El teatro de la seguridad en la sala de control: desenmascarando la ilusión de protección en OT con nuestro partner Secomea

A simple vista, todo parece avanzado. Robusto. De última generación.

Pero si se mira más de cerca, surge otra historia:

⭕ Alertas que se acumulan sin seguimiento,

⭕ Registros que nunca se revisan,

⭕ Herramientas demasiado complejas para que cualquiera pueda utilizarlas plenamente.

🎭 Lo que se ve no es seguridad. Es teatro de seguridad.

Y esa falsa sensación de seguridad es peligrosa. Porque «cuando los equipos confunden la visibilidad con la acción, o la complejidad con el control, en realidad no tienen el control».  
– como afirma Jesper Andersen, director de Éxito del Cliente y Diseño de Soluciones de Secomea. 

Por qué el teatro de la seguridad es tan común en OT

En entornos OT, muchas organizaciones implementan medidas de seguridad por razones equivocadas, o simplemente de forma incorrecta.

Destacan dos patrones:

1. La mera presencia de un control se confunde con una prueba de protección: seguridad basada en el cumplimiento frente a seguridad basada en el riesgo.

Las organizaciones implementan controles para «marcar la casilla» de normas como NIS2, IEC 62443 o ISO 27001, en lugar de vincular los controles al riesgo operativo.

La ENISA (Agencia de la Unión Europea para la Ciberseguridad) ha advertido en múltiples informes que esta mentalidad de «cumplimiento primero» puede crear una ilusión de protección, aunque en la práctica aporte poco.

Los estudios de SANS ICS refuerzan este punto: muchos operadores industriales tienen dificultades para traducir los controles basados en marcos en resiliencia operativa.

2. La OT toma prestadas herramientas de seguridad de los marcos de TI, que no se ajustan bien a la realidad industrial

Analistas como Gartner y Forrester han señalado que muchas empresas se limitan a implementar sus herramientas de TI en entornos OT, lo que da lugar a implementaciones desalineadas. Se instalan paneles de control, SIEM y aplicaciones de supervisión, pero no se utilizan de forma activa, a menudo porque el personal carece del ancho de banda o los conocimientos necesarios. El resultado es ruido sin acción: sistemas que generan datos pero no ofrecen una protección real.

Las brechas de seguridad en el mundo real han demostrado cómo se desarrolla esto: las herramientas estaban ahí, pero los atacantes lograron entrar porque nadie actuó sobre la información que revelaban las herramientas.

Confundir presencia con eficacia

A menudo hablamos con directores de planta que han invertido mucho en nuevas tecnologías de supervisión, reflejando cada segmento de la red y rastreando cada flujo de datos.

Pero cuando se les pregunta con qué frecuencia se clasifican las alertas, admiten que no se revisa el buzón de correo electrónico con frecuencia.

¿Por qué? Demasiadas alertas. No hay suficiente personal.

El resultado: entornos perfectamente equipados, pero totalmente inseguros.

Otros ejemplos comunes son:

• Controles de acceso remoto que existen, pero que los proveedores de confianza pueden eludir fácilmente.
• Sistemas de registro sin política de retención, lo que imposibilita el análisis forense.
• Modelos de acceso basados en roles que no se han actualizado desde que se instaló el equipo hace una década.

Estos controles pueden satisfacer una auditoría sobre el papel, pero en la práctica no protegen el funcionamiento.

Cómo es la seguridad real

Como dijo Jesper Andersen:

«La seguridad OT real debería ser menos sofisticada y más aburrida. Si tus alertas no se clasifican, no sirven de nada. Si tus registros no se conservan, no sabrás qué ha pasado cuando algo vaya mal. Si tu acceso basado en roles no se ha modificado en una década, eso no es seguridad. Una medida de seguridad que no se utiliza, mantiene o prueba se convierte en un lastre en lugar de un activo».

La seguridad real no tiene que ver con paneles sofisticados o con el número de herramientas que se han implementado. Tiene que ver con los resultados:

• Detectar amenazas reales,
• Prevenir daños reales,
• Mantener la seguridad de las operaciones.

Y, a menudo, eso significa realizar un trabajo «aburrido» de forma constante: revisar las alertas, actualizar el acceso, poner a prueba las hipótesis y formar a los operadores.

Cómo pasar de la fachada a la realidad

Entonces, ¿cómo se evita caer en la trampa del teatro de la seguridad? Aquí hay cuatro pasos prácticos:

1. Audite los resultados, no la apariencia: no se limite a preguntar qué herramientas se utilizan. Pregunte qué se utiliza, revisa, mantiene y aplica. La seguridad que solo existe sobre el papel no cuenta. 

2. Adapte sus herramientas: más no siempre es mejor. Elija solo las plataformas que su equipo pueda gestionar y responder de forma realista. Comprar en exceso solo añade ruido, mientras que la falta de recursos hace que la automatización no tenga sentido. Una seguridad eficaz equilibra la capacidad con los recursos.

3. Vuelva a involucrar a las personas: forme a los operadores para que detecten y notifiquen anomalías. Proporcione a los ingenieros acceso a información de seguridad rica en contexto. Asegúrese de que entienden qué deben buscar, que tienen vías de escalamiento claras y que se sienten responsables de la seguridad. La ciberseguridad debe ser un objetivo operativo compartido, no una obligación de TI.

4. Ponga a prueba sus suposiciones: los controles suelen parecer sólidos hasta que se ponen a prueba. Realice ejercicios, simule eventos, revise los registros con los equipos que dependen de ellos. Verá rápidamente lo que funciona y lo que no. Las pruebas periódicas convierten las suposiciones en pruebas, lo que ayuda a los equipos a generar una confianza real en sus defensas.

Parecer seguro frente a estar seguro

El teatro de la seguridad es tentador porque da la sensación de progreso. Hace que la sala parezca segura, que los directivos se sientan tranquilos y que se cumplan los requisitos de auditoría. Pero a los atacantes no les importa lo impresionantes que sean sus paneles de control.

La ciberseguridad OT real no es llamativa. Es funcional, resistente y, sí, incluso aburrida, en el mejor sentido posible.

Porque la próxima vez que se produzca un incidente, lo que importará no será lo bien que se vea su configuración, sino si funciona.