El dato: tres R para la infraestructura crítica
Octubre es el Mes de Concientización sobre Ciberseguridad. En 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA, por sus siglas en inglés) dedicó la campaña a la infraestructura crítica con el lema “Securing the Next 250” (asegurar los próximos 250 años) y pidió aplicar tres R (Industrial Cyber, 2026; HIPAA Journal, 2026):
| R | Qué significa | Ejemplo en planta |
|---|---|---|
| Reducir | Disminuir la superficie de ataque, es decir, las puertas de entrada | Cerrar accesos remotos que nadie usa |
| Reemplazar | Cambiar equipos y programas que ya no reciben actualizaciones | Computadoras de línea con sistemas sin soporte |
| Recuperar | Volver a operar rápido después de un incidente | Respaldos probados y plan de arranque manual |
Para el público general, la campaña usa el mensaje “No se lo pongas fácil”, con cuatro pasos: contraseñas fuertes con un gestor de contraseñas, autenticación multifactor (un segundo código además de la contraseña), reconocer y reportar correos falsos, y mantener el software actualizado (CISA, 2026; N+, 2026).
Contexto: la planta también es infraestructura
La tecnología operativa (OT) son los equipos que controlan máquinas y procesos: controladores, pantallas de operación y redes de planta. Para estos entornos, CISA recomienda registrar los eventos para detectar intentos de acceso, alinear los respaldos con cuánta información se puede perder sin afectar la operación, cifrar datos y equipos, ensayar planes de respuesta al secuestro de datos (ransomware) y tener comunicaciones alternas si los sistemas se caen (Industrial Cyber, 2026).
En México, el laboratorio de amenazas FortiGuard Labs, de la empresa Fortinet, reportó 6,800 millones de eventos maliciosos en el primer semestre de 2026, y señaló a la manufactura como un sector especialmente expuesto (La Razón, 2026).
Qué significa para la industria
- Para la planta: hacer un inventario de equipos conectados y marcar los que ya no reciben actualizaciones es el primer paso para “reducir” y “reemplazar”.
- Para los trabajadores: la autenticación multifactor y saber reportar un correo sospechoso protegen a toda la línea, no solo a la oficina.
- Para las decisiones: un respaldo que nunca se ha restaurado no es un plan; programar una prueba de recuperación este mes da una medida real del tiempo de paro.
Lo que sigue
CISA publica durante octubre materiales gratuitos en su sitio. Industridea dará seguimiento a las guías aplicables a plantas en México.
Opinión del Editor: las tres R son útiles porque se pueden medir: cuántos accesos se cerraron, cuántos equipos sin soporte quedan y en cuántas horas vuelve a producir la línea. Octubre es buen momento para tener esos tres números.
