Estrategias del NIST para blindar la ciberseguridad en sistemas de automatización y control

Según ha publicado el Instituto Nacional de Estándares y Tecnología (NIST), ya hay recomendaciones prácticas para proteger los sistemas de automatización y control de edificios (BACS) frente a las amenazas de ciberseguridad de la tecnología operativa (OT). La novedad no es una nueva caja que lo resuelve todo, sino un aviso contra el error de tratar cada dispositivo como si viviera aislado. Si una cerradura, un termostato o un televisor conectados pueden abrir una vía hacia sistemas más sensibles, el perímetro no está en el equipo: está en sus relaciones.

La conectividad redefine el perímetro

La información de Hotel Management Network sobre la hotelería conectada muestra el problema con bastante claridad. La conectividad puede mejorar la experiencia del huésped y hacer más eficientes las operaciones, pero también aumenta el número de dispositivos, integraciones y conexiones externas que los operadores deben proteger. Una habitación puede incluir televisión, iluminación, control de temperatura, sensores de ocupación, cerraduras digitales y plataformas de entretenimiento; algunos espacios incorporan además control por voz o aplicaciones móviles.

Esos productos pueden proceder de fabricantes distintos, ejecutar software diferente y tener capacidades y ciclos de actualización diferentes. Cuando crece la variedad, mantener visibilidad sobre lo instalado y sobre si sigue siendo seguro se vuelve más difícil. El cuello de botella habitual no es la falta de dispositivos, sino la falta de control sobre sus relaciones.

La comprobación decisiva no es solo si el dispositivo funciona, sino qué puede alcanzar desde él. Hay que revisar qué sistemas pueden comunicarse entre sí, qué sistemas pueden llegar a otros y qué controles limitan el impacto si uno queda comprometido. El sistema de gestión del hotel puede actuar como centro operativo y relacionarse con el punto de venta, las cerraduras, la red Wi-Fi, los servicios al huésped y socios externos. Si la respuesta existe solo en un diagrama que no coincide con las conexiones reales, el punto crítico no está resuelto: está documentado de forma impecable y sigue abierto.

La seguridad empieza antes de conectar

El material hotelero sitúa la seguridad en la compra, el despliegue, la operación y la retirada del producto. No aparece de repente después de la puesta en marcha. Un producto conectado puede tener vulnerabilidades en la autenticación, el software, las comunicaciones o la configuración. También puede ser difícil de proteger si el fabricante deja de proporcionar actualizaciones o si la instalación no tiene un proceso eficaz para aplicarlas. El ciclo de vida, por tanto, no es papel administrativo: es parte del sistema de control.

NIST también relaciona estas cuestiones con su Publicación Especial 800-82, una guía de seguridad de la tecnología operativa que atiende a requisitos propios de rendimiento, fiabilidad y seguridad. Una protección que no pueda mantenerse sin romper la operación no sirve, pero una operación que deja rutas sin controlar tampoco es seguridad. Antes de instalar, conviene revisar cómo se aplicarán las actualizaciones, qué ocurre al terminar la vida útil y cómo se retirará el equipo. Si la respuesta es dejarlo para más adelante, la conectividad ha convertido una incidencia de mantenimiento en una responsabilidad permanente.

La falta de recursos no elimina el perímetro

Industrial Cyber presenta las orientaciones de NIST como pasos prácticos para operadores de BACS con recursos limitados. Eso no convierte la ciberseguridad en una instalación exprés ni autoriza a conectar sistemas sin revisar sus dependencias. El trabajo sensato consiste en hacer visibles las relaciones entre el PMS, el punto de venta, las cerraduras, la red Wi-Fi, los servicios al huésped y los servicios externos, además de identificar qué controles pueden reducir el alcance de un compromiso.

La información de Hotel Management Network cita una evaluación del Gobierno británico publicada en 2025 que detectó software obsoleto, configuraciones inseguras y vulnerabilidades en dispositivos empresariales conectados, incluidos productos utilizados para el acceso al edificio y la reserva de habitaciones. El material advierte de que esas vulnerabilidades podrían permitir comprometer remotamente algunos dispositivos y ofrecer una vía hacia sistemas informáticos más amplios. No hace falta convertir cada instalación en una fortaleza experimental; hace falta no confundir conectividad con control.

El aviso final es severo: una debilidad en un dispositivo no es un incidente aislado si desde él se puede llegar a sistemas sensibles. Si el fabricante deja de actualizar, o si la instalación no puede aplicar las actualizaciones, comprar otro dispositivo no arregla el problema de seguridad. La salida no pasa por llenar el edificio de herramientas, sino por tener visibilidad, límites de impacto y un ciclo de vida controlado. Si asumes que el perímetro está resuelto porque todo funciona, fallará: la negligencia está en la decisión de no haberlo comprobado.