en última instancia, apunta hacia un enfoque pragmático: mejorar la visibilidad, reducir la exposición innecesaria, fortalecer los controles básicos, capacitar a los operadores y establecer procedimientos de respuesta que realmente se puedan utilizar durante un incidente. La tecnología sigue siendo una parte importante de la solución, pero la resiliencia depende igualmente de la preparación y las personas.

La conversación llega en un momento en que las empresas de servicios de agua, los integradores de sistemas y los profesionales de la automatización están reevaluando cómo la ciberseguridad debe incorporarse en los proyectos de infraestructura crítica. Para las organizaciones más pequeñas en particular, las mejoras incrementales respaldadas por experiencia práctica pueden resultar más valiosas que los programas de seguridad altamente complejos que no se pueden mantener a largo plazo.

ISA continúa abordando el tema a través de la educación y la formación profesional. Su curso de Concienciación sobre ciberseguridad para profesionales de la industria del agua potable y residual está programado como parte de la ISA Automation Summit & Expo de 2026, con una sesión presencial planeada para el 26 de septiembre en Lake Buena Vista, Florida, seguida de una sesión virtual el 19 de octubre. El evento también contará con una mesa redonda dedicada a la ciberseguridad en la industria del agua potable y residual.

Para los profesionales de la automatización, el mensaje es cada vez más claro: proteger la infraestructura crítica requiere que la ciberseguridad se considere junto con la ingeniería de control, la confiabilidad del proceso y la seguridad funcional desde el comienzo del ciclo de vida de un sistema.

Escrito por: Daniel Mercer — Daniel tiene más de 12 años de experiencia cubriendo automatización industrial, sistemas de control y ciberseguridad OT, con un enfoque en las tecnologías y los desafíos operativos que dan forma a la infraestructura crítica moderna.