Seguridad
Protección de sistemas OT bajo ENS, IEC 62443, NIST e IACS UR E26/E27.
Un sistema de control no se puede apagar para parchearlo, no se puede reiniciar porque toque mantenimiento y cuando se detiene se para una planta, un edificio o una infraestructura crítica.
Esa es la diferencia entre la ciberseguridad industrial y la de oficina, y es la razón por la que no basta con aplicar las recetas del mundo IT. En DES, sabemos qué se puede tocar y qué no ya que venimos de diseñar y poner en marcha esos sistemas.
Auditoría. Evaluamos el estado real de la instalación: inventario de activos, arquitectura de red, accesos, exposición y vulnerabilidades. Sobre el sistema vivo, sin interrumpir la operación.
Consultoría. Traducimos el resultado a un plan priorizado por riesgo y por viabilidad operativa.
Implantación. Ejecutamos las medidas. Configuración de equipos de red y seguridad, segmentación de la red industrial y bastionado de los sistemas de control.
Ese último punto es el que marca la diferencia. Segmentar una red OT en producción exige saber qué comunica con qué y qué pasa si se corta, y eso solo se sabe habiendo construido ese tipo de instalaciones.
Sistemas de control industrial en entornos de producción, infraestructura crítica y edificios con sistemas de gestión centralizada y sistemas embarcados, donde los marcos de las sociedades de clasificación añaden requisitos propios.
Ejecutamos trabajos de ciberseguridad en instalaciones conforme a las especificaciones UFGS del Departamento de Defensa de Estados Unidos: auditoría de seguridad de sistemas, análisis de riesgos y vulnerabilidades, controles de acceso, registro y monitorización, y evaluación y autorización de controles de seguridad.
Trabajar en ese marco implica una disciplina de entrega distinta —documentación por submittals, arquitecturas de red segregadas y validación formal de cada control— que después aplicamos también a los proyectos civiles.
Trabajamos sobre los esquemas que exige cada entorno: Esquema Nacional de Seguridad para el sector público, NIS2 para operadores de servicios esenciales, el marco NIST de ciberseguridad, IEC 62443 para sistemas de automatización y control industrial, y las unificaciones IACS UR E26 y E27 en el ámbito naval.
Cuando el proyecto es nuestro —un cuadro de control, un SCADA, una integración— la seguridad no es una fase posterior. Va en la arquitectura desde el principio, porque añadirla después siempre cuesta más y protege peor.
