¿Quién es responsable de la seguridad OT en su empresa?
Pregunte a tres líderes quién es responsable de la seguridad de la tecnología operativa (OT) y puede recibir tres respuestas distintas. TI dice que le corresponde a ingeniería. Ingeniería dice que le corresponde a TI. Operaciones supone que alguien se está encargando.
Si la respuesta tarda más de diez segundos, ese es el riesgo.
Por qué la OT queda entre dos sillas
La OT controla líneas de manufactura, sistemas de energía, agua, transporte y otros servicios esenciales. No es TI de oficina. A menudo funciona con equipos heredados que nunca se diseñaron para las amenazas actuales; los parches son limitados y, a veces, imposibles sin detener la producción. La disponibilidad y la seguridad física van primero, y la confidencialidad queda en un lejano tercer lugar.
Los equipos de TI conocen la seguridad, pero quizá no conozcan la planta. Los equipos de ingeniería conocen el proceso, pero normalmente no son dueños de las herramientas ni de las políticas de seguridad. El espacio entre ambos es justo donde nadie rinde cuentas (y donde a los atacantes les gusta instalarse).
Lo que realmente hace un responsable
Asignar un responsable de la seguridad OT no se trata de un nuevo cargo. Se trata de que se cumplan cinco tareas:
Sabe qué está conectado. No se puede proteger lo que no se ve. Primero un inventario preciso de activos, y luego segmentar la OT de la TI para reducir la superficie de ataque.
Prioriza el riesgo según el impacto operativo. No todas las vulnerabilidades importan igual. Una debilidad que podría detener una línea de producción pesa más que una que no podría. Priorice por probabilidad y severidad, no por número de CVE.
Reúne a TI, ingeniería y cumplimiento en una misma mesa. Los equipos multidisciplinarios son la única forma en que funciona la seguridad OT. El responsable hace que ese grupo sea real, con reuniones periódicas y decisiones que se cumplen.
Pone las reglas por escrito. Gobernanza significa políticas, roles y responsabilidades que la gente realmente pueda encontrar y seguir. Marcos como NIST e ISA/IEC 62443 son buenas guías; no necesita adoptar todos los controles el primer día.
Se prepara para el día malo. Un plan de respuesta a incidentes OT debe incluir a quienes operan la planta, no solo al equipo de seguridad. Pruébelo antes de necesitarlo; un ejercicio de mesa es una forma económica de descubrir quién llama a quién.
La cultura es parte del trabajo
El responsable también marca el tono. Los operadores deben sentirse cómodos reportando algo extraño en la planta sin que se convierta en culpa. Por lo que he visto, las mejores alertas tempranas vienen de las personas que saben cómo suena lo "normal" en la línea.
Por dónde empezar
Si hoy no puede nombrar al responsable, empiece por ahí. Puede ser un líder interno con el apoyo adecuado, o un CISO fraccional que conecte TI e ingeniería hasta que esté listo para contratar. En cualquier caso, dele al rol un nombre, un mandato y un lugar junto a la dirección.
Si quiere conversar sobre cómo podría verse esa responsabilidad en su entorno, ofrezco una llamada de diagnóstico gratuita de 30 minutos para organizaciones que califiquen. Reserve un horario aquí.
Dan Sorensen es líder en ciberseguridad, colaborador del Forbes Technology Council, miembro del equipo central del OWASP AI Exchange y CISO fraccional.
Comentarios