Consecuencias en el mundo físico

La gran frontera entre la seguridad informática tradicional y la seguridad operativa (OT) es el mundo cinético. Si un atacante modifica la lógica de control para cerrar una válvula de alivio mientras una bomba continúa inyectando presión, la tubería cede físicamente por sobrepresión. Los incidentes históricos más graves demostraron que no hace falta instalar un programa destructivo: basta con enviar comandos ordinarios fuera de los límites de tolerancia mecánica para fatigar y destruir componentes físicos de alto costo.

Para evitar que un fallo en el PLC de control cause una catástrofe humana, las plantas modernas implementan Sistemas Instrumentados de Seguridad (SIS). Un SIS es un sistema completamente independiente del PLC del proceso, con sus propios sensores y actuadores dedicados (como una válvula de corte por gravedad). Su única misión es llevar la planta a un estado seguro si las variables críticas superan el límite de peligro. Mantener el SIS aislado y no conectarlo a la misma red de supervisión es la regla de oro para que un ciberataque no inhabilite la última línea de defensa física.

En un servidor web corporativo, un retraso de 300 milisegundos en responder una página es imperceptible. En una línea de embotellado de alta velocidad o en un reactor químico, un retraso de 50 milisegundos en la señal de parada de un brazo robótico provoca una colisión mecánica. Por esta razón, en OT no se pueden insertar mecanismos de inspección pesada, cifrado complejo o análisis heurístico en línea que agreguen retardo ('jitter') a las comunicaciones de campo.

A pesar de todos los avances en software y ciberdefensa, en el piso de planta la máxima autoridad ante el peligro sigue siendo analógica: el botón de parada de emergencia tipo seta (E-Stop). Estos botones están cableados directamente a relés electromecánicos de seguridad que cortan la energía de los actuadores sin pasar por ningún microprocesador ni sistema operativo. Si la pantalla de la HMI se congela o es secuestrada por malware, el operador presiona el botón y la maquinaria se detiene por gravedad y corte eléctrico.