Por Beatriz González, IS Consultant de Inprotech.
La publicación del catálogo de buenas prácticas y controles para entornos ICS de AMTEGA llega en un momento especialmente relevante para la industria gallega. La combinación de mayor conectividad, convergencia IT/OT y nuevas exigencias regulatorias está elevando el nivel de exposición de fábricas, infraestructuras críticas y servicios esenciales.
El gran valor de este documento es que evita una visión simplista de la ciberseguridad industrial. No propone una lista cerrada de productos ni una receta universal, sino un marco funcional para entender qué controles aplicar, cuándo priorizarlos y cómo adaptarlos a la realidad de cada organización.
Una seguridad pensada para operar
En entornos industriales, la disponibilidad importa tanto como la confidencialidad. Un control técnicamente correcto puede ser inaplicable si compromete el proceso, rompe la continuidad o altera la seguridad funcional.
Por eso el catálogo insiste en un enfoque pragmático: defensa en profundidad, análisis de riesgo y despliegue gradual de medidas. La segmentación, la restricción de accesos, la visibilidad de red y la monitorización reforzada dejan de ser “buenas ideas” para convertirse en pilares operativos.
Medidas compensatorias: clave en OT
Uno de los puntos más valiosos del documento es la atención a las medidas compensatorias. En OT, no siempre es posible parchear, apagar o reemplazar un activo con la rapidez que exigiría una política tradicional de IT.
En ese contexto, el control eficaz puede venir de limitar accesos, endurecer configuraciones, reducir exposición, controlar dispositivos externos o reforzar la detección temprana. Es decir, gestionar el riesgo con inteligencia operativa, no solo con tecnología.
IT y OT: una misma superficie de riesgo
La convergencia entre IT y OT ha ampliado la superficie de ataque de las organizaciones industriales. Hoy, el correo, los accesos remotos, los servicios cloud, la identidad digital o la gestión centralizada de eventos también forman parte de la ecuación de seguridad industrial.
Esa visión integrada es especialmente importante para Galicia, donde la industria necesita combinar productividad, resiliencia y cumplimiento en un entorno cada vez más regulado. En la práctica, esto obliga a alinear equipos de operación, mantenimiento, ingeniería y ciberseguridad bajo un mismo marco de prioridades.
De la guía a la mejora continua
Más que un documento teórico, este catálogo funciona como una hoja de ruta. Permite identificar brechas, ordenar inversiones y construir un plan de madurez realista, adaptado a los recursos y al riesgo de cada organización.
La principal lección es clara: la ciberseguridad industrial no se resuelve con una herramienta aislada, sino con una estrategia coherente que combine personas, procesos y tecnología.
En un contexto donde NIS2, IEC 62443 y la presión sobre la cadena de suministro están marcando el paso, disponer de una referencia práctica y territorialmente cercana supone una ventaja competitiva para la industria gallega