El desarrollo seguro de software debe ser la primera línea de defensa para los entornos de OT

Cuando las líneas de producción de Jaguar Land Rover se detuvieron por completo el 1 de septiembre de 2025, el impacto financiero fue inmediato y abrumador: casi 67 millones de dólares por semana en pérdidas directas, con estimaciones que sitúan el impacto económico total en 2800 millones de dólares. No obstante, el verdadero daño fue mucho más allá del balance financiero del fabricante de automóviles.

La interrupción de las líneas de producción de JLR se propagó a lo largo de su extensa cadena de suministro, que cuenta con 104.000 trabajadores. Los proveedores despidieron personal a causa del ataque y el gobierno de Reino Unido tuvo que intervenir con un préstamo garantizado que superó los 2000 millones de dólares.

El ataque a JLR forma parte de un modelo preocupante: los atacantes ya no solo están atacando a empresas individuales. Están convirtiendo la cadena de suministro de software en un arma para lograr el máximo impacto con el mínimo esfuerzo. Los atacantes logran entrar en la cadena atacando las herramientas y los procesos de desarrollo para aplicaciones de software que utilizan los fabricantes y sus partners de la cadena de suministro. Si no tienes medidas para garantizar que los proveedores de software usen prácticas de desarrollo seguras, estás dejando a tu organización abierta al mismo tipo de ataque que sufrió JLR.

En los entornos de tecnología operativa (OT) de sectores como el de la fabricación, la energía, el transporte o las infraestructuras críticas, el riesgo de sufrir un ciberataque es extremadamente alto. Un ataque no solo compromete los datos en los entornos de OT, sino que también es capaz de paralizar ecosistemas de producción completos, con costes por inactividad que pueden alcanzar cientos de miles de dólares por hora.

Aun así, la mayoría de las organizaciones centran la evaluación de sus adquisiciones en la salud financiera, los acuerdos de nivel de servicio (SLA) y la seguridad de la infraestructura. Sin embargo, muchas pasan por alto el punto donde con mayor frecuencia se introducen las vulnerabilidades: el propio proceso de desarrollo de software. Por ejemplo, el malware Infostealer permite a los atacantes aprovechar credenciales de años de antigüedad para obtener acceso a los sistemas de la cadena de suministro de los fabricantes.

Esto revela una debilidad fundamental no solo en las defensas perimetrales, sino también en las prácticas del ciclo de vida de desarrollo seguro de los proveedores de software que sustentan las operaciones industriales modernas. Sus sistemas son vulnerables porque no se diseñaron para resistir las ciberamenazas modernas, y eso también deja expuestos los sistemas de OT de los fabricantes.

Sin garantías de que los proveedores sigan prácticas rigurosas del ciclo de vida de desarrollo seguro de software (SSDLC), los fabricantes heredan riesgos que ninguna segmentación de red ni aislamiento puede eliminar por completo.

El impacto empresarial es medible y grave:

• Interrupción de las operaciones: la paralización de la producción genera un efecto dominó en las cadenas de suministro "just-in-time" (sincronizadas según la demanda), lo que afecta a miles de trabajadores y provoca retrasos en los compromisos de entrega.
• Pérdidas financieras: más allá de la pérdida directa de ingresos, los costes de recuperación incluyen la respuesta ante incidentes, la restauración de sistemas, multas regulatorias y posibles penalizaciones contractuales.
• Infracciones de cumplimiento normativo: normativas como la Directiva NIS 2 de la UE, DORA y la Ley de Ciberresiliencia exigen ahora de forma explícita que los proveedores adopten prácticas de desarrollo seguro.
• Daño reputacional: para los proveedores, ser el "eslabón débil" en una brecha de seguridad de la cadena de suministro puede dañar para siempre la confianza de los clientes y hacer que se les excluya de futuras colaboraciones comerciales.

Sin embargo, el desarrollo seguro de software consiste en mucho más que simplemente cumplir con normativas. Se trata de garantizar que el software que controla sus líneas de producción, gestiona sus sistemas críticos y conecta sus operaciones industriales tenga la seguridad integrada desde la primera línea de código hasta su despliegue final.

La familia de normas IEC 62443 aborda específicamente la seguridad de los sistemas de automatización y control industrial. Dentro de este marco, IEC 62443-4-1 se centra exclusivamente en los requisitos del ciclo de vida de desarrollo seguro de productos. Se trata del estándar más riguroso y relevante para evaluar a los proveedores de software en entornos de OT.

A diferencia de los marcos generales de seguridad de la información, la certificación IEC 62443-4-1 demuestra que un proveedor ha implementado:

• Seguridad desde el diseño: los requisitos de seguridad se definen y las amenazas se modelan antes de escribir una sola línea de código.
• Prácticas de codificación segura: los desarrolladores reciben formación específica, y el código se somete a revisiones obligatorias y pruebas de seguridad automatizadas.
• Gestión de dependencias: los componentes de terceros se evalúan, se supervisan y se mantienen mediante prácticas de Lista de materiales de software (SBOM).
• Canales de lanzamiento seguros: las actualizaciones se firman digitalmente, se verifican en cuanto a su integridad y se distribuyen a través de canales reforzados.
• Gestión de vulnerabilidades: se establecen procesos de divulgación coordinada y plazos de respuesta bien definidos ante problemas de seguridad.

Para los OEM, los integradores de sistemas y los clientes finales en los sectores de fabricación e infraestructuras críticas, esta certificación ofrece una prueba concreta y verificada de forma independiente de que los proveedores de software no solo prometen seguridad: la incorporan de manera sistemática en cada producto.

Acronis ha obtenido la certificación IEC 62443-4-1, junto con las normas ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 y el Nivel 2 de CSA STAR, lo que demuestra un compromiso integral con las prácticas de desarrollo seguro tanto en entornos de TI como de OT.

Esta certificación confirma que Acronis Cyber Protect para entornos de OT, y todo el portafolio de soluciones de Acronis en general, se ha desarrollado mediante prácticas de seguridad rigurosas y verificadas de forma independiente, específicamente diseñadas para responder a las exigencias reales de los entornos industriales:

• Protección tanto para sistemas de TI como de OT bajo una plataforma unificada.
• Funciones de copia de seguridad y recuperación escalables a nivel global, sin requerir intervenciones manuales sitio por sitio.
• Controles de seguridad diseñados para entornos donde el tiempo de actividad es crítico y los plazos tradicionales de aplicación de parches pueden ser limitados.
• Soporte para ayudar a las organizaciones a cumplir con las normativas NIS 2, DORA y IEC 62443, así como con otros estándares específicos del sector.

Una nueva infografía proporciona más detalles sobre el Ciclo de vida de desarrollo seguro de software (SSDLC) y el certificado de Acronis. Se basa en la propia trayectoria de certificación de Acronis y ofrece orientación práctica para:

• Clientes finales corporativos que evalúan a los proveedores de OT.
• OEM que necesitan demostrar que desarrollan software de forma segura a sus clientes.
• Integradores de sistemas que desarrollan soluciones industriales resilientes.