%3Aquality(100)&w=640&q=75){kind=logo}
La detección no es lo mismo que la coordinación: lo que las pequeñas empresas de suministro de agua siguen necesitando tras el programa «Water Watch»
La detección está llegando por fin a las empresas de servicios públicos más pequeñas, que son las que más la necesitan. La coordinación de la respuesta sigue siendo un reto que los operadores locales deben resolver por sí mismos.
17 de agosto de 2026
·Blog
·Jay Goodman
%3Aquality(100)&w=3840&q=75)
El 7 de agosto, DEF CON Franklin y la Asociación Nacional de Agua Rural (NWRA) inauguraron el Water Watch Center en la DEF CON de Las Vegas. Cinco proveedores de servicios gestionados de detección y respuesta prestarán sus servicios directamente a las empresas de suministro de agua que atienden a menos de 10 000 personas.
Esas empresas de servicios públicos representan el 91 % de los aproximadamente 50 000 sistemas comunitarios de abastecimiento de agua de Estados Unidos. Además, son los sistemas a los que, históricamente, ha resultado más difícil hacer llegar los programas y las directrices en materia de ciberseguridad.
Este lanzamiento merece algo más que una simple mención de pasada. Es el resultado de dos años de trabajo sobre el terreno, durante los cuales DEF CON Franklin reclutó a casi 450 expertos cibernéticos voluntarios para prestar apoyo a las empresas de suministro de agua y de tratamiento de aguas residuales de siete estados. Cuando quedó claro que los esfuerzos de los voluntarios no podían adaptarse a la envergadura del sector, la iniciativa evolucionó hacia un modelo de servicio.
El resultado es la primera iniciativa fiable destinada a proporcionar capacidades de ciberseguridad a gran escala a las empresas de servicios públicos que cuentan con una plantilla reducida y recursos limitados.
Responde a una pregunta importante, pero solo a la mitad de ella.
Lo que la detección aporta y lo que no aporta
Las soluciones de detección y respuesta gestionadas subsanan una falta de visibilidad. Para una empresa de servicios públicos que nunca ha contado con nadie que supervise su entorno, esto supone una ventaja considerable. Sin embargo, el resultado de esta capacidad es una notificación. Una notificación es el inicio de una respuesta, no la respuesta en sí misma.
Piensa en lo que tiene que hacer el destinatario a las dos de la madrugada:
Ponerse en contacto con un operador que no esté de turno
Ponte en contacto con un responsable de operaciones que también forma parte del departamento de TI
Reunir a un número suficiente de personas para tomar una decisión sobre la contención
Coordinar la transición al control manual en toda una planta y en una red de distribución
Averigua quién se encuentra en las instalaciones y con quién se puede contactar.
Informar de la situación a la agencia estatal competente y a la CISA, y seguir informando mientras dure el incidente.
Nada de eso constituye una función de detección y nada de ello es posible sin canales que se mantengan activos mientras la red de la empresa sea objeto de sospecha. En comentarios independientes sobre el lanzamiento ya se ha señalado que la supervisión diseñada para entornos de TI puede no registrar la interacción directa con un controlador expuesto y que el MDR solo resulta útil para las empresas de servicios públicos que carecen de personal de seguridad cuando tiene visibilidad del entorno operativo. Esa limitación es real y es responsabilidad de los especialistas en seguridad de la tecnología operativa (OT). Dejémosla de lado por un momento, porque incluso la detección con una visibilidad operativa perfecta se limita a la notificación.
La cuestión de las dependencias que plantea CI Fortify
En mayo, la CISA publicó «CI Fortify: Consejos para aislar los sistemas vitales» junto con la Dirección Australiana de Señales, el Centro Nacional de Ciberseguridad del Reino Unido y el Centro Canadiense de Ciberseguridad. En él se plantean dos requisitos estructurales:
Aislamiento: la capacidad de desconectar de forma proactiva la tecnología operativa vital y los sistemas de apoyo de las dependencias de terceros, incluidas las telecomunicaciones, Internet y las conexiones con proveedores
Recuperación: la capacidad de restablecerse a partir de fuentes de las que se sabe que son fiables, sin dejar de estar aislado. El texto de los planes de la CISA apunta a mantener los servicios esenciales en ese estado durante un máximo de tres meses
Si se leen ambas iniciativas una al lado de la otra, surge un reto de diseño. El servicio de detección y respuesta gestionadas lo presta un tercero a través de Internet. Según la propia hipótesis de planificación de CI Fortify, este servicio se sitúa más allá del límite que se ha indicado al operador que debe ser capaz de trazar.
Cualquier funcionalidad que se preste como servicio se enfrenta al mismo reto, y el momento más oportuno para abordarlo es antes de que se produzca un incidente de aislamiento, y no durante el mismo. Un operador que comprenda que la detección deja de funcionar durante el aislamiento puede planificar en consecuencia. Un operador que nunca se haya planteado esta cuestión lo descubrirá en el peor momento posible.
Ese reto también nos afecta a nosotros. BlackBerry® AtHoc® está orientado a la nube de forma predeterminada, y el modelo de implementación es lo que determina si las alertas y la rendición de cuentas se mantienen en caso de que se interrumpa la conexión; las implementaciones locales e híbridas son la razón por la que la respuesta puede ser afirmativa, mientras que una configuración exclusivamente alojada no lo es. Cualquier proveedor que afirme garantizar la continuidad mediante el aislamiento, incluido este, debería estar obligado a especificar el modelo de implementación en el que se basa dicha afirmación.
Así pues, hay una pregunta que merece la pena plantear a todos los proveedores de la cadena de respuesta, con las mismas palabras: ¿qué hace esta funcionalidad cuando se pierde la conexión a Internet y qué modelo de implementación hace que esa respuesta sea cierta?
Qué se puede comprar con el próximo dólar
La situación de la financiación cambió esa misma semana. Dos senadores estadounidenses presentaron la Ley de Protección Cibernética del Agua , que otorgaría a la EPA autoridad explícita para llevar a cabo evaluaciones de ciberseguridad y establecer normas junto con la CISA y el NIST, y autorizaría 300 millones de dólares anuales a través de los Fondos Rotatorios Estatales para el Agua Potable y el Agua Limpia. El proyecto de ley se ha presentado, pero aún no se ha promulgado, y la autorización no equivale a una asignación presupuestaria. Aun así, un sector acostumbrado a recibir mandatos sin financiación dispone ahora de un servicio de detección sin coste alguno y cuenta con un mecanismo de financiación plausible ante el Congreso.
Esto convierte la secuenciación en una cuestión de actualidad. Si la primera fase de la capacidad se implementó de forma gratuita y abarcaba la detección, la segunda fase debería abarcar aquello a lo que da paso la detección: la alerta masiva con confirmación de entrega y verificación de la presencia del personal, llevada a cabo a través de un canal de coordinación que no utilice la red que está bajo sospecha. Para una empresa de servicios públicos cuya capacidad de respuesta total es de cuatro personas, un fallo en la coordinación supone un fallo en la respuesta. No hay personal de reserva suficiente para absorberlo.
Hay un aspecto relacionado con la sostenibilidad que nadie debería tener reparos en señalar. La financiación inicial filantrópica y el esfuerzo voluntario han construido algo que el Gobierno federal no había logrado construir, y ninguna de las dos cosas forma parte de una partida presupuestaria. La capacidad que una empresa de servicios públicos posee, gestiona y pone en práctica en su trabajo diario perdura más allá de cualquier ciclo de subvenciones. Lo más valioso que pueden hacer las asociaciones del sector y los organismos estatales competentes con la actual oleada de atención es indicar a sus miembros qué aspectos deben financiar en segundo lugar y por qué.
El Centro de Vigilancia del Agua ha subsanado la mayor deficiencia del sector. La siguiente deficiencia es la que existe entre la detección y la respuesta.
Lecturas relacionadas:
La detección no es lo mismo que la coordinación: lo que las pequeñas empresas de suministro de agua siguen necesitando tras el programa «Water Watch»
La detección está llegando por fin a las empresas de servicios públicos más pequeñas, que son las que más la necesitan. La coordinación de la respuesta sigue siendo un reto que los operadores locales deben resolver por sí mismos.
17 de agosto de 2026
·Blog
·Jay Goodman
El 7 de agosto, DEF CON Franklin y la Asociación Nacional de Agua Rural (NWRA) inauguraron el Water Watch Center en la DEF CON de Las Vegas. Cinco proveedores de servicios gestionados de detección y respuesta prestarán sus servicios directamente a las empresas de suministro de agua que atienden a menos de 10 000 personas.
Esas empresas de servicios públicos representan el 91 % de los aproximadamente 50 000 sistemas comunitarios de abastecimiento de agua de Estados Unidos. Además, son los sistemas a los que, históricamente, ha resultado más difícil hacer llegar los programas y las directrices en materia de ciberseguridad.
Este lanzamiento merece algo más que una simple mención de pasada. Es el resultado de dos años de trabajo sobre el terreno, durante los cuales DEF CON Franklin reclutó a casi 450 expertos cibernéticos voluntarios para prestar apoyo a las empresas de suministro de agua y de tratamiento de aguas residuales de siete estados. Cuando quedó claro que los esfuerzos de los voluntarios no podían adaptarse a la envergadura del sector, la iniciativa evolucionó hacia un modelo de servicio.
El resultado es la primera iniciativa fiable destinada a proporcionar capacidades de ciberseguridad a gran escala a las empresas de servicios públicos que cuentan con una plantilla reducida y recursos limitados.
Responde a una pregunta importante, pero solo a la mitad de ella.
Lo que la detección aporta y lo que no aporta
Las soluciones de detección y respuesta gestionadas subsanan una falta de visibilidad. Para una empresa de servicios públicos que nunca ha contado con nadie que supervise su entorno, esto supone una ventaja considerable. Sin embargo, el resultado de esta capacidad es una notificación. Una notificación es el inicio de una respuesta, no la respuesta en sí misma.
Piensa en lo que tiene que hacer el destinatario a las dos de la madrugada:
Ponerse en contacto con un operador que no esté de turno
Ponte en contacto con un responsable de operaciones que también forma parte del departamento de TI
Reunir a un número suficiente de personas para tomar una decisión sobre la contención
Coordinar la transición al control manual en toda una planta y en una red de distribución
Averigua quién se encuentra en las instalaciones y con quién se puede contactar.
Informar de la situación a la agencia estatal competente y a la CISA, y seguir informando mientras dure el incidente.
Nada de eso constituye una función de detección y nada de ello es posible sin canales que se mantengan activos mientras la red de la empresa sea objeto de sospecha. En comentarios independientes sobre el lanzamiento ya se ha señalado que la supervisión diseñada para entornos de TI puede no registrar la interacción directa con un controlador expuesto y que el MDR solo resulta útil para las empresas de servicios públicos que carecen de personal de seguridad cuando tiene visibilidad del entorno operativo. Esa limitación es real y es responsabilidad de los especialistas en seguridad de la tecnología operativa (OT). Dejémosla de lado por un momento, porque incluso la detección con una visibilidad operativa perfecta se limita a la notificación.
La cuestión de las dependencias que plantea CI Fortify
En mayo, la CISA publicó «CI Fortify: Consejos para aislar los sistemas vitales» junto con la Dirección Australiana de Señales, el Centro Nacional de Ciberseguridad del Reino Unido y el Centro Canadiense de Ciberseguridad. En él se plantean dos requisitos estructurales:
Aislamiento: la capacidad de desconectar de forma proactiva la tecnología operativa vital y los sistemas de apoyo de las dependencias de terceros, incluidas las telecomunicaciones, Internet y las conexiones con proveedores
Recuperación: la capacidad de restablecerse a partir de fuentes de las que se sabe que son fiables, sin dejar de estar aislado. El texto de los planes de la CISA apunta a mantener los servicios esenciales en ese estado durante un máximo de tres meses
Si se leen ambas iniciativas una al lado de la otra, surge un reto de diseño. El servicio de detección y respuesta gestionadas lo presta un tercero a través de Internet. Según la propia hipótesis de planificación de CI Fortify, este servicio se sitúa más allá del límite que se ha indicado al operador que debe ser capaz de trazar.
Cualquier funcionalidad que se preste como servicio se enfrenta al mismo reto, y el momento más oportuno para abordarlo es antes de que se produzca un incidente de aislamiento, y no durante el mismo. Un operador que comprenda que la detección deja de funcionar durante el aislamiento puede planificar en consecuencia. Un operador que nunca se haya planteado esta cuestión lo descubrirá en el peor momento posible.
Ese reto también nos afecta a nosotros. BlackBerry® AtHoc® está orientado a la nube de forma predeterminada, y el modelo de implementación es lo que determina si las alertas y la rendición de cuentas se mantienen en caso de que se interrumpa la conexión; las implementaciones locales e híbridas son la razón por la que la respuesta puede ser afirmativa, mientras que una configuración exclusivamente alojada no lo es. Cualquier proveedor que afirme garantizar la continuidad mediante el aislamiento, incluido este, debería estar obligado a especificar el modelo de implementación en el que se basa dicha afirmación.
Así pues, hay una pregunta que merece la pena plantear a todos los proveedores de la cadena de respuesta, con las mismas palabras: ¿qué hace esta funcionalidad cuando se pierde la conexión a Internet y qué modelo de implementación hace que esa respuesta sea cierta?
Qué se puede comprar con el próximo dólar
La situación de la financiación cambió esa misma semana. Dos senadores estadounidenses presentaron la Ley de Protección Cibernética del Agua , que otorgaría a la EPA autoridad explícita para llevar a cabo evaluaciones de ciberseguridad y establecer normas junto con la CISA y el NIST, y autorizaría 300 millones de dólares anuales a través de los Fondos Rotatorios Estatales para el Agua Potable y el Agua Limpia. El proyecto de ley se ha presentado, pero aún no se ha promulgado, y la autorización no equivale a una asignación presupuestaria. Aun así, un sector acostumbrado a recibir mandatos sin financiación dispone ahora de un servicio de detección sin coste alguno y cuenta con un mecanismo de financiación plausible ante el Congreso.
Esto convierte la secuenciación en una cuestión de actualidad. Si la primera fase de la capacidad se implementó de forma gratuita y abarcaba la detección, la segunda fase debería abarcar aquello a lo que da paso la detección: la alerta masiva con confirmación de entrega y verificación de la presencia del personal, llevada a cabo a través de un canal de coordinación que no utilice la red que está bajo sospecha. Para una empresa de servicios públicos cuya capacidad de respuesta total es de cuatro personas, un fallo en la coordinación supone un fallo en la respuesta. No hay personal de reserva suficiente para absorberlo.
Hay un aspecto relacionado con la sostenibilidad que nadie debería tener reparos en señalar. La financiación inicial filantrópica y el esfuerzo voluntario han construido algo que el Gobierno federal no había logrado construir, y ninguna de las dos cosas forma parte de una partida presupuestaria. La capacidad que una empresa de servicios públicos posee, gestiona y pone en práctica en su trabajo diario perdura más allá de cualquier ciclo de subvenciones. Lo más valioso que pueden hacer las asociaciones del sector y los organismos estatales competentes con la actual oleada de atención es indicar a sus miembros qué aspectos deben financiar en segundo lugar y por qué.
El Centro de Vigilancia del Agua ha subsanado la mayor deficiencia del sector. La siguiente deficiencia es la que existe entre la detección y la respuesta.
Lecturas relacionadas:
%3Aquality(100)&w=3840&q=75)