Ciberseguridad y Pentesting Industrial (OT/ICS)
En una planta industrial, un incidente de seguridad no se mide en horas de web caída: se mide en producción parada, líneas detenidas y, en el peor caso, en seguridad física. Auditamos redes OT y la convergencia con IT sin detener la producción.
Por qué este sector necesita una auditoría distinta
La industria ha vivido en pocos años lo que el mundo IT vivió en veinte: conectividad. Se ha conectado la planta a la oficina, se ha abierto el acceso remoto para mantenimiento y se han expuesto paneles de control para telemetría. El problema es que los sistemas OT —PLCs, SCADA, HMIs— se diseñaron para funcionar décadas sin actualizar, no para defenderse de un atacante. Cuando esa tecnología se conecta, hereda una superficie de ataque para la que nunca se pensó, y a menudo comparte red con los sistemas de oficina donde el atacante ya puede estar.
Qué se pone en juego
- PLCs, HMIs y sistemas SCADA
- Redes industriales y su separación (o no) de la red corporativa
- Accesos remotos de mantenimiento y de proveedores de la maquinaria
- Telemetría y pasarelas IoT/IIoT conectadas a la nube
- Sistemas de control de acceso físico y de videovigilancia
Superficie de ataque habitual
Convergencia IT/OT sin segmentación: la red de oficina puede alcanzar la red industrial. Un atacante que entra por el correo acaba al lado del PLC.
Acceso remoto de mantenimiento permanente: el proveedor de la máquina tiene un VPN o un acceso abierto que nadie revisa, sin segundo factor y sin registro.
Equipos OT sin parchear por imposibilidad: sistemas operativos antiguos y firmware que no se puede actualizar sin romper la certificación o parar la línea.
Protocolos industriales sin autenticación: Modbus y otros protocolos de campo no comprueban quién manda la orden. Cualquiera con acceso a la red puede enviar comandos.
Ransomware que detiene la producción: el escenario que más daño hace al sector, porque la parada tiene coste directo por minuto.
Servicios para industria y entornos ot/ics
Estos son los servicios que más se contratan en este sector. Se pueden combinar según el alcance. Si vas a pedir presupuesto, empieza por ver cómo contratar un pentesting.
Lo que se encuentra de verdad en una auditoría de este sector
No son casos teóricos de un catálogo: son los tipos de hallazgo que aparecen una y otra vez.
De la oficina al PLC
La red de oficina y la industrial comparten segmento o están enlazadas sin filtrado. Un portátil infectado en administración puede alcanzar el PLC. La segmentación es el control que más reduce el riesgo, y el que más falta.
Acceso de mantenimiento olvidado
El fabricante de la máquina dejó un acceso remoto durante la puesta en marcha y nunca se retiró. Sin MFA, sin registro de actividad, con permisos amplios. Es una entrada permanente a la planta.
Comando directo al equipo de campo
Un protocolo industrial sin autenticación permite enviar órdenes al PLC desde cualquier punto de la red OT. No hace falta ninguna vulnerabilidad: el protocolo no se diseñó para verificar identidad.
Normativas que os van a pedir
Estas son las que aparecen con más frecuencia en contratos, licitaciones y auditorías de este sector, y la razón por la que suelen exigirlas.
NIS2
Relevante porque la industria manufacturera y la energía son sectores de alta criticidad dentro de la directiva.
IEC 62443
Relevante porque es el estándar de referencia para la seguridad de sistemas de control industrial.
ENS
Relevante porque exigido a proveedores industriales de la administración y de infraestructura crítica.
ISO 27001
Relevante porque cada vez más pedido por clientes corporativos y aseguradoras.
Hacemos la prueba técnica y el informe que tu auditor necesita. No somos entidad certificadora ni asesoría de cumplimiento.
¿Tu proyecto entra en este sector?
Cuéntanos qué quieres auditar y te enviamos un presupuesto detallado en menos de 24 horas, sin coste y sin compromiso.
Solicitar auditoríaCiberseguridad en otros sectores
Cada sector tiene su propia superficie de ataque y sus normativas. Estas son las que trabajamos.
Preguntas frecuentes
¿Las pruebas pueden parar la producción?
¿Auditáis también la red de oficina o solo la planta?
¿Necesita tu empresa una auditoría de seguridad?
Presupuesto personalizado en menos de 24 horas. Consultoría inicial gratuita. Sin compromiso.