Las nuevas amenazas de seguridad combinan ataques físicos y cibernéticos
Las nuevas amenazas de seguridad combinan ataques físicos y cibernéticos, según afirmó Raúl Porras Martín, chief information security officer de Desico (Grupo Casnova), durante la ponencia que pronunció en SICUR 2026 y que se centró en los sistemas de seguridad en un entorno operativo conectado.
En opinión de Raúl Porras, la adopción e integración de los dispositivos de internet de las cosas (IoT), internet de las cosas industrial (IIoT), sistemas IT/OT, sistemas de gestión de edificios (BMS) o sistemas de seguridad física ha llevado a una malla cada vez más interconectada de sistemas ciberfísicos. “Ya no hablamos de infraestructuras aisladas, sino de ecosistemas completamente conectados”, señaló.
Porras destacó, durante su participación en SICUR 2026, la creciente importancia de las amenazas híbridas en los sistemas de seguridad física, y advirtió de los nuevos desafíos frente a los ciberataques. Según explicó, las amenazas actuales son el resultado de ataques dirigidos de forma conjunta a activos físicos y cibernéticos.
El experto indicó que los sistemas de seguridad combinan tecnologías IT tradicionales, sistemas OT y dispositivos IoT. En cuanto a las tecnologías de la información IT, subrayó la relevancia de protocolos TCP/IP, servidores de aplicaciones y bases de datos, software y entornos virtualizados. En relación a las tecnologías de la operación OT, relacionó plataformas SCADAs, PSIM, VMS, PLCs y protocolos como OSDP o Wiegand, así como tecnologías de identificación como Mifare o Desfire. A ello se suman dispositivos IoT, como cámaras de CCTV, lectores biométricos y de tarjetas, Interfonos IP y videoporteros conectados.
Adaptarse a los retos transversales
Porras afirmó que los retos son transversales, pero se planteó si también se están gestionando de esa forma. La respuesta fue negativa. “Las funciones y responsabilidades de seguridad física y ciberseguridad están desconectadas y siguen siendo totalmente independientes en muchos casos”.
La estrategia de la seguridad física se limita a las funciones siguientes: protección de instalaciones, personas, activos y accesos físicos frente a amenazas de origen deliberado; definición de políticas y procedimientos de seguridad; gestión de activos de seguridad física (cámaras, lectores, etc.); y gestión del personal de seguridad. Mientras que la estrategia de la ciberseguridad se centra en la protección frente a amenazas de origen lógico; la definición de políticas y procedimientos de seguridad de la información; la gestión de activos de seguridad de la información; y la gestión de activos IT.
A juicio de este experto, el modelo tradicional ha dejado de ser suficiente y ahora se requieren definir responsabilidades de manera unificada, realizar análisis de riesgos integrales, y llevar a cabo una cooperación y coordinación entre la seguridad física y la ciberseguridad.
Ciberseguridad desde el diseño
El cambio de paradigma no responde únicamente a la evolución tecnológica, sino también al contexto normativo. Porras recordó que marcos como el Esquema Nacional de Seguridad (ENS), la Directiva NIS2 o el Reglamento de Ciberresiliencia (Cyber Resilience Act, CRA) exigen un mayor nivel de control de accesos y privilegios, comunicaciones seguras, trazabilidad y auditoría, así como una ciberseguridad integrada en el producto y la infraestructura desde el diseño y a lo largo de todo su ciclo de vida. “Ya no es suficiente con declarar que un sistema es seguro; la seguridad debe ser evaluable y verificable”, afirmó.
En esta línea, destacó la importancia de que los fabricantes incorporen controles técnicos robustos que permitan una implantación segura en entornos reales. Asimismo, subrayó que Desico se encuentra en proceso de certificación LINCE para su plataforma Vigiplus PSIM, un esquema promovido por el Centro Criptológico Nacional (CCN) que evalúa técnicamente los controles de ciberseguridad integrados en el producto.
Fabricante, primer eslabón de la seguridad
En este nuevo escenario, concluyó, la selección de fabricantes se convierte en un requisito de seguridad. “El fabricante es el primer eslabón en la cadena de soberanía y ciberseguridad. De él depende la calidad, la mejora continua, la resiliencia y la capacidad de adaptación del sistema frente a nuevas amenazas y exigencias regulatorias”, señaló.
La convergencia entre seguridad física y ciberseguridad, junto con la presión regulatoria y la necesidad de evaluación técnica independiente, apunta hacia un modelo en el que la seguridad ya no puede entenderse como un elemento accesorio, sino como un requisito estructural de las soluciones tecnológicas.