El dato: 26 actividades para blindar la planta
La Agencia de Seguridad Nacional de Estados Unidos (NSA, por sus siglas en inglés) publicó el 8 de octubre de 2026 una ficha técnica para aplicar confianza cero en la tecnología de operación (OT), es decir, los controladores, pantallas, redes y sistemas que mueven las máquinas de una planta (NSA, 2026). Confianza cero significa «nunca confiar, siempre verificar»: cada usuario, equipo y conexión se comprueba de forma continua, aunque ya esté dentro de la red.
Según Ribeiro (2026) y Security Boulevard (2026), el documento reúne 26 actividades de alto impacto. Algunas de ellas:
| Área | Qué propone |
|---|---|
| Internet | Quitar conexiones directas a la red de planta donde sea posible |
| Acceso remoto | Doble factor resistente al phishing (robo de claves con correos falsos) y mínimo privilegio |
| Inventario | Cada activo con dueño y clasificado por criticidad |
| Red | Segmentar y monitorear |
| Controladores | Cambiar contraseñas de fábrica de los PLC (controladores lógicos programables) y desactivar servicios inseguros |
| Parches | Probar primero y parchar antes lo más expuesto |
Contexto: equipos viejos que no se pueden cambiar
La guía parte de que muchas plantas tienen equipos que no admiten funciones de seguridad modernas. Por eso propone rodearlos de controles compensatorios en lugar de reemplazarlos, y validar con métodos pasivos, como auditorías de configuración y monitoreo de red, dejando las pruebas activas para paros programados (Ribeiro, 2026). La NSA advierte que hay atacantes que ya usan inteligencia artificial para automatizar el reconocimiento de objetivos (Cohen, 2026).
Qué significa para la industria
- Para mantenimiento y automatización: cambiar las contraseñas de fábrica de PLC y pantallas de operación (HMI, interfaz hombre-máquina) es una acción de bajo costo.
- Para sistemas y TI: cerrar accesos remotos sin doble factor, sobre todo los de proveedores.
- Para la dirección: asignar un responsable al inventario de equipos de planta y a su nivel de criticidad.
Lo que sigue
La guía está dirigida a sistemas de defensa de Estados Unidos, pero su lista puede adaptarse como revisión interna en cualquier planta. Industridea dará seguimiento a guías similares para la industria.
Opinión del Editor: no hace falta aplicar las 26 actividades de golpe. Empezar por contraseñas de fábrica, accesos remotos e inventario ya reduce buena parte del riesgo.
