Si te das una vuelta por los portales de empleo o te asomas a LinkedIn estos días, notarás un patrón que se repite más que las canciones del verano: la desesperación por encontrar perfiles de ciberseguridad. Pero no hablo de alguien que sepa instalar un antivirus y cambiar contraseñas. La cosa se ha puesto seria. Las empresas están buscando, casi con un «se busca» de película del oeste, a expertos en ethical hacking que sepan moverse en entornos OT (Operational Technology). Y la verdad es que, si no estás metido en el mundillo, esto de «OT» te sonará a programa de televisión, pero en realidad es lo que hace que las luces de tu casa se enciendan y que el agua llegue al grifo.
La noticia que ha saltado hace apenas un par de días sobre una empresa de ciberseguridad buscando urgentemente a alguien para diseñar detecciones en estos entornos no es una anécdota. Es el síntoma de una fiebre que recorre España. Estamos en un momento donde la infraestructura crítica —desde una fábrica de conservas en Murcia hasta los astilleros de Navantia aquí en Cartagena— depende de sistemas que, a menudo, son más viejos que el hilo negro y que ahora, de repente, están conectados a internet. Y claro, ahí es donde entran los problemas.
¿Qué demonios es eso del entorno OT y por qué es tan crítico?
Para que nos entendamos, en el mundo de la informática solemos dividirlo todo en dos bandos. Por un lado, tenemos el IT (Information Technology), que es lo que todos conocemos: correos electrónicos, bases de datos de clientes, el Excel que se cuelga el lunes por la mañana… Si un hacker entra ahí, te roba los datos o te cifra los archivos. Es una faena, sí, pero la empresa no explota.
Por otro lado, tenemos el OT. Aquí hablamos de máquinas reales. Válvulas que se abren, brazos robóticos que sueldan piezas, turbinas que giran a miles de revoluciones. Si alguien mete la mano en el código de un PLC (Controlador Lógico Programable) en una refinería de Escombreras, no te roba la tarjeta de crédito; lo que puede pasar es que una presión suba más de la cuenta y tengamos un disgusto de los gordos. La ciberseguridad en OT no va de proteger la privacidad, va de proteger la integridad física y la continuidad de la vida tal cual la conocemos.
El problema, y aquí viene la miga del asunto, es que los sistemas industriales no se diseñaron pensando en la seguridad. Se diseñaron para durar treinta años y no fallar nunca. Muchos de estos cacharros usan protocolos que tienen más agujeros que un queso gruyere porque, cuando se inventaron, nadie pensaba que un tipo desde la otra punta del mundo iba a intentar conectarse a ellos.
El arte de diseñar detecciones: No basta con poner una valla
La oferta de empleo que mencionaba antes ponía el foco en «diseñar y afinar detecciones». Esto suena muy técnico, pero si lo bajamos a tierra, es como ser el arquitecto de un sistema de alarmas inteligente. No sirve de nada que la alarma suene cada vez que pasa un gato (falsos positivos), porque al final el guardia de seguridad se cansa y la apaga. Lo que se busca es a alguien capaz de entender qué es un comportamiento normal en una red industrial y qué es un ataque sutil.
Imagina que tienes un sensor que mide la temperatura de un horno. Un atacante listo no va a subir la temperatura a mil grados de golpe, porque saltarían todas las alarmas. Lo que hará será subirla medio grado cada hora. Al final del día, el material se habrá echado a perder, pero nadie habrá notado nada raro. El ethical hacker especializado en detecciones tiene que programar reglas que digan: «Oye, esto de subir medio grado cada hora no es lo que suele pasar cuando estamos fabricando este tipo de acero».
Para los que os gusta el código, esto se traduce a menudo en escribir reglas de Snort, Suricata o YARA, o incluso scripts en Python que analicen el tráfico de red en busca de anomalías. Por ejemplo, algo tan sencillo como esto (aunque en la vida real es mucho más complejo, claro):
# Un ejemplo muy tonto de cómo detectaríamos un acceso raro a un PLC
def analizar_trafico(paquete):
protocolo_industrial = paquete.get_layer('Modbus')
if protocolo_industrial:
# Si alguien intenta escribir en un registro que suele ser de solo lectura
if paquete.function_code == 6 and paquete.register_address == 0x0001:
lanzar_alerta("¡Ojo! Intento de escritura no autorizado en zona crítica")
Vaya, que no es solo saber de informática, es saber cómo funciona la industria por dentro. Y en España, con el peso que tiene el sector industrial y energético, estos perfiles están cotizadísimos.
Investigar incidentes: El CSI de los bits
La otra pata de esa oferta «urgente» es la investigación de incidentes. Cuando algo falla, hay que saber por qué. ¿Ha sido un error humano? ¿Se ha roto una pieza por desgaste? ¿O tenemos a alguien dentro de la red moviéndose como Pedro por su casa? Investigar un incidente en un entorno industrial es un dolor de cabeza constante. A diferencia de un servidor normal, aquí no puedes simplemente «apagar y volver a encender» para analizar el disco duro. Si apagas la máquina, igual detienes una línea de producción que cuesta cien mil euros la hora.
El profesional tiene que hacer «forense en vivo». Tiene que ser capaz de mirar los logs, analizar el tráfico de red capturado y reconstruir la escena del crimen sin tocar nada que pueda interrumpir el proceso. Es un trabajo de cirujano. Y ojo, que muchas veces el ataque no viene de fuera. A veces es un USB infectado que alguien ha pinchado donde no debía «solo para cargar el móvil». Sí, eso sigue pasando en 2024.
¿Por qué en España y por qué ahora?
La verdad es que España se ha convertido en un objetivo muy jugoso. Tenemos empresas punteras en renovables, en gestión de aguas y en infraestructuras ferroviarias. Además, el Esquema Nacional de Seguridad (ENS) se ha puesto muy serio. Ya no es opcional tener una buena ciberseguridad; si quieres trabajar con la administración o gestionar servicios esenciales, tienes que cumplir unos estándares que quitan el hipo.
En Cartagena, por ejemplo, tenemos una concentración industrial que es un caramelo para cualquier ciberdelincuente con ganas de marcha. Entre el puerto, la refinería y la industria auxiliar, la superficie de ataque es enorme. Por eso, cuando una empresa de aquí o que da servicio a estas zonas publica una oferta, lo hace con urgencia. Porque saben que, si no tienen a alguien vigilando, es solo cuestión de tiempo que algo pase.
Además, hay un factor humano importante: la falta de relevo generacional con conocimientos híbridos. Tenemos ingenieros industriales que saben muchísimo de máquinas pero poco de redes, y tenemos informáticos que saben mucho de nubes y servidores pero que no han visto un PLC de Siemens en su vida. El que consiga unir esos dos mundos tiene el futuro asegurado.
¿Qué se necesita para dar el salto al ethical hacking industrial?
Si estás leyendo esto y piensas «oye, pues a mí esto me mola», que sepas que el camino no es corto, pero sí muy gratificante. No basta con hacerse un curso de fin de semana. La base suele ser una ingeniería o una formación profesional superior en informática o telecomunicaciones, pero luego hay que mancharse las manos.
- Certificaciones que pesan: No soy muy fan de coleccionar cromos, pero en este sector, cosas como el CEH (Certified Ethical Hacker) o, mejor aún, el OSCP (Offensive Security Certified Professional) te abren puertas. Para la parte industrial, el SANS Institute tiene cursos específicos que son el estándar de oro, aunque prepara la cartera porque no son baratos.
- Conocer los protocolos: Olvídate un momento del HTTP o el FTP. Aquí mandan el Modbus, el Profinet, el EtherNet/IP o el DNP3. Tienes que entender cómo hablan las máquinas entre sí.
- Curiosidad insaciable: Tienes que ser de los que, cuando ven una máquina de vending, se preguntan cómo se comunica con el servidor central. Esa mentalidad de «cómo funciona esto y cómo puedo romperlo (para arreglarlo después)» es fundamental.
Y no nos engañemos, el inglés es impepinable. Casi toda la documentación técnica y las comunidades de investigación más punteras hablan en la lengua de Shakespeare. Si no te defiendes ahí, te vas a perder la mitad de la película.
Un poco de historia para poner contexto (sin aburrir)
A veces pensamos que esto de los ataques a industrias es algo de ciencia ficción o de la semana pasada, pero la verdad es que llevamos años avisados. El caso más famoso, y que todo aspirante a ethical hacker debería estudiar, es Stuxnet. Allá por 2010, alguien (se sospecha de ciertos servicios de inteligencia) consiguió meter un gusano informático en una planta de enriquecimiento de uranio en Irán. Lo curioso es que no rompieron nada a lo bestia. Simplemente hicieron que las centrifugadoras giraran a una velocidad ligeramente distinta de la recomendada mientras los monitores de control mostraban que todo iba perfecto. Al final, las máquinas se autodestruyeron por fatiga de materiales.
Eso cambió las reglas del juego para siempre. Demostró que un código podía causar daños físicos reales. Aquí en España, aunque no hayamos tenido un «Stuxnet», sí que hemos visto ataques de ransomware que han paralizado ayuntamientos enteros o empresas logísticas durante semanas. La diferencia es que ahora los malos ya saben que atacar la parte industrial duele mucho más y permite pedir rescates más altos.
La realidad del día a día: No todo es Matrix
Quiero romper una lanza a favor de la realidad: el trabajo de un analista de ciberseguridad en OT tiene mucho de oficina y de mirar pantallas con miles de líneas de texto. No estás todo el día con una capucha en una habitación oscura hackeando satélites. Hay mucha parte de documentación, de reuniones con los jefes de planta para explicarles por qué no pueden dejar la contraseña «1234» en el panel de control, y de pelearse con normativas.
Pero, la verdad es que cuando consigues detectar una intrusión antes de que pase nada, o cuando diseñas un sistema de defensa que bloquea un ataque automatizado, la satisfacción es tremenda. Es como ser un guardián invisible. En una ciudad como Cartagena, con tanta historia de defensas y murallas, ser un «hacker ético» es, en el fondo, la versión moderna de los soldados que vigilaban desde los castillos. Solo que ahora los cañones son bits y las murallas son firewalls de última generación.
¿Y el sueldo? Hablemos de dinero
Sé que es lo que muchos estáis pensando. Con tanta urgencia y tanta especialización, ¿se paga bien? La respuesta corta es sí. La respuesta larga es «depende de cuánto sepas de verdad». Un perfil junior en ciberseguridad puede empezar cobrando algo normal, pero en cuanto te especializas en entornos industriales y demuestras que sabes investigar incidentes, los salarios en España pueden subir rápidamente por encima de los 45.000 o 50.000 euros, y de ahí para arriba si llegas a puestos de arquitectura o consultoría senior.
Lo bueno es que, al haber tanta demanda y tan poca oferta, las empresas están dispuestas a ofrecer flexibilidad, teletrabajo (aunque en OT a veces hay que ir a la planta a ver qué pasa) y planes de formación continuada. Saben que, si no cuidan al experto, se lo va a llevar la competencia en menos de lo que canta un gallo.
Ojo con la ética, que por algo se llama «ethical»
No quiero terminar sin tocar este punto. Tener estas habilidades es como tener una llave maestra para entrar en cualquier sitio. La tentación de usar esos conocimientos para el mal o para beneficio propio siempre está ahí, pero el ethical hacking se basa en la confianza. Si una empresa te abre las puertas de su red industrial, te está dando las llaves de su corazón. Un error ético no solo acaba con tu carrera, sino que puede meterte en líos legales muy serios. En España, el Código Penal es bastante claro con los delitos informáticos, y las penas no son ninguna broma.
Ser un hacker ético significa usar tu ingenio para ayudar, para prevenir desastres y para hacer que el mundo digital (y el físico que depende de él) sea un poco más seguro. Es una responsabilidad que pesa, pero que también dignifica mucho la profesión.
Al final del día…
La conclusión que saco de todo esto es que estamos ante una oportunidad de oro para los profesionales del sector tecnológico en España. La urgencia por cubrir estos puestos de ciberseguridad en entornos OT no va a desaparecer mañana. Al contrario, a medida que más dispositivos se conecten (el famoso IoT industrial), la necesidad de «fontaneros digitales» que sepan tapar fugas será mayor.
Si te gusta la tecnología, si tienes esa chispa de curiosidad por saber cómo funcionan las cosas y si no te asusta la responsabilidad de proteger infraestructuras críticas, este es tu momento. No hace falta ser un genio de las matemáticas, hace falta tener ganas de aprender, ser metódico y, sobre todo, entender que detrás de cada pantalla hay un mundo real que depende de que hagamos bien nuestro trabajo. Vaya, que si buscas un reto de los de verdad, el ethical hacking industrial te está esperando con los brazos abiertos. Y sí, parece que corre prisa.
Deja una respuesta