Luis Mendoza Bazán, Senior OT Cybersecurity Manager de PwC, explica cómo las amenazas digitales están siendo modificadas por la inteligencia artificial (IA) y por qué la protección de las operaciones minero energéticas requiere de una arquitectura de seguridad adecuada, protocolos de respuesta definidos y coordinación entre las áreas de operaciones, mantenimiento y tecnología.
¿Cómo la IA y la ciberseguridad están transformando la protección y continuidad de las operaciones minero energéticas?
En continuidad de negocio se busca reducir la incertidumbre ante un incidente que la ponga en riesgo. En ese sentido, lo principal es asegurar que la operación está en condición segura mientras se maneja el incidente. Como dice la regulación peruana de activos críticos nacionales: la finalidad es garantizar la continuidad de las operaciones. No se limita a determinar controles aislados, exige gestionar riesgos y demostrar que la operación puede mantenerse.
La IA todavía no ha transformado la protección del entorno de control industrial. Lo que protege a un sistema de control sigue siendo la partición en zonas, el control de los caminos de comunicación, la gestión de accesos y de cambios, y el criterio del operador. Donde sí cambió el escenario es en el lado del atacante: ha reducido el costo de entrada, automatizado la habilidad de recopilar y analizar información del objetivo antes de un ciberataque, y acortado el tiempo entre el primer acceso y el impacto. Eso reduce la ventana que tiene un Comité de Crisis para decidir. Por ello, es necesario tener las decisiones estratégicas y operativas ya predefinidas, y una arquitectura que permita ejecutarlas.
¿De qué manera la IA puede ayudar a detectar y responder a ciberamenazas en tiempo real en operaciones mineras y energéticas?
Depende del lado de la planta en el que estemos. En el entorno corporativo, hay alta variabilidad, comportamiento humano y miles de variantes de ataque, así que el uso de la estadística aporta: reduce la fatiga de alertas, acelera el triaje (priorización de alertas de seguridad) y enriquece el contexto de una investigación. Ahí el desafío es el volumen de ítems a monitorear y los comportamientos aleatorios, y es justamente lo que estas herramientas resuelven bien.
En el entorno de control, las comunicaciones entre activos tecnológicos son fijas, hay pocos protocolos y la topología (el diseño estructural de dichos activos y sus mecanismos de defensa) pasa por una gestión de cambios. En ese universo una línea base rinde más que un modelo probabilístico, y tiene una ventaja: es auditable y explicable. Conviene, además, precisar qué entendemos por tiempo real, porque en un sistema de control ese término se refiere al ciclo del proceso. Lo que una plataforma de seguridad hace es una detección cercana al evento, y la respuesta sigue siendo una decisión humana con criterio de proceso.
Donde sí aporta la IA en las operaciones es en dar contexto al evento. Cruzar lo que pasa en la red con el estado del proceso, las alarmas, el modo operativo, el acceso físico y la gestión de cambios vigente. Eso convierte una alerta aislada en un incidente coherente y priorizado; sin embargo, la calidad de ese contexto no la da el modelo de IA, sino la arquitectura: fronteras definidas, flujos esperados, propietario y criticidad son los datos de entrada. Sobre una red plana, cualquier plataforma produce alertas que nadie puede accionar, porque no se sabe qué activo está detrás, de qué función depende ni qué ocurre si se interviene.
¿Qué riesgos económicos y operativos enfrentan las empresas cuando no cuentan con una estrategia de ciberseguridad capaz de anticiparse a las amenazas?
El riesgo más caro es la incertidumbre. En los incidentes industriales de la última década, lo que detuvo la producción fue no poder demostrar con rapidez hasta dónde llegó el daño. Colonial Pipeline detuvo un ducto completo en el 2021 sin que el sistema de control hubiera sido afectado, porque no se podía acotar el alcance. Esa parada fue una decisión, no una consecuencia. Y el impacto desbordó a la empresa: la interrupción alcanzó el abastecimiento de combustible en buena parte de la costa este de los Estados Unidos.
En nuestras industrias esa decisión es todavía más difícil, porque una parada programada no se ejecuta con un comando. Detener un proceso de molienda, una fundición, el transporte de hidrocarburos o un tren de licuefacción es una secuencia que debe cumplirse de acuerdo con el manual de operaciones, con riesgos de proceso durante la parada y durante el arranque. Restablecer la operación también exige condiciones operativas y de seguridad que varían según el estado del proceso. Una organización que no puede aislar un incidente de ciberseguridad sin detener producción tiene una sola decisión disponible, que es parar todo.
El costo de esa decisión no se limita a la producción no realizada. Hay penalidades por incumplimiento de entrega, el costo de la secuencia de arranque, y días de indisponibilidad que no siempre se recuperan en el mismo período. A eso se suman dos frentes regulatorios que ya están en la agenda del sector: el marco de activos críticos nacionales y el reglamento de IA, cuyo cronograma escalonado alcanza a energía y minería hasta septiembre del 2028.
Y hay un elemento que suele quedar fuera del análisis: el integrador, es decir, la empresa o contratista que diseño e interconectó los sistemas de una planta. Es parte de la respuesta, porque en una recuperación muchas veces es quien tiene el conocimiento y las herramientas para restablecer el sistema de control. Pero esa misma condición abre un frente, porque la documentación de la arquitectura que custodia es el insumo de la recuperación y, al mismo tiempo, la descripción más completa que existe de la instalación. Definir en el contrato quién custodia esa información, por cuánto tiempo y qué ocurre al cierre del servicio es parte de la estrategia de continuidad, no un anexo legal.
¿Qué principales retos tecnológicos y culturales enfrentan las empresas al implementar soluciones de ciberseguridad con inteligencia artificial, especialmente en entornos donde convergen las redes IT (tecnologías de la información) y OT (tecnologías de la operación)?
Una precisión de inicio, porque de ella dependen varias decisiones de diseño: entre IT y OT no hay convergencia, hay interconexión controlada. Son dos mundos con prioridades opuestas. En el primero manda la confidencialidad y en el segundo mandan la disponibilidad y la seguridad de las personas. Tratarlos como si fueran uno solo es el origen de buena parte de las arquitecturas que incrementan el riesgo en lugar de reducirlo.
El reto tecnológico de fondo son tres fronteras simultáneas : qué tráfico pasa, quién puede acceder físicamente al equipo en un gabinete remoto sin personal, y qué credencial atraviesa el límite. Una zona desmilitarizada con un directorio de identidades compartido extiende el riesgo del entorno corporativo hacia el de control, porque una credencial cruza sin que ningún paquete tenga que atravesar la frontera.
Hay un segundo reto técnico que en nuestro medio se discute poco: un control de ciberseguridad mal diseñado puede ser el incidente. Un escaneo activo sobre un controlador, un agente de protección en una estación de ingeniería durante una maniobra crítica o una política de bloqueo de cuenta en sala de control pueden causar más daño que la vulnerabilidad que pretendían cerrar. Ninguna medida debería entrar al entorno de control sin una evaluación previa de su impacto en el proceso, firmada por quien responde por él.
El reto cultural es de quién toma la decisión y con qué sustento. En una crisis hay que decidir hasta dónde se corta y si se detiene el proceso físico, y esa segunda decisión no puede recaer solo en el área de tecnología, porque quién responde por la seguridad del proceso es quien debe decidir sobre su continuidad.
Queda un frente que se está abriendo: la IA ya está entrando a las plantas con copilotos de ingeniería, agentes con acceso a datos de proceso y plataformas de mantenimiento del fabricante. Cada una de esas rutas es un camino de comunicación nuevo. El dueño del activo tiene que verificar que pasaron por gestión de cambios y que están documentadas en los diagramas y procedimientos vigentes.
¿Qué mensaje principal le gustaría que se lleven los ejecutivos que asistan a su conferencia en el TICAR sobre el papel de la IA en la ciberseguridad?
Cuando se active el Comité de Crisis, van a tener que responderle al gerente general si pueden mantener la operación en condición segura, o llevarla a un estado seguro, mientras manejan el incidente. Por consiguiente, van a tener que responder con evidencia producida por la arquitectura, no por una herramienta. Construir esa arquitectura exige el trabajo conjunto de operaciones, mantenimiento, tecnología y seguridad, porque ninguna de esas áreas tiene sola la respuesta.
Con las unidades de proceso separadas en zonas y con los caminos de comunicación declarados, existen tantas decisiones como caminos. Esto nos lleva a una conclusión: con una red plana existe una sola decisión posible, que es detener todo.
Sobre la IA, puede aportar donde el problema es de volumen y ambigüedad: ahí conviene usarla. En cambio, en el entorno de control, lo que primero hay que resolver es la arquitectura, y la mejor forma de establecerla es a través del estándar ISA/IEC 62443.
Me gustaría que [tras la conferencia del TICAR] se lleven tres preguntas que pueden plantear en su comité el lunes siguiente: ¿qué caminos de comunicación existen realmente en sus procesos industriales?, ¿quién firma el corte de cada uno durante un incidente, con nombre y con criterio escrito? y ¿cuánto tiempo puede operar el proceso industrial si se aísla por completo del entorno corporativo? En la mayoría de los casos, esas preguntas no tienen respuesta inmediata. Y esa es, por sí misma, la primera conclusión.