Gobierno de TI y de OT, dos mundos con una sola política

En TI la seguridad se ordena casi siempre alrededor de la confidencialidad, la integridad y la disponibilidad de los datos. En OT cambia el orden de lo que se protege primero: lo que está en juego es un proceso físico, y una orden equivocada o una parada fuera de tiempo puede lesionar a una persona o dañar un equipo. La guía NIST SP 800-82 Rev. 3 («Guide to Operational Technology (OT) Security», septiembre de 2023) parte justo de esa idea: asegurar los sistemas sin comprometer su rendimiento, su fiabilidad ni su seguridad operacional.

Esto no vuelve irrelevante la confidencialidad, que sigue importando para planos, consignas y datos del cliente. Cambia el peso relativo. Un gobierno que ignora la diferencia acaba aplicando reglas pensadas para una oficina a un proceso donde esas reglas pueden parar la producción.

Una política de TI trae requisitos que presuponen que un equipo se puede parchear, reiniciar y escanear cuando se quiera. En una planta, el fabricante y la operación fijan restricciones: algunos controladores se reinician solo en la parada anual y otros se bloquean ante tráfico que un equipo de oficina tolera sin problema. El analista no corrige la restricción: la documenta y la cruza con la política para ver dónde chocan.

Abre politica_ti y equipos_ot y lee la restricción documentada del regulador de velocidad de la turbina 2.

Gobernar es poder responder «quién decide sobre este equipo». Sin un dueño asignado, nadie aprueba una excepción, nadie recibe el aviso de una vulnerabilidad y nadie responde en una auditoría. El inventario marca con «—» los equipos sin dueño, y contarlos es el primer indicador de madurez que se le pide a un programa.

Ni aplicar la política de TI sin cambios ni dejar la planta fuera de ella funciona. Lo primero produce incumplimientos permanentes que nadie puede corregir; lo segundo deja el riesgo sin gobierno. Lo que usan los marcos es una política común con un tratamiento para OT: la excepción se escribe, la aprueba quien es dueño del proceso, lleva un control compensatorio y tiene fecha de revisión.

La tabla responsabilidades dice quién es hoy el dueño del proceso en la central.