Aquí la ciberseguridad deja de ser abstracta: un ataque no roba datos, puede provocar daños físicos. Por eso las centrales nucleares y las infraestructuras críticas (agua, electricidad, gas, química) tienen algunas de las defensas más estrictas que existen.
Qué se protege. No los reactores directamente, sino los sistemas de control industrial (ICS/SCADA) que los operan y monitorizan: los que abren válvulas, controlan bombas, temperaturas y presiones. Y, sobre todo, los sistemas de seguridad (safety), diseñados para llevar la instalación a un estado seguro pase lo que pase.
El principio rey: defensa en profundidad y aislamiento. La red que controla los procesos críticos está separada (idealmente "air-gapped", sin conexión a internet) de la red administrativa. Se añaden capas: control de accesos físicos, sistemas de seguridad independientes (a veces analógicos, imposibles de hackear por red), monitorización y redundancia. La idea es que ningún fallo único —ni digital ni físico— pueda desencadenar una catástrofe.
Que el air gap no es magia: Stuxnet. El caso que lo cambió todo fue Stuxnet (descubierto en 2010): un malware extraordinariamente sofisticado que saboteó las centrifugadoras de enriquecimiento de uranio de Irán saltando el air gap (se cree que a través de un USB) y dañando equipo físico mientras mostraba a los operadores que todo iba bien. Demostró que un ciberataque puede tener consecuencias en el mundo real. Después llegaron otros específicos de infraestructura: Industroyer (contra la red eléctrica de Ucrania) y Triton/Trisis, diseñado para atacar precisamente los sistemas de seguridad de una planta — cruzar esa línea es de lo más peligroso que existe.
Los retos. Sistemas heredados que no se pueden apagar ni parchear con facilidad, prioridad absoluta a la disponibilidad y a la seguridad física, insiders, cadena de suministro, y una regulación estricta (reguladores nucleares y de infraestructuras críticas exigen medidas concretas).
Por qué te interesa. La seguridad de infraestructuras críticas y OT es de los campos más críticos, mejor pagados y con más futuro — porque las consecuencias de un fallo son máximas y faltan especialistas que entiendan a la vez de ciber y de mundo industrial.