Post actualizado el día octubre 28, 2026 by DeiviSanzPlay
Si trabajas en una fábrica, planta de agua o subestación y de pronto te piden «encargarte de la ciberseguridad del SCADA», lo primero es entender qué estás protegiendo y qué reglas del juego cambian respecto a una oficina normal. Aquí va una ruta práctica, sin promesas de blindaje total.
Qué hace distinto a un SCADA frente a una red de oficina
Un sistema SCADA (Supervisory Control and Data Acquisition) vigila y manda órdenes a equipos físicos: válvulas, motores, dosificadores. Un PLC ejecuta la lógica; un HMI muestra el proceso; el SCADA centraliza. La diferencia clave no es tecnológica, es de consecuencias: un reinicio forzado en un servidor de correo molesta; el mismo reinicio en un PLC puede parar una línea de producción o, peor, dejar un proceso en estado inseguro.
De ahí salen tres principios que verás repetidos en cualquier marco de referencia del sector (IEC 62443, guías de NIST y de agencias de ciberseguridad industrial):
- Disponibilidad antes que confidencialidad. En IT se prioriza proteger el dato; en OT, que el proceso siga funcionando.
- No tocar sin ventana de mantenimiento. Un parche que en Windows instalarías un martes por la tarde aquí requiere parada planificada y validación con el responsable de producción.
- Los equipos viven muchos años. Encontrarás PLC con firmware de hace una década que no se puede actualizar porque el fabricante ya no da soporte o porque el integrador certificó esa versión.
Primer paso real: dibujar lo que tienes, aunque esté mal
Antes de comprar un firewall industrial, haz un inventario. No hace falta una herramienta cara para empezar: un análisis pasivo del tráfico con un switch con puerto espejo revela qué habla con qué. Lo que suele aparecer en este ejercicio sorprende incluso a quien lleva años en planta: un HMI con doble tarjeta de red conectado a la vez a la red de proceso y a la red corporativa «para que el jefe viera los datos desde su despacho». Ese puente es, en la práctica, la puerta de entrada más habitual.
Documenta protocolos (Modbus TCP, Profinet, OPC UA, DNP3), rangos de direcciones y flujos permitidos. Si no sabes qué tráfico es legítimo, ningún cortafuegos podrá distinguirlo de uno malicioso.
Segmentar: la medida con más impacto por euro invertido
La segmentación en zonas y conductos (el modelo de IEC 62443) consiste en agrupar activos por criticidad y controlar qué cruza entre grupos. En la práctica, para un principiante se traduce en esto:
- Separa la red de control de la corporativa. Sin excepciones tipo «solo este puerto».
- Coloca un cortafuegos industrial (o, si el presupuesto no llega, un diodo de datos para flujos unidireccionales) entre ambas.
- Define reglas explícitas por IP y puerto, no «permitir todo entre estas dos subredes».
- Nada de WiFi de invitados en la misma VLAN que el SCADA. Suena obvio; ocurre.
Limitación honesta: segmentar no detiene un ataque que llega por USB o por el portátil de mantenimiento del proveedor. La segmentación reduce el movimiento lateral, no elimina el riesgo interno.
El eslabón que casi nadie vigila: accesos remotos y proveedores
Muchas plantas no sufren ataques sofisticados: sufren un acceso remoto permanente que el integrador dejó abierto para soporte y nadie cerró. Buenas prácticas mínimas: cuentas nominales (nada de «admin» compartido), doble factor donde el equipo lo permita, y conexión solo bajo petición, con registro de sesión y desconexión al terminar.
Aquí un matiz que aprenderás con la experiencia: algunos PLC antiguos no soportan autenticación ni cifrado en su protocolo nativo. En esos casos la protección no está en el dispositivo, está en la red que lo rodea y en quién puede llegar a ella.
Qué hacer cuando no puedes parchear
No todo se arregla actualizando. Cuando un equipo no admite parches, las alternativas son compensatorias: aislarlo en su propia zona, restringir el tráfico al mínimo imprescindible, monitorizar su comportamiento para detectar anomalías y tener un plan de respuesta escrito. Según documentación de organismos de ciberseguridad industrial, la mayoría de incidentes en OT se detectan tarde porque nadie mira los registros del proceso.
Empieza por algo pequeño y medible: revisa semanalmente los intentos de conexión rechazados en el cortafuegos industrial. No necesitas un SOC propio para eso.
Errores típicos de quien empieza
- Escanear la red de producción con un escáner de vulnerabilidades estándar. Muchos PLC antiguos se bloquean o reinician con ese tráfico. Usa herramientas pasivas o consulta antes.
- Confundir backup de la máquina virtual del SCADA con backup de la configuración de los PLC. Son cosas distintas y la segunda suele no existir.
- Comprar tecnología antes de tener políticas: sin saber quién puede tocar qué, el mejor producto del mercado queda sin gobierno.
Por dónde seguir formándote
Los marcos IEC 62443 y las guías del NIST para entornos OT son el punto de partida razonable. También ayudan los cursos introductorios de redes industriales y una noción básica de los protocolos que ya usas en planta. Nadie se convierte en responsable de ciberseguridad OT leyendo un artículo; pero con inventario, segmentación y control de accesos remotos habrás cerrado las vías de entrada más frecuentes. El resto exige tiempo, presupuesto y, sobre todo, coordinación con quien opera el proceso.
Perfiles verificables: Sitio web
Publicado el 28 de October de 2026. Última revisión: 28 de October de 2026.
