La indicación llegó en pleno ataque.

Durante el fin de semanadel 26 al 27 de juliode 2026, un ciberataque coordinado provocó interrupciones en más de 30 sistemas comunitarios de abastecimiento de agua de Minnesota. El FBI informó de que las empresas de suministro de agua y de tratamiento de aguas residuales de al menos siete estados sufrieron incidentes a partir del 27 de julio, algunos de los cuales afectaron al funcionamiento de los servicios de agua (Anuncio de servicio público del FBI I-073026-PSA). El 30 de julio, la CISA emitió una alerta sobre un aumento significativo de la actividad de amenazas dirigidas a los controladores lógicos programables del sector del agua.

Dos días antes de esa alerta, la CISA —junto con el Centro Australiano de Ciberseguridad de la Dirección Australiana de Señales, el FBI y socios internacionales— publicó «CI Fortify: Consejos para aislar sistemas vitales». Los operadores leían las directrices de aislamiento mientras sus vecinos vivían en primera persona la situación que en ellas se describe.

Por lo tanto, la cuestión del coste no es meramente teórica, y merece una respuesta clara: ¿cuánto tiene que gastar realmente una pequeña empresa de servicios públicos para cumplir estas directrices?

El coste de capital es inferior a lo que teme el sector

Existe la creencia generalizada de que CI Fortify implica una infraestructura redundante: un entorno paralelo en espera, listo para tomar el relevo. Esa creencia resulta costosa, desalentadora y errónea.

La CISA destaca dos capacidades. Aislamiento: «desconectarse de forma proactiva de las dependencias de terceros y operar sin telecomunicaciones fiables, proveedores de Internet, prestadores de servicios ni dependencias de nivel superior». Recuperación: «restaurar rápidamente los sistemas vitales que se hayan visto comprometidos mientras se mantiene el aislamiento», donde «un aspecto clave es poner a prueba los planes de recuperación y practicar operaciones locales y manuales».

La restauración de sistemas comprometidos y la realización de operaciones manuales constituyen la vía que requiere menos inversión, no la que requiere más. Las directrices del 28 de julio lo refuerzan: el trabajo que detallan consiste en identificar los sistemas críticos, trazar un mapa de las conexiones e implementar puntos de separación eficaces, así como en realizar un inventario de los activos, trazar un mapa de las dependencias y probar los procedimientos de recuperación. Una empresa de servicios públicos con tres operadores puede poner en marcha la mayor parte de estas medidas sin necesidad de un ciclo presupuestario.

Es una noticia realmente buena, aunque eso no siempre se refleja en el modo en que se analiza la orientación.

El verdadero coste reside en una partida presupuestaria que nadie tiene

Lee una vez más la definición de «aislamiento» de la CISA: funcionar sin telecomunicaciones fiables.

Las directrices indican a los operadores que deben prever la posibilidad de que sus sistemas de comunicación dejen de estar disponibles. Sin embargo, no mencionan nada sobre cómo debe coordinar una empresa de servicios públicos su respuesta una vez que esto ocurra.

Ese silencio es la laguna. No se trata de un requisito costoso, sino de uno que no se ha abordado. Y se agrava de inmediato, porque la segunda capacidad que exige la CISA es la realización de operaciones locales y manuales. Las operaciones manuales no son una actividad de red. Implican a personas: operadores a los que se llama a las 2 de la madrugada, turnos de trabajo prolongados, contacto con contratistas e integradores, participación de socios de ayuda mutua, notificación a un organismo de primacía e información a la comunidad sobre lo que está sucediendo. Cada una de esas acciones depende de poder contactar con personas a través de canales que la CISA acaba de indicarte que debes considerar poco fiables o poco seguros.

El aislamiento tampoco exime a una empresa de servicios públicos de sus obligaciones. Durante un periodo prolongado de aislamiento, las empresas de servicios públicos siguen necesitando encargar y pagar los suministros de productos químicos, presentar al Estado los análisis de laboratorio certificados y las muestras de cumplimiento, gestionar las piezas y las órdenes de compra, y tramitar las nóminas. Nada de eso es tecnología operativa. Todo ello supone la coordinación con personas ajenas a la empresa —y todo ello es necesario para que el agua siga fluyendo de forma segura y legal.

Una pequeña empresa de servicios públicos que ha identificado todas las dependencias y ha ensayado las operaciones manuales sigue fallando si sus cuatro operarios no pueden comunicarse entre sí y confirmar quién está al mando. En una organización pequeña, un fallo de coordinación supone un fracaso total. Una empresa pierde una hora y se las arregla para asumirla. Una empresa de servicios públicos pierde la propia respuesta.

La capa de coordinación, en concreto

Para subsanar la brecha que deja CI Fortify se necesitan tres capacidades, y ninguna de ellas afecta a la red de control.

Notificación masiva y control de la presencia del personal. BlackBerry^® AtHoc^® llega al personal, a los contratistas, a los integradores y a los socios de ayuda mutua a través de múltiples canales con confirmación de entrega, y registra quién ha respondido. Esta es la forma operativa de «llevar a cabo operaciones locales y manuales»: no se puede gestionar una planta manualmente sin reunir a las personas que saben cómo hacerlo, y una cadena de llamadas manual no resiste una situación de emergencia que afecte a varios emplazamientos a las 2 de la madrugada. BlackBerry AtHoc cuenta con la autorización FedRAMP Clase D (Alta), renovada este año, lo cual es importante cuando la propia capa de coordinación no debe convertirse en un objetivo vulnerable.

Llamadas y mensajes cifrados. BlackBerry^® SecuSUITE^® ofrece comunicaciones independientes de la infraestructura de identidad corporativa y de la ruta de red, de modo que los responsables y los equipos operativos puedan coordinarse con total franqueza durante la contención, incluso cuando la infraestructura que transporta el tráfico normal se vea degradada o se sospeche que está comprometida. Cuando la propia definición de «aislamiento» de la CISA parte de la base de que las telecomunicaciones no son fiables, disponer de un canal independiente no es una medida de precaución, sino la condición operativa establecida.

Terminales gestionados y de confianza. BlackBerry^®UEM mantiene actualizados, protegidos y recuperables el reducido número de dispositivos críticos para la respuesta. Un canal de respaldo al que se accede desde un portátil comprometido no es un respaldo.

Se trata de una solución complementaria. No requiere rediseñar la red de control, mantener personal especializado ni comprometerse con un programa plurianual, y genera valor en el día a día, no solo durante un evento.

Por qué lo decimos

BlackBerry comercializa soluciones de comunicaciones seguras, por lo que tenemos un interés evidente en el resultado de este debate. Me parece justo. Pero la cuestión se centra en el texto original: la CISA ha ordenado a los operadores de infraestructuras críticas que se preparen para funcionar sin telecomunicaciones fiables y que practiquen operaciones manuales, y las directrices no abordan cómo se mantiene la coordinación en ninguna de esas dos situaciones. La mayoría de los proveedores que participan en este debate comercializan seguridad de redes, visibilidad de la tecnología operativa (OT) o control de acceso: productos eficaces que resuelven las partes del problema que recogen sus diagramas. La capa de coordinación queda fuera de todos y cada uno de esos diagramas, y esa es precisamente la razón por la que no recibe financiación.

CI Fortify marca el rumbo correcto. Las empresas de servicios públicos que lo implementen deberían plantearse una pregunta adicional que la guía no plantea: cuando se produzca un corte de suministro, ¿cómo se comunicarán entre sí nuestros empleados?

Lecturas relacionadas:
Cuando los teléfonos dejan de funcionar: la falta de coordinación que nadie tiene en cuenta
Lecciones de los ataques a las empresas de suministro de agua de julio: qué recomienda el aviso conjunto a los operadores para el futuro
Por qué la planificación del aislamiento de las tecnologías operativas (OT) requiere continuidad en las comunicaciones