El aviso del NCSC deja ocho deberes, y ninguno necesita parar la planta

Ocho medidas para reducir la exposición de tu OT

El NCSC publicó a finales de agosto un aviso sobre el aumento de ataques contra sistemas OT. Tres párrafos de contexto y ocho recomendaciones concretas, todas aplicables sin parar la producción.

Qué han visto

El NCSC dice haber detectado un aumento de ataques contra sistemas OT en varios sectores y varios países, con algunas interrupciones reales de operación. No da nombres ni sectores, y el tono del documento es bastante contenido.

A quién va dirigido: a cualquier organización que use, instale o mantenga sistemas OT.

Y en medio del texto hay una línea que resume por dónde empezar:

Las organizaciones no deberían asumir que su OT es inaccesible desde internet sin verificarlo, ya que la exposición no intencionada puede surgir de configuraciones erróneas, conexiones heredadas o activos no gestionados.

Configuraciones erróneas, conexiones heredadas y activos no gestionados. Tres formas de acabar expuesto sin que nadie lo decidiera.

Qué recomienda

Cuatro de las ocho son las clásicas, y están ahí por algo: inventariar la arquitectura OT con sus activos y conexiones externas, sustituir credenciales por defecto y activar doble factor donde el equipo lo soporte, segmentar OT, gestión y red corporativa, y mantener copias probadas —incluida la lógica de los controladores— con procedimientos de restauración que se ensayen de verdad.

Las otras cuatro son más específicas.

Administrar los equipos de frontera desde una red aparte. No habla solo del cortafuegos: incluye pasarelas industriales, routers y appliances de acceso remoto. Pide que estén dentro del soporte del fabricante, que se sustituyan antes de llegar a fin de vida, y que solo se administren desde una red de gestión segregada y sin salida a internet.

Migrar a las versiones seguras de los protocolos. Con ejemplos: DNP3 a DNP3-SAv5, CIP a CIP Security, Modbus a Modbus Security, OPC DA a OPC UA. Y en gestión, retirar telnet, SNMP v1 y SNMP v2. Con un matiz realista: cuando no haya alternativa segura, limitar ese protocolo a segmentos aislados.

Sacar los autómatas del modo programación. Que los PLCs no se queden en PROGRAM ni en modos de mantenimiento durante la operación normal, y que la lógica lleve protección de escritura por contraseña o equivalente.

Aprovechar que una planta es predecible. Los entornos OT son estáticos, y por eso una línea base de comportamiento normal funciona especialmente bien para detectar lo que no encaja. En una red corporativa esa frase no se sostiene.

Cómo se aplica esto en la práctica

La lista parece asumible. El problema aparece al bajarla a una planta concreta, porque las ocho no cuestan lo mismo.

Lo que se hace esta semana. Verificar qué hay realmente expuesto, retirar accesos remotos que ya no usa nadie, cambiar credenciales por defecto, sacar los PLCs del modo programación. No necesitan permisos ni ventana de parada, y son las que más riesgo quitan por unidad de esfuerzo.

Lo que necesita proyecto. Segmentar de verdad, montar la red de gestión segregada o desplegar monitorización pasiva. Aquí ya hay que tocar direccionamiento y reglas, y conviene diseñarlo antes de empezar a mover nada.

Lo que depende del calendario de producción. Migrar protocolos y renovar equipos de frontera que han llegado a fin de vida. Hay que esperar ventana, y en esa ventana la ciberseguridad compite con mantenimiento mecánico y con cambios de proceso.

Además, migrar un protocolo exige que ambos extremos lo soporten, así que en muchos casos depende de renovar equipo.

¿El trabajo real? decidir en qué orden. Cuando aparecen más hallazgos que ventanas de parada, priorizar deja de ser una opción y pasa a ser lo único que se puede hacer.

Dónde entramos nosotros

Nuestro método son cuatro fases en este orden: conocer, priorizar, proteger y sostener.

Saltarse la primera es la causa de la mayoría de proyectos de seguridad OT que fracasan.

El punto de entrada habitual es el Diagnóstico OT: inventario contrastado, mapa de red real y plan de acción priorizado.

Al terminar sabes qué hay conectado a tu red de control, por dónde puede entrar alguien y qué conviene arreglar primero. Y ese entregable alimenta directamente NIS2, IEC 62443-2-1 y ENS.

Lo que viene después —segmentación, bastionado y control de accesos— se implanta por fases y dentro de las ventanas de parada que ya existen.

Si estás en ese punto, escríbenos.

---

Las ocho medidas de este artículo son las que publica el NCSC en su aviso, no una valoración nuestra de ninguna instalación concreta. Cada planta tiene su contexto, y lo que aplica en una puede no aplicar en otra. Si quieres contrastar tu caso, estaremos encantados de darte nuestra opinión.

Fuente: NCSC, "Disruptive cyber activity highlights risk from internet-exposed systems and edge devices", 27 de agosto de 2026. https://www.ncsc.gov.uk/news/disruptive-cyber-activity-highlights-risk-from-internet-exposed-systems-and-edge-devices