Nueve agencias de ciberseguridad de cinco países han firmado el mismo mensaje: la arquitectura defendible de una planta industrial empieza por saber qué hay dentro de ella. No por el firewall, no por el SOC, no por la segmentación. Por el inventario.
El 13 de agosto de 2025, CISA publicó junto a la EPA, la NSA, el FBI, el ACSC australiano, el Cyber Centre canadiense, el BSI alemán, el NCSC neerlandés y el NCSC neozelandés el documento "Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators". Que el BSI y el NCSC-NL aparezcan como coautores no es un detalle menor para quien opera infraestructura en Europa: lo que se describe aquí no es una particularidad estadounidense, sino un consenso técnico transatlántico sobre por dónde se empieza.
Y el punto de partida es incómodo de tan evidente: sin inventario, una organización no sabe qué tiene y, por tanto, no sabe qué debe proteger.
Por qué el inventario OT es distinto del inventario IT
Cualquiera que haya intentado levantar un inventario en una planta sabe que el ejercicio no se parece al de un CPD. Los entornos OT acumulan sistemas heredados, dispositivos especializados, instrumentación y sensores que hablan protocolos propietarios. Muchos de esos equipos no responden a un escaneo, no admiten un agente y, si se les interroga mal, dejan de hacer lo único que se espera de ellos: controlar un proceso físico.
La guía lo reconoce sin rodeos: entender el papel de un componente en la monitorización y el control del proceso puede exigir inspección física de los activos y de las áreas de proceso asociadas. No hay atajo puramente digital.
A eso se añade el motivo por el que todo esto importa. El documento enumera los vectores que los atacantes explotan una y otra vez en OT:
- Vulnerabilidades en software y firmware desactualizado.
- Mecanismos de autenticación débiles.
- Segmentación insuficiente, que permite el salto lateral de IT a OT y entre sistemas OT.
- Protocolos industriales inseguros, que permiten interceptar comunicaciones e inyectar órdenes.
- Accesos remotos mal protegidos, usados como cabeza de puente.
Ninguno de esos cinco frentes se puede cerrar sobre un inventario incompleto. No se segmenta lo que no se ha cartografiado, ni se prioriza el parcheo de un equipo cuya existencia se desconoce.
La aportación diferencial: la taxonomía OT
La parte realmente interesante del documento no es la lista de activos, sino la insistencia en acompañarla de una "taxonomía OT": un sistema de clasificación que ordena y prioriza los activos por función y criticidad, y que hace visibles sus relaciones y dependencias.
Un inventario responde a qué tengo. Una taxonomía responde a qué significa lo que tengo. La diferencia entre ambas cosas es exactamente la diferencia entre una hoja de cálculo con 4.000 filas y una herramienta de decisión.
Los beneficios que la guía atribuye a trabajar con taxonomía son cinco, y todos ellos tienen traducción directa en el día a día:
El punto sobre comunicación merece subrayarse. En la mayoría de las plantas donde trabajamos, el mayor obstáculo del inventario no es técnico: es que el ingeniero de proceso, el responsable de mantenimiento y el CISO llaman de tres maneras distintas al mismo armario. La taxonomía es, antes que nada, un acuerdo lingüístico.
Los cinco pasos del proceso
La guía propone una secuencia de cinco fases:
1. Definir alcance y objetivos. Identificar quién exige el inventario y qué áreas lo mantienen y se benefician de él; asignar roles y responsabilidades para la recogida y validación de datos; y fijar los límites del programa —zonas, instalaciones, sistemas, calendario— incluyendo la definición de qué se considera "activo" a estos efectos. Esta última decisión parece trivial y no lo es: ¿entra un transmisor de presión? ¿un variador? ¿un portátil de un integrador que se conecta dos veces al año?
2. Identificar activos y recopilar atributos. Inspección física más levantamiento lógico, compilando activos e infraestructura de red con sus dependencias.
3. Crear una taxonomía. Cinco subpasos: clasificar, categorizar, ordenar estructura y relaciones, validar y visualizar, y revisar periódicamente.
4. Gestionar y almacenar los datos. Identificar fuentes adicionales de información —contratos con integradores, manuales de fabricante, históricos de mantenimiento, especificaciones de configuración— y establecer una base de datos centralizada, protegida ella misma frente a amenazas.
5. Implantar la gestión de ciclo de vida. Definir las etapas de vida del activo (adquisición, despliegue, puesta en marcha, mantenimiento, retirada) y las políticas asociadas. Aquí hay una frase que conviene leer dos veces: el inventario debe actualizarse ante la introducción o retirada de cualquier dispositivo en todos los casos, incluso bajo autoridad de cambio de emergencia. Es precisamente en la urgencia cuando el inventario se degrada.
Clasificar y categorizar: criticidad, función, zonas y conductos
Para la clasificación, el documento plantea dos enfoques complementarios: por "criticidad" (impacto de su fallo o compromiso sobre operación, seguridad y misión) y por "función" (sistemas de control, comunicaciones, monitorización, ingeniería, mantenimiento, gestión).
Y para la categorización, CISA se apoya explícitamente en "IEC 62443" —en concreto en la parte 3-2— organizando los activos en zonas y conductos. Una zona agrupa activos con requisitos de seguridad comunes; un conducto agrupa los activos dedicados exclusivamente a las comunicaciones entre zonas, garantizando que solo pase el tráfico autorizado. Para determinar los conductos, hay que mapear las rutas de comunicación entre zonas incorporando análisis de flujos de datos, identificación de protocolos y detalles de nivel 2 y 3.
Para las organizaciones europeas, esto cierra un círculo útil: el mismo trabajo de inventario y taxonomía alimenta a la vez la respuesta a NIS2, el modelo de zonas y conductos de IEC 62443 y, en el caso español, la categorización de sistemas del ENS. No son tres proyectos. Es uno.
Qué campos recoger (y en qué orden)
El anexo A es probablemente la parte más aprovechable del documento en la práctica. Prioriza catorce campos como "alta prioridad":
- Protocolos de comunicación activos/soportados
- Criticidad del activo
- Número de activo (identificador único interno)
- Rol/tipo de activo (estación de ingeniería, PLC, historiador, switch, hipervisor…)
- Nombre de host
- Dirección IP
- Registro de logs
- Dirección MAC
- Fabricante
- Modelo
- Sistema operativo
- Ubicación física
- Puertos y servicios
- Cuentas de usuario
En prioridad "media" quedan frecuencia y tipo de copias de seguridad, imagen base, departamento propietario, distribuidor, versión de firmware/software, versión de sistema operativo, físico o virtual y VLAN. En prioridad "baja", antivirus/protección de endpoint, fecha de fabricación, hipervisor, zona horaria local, ubicación dentro del hipervisor, monitorización de red, notas, método principal de comunicación, número de serie y fuente de tiempo.
Dos matices sensatos que aporta el propio documento: los campos de protocolos y de puertos/servicios son costosísimos de levantar y mantener, así que recomienda empezar por los activos que se comunican fuera del perímetro IT/OT o con SCADA sobre WAN, y seguir después con el resto. Y sobre la fuente de tiempo —que muchos considerarían un dato menor— advierte que la interrupción de una referencia horaria externa y la deriva asociada pueden tener impactos significativos.
El inventario no es el final: es la materia prima
Una vez levantado, el documento detalla qué hacer con él. Y es aquí donde el inventario deja de ser un entregable de consultoría para convertirse en un activo operativo:
- Gestión de vulnerabilidades y riesgo. Cruzar el inventario con el catálogo KEV de CISA y con la base CVE de MITRE; explorar controles compensatorios para lo que no se puede parchear o está fuera de soporte; priorizar activos críticos y documentar planes de redundancia y de operación bajo compromiso; usar KEV como entrada autoritativa de un marco de priorización tipo SSVC.
- Priorización de amenazas mapeando patrones de ataque contra MITRE ATT&CK for ICS y CAPEC para sistemas de control.
- Mantenimiento y fiabilidad. Revisar los planes de mantenimiento a la luz de los hallazgos y programar mitigaciones en ventanas de parada; comparar el coste de la indisponibilidad frente al de sustituir el sistema vulnerable o desplegar controles compensatorios; aplicar principios de "Cyber-Informed Engineering" y "Secure by Design" en las compras; y —detalle excelente— analizar el stock de repuestos OT para comprobar que cubre efectivamente los activos críticos identificados.
- Monitorización y reporte, tanto de variables de proceso como de diagnóstico de red y sistemas, con propietarios identificados del inventario que validen las clasificaciones.
- Formación y concienciación, y un bucle de mejora continua apoyado en la gestión del cambio y en auditorías periódicas del programa.
Tres lecturas para llevarse
Primera: el inventario es una decisión de gobierno, no un proyecto técnico. El paso 1 del método no habla de herramientas, habla de autoridad, roles y alcance. Los inventarios que fracasan casi nunca fracasan por falta de tecnología; fracasan porque nadie es responsable de mantenerlos vivos al día siguiente de entregarlos.
Segunda: la taxonomía es lo que convierte el dato en criterio. Un listado sin clasificación por criticidad y función no permite priorizar nada. Y priorizar es, literalmente, lo único que se puede hacer cuando hay más vulnerabilidades que ventanas de parada.
Tercera: el inventario o es continuo o no es. Una fotografía envejece desde el momento en que se toma. La exigencia de actualizarlo incluso en cambios de emergencia, la revisión periódica de la taxonomía y la gestión de ciclo de vida apuntan todas en la misma dirección: esto no se hace una vez.
Que nueve agencias de cinco países hayan dedicado un documento conjunto a algo tan aparentemente básico dice bastante sobre el estado real del sector. La buena noticia es que, a diferencia de otras recomendaciones de ciberseguridad industrial, esta se puede empezar el lunes por la mañana: con una reunión sobre quién es responsable de qué, y una definición honesta de qué se considera un activo.
En TITANIUM llevamos años recorriendo estos dos tramos con nuestros clientes. El diagnóstico de ciberseguridad OT cubre el arranque que describe la guía: alcance, inspección física y lógica de la instalación, levantamiento de activos y atributos, y clasificación en zonas y conductos con la brecha frente a IEC 62443 y ENS sobre la mesa. Pero, como advierte el propio documento, esa fotografía envejece desde que se toma. Para el segundo tramo —el que de verdad decide si el inventario sigue vivo dentro de dos años— desarrollamos Rutile ICS, nuestra plataforma de visibilidad y topología de activos industriales: mantiene el inventario y el gemelo digital actualizados de forma continua, cruza los activos con las vulnerabilidades conocidas, vigila el estado de las copias de seguridad y de los parches, y traduce todo ello a los términos que exigen NIS2, IEC 62443 y el ENS. Porque, al final, la conclusión de la guía y la nuestra son la misma: la ciberseguridad industrial comienza con la visibilidad.
*Fuente: CISA, EPA, NSA, FBI, ASD's ACSC, Cyber Centre, BSI, NCSC-NL y NCSC-NZ. "Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators", 13 de agosto de 2025. TLP:CLEAR.*
No hay comentarios:
Publicar un comentario