Madurez · Seguridad de las infraestructuras críticas e industriales

La seguridad de las infraestructuras críticas e industriales no se limita a la ciberseguridad de las redes de automatización. Reúne la segmentación entre la informática de gestión y los sistemas industriales, el control de los accesos remotos de mantenimiento, el inventario de los autómatas y equipos de control, la seguridad física de los recintos técnicos, la detección de eventos en las redes OT, la continuidad y la recuperación de la explotación, y por último la gestión de los proveedores que intervienen en las líneas. IEC 62443 estructura la parte de sistemas de control, mientras que NIS2 y la directiva sobre la resiliencia de las entidades críticas añaden obligaciones de gobernanza y de notificación.

En la práctica, el pilotaje choca con la realidad de las sedes. Las instalaciones cuentan con generaciones de equipos distintas, vidas útiles de veinte años o más, y ventanas de parada escasas. Tres preguntas quedaban sin respuesta documentada en la mayoría de los grupos industriales. ¿Quién posee el inventario actualizado de los autómatas, los variadores y los puestos de supervisión, y con qué frecuencia se actualiza? ¿Cómo se abren, se rastrean y se cierran los accesos de teleasistencia de los integradores? ¿Qué ocurre en la práctica si una supervisión queda indisponible en plena campaña de producción?

Conviene disipar una confusión frecuente: la seguridad industrial y la seguridad funcional no coinciden. La seguridad funcional protege a las personas y al entorno de un fallo de la instalación, con sus propias exigencias de niveles de seguridad. La seguridad en el sentido de este marco protege la instalación de actos intencionados o de eventos externos. Ambas se relacionan, sobre todo cuando una medida de ciberseguridad afecta a una función instrumentada de seguridad, pero no comparten ni los mismos actores ni las mismas evidencias. Muchas organizaciones las tratan en un mismo comité sin distinguir las decisiones.

Una auditoría de conformidad concluye con un veredicto binario: la exigencia se cumple o no se cumple. El diagnóstico de madurez responde a otra pregunta. ¿En qué nivel de dominio se encuentra cada sede, cuál es la dispersión entre las unidades de negocio, y qué acción concreta hace pasar una práctica del nivel documentado al nivel aplicado? La puntuación por ámbito y el objetivo generan la brecha, la brecha genera el plan de acción, y la IA agrupa estas acciones en una hoja de ruta priorizada, reutilizable para preparar una auditoría reglamentaria.

El marco está listo para su uso en Datamensio y sigue siendo adaptable. Usted ajusta los ámbitos según sus líneas de actividad, proceso continuo, manufactura o redes, y la IA afina las preguntas y los niveles según el método CMMI. También puede construir una versión propia a partir de sus documentos: política de seguridad industrial, planos de zonas y conductos, pliegos de condiciones de integración.