En minería, priorizar no significa proteger menos, sino concentrar capacidades donde una falla puede detener la operación. Desde esa perspectiva, Diego Murillo, CISO de Minera Valle Central (MVC), analiza cómo integrar TI, OT y riesgo para avanzar hacia una seguridad sostenible y conectada con el negocio.
En una operación minera, un incidente digital puede ir mucho más allá de la pérdida de información. Cuando los sistemas sostienen procesos productivos, una interrupción también puede comprometer la continuidad operacional, generar pérdidas económicas y, según su alcance, afectar a las personas o al medioambiente.
La convivencia entre entornos TI y OT, tecnologías legadas, accesos de terceros y nuevas herramientas de automatización amplía la superficie que debe protegerse. En este diálogo con ZonaCISO, la mirada se detiene en la importancia de conocer los activos, incorporar la seguridad desde el diseño y traducir el riesgo técnico al lenguaje del negocio para priorizar.
Desde tu experiencia, ¿cuáles son actualmente las principales amenazas de ciberseguridad para la industria minera y qué riesgos todavía tienden a subestimarse?
Creo que el ransomware sigue siendo una de las principales amenazas para la industria minera. Su impacto puede ir mucho más allá de la pérdida de información: puede comprometer la continuidad operacional e incluso detener procesos productivos, lo que se traduce directamente en pérdidas económicas para el negocio. A esto se suman amenazas como el robo de credenciales y los ataques que aprovechan vulnerabilidades en los sistemas o accesos de terceros.
Por otro lado, creo que todavía se subestiman riesgos que conocemos desde hace años, como el phishing y otras técnicas de ingeniería social. Muchas veces ponemos el foco en amenazas sofisticadas, pero olvidamos que un ataque puede comenzar con algo tan simple como un usuario que entrega sus credenciales o una vulnerabilidad que nunca fue corregida.
También considero importante la falta de visibilidad sobre los activos tecnológicos, especialmente en entornos industriales donde pueden existir tecnologías legadas y sistemas cuya criticidad no está suficientemente identificada. Si no sabemos qué tenemos, qué tan expuestos estamos y qué impacto tendría la afectación de cada activo, difícilmente podremos priorizar correctamente nuestros esfuerzos de seguridad.
El desafío es entender que no todos los riesgos tienen el mismo impacto y que debemos priorizar aquellos que pueden comprometer la operación y la continuidad del negocio.
¿Cómo ha evolucionado tu rol como CISO y qué participación tienes hoy en las decisiones operacionales, los proyectos tecnológicos y la estrategia del negocio?
Creo que el rol del CISO ha evolucionado paulatinamente desde una función principalmente técnica, asociada a la ciberseguridad, hacia una responsabilidad que conecta la seguridad de la información con los riesgos y objetivos de la organización.
Hoy es fundamental que la seguridad de la información forme parte de las decisiones del negocio y no sea vista como un tema aislado. En MVC, esto se refleja en mi participación en el Comité Estratégico de Seguridad de la Información, una instancia en la que participan gerentes y otros actores clave de la organización para evaluar los principales riesgos, definir prioridades y establecer la hoja de ruta de seguridad de la información, alineada con las necesidades del negocio.
Esta evolución también implica participar desde etapas tempranas en los proyectos tecnológicos, incorporando la seguridad desde el diseño y evitando que los riesgos se identifiquen cuando las soluciones ya están implementadas. El objetivo no es obstaculizar los proyectos, sino integrar la seguridad desde el inicio y contribuir a que las decisiones tecnológicas consideren los riesgos de la organización.
Creo que ese es uno de los principales cambios en el rol: dejar de ver la seguridad como un tema exclusivamente técnico y convertirla en parte de la gestión estratégica de la organización.
En una operación minera conviven sistemas corporativos con tecnologías que controlan procesos industriales. ¿Qué desafíos plantea la convergencia entre los entornos TI y OT?
Uno de los principales desafíos de la convergencia entre TI y OT es comprender las particularidades de cada entorno y cómo se relacionan dentro de una operación minera.
En minería, la tecnología está directamente vinculada a la operación. Por eso, proteger los sistemas industriales requiere entender cómo funcionan los procesos, qué tecnologías los soportan y qué impacto podría tener una falla o intervención. Existen equipos que, por sus características, no pueden actualizarse o modificarse sin evaluar previamente las consecuencias para la operación.
Otro aspecto fundamental es tener visibilidad de los activos tecnológicos y de las conexiones entre ambos entornos. Esto permite identificar vulnerabilidades, determinar qué sistemas son críticos y definir medidas de protección acordes con los riesgos y las necesidades operacionales.
Por eso, la convergencia entre TI y OT requiere una visión integral de la ciberseguridad, que considere tanto los sistemas tecnológicos como los procesos industriales. El objetivo es proteger ambos entornos de acuerdo con su criticidad, sin comprometer la seguridad de las personas ni la continuidad operacional.
En minería, un incidente digital también puede afectar la producción, la seguridad de las personas o el medioambiente. ¿Cómo se incorpora esa dimensión al análisis del riesgo y a los planes de respuesta?
Los incidentes de ciberseguridad en minería tienen particularidades respecto de otras industrias. En minería, un incidente que afecte los sistemas que soportan la operación puede provocar la detención de procesos productivos, generar pérdidas económicas y, dependiendo de su alcance, tener consecuencias para la seguridad de las personas y el medioambiente.
Por eso, el análisis de riesgos no debe centrarse únicamente en los sistemas tecnológicos, sino también en los procesos que dependen de ellos y en el impacto que tendría una interrupción. Esto permite identificar los activos críticos y priorizar los riesgos según sus posibles consecuencias para el negocio.
Esta misma perspectiva debe incorporarse en los planes de respuesta a incidentes. No basta con contener un ataque o recuperar los sistemas; también es necesario considerar el impacto sobre la operación y coordinar las acciones con las áreas responsables para facilitar una recuperación segura.
En definitiva, la gestión de incidentes en minería debe considerar tanto el impacto tecnológico como sus consecuencias para la continuidad operacional del negocio.
¿Cómo se gestionan los riesgos asociados a proveedores, empresas colaboradoras y accesos remotos a sistemas o equipos críticos?
Los proveedores y las empresas colaboradoras representan un aspecto importante en la gestión de la ciberseguridad, especialmente cuando necesitan acceder a sistemas o equipos de la organización. Estos accesos pueden convertirse en una vía de entrada para un atacante si no cuentan con los controles adecuados.
Por eso, es fundamental conocer qué terceros tienen acceso, a qué sistemas se conectan y qué permisos necesitan. Esto requiere una correcta gestión de identidades y accesos, con controles adecuados y revisiones periódicas de los permisos, asegurando que cada tercero tenga únicamente los accesos necesarios para cumplir sus funciones.
En el caso de los sistemas críticos, es especialmente importante controlar los accesos remotos y asegurar que respondan a una necesidad operacional concreta, con medidas de protección y supervisión acordes con el riesgo.
Además, estos controles deben complementarse con requisitos de ciberseguridad incorporados en los contratos, que establezcan las responsabilidades y obligaciones de los proveedores en materia de seguridad, así como las condiciones para acceder a los sistemas de la organización.
El objetivo no es dificultar el trabajo de los terceros, sino permitir que realicen sus funciones de manera segura, manteniendo el control sobre los accesos y reduciendo los riesgos para la organización.
Al momento de definir inversiones en ciberseguridad, ¿cuáles son hoy las principales prioridades en una operación minera y cómo se demuestra su aporte a la continuidad del negocio?
Creo que las inversiones en ciberseguridad deben definirse en función de los riesgos de la organización y de su impacto en el negocio, no solamente de las tecnologías disponibles en el mercado.
En una operación minera, considero prioritario fortalecer la gestión de identidades y accesos, incluyendo los de terceros, mantener visibilidad sobre los activos tecnológicos y proteger adecuadamente los entornos TI y OT. Esto permite comprender mejor nuestra exposición al riesgo y enfocar los esfuerzos en aquello que podría afectar la operación.
Uno de los principales desafíos del CISO es traducir el lenguaje técnico de la ciberseguridad a un lenguaje que toda la organización pueda comprender. Por ejemplo, si proponemos invertir en mejorar los controles de acceso, debemos explicar qué podría pasar si una persona no autorizada consigue acceder a sistemas críticos. Si esto afectara los sistemas que permiten operar una planta, podríamos enfrentarnos a una interrupción de la producción y a pérdidas económicas. Así, en lugar de hablar solamente del costo de una herramienta, podemos explicar qué riesgo buscamos reducir y por qué esa inversión es importante para proteger la operación.
En definitiva, el aporte de la ciberseguridad debe demostrarse en su capacidad para reducir riesgos, proteger la continuidad operacional y dar mayor confianza a la organización para desarrollar sus actividades. No se trata solamente de invertir en tecnología, sino de fortalecer la capacidad de la empresa para prevenir incidentes y responder ante ellos.
¿Cuáles han sido tus principales aprendizajes como CISO?
Uno de mis principales aprendizajes ha sido entender que la ciberseguridad no se puede abordar intentando resolver todo al mismo tiempo. Es fundamental identificar los riesgos más relevantes, establecer prioridades y avanzar de manera progresiva, construyendo capacidades que permitan mejorar la seguridad de la información de forma sostenible.
También he aprendido que la tecnología, por sí sola, no resuelve los problemas. Se necesitan procesos claros, responsabilidades definidas y una cultura en la que la seguridad de la información forme parte de las decisiones de toda la organización.
Otro aprendizaje importante es la comunicación. Como CISO, no basta con identificar riesgos o conocer las soluciones técnicas; también debemos ser capaces de explicar por qué un riesgo es importante, qué consecuencias puede tener y qué decisiones se necesitan para gestionarlo.
Finalmente, creo que es fundamental mantener la capacidad de aprender y adaptarse. La ciberseguridad evoluciona constantemente y nadie tiene todas las respuestas. Lo importante es tener criterio para priorizar, escuchar a los equipos, apoyarse en las personas adecuadas y tomar decisiones fundamentadas.
¿Qué capacidades serán indispensables para liderar la seguridad minera ante el avance de la automatización, la inteligencia artificial y las nuevas exigencias regulatorias?
Creo que liderar la ciberseguridad minera en los próximos años requerirá una visión integral que combine el conocimiento tecnológico, la gestión de riesgos y la capacidad de entender el negocio.
El avance de la automatización y la convergencia entre TI y OT hacen cada vez más importante comprender cómo se relacionan los sistemas digitales con los procesos industriales y cómo protegerlos sin comprometer la continuidad operacional. A esto se suma la inteligencia artificial, que ofrece nuevas oportunidades, pero también exige establecer criterios claros de uso, proteger la información y gestionar los riesgos asociados a su adopción.
Al mismo tiempo, las nuevas exigencias regulatorias requieren que el CISO pueda traducir las obligaciones legales en medidas concretas que se integren en la gestión de riesgos de la organización. Todo esto demuestra que el desafío no consiste solamente en mantenerse actualizado en tecnología o cumplir con nuevas exigencias, sino en entender cómo estos cambios afectan al negocio y cómo debemos prepararnos para gestionarlos.
Por eso, considero que las capacidades de liderazgo y comunicación serán tan importantes como los conocimientos técnicos. El CISO debe conectar las distintas áreas, comprender sus necesidades y lograr que la ciberseguridad forme parte de las decisiones y de la cultura de la organización.