{"id":5675,"date":"2026-10-15T06:20:46","date_gmt":"2026-10-15T05:20:46","guid":{"rendered":"https:\/\/ccapitalia.net\/?p=5675"},"modified":"2026-10-15T11:10:11","modified_gmt":"2026-10-15T10:10:11","slug":"normativa-ciberseguridad-innovacion-e-industria-4-0","status":"publish","type":"post","link":"https:\/\/ccapitalia.net\/?p=5675","title":{"rendered":"Normativa, ciberseguridad, innovaci\u00f3n e industria 4.0"},"content":{"rendered":"

Adolfo Garc\u00eda Yag\u00fce<\/a> | Ayer, y tras un ligero cambio del t\u00edtulo previsto inicialmente, impart\u00ed una peque\u00f1a charla en las jornadas Digital Innovation Hub Industry 4.0<\/a><\/strong> de Burgos. En ella analic\u00e9 un aspecto que est\u00e1 adquiriendo una importancia creciente en el desarrollo de nuevas soluciones para la industria<\/a>: la relaci\u00f3n entre innovaci\u00f3n, <\/strong>ciberseguridad<\/strong><\/a> y normativa.<\/strong><\/p>\n

Como sab\u00e9is, vivimos inmersos en una transformaci\u00f3n digital<\/a> que se extiende a todos los rincones de nuestra sociedad. La industria no es ajena a este proceso y dispositivos, m\u00e1quinas, sensores, sistemas de control y plataformas de gesti\u00f3n est\u00e1n cada vez m\u00e1s conectados. Esta evoluci\u00f3n abre enormes posibilidades para desarrollar nuevos productos y servicios, pero tambi\u00e9n introduce nuevos riesgos y responsabilidades para fabricantes, desarrolladores, integradores y usuarios de estas tecnolog\u00edas.<\/p>\n

Por esta y otras razones, la Uni\u00f3n Europea<\/strong> est\u00e1 impulsando un conjunto cada vez m\u00e1s amplio de directivas y reglamentaciones -entre ellos NIS2, Cyber Resilience Act (CRA) o AI Act<\/strong>– que afectan, desde diferentes perspectivas, a la forma en que se dise\u00f1an, fabrican, despliegan y gestionan las soluciones digitales.<\/p>\n

La presentaci\u00f3n parti\u00f3 precisamente de esta realidad para plantear una pregunta sencilla, pero importante: \u00bfHasta qu\u00e9 punto debemos incorporar la ciberseguridad y la normativa al propio proceso de innovaci\u00f3n?<\/strong><\/p>\n

\"\"<\/a><\/p>\n

La respuesta tiene especial relevancia cuando se pasa del prototipo al producto<\/a><\/strong>. Un dispositivo industrial puede necesitar identidad digital propia, certificados X.509, firmware firmado, Secure Boot, protecci\u00f3n de interfaces de depuraci\u00f3n, gesti\u00f3n de vulnerabilidades y CVEs, mecanismos seguros de actualizaci\u00f3n OTA, provisioning<\/em>, revocaci\u00f3n de dispositivos o comunicaciones mTLS…<\/p>\n

Pero alrededor del dispositivo aparece adem\u00e1s todo un ecosistema de plataformas: PKI, gesti\u00f3n de identidades, almacenamiento, telemetr\u00eda, gesti\u00f3n remota y operaci\u00f3n segura. Es decir, la ciberseguridad deja de ser un elemento que podemos a\u00f1adir al final del proceso y debe considerarse desde el inicio del dise\u00f1o de una soluci\u00f3n<\/a><\/strong>.<\/p>\n

Durante la presentaci\u00f3n tambi\u00e9n abord\u00e9 la perspectiva de quienes operan y administran infraestructuras OT.<\/strong> Para ellos, la cuesti\u00f3n no se limita al dispositivo: entran en juego aspectos como el inventario y la visibilidad de activos, el acceso remoto y privilegiado, MFA, la segmentaci\u00f3n IT\/OT, zonas y conduits<\/em>, la gesti\u00f3n de vulnerabilidades, la monitorizaci\u00f3n, la respuesta ante incidentes, la continuidad y la gesti\u00f3n de terceros y de la cadena de suministro\u2026<\/p>\n

El objetivo no fue hacer un recorrido jur\u00eddico por las diferentes normativas, sino ponerlas en relaci\u00f3n con el proceso real de innovaci\u00f3n y con la operaci\u00f3n de los sistemas industriales.<\/strong><\/p>\n

Quiz\u00e1s, uno de los cambios m\u00e1s importantes que estamos viviendo es precisamente este: innovar ya no consiste \u00fanicamente en conseguir que una tecnolog\u00eda funcione. Tambi\u00e9n debemos pensar, desde el principio, c\u00f3mo vamos a identificarla, protegerla, actualizarla, gestionarla y mantenerla segura durante todo su ciclo de vida.<\/strong><\/p>\n

La Normativa como gu\u00eda y herramienta de ciberseguridad<\/strong>
\nPara ilustrar las ideas planteadas anteriormente, imagin\u00e9 un hipot\u00e9tico ataque siguiendo las t\u00e1cticas y t\u00e9cnicas de la matriz MITRE ATT&CK para ICS<\/strong>. Con \u00e9l pretend\u00eda ilustrar c\u00f3mo podr\u00eda progresar un adversario desde el acceso inicial hasta comprometer un proceso industrial. Me interesaba que los asistentes entendieran c\u00f3mo la aplicaci\u00f3n de los marcos normativos NIS2<\/strong>, IEC 62443<\/strong> y Cyber Resilience Act (CRA)<\/strong> introduce controles t\u00e9cnicos y organizativos que dificultan o impiden el avance del atacante en cada fase. Visto desde esta perspectiva, la normativa deja de ser un mero requisito de cumplimiento para convertirse en una gu\u00eda de referencia que nos permite evaluar la idoneidad de una arquitectura. Adem\u00e1s, la correcta interpretaci\u00f3n de estas normas nos permite seleccionar adecuadamente las herramientas de ciberseguridad que necesitamos: NGFW, VPN, ZTNA, MFA, PAM, IPS, NDR, gesti\u00f3n de vulnerabilidades…<\/strong><\/p>\n

Imaginemos que un adversario selecciona como objetivo una compa\u00f1\u00eda industrial debido al valor de sus activos, la importancia de sus procesos productivos o el impacto que podr\u00eda provocar una interrupci\u00f3n de su actividad. Antes de intentar acceder a sus sistemas, inicia una fase de reconocimiento destinada a conocer tanto la organizaci\u00f3n como su superficie tecnol\u00f3gica<\/strong>.<\/p>\n

Por un lado, recopila informaci\u00f3n sobre empleados y colaboradores a trav\u00e9s de fuentes abiertas, redes sociales y otras fuentes de informaci\u00f3n p\u00fablica<\/strong>. Esta inteligencia le permite identificar, entre otros perfiles, a un t\u00e9cnico de mantenimiento que dispone de acceso remoto a los sistemas de la compa\u00f1\u00eda. Con esta informaci\u00f3n puede dise\u00f1ar posteriormente un phishing dirigido y suficientemente cre\u00edble como para aumentar las probabilidades de que la v\u00edctima muerda el anzuelo.<\/p>\n

En paralelo, el adversario estudia la superficie tecnol\u00f3gica expuesta a Internet: dominios, direcciones IP, servicios publicados, certificados, tecnolog\u00edas utilizadas y dispositivos accesibles desde el exterior<\/strong>. En esta fase puede apoyarse en motores de b\u00fasqueda especializados en servicios y dispositivos expuestos en Internet, adem\u00e1s de otras fuentes y t\u00e9cnicas de reconocimiento. Como resultado, identifica un dispositivo IoT utilizado por la organizaci\u00f3n que presenta debilidades de seguridad, bien por su dise\u00f1o, por su configuraci\u00f3n o por la existencia de vulnerabilidades conocidas<\/strong>.<\/p>\n

De esta forma, el atacante dispone de dos piezas de informaci\u00f3n que inicialmente parecen independientes pero que forman parte de una misma estrategia: conoce a una persona que puede proporcionarle una v\u00eda de acceso leg\u00edtima al entorno de la planta<\/strong> y, al mismo tiempo, conoce un activo tecnol\u00f3gico concreto que puede convertirse posteriormente en un punto de apoyo dentro de la infraestructura industrial<\/strong>.<\/p>\n

Antes de proseguir, es necesario recordar que ning\u00fan marco normativo impedir\u00e1 que un atacante recopile informaci\u00f3n p\u00fablica o analice los servicios expuestos en Internet. Sin embargo, NIS2, IEC 62443 y, cuando resulte aplicable, CRA establecen medidas destinadas a reducir la superficie de ataque, gestionar las vulnerabilidades y evitar configuraciones inseguras<\/strong>, dificultando que la informaci\u00f3n obtenida pueda convertirse en un punto de entrada a la organizaci\u00f3n.<\/p>\n

\"\"<\/a><\/p>\n

Volvamos al ataque: la intrusi\u00f3n se inicia con un phishing dirigido<\/strong> hacia el t\u00e9cnico de mantenimiento. Este cae en la trampa y es, sigilosamente, infectado con un malware<\/a><\/strong> que sustrae sus credenciales de acceso remoto<\/strong> al entorno corporativo. Este vector podr\u00eda mitigarse mediante los requisitos de NIS2<\/strong> relativos a la gesti\u00f3n de riesgos y control de accesos<\/strong>, as\u00ed como mediante los principios de IEC 62443<\/strong> relacionados con la segmentaci\u00f3n entre IT y OT.<\/p>\n

Una vez dentro, el atacante intentar\u00e1 pasar desapercibido empleando protocolos, comandos leg\u00edtimos y scripts<\/strong> para desplegar herramientas especializadas en ejecutar acciones maliciosas. La aplicaci\u00f3n de IEC 62443 permite restringir privilegios y controlar la ejecuci\u00f3n de software autorizado<\/strong>, mientras que NIS2 exige capacidades de monitorizaci\u00f3n y detecci\u00f3n temprana de actividades an\u00f3malas<\/strong>.<\/p>\n

Una vez dentro del entorno, el atacante se dirige hacia el dispositivo IoT que hab\u00eda identificado durante su reconocimiento previo<\/strong>. Aprovechando sus debilidades de seguridad, consigue comprometerlo y modificar su firmware o realizar un rollback<\/i> a una versi\u00f3n previa en la que existen vulnerabilidades conocidas que sabe c\u00f3mo aprovechar<\/strong>. De esta forma puede conseguir persistencia incluso tras el reinicio del sistema. CRA<\/strong>, cuando resulta aplicable al producto, y IEC 62443<\/strong> contemplan medidas relacionadas con la integridad del software y firmware, las actualizaciones seguras y la gesti\u00f3n de vulnerabilidades, dificultando este tipo de manipulaci\u00f3n.<\/p>\n

Antes de continuar, el atacante intentar\u00e1 reducir las capacidades de supervisi\u00f3n, registro de logs y otros mecanismos de seguridad<\/strong> del sistema bajo su control para disminuir las posibilidades de detecci\u00f3n. Una vez m\u00e1s, la aplicaci\u00f3n de IEC 62443 proporciona requisitos y capacidades orientadas a la monitorizaci\u00f3n y detecci\u00f3n de anomal\u00edas<\/strong>, dificultando que estas acciones pasen inadvertidas.<\/p>\n

Posteriormente, una vez consolidada su posici\u00f3n, el adversario realizar\u00e1 acciones de reconocimiento, identificando los equipos industriales a su alcance. Para ello, emplear\u00e1 t\u00e9cnicas de descubrimiento a trav\u00e9s de las conexiones de red<\/strong>, as\u00ed como mediante la identificaci\u00f3n de puertos y servicios accesibles<\/strong>, con el objetivo de determinar los activos disponibles, sus caracter\u00edsticas y posibles vectores de ataque. Las arquitecturas recomendadas por IEC 62443, basadas en zonas y conduits<\/i><\/strong>, limitan la visibilidad de la red y reducen la capacidad de exploraci\u00f3n del atacante<\/strong>.<\/p>\n

Tras formarse una imagen de los activos que est\u00e1n a su alcance, intentar\u00e1 moverse lateralmente explotando credenciales por defecto<\/strong>, credenciales embebidas<\/strong> y servicios remotos vulnerables presentes en los sistemas descubiertos<\/strong>. De esta forma el atacante logra avanzar hasta su objetivo: los PLCs, estaciones de ingenier\u00eda o el SCADA. Tanto CRA<\/strong>, cuando resulta aplicable, como IEC 62443<\/strong> contemplan medidas relacionadas con la autenticaci\u00f3n, la gesti\u00f3n de credenciales, las vulnerabilidades y las actualizaciones de seguridad, dificultando este tipo de accesos.<\/p>\n

Una vez alcanzados los sistemas cr\u00edticos, el atacante recopila informaci\u00f3n sobre el proceso industrial<\/strong>, obteniendo configuraciones, programas de control y par\u00e1metros operativos. La aplicaci\u00f3n del principio de m\u00ednimo privilegio<\/strong>, junto con controles de acceso basados en roles<\/strong> definidos por IEC 62443 y las medidas de gesti\u00f3n de riesgos y control de acceso de NIS2, limita el acceso a esta informaci\u00f3n sensible<\/strong>.<\/p>\n

A continuaci\u00f3n, el atacante establece un canal de comando y control<\/strong> utilizando puertos com\u00fanmente permitidos, intentando ocultar sus comunicaciones entre el tr\u00e1fico leg\u00edtimo. Las capacidades de monitorizaci\u00f3n continua, inspecci\u00f3n de tr\u00e1fico y detecci\u00f3n de anomal\u00edas<\/strong> promovidas por NIS2 e IEC 62443 permiten identificar comportamientos an\u00f3malos<\/strong> incluso cuando utilizan protocolos habituales.<\/p>\n

Con las t\u00e9cnicas de inhibici\u00f3n de la respuesta, el atacante busca impedir la respuesta operativa mediante supresi\u00f3n de alarmas<\/strong>, bloqueo de mensajes<\/strong>, parada de servicios<\/strong> o incluso destrucci\u00f3n de datos<\/strong>. IEC 62443 incorpora requisitos y medidas relacionadas con la disponibilidad, trazabilidad y protecci\u00f3n de funciones cr\u00edticas<\/strong> que dificultan estas acciones y facilitan su detecci\u00f3n.<\/p>\n

Finalmente, el adversario enviar\u00e1 comandos no autorizados<\/strong> al proceso industrial, provocando alteraciones operativas que pueden desembocar en p\u00e9rdida de control, parada de producci\u00f3n, da\u00f1os materiales o riesgos para la seguridad f\u00edsica. La combinaci\u00f3n de NIS2 e IEC 62443<\/strong> establece controles t\u00e9cnicos y organizativos destinados precisamente a evitar que un incidente de ciberseguridad alcance el proceso f\u00edsico, reduciendo significativamente la probabilidad y el impacto de este tipo de ataques<\/strong>.<\/p>\n

Us\u00e9 unas pocas diapositivas para apoyar mi participaci\u00f3n y ayudar a poner en contexto algunos de los temas que comentamos. Os las dejo aqu\u00ed por si os resultan de utilidad<\/a>.<\/p>\n

 <\/p>\n","protected":false},"excerpt":{"rendered":"

Adolfo Garc\u00eda Yag\u00fce | Ayer, y tras un ligero cambio del t\u00edtulo previsto inicialmente, impart\u00ed una peque\u00f1a charla en las jornadas Digital Innovation Hub Industry 4.0 de Burgos. En ella analic\u00e9 un aspecto que est\u00e1 adquiriendo una importancia creciente en el desarrollo de nuevas soluciones para la industria: la relaci\u00f3n entre innovaci\u00f3n, ciberseguridad y normativa. […]<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[814,225,42,274],"tags":[933,936,934,935,923,932],"class_list":["post-5675","post","type-post","status-publish","format-standard","hentry","category-ciberseguridad","category-pdf-ponencias-cursos-documentos-libros","category-innovacion-sociedad-del-conocimiento-id","category-m2m-sensores-internet-de-las-cosas","tag-compliance","tag-cra","tag-ens","tag-iec-62443","tag-nis2","tag-normativa"],"_links":{"self":[{"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/posts\/5675","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=5675"}],"version-history":[{"count":43,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/posts\/5675\/revisions"}],"predecessor-version":[{"id":5794,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/posts\/5675\/revisions\/5794"}],"wp:attachment":[{"href":"https:\/\/ccapitalia.net\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=5675"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=5675"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=5675"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}