ES-ISAC Aguas

La tecnología operacional (OT) es un elemento esencial para garantizar la continuidad, seguridad y calidad de los servicios de agua y saneamiento. Sin embargo, su creciente conectividad y la utilización de accesos remotos están ampliando la superficie de ataque de las organizaciones.
En este contexto, Cybersecurity and Infrastructure Security Agency (CISA) ha alertado sobre actividad dirigida contra sistemas OT y, específicamente, contra controladores lógicos programables (PLC) utilizados en infraestructuras de agua y aguas residuales.

Una amenaza directamente relacionada con la continuidad de los servicios de agua 

Para los operadores de agua, la alerta resulta especialmente relevante porque los PLC forman parte de los sistemas que permiten supervisar y controlar procesos físicos esenciales. Un compromiso de estos dispositivos puede trascender y afectar a la operación, la disponibilidad del servicio o, potencialmente, a la seguridad de los procesos.
La actividad observada refuerza además una tendencia ya conocida: los sistemas OT accesibles desde Internet, especialmente cuando utilizan credenciales débiles, configuraciones inseguras o mecanismos de acceso remoto insuficientemente protegidos, pueden convertirse en un punto de entrada de bajo coste para un atacante.

De alerta a la acción: cinco prioridades para reducir el riesgo en OT

La alerta de CISA conecta directamente con las recomendaciones recogidas en el documento Primary Mitigations to Reduce Cyber Threats to Operational Technology, elaborado por CISA junto con otras agencias estadounidenses.

El documento identifica en concreto cinco medidas prioritarias para reducir la exposición de los sistemas OT:

1. Eliminar las conexiones OT innecesarias a Internet.
   Los dispositivos OT no deberían estar directamente expuestos a internet cuando no exista una necesidad operacional justificada. La identificación de activos accesibles desde redes públicas y la eliminación de exposiciones no intencionadas constituyen una de las medidas más efectivas para reducir la superficie de ataque.

2. Sustituir las credenciales predeterminadas y reforzar la autenticación.
   Los dispositivos y sistemas OT deben utilizar contraseñas robustas, únicas y adecuadamente gestionadas. La utilización de credenciales por defecto o fácilmente predecibles incrementa considerablemente el riesgo, especialmente cuando el dispositivo dispone de conectividad externa.

3. Proteger el acceso remoto a la OT.
   Cuando el acceso remoto sea imprescindible, CISA recomienda evitar la exposición directa de los activos OT y utilizar mecanismos de acceso seguros, incluyendo redes privadas, VPN y autenticación multifactor resistente al phishing. Además, los permisos deben limitarse conforme al principio de mínimo privilegio y las cuentas que ya no sean necesarias deben deshabilitarse.

4. Segmentar las redes IT y OT.
   La separación de las redes corporativas y operacionales permite limitar el movimiento lateral de un atacante y reducir el impacto potencial de un incidente. La utilización de zonas y DMZ para controlar los flujos de comunicación constituye una medida fundamental en arquitecturas OT.

5. Mantener la capacidad de operar manualmente.
   La resiliencia no consiste únicamente en impedir el ataque. También implica poder continuar o recuperar la operación cuando los sistemas automatizados se vean comprometidos. CISA recomienda mantener y probar procedimientos de operación manual, mecanismos de contingencia, sistemas de respaldo y capacidades de recuperación.

Estas medidas deben complementarse con la coordinación con fabricantes, integradores y proveedores de servicios, que pueden aportar información específica sobre la configuración segura de los sistemas y ayudar a identificar configuraciones incorrectas introducidas durante la implantación o el mantenimiento.

La conectividad OT debe diseñarse como una superficie de riesgo 

Una referencia especialmente útil para profundizar en estas recomendaciones es la guía internacional Secure Connectivity Principles for Operational Technology (OT), publicada por el National Cyber Security Centre (NCSC).
El documento plantea ocho principios para diseñar, proteger y gestionar la conectividad en entornos OT:

1. Equilibrar riesgos y oportunidades de la conectividad.

2. Limitar la exposición de las conexiones.

3. Centralizar y estandarizar las conexiones de red.

4. Utilizar protocolos estandarizados y seguros.

5. Reforzar la frontera de la red OT.

6. Limitar el impacto de un compromiso.

7. Registrar y monitorizar todas las conexiones.

8. Disponer de un plan de aislamiento.

Para el sector del agua, algunos de estos principios adquieren especial relevancia.

• En primer lugar, la conectividad debe responder a una necesidad operacional justificada. Antes de habilitar una conexión con un sistema externo o con un proveedor, es necesario valorar qué beneficio aporta, qué riesgos introduce, qué dependencias genera y quién es responsable de aceptar ese riesgo.

• En segundo lugar, debe reducirse al máximo la exposición directa. La guía recomienda evitar conexiones entrantes hacia la OT y, cuando sea necesario proporcionar acceso externo (por ejemplo, para soporte de un proveedor), utilizar conexiones intermediadas mediante pasarelas seguras situadas en segmentos controlados, como una DMZ. De esta forma, el sistema OT no queda directamente expuesto a Internet y el acceso puede ser autenticado, controlado, registrado y monitorizado.

• También resulta recomendable aplicar acceso just-in-time, habilitando las conexiones únicamente durante el periodo en que sean necesarias y desactivándolas posteriormente. Esta medida reduce la ventana temporal durante la cual un atacante podría aprovechar una conexión legítima.
  La guía insiste igualmente en la necesidad de disponer de una visión completa y actualizada de la arquitectura OT, incluyendo dispositivos, flujos de datos, conexiones externas y dependencias. Sin esta visibilidad resulta difícil determinar qué activos están expuestos y cuáles son las consecuencias de un posible compromiso.

• Otro aspecto crítico es la presencia de tecnología obsoleta. Los sistemas OT pueden tener ciclos de vida muy prolongados y utilizar productos que ya no reciben actualizaciones de seguridad. En estos casos, la segmentación, los controles de red y otras medidas compensatorias pueden reducir temporalmente el riesgo, pero deben contemplarse como parte de una estrategia de transición y sustitución.
  La guía recomienda asimismo centralizar y estandarizar la conectividad. En lugar de desplegar soluciones de acceso remoto diferentes para cada proveedor, puede resultar más seguro disponer de un punto de acceso centralizado y seguro, desde el que se apliquen de forma homogénea los controles de autenticación, autorización, registro y monitorización.

• Finalmente, la seguridad debe extenderse hasta los protocolos y las comunicaciones. La guía recomienda utilizar versiones seguras de los protocolos industriales cuando estén disponibles y aplicar mecanismos que permitan validar que el tráfico y los datos intercambiados son los esperados. 

Un contenido especialmente relevante para las entidades del sector del agua

El conjunto de estas recomendaciones permite extraer una conclusión clara: proteger un PLC no consiste únicamente en actualizar su firmware o instalar un firewall delante de él.
La seguridad debe contemplar el conjunto de la arquitectura: cómo está conectado el PLC, quién puede acceder, desde qué dispositivos, qué protocolos utiliza, qué sistemas pueden comunicarse con él, qué proveedor dispone de acceso remoto y qué sucedería si esa conectividad fuese comprometida.
La guía del NCSC resume este enfoque mediante una arquitectura basada en defensa en profundidad, segmentación, controles en las fronteras de confianza, mínimo privilegio, monitorización y capacidad de aislamiento. En particular, recomienda que los sistemas de monitorización y análisis no dispongan de capacidades de control directo sobre los activos OT cuando no sea necesario, y que los sistemas externos se mantengan separados de la red OT mediante zonas de seguridad y controles específicos.
Este enfoque resulta especialmente importante en el sector del agua, donde la disponibilidad de los sistemas automatizados debe coexistir con requisitos de seguridad, continuidad operacional y capacidad de recuperación.

Conclusión

La alerta de CISA constituye un nuevo recordatorio: la ciberseguridad de las infraestructuras de agua debe abordarse desde una perspectiva operacional y de resiliencia, y no exclusivamente desde la protección de los sistemas TI.
Reducir la exposición de los PLC, controlar el acceso remoto, segmentar IT y OT, eliminar credenciales predeterminadas, monitorizar las conexiones y mantener capacidades de operación manual son medidas concretas que permiten elevar el nivel de protección frente a amenazas que ya están dirigiéndose contra sistemas OT del sector.
En definitiva, la protección de la OT empieza mucho antes de que se produzca un incidente: empieza por saber quién puede conectarse, cómo puede hacerlo y qué puede ocurrir si esa conexión deja de ser segura. 

El ES-ISAC Aguas se constituyó en mayo de 2024 como colaboración público-privada impulsada por INCIBE, junto con DAQUAS (Asociación Española del Agua Urbana) y PTEA (Plataforma Tecnológica Española del Agua). Este contenido se enmarca dentro del servicio de información y contenidos relacionados con la ciberseguridad del sector, recogido en el Anexo II de los Términos de Referencia suscritos por las entidades del ES-ISAC Aguas. 
 

¿CUÁNTO SABE REALMENTE SU ORGANIZACIÓN SOBRE LO QUE ESTÁ OCURRIENDO EN EL CIBERESPACIO DEL SECTOR DEL AGUA ESTE TRIMESTRE?

El ES-ISAC Aguas acaba de dar un nuevo paso para responder a esa pregunta: el lanzamiento de su Boletín Trimestral de Ciberseguridad, un nuevo servicio que pone a disposición de las entidades del sector una lectura periódica, estructurada y accionable de la situación de ciberseguridad que les rodea.
Acceso restringido: El boletín está clasificado TLP:AMBER y es de acceso exclusivo para las entidades miembro del ES-ISAC Aguas. Esta entrada recoge únicamente una descripción pública de su contenido.

UN NUEVO SERVICIO DE VIGILANCIA SECTORIAL

Este boletín nace dentro del servicio de información y contenidos relacionados con la ciberseguridad del sector, recogido en el Anexo II de los Términos de Referencia suscritos por las entidades del ES-ISAC Aguas. 
Con periodicidad trimestral, el nuevo servicio articula en un único documento varios ejes de vigilancia que hasta ahora las entidades debían rastrear por su cuenta y de forma dispersa.

UN PASO ALINEADO CON LA DIRECTIVA NIS2

El intercambio estructurado y periódico de información entre entidades de un mismo sector es uno de los pilares que promueve la Directiva NIS2, que sitúa la cooperación sectorial y el conocimiento situacional compartido como elementos clave para elevar el nivel común de ciberseguridad en la Unión. 
En España, la transposición de la directiva a través del Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad continúa su tramitación. En este contexto, el nuevo boletín trimestral no solo aporta valor inmediato a las entidades del ES-ISAC Aguas, también las familiariza con dinámicas de análisis y reporte periódico que ganarán peso a medida que avance la transposición.
El ES-ISAC Aguas se constituyó en mayo de 2024 como colaboración público-privada impulsada por INCIBE, junto con DAQUAS (Asociación Española del Agua Urbana) y PTEA (Plataforma Tecnológica Española del Agua). Este boletín es uno de los entregables comprometidos con las entidades miembro para el presente año.

El ES-ISAC Aguas ha distribuido entre sus entidades miembro el Informe de Situación de Ciberseguridad 2025, el análisis anual de inteligencia sectorial que recoge lo más relevante del ejercicio para el sector: vulnerabilidades con presencia real en entornos de captación, tratamiento, distribución y saneamiento; incidentes documentados en operadores del sector a nivel global; perfil de los actores de amenaza con mayor actividad sobre infraestructuras hídricas; y las tendencias que marcarán el escenario de riesgo en 2026.
Acceso restringido: El informe está clasificado TLP:AMBER y es de acceso exclusivo para las entidades miembro del ES-ISAC Aguas. Esta entrada recoge únicamente una descripción pública de su contenido.

QUÉ ENCONTRARÁN LAS ENTIDADES MIEMBRO EN EL INFORME

VULNERABILIDADES EN TECNOLOGÍAS DEL SECTOR

El sector del agua opera con una combinación singular de tecnología: sistemas SCADA para el control de estaciones de tratamiento y bombeo, PLCs que regulan caudales, válvulas y dosificación de productos, redes de sensores IoT para la calidad del agua en tiempo real y plataformas de telegestión que gestionan una infraestructura dispersa a lo largo de cientos de kilómetros. Esta diversidad tecnológica genera un mapa de vulnerabilidades que no puede leerse con los mismos criterios que el entorno corporativo.
El informe analiza vulnerabilidades con presencia confirmada en entornos operativos del ciclo hídrico. La metodología combina la probabilidad de explotación activa con la criticidad operativa específica del proceso afectado: una vulnerabilidad de severidad media en un sistema que controla la cloración del agua tiene implicaciones radicalmente distintas a la misma puntuación en un entorno de gestión administrativa. El análisis permite a los responsables de seguridad priorizar en función del riesgo real, no de la estadística global.

CIBERINCIDENTES 

Los incidentes en el sector del agua tienen un carácter propio que los distingue de cualquier otro sector de infraestructura crítica: el peor escenario posible no es un corte de servicio, sino una alteración de la calidad del agua suministrada a la red pública. Este umbral de impacto convierte al sector en objetivo de interés para actores con motivaciones que van más allá del beneficio económico.
El informe documenta incidentes reales ocurridos durante 2025 en operadores del sector a nivel mundial: intrusiones silenciosas orientadas a cartografiar la infraestructura hídrica (red de tuberías, ubicaciones críticas, parámetros de operación); ataques de ransomware que forzaron a equipos de operación a gestionar manualmente sus redes durante horas; e intentos de manipulación de sistemas de control con potencial impacto en salud pública. El análisis detalla vectores de entrada, impacto operativo y, cuando es posible, el patrón de comportamiento del actor responsable.
Para cualquier responsable de seguridad del sector, esta sección aporta algo que la inteligencia de carácter horizontal no puede ofrecer: conocimiento directo de lo que está ocurriendo en organizaciones que operan con tecnologías y procesos equiparables a los propios, y que se enfrentan a las mismas restricciones de presupuesto y recursos internos.

ACTORES DE AMENAZA CON IMPACTO EN EL SECTOR

El sector del agua atrae una combinación de actores poco frecuente en otros sectores. Los grupos con motivación estatal tratan la cartografía operativa de las redes hídricas (diagramas GIS, localización de activos críticos, parámetros de tratamiento) como información de inteligencia estratégica, con valor para planificar operaciones de efecto disruptivo en caso de escalada geopolítica. Los actores ideológicamente motivados eligen el agua por el impacto directo que su perturbación tiene sobre la población civil. Y el ecosistema de ransomware explota la menor madurez defensiva de un sector donde la inversión en ciberseguridad ha sido históricamente residual.
El informe caracteriza a cada grupo relevante con su capacidad técnica, objetivos habituales y tácticas, técnicas y procedimientos documentados. Conocer de antemano quién puede estar interesado en una organización del sector, y cómo opera, es el punto de partida de cualquier estrategia de ciberdefensa que aspire a ser proactiva.

BUENAS PRÁCTICAS Y CUMPLIMIENTO NORMATIVO

La Directiva NIS2 incorpora, por primera vez, tanto el suministro de agua potable como el tratamiento de aguas residuales en su Anexo I, la categoría de máxima criticidad. Este reconocimiento tiene consecuencias concretas: obligaciones de gestión del riesgo, notificación de incidentes en plazos de 24 y 72 horas, extensión de los controles a la cadena de suministro tecnológico y responsabilidad directa de los órganos de gobierno. 
El informe traduce ese marco normativo en medidas concretas y priorizadas, organizadas en torno a los estándares de mayor relevancia para el sector: ISA/IEC 62443 para la seguridad en entornos industriales, los fundamentos de ciberseguridad de WaterISAC adaptados al contexto español, y las guías de CISA específicas para agua y saneamiento. El objetivo es que cada entidad miembro pueda identificar las brechas más urgentes en su postura de seguridad, con independencia de su tamaño y recursos internos.

TENDENCIAS EN CIBERSEGURIDAD INDUSTRIAL

La digitalización del sector avanza impulsada por la necesidad de eficiencia en un contexto de creciente estrés hídrico. La proliferación de sensores IoT en redes de distribución, la integración de plataformas GIS con los sistemas de control operacional y la adopción de herramientas de inteligencia artificial para la gestión de la red no son opciones tecnológicas: son tendencias estructurales que reconfiguran la superficie de ataque del sector.
El informe analiza las líneas de evolución que están redefiniendo el riesgo en 2026: cómo los actores avanzados están transitando del reconocimiento pasivo al pre-posicionamiento en redes OT de utilities de agua; cómo la inteligencia artificial reduce el umbral de sofisticación técnica necesario para ejecutar ataques complejos contra sistemas de control industrial; y por qué la dispersión geográfica y la heterogeneidad de la infraestructura hídrica española generan un desafío de seguridad que solo puede abordarse con enfoques colectivos y coordinados a nivel sectorial.

POR QUÉ ESTE INFORME ES DIFERENTE

La producción de inteligencia de amenazas de carácter general es abundante. Lo que el ES-ISAC Aguas ofrece es de distinta naturaleza: información específica para las tecnologías, los procesos y el perfil de riesgo de los operadores del ciclo hídrico en España.
El sector del agua tiene una característica que lo hace singular: la mayoría de sus operadores (municipios, mancomunidades, empresas de gestión local) no disponen de equipos dedicados de ciberseguridad. En este contexto, el acceso a inteligencia sectorial relevante y accionable no es un complemento a las capacidades internas: es la única forma realista de estar informado sobre un entorno de amenaza que evoluciona sin esperar a que las organizaciones dispongan de recursos propios para seguirlo.
Cada vulnerabilidad, cada incidente y cada actor incluido en el informe ha superado un criterio de pertinencia sectorial. La información que no lo supera no forma parte del documento.
El ES-ISAC Aguas se constituyó en mayo de 2024 como colaboración público-privada impulsada por INCIBE, junto con DAQUAS (Asociación Española del Agua Urbana) y PTEA (Plataforma Tecnológica Española del Agua). Este informe de situación es uno de los entregables comprometidos con las entidades miembro.