🏭 OT CISO / CISO industrial

El responsable de la seguridad de la tecnología operacional: la planta, el proceso, los autómatas, el SCADA, la subestación, la línea de producción, la red de agua. Es la única ruta del ecosistema CISO donde un fallo puede herir a una persona o dañar el medio ambiente, y eso cambia la jerarquía de prioridades por completo: primero la seguridad de las personas, después la continuidad del proceso, y solo entonces la confidencialidad.

Nivel de entrada: ninguno; se llega desde automatización, infraestructura o seguridad con experiencia industrial · Foco: inventario pasivo, zonas y conductos, continuidad de proceso y convivencia con Operaciones · Certificación faro: CISSP como base y las credenciales IEC 62443 o GICSP como especialización

Alias y variantes: OT CISO, Industrial CISO, ICS Security Manager, OT Security Lead, Head of OT Security, Plant Security Officer, Responsable de Ciberseguridad Industrial.

Fecha de consulta de las fuentes: 26 de agosto de 2026.

🧭 Qué es y por qué importa

Definición

El responsable ejecutivo de la ciberseguridad de los sistemas que miden y controlan procesos físicos: sistemas de control industrial (ICS), SCADA, autómatas programables (PLC), sistemas instrumentados de seguridad (SIS), sensores, historizadores y todo lo que hoy los conecta con el mundo de la tecnología de la información. Trabaja con Operaciones y con Prevención de Riesgos, no por encima de ellos.

Nivel de consolidación del título

Especialización consolidada, con nombres variables. La función es reconocible y madura en energía, minería, agua, petróleo y gas, manufactura, transporte y servicios sanitarios. El título concreto varía; lo que no varía es el contenido: inventario, segmentación, acceso remoto de proveedores, continuidad de proceso y convivencia con la ingeniería de planta.

Existen dos modelos organizativos habituales, y hay que saber en cuál estás:

El modelo sano es un doble reporte real, con objetivos compartidos entre el CISO corporativo y la dirección de operaciones.

Qué problema resuelve

Qué hace y qué no hace

Dónde existe

Energía (generación, transmisión, distribución), minería, agua y saneamiento, petróleo y gas, manufactura, alimentos y bebidas, celulosa, transporte y logística, ferrocarriles, puertos, edificios inteligentes y salud con equipamiento crítico. En Chile es una de las especialidades con más demanda estructural por el peso de la minería, la energía y el agua.

🏛️ Mandato, autoridad y responsabilidad

La regla que ordena todo lo demás

En tecnología de la información la prioridad clásica es confidencialidad, integridad, disponibilidad. En tecnología operacional el orden se invierte y se le antepone algo que en TI no existe:

1. Seguridad de las personas   (safety)
2. Continuidad del proceso     (disponibilidad)
3. Integridad de los datos de control
4. Confidencialidad

Consecuencia práctica: un control de ciberseguridad que pueda impedir una parada de emergencia, retrasar una alarma de proceso o bloquear al operador no se implanta, por muy bien que se vea en la política corporativa. Esta frase es el criterio con el que se evalúa el capstone de esta ruta.

Autoridad, presupuesto, equipo y riesgo

• Autoridad: compartida, siempre. Ningún cambio entra en la planta sin el acuerdo de Operaciones e Ingeniería. Tu palanca no es el veto: es la evaluación conjunta de riesgo y el hecho de que puedes escalar a la dirección un riesgo que la planta decida no tratar.
• Presupuesto: a veces propio, con frecuencia dentro del presupuesto de mantenimiento o de proyectos industriales. Es una diferencia importante: allí compites con inversiones de proceso, no con proyectos de TI.
• Equipo: sí, aunque pequeño y mixto: gente de seguridad que aprende automatización y gente de automatización que aprende seguridad. Los segundos son los más difíciles de encontrar y los más valiosos.
• Riesgo: responde por el riesgo cibernético del entorno OT. La aceptación de un riesgo residual la firma la dirección de operaciones, porque es quien responde por el proceso y por las personas.

Conflictos de interés y límites éticos

🗓️ El día, el mes y el año

Un día típico. Revisión de las conexiones nuevas detectadas por el monitoreo pasivo entre la zona de control y la de supervisión; reunión con el jefe de mantenimiento por una solicitud de acceso remoto de un fabricante alemán; validación de la lista de activos tras una parada programada; conversación con TI corporativa para explicar por qué el agente de seguridad de la estación de ingeniería no puede desplegarse todavía.

Un mes típico. Una evaluación de riesgo de un proyecto industrial nuevo; la revisión de la matriz de conductos tras un cambio; el informe de estado a la dirección de operaciones y al CISO; una sesión de formación con operadores, que es la actividad con mejor retorno de todo el programa.

Un año típico. La revisión completa del modelo de zonas y conductos; la evaluación de riesgo de la parada mayor de planta, que es tu única ventana real para actuar; un ejercicio de mesa con Operaciones, Prevención de Riesgos y Comunicaciones; la prueba de recuperación de un sistema de control desde copia; la reevaluación de los proveedores críticos; y el ciclo presupuestario, donde peleas contra inversiones de proceso con retorno demostrable.

Interlocutores

🧾 Entregables verificables

📏 KPI y KRI

🧠 Qué necesitas saber

Competencias técnicas

• El proceso industrial de tu sector. No a nivel de ingeniero, pero sí lo suficiente para saber qué pasa si un valor se altera. Sin esto no puedes priorizar nada.
• Arquitectura de control: niveles del modelo Purdue, PLC, DCS, SCADA, historizador, HMI, estación de ingeniería y sistemas instrumentados de seguridad.
• Protocolos industriales y por qué casi ninguno nació con autenticación.
• Zonas, conductos y niveles de seguridad según IEC 62443, y cómo se llevan a reglas de firewall reales.
• Descubrimiento pasivo: captura de tráfico y análisis, porque el escaneo activo no es una opción por defecto.
• Detección específica de OT: qué es normal en una red de control y qué no; por qué las reglas de TI producen ruido inútil aquí.
• Continuidad y recuperación de sistemas de control, incluidas las copias de la lógica y de la configuración, que es lo que casi nadie respalda.
• Seguridad física, porque en OT el acceso al armario es un vector real.

Competencias de negocio

• Hablar de producción: toneladas, megavatios, disponibilidad de línea, coste de parada por hora. Es el idioma en el que se toman las decisiones en tu entorno.
• Encajar la seguridad en el ciclo de inversión industrial, que es largo y se planifica con años de antelación.
• Aprovechar la parada mayor: la mitad de tu plan anual depende de esa ventana.
• Construir el caso económico frente a inversiones de proceso con retorno demostrable, que es una competencia mucho más dura que en TI.

Comunicación y negociación

• Ganarte a los operadores y al jefe de turno. Sin ellos no hay programa; con ellos, casi todo es posible.
• Hablar con Prevención de Riesgos en su marco, no en el tuyo.
• Explicar a la dirección un riesgo cibernético en términos de producción, personas y medio ambiente.
• Negociar con TI corporativa qué política se adapta y cuál no aplica, sin convertirlo en una guerra de territorios.
• Negociar con fabricantes: es donde se gana o se pierde el acceso remoto y la capacidad de parchear.

Competencias regulatorias

Depende del sector y del país: energía, agua, transporte y salud suelen tener reguladores propios con exigencias específicas, y muchas organizaciones industriales quedan dentro del alcance de la normativa de servicios esenciales. En Chile, revisa la calificación como operador de importancia vital y los deberes de reporte de la Ley 21.663 en el contexto del ecosistema, y comprueba además lo que exija tu regulador sectorial. No atribuyas obligaciones a tu cargo sin la norma delante.

Componente comercial

Ninguno. Si compras sistemas de control, el conflicto que sí debes gestionar es el del proveedor que diseña, instala y luego audita su propia instalación: separa esos papeles por contrato.

📚 Tu ruta en el programa

1. Fundamentos — 001 · 002 · Panorama de amenazas · 003 · Frameworks · 025 · Ética y legalidad
2. El dominio industrial — 273 · Seguridad de sistemas de control industrial (ICS/SCADA) — la clase central de esta ruta - 266 · Seguridad de IoT y superficie de ataque · 267 · Hacking de firmware · 268 · Análisis de hardware: UART, JTAG y SPI · 269 · Radio definida por software - Según tu sector: 274 · Automotriz y bus CAN · 275 · Dispositivos médicos
3. La red, que es donde se implementa la segmentación — Parte 1 - 034 · Firewalls · 042 · Segmentación y Zero Trust — el par que convierte las zonas y conductos en reglas reales - 036 · VPN y túneles · 043 · Network Security Monitoring · 044 · Zeek — la base del inventario pasivo - 026 · Wireshark · 039 · Ataques de capa 2
4. Gobierno, riesgo y continuidad — Parte 14 - 283 · Continuidad de negocio y recuperación ante desastres — la clase que más pesa en OT - 277 · Gestión de riesgos · 278 · ISO/IEC 27001 · 279 · NIST CSF · 284 · Riesgo de terceros · 287 · KPI y KRI
5. La capa de dirección — Parte 17 - 316 · Modelos de seguridad y arquitectura · 329 · Arquitectura empresarial y Zero Trust · 317 · Seguridad física y ambiental - 315 · MFA y accesos privilegiados — la base del acceso remoto de proveedores - 318 · Programa de vulnerabilidades · 324 · Hardening y gestión de configuración · 320 · Gobierno y regulación · 328 · Riesgo cuantitativo y continuidad avanzada
6. Detección y respuesta - 182 · Telemetría · 183 · SIEM · 191 · Logs de red y proxy · 197 · Métricas y madurez - 202 · Ciclo de respuesta · 215 · Playbooks · 216 · Contención y recuperación · 219 · Ejercicios de mesa
7. Lo que te va a llegar desde el lado corporativo — 170 · Active Directory: enumeración · 258 · Campañas de phishing · 259 · Defensa contra la ingeniería social

Laboratorio y práctica

• 🧪 labs/ciso-leadership — el escenario 14 (incidente OT con continuidad y seguridad física) es el de esta ruta; el 5 (tabletop de ransomware) y el 6 (proveedor crítico) son directamente aplicables.
• 🧪 redes-nmap — úsalo para entender exactamente qué hace un escaneo activo, que es justo lo que no debes lanzar contra un PLC en producción.
• 🧪 blue-team-soc — para diseñar la telemetría que sí puedes llevarte de la planta al SOC corporativo.
• 🏗️ La ruta hermana de Arquitecto de Ciberseguridad IT/OT incluye el montaje de un PLC simulado en red aislada y la construcción del modelo Purdue: hazla si vienes de seguridad y te falta la planta.

Capstone

Un incidente en planta, resuelto con la jerarquía correcta. Sobre Minera Alto Cobre del laboratorio:

1. Inventario pasivo de los activos del escenario, indicando cómo se obtuvo cada dato sin escaneo activo.
2. Modelo de zonas y conductos con la matriz de flujos: por cada conducto, protocolo, sentido, inspección y quién lo aprueba.
3. Procedimiento de acceso remoto para el fabricante que mantiene el sistema de control.
4. Registro de riesgos OT con al menos ocho riesgos, dueño de Operaciones y residual.
5. Dirección del incidente: ransomware que llega desde la red corporativa. Documenta las decisiones con reloj: qué se aísla, en qué orden, quién autoriza detener o mantener el proceso, qué se comunica y en qué momento se activa el deber de reporte.
6. Análisis posterior: qué control se implantará, cuál se descarta porque interferiría con la seguridad de las personas, y qué se acepta como riesgo.

Criterio de aceptación: (a) ninguna medida propuesta puede interferir con una función instrumentada de seguridad, y debes demostrar que lo comprobaste; (b) la decisión de detener o mantener el proceso debe estar tomada por Operaciones, no por ti; (c) el inventario debe ser íntegramente pasivo. Fallar cualquiera de los tres invalida el capstone, aunque el resto sea impecable.

Portafolio

• El inventario pasivo con su método.
• El modelo de zonas y conductos con la matriz de flujos.
• El procedimiento de acceso remoto de proveedores.
• La cronología del incidente con las decisiones y quién las tomó.
• La prueba de recuperación cronometrada de un sistema de control.

🎤 Preguntas de entrevista

1. ¿Cómo construyes el inventario de una planta sin escanear?
2. Un control de seguridad podría retrasar una alarma de proceso. ¿Qué haces?
3. El fabricante exige acceso remoto permanente o retira la garantía. ¿Cómo lo resuelves?
4. ¿Quién decide detener la planta durante un incidente?
5. ¿Cómo gestionas una vulnerabilidad crítica en un PLC que no se puede parchear hasta la parada anual?
6. ¿Qué respaldos de un sistema de control tienes y cuándo probaste la restauración?
7. ¿Cómo convences al jefe de turno de que esto le sirve?
8. ¿Qué política corporativa de TI has tenido que rechazar y con qué argumento?
9. ¿Cómo diferencias tráfico anómalo de tráfico simplemente inusual en una red de control?
10. ¿Qué obligación de reporte tiene esta organización y quién la firma?

🎓 Certificaciones

Ninguna garantiza empleo. En este dominio, lo que más pesa en una entrevista es haber estado en una planta y saber por qué no se escanea en producción.

📈 Progresión de carrera y salario

Cargos de entrada y experiencia previa razonable

No existe un número universal de años. Lo que se comprueba es si has convivido con una planta en producción y si entiendes por qué una parada cuesta lo que cuesta.

Hacia dónde sigue

OT CISO → CISO corporativo en una empresa industrial, con una especialidad escasa · → dirección de riesgo operacional industrial · → arquitecto IT/OT principal · → consultoría especializada o vCISO industrial · → Field CISO en un fabricante de seguridad OT.

Sobre la remuneración

Este programa no publica cifras propias para este puesto: en el mundo industrial la retribución depende del sector (minería y energía pagan por encima de manufactura), de la localización de la faena y de si el cargo incluye disponibilidad permanente. Como referencia orientativa, se sitúa en la franja de jefatura o dirección técnica industrial; consulta los rangos de la ruta CISO con su advertencia, y contrasta con estudios de remuneración con fecha y metodología publicadas. Pregunta siempre por el régimen de turnos y la disponibilidad: definen el puesto tanto como el sueldo.

⚠️ Mitos y errores comunes

• «OT es como TI pero con máquinas viejas.» No: la prioridad es distinta, el ciclo de vida es de décadas y un error puede herir a alguien.
• «Hay que parchearlo todo.» En OT se gestiona la vulnerabilidad: se compensa, se segmenta, se vigila y se parchea en la ventana. Exigir parcheo inmediato demuestra que no conoces el entorno.
• «Basta con separar la red.» El aislamiento total ya no existe: hay mantenimiento remoto, historizadores, sistemas de gestión y memorias USB. Lo que existe es segmentación gobernada.
• «El escaneo no hace daño.» Sí lo hace. Hay autómatas que dejan de responder ante tráfico inesperado. El inventario se construye de forma pasiva.
• «La ciberseguridad manda sobre la seguridad de las personas.» Nunca. Si un control puede interferir con una función de seguridad, no se implanta.
• «Operaciones es el obstáculo.» Operaciones es tu socio y responde por el proceso y por la gente. Un programa OT que se impone contra ellos fracasa siempre.
• Señal de cargo decorativo: te nombran responsable de ciberseguridad industrial, no tienes acceso a la planta, no participas en la gestión de cambios y tu primer entregable es una política copiada de TI.

↔️ Diferencias con los cargos vecinos

📎 Fuentes y fecha de consulta

Consultadas el 26 de agosto de 2026.

• NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security — documento público de referencia del dominio: arquitectura, controles y particularidades de OT frente a TI.
• IEC — serie IEC 62443 sobre seguridad de sistemas de automatización y control industrial; de ella provienen los conceptos de zona, conducto y nivel de seguridad usados en esta guía. Normas de pago: se explican sus conceptos, no se reproduce su texto.
• CISA — avisos de sistemas de control industrial y objetivos de desempeño intersectoriales.
• ENISA — panorama de amenazas y guías para infraestructura crítica.
• NIST Cybersecurity Framework 2.0 — marco de gobierno y de evaluación de brecha usado en el capstone.
• ISO/IEC 27001 — SGSI, cuando el grupo lo exige también en planta. Norma de pago.
• Chile: ANCI y CSIRT Nacional para los deberes de la Ley 21.663 y la calificación como operador de importancia vital; más el regulador sectorial que corresponda.
• Ecosistema CISO de este programa — taxonomía, matriz comparativa y contexto chileno.

🚀 Siguientes pasos

1. Lee el ecosistema CISO para situar este cargo frente al CISO corporativo.
2. Haz el escenario 14 del laboratorio ejecutivo.
3. Si vienes de seguridad y te falta la planta, recorre la ruta de Arquitecto IT/OT y monta el PLC simulado.
4. Rinde el examen final de OT CISO.
5. Si quieres el mandato corporativo completo, tu página es CISO.

• ⬅️ Volver al índice de rutas
• 🗂️ El ecosistema CISO — mapa de cargos, matriz comparativa y test del mandato
• 🏭 Arquitecto de Ciberseguridad IT/OT · 🧱 Seguridad de Infraestructura · 🎩 CISO
• 🧪 Laboratorio ejecutivo CISO · 🎓 Evaluación del ecosistema
• 🏠 Inicio del programa