Guía de ciberseguridad industrial
Ley 21.663 de ciberseguridad: qué significa para tu SCADA
La Ley 21.663 creó la Agencia Nacional de Ciberseguridad y obliga a ciertas empresas a reportar sus incidentes con plazos cortos. Se escribió pensando en redes y datos, pero un PLC conectado también es un sistema informático. Aquí va a quién alcanza, cómo saber si es tu caso y qué hacer con el sistema de control igual.
Qué es la ANCI y a quién alcanza la ley
La ley crea la Agencia Nacional de Ciberseguridad, que el artículo 2 abrevia como ANCI. No alcanza a todas las empresas por igual: distingue a los prestadores de servicios esenciales y, dentro de ellos, a los operadores de importancia vital, que tienen más deberes.
El artículo 4 lista como servicios esenciales, entre otros, la generación, transmisión o distribución eléctrica; el transporte, almacenamiento o distribución de combustibles; el agua potable y saneamiento; las telecomunicaciones; la infraestructura y los servicios digitales; el transporte terrestre, aéreo, ferroviario o marítimo y su infraestructura; la banca; y la salud. La ANCI puede calificar otros servicios como esenciales por resolución fundada.
¿Tu SCADA o tus PLC tienen acceso remoto?
Mándanos un esquema simple de la red y cómo entra el soporte externo. Te decimos qué ordenar primero.
¿Mi empresa es operador de importancia vital?
La minería no aparece nombrada en la lista del artículo 4, y no vamos a decir que esté adentro o afuera: depende de lo que haga cada empresa y de lo que resuelva la Agencia. Lo que sí se puede hacer es leer los criterios.
Según el artículo 5, la ANCI puede calificar como operador de importancia vital a quien cumpla dos requisitos: que su servicio dependa de redes y sistemas informáticos, y que su afectación tenga un impacto significativo en la seguridad, el orden público o la provisión de servicios esenciales. También puede calificar a una empresa privada que no sea servicio esencial, si tiene un rol crítico en el abastecimiento de la población o en la producción de bienes indispensables o estratégicos, considerando su tamaño.
El artículo 6 dice cómo se sabe: la Agencia arma una nómina preliminar, la somete a consulta pública por treinta días corridos en el caso de las empresas privadas, y dicta una resolución que revisa al menos cada tres años. Si tu empresa tiene una central eléctrica propia, una línea de transmisión o un sistema de agua que abastece a una comunidad, conviene revisar esa nómina con tu área legal.
Por qué un sistema de control no es un computador de oficina
En TI, ante un ataque, lo normal es aislar el equipo y reinstalar. En un sistema de control eso puede parar una bomba de agua, abrir una correa o dejar un estanque sin nivel. Por eso la seguridad de lo que en la industria se llama OT, la tecnología de operación, se piensa distinto:
- La disponibilidad manda. Un parche que exige reiniciar un PLC en operación se planifica como una detención, no se instala un martes cualquiera.
- Los equipos viven mucho. Un PLC o un panel de operador pueden seguir funcionando con un sistema que el fabricante ya no actualiza.
- El acceso remoto es la puerta. El soporte del integrador entrando por un programa de escritorio remoto sin control es uno de los caminos más directos hacia el proceso.
- Un incidente puede empezar en la planta. Un cambio de programa que nadie autorizó también es un evento de seguridad, aunque no haya un hacker.
Medidas básicas en un SCADA, aplique o no la ley
Si la ley no te alcanza, estas medidas igual reducen el riesgo de que un error o un ataque detenga la operación. Son las que revisamos cuando intervenimos un sistema de SCADA y PLC:
- Inventario de lo conectado: cada PLC, panel, módem 4G y servidor, con su dirección y su dueño.
- Red del control separada de la red de oficina, con un solo punto de paso controlado entre ambas.
- Acceso remoto solo por un canal definido, con usuario por persona y que se apague cuando no se usa.
- Contraseñas de fábrica cambiadas en PLC, paneles, switches y módems.
- Respaldo del programa de cada PLC y del SCADA, guardado fuera de la planta y con fecha.
- Registro de quién cambió qué programa y cuándo.
- Un procedimiento escrito de a quién se avisa si algo raro pasa, que sirve también para cumplir el artículo 9 si te aplica.
Multas por gravedad
El artículo 40 fija multas a beneficio fiscal según la gravedad: las infracciones leves hasta 5.000 UTM, las graves hasta 10.000 UTM y las gravísimas hasta 20.000 UTM. Si se trata de un operador de importancia vital, los topes se duplican: 10.000, 20.000 y 40.000 UTM respectivamente. Más detalles de cómo se integra el control con la telemetría están en automatización y telemetría.
¿Qué es la ANCI?
Es la Agencia Nacional de Ciberseguridad que crea la Ley 21.663. Califica a los operadores de importancia vital y puede sumar nuevos servicios esenciales por resolución fundada. Los reportes de incidentes que exige la ley se envían al CSIRT Nacional.
¿Mi empresa es operador de importancia vital?
Solo si la ANCI la califica así por resolución, tras una nómina preliminar y una consulta pública de treinta días para las privadas. Los criterios son que el servicio dependa de sistemas informáticos y que su afectación tenga un impacto significativo. Revisa la nómina vigente con tu área legal.
¿En cuánto tiempo hay que reportar un incidente?
Según el artículo 9, alerta temprana dentro de tres horas desde que se conoce el incidente, actualización dentro de setenta y dos horas, o de veinticuatro si es operador de importancia vital, e informe final dentro de quince días corridos desde la alerta.
¿Qué medidas básicas protegen un PLC?
Separar la red de control de la de oficina, controlar el acceso remoto con usuario por persona, cambiar las contraseñas de fábrica, respaldar los programas fuera de la planta y registrar quién cambia qué. No requieren equipos caros, sino orden.
¿Tienes un trabajo pendiente en la faena?
Mándanos qué necesitas, dónde está y una foto o un plano. Te respondemos por WhatsApp con las preguntas que faltan y la propuesta.
Solicitar cotización formalPara empresas y contratistas: mandas los antecedentes y respondemos con propuesta por escrito.