El 1 de octubre de 2026, el Instituto Nacional de Estándares y Tecnología de Estados Unidos —NIST— publicó nuevas recomendaciones para proteger los entornos de tecnología operacional utilizados en agua y saneamiento. La publicación responde a ataques recientes contra controladores industriales conectados a Internet y plantea una advertencia que excede al sector informático: una intrusión digital puede alterar un proceso físico.
Las plantas de agua suelen imaginarse como conjuntos de bombas, cañerías, depósitos y válvulas. Sin embargo, gran parte de esa infraestructura es administrada mediante sistemas SCADA, controladores lógicos programables —PLC—, interfaces de operación, sensores y conexiones remotas.
La digitalización permite observar niveles, presión, calidad, consumo y funcionamiento de estaciones distantes. También facilita que empleados, contratistas y proveedores realicen diagnósticos sin trasladarse. Pero esa misma conectividad crea nuevas rutas hacia activos que controlan procesos esenciales.
Cuando la ciberseguridad produce consecuencias físicas
Un ataque contra una oficina puede afectar documentos, correos o sistemas administrativos. En tecnología operacional, el objetivo digital interactúa con una función física. Dependiendo de la configuración, un acceso no autorizado puede modificar parámetros, interrumpir monitoreo, bloquear al operador o alterar bombeo, presión y tratamiento.
Las autoridades estadounidenses informaron durante 2026 episodios contra controladores expuestos a Internet. Entre los efectos observados se mencionaron pérdida de presión e inundaciones. Esto no significa que todos los sistemas de agua estén igualmente expuestos ni que esos incidentes se hayan reproducido en Argentina. El impacto depende del dispositivo, su función, la arquitectura, las credenciales y la posibilidad de pasar a operación manual.
La lección, sin embargo, es aplicable: cuando un activo físico depende de un sistema conectado, la protección patrimonial ya no puede dividirse entre “seguridad informática” y “seguridad de instalaciones”.
El acceso remoto es útil, pero debe estar controlado
Las organizaciones necesitan conectividad para operar instalaciones distribuidas, recibir soporte técnico y reducir tiempos de respuesta. El problema no es el acceso remoto en sí mismo, sino cómo está diseñado y administrado.
Un controlador expuesto directamente a Internet, una contraseña predeterminada, una cuenta compartida o un proveedor con permisos permanentes pueden transformar una herramienta de eficiencia en una vulnerabilidad.
NIST propone enfoques de acceso remoto seguro que combinan varias barreras: firewalls, segmentación, servidores intermediarios, autenticación multifactor, cifrado, permisos basados en roles y registro de actividad. Ningún control aislado resuelve el problema. La protección surge de la arquitectura completa.
El primer riesgo es no saber qué está conectado
Una organización no puede proteger un dispositivo que desconoce. En muchas instalaciones, los activos operacionales se incorporaron durante años mediante ampliaciones, reparaciones, proveedores distintos y soluciones temporales que terminaron volviéndose permanentes.
El inventario debe identificar:
- controladores, sensores, interfaces y servidores;
- ubicación y función operacional;
- versión de firmware y estado de actualización;
- conexiones con otras redes y servicios externos;
- responsables internos y proveedores autorizados;
- credenciales y mecanismos de autenticación;
- consecuencias físicas de una falla o manipulación;
- procedimiento alternativo de operación.
Este trabajo no puede limitarse a un listado informático. Debe incorporar planos, accesos físicos, tableros, gabinetes, estaciones remotas, cámaras, alarmas, energía de respaldo y dependencias con terceros.
Ocho controles para reducir el riesgo
1. Eliminar la exposición directa
Los PLC y otros equipos operacionales no deberían quedar accesibles directamente desde Internet. Cuando la conexión sea necesaria, debe pasar por canales autenticados, monitoreados y controlados.
2. Separar IT y OT
La red administrativa y la red que controla procesos físicos deben estar segmentadas. La segmentación limita el movimiento de un atacante y permite aplicar reglas específicas a cada entorno.
3. Utilizar un acceso intermediado
Servidores de salto o bastión permiten concentrar el acceso remoto, registrar sesiones y evitar conexiones directas entre el exterior y el activo crítico.
4. Identificar a cada persona y proveedor
Las cuentas compartidas eliminan trazabilidad. Cada acceso debe estar asociado con una identidad, una finalidad y un responsable. Los permisos de contratistas deberían activarse solamente durante la tarea autorizada.
5. Aplicar mínimo privilegio
Un técnico que necesita observar variables no debería poder modificar configuraciones. Los privilegios deben limitarse por activo, función y duración.
6. Monitorear cambios y anomalías
Intentos de acceso fuera de horario, modificaciones de contraseña, alteraciones de direcciones, conexiones desde ubicaciones inusuales o cambios de configuración deben producir alertas operativas.
7. Preparar la operación manual
La continuidad no consiste únicamente en recuperar servidores. La organización debe conocer qué procesos pueden operarse manualmente, durante cuánto tiempo y con qué personal, instrumentos y comunicaciones.
8. Practicar la respuesta
Los ejercicios deben reunir seguridad, mantenimiento, operaciones, IT, OT, ambiente, comunicaciones y dirección. Un incidente real no respetará los límites de cada área.
Impacto patrimonial y sectores afectados
La ciberseguridad del agua interesa a prestadores públicos, pero también a organizaciones que administran su propio abastecimiento, bombeo, tratamiento o efluentes.
Una urbanización puede depender de bombas, cisternas, pozos y sistemas de riego automatizados. Una industria necesita agua para producción, refrigeración, limpieza o seguridad contra incendios. Un hospital requiere continuidad sanitaria. Un parque industrial puede compartir instalaciones de tratamiento. Un establecimiento agropecuario depende de sistemas distribuidos y estaciones remotas.
Una interrupción puede generar daño de equipos, detención productiva, incumplimientos ambientales, pérdida de mercadería, afectación sanitaria, responsabilidad frente a terceros y deterioro reputacional. En ciertos casos, el impacto se propaga hacia energía, comunicaciones, transporte o servicios de emergencia.
Por eso, la evaluación debe comenzar por la criticidad del proceso y no por el precio del dispositivo.
Hechos, proyecciones e interpretación
Hecho confirmado: NIST publicó el 1 de octubre recomendaciones y arquitecturas de referencia para proteger accesos remotos en sistemas de agua y saneamiento. Las autoridades estadounidenses habían informado ataques contra PLC expuestos y efectos operacionales en algunas instalaciones.
Limitación: los casos y cifras corresponden principalmente a Estados Unidos. No constituyen evidencia de una incidencia equivalente en Argentina ni permiten afirmar que toda conexión remota sea insegura.
Proyección razonable: la automatización y la administración remota continuarán creciendo porque mejoran eficiencia, diagnóstico y cobertura de activos dispersos. En consecuencia, también aumentará la dependencia de identidades, redes, proveedores y configuraciones seguras.
Interpretación RISYKEN: la unidad de protección ya no es solamente la planta física ni la red informática. Es el sistema completo formado por personas, accesos, dispositivos, procesos, proveedores y capacidad de recuperación.
Una oportunidad para la seguridad convergente
RISYKEN ANTICIPA propone una Evaluación Convergente de Infraestructura Hídrica y OT aplicable a municipios, industrias, urbanizaciones, hospitales y establecimientos con instalaciones propias.
La evaluación debe integrar inventario y criticidad de activos; accesos físicos y remotos; segmentación; gestión de contratistas; videoverificación; energía de respaldo; alarmas; respuesta operacional; continuidad y comunicación de crisis.
El objetivo no es desconectar indiscriminadamente la operación ni frenar la automatización. Es asegurar que cada conexión tenga una finalidad, una identidad, un límite y una respuesta prevista si deja de ser confiable.
La pregunta final es sencilla: ¿su organización sabe qué sistemas controlan el agua, quién puede acceder a ellos y cómo continuará operando si esa conexión se ve comprometida?
RISYKEN SOLUTIONS acompaña a organizaciones públicas y privadas en la identificación de amenazas, evaluación de infraestructura crítica y diseño de controles físicos, electrónicos y digitales orientados a proteger personas, activos y continuidad operacional.