Las luces en la sala de control parpadearon por un segundo. Luego, todo pareci\u00f3 volver a la normalidad. Pero los ingenieros en la refiner\u00eda no se dieron cuenta de que, en ese breve instante, un atacante hab\u00eda logrado un acceso silencioso a los sistemas de control. En cuesti\u00f3n de minutos, la presi\u00f3n en una de las tuber\u00edas clave comenz\u00f3 a subir sin ninguna alerta aparente. Lo que podr\u00eda haber sido un problema menor se convirti\u00f3 en un incidente cr\u00edtico que oblig\u00f3 a detener la producci\u00f3n por completo. La empresa jam\u00e1s se hab\u00eda planteado que un ataque cibern\u00e9tico pudiera afectar directamente sus procesos f\u00edsicos, y mucho menos que su infraestructura industrial estuviera en la mira de actores malintencionados.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Hist\u00f3ricamente, los sistemas de control industrial (ICS) y la tecnolog\u00eda operativa (OT) en Sudam\u00e9rica operaban con un modelo de seguridad basado en el aislamiento: la idea de que si algo no estaba conectado a internet, estaba seguro. Ese paradigma ya no es viable. La convergencia entre TI y OT ha sido imparable, impulsada por la necesidad de eficiencia operativa, la transformaci\u00f3n digital y la integraci\u00f3n de tecnolog\u00edas como el Internet Industrial de las Cosas (IIoT). Sin embargo, esta interconectividad ha tra\u00eddo consigo una explosi\u00f3n de nuevas vulnerabilidades.<\/p>\n\n\n\n
Los ataques ya no son una posibilidad te\u00f3rica. En 2020, una planta sider\u00fargica en Brasil sufri\u00f3 un ataque de ransomware que comprometi\u00f3 su red corporativa y afect\u00f3 operaciones cr\u00edticas. En Argentina, el sector energ\u00e9tico fue blanco de m\u00faltiples intentos de intrusi\u00f3n en 2022. En Chile, una empresa minera experiment\u00f3 un incidente en su sistema SCADA en 2023, lo que result\u00f3 en una interrupci\u00f3n parcial de sus operaciones. Estos eventos demuestran que el riesgo es real y que la seguridad industrial necesita urgentemente un replanteamiento.<\/p>\n\n\n\n
<\/p>\n\n\n\n
A pesar de estos antecedentes, la regi\u00f3n sigue rezagada en ciberseguridad industrial. La mayor\u00eda de las empresas no cuentan con equipos especializados en seguridad OT, y los planes de contingencia suelen ser escasos o inexistentes. Un informe de Kaspersky revel\u00f3 que el 40% de los sistemas industriales en Am\u00e9rica Latina han sido objetivo de malware en los \u00faltimos dos a\u00f1os, y el 70% de las organizaciones no tiene una estrategia clara para proteger sus infraestructuras cr\u00edticas.<\/p>\n\n\n\n
El problema no es solo t\u00e9cnico, sino estructural. Muchas industrias en Sudam\u00e9rica operan con equipos heredados que fueron dise\u00f1ados hace d\u00e9cadas, mucho antes de que la ciberseguridad fuera una preocupaci\u00f3n. Estos sistemas siguen funcionando gracias a parches improvisados y medidas reactivas. La falta de regulaci\u00f3n uniforme agrava la situaci\u00f3n. A diferencia de Europa y Norteam\u00e9rica, donde est\u00e1ndares como la IEC 62443 y el NIST 800-82 han sido ampliamente adoptados, en Sudam\u00e9rica cada pa\u00eds sigue su propio camino, y en muchos casos, sin regulaciones claras.<\/p>\n\n\n\n
<\/p>\n\n\n\n
El pentesting (pruebas de penetraci\u00f3n) es una de las herramientas m\u00e1s poderosas para evaluar la seguridad de un sistema. En entornos TI, su implementaci\u00f3n es relativamente sencilla: se pueden simular ataques sin afectar la operaci\u00f3n de los sistemas. En OT, la historia es diferente. Aqu\u00ed, la prioridad es la disponibilidad y la seguridad f\u00edsica. Un pentest mal ejecutado podr\u00eda detener una planta de producci\u00f3n, desconfigurar equipos o, en el peor de los casos, provocar fallas que pongan en riesgo vidas humanas.<\/p>\n\n\n\n
Esto significa que el pentesting en OT requiere un enfoque meticuloso, distinto del de TI. No se trata solo de identificar vulnerabilidades, sino de hacerlo de manera que no interrumpa los procesos. Existen enfoques espec\u00edficos para lograrlo:<\/p>\n\n\n\n
<\/p>\n\n\n\n
Algunas empresas en Sudam\u00e9rica han comenzado a adoptar enfoques m\u00e1s maduros de ciberseguridad en OT. En Colombia, una refiner\u00eda implement\u00f3 un programa de pentesting continuo en sus sistemas SCADA utilizando una combinaci\u00f3n de evaluaci\u00f3n pasiva y entornos de simulaci\u00f3n. En M\u00e9xico, una compa\u00f1\u00eda del sector energ\u00e9tico estableci\u00f3 un equipo de respuesta a incidentes industriales (ICS-CERT) dedicado exclusivamente a proteger su infraestructura cr\u00edtica.<\/p>\n\n\n\n
Pero estas iniciativas siguen siendo la excepci\u00f3n y no la norma. La mayor\u00eda de las organizaciones en la regi\u00f3n a\u00fan no consideran el pentesting como una herramienta esencial para la seguridad OT. En muchos casos, la resistencia viene de la falta de conocimiento o de la percepci\u00f3n de que \u201cnunca nos va a pasar\u201d.<\/p>\n\n\n\n
<\/p>\n\n\n\n
La automatizaci\u00f3n y la digitalizaci\u00f3n de la industria en Sudam\u00e9rica no van a detenerse. Cada vez m\u00e1s plantas, refiner\u00edas y f\u00e1bricas adoptar\u00e1n tecnolog\u00edas conectadas, y con ello, los riesgos cibern\u00e9ticos seguir\u00e1n aumentando. La \u00fanica manera de mitigar estos riesgos es con un cambio de mentalidad: la seguridad no puede seguir siendo un complemento, sino que debe ser parte integral de la estrategia industrial.<\/p>\n\n\n\n
El pentesting debe dejar de verse como un lujo o un tr\u00e1mite burocr\u00e1tico. Es una inversi\u00f3n en resiliencia operativa. La seguridad en OT no se trata solo de proteger datos, sino de garantizar que las infraestructuras cr\u00edticas sigan funcionando sin interrupciones y sin poner en peligro vidas humanas.<\/p>\n\n\n\n
La regi\u00f3n tiene dos opciones: aprender de los errores de otros o esperar a ser la pr\u00f3xima v\u00edctima. Pero en un mundo donde las amenazas cibern\u00e9ticas evolucionan cada d\u00eda, el lujo de la inacci\u00f3n ya no es una opci\u00f3n.<\/p>\n","protected":false},"excerpt":{"rendered":"
Las luces en la sala de control parpadearon por un segundo. Luego, todo pareci\u00f3 volver a la normalidad. Pero los ingenieros en la refiner\u00eda no se dieron cuenta de que, en ese breve instante, un atacante hab\u00eda logrado un acceso silencioso a los sistemas de control. En cuesti\u00f3n de minutos, la presi\u00f3n en una de […]<\/p>\n","protected":false},"author":1,"featured_media":648,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[24],"tags":[19,23,21,20,22],"class_list":["post-647","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog-2","tag-ciberdefensa","tag-ciberseguridad","tag-industrial","tag-ot","tag-pentesting"],"_links":{"self":[{"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/posts\/647","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/comments?post=647"}],"version-history":[{"count":2,"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/posts\/647\/revisions"}],"predecessor-version":[{"id":650,"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/posts\/647\/revisions\/650"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/media\/648"}],"wp:attachment":[{"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/media?parent=647"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/categories?post=647"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybersecurity.cl\/index.php\/wp-json\/wp\/v2\/tags?post=647"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}