Cuando la seguridad interfiere con la producción
Una cosa que escucho con frecuencia es Industria manufacturera y logística El problema con los clientes es que la seguridad se interpone en el camino del trabajo que debería proteger.
Un control puede tener un sentido perfecto para el equipo de TI, pero será mucho más difícil de implementar en la planta de producción. Una conexión se bloqueará. Un dispositivo dejará de comunicarse. Los datos no llegarán a la persona que los necesita. Un ingeniero no podrá obtener el acceso que necesita. Una solicitud rutinaria será rechazada porque parece demasiado arriesgada.
Es entonces cuando la tensión se hace evidente. En Operations se considera que la seguridad es un obstáculo para llevar a cabo la tarea. En IT se considera que Operations solicita excepciones que podrían aumentar la exposición de la empresa.
Y cuando ninguna de las partes puede tomar la decisión, el asunto se traslada hasta el nivel más alto, a menudo hasta la dirección ejecutiva.
De mis conversaciones con organizaciones de fabricación y logística, generalmente se trata de un signo de un problema más grave. Significa que las decisiones en materia de seguridad cibernética no se adoptan con suficiente conocimiento de cómo funcionan realmente las operaciones de producción y almacén. Cerrar todas las puertas puede parecer la opción más segura, pero también puede impedir que la empresa funcione como debería.
¿Por qué la seguridad y la producción van en direcciones opuestas?
Las plantas de fabricación y las operaciones logísticas son entornos complicados y interconectados. El equipo de producción, los sistemas de gestión de almacenes, los escáneres, los sistemas de mantenimiento, los paneles de control, las integraciones con los clientes, las aplicaciones empresariales y los servicios de terceros deben funcionar de forma conjunta. Además, a menudo necesitan funcionar de forma continua.
La amenaza cibernética también es real. El Índice de Inteligencia de Amenazas X-Force de IBM para 2026 Se descubrió que la industria manufacturera representó el 27,7% de los incidentes observados, convirtiéndose en la industria más atacada por quinto año consecutivo.
Pero un control que parezca sensato desde la perspectiva de la TI corporativa puede tener un efecto muy diferente en el terreno de la planta.
Por ejemplo, bloquear una conexión remota podría reducir el riesgo cibernético, pero dejaría al ingeniero de mantenimiento incapacitado para acceder a los datos de diagnóstico necesarios para reiniciar una línea de producción. En un almacén, una política de dispositivos estrictamente controlada podría impedir que los escáneres se reconecten al sistema de gestión de almacén tras una actualización de software, ralentizando el cumplimiento de pedidos mientras el equipo espera la aprobación de IT.
La TI tiene la responsabilidad de reducir la exposición, cumplir con los requisitos de cumplimiento y prevenir incidentes. Las operaciones deben mantener el flujo de producción, al tiempo que gestionan la producción, la calidad, la seguridad y la continuidad.
El problema surge cuando cada lado evalúa el riesgo desde su propia perspectiva, con poca comunicación estructurada entre departamentos y sin un proceso compartido para evaluar la exposición cibernética en función de los impactos operativos.
¿Por qué la alta dirección puede acabar tomando la decisión?
Cuando TI y operaciones se encuentran en partes separadas de la organización, su primer responsable de decisiones común puede ser un líder sénior. Esto puede tener sentido en el caso de una inversión importante o de un riesgo comercial significativo, pero no tiene mucho sentido en las cuestiones cotidianas relacionadas con el acceso, la conectividad, la arquitectura o el riesgo operativo.
Cuando los desacuerdos se trasladan hasta la cima de la cadena de mando, la alta dirección se enfrenta a una elección: aceptar más riesgos cibernéticos o aceptar los impactos operativos. Ninguno de estos dos casos es una opción particularmente buena. Ambos resultan en un proceso de toma de decisiones más lento y una mayor incertidumbre sobre quién es el responsable de los riesgos. El objetivo debería ser resolver la mayoría de estos problemas mucho antes de que lleguen a la alta dirección.
Para las organizaciones incluidas en NIS2, Hay otra razón por la que estas preguntas suben en la lista. Artículo 20 Dice que los órganos de gestión deben aprobar las medidas de gestión de riesgos de ciberseguridad y supervisar cómo se ponen en práctica. Esto hace que los líderes superiores sean responsables, pero no debería significar que cada decisión cotidiana recaiga en su mesa de trabajo. En Bélgica, el Centro de Ciberseguridad de Bélgica Marco de CyberFundamentals, o CyFun, También puede proporcionar a las organizaciones un punto de partida práctico para decidir qué medidas necesitan.
Instale una capa de decisiones prácticas
Las organizaciones manufactureras y logísticas no necesitan otra gran comisión. Necesitan un foro práctico donde las personas adecuadas puedan evaluar conjuntamente el riesgo cibernético y operativo y tomar una decisión. Esto podría incluir seguridad informática, operaciones de planta o almacén, ingeniería o OT, mantenimiento, calidad y cumplimiento, dependiendo del problema.
Lo importante es que estas personas comprenden ambos lados del problema y tienen la autoridad necesaria para tomar una decisión.
La conversación debe alejarse de: “¿Podemos permitir esto?” A: “¿Qué estamos tratando de lograr, qué es el riesgo y ¿qué es la forma más segura y práctica de hacerlo?”
Es una conversación mucho más útil.
Seis formas de hacer que la seguridad cibernética sea efectiva en las plantas y almacenes
Comienza con lo que la planta necesita para lograrlo
Antes de discutir el control, comprenda el resultado. ¿Necesita un ingeniero acceso remoto? ¿Necesita un nuevo dispositivo conectarse? ¿Necesita que los datos de producción estén disponibles en otro lugar? ¿Necesita que la línea siga funcionando?
De ahí en adelante cambia la conversación. Se busca una forma segura de lograr el resultado, en lugar de simplemente decidir si aprobar o rechazar una solicitud.
Considere los riesgos operativos y cibernéticos juntos
El riesgo cibernético solo es una parte del panorama. También es necesario considerar el tiempo de inactividad, la pérdida de producción, los retrasos en la mantenimiento, la seguridad y la calidad. El informe de referencia de Honeywell sobre ciberseguridad OT para septiembre de 2026 Se descubrió que los encuestados reportaron una media de 16,2 horas de inactividad en sus incidentes de ciberseguridad más significativos.
Pero el mismo principio funciona en la otra dirección. Un control de seguridad que genere un riesgo operativo significativo debe ser examinado con la misma atención. En el propio lugar de trabajo, hay poco margen para la ambigüedad: el escáner se conecta, los datos de mantenimiento llegan y la línea sigue funcionando, o el proceso se ralentiza. Honeywell descubrió que 21% de los encuestados afectados por los incidentes estimaron que los costos de la parada de la producción superaban los $100.000 por hora, incluyendo 4% que los situaron por encima de los $500.000 por hora.. La pregunta no es simplemente “¿Es este sistema seguro?” sino “¿Es este el nivel de riesgo adecuado para la empresa?”
Sea claro sobre quién puede tomar la decisión
No todas las decisiones de seguridad deben requerir la aprobación de un ejecutivo de categoría superior. Debe quedar claro qué decisiones pueden tomarse a nivel local, funcional y ejecutivo. Si una excepción cuenta con salvaguardas acordadas y se ajusta a un umbral de riesgo establecido, las personas más cercanas al asunto deben poder tomar la decisión. También es útil acordar enfoques estándar de antemano, como una forma de gestionar el acceso remoto de los proveedores o la incorporación de un nuevo dispositivo. De esa manera, los equipos no tendrán que reabrir la misma discusión cada vez. Guarde las escaladas de problemas para decisiones con implicaciones más amplias para la empresa, la normativa o la seguridad.
Busque alternativas prácticas
A veces, el control de seguridad ideal simplemente no es práctico en un entorno de producción. Eso no significa que la respuesta tenga que ser negativa. Puede haber otras opciones: acceso segmentado, permisos limitados en el tiempo, autenticación más robusta, monitoreo adicional o una ventana de mantenimiento controlada. IEC 62443 Ofrece a los equipos de TI y OT una forma útil de hablar sobre esto. Los sistemas con necesidades de seguridad similares pueden ser agrupados en zonas, con reglas claras sobre cómo se desplazan la información entre ellas a través de conductos. Esto hace que el acceso segmentado sea más concreto. El objetivo es reducir el riesgo sin detener el trabajo.
Medir si la seguridad está ayudando
Es fácil medir las vulnerabilidades, los incidentes y los intentos bloqueados. Pero también sería interesante ver cómo la seguridad está afectando al funcionamiento de la planta. ¿Cuánto tiempo se pierde en problemas relacionados con los controles de seguridad? ¿Cuántas excepciones se solicitan? ¿Cuánto tiempo tarda en aprobarse una solicitud? ¿Con qué frecuencia se escalan los mismos problemas? Estas medidas revelan algo importante: si la seguridad está ayudando a la planta a ser más resistente o está creando nuevas dificultades que alguien más tiene que gestionar.
Diseño para una capacidad limitada
La capacidad también es importante. Los estrictos requisitos de seguridad pueden consumir tiempo escaso en redes, seguridad e ingeniería, especialmente cuando los equipos gestionan muchos sistemas en diferentes ubicaciones. A menudo, los equipos tienen que evaluar de nuevo los mismos tipos de solicitudes o analizar volúmenes grandes de registros para encontrar las alertas que realmente importan. Las aproximaciones estándar, los controles reutilizables y la triaje sensato pueden ayudar a los equipos a concentrar su tiempo en lo que aporta más valor.
La automatización y la inteligencia artificial pueden ayudar en tareas como la clasificación de registros o la verificación de los cambios propuestos. Pero son útiles solo cuando se aplican de manera adecuada y con datos completos y precisos en el contexto adecuado.
La seguridad y la productividad no son objetivos opuestos
De las conversaciones que tengo con organizaciones manufactureras y de logística, no veo la seguridad y las operaciones como dos partes que deben ganar un argumento. Están tratando de proteger lo mismo: un negocio que necesita seguir funcionando.
Menos seguridad obviamente no es la respuesta. Tampoco es poner cada vez más controles alrededor de las operaciones de producción y logística sin considerar cómo funcionarán en la práctica. Es tomar mejores decisiones juntos. Cuando los líderes de TI, seguridad y operaciones comprendan las prioridades del otro, tengan una forma práctica de equilibrar el riesgo y tengan la autoridad para tomar decisiones a nivel adecuado, serán menos los problemas que llegarán a la alta dirección.
Y es mucho más probable que la seguridad haga lo que se supone que debe hacer: proteja la producción, en lugar de obstaculizarla.
Desmantelando los silos con la Calidad Total
El enfoque Total Quality de Resillion reúne a los equipos para ofrecer un enfoque más integrado de la garantía.
En un proyecto de logística, combinamos ingeniería de calidad, rendimiento, seguridad operativa y seguridad cibernética en un único proceso. medio ambiente de los servicios de ferry conectados. Esto proporcionaba a las diferentes áreas de la empresa una visión compartida del riesgo y de cómo funcionaba la operación en su conjunto, en lugar de evaluar cada área de forma aislada. Aplicamos el mismo enfoque a las organizaciones de fabricación, transporte y logística: incorporando capacidades especializadas y una garantía integrada, mientras el equipo propio del cliente conserva la propiedad.
Habla con un experto del sector Sobre la puesta en práctica de la Calidad Total.
