Ciberseguridad OT en Oil & Gas: el riesgo que no se perfora

La digitalización está cambiando la escala y la eficiencia de Vaca Muerta, pero también está poniendo en primer plano un riesgo que no se resuelve perforando más rápido ni produciendo más: cuanto más conectada está la operación, mayor es la necesidad de entender qué sistemas forman parte de ella, cómo se relacionan y qué sucede si alguno deja de estar disponible.

La creciente conectividad de Vaca Muerta ya está llevando la ciberseguridad al centro de la agenda energética. Un reciente análisis publicado por InfoEnergía advierte que muchas compañías todavía no tienen visibilidad completa sobre los dispositivos conectados a sus redes OT, en un contexto donde estos entornos se integran cada vez más con infraestructura IT, accesos remotos, proveedores y plataformas externas.

El riesgo no es abstracto. En agosto, Oldelval informó un ciberataque que afectó sus sistemas administrativos, aunque la operación de los oleoductos y el transporte de crudo continuaron con normalidad. El episodio vuelve especialmente concreta una discusión que la industria conoce desde hace tiempo: en 2021, Colonial Pipeline sufrió un ataque de ransomware que comprometió su red corporativa y llevó a la compañía a detener preventivamente su sistema de ductos mientras evaluaba el alcance del incidente.

Ambos casos, con impactos muy diferentes, muestran por qué la resiliencia no depende solamente de evitar un ataque. También depende de la capacidad para detectar qué está ocurriendo, contenerlo y evitar que un incidente en un entorno comprometa procesos críticos. En Oil & Gas, por eso, la ciberseguridad ya no puede pensarse como una capa técnica aislada: forma parte de la arquitectura que sostiene la continuidad del negocio.

Cuando IT y OT forman parte del mismo riesgo

La integración entre IT y OT generó avances concretos para la industria. Hoy permite tener mayor visibilidad sobre activos, monitorear procesos a distancia, integrar telemetría, anticipar fallas y tomar decisiones con información más cercana al tiempo real.

Pero esa misma integración modifica el mapa de riesgo.

Muchas redes industriales fueron diseñadas para contextos donde el nivel de conectividad era mucho menor al actual, mientras que hoy conviven con servicios cloud, herramientas corporativas, accesos de terceros y dispositivos distribuidos en diferentes puntos de la operación.

El desafío no es volver a aislar todo. Tampoco alcanza con instalar una nueva herramienta de seguridad. La pregunta de arquitectura es qué debe estar conectado, con qué, bajo qué condiciones y con qué nivel de acceso.

Por eso, la visibilidad sobre los activos es un punto de partida. Si una organización no sabe con precisión qué tiene conectado, quién accede y qué función cumple cada componente dentro del proceso productivo, difícilmente pueda establecer qué necesita proteger primero.

Marcos como IEC 62443 permiten ordenar esa discusión a partir de una evaluación de riesgos, la segmentación de los sistemas en zonas y conduits, y la definición de niveles y requerimientos de seguridad para cada entorno. Más que aplicar un estándar de manera aislada, el desafío está en traducir esos principios a decisiones concretas sobre la arquitectura y la operación.

El costo no está solamente en el incidente

Para una operación energética, el impacto más relevante de un ciberataque no necesariamente aparece en el sistema comprometido, sino en todo lo que depende de él.

Una interrupción puede afectar producción, transporte, planificación, cumplimiento de contratos o capacidad de respuesta en campo. Por eso, además de prevenir incidentes, una estrategia de ciberseguridad necesita contemplar cuánto tarda la organización en detectarlos, qué puede aislar sin detener el resto de la operación y cómo recupera sus sistemas de manera segura.

La conversación cambia cuando la seguridad se mide desde ese lugar. Ya no se trata solamente de la cantidad de alertas o vulnerabilidades detectadas, sino de qué tan preparada está la operación para seguir funcionando cuando algo ocurre.

Y esto cobra todavía más relevancia en un escenario en el que nuevas inversiones continúan ampliando la infraestructura energética argentina. A medida que se incorporan activos, sistemas y nuevas capacidades digitales, la superficie tecnológica que sostiene la producción también crece.

Integrar seguridad también requiere entender la operación

En Santex abordamos la ciberseguridad como parte de un desafío más amplio de integración tecnológica. Proteger una operación crítica requiere entender primero cómo funciona, qué información necesita, qué sistemas la sostienen y cómo trabajan las personas que interactúan con ellos.

Nuestra experiencia en el sector energético incluye proyectos donde integramos datos, sistemas y procesos para mejorar la visibilidad y la capacidad de decisión en operaciones vinculadas a Oil & Gas. En paralelo, en ciberseguridad industrial, trabajamos junto a Vectus y con tecnología Fortinet para fortalecer infraestructuras distribuidas, incorporando seguridad como parte de la continuidad del negocio. 

Seguridad para poder seguir avanzando

La respuesta al crecimiento de los riesgos digitales no puede ser frenar la transformación de la industria energética. Buena parte de las próximas mejoras en productividad, mantenimiento, analítica y capacidad de decisión van a depender precisamente de una operación cada vez más conectada.

La diferencia estará en cómo se produce esa integración.

Las organizaciones que tienen visibilidad sobre sus activos, segmentan adecuadamente sus redes, gobiernan los accesos y cuentan con capacidad de respuesta pueden incorporar nuevas tecnologías con mayor control y menos incertidumbre. En ese escenario, la ciberseguridad deja de ser una barrera para transformarse en una condición que permite avanzar.

Antes de decidir qué herramienta sumar, entonces, hay tres preguntas que conviene responder: ¿Qué parte de la operación no puede detenerse?, ¿Qué sistemas están conectados a ella? y ¿Qué capacidad existe hoy para reaccionar si alguno se ve comprometido?

En Oil & Gas, el riesgo digital no se perfora. Se diseña, se integra y se gestiona.

Si estás revisando cómo fortalecer la seguridad y resiliencia de tu operación, conversemos.