%3Aquality(100)&w=640&q=75){kind=logo}
Por qué las directrices de seguridad de CI siguen fallando a los pequeños operadores de servicios públicos
Los consejos dirigidos a empresas con centros de operaciones de seguridad acaban aplicándose a empresas de servicios públicos con equipos de tres personas. La solución está en la secuenciación.
14 de agosto de 2026
·Blog
·Ramón Piñero, vicepresidente y director general, BlackBerry AtHoc
%3Aquality(100)&w=3840&q=75)
La mayoría de las directrices sobre seguridad de las infraestructuras críticas están pensadas para grandes empresas que cuentan con centros de operaciones de seguridad específicos y presupuestos considerables. Las pequeñas empresas de servicios públicos, que a menudo operan con plantillas mínimas y recursos limitados, no pueden aplicar estos marcos tal y como están redactados. El resultado no es un cumplimiento parcial, sino una parálisis operativa que da lugar a una vulnerabilidad persistente.
Las pequeñas empresas de suministro de agua, las cooperativas eléctricas rurales y los operadores regionales de tratamiento de aguas residuales constituyen la base de la infraestructura nacional y prestan servicio a millones de personas. Sin embargo, según la mayoría de los indicadores prácticos, no reciben la protección adecuada por parte de los propios marcos de seguridad diseñados para protegerlas.
Las directrices ya existen: la CISA las publica, la NERC-CIP exige su cumplimiento en algunos aspectos y los organismos específicos de cada sector emiten avisos periódicos. La novedad más reciente es CI Fortify, la iniciativa que la CISA puso en marcha en mayo de 2026 y que se amplió el 28 de julio con unas directrices conjuntas emitidas junto con el Centro Australiano de Ciberseguridad de la Dirección Australiana de Señales, el FBI y socios internacionales. En ella se pide a los operadores que desarrollen dos capacidades: el aislamiento, definido como «desconectarse de forma proactiva de las dependencias de terceros y operar sin telecomunicaciones fiables, proveedores de Internet, prestadores de servicios ni dependencias de nivel superior», y la recuperación, en la que «un aspecto clave es probar los planes de recuperación y practicar operaciones locales y manuales».
Esas directrices actualizadas se publicaron pocos días después de que un ciberataque coordinado afectara a más de 30 sistemas comunitarios de abastecimiento de agua en Minnesota durante el fin de semana del 26 al 27 de julio de 2026. El FBI informó de incidentes en empresas de suministro de agua y de tratamiento de aguas residuales en al menos doce estados a partir del 27 de julio, algunos de los cuales afectaron al funcionamiento de los servicios de agua.
El problema no es la calidad de esta documentación, sino que gran parte de ella parte de un modelo organizativo del que carecen la mayoría de los pequeños operadores de servicios públicos: analistas de seguridad especializados, equipos de respuesta a incidentes por niveles, procesos formales de gestión de cambios y partidas presupuestarias destinadas a herramientas de supervisión continua.
Un sistema comunitario de abastecimiento de agua que abastece a menos de 10 000 personas —lo que supone aproximadamente el 91 % de los cerca de 50 000 sistemas comunitarios de abastecimiento de agua del país— puede contar únicamente con dos o tres personas en puestos relacionados con las tecnologías de la información, la mayoría de las cuales también asumen responsabilidades operativas. Esa organización no puede dotar de personal a un centro de operaciones de seguridad que funcione las 24 horas del día ni dedicar a un empleado a tiempo completo al análisis de inteligencia sobre amenazas. Cuando llega una recomendación federal con docenas de medidas de mitigación y sin un orden de prioridad, el resultado práctico suele ser la inacción: no se trata de un incumplimiento derivado de la negligencia, sino de una parálisis provocada por una carga de implementación imposible de asumir.
El problema de la hipótesis empresarial
Los marcos como el NIST CSF, la norma ISO 27001 y las directrices sectoriales de la CISA suelen partir de la base de que se trata de una empresa madura: equipos estructurados en niveles, funciones definidas, procesos documentados y autoridad presupuestaria para adquirir herramientas especializadas. Ese modelo describe a una empresa de la lista Fortune 500 o a una gran empresa municipal de servicios públicos, pero no a la mayoría de los operadores responsables de infraestructuras críticas a nivel local.
La implementación completa del Marco de Seguridad Cibernética (CSF) del NIST exige que una organización identifique sus activos de forma exhaustiva, los proteja mediante controles de acceso y formación, detecte anomalías a través de una supervisión continua, responda siguiendo un plan de respuesta a incidentes documentado y se recupere mediante procedimientos de continuidad del negocio que hayan sido sometidos a pruebas. Cada función da lugar a subfunciones, roles, herramientas y procesos adicionales.
Para un equipo operativo de tres personas que gestiona tanto los entornos de TI como los de tecnología operativa, no es viable implementar estas funciones al mismo tiempo. La guía no indica a los operadores qué deben hacer primero si solo pueden abordar una función este trimestre. Tampoco distingue entre un control que reduce el riesgo de forma significativa y otro que solo aporta una mejora marginal. Presenta una arquitectura integral y, a continuación, deja que sea el lector quien decida el orden de implementación.
Se trata más de un fallo estructural que de una carencia en la documentación. Las organizaciones con menor capacidad para interpretar y priorizar unas directrices complejas son las que reciben menos apoyo interpretativo por parte de estas.
La parálisis que provocan las listas de medidas de mitigación sin ordenar
Los avisos de la CISA y las alertas sectoriales suelen incluir listas de medidas de mitigación que contienen entre 20 y 50 puntos. Aunque cada punto pueda ser técnicamente válido, en conjunto generan un retraso en la implementación que un pequeño operador no puede subsanar en un año, y mucho menos en el breve plazo que transcurre entre la publicación del aviso y el inicio de la explotación activa.
Las listas sin ordenar plantean un problema cognitivo específico: no ofrecen un punto de partida. Cuando todos los elementos se presentan como igualmente importantes, los operadores suelen empezar por lo que les resulta familiar o más conveniente desde el punto de vista logístico, en lugar de por lo que es crítico desde el punto de vista operativo. La gestión de parches recibe atención porque es una tarea rutinaria. La segmentación de la red entre los entornos de TI y de tecnología operativa (OT) se pospone porque requiere planificación y puede implicar tiempos de inactividad. La implantación de la autenticación multifactorial se retrasa porque requiere la coordinación de los usuarios.
El resultado es una postura de seguridad que parece activa, mientras que los esfuerzos se concentran en áreas de menor impacto y las superficies de ataque de alto valor permanecen expuestas. Los adversarios que tienen como objetivo las infraestructuras críticas no necesitan el sistema sin parches más reciente. Necesitan la brecha de segmentación, el canal de acceso remoto no supervisado o las credenciales predeterminadas que no se han modificado porque el aviso que las mencionaba era el punto 34 de 47.
La falta de coordinación es un fracaso total en una organización pequeña
La secuenciación de tareas en una pequeña empresa de servicios públicos debe priorizarse en función de dos recursos escasos a la vez: el presupuesto y la atención del personal. Además, debe tener en cuenta una realidad estructural de las incidencias que las directrices orientadas a las grandes empresas pueden permitirse ignorar.
Las grandes organizaciones pueden hacer frente a los fallos de coordinación. Si un equipo no comunica un incidente de seguridad a otro, este último puede detectarlo y responder de forma independiente. La redundancia aporta resiliencia.
Las pequeñas empresas de servicios públicos no cuentan con esa redundancia. Una empresa de servicios públicos cuya capacidad de respuesta total se reduce a cuatro personas pierde esa capacidad si esas cuatro personas no pueden ponerse en contacto entre sí, confirmar quién está interviniendo y hablar con franqueza sobre qué hacer. Si la única persona que gestiona los sistemas SCADA no está disponible durante un incidente y nadie más conoce el entorno de tecnología operativa (OT) lo suficientemente bien como para aislar los sistemas afectados, el fallo de coordinación se convierte en un fallo operativo.
CI Fortify hace que esto sea más preciso en lugar de más difuso. La propia definición de «aislamiento» de la CISA indica a los operadores que planifiquen el funcionamiento sin telecomunicaciones fiables, y las directrices no dicen nada sobre cómo una empresa de servicios públicos coordina una respuesta una vez que se da esa situación. Su segunda capacidad agrava el problema: practicar operaciones locales y manuales no es una actividad de red. Se trata de personas. Se ha llamado a los operadores a las 2 de la madrugada, se ha ampliado la cobertura de los turnos, se ha contactado con contratistas e integradores, se ha movilizado a los socios de ayuda mutua, se ha notificado a la agencia con primacía y se ha informado a la comunidad de lo que está sucediendo.
El aislamiento tampoco exime a una empresa de servicios públicos de sus obligaciones. Durante un periodo prolongado de aislamiento, las empresas de servicios públicos siguen necesitando encargar y pagar los suministros de productos químicos, presentar al Estado los análisis de laboratorio certificados y las muestras de cumplimiento, gestionar las piezas y las órdenes de compra, y tramitar las nóminas. Nada de eso es tecnología operativa. Todo ello supone la coordinación con personas que se encuentran fuera del recinto y todo ello es necesario para que el agua siga fluyendo de forma segura y legal.
Por lo tanto, una respuesta eficaz ante incidentes en una organización pequeña requiere una simplicidad radical. El plan de respuesta debe caber en dos páginas e indicar quién llama a quién, en qué orden y a través de qué canal de comunicación, cuando se cumpla una condición desencadenante específica. Debe ponerse a prueba al menos una vez al año mediante un simulacro con las personas que lo llevarían a cabo en la práctica. Debe actualizarse cada vez que se produzcan cambios en la plantilla o en la información de contacto.
La complejidad de un plan de respuesta genera responsabilidad civil precisamente en las condiciones que el plan pretende abordar: presión, confusión y falta de tiempo.
La detección ya está resuelta. La coordinación sigue estando en tus manos.
El problema de falta de personal descrito anteriormente está recibiendo por fin atención a nivel sectorial. El 7 de agosto de 2026, DEF CON Franklin y la Asociación Nacional de Agua Rural pusieron en marcha el Water Watch Center, que pone en contacto a un grupo inicial de cinco proveedores de servicios gestionados de detección y respuesta con empresas de suministro de agua que atienden a menos de 10 000 personas, sin coste alguno para estas últimas.
Esta es la solución más viable hasta la fecha para el problema de la falta de personal en las pequeñas empresas de servicios públicos, pero hay que interpretarla con precisión: proporciona capacidad de detección a los operadores que carecen de ella.
La detección te indica que ha ocurrido algo. La coordinación es la forma de responder. El Water Watch Center cubre la primera carencia de las pequeñas empresas de suministro; la coordinación sigue siendo una cuestión que deben resolver ellas mismas. Lo que hace una empresa de suministro formada por tres personas en la hora siguiente a la llamada de ese proveedor —quién contesta, con quién se puede contactar, quién puede autorizar un corte de suministro, quién notifica al Estado— es un problema aparte.
Plan de implementación para el primer trimestre
Esa misma lógica de secuenciación puede plasmarse en un plan para el primer trimestre. El objetivo es lograr avances visibles frente a los riesgos que tienen más probabilidades de provocar interrupciones operativas, más que cumplir todos y cada uno de los requisitos de seguridad. Hay que empezar por el nivel cuya ausencia anularía el resto de inversiones en caso de que se produjera un incidente real.
Días 1-30: poner en marcha un sistema de alertas con confirmación de entrega. Sustituir la cadena de llamadas manual, que falla a las 2 de la madrugada, por un sistema de notificación masiva que llegue al personal, a los contratistas, a los integradores y a los contactos de ayuda mutua a través de múltiples canales, y que registre quién ha respondido realmente. Esta es la forma operativa de «practicar las operaciones locales y manuales»; no se puede gestionar una planta manualmente sin reunir primero a las personas que saben cómo hacerlo.BlackBerry®AtHoc® ofrece esta capacidad y cuenta con la certificación FedRAMP Clase D (Alta), renovada este año, lo cual es importante cuando la propia capa de coordinación no debe convertirse en un objetivo vulnerable.
Días 31-60: establecer un canal de coordinación fuera de banda. Hacer que los equipos de dirección y operaciones utilicen comunicaciones de voz y mensajería cifradas y autenticadas, independientes de la infraestructura de identidades corporativas y de la ruta de red, de modo que la coordinación de incidentes nunca se realice a través de canales que estén degradados o que se presuma que están comprometidos.BlackBerry® SecuSUITE® proporciona esta capa. La coordinación fuera de banda es un control establecido, no una preferencia: MITRE ATT&CK la incluye como medida de mitigación M1060, y recomienda a los defensores que «establezcan canales de comunicación seguros fuera de banda para garantizar la continuidad de las comunicaciones críticas durante incidentes de seguridad, ataques a la integridad de los datos o fallos de comunicación dentro de la red».
Días 61-90: incorporar a la gestión los dispositivos críticos para la respuesta. Identificar el reducido número de teléfonos y ordenadores portátiles que se encargarían de la respuesta y garantizar que estén actualizados, protegidos y sean recuperables.BlackBerry® UEM gestiona ese conjunto de dispositivos. Un canal de respaldo al que se acceda desde un ordenador portátil comprometido no constituye un canal de respaldo.
Ninguna de estas medidas requiere modificar la red de control, mantener personal especializado ni comprometerse con un programa plurianual. Cada una de ellas genera una preparación cuantificable en cuestión de semanas, lo cual es tan importante para los consejos de administración y los expedientes tarifarios como para la seguridad: una empresa de servicios públicos puede demostrar a sus reguladores y a su comunidad que la recomendación federal más reciente ha supuesto un cambio concreto en su postura. Y cada una de ellas da sus frutos en las operaciones cotidianas, no solo durante una crisis.
Las directrices generales siguen siendo importantes. La gestión de credenciales, la segmentación de la red y la autenticación multifactorial forman parte de un programa maduro, y los operadores deben esforzarse por implementarlas. Pero son tareas propias del segundo trimestre, no del primero, porque una empresa de servicios públicos que haya reforzado todos sus sistemas y no sea capaz de coordinar a su propio personal habrá adquirido controles que no podrá utilizar durante el incidente para el que fueron adquiridos.
Nota para los asesores del sector
Las asociaciones, los organismos estatales competentes y los consultores que adaptan las directrices federales a los sistemas de pequeño tamaño tienen más influencia sobre la seguridad del sector que cualquier proveedor. Lo más valioso que esa influencia puede aportar en este momento es un establecimiento honesto de prioridades: indicar a una empresa de servicios públicos con recursos limitados no solo en qué consiste el conjunto completo de medidas de mitigación, sino qué debe hacer en primer, segundo y tercer lugar, y por qué.
Una orientación que se niega a establecer un orden de prioridades es una orientación que, de forma silenciosa, delega la decisión más difícil en la parte con menos recursos.
Las directrices de seguridad deben estar al servicio de los operadores que más las necesitan
Las directrices actuales no son erróneas. Sin embargo, son incompletas en los aspectos que más importan a las organizaciones menos preparadas para subsanar sus carencias.
CI Fortify marca el rumbo adecuado. Para garantizar una seguridad eficaz de las infraestructuras críticas a nivel comunitario, se necesita una orientación que ordene los controles según su impacto operativo, distinga entre lo que es ideal y lo que es suficiente, y tenga en cuenta las realidades en materia de personal y presupuesto a las que se enfrentan realmente los pequeños operadores.
Hasta que esas directrices estén disponibles en un formato más accesible y con una base operativa sólida, los pequeños operadores de servicios públicos deberían evitar la parálisis que provocan las listas de medidas de mitigación sin orden de prioridad. Estableced un orden de prioridad en función del impacto por cada dólar gastado y por cada hora de trabajo del personal invertida. Empezad por el nivel que garantiza la coordinación entre vuestro personal. Partid de ahí. Y plantead la pregunta que CI Fortify no plantea: cuando nos quedamos sin conexión, ¿cómo se comunican entre sí nuestros empleados?
Lecturas relacionadas:
Por qué las directrices de seguridad de CI siguen fallando a los pequeños operadores de servicios públicos
Los consejos dirigidos a empresas con centros de operaciones de seguridad acaban aplicándose a empresas de servicios públicos con equipos de tres personas. La solución está en la secuenciación.
14 de agosto de 2026
·Blog
·Ramón Piñero, vicepresidente y director general, BlackBerry AtHoc
La mayoría de las directrices sobre seguridad de las infraestructuras críticas están pensadas para grandes empresas que cuentan con centros de operaciones de seguridad específicos y presupuestos considerables. Las pequeñas empresas de servicios públicos, que a menudo operan con plantillas mínimas y recursos limitados, no pueden aplicar estos marcos tal y como están redactados. El resultado no es un cumplimiento parcial, sino una parálisis operativa que da lugar a una vulnerabilidad persistente.
Las pequeñas empresas de suministro de agua, las cooperativas eléctricas rurales y los operadores regionales de tratamiento de aguas residuales constituyen la base de la infraestructura nacional y prestan servicio a millones de personas. Sin embargo, según la mayoría de los indicadores prácticos, no reciben la protección adecuada por parte de los propios marcos de seguridad diseñados para protegerlas.
Las directrices ya existen: la CISA las publica, la NERC-CIP exige su cumplimiento en algunos aspectos y los organismos específicos de cada sector emiten avisos periódicos. La novedad más reciente es CI Fortify, la iniciativa que la CISA puso en marcha en mayo de 2026 y que se amplió el 28 de julio con unas directrices conjuntas emitidas junto con el Centro Australiano de Ciberseguridad de la Dirección Australiana de Señales, el FBI y socios internacionales. En ella se pide a los operadores que desarrollen dos capacidades: el aislamiento, definido como «desconectarse de forma proactiva de las dependencias de terceros y operar sin telecomunicaciones fiables, proveedores de Internet, prestadores de servicios ni dependencias de nivel superior», y la recuperación, en la que «un aspecto clave es probar los planes de recuperación y practicar operaciones locales y manuales».
Esas directrices actualizadas se publicaron pocos días después de que un ciberataque coordinado afectara a más de 30 sistemas comunitarios de abastecimiento de agua en Minnesota durante el fin de semana del 26 al 27 de julio de 2026. El FBI informó de incidentes en empresas de suministro de agua y de tratamiento de aguas residuales en al menos doce estados a partir del 27 de julio, algunos de los cuales afectaron al funcionamiento de los servicios de agua.
El problema no es la calidad de esta documentación, sino que gran parte de ella parte de un modelo organizativo del que carecen la mayoría de los pequeños operadores de servicios públicos: analistas de seguridad especializados, equipos de respuesta a incidentes por niveles, procesos formales de gestión de cambios y partidas presupuestarias destinadas a herramientas de supervisión continua.
Un sistema comunitario de abastecimiento de agua que abastece a menos de 10 000 personas —lo que supone aproximadamente el 91 % de los cerca de 50 000 sistemas comunitarios de abastecimiento de agua del país— puede contar únicamente con dos o tres personas en puestos relacionados con las tecnologías de la información, la mayoría de las cuales también asumen responsabilidades operativas. Esa organización no puede dotar de personal a un centro de operaciones de seguridad que funcione las 24 horas del día ni dedicar a un empleado a tiempo completo al análisis de inteligencia sobre amenazas. Cuando llega una recomendación federal con docenas de medidas de mitigación y sin un orden de prioridad, el resultado práctico suele ser la inacción: no se trata de un incumplimiento derivado de la negligencia, sino de una parálisis provocada por una carga de implementación imposible de asumir.
El problema de la hipótesis empresarial
Los marcos como el NIST CSF, la norma ISO 27001 y las directrices sectoriales de la CISA suelen partir de la base de que se trata de una empresa madura: equipos estructurados en niveles, funciones definidas, procesos documentados y autoridad presupuestaria para adquirir herramientas especializadas. Ese modelo describe a una empresa de la lista Fortune 500 o a una gran empresa municipal de servicios públicos, pero no a la mayoría de los operadores responsables de infraestructuras críticas a nivel local.
La implementación completa del Marco de Seguridad Cibernética (CSF) del NIST exige que una organización identifique sus activos de forma exhaustiva, los proteja mediante controles de acceso y formación, detecte anomalías a través de una supervisión continua, responda siguiendo un plan de respuesta a incidentes documentado y se recupere mediante procedimientos de continuidad del negocio que hayan sido sometidos a pruebas. Cada función da lugar a subfunciones, roles, herramientas y procesos adicionales.
Para un equipo operativo de tres personas que gestiona tanto los entornos de TI como los de tecnología operativa, no es viable implementar estas funciones al mismo tiempo. La guía no indica a los operadores qué deben hacer primero si solo pueden abordar una función este trimestre. Tampoco distingue entre un control que reduce el riesgo de forma significativa y otro que solo aporta una mejora marginal. Presenta una arquitectura integral y, a continuación, deja que sea el lector quien decida el orden de implementación.
Se trata más de un fallo estructural que de una carencia en la documentación. Las organizaciones con menor capacidad para interpretar y priorizar unas directrices complejas son las que reciben menos apoyo interpretativo por parte de estas.
La parálisis que provocan las listas de medidas de mitigación sin ordenar
Los avisos de la CISA y las alertas sectoriales suelen incluir listas de medidas de mitigación que contienen entre 20 y 50 puntos. Aunque cada punto pueda ser técnicamente válido, en conjunto generan un retraso en la implementación que un pequeño operador no puede subsanar en un año, y mucho menos en el breve plazo que transcurre entre la publicación del aviso y el inicio de la explotación activa.
Las listas sin ordenar plantean un problema cognitivo específico: no ofrecen un punto de partida. Cuando todos los elementos se presentan como igualmente importantes, los operadores suelen empezar por lo que les resulta familiar o más conveniente desde el punto de vista logístico, en lugar de por lo que es crítico desde el punto de vista operativo. La gestión de parches recibe atención porque es una tarea rutinaria. La segmentación de la red entre los entornos de TI y de tecnología operativa (OT) se pospone porque requiere planificación y puede implicar tiempos de inactividad. La implantación de la autenticación multifactorial se retrasa porque requiere la coordinación de los usuarios.
El resultado es una postura de seguridad que parece activa, mientras que los esfuerzos se concentran en áreas de menor impacto y las superficies de ataque de alto valor permanecen expuestas. Los adversarios que tienen como objetivo las infraestructuras críticas no necesitan el sistema sin parches más reciente. Necesitan la brecha de segmentación, el canal de acceso remoto no supervisado o las credenciales predeterminadas que no se han modificado porque el aviso que las mencionaba era el punto 34 de 47.
La falta de coordinación es un fracaso total en una organización pequeña
La secuenciación de tareas en una pequeña empresa de servicios públicos debe priorizarse en función de dos recursos escasos a la vez: el presupuesto y la atención del personal. Además, debe tener en cuenta una realidad estructural de las incidencias que las directrices orientadas a las grandes empresas pueden permitirse ignorar.
Las grandes organizaciones pueden hacer frente a los fallos de coordinación. Si un equipo no comunica un incidente de seguridad a otro, este último puede detectarlo y responder de forma independiente. La redundancia aporta resiliencia.
Las pequeñas empresas de servicios públicos no cuentan con esa redundancia. Una empresa de servicios públicos cuya capacidad de respuesta total se reduce a cuatro personas pierde esa capacidad si esas cuatro personas no pueden ponerse en contacto entre sí, confirmar quién está interviniendo y hablar con franqueza sobre qué hacer. Si la única persona que gestiona los sistemas SCADA no está disponible durante un incidente y nadie más conoce el entorno de tecnología operativa (OT) lo suficientemente bien como para aislar los sistemas afectados, el fallo de coordinación se convierte en un fallo operativo.
CI Fortify hace que esto sea más preciso en lugar de más difuso. La propia definición de «aislamiento» de la CISA indica a los operadores que planifiquen el funcionamiento sin telecomunicaciones fiables, y las directrices no dicen nada sobre cómo una empresa de servicios públicos coordina una respuesta una vez que se da esa situación. Su segunda capacidad agrava el problema: practicar operaciones locales y manuales no es una actividad de red. Se trata de personas. Se ha llamado a los operadores a las 2 de la madrugada, se ha ampliado la cobertura de los turnos, se ha contactado con contratistas e integradores, se ha movilizado a los socios de ayuda mutua, se ha notificado a la agencia con primacía y se ha informado a la comunidad de lo que está sucediendo.
El aislamiento tampoco exime a una empresa de servicios públicos de sus obligaciones. Durante un periodo prolongado de aislamiento, las empresas de servicios públicos siguen necesitando encargar y pagar los suministros de productos químicos, presentar al Estado los análisis de laboratorio certificados y las muestras de cumplimiento, gestionar las piezas y las órdenes de compra, y tramitar las nóminas. Nada de eso es tecnología operativa. Todo ello supone la coordinación con personas que se encuentran fuera del recinto y todo ello es necesario para que el agua siga fluyendo de forma segura y legal.
Por lo tanto, una respuesta eficaz ante incidentes en una organización pequeña requiere una simplicidad radical. El plan de respuesta debe caber en dos páginas e indicar quién llama a quién, en qué orden y a través de qué canal de comunicación, cuando se cumpla una condición desencadenante específica. Debe ponerse a prueba al menos una vez al año mediante un simulacro con las personas que lo llevarían a cabo en la práctica. Debe actualizarse cada vez que se produzcan cambios en la plantilla o en la información de contacto.
La complejidad de un plan de respuesta genera responsabilidad civil precisamente en las condiciones que el plan pretende abordar: presión, confusión y falta de tiempo.
La detección ya está resuelta. La coordinación sigue estando en tus manos.
El problema de falta de personal descrito anteriormente está recibiendo por fin atención a nivel sectorial. El 7 de agosto de 2026, DEF CON Franklin y la Asociación Nacional de Agua Rural pusieron en marcha el Water Watch Center, que pone en contacto a un grupo inicial de cinco proveedores de servicios gestionados de detección y respuesta con empresas de suministro de agua que atienden a menos de 10 000 personas, sin coste alguno para estas últimas.
Esta es la solución más viable hasta la fecha para el problema de la falta de personal en las pequeñas empresas de servicios públicos, pero hay que interpretarla con precisión: proporciona capacidad de detección a los operadores que carecen de ella.
La detección te indica que ha ocurrido algo. La coordinación es la forma de responder. El Water Watch Center cubre la primera carencia de las pequeñas empresas de suministro; la coordinación sigue siendo una cuestión que deben resolver ellas mismas. Lo que hace una empresa de suministro formada por tres personas en la hora siguiente a la llamada de ese proveedor —quién contesta, con quién se puede contactar, quién puede autorizar un corte de suministro, quién notifica al Estado— es un problema aparte.
Plan de implementación para el primer trimestre
Esa misma lógica de secuenciación puede plasmarse en un plan para el primer trimestre. El objetivo es lograr avances visibles frente a los riesgos que tienen más probabilidades de provocar interrupciones operativas, más que cumplir todos y cada uno de los requisitos de seguridad. Hay que empezar por el nivel cuya ausencia anularía el resto de inversiones en caso de que se produjera un incidente real.
Días 1-30: poner en marcha un sistema de alertas con confirmación de entrega. Sustituir la cadena de llamadas manual, que falla a las 2 de la madrugada, por un sistema de notificación masiva que llegue al personal, a los contratistas, a los integradores y a los contactos de ayuda mutua a través de múltiples canales, y que registre quién ha respondido realmente. Esta es la forma operativa de «practicar las operaciones locales y manuales»; no se puede gestionar una planta manualmente sin reunir primero a las personas que saben cómo hacerlo.BlackBerry®AtHoc® ofrece esta capacidad y cuenta con la certificación FedRAMP Clase D (Alta), renovada este año, lo cual es importante cuando la propia capa de coordinación no debe convertirse en un objetivo vulnerable.
Días 31-60: establecer un canal de coordinación fuera de banda. Hacer que los equipos de dirección y operaciones utilicen comunicaciones de voz y mensajería cifradas y autenticadas, independientes de la infraestructura de identidades corporativas y de la ruta de red, de modo que la coordinación de incidentes nunca se realice a través de canales que estén degradados o que se presuma que están comprometidos.BlackBerry® SecuSUITE® proporciona esta capa. La coordinación fuera de banda es un control establecido, no una preferencia: MITRE ATT&CK la incluye como medida de mitigación M1060, y recomienda a los defensores que «establezcan canales de comunicación seguros fuera de banda para garantizar la continuidad de las comunicaciones críticas durante incidentes de seguridad, ataques a la integridad de los datos o fallos de comunicación dentro de la red».
Días 61-90: incorporar a la gestión los dispositivos críticos para la respuesta. Identificar el reducido número de teléfonos y ordenadores portátiles que se encargarían de la respuesta y garantizar que estén actualizados, protegidos y sean recuperables.BlackBerry® UEM gestiona ese conjunto de dispositivos. Un canal de respaldo al que se acceda desde un ordenador portátil comprometido no constituye un canal de respaldo.
Ninguna de estas medidas requiere modificar la red de control, mantener personal especializado ni comprometerse con un programa plurianual. Cada una de ellas genera una preparación cuantificable en cuestión de semanas, lo cual es tan importante para los consejos de administración y los expedientes tarifarios como para la seguridad: una empresa de servicios públicos puede demostrar a sus reguladores y a su comunidad que la recomendación federal más reciente ha supuesto un cambio concreto en su postura. Y cada una de ellas da sus frutos en las operaciones cotidianas, no solo durante una crisis.
Las directrices generales siguen siendo importantes. La gestión de credenciales, la segmentación de la red y la autenticación multifactorial forman parte de un programa maduro, y los operadores deben esforzarse por implementarlas. Pero son tareas propias del segundo trimestre, no del primero, porque una empresa de servicios públicos que haya reforzado todos sus sistemas y no sea capaz de coordinar a su propio personal habrá adquirido controles que no podrá utilizar durante el incidente para el que fueron adquiridos.
Nota para los asesores del sector
Las asociaciones, los organismos estatales competentes y los consultores que adaptan las directrices federales a los sistemas de pequeño tamaño tienen más influencia sobre la seguridad del sector que cualquier proveedor. Lo más valioso que esa influencia puede aportar en este momento es un establecimiento honesto de prioridades: indicar a una empresa de servicios públicos con recursos limitados no solo en qué consiste el conjunto completo de medidas de mitigación, sino qué debe hacer en primer, segundo y tercer lugar, y por qué.
Una orientación que se niega a establecer un orden de prioridades es una orientación que, de forma silenciosa, delega la decisión más difícil en la parte con menos recursos.
Las directrices de seguridad deben estar al servicio de los operadores que más las necesitan
Las directrices actuales no son erróneas. Sin embargo, son incompletas en los aspectos que más importan a las organizaciones menos preparadas para subsanar sus carencias.
CI Fortify marca el rumbo adecuado. Para garantizar una seguridad eficaz de las infraestructuras críticas a nivel comunitario, se necesita una orientación que ordene los controles según su impacto operativo, distinga entre lo que es ideal y lo que es suficiente, y tenga en cuenta las realidades en materia de personal y presupuesto a las que se enfrentan realmente los pequeños operadores.
Hasta que esas directrices estén disponibles en un formato más accesible y con una base operativa sólida, los pequeños operadores de servicios públicos deberían evitar la parálisis que provocan las listas de medidas de mitigación sin orden de prioridad. Estableced un orden de prioridad en función del impacto por cada dólar gastado y por cada hora de trabajo del personal invertida. Empezad por el nivel que garantiza la coordinación entre vuestro personal. Partid de ahí. Y plantead la pregunta que CI Fortify no plantea: cuando nos quedamos sin conexión, ¿cómo se comunican entre sí nuestros empleados?
Lecturas relacionadas: