En una sociedad cada vez más conectada, la seguridad de la información pública influye directamente en la capacidad de una ciudad para seguir suministrando agua y electricidad, mantener el transporte en funcionamiento, sostener servicios esenciales durante una emergencia y proteger la salud pública y la vida cotidiana. Las redes digitales han hecho más eficientes los servicios públicos, pero también han conectado de forma mucho más estrecha los sistemas operacionales, las plataformas de control y la coordinación de emergencias. Una interrupción en una parte de ese entorno puede afectar rápidamente a servicios mucho más allá del punto inicial de fallo.

Por esa razón, la seguridad de la información pública ya no puede tratarse únicamente como una cuestión de evitar fugas de datos, alteraciones de sitios web o caídas de redes de oficina. Debe integrarse en los servicios públicos antes de que ocurra un incidente, considerando los controles de seguridad, los procedimientos operativos y las capacidades de recuperación como parte de la planificación normal de la infraestructura, y no como medidas añadidas solo después de un fallo grave.

Informes públicos de autoridades estatales y del sector del agua indicaron que, en agosto de 2026, instalaciones de agua potable o aguas residuales de al menos siete estados de EE. UU., entre ellos Minnesota y Michigan, se vieron afectadas por ciberataques. Aunque Pensilvania no había confirmado en ese momento un ataque local similar, su Departamento de Protección Ambiental emitió igualmente un aviso de seguridad en el que instaba a las organizaciones de agua potable y aguas residuales a reducir la exposición innecesaria a Internet pública y actualizar las contraseñas de las cuentas. La respuesta subraya un punto importante: la ausencia de un incidente confirmado no significa que las prácticas de seguridad existentes deban permanecer sin cambios.

La seguridad de la información pública también debe ir más allá de los sitios web gubernamentales, las bases de datos y la información personal. Para los servicios de agua, los sistemas eléctricos, las redes de transporte, la infraestructura de comunicaciones, la sanidad y los servicios de gestión de emergencias, las conexiones de red, las cuentas de dispositivos, los sistemas de control operativo, los datos de servicio y la continuidad operativa forman parte del panorama de seguridad. Cuando estos sistemas se interrumpen, el impacto puede pasar de la pérdida de información a la interrupción de servicios públicos esenciales.

¿Por qué un ciberataque a un sistema de agua se convierte en un problema de seguridad de la información pública?

Cuando se ataca una red empresarial convencional, las consecuencias inmediatas pueden incluir archivos inaccesibles, cuentas comprometidas, aplicaciones no disponibles o datos expuestos. La infraestructura pública crítica es diferente porque sus sistemas digitales están conectados directamente con la prestación de servicios en el mundo real. Una vez que un ataque alcanza la capa operativa, los activos afectados ya no se limitan a servidores y datos. También pueden verse implicados bombas, procesos de tratamiento, equipos de control, flujos de despacho y operadores de campo.

Los servicios de agua son un ejemplo claro. Las plataformas de supervisión, los dispositivos de control remoto, las estaciones de bombeo, las instalaciones de tratamiento y los terminales de los operadores deben mantener un funcionamiento continuo. Si un incidente cibernético obliga a desconectar los sistemas de control automático, los operadores pueden tener que pasar a control local o manual. En 2023, una autoridad de agua de Aliquippa, Pensilvania, pasó a operación manual tras una intrusión cibernética y detuvo temporalmente parte de su operación de bombeo. No se informó de un impacto importante en el servicio a los clientes, pero el incidente mostró cómo un problema de ciberseguridad puede ir más allá de la red de oficina y afectar a las operaciones físicas.

Por tanto, para las infraestructuras críticas, el objetivo de la seguridad de la información pública no puede reducirse a «mantener fuera a los hackers». Un objetivo más realista es impedir el acceso no autorizado y, al mismo tiempo, garantizar que los servicios esenciales puedan continuar si un ataque tiene éxito y que el funcionamiento normal pueda restablecerse lo antes posible. La ciberseguridad, la continuidad operativa, la coordinación de emergencias y los procedimientos de trabajo en campo deben apoyarse entre sí.

El riesgo ya no se limita a si se filtrarán datos

Los programas tradicionales de seguridad de la información suelen comenzar por servidores, bases de datos, sistemas de correo electrónico y redes corporativas. Esos activos siguen siendo importantes, pero la transformación digital ha ampliado considerablemente la superficie de ataque de los servicios públicos. Un atacante no siempre necesita acceder de inmediato a un sistema de control central. Una interfaz de administración remota olvidada, una cuenta desactualizada o un dispositivo expuesto a Internet con protección insuficiente pueden proporcionar acceso suficiente para avanzar dentro del entorno.

Una organización de servicios públicos puede operar al mismo tiempo redes corporativas de TI, aplicaciones empresariales, conexiones de mantenimiento remoto, redes de tecnología operativa, videovigilancia, sistemas de comunicaciones y un gran número de dispositivos de campo conectados. Estos sistemas pueden intercambiar datos o depender unos de otros, mientras que sus controles de seguridad pueden variar de manera significativa. La vulneración de un dispositivo periférico puede adquirir mayor gravedad si las relaciones de confianza internas permiten al atacante avanzar hacia sistemas más sensibles.

Por eso la ciberseguridad moderna de las infraestructuras críticas se centra cada vez más en toda la superficie de ataque, en lugar de limitarse a preguntar si un servidor concreto tiene software de seguridad instalado. Los operadores de agua, energía y otros servicios esenciales deben considerar al menos tres resultados distintos:

• ¿Podrían visualizarse, modificarse o eliminarse datos sensibles o configuraciones del sistema?

• ¿Podrían equipos críticos o plataformas operativas perder el control o quedar indisponibles?

• Si los sistemas digitales se interrumpen, ¿pueden los operadores seguir prestando servicios públicos esenciales?

La tercera pregunta suele ser la menos debatida, pero representa una de las diferencias más claras entre la TI empresarial ordinaria y la infraestructura pública crítica. El requisito final no es simplemente que todos los sistemas de información permanezcan en línea, sino que los servicios esenciales sigan disponibles para la población incluso cuando algunos sistemas digitales funcionen de forma degradada.

¿Por qué la exposición a Internet y la seguridad de las cuentas siguen siendo riesgos prioritarios?

Reducir la exposición innecesaria a Internet pública y actualizar las contraseñas fueron algunas de las precauciones básicas destacadas en las recientes recomendaciones de seguridad. No son recomendaciones nuevas, pero siguen siendo relevantes porque muchos ataques exitosos comienzan aprovechando debilidades relativamente simples, y no necesariamente técnicas muy sofisticadas.

Los atacantes buscan de forma habitual interfaces de administración expuestas a Internet, vulnerabilidades conocidas, credenciales predeterminadas y servicios de acceso remoto con protección insuficiente. Los servicios públicos pueden estar especialmente expuestos cuando los equipos llevan muchos años en funcionamiento y las formas de mantenimiento remoto se han ido acumulando con el tiempo.

Una página web de administración, una puerta de enlace VPN, un servicio de escritorio remoto o un puerto de mantenimiento de dispositivos puede haberse abierto originalmente para una puesta en marcha o una asistencia temporal. Años después, puede seguir siendo accesible desde Internet simplemente porque nadie recordó eliminarlo del diseño de red.

La gestión de cuentas genera un riesgo similar. Las contraseñas predeterminadas, las cuentas de administrador compartidas, las credenciales todavía activas de antiguos empleados o la reutilización de una misma contraseña en varios sistemas pueden debilitar controles de seguridad de red mucho más sólidos.

Por ello, una revisión de seguridad de la información pública debería comenzar respondiendo dos preguntas aparentemente sencillas:

• ¿Qué sistemas son realmente accesibles desde Internet pública?

• ¿Quién tiene actualmente permiso para acceder a ellos?

Si una organización no puede responder estas preguntas con precisión, es probable que también tenga puntos ciegos en otras áreas. Comprender de forma fiable la exposición a Internet y los derechos de acceso es la base de la segmentación de red, el acceso remoto controlado, la supervisión y la respuesta a incidentes.

¿Qué debería revisar primero una evaluación de seguridad de la información pública?

Mejorar la seguridad de una infraestructura crítica no siempre comienza comprando más dispositivos de seguridad. En muchos entornos, la tarea más urgente consiste en comprender los activos, las cuentas, las relaciones de red y los procedimientos de emergencia existentes. Si una organización no puede identificar claramente qué sistemas existen, quién puede acceder a ellos y quién es responsable cuando algo falla, añadir más herramientas no resolverá automáticamente el problema.

Los servicios expuestos a Internet y la gestión de identidades deben revisarse primero. Interfaces de administración, dispositivos de campo y servicios de acceso remoto pueden seguir directamente expuestos por razones históricas aunque esa exposición ya no sea necesaria. Las contraseñas predeterminadas, las cuentas de administrador compartidas y las credenciales que no se han rotado durante años crean una debilidad igualmente seria. Por ello, las organizaciones deberían confirmar que cada servicio accesible externamente tiene un propósito operativo legítimo, eliminar exposiciones innecesarias, usar cuentas individuales, reforzar la autenticación, aplicar permisos de mínimo privilegio y revocar rápidamente el acceso cuando una persona cambie de función o abandone la organización.

Los límites de red y la gestión de activos son igualmente importantes. Si las redes corporativas de TI y las redes de control operativo no están correctamente separadas, un ataque de phishing contra un equipo de oficina puede abrir un camino hacia sistemas operacionales más sensibles. Un inventario incompleto de activos crea otro problema: servidores, controladores y terminales de campo pueden seguir conectados sin un propietario claro ni un estado de mantenimiento actualizado. Segmentar las redes según la función empresarial y el nivel de seguridad, y mantener un inventario actualizado de hardware y software, facilita entender cómo están conectados los sistemas y qué rutas deben aislarse primero durante un incidente.

Por último, los registros, las copias de seguridad y la respuesta a incidentes determinan la eficacia con la que una organización puede actuar después de detectar actividad sospechosa. Sin registros suficientes, los investigadores pueden no saber cómo entró un atacante, qué cambió o si la actividad maliciosa continúa. Sin copias de seguridad probadas, la restauración de sistemas dañados puede tardar mucho más. Otra debilidad común es organizativa, no técnica: los equipos pueden no saber quién tiene autoridad para investigar, aislar equipos, declarar un incidente o iniciar la recuperación. Por ello, antes de una emergencia deben establecerse registros centralizados de inicios de sesión, cambios de configuración, alarmas y actividad de red anómala, junto con pruebas periódicas de restauración de copias de seguridad y responsabilidades de respuesta claramente asignadas.

Ninguna de estas medidas parece especialmente avanzada, pero en gran medida determinan si una organización puede detectar un incidente pronto, contenerlo y recuperarse sin una interrupción prolongada. También proporcionan la base sobre la que más adelante pueden desplegarse eficazmente tecnologías de ciberseguridad más sofisticadas.

¿Por qué las infraestructuras críticas deben combinar ciberseguridad y continuidad operativa?

Uno de los conceptos erróneos más comunes en seguridad de la información pública es pensar que un sistema seguro es aquel que nunca puede verse comprometido. Ningún entorno conectado puede garantizar que nunca se producirán vulnerabilidades, robo de credenciales, errores de configuración o ataques previamente desconocidos.

Por ello, la infraestructura crítica necesita una segunda capa de protección: si una parte de la red, el entorno de servidores o el sistema de control automatizado queda fuera de servicio, las operaciones esenciales deben conservar una forma viable de continuar.

Esto puede adoptar muchas formas. ¿Se almacenan las configuraciones críticas en una copia de seguridad sin conexión? ¿Puede una plataforma secundaria asumir el control si el sistema principal deja de estar disponible? ¿Pueden los operadores de campo seguir utilizando controles locales si se pierde el control remoto? ¿Existe un método independiente de comunicación si falla la red principal? ¿Saben los despachadores, el personal de guardia y los equipos de emergencia cómo entrar en un modo operativo degradado?

Esto no equivale a asumir que todos los sistemas acabarán siendo comprometidos. Es simplemente reconocer que las infraestructuras complejas experimentarán condiciones anormales. Los sistemas públicos resilientes se diseñan para que un fallo tecnológico no se convierta inmediatamente en un fallo del servicio.

Para un servicio de agua, la capacidad de pasar a operación manual puede ser por sí misma una medida importante de resiliencia. Pero esa capacidad tiene poco valor si solo existe en un manual de procedimientos. El personal debe saber utilizarla, los flujos de trabajo alternativos deben probarse y los equipos críticos deben poder seguir comunicándose aunque los sistemas digitales normales no estén disponibles.

¿Por qué la supervisión continua es más importante que investigar después de una interrupción?

Las autoridades de Pensilvania siguieron vigilando posibles ataques aunque en ese momento no se había confirmado ningún incidente local, al tiempo que mantenían la coordinación con socios de seguridad federales, estatales y locales. Este enfoque refleja otro principio importante de la seguridad de la información pública: la inteligencia de amenazas no puede quedar encerrada dentro de una sola organización.

Los mismos equipos de tratamiento de agua, controladores industriales, programas de administración remota o productos de red pueden utilizarse en servicios públicos de muchas ciudades y regiones. Si un operador detecta actividad de inicio de sesión inusual, escaneos maliciosos o una nueva técnica de ataque y comparte rápidamente esa información, otras organizaciones tienen la oportunidad de revisar sus propios sistemas antes de ser atacadas del mismo modo.

Por tanto, la seguridad de la información pública no debe recaer únicamente en el departamento de TI. El personal de operaciones, los equipos de ciberseguridad, los técnicos de mantenimiento de equipos, los responsables de emergencias y los socios externos necesitan un proceso claro para informar y compartir información de seguridad.

La supervisión continua también debe mirar más allá de si un dispositivo está simplemente en línea o fuera de línea. Inicios de sesión a horas inusuales, fallos repetidos de autenticación, cambios de configuración inesperados, dispositivos desconocidos que aparecen en la red, conexiones salientes anómalas y operaciones remotas que no coinciden con los patrones normales de trabajo pueden ser señales tempranas de un problema.

Pasar de la investigación posterior al incidente a una conciencia situacional continua ofrece a los operadores una mayor posibilidad de detectar actividad sospechosa mientras todavía se está desarrollando, en lugar de descubrir el problema solo después de que un servicio público ya se haya interrumpido.

¿Qué necesita construir realmente un programa eficaz de seguridad de la información pública?

Los ciberataques contra sistemas de agua son una puerta de entrada a un problema mucho más amplio. A medida que más servicios públicos dependen de redes IP, plataformas en la nube y administración remota, la seguridad de la información pública se vuelve inseparable de la fiabilidad del servicio.

La cuestión clave ya no es si una organización ha comprado suficientes productos de seguridad. Es si realmente entiende cómo están conectados sus sistemas, quién puede acceder a ellos, cómo se detectará la actividad sospechosa, cómo se contendrá un ataque y si las operaciones esenciales pueden continuar mientras se restauran los sistemas digitales.

Para las infraestructuras críticas, un programa maduro de seguridad de la información pública debería proporcionar al menos seis capacidades: reducir la exposición innecesaria, controlar el acceso, supervisar continuamente la actividad, limitar la propagación de una intrusión, mantener las operaciones esenciales y recuperar rápidamente los servicios.

La tecnología respalda estas capacidades, pero por sí sola no es suficiente. Las políticas, la concienciación del personal, los procedimientos operativos, la formación y la coordinación entre departamentos determinan si las medidas de seguridad funcionan cuando ocurre un incidente real.

Operar durante años sin sufrir un ciberataque importante es una situación normal, no una prueba de que pueda relajarse la protección. Gran parte del valor de la ciberseguridad es difícil de percibir durante la operación normal. Su importancia se hace visible cuando ocurre un evento anormal y la organización puede limitar el impacto, mantener los servicios esenciales y recuperar el funcionamiento normal sin retrasos innecesarios.

Ese es el verdadero propósito de la seguridad de la información pública: no afirmar que los sistemas públicos nunca fallarán, sino garantizar que, cuando algo salga mal, los servicios esenciales para la ciudad y la población puedan continuar.

FAQ

¿En qué se diferencia la seguridad de la información pública de la ciberseguridad empresarial ordinaria?

Muchas de las tecnologías subyacentes son las mismas, pero la seguridad de la información pública pone más énfasis en la continuidad de los servicios esenciales. Si deja de funcionar un sistema de agua, transporte, energía o gestión de emergencias, el efecto puede ir mucho más allá de los empleados de una sola organización. Por ello, la planificación de seguridad debe considerar conjuntamente la protección de la red, las operaciones físicas y la recuperación de emergencia. Una empresa puede medir principalmente el riesgo cibernético en términos de pérdidas de datos y financieras, mientras que las infraestructuras públicas críticas también deben tener en cuenta la seguridad pública y el impacto social.

¿La ausencia de un ciberataque actual significa que una región es segura?

No. La ausencia de un incidente confirmado solo significa que, en ese momento, no se ha confirmado un ataque concreto. No demuestra que no existan servicios expuestos a Internet, contraseñas débiles, sistemas obsoletos o riesgos de configuración. Las revisiones de seguridad deben continuar según los activos y el perfil de riesgo de la organización, en lugar de iniciarse únicamente después de detectar un ataque. Algunas intrusiones también pueden permanecer inadvertidas durante un periodo prolongado antes de producir efectos operativos visibles.

¿Por qué los servicios públicos deben reducir la exposición directa a Internet?

Cada interfaz de administración o dispositivo expuesto a Internet aumenta el número de sistemas que los actores externos pueden descubrir, escanear y probar. Cuando el acceso remoto es necesario para la operación, debe proporcionarse mediante rutas de acceso controladas con autenticación y autorización adecuadas, en lugar de dejar servicios de administración innecesarios expuestos permanentemente. Reducir la exposición directa elimina oportunidades para los atacantes incluso antes de considerar controles de seguridad más complejos.

¿Por qué las instalaciones críticas siguen necesitando capacidad de operación manual o local?

Si una red, un servidor o una plataforma de control remoto se interrumpe por un incidente cibernético o un fallo técnico, los controles locales y manuales pueden proporcionar un modo degradado de operación para los servicios esenciales. Estas capacidades no sustituyen a la ciberseguridad, pero reducen el riesgo de que el fallo de un único sistema digital detenga toda la operación. En las infraestructuras críticas, los sistemas digitales deben mejorar la eficiencia y la visibilidad sin convertirse en la única forma posible de mantener en funcionamiento un proceso esencial.