11 noviembre 2026
Marco regulatorio colombiano para seguridad digital industrial
El Decreto 338 de 2022 fija los lineamientos generales para fortalecer la gobernanza de la seguridad digital en Colombia. Cubre la identificación de infraestructuras críticas cibernéticas y de servicios esenciales, la gestión de riesgos y la respuesta a incidentes. Según el texto del decreto publicado por MinTIC, las autoridades que sean titulares de infraestructura crítica o presten servicios esenciales deben propender por contar con un plan de seguridad digital y hacer de forma periódica una evaluación del riesgo. Para un gerente de planta, la lectura útil es que la seguridad digital dejó de ser un asunto solo de informática y pasó a ser una obligación documentada, con plan, evaluación y trazabilidad.
El mismo decreto asigna al Ministerio de Tecnologías de la Información y las Comunicaciones la tarea de levantar el inventario de infraestructuras críticas públicas cibernéticas nacionales y de servicios esenciales en el ciberespacio. Ese inventario debe actualizarse como mínimo cada dos años. Quedar o no dentro de él depende de la naturaleza del servicio que se presta, y una planta que abastece a entidades públicas o a sectores esenciales conviene que lo averigüe antes de que se lo pregunten en una auditoría o en un contrato.
A esto se suma la Resolución 500 de 2021 del MinTIC, que establece lineamientos para implementar el Modelo de Seguridad y Privacidad de la Información (MSPI). La norma incluye además la guía de gestión de riesgos de seguridad de la información y el procedimiento para la gestión de incidentes de seguridad digital. Los sujetos obligados deben implementar mecanismos de gestión y monitoreo que protejan la infraestructura de TI frente a amenazas físicas y digitales. Esa mención a lo físico pesa en una fábrica, donde un cuarto de comunicaciones sin control de acceso es tan relevante como un puerto abierto.
Para delimitar qué cuenta como crítico, ColCERT publicó sus lineamientos de identificación. El documento define las infraestructuras críticas cibernéticas como sistemas y activos, físicos o virtuales, soportados por tecnologías de la información y las comunicaciones, cuya afectación significativa tendría un impacto grave en el bienestar social o económico o en el funcionamiento efectivo del gobierno o la economía. Quien opera líneas de producción, subestaciones o sistemas de control puede usar esa definición como primer filtro para decidir qué activos entran en su análisis de riesgo.
Qué exige ISA/IEC 62443 en entornos OT e IACS
Mientras la normativa colombiana marca el qué y el quién, el estándar de referencia para el cómo en automatización industrial es la serie ISA/IEC 62443. ISA, la organización que la publica, difundió además la actualización ANSI/ISA-62443-2-1-2024, que describe los requisitos del programa de seguridad para activos de sistemas de automatización y control industrial, conocidos como IACS. Es decir, el estándar no se limita a configurar equipos: pide un programa de seguridad con responsables, procesos y revisión continua.
La diferencia con la seguridad de TI corporativa se nota en el piso de planta. Un PLC, un variador o un sistema SCADA tienen ciclos de vida largos, ventanas de parada escasas y exigencias de disponibilidad que hacen inviable aplicar parches o reinicios como en un servidor de oficina. Por eso el enfoque de 62443 trabaja con conceptos como la evaluación de riesgos, la partición de la red en zonas y conductos, y un modelo de sistema y componente que permite exigir requisitos tanto al producto como a quien lo integra y lo opera. Las zonas agrupan activos con necesidades de protección similares; los conductos son los canales de comunicación entre ellas, y es ahí donde se concentran los controles.
La conexión con la nube es el punto en el que muchas plantas colombianas están hoy: analítica de datos, mantenimiento predictivo y monitoreo remoto suponen enviar información de la operación a plataformas externas. Un reporte de ISASecure señala que los conceptos de ISA/IEC 62443 pueden aplicarse a IACS con funcionalidad en la nube, incluyendo la evaluación de riesgos, la partición por zonas y conductos y el modelo de sistema y componente. La consecuencia práctica es que el servicio cloud no queda fuera del perímetro de análisis: se trata como una zona más, con sus conductos y sus requisitos, y no como una caja negra que se contrata por precio.
Criterios de validación y análisis de certificaciones en proveedores de servicios digitales
Cuando una planta contrata una plataforma que recibe datos de sus sistemas de control, la pregunta central no es si el proveedor dice cumplir, sino qué está certificado, bajo qué norma y con qué alcance. Una certificación puede cubrir un producto, un sistema, un proceso de desarrollo o un servicio concreto, y no son intercambiables. El error más común en compras es aceptar un logotipo en una presentación comercial como prueba de que todo el servicio, incluidos los módulos que se conectarán a la planta, fue evaluado.
Una verificación ordenada pide al menos cuatro cosas: el certificado o informe completo, la norma y la versión contra la que se evaluó, el alcance expreso (qué componentes, qué sedes, qué servicios) y el organismo que hizo la evaluación. En Colombia ya hay oferta local en este terreno: SGS Colombia ofrece auditorías y certificación según las normas IEC 62443 e IEC 62351 para automatización industrial y sistemas de control. Que exista esa oferta facilita pedir verificación independiente, pero no sustituye revisar que el documento presentado corresponda a lo que realmente se va a contratar.
Al comparar plataformas web y revisar sellos de cumplimiento de terceros, resulta útil apoyarse en herramientas comparativas especializadas. Espacios como la selección de casinos de Casino Confiable muestran cómo ordenar criterios y filtros antes de tomar cualquier decisión. La lógica transferible al mundo industrial es idéntica: definir de antemano los parámetros, aplicarlos por igual a todos los candidatos y documentar cada comprobación, dedicando a cada proveedor cloud una matriz propia con certificaciones, evidencias y compromisos contractuales.
Como el reporte de ISASecure plantea que la zonificación y la evaluación de riesgos aplican también a sistemas con funcionalidad en la nube, conviene preguntar al proveedor cómo ve su servicio dentro de ese modelo. ¿Qué zonas atraviesa su plataforma? ¿Qué conductos exige abrir hacia la planta y con qué controles? Las respuestas, por escrito y con diagramas, son una evidencia técnica más valiosa que cualquier declaración general de seguridad, y permiten al equipo de OT contrastarlas con su propio análisis.
Auditorías OT en plantas industriales: alcance, riesgos y controles
Una auditoría de seguridad en OT empieza por saber qué hay en la planta. Sin inventario de activos, sin mapa de comunicaciones y sin identificar qué procesos dependen de qué sistemas, cualquier hallazgo queda suelto. Eso encaja con lo que pide el Decreto 338 a quienes son titulares de infraestructura crítica: un plan de seguridad digital y una evaluación del riesgo hecha de manera periódica, no una sola vez para cumplir. Conviene que la auditoría involucre desde el principio a TI, a automatización y a mantenimiento, porque cada área conoce partes distintas del problema.
Los controles que suelen priorizarse en una planta, alineados con los conceptos de 62443 y con la exigencia de monitoreo de la Resolución 500, pueden resumirse así:
- Alcance de la auditoría: inventario de activos IACS, sedes, conexiones remotas y servicios en la nube incluidos en la revisión.
- Gestión de riesgos: evaluación periódica con criterios de impacto sobre la producción, la seguridad de las personas y el entorno.
- Segmentación por zonas y conductos: separación entre la red corporativa, la de control y los servicios externos, con comunicaciones permitidas solo donde se justifican.
- Monitoreo: mecanismos de gestión y vigilancia sobre la infraestructura, frente a amenazas físicas y digitales.
- Respuesta a incidentes: procedimiento escrito, responsables definidos y pruebas que incluyan a operación y no solo a TI.
Un detalle práctico que suele pasarse por alto es el conducto de acceso remoto del integrador o del fabricante. Muchas plantas lo abrieron durante una puesta en marcha y nunca lo revisaron. Al auditar, esa conexión debe aparecer en el inventario, tener un responsable y estar documentada dentro de la zonificación, igual que cualquier servicio cloud que reciba datos de la planta.
Implicaciones prácticas para manufactura y compras tecnológicas
Para compras, el cambio principal es incorporar requisitos de ciberseguridad antes de la adjudicación y no después de la instalación. Los pliegos y las órdenes de contratación pueden pedir la certificación vigente, el alcance verificable, la versión de la norma y el compromiso de entregar evidencias cuando la planta lo solicite. Si el comprador es una entidad pública o presta un servicio esencial, el marco del Decreto 338 y de la Resolución 500 refuerza esa exigencia. Si es privado, los mismos requisitos protegen frente a un incidente que detenga la producción.
Para TI y OT, la tarea compartida es traducir el estándar a decisiones de arquitectura. Eso implica acordar quién es dueño de cada zona, qué datos pueden salir hacia la nube y quién aprueba cada nuevo conducto. La actualización ANSI/ISA-62443-2-1-2024, centrada en el programa de seguridad de los IACS, ofrece un marco para que esas responsabilidades queden por escrito. Un programa que solo existe en la cabeza de una persona falla el día que esa persona no está.
La secuencia que más rendimiento da es sencilla: levantar el inventario, evaluar el riesgo, definir zonas y conductos, y solo entonces comparar proveedores contra esos requisitos. Antes de firmar con cualquier servicio digital que toque la planta, pida el certificado completo, confirme que el alcance cubre lo que usted va a usar y haga que el equipo de OT revise el diagrama de conexiones propuesto. Ese expediente, además de sostener la decisión de compra, será la primera evidencia que le pidan en la próxima auditoría.