Un ataque contra una red eléctrica o un sistema de agua potable puede convertir una vulnerabilidad informática en un problema físico para millones de personas. Los principales organismos de ciberseguridad coinciden en que la protección de estas infraestructuras requiere inventarios precisos, control de accesos, segmentación de redes, vigilancia continua, planes de respuesta y capacidad real de recuperación.
La ciberseguridad dejó hace tiempo de ser un asunto reservado a las computadoras de una oficina. Cuando una red eléctrica, una planta de tratamiento de agua o un sistema de distribución depende de programas informáticos para funcionar, una intrusión digital puede tener consecuencias que se sienten fuera de la pantalla. Una falla puede significar interrupciones del servicio, daños en equipos o, en determinadas circunstancias, riesgos para la seguridad de la población.
El desafío nace de una particularidad de estas infraestructuras. Sus sistemas de tecnología operacional fueron diseñados históricamente para controlar procesos físicos y priorizar continuidad y seguridad industrial. Con el tiempo, muchos comenzaron a conectarse con redes corporativas y servicios remotos, aumentando las posibilidades de supervisión y eficiencia, pero también ampliando la superficie que un atacante puede intentar aprovechar.
El Instituto Nacional de Estándares y Tecnología de Estados Unidos, NIST, plantea una respuesta basada en la gestión del riesgo. Su Marco de Ciberseguridad 2.0 organiza las medidas alrededor de seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar. No prescribe una única tecnología, sino que establece resultados que las organizaciones deberían alcanzar de acuerdo con sus riesgos y características.
La filosofía es importante porque una infraestructura crítica no puede considerarse segura simplemente por tener un cortafuegos o un programa antivirus. Primero hay que saber qué equipos existen, qué sistemas controlan procesos esenciales, quién puede acceder a ellos y qué ocurriría si alguno queda comprometido. El propio NIST ha desarrollado recursos específicos para sectores como energía y agua, reconociendo que los sistemas industriales necesitan consideraciones particulares.
En el caso de las redes eléctricas, la protección tiene una dificultad adicional: el sistema debe permanecer operativo mientras se defienden equipos que pueden tener ciclos de actualización mucho más lentos que los dispositivos informáticos convencionales. En Estados Unidos existen, además, estándares obligatorios de protección para determinadas entidades del sistema eléctrico mayorista, desarrollados dentro del régimen de la North American Electric Reliability Corporation. Estos controles abarcan áreas como identificación de activos críticos, control de accesos, gestión de vulnerabilidades y planificación de incidentes.
La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos, CISA, ha complementado ese enfoque con objetivos de desempeño que priorizan medidas de alto impacto para operadores de infraestructura crítica. Entre ellas aparecen prácticas como autenticación resistente, gestión de activos, protección de cuentas, copias de seguridad y preparación para responder y recuperar operaciones después de un incidente.
El sector del agua presenta una vulnerabilidad particularmente delicada. CISA, la Agencia de Protección Ambiental y el FBI publicaron en 2024 una guía conjunta que recomienda a los operadores reducir la exposición de los sistemas a internet, realizar evaluaciones periódicas de ciberseguridad, eliminar contraseñas predeterminadas, mantener inventarios de los equipos de tecnología de información y tecnología operacional y contar con planes de respuesta y recuperación que sean ejercitados regularmente.
No son recomendaciones menores. En algunos sistemas de agua existen dispositivos industriales capaces de controlar bombas, válvulas, presión o procesos de tratamiento. CISA y sus organismos asociados han advertido que actores maliciosos han intentado comprometer equipos de control industrial expuestos o mal configurados. Un incidente de este tipo no necesita paralizar toda una ciudad para causar problemas: alterar una parte del proceso puede ser suficiente para obligar a los operadores a intervenir manualmente.
Europa está avanzando en una dirección similar. La Agencia de la Unión Europea para la Ciberseguridad, ENISA, señala que la directiva NIS2 amplió y reforzó las obligaciones de ciberseguridad para sectores considerados esenciales, entre ellos la energía y determinadas actividades relacionadas con el agua. Su evaluación NIS360 de 2026 encontró mejoras generales en la madurez de los sectores críticos europeos, aunque también destacó la necesidad de seguir fortaleciendo capacidades, cooperación y orientación específica por sector.
Hay, además, una enseñanza que atraviesa todas estas recomendaciones: la seguridad no termina cuando se instala una defensa. Es necesario detectar comportamientos anómalos, responder con rapidez y, sobre todo, recuperar la operación. Las copias de seguridad, los procedimientos alternativos y los ejercicios de emergencia pueden parecer recursos secundarios hasta que una organización pierde el control de un sistema esencial.
La protección también debe extenderse a los proveedores. Una planta puede tener buenos controles internos y, aun así, quedar expuesta mediante un contratista que administra remotamente algún componente. Por eso los marcos modernos de seguridad incorporan cada vez con mayor claridad la gestión del riesgo de la cadena de suministro.
La verdad es que no existe una infraestructura crítica completamente aislada del riesgo. Tampoco existe una tecnología capaz de garantizar por sí sola que nunca ocurrirá un incidente. La diferencia está en la preparación. Una organización que conoce sus activos, limita los accesos, separa los sistemas sensibles, supervisa sus redes y practica la respuesta tendrá mejores posibilidades de contener un ataque sin convertirlo en una crisis pública.
En última instancia, hablar de ciberseguridad en una planta de agua o en una red eléctrica significa hablar de algo mucho más concreto que computadoras y códigos. Significa proteger la luz que enciende una casa, el agua que sale de un grifo y los servicios que permiten que una ciudad continúe funcionando. La infraestructura crítica es precisamente eso: crítica porque, cuando falla, la sociedad entera puede sentir sus consecuencias.
