Seguridad en automatización industrial: Por qué debe ser máxima prioridad

Tras el COVID-19, la automatización industrial se ha acelerado como nunca. Si bien este cambio impulsa la eficiencia, también introduce nuevos riesgos de seguridad que pueden poner en peligro operaciones críticas.

«Cuando se trata de automatización y sistemas de control industrial (ICS), no hay duda de que la prisa genera más que desperdicio», advierte Dan Miklovic, analista en Analyst Syndicate. «Puede conducir a resultados catastróficos o incluso mortales».

Históricamente, la supervisión humana mantenía funcionando sistemas críticos. Chris Catterton, director de ingeniería de soluciones en ONE Tech, señala que el monitoreo automatizado ahora supera las verificaciones manuales —detectando un valor de torque unas libras fuera de rango o un chirrido de rodamiento de alta frecuencia que el oído humano no puede escuchar.

Sin embargo, descuidar la seguridad en la automatización puede ser peligroso. La electrónica de aficionados simplifica el control de máquinas pero también expone superficies de ataque familiares. Miklovic advierte que soluciones plug-and-play sin seguridad integrada abren una compuerta de vulnerabilidades. Catterton añade que tales productos pueden convertirse en un patio de juegos para ciberdelincuentes.

Despliegues de IA requieren supervisión cuidadosa

Apresurar la IA en flujos de trabajo industriales es arriesgado, especialmente cuando el talento en ciencia de datos escasea y operadores experimentados son marginados por restricciones de COVID-19. Miklovic subraya que los entrenadores a menudo pasan por alto información crítica de seguridad, llevando a comportamiento inseguro de la IA.

Incluso en condiciones óptimas, el software puede contener 1-10 errores por cada 1.000 líneas de código —véase «The Fifth Domain». Sistemas críticos como naves espaciales aún exhiben esta tasa de defectos. Con millones de líneas de código, el margen de error se reduce; el fallo puede ser catastrófico.

La historia ofrece recordatorios contundentes. El desastre del Ariane 5 en 1996 costó unos 300 millones de dólares cuando software reutilizado no manejó la mayor velocidad de lanzamiento del cohete. El aterrizaje del Boeing 737 Max en 2019 costó a Boeing 18.000 millones tras externalizar software a desarrolladores de 9 dólares la hora, provocando dos accidentes fatales con 346 víctimas.

El acceso remoto amplía la superficie de ataque

Expandir el acceso remoto, a menudo mediante herramientas como Zoom, puede exponer secretos comerciales y datos operativos a ciberdelincuentes. Miklovic señala que la exposición a internet público de sistemas de control es un «objetivo de ataque conocido». Mark Carrigan, COO de PAS Global, señala que tales sistemas actúan como última línea de defensa para procesos que operan más allá de sus límites, y por tanto deben asegurarse firmemente.

Los ataques de phishing también aumentan a medida que más empleados obtienen acceso privilegiado. Carrigan advierte que campañas de ingeniería social pueden cosechar credenciales para infiltrar entornos de control a través de puertas de enlace remotas cada vez más accesibles.

Panorama de amenazas específico por sector

Infraestructura crítica —nuclear, petróleo y plantas químicas— típicamente tiene protocolos establecidos y supervisión regulatoria, haciéndolas menos propensas a cambios rápidos. Las utilities energéticas, por ejemplo, deben cumplir estándares de ciberseguridad FERC y NERC.

Por el contrario, sistemas de HVAC, iluminación y planta han sido gestionados remotamente por mucho tiempo y pueden verse menos afectados por mandatos de distanciamiento social. El «nivel medio» de operaciones industriales está experimentando la adopción más rápida de automatización y trabajo remoto, impulsado por presiones de la pandemia, dice el cofundador de Analyst Syndicate, French Caldwell.

Consideraciones estratégicas

Cada organización debe equilibrar los beneficios de la digitalización contra los riesgos de despliegue lento o apresurado. «La automatización se está volviendo inseparable de los activos físicos», dice Nitin Kumar, CEO de Appnomic. «No integrar procesos digitales adecuados creará un modelo operativo ineficiente».

La colaboración entre ingeniería y TI es esencial, especialmente durante crisis. Caldwell insta a equipos conjuntos a alinear fiabilidad y seguridad con la criticidad del sistema. Post-pandemia, las empresas tendrán ancho de banda para reevaluar y expandir automatización y acceso remoto, mejorando la resiliencia ante contingencias imprevistas.

Desde una perspectiva empresarial, los interesados exigen mayor resiliencia ante la incertidumbre. Kumar señala que los accionistas seguirán presionando por automatización robusta, mientras que la seguridad debe integrarse en el diseño desde el día uno. Sean Peasley, socio en Deloitte, enfatiza que «la seguridad debería ser un requisito funcional desde el principio», no una reflexión posterior.

En resumen, la automatización industrial puede ofrecer ganancias notables —pero solo si la seguridad está integrada en cada fase del despliegue. Planificación cuidadosa, pruebas rigurosas y colaboración interdepartamental son las claves para salvaguardar operaciones mientras se cosechan los beneficios de automatización, IA y acceso remoto.