En una planta química, un incidente de ciberseguridad no es un problema informático: es un asunto de seguridad de proceso. Así es como lo tratamos.
El terreno
Una química opera en continuo, con reacciones que no se detienen pulsando un botón y sustancias que exigen respeto. La última barrera entre una desviación y un accidente es el sistema instrumentado de seguridad (SIS), y por eso la pregunta que ordena todo nuestro trabajo en este sector no es «¿pueden robarnos datos?», sino «¿puede alguien tocar el control o el SIS?».
El malware Triton, dirigido precisamente contra controladores de seguridad de una petroquímica, zanjó la discusión de si esto era teórico. Desde entonces, los corporativos del sector, las aseguradoras y NIS2 —que incluye la fabricación de sustancias químicas entre sus sectores— empujan en la misma dirección: demostrar control sobre la red industrial.
Cómo trabajamos aquí
Empezamos siempre por la foto real: diagnóstico con captura pasiva, porque en una química no se escanea a lo bravo. De ahí suelen salir los mismos tres frentes: segmentar la red de proceso y aislar el SIS de todo lo demás, ordenar los accesos remotos de ingenierías y fabricantes, y vigilar con casos de uso propios de proceso continuo: cambios de lógica, forzados de señal, conexiones nuevas.
Las pruebas intrusivas, cuando tocan, se hacen en maqueta o en parada programada, con operación y con el responsable de seguridad de proceso en la mesa. En este sector, más que en ningún otro, seguridad física y ciberseguridad son la misma conversación.
Normativa que le aplica
NIS2 (anexo I, fabricación de sustancias y mezclas químicas) para la gestión de riesgos y la notificación; IEC 62443 como referencia técnica de zonas, conductos y niveles de seguridad; y su marco Seveso de seguridad industrial, con el que nuestro trabajo debe encajar sin fricción. Lo detallamos en NIS2 y IEC 62443.
