Ciberseguridad 
La gobernanza de la IA reduce los riesgos de seguridad al aplicar el acceso con privilegios mínimos, proteger los datos y las credenciales que manejan los
Publicado el septiembre 23, 2026
La actividad cibernética maliciosa apuntó contra la tecnología de monitoreo y control remoto en más de 30 sistemas comunitarios de agua en todo Minnesota a finales de julio de 2026, y posteriormente se reportaron ciberataques al sector del agua en al menos 12 estados. Sin embargo, las debilidades subyacentes de seguridad de OT no son exclusivas del sector del agua. Las empresas de servicios públicos de energía, las plantas de fabricación, los sistemas de transporte y las instalaciones del sector público utilizan los mismos tipos de Tecnología Operacional (OT) y dependen de integradores externos similares para el mantenimiento, usando equipos que se instalaron antes de que alguien pensara que se podía acceder a ellos desde internet. La infraestructura crítica necesita seguridad de confianza cero porque estos entornos aún otorgan acceso en función de dónde reside un usuario o dispositivo en la red, y los atacantes ahora están aprovechando esa suposición.
Continúe leyendo para descubrir cómo los modelos de seguridad tradicionales se han vuelto insuficientes, por qué la IA acelera la velocidad a la que los atacantes pueden encontrar debilidades de OT y cómo aplicar la confianza cero a los entornos de OT para proteger la infraestructura crítica.
En qué falla el modelo de seguridad tradicional en infraestructuras críticas
Los controladores expuestos a Internet, las credenciales predeterminadas y el acceso permanente de proveedores son debilidades conocidas, y ninguna requiere tecnología sofisticada ni experiencia para explotarse porque se basan en suposiciones de confianza. Una red plana o ligeramente segmentada asume que todo lo que ya está dentro pertenece allí; una estación de trabajo de ingeniería con alcance a todos los controladores asume que la persona frente al teclado es quien debería estar allí. De manera similar, una contraseña predeterminada asume que el dispositivo se encuentra en un lugar al que una persona ajena no puede acceder.
El ataque cibernético al sector del agua en EE.UU. expuso una versión más silenciosa del mismo problema subyacente: algunos equipos accesibles consisten en módems celulares y dispositivos instalados por proveedores que nunca se detectan en los análisis de seguridad rutinarios. La mayoría de estos entornos se diseñaron bajo condiciones en las que cada suposición se estableció durante la instalación y fue heredada por todos los equipos desde entonces sin volver a examinarse. Nadie tiene la intención de dejar un PLC en la internet pública, pero la convergencia de TI/OT ha desplazado el límite en los últimos años y el mapa de confianza no se ha ajustado de acuerdo a ello.
Por qué la IA reduce el tiempo disponible para corregir vulnerabilidades de OT
En el aviso conjunto AA26-231A, publicado el 19 de agosto de 2026, la NSA, la CISA, el FBI, el Departamento de Energía y la Agencia de Protección Ambiental informaron que los ciberdelincuentes están utilizando scripts generados por IA, disfrazados de utilidades de monitoreo legítimas, para realizar reconocimientos contra PLC de la serie Siemens S7 expuestos a internet. Las agencias advirtieron que el desarrollo asistido por IA puede reducir la barrera técnica y el tiempo necesario para crear herramientas de explotación. El aviso no describe nuevas vulnerabilidades de día cero, y la actividad que observó es de reconocimiento en vez de una interrupción confirmada. Las debilidades son las mismas que ya figuran en las advertencias federales, pero lo que ha cambiado es quién puede actuar sobre ellas y con qué rapidez.
Las preocupaciones de seguridad impulsadas por la IA también se están extendiendo al ámbito de la identidad. El 27 de agosto de 2026, más de 100 organizaciones firmaron una carta abierta sobre defensa cibernética colectiva en la que advierten que los ciberataques impulsados por IA pronto podrían volverse más frecuentes, señalando hospitales, plantas de tratamiento de agua e infraestructura de internet entre los sistemas en riesgo y haciendo un llamado a apoyar a los defensores de infraestructuras críticas con recursos limitados.
Cómo la confianza cero para infraestructuras críticas cambia la seguridad de OT
La confianza cero es un modelo de seguridad que elimina la confianza implícita; en vez de otorgar acceso según la ubicación en la red, verifica la identidad de cada usuario y dispositivo, limita el acceso al mínimo necesario y registra la actividad. En los entornos de OT, la confianza cero significa que estar en la red de control no es suficiente para acceder a sus equipos. Ahora, hay un cambio en lo que debe defenderse, por lo que la confianza cero funciona en entornos donde el perímetro ya se ha disuelto y el equipo detrás de este no se puede reemplazar.
La ubicación de la red deja de ser el punto de control y la identidad se convierte en él
Cada persona, proveedor, cuenta de servicio y agente de IA que interactúa con su entorno obtiene una identidad verificada, y las decisiones de acceso se toman según esa identidad, y no según una dirección IP. Un inicio de sesión de operador compartido falla esta prueba al instante porque identifica un rol, no a una persona. La industria de la IA ha dejado constancia del mismo estándar para sus propios sistemas. La carta colectiva señala que las identidades agénticas deben ser trazables y responsables — un compromiso de las empresas que desarrollan estos agentes, no una directiva para los operadores de infraestructura. Aún vale la pena exigir ese estándar a sus proveedores de IA y aplicarlo a cualquier agente que se ejecute en su entorno para garantizar que los agentes de IA no tengan acceso permanente.
El privilegio mínimo y el acceso JIT son la prioridad, no el acceso permanente
Imagine un integrador que da servicio a una planta de tratamiento cada seis meses y necesita varias horas de acceso cada vez. Bajo un modelo tradicional de ciberseguridad, ese proveedor tiene una cuenta permanente de VPN, lo que significa que sus credenciales siguen siendo una vía activa hacia su red durante el resto del año, protegidas únicamente por sus prácticas internas de seguridad. El acceso justo a tiempo (JIT) invierte esto; la cuenta se aprovisiona solo cuando el trabajo está programado, se limita al sistema específico y se revoca automáticamente cuando se cierra la ventana. El acceso a la red de confianza cero (ZTNA) aplica el mismo principio para la conexión en sí; en vez de colocar al proveedor en su red como lo hace una VPN, lo conecta a un solo sistema y no hace visible ningún otro recurso.
Limite el radio de impacto en toda la frontera entre IT/OT
La contención asume que alguien eventualmente obtendrá acceso y se cuestiona hasta dónde puede llegar con ese acceso. Segmentar el límite IT/OT, restringir qué estaciones de trabajo de ingeniería pueden comunicarse con qué controladores y eliminar el acceso permanente minimizan el radio de impacto. La misma lógica se aplica a los agentes de IA que operan en sus sistemas, donde los permisos se acumulan rápida y silenciosamente. Pruebe nuestra calculadora de impacto de agentes de IA para ver hasta dónde podría llegar un único agente de IA comprometido.
Verifique continuamente, monitoree la actividad y registre las sesiones
La verificación de inicio de sesión requiere una sola comprobación, pero la verificación continua reevalúa el acceso a medida que cambian las condiciones y lo revoca cuando esto sucede. La supervisión y grabación de sesiones capturan exactamente lo que ocurrió durante una conexión privilegiada a un controlador, lo cual convierte un evento sospechoso en algo que puede investigarse en vez de tener que reconstruirlo después de los hechos.
Cómo aplicar la confianza cero en entornos OT
En los entornos de OT, las prioridades de seguridad principales son la disponibilidad y la seguridad operacional, ya que la caída de un sistema de control significa que las personas podrían quedarse sin agua o electricidad. La guía de la CISA sobre la adaptación de los principios de confianza cero a la OT asigna los resultados de confianza cero a seis funciones de NIST CSF 2.0 mientras que considera con claridad las brechas heredadas, las restricciones operativas y los requisitos de seguridad operacional. La guía reconoce que los principios de confianza cero deben adaptarse a los entornos de OT en vez de aplicarse de manera idéntica a los sistemas tradicionales de TI. Ese es el caso práctico de la confianza cero en OT. El aviso AA26-231A también indica a los operadores que utilicen controles compensatorios cuando un dispositivo heredado no se pueda parchear o reconfigurar sin una interrupción programada, y la carta colectiva aboga por la misma estrategia. Es posible que un controlador desactualizado no se pueda parchear, pero se puede controlar y monitorear quién accede a él, desde dónde y durante cuánto tiempo. A continuación, le indicamos por dónde empezar al aplicar la confianza cero en entornos OT:
- Haga un inventario de cada ruta de acceso remoto a OT, incluidas las cuentas de proveedores, los módems celulares y cualquier elemento instalado fuera de su proceso de cambios.
- Elimine los PLC, HMI y jump boxes expuestos a internet, lo que elimina el mayor riesgo y las advertencias federales enfatizan repetidamente. Eliminar la exposición directa cambia la forma en que se accede a un dispositivo, no cómo funciona.
- Elimine las credenciales predeterminadas y compartidas, y aplique MFA resistente al phishing en los puntos de entrada remotos. Las contraseñas predeterminadas y los controladores expuestos a internet se han identificado como debilidades recurrentes en los recientes ciberataques contra el sector del agua; las credenciales únicas y la autenticación respaldada por hardware no agregan latencia al proceso de control en sí.
- Convierta el acceso permanente de los proveedores en un acceso intermediado, con límite de tiempo y registro de sesiones. El integrador sigue accediendo cuando el trabajo está programado, pero deja de ser una puerta abierta permanente durante el resto del año.
- Segmente el límite de TI/OT y obtenga visibilidad del tráfico a través de este. Comience en modo de monitoreo, luego establezca una línea base de cómo es la comunicación normal antes de aplicar cualquier medida, de modo que la aplicación nunca sea una sorpresa a mitad del proceso.
- Establezca un objetivo medible. Haga un seguimiento de la rapidez con la que contiene una intrusión y si sus correcciones resisten una nueva prueba, no de cuántas herramientas implementó. Esta es una métrica que los ejecutivos realmente pueden evaluar.
Proteja su infraestructura crítica con Keeper
Recent cyber attacks and federal advisories show why critical infrastructure organizations need stronger controls around privileged and remote access, particularly when legacy OT cannot be quickly patched or replaced. Organizations can reduce risk by controlling who can access critical systems, what resources they can reach, how long access lasts and what actions they can take. KeeperPAM® helps critical infrastructure organizations secure and manage privileged access across IT and OT environments. Through the KeeperPAM Gateway, it provides secure remote access to infrastructure without opening inbound firewall ports or exposing credentials to end users. Built on a zero-trust and zero-knowledge architecture, KeeperPAM also supports JIT access, automated credential rotation, least-privilege access and privileged session management. Start a free trial of KeeperPAM to close the access paths attackers are already scanning for.
Preguntas frecuentes
¿Qué es la confianza cero para OT?
La confianza cero para OT es un modelo de seguridad que elimina la confianza implícita de los entornos industriales. En vez de otorgar acceso según dónde se encuentra un usuario o dispositivo en la red, cada conexión se verifica por identidad, se limita al acceso mínimo requerido para una tarea y se registra.
¿CISA requiere confianza cero para la infraestructura crítica?
La confianza cero para la infraestructura crítica no es obligatoria para los operadores del sector privado. CISA publica orientación y modelos de madurez en vez de requisitos vinculantes, y su orientación específica para OT es una hoja de ruta, no un mandato. Las agencias federales operan bajo directivas de confianza cero distintas, y los reguladores sectoriales como la TSA y la EPA establecen sus propias reglas, por lo que los requisitos específicos dependen de su sector y jurisdicción.
¿Puede funcionar la confianza cero con PLC heredados que no se pueden parchear?
Los PLC heredados no necesitan admitir la autenticación moderna para que las organizaciones apliquen principios de seguridad de confianza cero a su alrededor. Las organizaciones pueden utilizar controles compensatorios como la segmentación de red, el acceso remoto basado en la identidad, los privilegios mínimos, el monitoreo de sesiones y el acceso con límite de tiempo para reducir el riesgo cuando los dispositivos heredados no se pueden parchear ni reconfigurar.
