Oil & gas: la ciberseguridad ya es parte de la operación, no un capítulo aparte

Durante años, en oil & gas la seguridad se pensó casi exclusivamente en términos físicos: cascos, protocolos de planta, válvulas de alivio. Hoy hay que sumarle otra capa, menos visible pero igual de determinante para que la producción no se detenga: la ciberseguridad. Y no lo digo como una moda tecnológica, sino como algo que ya está pasando en cada yacimiento y cada planta que conecta sus sistemas a una red.

Gran parte de la infraestructura energética argentina todavía opera con sistemas heredados, poco monitoreados, muchos de ellos instalados hace quince o veinte años. La pregunta que me hacen seguido es si conviene modernizarlos, y mi respuesta siempre es la misma: sí, pero no se puede entrar con un martillo a romper todo. En oil & gas la prioridad es no parar la producción, así que pretender cambiar de un día para otro un SCADA o unos PLCs viejos es inviable y, de hecho, un riesgo enorme en sí mismo.

El camino no es el reemplazo masivo, sino la modernización gradual. Y todo empieza por algo mucho más simple de lo que parece: tener visibilidad. Hoy muchas empresas no saben con certeza qué tienen conectado en su red operativa. Si no sabés qué tenés, no sabés qué estás protegiendo. Por eso, desde nuestra experiencia en SONDA, el primer paso real siempre es el mismo: mapear e inventariar la red OT, segmentar IT de OT para que un problema en la oficina no frene la planta, y recién después poner capas de protección y monitoreo alrededor de lo legacy, apoyándose en estándares como el IEC 62443. No hace falta cambiar el equipo viejo mañana; se lo puede blindar mientras sigue operando. La clave está en dejar de ver la ciberseguridad como un freno y empezar a verla como la garantía de que la operación siga andando las 24 horas, sin sorpresas.

Colonial Pipeline, cinco años después, sigue siendo el caso que más enseña. Y lo primero que hay que entender es que el problema raras veces empieza en la planta: empieza en la oficina. A esa compañía no le tumbaron el SCADA directamente, le entraron por la red corporativa con una clave robada y, por miedo a que el ataque se propagara a la operación, tuvieron que frenar todo. Si una energética argentina quiere evitarse ese dolor de cabeza, las lecciones son concretas: segmentar de verdad las redes, porque si entrás por un correo corporativo no podés tener vía libre a la red operativa; dejar de lado las claves sueltas y adoptar doble factor de autenticación y control de accesos, porque ya no son negociables; asumir que en algún momento van a intentar meter una amenaza y priorizar la detección rápida, para no enterarse cuando ya está todo encriptado; y hacer simulacros reales, para saber exactamente qué hacer si cae la red de la oficina sin tener que apagar la planta por las dudas. En Argentina la pregunta ya no es si nos va a tocar, sino qué tan rápido podemos reaccionar sin frenar el negocio ni la entrega de energía.

Pensar la ciberseguridad únicamente en función de lo que puede exigir un atacante como rescate es un error que todavía veo con frecuencia. El verdadero impacto económico aparece cuando una organización ve afectada su capacidad operativa: en el sector energético, una interrupción puede representar pérdidas de cientos de miles o incluso millones de dólares por día, además de golpear la confianza de inversores, clientes y organismos reguladores. Esa realidad está cambiando la conversación en toda la región. La ciberseguridad dejó de ser un gasto tecnológico para convertirse en una inversión orientada a la continuidad operativa y la gestión del riesgo. Cuando hoy se discute esto en los directorios, la pregunta ya no es cuánto cuesta una solución de seguridad, sino cuánto le costaría al negocio una interrupción de horas o días. Vemos que los presupuestos se están reorientando bajo esa lógica, priorizando la visibilidad de activos OT, la segmentación de redes, el monitoreo continuo y las capacidades de respuesta ante incidentes. No se trata de invertir sin límites, sino de poner los recursos donde el impacto en la reducción del riesgo sea mayor.

Hay otro frente que todavía nos cuesta más: el reputacional. Los ataques híbridos, que combinan una intrusión técnica con filtración de información y campañas de desprestigio para manipular el valor de una compañía, son una preocupación creciente. Muchas empresas del sector fortalecieron sus capacidades de ciberseguridad en los últimos años, pero sigue existiendo una brecha importante en la gestión de este tipo de riesgo. Hoy no alcanza con detectar una intrusión tecnológica: también hay que estar preparados para responder rápido a intentos de manipular la percepción de inversores, clientes o reguladores. Las organizaciones más maduras son las que integran seguridad, comunicación corporativa y gestión de crisis en una misma estrategia, porque la velocidad de respuesta y una comunicación clara pueden ser tan importantes como las medidas técnicas para contener un incidente.

En materia de política pública, Argentina dio pasos importantes en los últimos años, pero todavía hay una oportunidad grande para consolidar un marco más integral de protección de infraestructuras críticas. El Gobierno viene impulsando un programa financiado por el BID para fortalecer la identificación, protección y gestión de incidentes en sectores estratégicos, y eso es una buena señal. Desde el sector privado, creo que sería positivo avanzar en estándares mínimos de ciberseguridad para operadores críticos, mecanismos de notificación de incidentes, intercambio de inteligencia de amenazas y ejercicios coordinados entre empresas y organismos públicos. La experiencia internacional lo confirma: después de Colonial Pipeline, Estados Unidos impulsó nuevas regulaciones para mejorar el reporte y la respuesta ante incidentes que afecten infraestructura crítica. Mientras ese marco sigue evolucionando acá, las empresas no deberían esperar. Pueden avanzar desde hoy en la adopción del IEC 62443, la segmentación IT/OT, el monitoreo continuo y planes de respuesta específicos para entornos industriales. La ciberseguridad de la infraestructura crítica es una responsabilidad compartida: el Estado tiene un rol clave en la coordinación y la definición de políticas, pero la resiliencia operativa se construye día a día dentro de cada organización.

La colaboración entre compañías todavía es una asignatura pendiente. Hoy existen organismos como CERT.ar y el Centro Nacional de Ciberseguridad que promueven el intercambio de información y la coordinación ante incidentes, pero el nivel de cooperación entre operadores de infraestructura crítica puede crecer mucho más. Ningún operador energético pelea solo contra las amenazas actuales, y cuanto más rápido una empresa comparte indicadores de ataque o lecciones aprendidas, más posibilidades tiene toda la industria de protegerse. En ciberseguridad, la información compartida a tiempo puede ser la diferencia entre un incidente aislado y una crisis sectorial.

Y hay un último punto que para mí pesa tanto como cualquier inversión tecnológica: el factor humano. En entornos industriales, un operador, un técnico de mantenimiento o un contratista puede convertirse involuntariamente en la puerta de entrada de un incidente si no tiene la capacitación adecuada. El error que más se repite es asumir que la ciberseguridad es responsabilidad exclusiva del área de IT. En una planta o un yacimiento, decisiones cotidianas como conectar un dispositivo no autorizado, usar credenciales compartidas o saltear un procedimiento de acceso remoto pueden generar riesgos operativos enormes. Las organizaciones más maduras entienden que la ciberseguridad industrial también es una cuestión de cultura: cuando el personal operativo reconoce las amenazas y comprende su impacto sobre la seguridad, la producción y la continuidad del negocio, la capacidad de prevención mejora de forma sustancial. Una tecnología de primer nivel puede ser vulnerada, pero una organización consciente y entrenada es mucho más difícil de comprometer.

El desafío para oil & gas en los próximos años no va a ser solo extraer y producir de manera eficiente, sino hacerlo sabiendo que cada sistema conectado es, también, un punto que hay que cuidar. Cuanto antes lo incorporemos como parte natural de la operación, menos vamos a tener que improvisar el día que nos toque responder.