¿Qué es la infraestructura crítica y por qué su ciberseguridad nos afecta a todos?

En mayo de 2021, millones de personas en el este de Estados Unidos descubrieron de golpe que la distribución de gasolina que consumen sus autos dependía de algo que nunca habían visto: unas cuantas líneas de código. Un ataque de tipo ransomware —un programa malicioso que secuestra los sistemas de una organización y exige un pago para liberarlos— comprometió la red informática de Colonial Pipeline, la empresa que opera el mayor sistema de ductos de combustible del país y que transporta cerca del 45 % de la gasolina, el diésel y el combustible de avión que consume esa región. La compañía decidió apagar por completo la operación del ducto para evitar que la intrusión se propagara, y durante casi una semana el combustible dejó de fluir con normalidad.

Las consecuencias se sintieron en la calle, no en una sala de servidores. Las filas en las gasolineras se alargaron, los precios subieron y en varias ciudades la mayoría de las estaciones amaneció sin existencias por las compras de pánico. El dato más revelador del episodio es que los atacantes nunca tocaron las bombas, las válvulas ni los sensores físicos del ducto: entraron por la parte administrativa, la de las facturas y los correos, y aun así bastó para frenar una arteria energética de un país entero. Ese contraste resume bien por qué la ciberseguridad de la infraestructura crítica dejó de ser un asunto técnico reservado a especialistas para convertirse en una conversación que nos involucra a todos.

¿Qué es la infraestructura crítica?

La infraestructura crítica es el conjunto de sistemas que sostienen los servicios esenciales de una sociedad: la electricidad, el agua potable, los hospitales, el sistema financiero, el transporte y las telecomunicaciones. Lo que los vuelve “críticos” es que su interrupción no causa una simple molestia, sino un daño en cadena para la economía, la salud y la seguridad de las personas. Cuando funcionan, son invisibles; los notamos solo cuando fallan.

Una manera útil de imaginarlo es pensar en una casa. Los servicios digitales que usamos a diario —las apps, las plataformas, los trámites en línea— son las habitaciones donde ocurre la vida; la infraestructura crítica es lo que está detrás de los muros: los cimientos, las tuberías y el cableado eléctrico que hacen posible que cada habitación funcione. Nadie se detiene a admirar la instalación eléctrica de su casa, hasta el día en que un cortocircuito deja todo a oscuras y se vuelve imposible cocinar, trabajar o estudiar.

Cuando lo digital y lo físico se encuentran

Durante décadas, los sistemas que controlaban una planta de agua, una subestación eléctrica o una línea de producción vivían aislados de las redes de telecomunicaciones. Operaban con sus propias máquinas, sin conexión a internet, en una especie de burbuja. Esa separación empezó a desaparecer cuando la digitalización demostró su enorme valor: conectar esos sistemas a una red permite monitorear una planta a distancia, anticipar una falla antes de que ocurra y optimizar el consumo de energía en tiempo real.

Esa conexión, que trae beneficios reales, también abre puertas que antes no existían. En el mundo de la ciberseguridad se distingue entre dos capas que ahora conviven: la tecnología de la información, que maneja datos, correos y facturas, y la tecnología de operación, que controla equipos físicos como bombas, compuertas y medidores a través de sistemas conocidos como  Supervisory Control and Data Acquisition (SCADA) y recientemente se están utilizando ya sistemas no propietarios basados en IIoT (Industrial Internet of Things). El caso de Colonial Pipeline mostró que las dos capas ya se encuentran en red y están tan entrelazadas que un problema en la primera puede obligar a detener la segunda, aunque el atacante nunca haya tocado un solo equipo físico.

De ahí surge un concepto que conviene tener presente: la ciberresiliencia. No se trata únicamente de levantar muros más altos para impedir cualquier ataque, porque la experiencia internacional demuestra que ningún muro es infalible. Se trata, sobre todo, de la capacidad de seguir operando bajo presión y de recuperarse rápido y minimizando pérdidas cuando algo falla, de la misma forma en que un edificio bien diseñado no solo intenta evitar un sismo, sino que está pensado para resistirlo y volver a funcionar pronto.

¿Por qué esto importa para México?

México atraviesa un proceso acelerado de digitalización en casi todos los servicios que sostienen la vida cotidiana. La electricidad, el agua, la banca, los hospitales y las redes de telecomunicaciones dependen cada vez más de sistemas conectados, lo que mejora su eficiencia y, al mismo tiempo, amplía la superficie expuesta a incidentes. Cada nuevo sensor, cada medidor inteligente y cada trámite que migra a internet aporta valor y, a la vez, suma un punto que conviene proteger.

El asunto toca de cerca a las empresas, y de manera especial a las micro, pequeñas y medianas, que forman la columna vertebral del empleo en el país. Una pequeña distribuidora, un despacho contable o un proveedor de servicios para una planta puede convertirse sin saberlo en la puerta de entrada hacia una red mucho más grande, porque los atacantes buscan el eslabón menos protegido de la cadena. Proteger a ese segmento no es un lujo corporativo, sino una condición para que la digitalización se traduzca en productividad y no en una nueva fuente de fragilidad.

Hay además una dimensión que rara vez se nombra: la confianza. Las personas adoptan la banca digital, los expedientes médicos electrónicos o los pagos en línea solo si confían en que esos sistemas funcionarán y resguardarán su información. Cuando esa confianza se rompe, la adopción se frena y se posterga el beneficio que la tecnología podía traer a la inclusión y al desarrollo. La ciberseguridad de la infraestructura crítica es, en el fondo, la base sobre la que se construye la confianza de un país en su propio futuro digital.

Lo que está en juego

El caso de Colonial Pipeline no es una rareza. En diciembre de 2015, un ataque dejó sin electricidad a unas 230,000 personas en Ucrania durante varias horas, cuando los atacantes lograron tomar el control de los sistemas de tres distribuidoras y apagaron subestaciones de forma remota. Fue el primer apagón provocado de manera deliberada por medios digitales que se reconoció públicamente, y demostró que una red eléctrica puede manipularse a distancia con efectos físicos y sociales inmediatos.

El agua tampoco está al margen. En distintos países se han documentado intentos de manipular los sistemas de control de plantas de tratamiento, alterando procesos que regulan la calidad y el suministro. Estos episodios comparten un patrón con el de Colonial: muchas veces el acceso no llega por una hazaña tecnológica sofisticada, sino por una contraseña reutilizada, un correo engañoso o un proveedor con defensas débiles. La buena noticia es que ese mismo patrón indica dónde concentrar los esfuerzos de protección.

Los retos para México

El primer reto es de organización. Hoy el país aborda la ciberseguridad de su infraestructura crítica de forma dispersa, con responsabilidades repartidas y sin un enfoque integral que conecte la electricidad, el agua, la nube y los centros de datos bajo una misma lógica de resiliencia. Esa fragmentación dificulta coordinar una respuesta cuando un incidente cruza varios sectores a la vez.

A ese desafío se suman otros igual de concretos: la escasez de talento especializado en la seguridad de sistemas industriales, distinta de la informática tradicional; la convivencia con equipos heredados que son difíciles de actualizar; la creciente dependencia de proveedores externos y de servicios en la nube; y una cultura de prevención que todavía está madurando, tanto en el sector público como en muchas empresas. Ninguno de estos obstáculos es exclusivo de México ni insalvable, y conviene mirarlos como una agenda de trabajo más que como motivo de alarma.

Qué se puede hacer

Para una empresa, la protección empieza por medidas accesibles y de alto impacto. Mantener respaldos de información fuera de la red principal y probarlos con regularidad, exigir más de un factor para acceder a los sistemas, separar la red administrativa de la que controla equipos físicos, diseñar controles de acceso robustos que jerarquizen los niveles de acceso así como incorporar y mantener actualizado un plan de continuidad que responda a la pregunta “¿qué hacemos si mañana nuestros sistemas se detienen?”. Todo lo anterior reduce de forma considerable el riesgo. La formación del personal cierra el círculo, porque la mayoría de los incidentes comienza con un clic en un correo que parecía legítimo.

En el plano de las políticas públicas, varias líneas de acción merecen análisis. Avanzar hacia un enfoque integral de ciberresiliencia para la infraestructura crítica; adoptar criterios proporcionales al riesgo, de modo que los operadores más sistémicos asuman mayores responsabilidades sin imponer cargas innecesarias a los pequeños; establecer mecanismos de reporte de incidentes que permitan una respuesta coordinada; y realizar ejercicios de simulación que preparen a las instituciones para un apagón, una falla en una planta de agua o la caída de un servicio en la nube. La coordinación entre gobierno, industria, academia y sociedad civil convierte estas piezas sueltas en una capacidad nacional.

Una decisión que se toma hoy

La infraestructura crítica seguirá digitalizándose, porque los beneficios en eficiencia, productividad e inclusión son demasiado grandes para renunciar a ellos. La pregunta no es si avanzamos, sino con qué nivel de preparación lo hacemos. México tiene la oportunidad de construir esa preparación desde ahora, mientras el proceso todavía está en marcha y las decisiones de diseño son más sencillas de tomar que de corregir.

Cada apagón ajeno, cada ducto detenido en otro país, funciona como un ensayo gratuito de lo que conviene anticipar en casa. Aprovechar esas lecciones, invertir en resiliencia y tejer la coordinación necesaria es una manera concreta de proteger la luz, el agua y los servicios que damos por hechos. El futuro digital de México no se juega solo en las pantallas que vemos, sino en los cimientos invisibles que las sostienen, y vale la pena cuidarlos con la misma seriedad con la que cuidamos todo aquello que sostiene la vida diaria.

---

CISA, The Attack on Colonial Pipeline: What We’ve Learned & What We’ve Done — https://www.cisa.gov/news-events/news/attack-colonial-pipeline-what-weve-learned-what-weve-done-over-past-two-years

NJCCIC, Colonial Pipeline Incident: Ransomware Impacts and Mitigation Strategies — https://www.cyber.nj.gov/threat-landscape/cybersecurity-for-critical-infrastructure/colonial-pipeline-incident-ransomware-impacts-and-mitigation-strategies

CISA, Cyber-Attack Against Ukrainian Critical Infrastructure — https://www.cisa.gov/news-events/ics-alerts/ir-alert-h-16-056-01