Por qué se invierten las prioridades

En seguridad de la información se habla de tres propiedades: confidencialidad, integridad y disponibilidad. En la oficina se ordenan casi siempre con la confidencialidad delante —lo que no puede pasar es que se filtren los datos—. En una planta industrial ese orden se invierte: lo que no puede pasar es que el proceso se detenga o que un equipo actúe fuera de control y lastime a alguien. La disponibilidad del proceso y la seguridad física de las personas mandan; la integridad de las señales va después; la confidencialidad, en tercer lugar.

Entender esta inversión es lo que hace que cada decisión de esta ruta tenga sentido. Una medida que en TI es evidente puede ser inaceptable en OT justamente porque toca lo que en la planta va delante.

En la oficina, ante una vulnerabilidad conocida, la respuesta es parchear cuanto antes y reiniciar. En la planta, el controlador que gobierna las llenadoras de Andes Agua no se puede reiniciar sin detener la línea, y detener la línea tiene un costo y un riesgo propios. El parche existe, pero aplicarlo entra en la próxima parada programada de mantenimiento, no hoy. Mientras tanto, el riesgo no se ignora: se compensa con otras medidas —aislar el equipo, vigilar su tráfico— hasta que haya ventana.

La diferencia no es que en OT no se parchee, sino que el parcheo se subordina a la disponibilidad. Correr a reiniciar un controlador para cerrar un hueco puede causar más daño que el propio hueco.

El equipo de TI propone pasar su escáner de vulnerabilidades habitual por la red de planta, como hace cada semana en la oficina. En OT eso es peligroso: muchos controladores son frágiles ante tráfico inesperado, y un barrido agresivo de puertos ha dejado equipos industriales colgados o reiniciándose, lo que en una planta significa detener el proceso. La herramienta que en la oficina es rutina, en la planta puede provocar justo el incidente que se quería evitar.

Por eso el inventario y la evaluación en OT se hacen de forma pasiva siempre que se pueda: escuchando el tráfico en vez de sondear. La regla de fondo es no enviarle a la planta nada que no esperara.

Andes Agua tiene un sistema instrumentado de seguridad independiente del control: es el que corta la presión si un tanque pasa de su límite, para que no reviente. Ese sistema está separado a propósito del controlador de proceso, y ninguna medida de ciberseguridad puede interferir con él. Si una defensa propuesta pudiera retrasar o bloquear esa parada de emergencia, la defensa está mal: en OT, la protección de las personas va por delante de cualquier control de seguridad de la información.

Reconocer lo que no se toca es parte del oficio. La seguridad física —que nadie se lastime— es el criterio que gana cuando choca con cualquier otro.