Con el suceso del ya llamado «gran apagón» ha vuelto al debate público la vulnerabilidad ante ciberataques y, aunque finalmente esta no haya sido la causa del evento, el riesgo no es hipotético. En 2020, el Hospital Universitario de Düsseldorf (Alemania) fue víctima de un ataque cibernético que dejó inoperativos varios sistemas de gestión del edificio. Los quirófanos permanecieron cerrados durante horas porque no se podía garantizar la ventilación estéril adecuada, lo que obligó a posponer cirugías críticas. Un paciente murió. La investigación posterior reveló que el punto de entrada del atacante había sido un sistema de videovigilancia expuesto a internet con contraseñas por defecto.

La creciente digitalización de los edificios (con sensores, IoT, sistemas de gestión automatizada, etc.) ha ampliado la superficie de ataque de las infraestructuras críticas. Redes IT y OT convergen en los sistemas de gestión de edificios, exponiendo datos y controles sensibles a posibles intrusiones. De hecho, informes recientes muestran que un porcentaje significativo de edificios inteligentes ha sufrido ciberataques, a menudo aprovechando prácticas de seguridad deficientes (por ejemplo, contraseñas por defecto sin cambiar). Ante este panorama, la ciberseguridad deja de ser un aspecto accesorio y se torna crucial para la continuidad operativa y la confianza de inquilinos y operadores.

La integración de controles de climatización, iluminación, videovigilancia y otros sistemas en red convierte a los edificios inteligentes en objetivos atractivos para atacantes. Según estudios, hasta el 38 % de los edificios conectados han sufrido intrusiones, exponiendo datos sensibles y poniendo en riesgo la operatividad. Esta tendencia al alza refuerza la necesidad de adoptar medidas sólidas de ciberseguridad en el entorno de mantenimiento.

Riesgos y vectores de ataque en entornos OT

En los entornos OT (tecnología operativa) típicos de edificios inteligentes predominan los sistemas de control (PLC, SCADA, BMS) que históricamente priorizan la disponibilidad sobre la confidencialidad. Con la llegada del IIoT y la interconexión con redes corporativas, estos sistemas han visto ampliado enormemente su vector de ataque. Protocolos específicos de automatización (como Modbus, BACnet o KNX) siguen mostrando vulnerabilidades conocidas y, aunque a menudo no están directamente expuestos a Internet, la fusión de redes IT y OT incrementa el riesgo global.

En la práctica, los atacantes suelen entrar por rutas indirectas: campañas de phishing dirigidas a trabajadores o proveedores del edificio, explotación de vulnerabilidades sin parchear en software de infraestructura, o incluso mediante ingeniería social. Una vez dentro de la red, pueden moverse lateralmente comprometiendo estaciones de ingeniería, servidores o dispositivos intermedios. En casos extremos, el acceso no autorizado puede llegar a la manipulación de firmware o a la interrupción física de sistemas críticos (por ejemplo, alterar la climatización, la iluminación de emergencia o los sensores de humo). También se han documentado casos de ransomware específico para automatización de edificios (“siegeware”), donde los atacantes toman control de sistemas básicos (ventilación, alarmas, accesos) y solo los restituyen tras un pago.

Además, el acceso remoto insuficientemente protegido es un vector clave. Estudios del sector señalan que más del 50 % de los incidentes de ransomware en 2024 estuvieron ligados a cuentas remotas comprometidas (VPN, RDP). Muchas infraestructuras operativas usan arquitecturas de red “planas” y credenciales por defecto, de modo que una credencial comprometida puede dar acceso a múltiples sistemas críticos. En resumen, el panorama de amenazas en OT combina tácticas tradicionales (phishing, ingeniería social) con exploits específicos de dispositivos industriales, haciendo imperativo abordar cada vector de ataque con soluciones dedicadas.

Vulnerabilidades comunes en sistemas de edificios inteligentes

Los edificios inteligentes incorporan numerosos dispositivos IoT (sensores, actuadores, cámaras, controladores de acceso, etc.) que suelen presentar vulnerabilidades básicas. Por ejemplo, es habitual que vengan con contraseñas predefinidas o débiles que jamás se cambian, facilitando a los atacantes su toma de control inicial. Asimismo, al combinar equipos modernos con “legados”, surgen fallos en firmware o software antiguo sin soporte, ampliando la superficie de ataque. Otras debilidades habituales incluyen interfaces web y APIs mal configuradas, actualizaciones inseguras (que permiten inyección de código malicioso) o almacenamiento de datos sin cifrar.

A nivel de red, la ausencia de segmentación también es crítica: en muchas instalaciones la red de control está conectada a la red corporativa o a Internet sin filtros adecuados, permitiendo que un incidente en IT derribe la OT. Además, los accesos remotos no seguros (VPN o RDP sin MFA, configuraciones por defecto) son usados rutinariamente por proveedores para mantenimiento y pueden convertirse en puertas de entrada fáciles. Por otro lado, la falta de mantenimiento regular deja sistemas expuestos: equipos sin parches o sistemas operativos obsoletos siguen en operación, y sabemos que las vulnerabilidades publicadas son aprovechadas por atacantes al instanteLa combinación de estos factores (credenciales débiles, redes integradas sin barreras, accesos expuestos y sistemas desactualizados) crea un perfil de vulnerabilidad elevado que debe ser atendido.

Relevancia del rol del FM y el mantenimiento

Los equipos de mantenimiento de edificios desempeñan un papel crucial en la protección de estos sistemas técnicos. A diferencia del departamento de TI corporativo, los responsables de mantenimiento son quienes conocen los dispositivos de control (PLC, sensores, HVAC, etc.) y gestionan su ciclo de vida. Por ello, su colaboración con los especialistas en ciberseguridad es indispensable. Deben aplicar buenas prácticas: actualizar credenciales, supervisar que los proveedores sigan protocolos seguros y verificar que cada intervención no introduzca riesgos (p.ej., equipos portátiles limpios de malware).

En la práctica, esto significa incorporar la seguridad en cada tarea de mantenimiento rutinario. Por ejemplo, al programar paradas para tareas de mantenimiento o sustitución de equipos, se debe incluir la actualización de firmware y la revisión de configuraciones de seguridad. A nivel organizativo, los responsables de mantenimiento deben colaborar con los equipos de TI y con el departamento de seguridad (o con el ICSO/CISO cuando exista) para establecer políticas comunes (gestión de accesos de terceros, pruebas de penetración periódicas, etc.). En suma, la protección de infraestructuras críticas no es solo una cuestión tecnológica, sino de procedimientos compartidos: mantenimiento y seguridad deben trabajar de la mano.

Estrategias clave de mitigación

La segmentación de redes es una medida fundamental: aislar físicamente las redes de control de las redes de oficina o Internet limita la propagación de un ataque. Un modelo recomendado (como el modelo Purdue) introduce un nivel intermedio (DMZ) entre IT y OT, dificultando que una amenaza IT alcance los controladores industriales. Complementariamente, se debe aplicar el principio de defensa en profundidad, escalonando barreras (firewalls, VLANs, diodos de datos unidireccionales, etc.) para frenar los atacantes a cada paso.

Otra estrategia esencial es fortalecer la autenticación. El uso de autenticación multifactor (MFA) en accesos remotos y cuentas críticas dificulta enormemente el acceso no autorizado, incluso si se filtra una contraseña. Las recomendaciones apuntan a que cualquier conexión remota vaya protegida por VPN o mecanismo equivalente con MFA. De forma análoga, las credenciales de fábrica deben cambiarse por contraseñas robustas y únicas, y considerarse el uso de gestión de identidades integrada con el resto de la organización.

Las actualizaciones periódicas de software y firmware son igualmente cruciales. Como señalan expertos, “¡las actualizaciones son imprescindibles para corregir vulnerabilidades y defenderse de ataques!”. Aunque en entornos OT las paradas pueden ser costosas, es esencial diseñar planes de parcheo coordinados (con ventanas de mantenimiento) que permitan cerrar agujeros conocidos. Esto implica disponer de un inventario preciso de activos y coordinar con los proveedores para pruebas de compatibilidad antes de aplicar cambios.

Finalmente, el monitoreo continuo de la red OT y sistemas técnicos permite detectar anomalías tempranas. Herramientas específicas de IDS/IPS industrial o plataformas de monitoreo en tiempo real pueden alertar sobre patrones de tráfico inusuales, intentos de intrusión o cambios de configuración indebidos. Según proveedores especializados, la clave es monitorizar permanentemente las comunicaciones OT para identificar y mitigar intentos de intrusión y cambios de riesgo en tiempo real. De este modo, cualquier actividad sospechosa (por ejemplo, un escaneo interno o múltiples fallos de acceso) puede ser tratada inmediatamente antes de que escale.

Normativas relevantes

Entre las normas aplicables destacan ISO/IEC 27001, IEC 62443 y la Directiva NIS2 de la UE. La ISO/IEC 27001 establece los requisitos para un Sistema de Gestión de Seguridad de la Información (SGSI), fijando controles sobre confidencialidad, integridad y disponibilidad. Si bien está orientada al ámbito de TI, muchas de sus prácticas (gestión de riesgos, controles de acceso, respuesta a incidentes) son útiles para cualquier organización.

En el caso específico de infraestructuras OT, la serie IEC 62443 se enfoca en la ciberseguridad industrial. Define requisitos de seguridad para fabricantes, integradores y operadores de sistemas de automatización, contemplando la seguridad desde el diseño hasta la operación. Por ejemplo, exige que los fabricantes de equipos aseguren la robustez de sus productos y que los operadores implementen una “defensa en profundidad” personalizada para su instalación. En este sentido, IEC 62443 complementa las exigencias de ISO 27001, enfatizando la disponibilidad y resiliencia de los sistemas operativos.

Por último, la Directiva europea NIS2 impone obligaciones más estrictas a sectores de infraestructura crítica (energía, transporte, agua, salud, etc.) en cuanto a ciberseguridad. Bajo NIS2 las organizaciones deben adoptar medidas avanzadas de seguridad, gestionar riesgos y reportar incidentes graves con rapidez. Aunque un edificio inteligente en sí mismo puede no estar listado textualmente en los sectores NIS2, sus sistemas suelen formar parte de instalaciones críticas (por ejemplo, hospitales, centros de datos, plantas industriales). Por lo tanto, cumplir NIS2 implica implantar políticas sólidas (como cifrado, gestión de accesos, formación continua) que también benefician la seguridad de los edificios inteligentes.

Recomendaciones prácticas para mantenimiento

En el día a día del mantenimiento, conviene implementar checklists y protocolos claros. Por ejemplo, antes de conectar cualquier dispositivo nuevo se debe: cambiar contraseñas por defecto, deshabilitar servicios innecesarios en controladores (p.ej. acceso web no usado) y asegurarse de que el equipo permanezca detrás de las barreras de red adecuadas. Se recomienda usar siempre conexiones remotas seguras (VPN o túneles cifrados) cuando se acceda desde fuera, y validar físicamente el cumplimiento de los procedimientos de acceso. En cada intervención se puede seguir una lista de verificación: comprobar parches aplicados, confirmar logs de acceso, verificar la sincronización horaria de los dispositivos, etc.

Además, es vital establecer protocolos de respuesta a incidentes que incluyan al equipo de mantenimiento. Esto implica documentar pasos de actuación (por ejemplo, aislamiento de redes, restauración desde copias de seguridad, notificación a responsables) y realizar simulacros periódicos. La colaboración entre mantenimiento y TI es clave: los primeros conocen la infraestructura física y los sistemas de campo, mientras que TI aporta experiencia en detección y análisis de incidentes. Compartir información sobre vulnerabilidades descubiertas, coordinar horarios de actualizaciones y ajustar configuraciones de acuerdo con las políticas corporativas fortalecen la seguridad. En resumen, el personal de mantenimiento debe integrar las prácticas de ciberseguridad en su rutina cotidiana y trabajar mano a mano con expertos en seguridad.

Los edificios inteligentes son un caso paradigmático de infraestructuras críticas modernas: ofrecen grandes beneficios operativos pero también nuevas exposiciones a ciberataques. Por ello, los responsables de mantenimiento deben asumir una postura proactiva en la protección de estos sistemas. Esto implica entender los riesgos específicos de los entornos OT, implementar medidas técnicas y organizativas (segmentación, MFA, monitoreo, actualizaciones) y seguir los estándares y normativas internacionales. Sólo así se logrará un nivel de ciberresiliencia que garantice la disponibilidad y seguridad de los servicios esenciales del edificio, protegiendo a ocupantes y a la organización frente a la creciente amenaza digital.