En el sector energético, un incidente no termina en los sistemas. Puede comprometer la continuidad de un servicio. Sebastián Celis, Oficial de Seguridad de la Información de Colbún, explica a ZonaCISO cómo anticipar riesgos sin frenar una operación que debe permanecer disponible y también ahonda en la evolución del rol del CISO.
En el sector energético, la disponibilidad no es una variable más dentro de la estrategia de seguridad. La continuidad del suministro condiciona cada decisión, especialmente cuando conviven tecnologías industriales diseñadas para operar durante décadas con sistemas corporativos que evolucionan a otra velocidad.
Esta convergencia amplía la superficie de ataque y obliga a mirar de manera conjunta la operación, la regulación y la cadena de suministro. El desafío no consiste solo en incorporar controles, sino en anticipar riesgos, coordinar respuestas y fortalecer la resiliencia sin afectar la continuidad de las centrales.
¿Qué características hacen que la ciberseguridad del sector energético sea especialmente compleja frente a la de otras industrias?
A diferencia de otras industrias, en el sector energético la continuidad del servicio es vital para el funcionamiento del país y para la ciudadanía, por lo que en ciberseguridad la disponibilidad es una prioridad. A esto se suma que gran parte de las tecnologías de la operación utilizadas para generar energía están diseñadas para funcionar durante décadas, y su evolución depende en gran medida del soporte de los fabricantes. Por eso, el desafío está en aplicar un enfoque de ciberseguridad propio de este entorno, que fortalezca la protección de los activos sin comprometer la disponibilidad del servicio.
En una generadora, un incidente puede trascender a la propia organización. ¿Cómo se relacionan la ciberseguridad, la continuidad operacional y la confiabilidad del suministro eléctrico?
Son tres dimensiones de un mismo objetivo: que la energía llegue de forma segura y continua. Si una falla, afecta directamente a las otras dos. Por eso, es fundamental que, al gestionar incidentes tecnológicos, se evalúe en paralelo el impacto en ciberseguridad, en la operación y en el sistema eléctrico. Esa mirada integral permite priorizar y tomar decisiones a tiempo, incluso tomar medidas preventivas.
La operación energética combina sistemas corporativos con tecnologías industriales. ¿Cuáles son los principales retos para proteger ambos entornos sin afectar la disponibilidad de las centrales?
Son dos mundos con lógicas distintas: el administrativo (IT) prioriza la confidencialidad y la agilidad; en el mundo industrial (OT), las prioridades son la disponibilidad y la seguridad de las personas.
Es importante enfocarse en dos pilares. El primero es una gobernanza de ciberseguridad centralizada, que permita anticipar los riesgos y el impacto de cambios o actividades. El segundo es una segmentación robusta que evite que un evento malicioso se propague de un entorno a otro.
Energías renovables, sistemas de almacenamiento y nuevas tecnologías aumentan la conectividad de la operación. ¿Cómo está modificando esta transformación la superficie de ataque del sector?
La transformación energética trae más activos distribuidos, más conectividad remota y, sobre todo, mayor dependencia de fabricantes e integradores. Eso cambia la forma de operar y convierte a la cadena de suministro en uno de los principales riesgos emergentes. Los controles tecnológicos siguen siendo clave, pero no bastan. Se debe incorporar la ciberseguridad desde el diseño de los proyectos y desde la selección de proveedores.
¿Cuál es el impacto real de la Ley Marco de Ciberseguridad en los operadores de infraestructura crítica y qué cambios exige más allá del cumplimiento normativo?
La Ley Marco elevó la ciberseguridad de un tema técnico a una responsabilidad de gobierno corporativo. En el sector eléctrico, esto se complementa con los estándares NERC-CIP exigidos por el Coordinador Eléctrico Nacional y con la norma técnica que prepara la Comisión Nacional de Energía.
Uno de los cambios más relevantes es la exigencia de contar con un sistema de gestión de seguridad de la información, cuyo impacto va más allá del cumplimiento: implica una transformación cultural y una nueva forma de trabajar, que se traduce en mayor visibilidad del riesgo, una gestión más ordenada y una respuesta más ágil ante incidentes.
Proveedores, contratistas y fabricantes forman parte del ecosistema operacional. ¿Cómo se puede fortalecer la seguridad de esta cadena sin perder eficiencia ni capacidad de innovación?
Este año vivimos efectos colaterales por incidentes de ciberseguridad sufridos por algunos de nuestros proveedores. La lección es clara: somos tan fuertes como el eslabón más débil. Por eso, es fundamental elevar las exigencias de forma gradual y proporcional al riesgo de cada proveedor: cláusulas contractuales, controles mínimos, monitoreo y evaluaciones periódicas.
No se busca burocratizar la relación, sino construir confianza. Un proveedor seguro es también un mejor socio para innovar.
Frente a un incidente que pueda afectar una infraestructura esencial, ¿qué importancia tienen los ejercicios de simulación, la coordinación sectorial y el intercambio de información?
Son fundamentales. Un plan que no se ejercita es solo un documento. En cada simulacro de crisis siempre encontramos oportunidades de mejora, por eso es clave practicar con distintos escenarios. A nivel sectorial, contamos con canales de colaboración para el intercambio de información entre empresas del sector eléctrico, y el Coordinador Eléctrico Nacional ha venido impulsando ejercicios sectoriales que fortalecen la capacidad de respuesta de todo el sistema.
¿Cómo ha evolucionado el rol del responsable de seguridad de la información en el sector energético y cuáles deberían ser sus principales prioridades durante los próximos años?
El cargo pasó de ser una función técnica a una función de gestión de riesgos con visibilidad en la alta administración. Las regulaciones, y en especial la Ley Marco para los Operadores de Importancia Vital (OIV), han acelerado la madurez del sector. Hoy los CISOs reportamos periódicamente en instancias de gobierno corporativo y ante directores.
Hacia adelante, las prioridades de ciberseguridad son consolidar la gobernanza, fortalecer la protección de la infraestructura crítica, gestionar el riesgo de terceros, avanzar hacia la resiliencia y desarrollar cultura y talento. El CISO de hoy debe ser un habilitador del negocio.