El aislamiento físico o «air gap», que separa las redes de tecnología operativa (OT, los sistemas que controlan procesos físicos en fábricas, depuradoras o subestaciones eléctricas) de internet y de la red corporativa, sigue siendo una barrera útil, pero los incidentes documentados desde Stuxnet en 2010 y las guías de los principales organismos de ciberseguridad coinciden en que no puede ser la única defensa. Memorias USB, portátiles de mantenimiento, accesos remotos de proveedores y actualizaciones de software abren caminos que el aislamiento sobre el papel no contempla.
Las claves del air gap en redes OT en 30 segundos
- Un air gap separa físicamente los sistemas industriales de internet y de la red corporativa, pero en la práctica casi siempre tiene excepciones.
- Stuxnet alcanzó en 2010 controladores Siemens a través de memorias USB y, en Ucrania en 2015, los atacantes entraron por VPN con credenciales robadas.
- Mordechai Guri ha demostrado que se pueden sacar datos de equipos aislados mediante señales de radio.
- NIST, CISA e IEC 62443 proponen segmentar, controlar los medios extraíbles y guardar copias fuera de línea.
El debate ha vuelto a la actualidad con un artículo del blog de Acronis, actualizado el 14/08/2026, que repasa los límites del aislamiento en entornos industriales. El propio texto del fabricante reconoce que el aislamiento absoluto es poco frecuente y que la mayoría de las plantas se mueven en un espectro que va de la separación total a la segmentación lógica. Esa idea encaja con lo que llevan años diciendo los marcos de referencia públicos: el air gap reduce la superficie de ataque, pero no la elimina, y una organización que confía ciegamente en él suele descubrir sus huecos cuando ya es tarde.
La exposición de equipos OT tampoco es un problema teórico. Hace unos días se conoció el sabotaje a los sistemas de refrigeración de supermercados en Francia, un caso reciente de controladores industriales accesibles desde fuera que ilustra lo que ocurre cuando la separación entre lo operativo y lo conectado no existe o se ha ido erosionando con el tiempo.
Stuxnet, Ucrania y RAMBO: cómo se salta o se rodea el aislamiento
Stuxnet es el ejemplo de manual. La empresa bielorrusa VirusBlokAda lo detectó en junio de 2010 y Symantec lo documentó a fondo en su informe «W32.Stuxnet Dossier». El gusano se propagaba inicialmente mediante unidades extraíbles infectadas que ejecutaban código a través de accesos directos de Windows (archivos LNK) y estaba diseñado para manipular controladores lógicos programables (PLC) Siemens S7-300 y el software Step7/WinCC con el que se programan. Se atribuye de forma generalizada a un ataque contra la planta de enriquecimiento de uranio de Natanz (Irán), aunque esa autoría nunca se ha reconocido oficialmente. Lo relevante para cualquier responsable de planta es el vector: no hizo falta conexión a internet, bastó con que alguien conectara una memoria USB.
El ataque a la red eléctrica ucraniana del 23/12/2015 mostró el camino contrario. Según el análisis publicado el 18/03/2016 por SANS y el E-ISAC (centro de intercambio de información del sector eléctrico de Estados Unidos), los atacantes robaron credenciales en las redes corporativas de tres distribuidoras, entraron en la red de control a través de conexiones VPN que, según el informe, parecían carecer de doble factor de autenticación, y usaron herramientas legítimas de acceso remoto para abrir interruptores. Unos 225.000 clientes se quedaron sin suministro. Además, borraron sistemas con una versión modificada de KillDisk y reescribieron el firmware de convertidores serie-Ethernet en las subestaciones para dificultar la recuperación.
Un año después, el 17/12/2016, parte de Kiev se quedó sin luz durante aproximadamente una hora. ESET publicó el 12/06/2017 su análisis de Industroyer, un malware que, según la compañía, muy probablemente intervino en ese apagón y que hablaba directamente los protocolos industriales IEC 60870-5-101, IEC 60870-5-104, IEC 61850 y OPC DA. ESET recordaba que esos protocolos se diseñaron cuando los sistemas industriales se concebían aislados del exterior, por lo que no incluyen mecanismos de seguridad. El blog de Acronis menciona además casos más recientes, como las herramientas de GoldenJackal contra sistemas aislados de organismos públicos europeos entre 2022 y 2024, documentadas por ESET.
La investigación académica completa el cuadro. Mordechai Guri, de la Universidad Ben-Gurión del Néguev (Israel), lleva años publicando técnicas para extraer datos de equipos sin conexión. En su trabajo «RAMBO», enviado a arXiv el 03/09/2024, describe cómo un malware puede generar señales de radio a partir de los buses de memoria RAM y transmitir información a unos 1.000 bits por segundo hacia un receptor de radio definida por software (SDR) con una antena sencilla. Conviene matizarlo: estas técnicas exigen que el equipo aislado ya esté infectado, así que sirven sobre todo para sacar datos una vez superada la barrera de entrada.
Por qué el aislamiento total es más teórico que real
El National Institute of Standards and Technology (NIST) estadounidense publicó en septiembre de 2023 la revisión 3 de su guía SP 800-82, que amplió el foco de los sistemas de control industrial (ICS) al conjunto de la OT. Las guías de la ANSSI (Agencia Nacional de Seguridad de los Sistemas de Información de Francia) sobre ciberseguridad de sistemas industriales, con su método de clasificación y sus medidas detalladas, parten de la misma constatación: estos sistemas están cada vez más informatizados e interconectados con las tecnologías de la información (IT) corporativas o con internet.
Las vías de entrada son conocidas. Los fabricantes y mantenedores necesitan conectarse para diagnosticar equipos, los ingenieros llegan con portátiles que también se usan fuera de la planta, los parches y las actualizaciones de firmware tienen que entrar de algún modo y los datos de producción alimentan cada vez más sistemas de gestión, plataformas en la nube o gemelos digitales que replican el proceso físico. Cada uno de esos flujos es un puente, y muchos se habilitan de forma temporal y se quedan abiertos.
El modelo Purdue, que ordena la arquitectura industrial en niveles desde los sensores y actuadores hasta la red corporativa, sigue siendo la referencia para dibujar esas fronteras. El blog de Acronis sostiene que los niveles 0 a 2 suelen estar totalmente aislados, pero el modelo describe una jerarquía de funciones y no garantiza por sí mismo ningún aislamiento: depende de cómo se implante en cada planta. Por eso la serie ISA/IEC 62443 habla de «zonas» (grupos de activos con requisitos de seguridad comunes) y «conductos» (los canales de comunicación entre ellas, que deben estar definidos y controlados), en lugar de asumir que una separación física resuelve el problema.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha empujado en la misma dirección. En junio de 2023 publicó con otras agencias una guía para proteger el software de acceso remoto, una herramienta legítima que los atacantes usan con frecuencia, y en enero de 2025 lanzó la guía «Secure by Demand» para que los operadores de OT exijan a sus proveedores productos con registro de eventos, configuraciones seguras por defecto y gestión de vulnerabilidades. En agosto de 2025 añadió una guía conjunta sobre inventario de activos OT. En Europa, la directiva NIS2 (la norma de la UE sobre seguridad de redes y sistemas de información) obliga a las entidades esenciales e importantes a gestionar riesgos y, como ya se explicó en este análisis sobre NIS2 y la capacidad de recuperación, a demostrar que pueden volver a operar tras un incidente.
Medidas prácticas para que el aislamiento sirva de algo
Ninguna de estas guías propone abandonar el air gap allí donde existe. Lo que plantean es tratarlo como una capa más y vigilar todo lo que lo atraviesa. Entre las medidas que recogen NIST, CISA, ISA/IEC 62443, la ANSSI e INCIBE-CERT destacan estas:
- Control de medios extraíbles. USB corporativos inventariados, puertos deshabilitados donde no hagan falta y estaciones de descontaminación o kioscos que analicen cada dispositivo antes de que llegue a la red industrial, como recomienda INCIBE-CERT desde 2019.
- Diodos de datos. Pasarelas unidireccionales que permiten sacar datos de producción hacia IT sin abrir ningún camino de vuelta.
- Segmentación por zonas y conductos. Agrupar activos según su criticidad y documentar y filtrar cada comunicación entre zonas, siguiendo ISA/IEC 62443.
- Acceso remoto controlado y temporal. Conexiones de proveedores que se activan solo cuando hacen falta, con autenticación multifactor, registro de sesiones y cierre automático.
- Monitorización pasiva de la red OT. Sondas que escuchan el tráfico industrial sin inyectar paquetes, para detectar comandos o equipos inesperados sin alterar el proceso.
- Inventario de activos. Saber qué PLC, interfaces de operador (HMI), servidores y conexiones existen, con sus versiones de firmware, es el punto de partida de la guía conjunta de CISA de 2025.
- Copias inmutables o fuera de línea. Guardar la configuración y la lógica de los PLC y de los sistemas de supervisión, control y adquisición de datos (SCADA) en soportes que un atacante no pueda cifrar ni borrar desde la red.
- Simulacros de recuperación. Probar de forma periódica que esas copias se restauran en el hardware real y en plazos compatibles con la operación, algo que el caso ucraniano, con firmware destruido en las subestaciones, dejó en evidencia.
Muchas de estas medidas no requieren comprar tecnología nueva, sino ordenar procesos: quién entra, con qué dispositivo, durante cuánto tiempo y con qué registro. En instalaciones con equipos de hace décadas, donde parchear no siempre es posible, ese control de los puntos de paso suele ser la defensa más realista.
Preguntas frecuentes
¿Qué es un air gap en una red OT?
Es el aislamiento físico de los sistemas industriales respecto a internet y a la red corporativa, de modo que no exista una conexión directa entre ellos. En la práctica, los datos y el software siguen entrando y saliendo por USB, portátiles o accesos de mantenimiento.
¿Cómo consiguió Stuxnet saltar el aislamiento?
Se propagaba mediante memorias USB infectadas que ejecutaban código a través de accesos directos de Windows. Una vez dentro, buscaba el software de Siemens que programa los PLC S7-300 para alterar su funcionamiento.
¿Se pueden robar datos de un equipo aislado sin conexión?
Investigaciones como RAMBO, de Mordechai Guri (2024), demuestran que un malware puede transmitir datos mediante señales de radio generadas por la memoria RAM. Para ello, el equipo debe haber sido infectado antes por otra vía.
¿Qué normas sirven para proteger una red OT más allá del air gap?
Las referencias principales son NIST SP 800-82 Rev. 3, la serie ISA/IEC 62443 con su modelo de zonas y conductos, y las guías de CISA, la ANSSI e INCIBE-CERT. En la UE, la directiva NIS2 exige además gestión de riesgos y capacidad de recuperación a las entidades afectadas.
Fuentes:
- Acronis: Seguridad en redes aisladas en entornos de OT (actualizado el 14/08/2026)
- NIST SP 800-82 Rev. 3, Guide to Operational Technology Security (septiembre de 2023)
- ISA: serie de normas ISA/IEC 62443
- CISA y socios: Secure by Demand, prioridades para operadores de OT (enero de 2025)
- CISA: Guide to Securing Remote Access Software (06/06/2023)
- CISA y socios: Foundations for OT Cybersecurity, Asset Inventory Guidance (agosto de 2025)
- ANSSI: Managing Cybersecurity for Industrial Control Systems
- INCIBE-CERT: Dispositivos extraíbles en entornos industriales, amenazas y buenas prácticas (28/03/2019)
- SANS y E-ISAC: Analysis of the Cyber Attack on the Ukrainian Power Grid (18/03/2016)
- ESET WeLiveSecurity: Industroyer (12/06/2017)
- Mordechai Guri: RAMBO, Leaking Secrets from Air-Gap Computers (arXiv, 03/09/2024)
- Stuxnet (resumen con referencias al W32.Stuxnet Dossier de Symantec)
