“En 2026 habrá tres puntos críticos, la seguridad de identidades, Zero Trust para OT y la gestión amenazas”, Fabrice Delouche, CyberArk

 

El de la ciberseguridad es un segmento que marca claras tendencias cada año, tanto por las recurrentes y cada día más peligrosas amenazas que no paran de surgir, como por el esfuerzo de la industria para proteger a las organizaciones y sus activos. Una de estas tendencias apuntan al incremento del interés de los ciberdelincuentes por los entornos manufactureros. Fabrice Delouche, director EMEA Broad Manufacturing vertical de CyberArk, nos cuenta las claves.

 

¿Cómo describiría el estado actual de la ciberseguridad en las plantas de manufactura, que se están volviendo cada vez más automatizadas?

El sector industrial está pasando de estar mayormente aislado a estar totalmente conectado, con numerosas operaciones híbridas de IT, OT e IoT. La Industria 4.0 está acelerando la automatización, pero también está exponiendo sistemas OT heredados que nunca fueron diseñados para la ciberseguridad. A medida que las máquinas incorporan más capacidades de IT — acceso remoto, conectividad en la nube, módulos de inteligencia artificial —, la superficie de ataque se expande dramáticamente. Por eso, hoy en día las empresas industriales enfrentan tres realidades: OT es ahora un objetivo principal; las intrusiones basadas en identidad provocan interrupciones reales en la producción; persisten brechas de visibilidad y madurez en segmentación, acceso privilegiado y monitorización. La convergencia de IT y OT significa que la seguridad de la identidad, la segmentación y la gobernanza del acceso remoto son tan importantes como la seguridad física.

 

¿Qué vectores de ataque son más frecuentes en OT hoy?

Los grupos de ransomware utilizan cada vez más puntos de entrada de IT para alcanzar OT. Los vectores más comunes son las herramientas de acceso remoto con autenticación débil, el phishing dirigido al personal de OT, que lleva al robo de credenciales, el compromiso de la cadena de suministro, las vulnerabilidades SCADA/ICS sin parches, los servicios expuestos a Internet con credenciales por defecto y el uso de medios de almacenamiento extraíbles, como memorias USB. Los actores de ransomware combinan compromisos tradicionales de IT con reconocimiento específico de OT, buscando interrumpir la producción para maximizar su ventaja.

 

NIS2 obliga a las empresas manufactureras a re-evaluar la seguridad. ¿En qué áreas está menos preparada la industria?

Fundamentalmente, destacan en tres áreas: la gobernanza de identidad en OT, donde las cuentas compartidas y la falta de MFA dificultan el control del riesgo; el riesgo de terceros y la cadena de suministro, ya que la mayoría de los fabricantes carece de procesos estructurados de aseguramiento; y la monitorización y respuesta a incidentes, pues muchas plantas industriales no pueden detectar comportamientos anómalos ni cumplir con los estrictos plazos de reporte que exige NIS2.

 

¿Cómo se complementan marcos como IEC 62443 y GDPR en plantas donde coexisten datos operativos y personales?

IEC 62443 protege sistemas de automatización y control industrial mediante segmentación y controles de ciclo de vida, mientras que GDPR regula el procesamiento de datos personales de operadores, trabajadores y contratistas. En la práctica, IEC 62443 aísla procesos industriales y GDPR añade controles sobre cualquier dato personal expuesto. Juntos forman un modelo de gobernanza unificado donde la seguridad operacional de las máquinas y la privacidad de las personas se refuerzan mutuamente.

 

¿Qué impacto tendrá Cyber Resilience Act de la UE en maquinaria y equipos industriales?

CRA introduce requisitos obligatorios de seguridad por diseño para todos los productos conectados, incluidos robots, PLC, sensores, software y pasarelas. Los proveedores deberán ofrecer mecanismos seguros de actualización y gestión de vulnerabilidades, los fabricantes necesitarán criterios de adquisición más estrictos y los productos no conformes serán excluidos del mercado de la UE. Los dispositivos industriales críticos tendrán evaluaciones reforzadas, afectando tiempos de adquisición e integración.

 

¿Cuál es el mayor desafío en la gestión de identidades humanas y de máquinas en IT, OT e IoT?

El desafío es la explosión de identidades no humanas: robots, sensores, servicios, herramientas de ingeniería, API y agentes automatizados. El IAM tradicional fue diseñado para empleados, no para miles de componentes autónomos que se autentifican entre sí. Sin una gestión centralizada de secretos, rotación de credenciales y control de privilegios, las identidades de máquina se convierten en objetivos fáciles para los ciberdelincuentes.

 

¿Por qué proteger credenciales y privilegios se ha vuelto tan crítico en entornos industriales?

Porque cada acción crítica en OT está controlada por una credencial. Una sola cuenta privilegiada comprometida puede detener una línea de producción, alterar parámetros, desactivar sistemas de seguridad o permitir que el ransomware cifre IT y OT. Esto hace que la Gestión de Acceso Privilegiado sea esencial para la continuidad operativa y la seguridad.

 

¿Qué papel juegan la automatización y la robótica en la expansión de la superficie de ataque?

La automatización y la robótica introducen endpoints altamente conectados con firmware, API y canales de acceso remoto, cadenas de suministro complejas y pipelines de actualización y telemetría en la nube que pueden ser comprometidos. Por ello, cada robot o sistema autónomo se convierte en un nuevo punto de entrada si no está segmentado y asegurado.

 

¿Qué tipos de ataques impulsados por IA están surgiendo en el sector industrial?

La inteligencia artificial generativa aumenta la escala y la precisión de los ataques. Últimamente estamos observando campañas de phishing hiperrealistas, escaneo automatizado de vulnerabilidades en protocolos industriales, malware que adapta su comportamiento en tiempo real, así como los primeros indicios de instrucciones de voz falsas dirigidas a procesos de mantenimiento remoto.

 

¿Cómo pueden los fabricantes equilibrar innovación y riesgos de seguridad crecientes?

Por medio de la adopción de principios de seguridad por diseño como parte de su estrategia de transformación. Esto incluye segmentar redes IT y OT con principios de Zero Trust, aplicar privilegios mínimos a cada identidad humana y de máquina, usar monitorización continua y detección de anomalías e incluir revisiones de seguridad en cada iniciativa de innovación.

 

De cara a 2026, ¿qué prácticas o tecnologías son esenciales para fortalecer la ciberresiliencia?

En 2026 habrá tres pilares que serán críticos: plataformas de seguridad de identidad para humanos y máquinas; Zero Trust para OT con aislamiento de activos críticos y la gestión continua de exposición a amenazas (CTEM). Además, el parcheo automatizado, la gobernanza del acceso remoto y las estaciones de trabajo de ingeniería seguras también serán fundamentales.

 

Considerando estas tendencias, ¿cuál es la propuesta de CyberArk?

CyberArk posiciona la seguridad de identidad como la base de la ciberresiliencia en el sector industrial. Nuestra plataforma ofrece gestión de acceso privilegiado para IT, OT e IoT, gestión de secretos para identidades de máquinas, MFA adaptativa y controles basados en políticas con acceso Just-In-Time. Además de visibilidad y cumplimiento unificados frente a NIS2, IEC 62443 y el Cyber Resilience Act.