Financiar programas de ciberseguridad OT sin depender del ROI

El problema fundamental de presupuestar seguridad OT

Los equipos de tecnología operacional enfrentan una paradoja persistente en la industria: presentan listas exhaustivas de vulnerabilidades críticas que requieren remediación inmediata, pero cuando suben esas solicitudes al nivel ejecutivo, la pregunta que reciben es siempre la misma: ¿cuál es el retorno sobre la inversión? Esta pregunta, aunque válida en contextos de gasto estratégico que genera ingresos, resulta problemática en ciberseguridad porque su propósito no es crear ganancias sino prevenir pérdidas catastróficas.

La conversación se estanca precisamente en ese punto. Los directivos financieros están entrenados para evaluar proyectos mediante ROI: si gastamos X en automatización, ¿cuánto ingreso adicional generamos? Pero la seguridad OT no funciona así. Invertir en un firewall industrial o en parches de seguridad para un PLC no genera ingresos; evita que una planta se detenga por un ataque ransomware o que datos críticos se filtren.

Un nuevo marco financiero presentado en S4x26

En la conferencia S4x26 (Security of Supervisory Control and Data Systems), celebrada en Miami, expertos como Hector R. Perez de Black & Veatch y Jacob Marzloff de Armexa presentaron un enfoque radicalmente diferente. En lugar de forzar métricas de ROI inapropiadas, proponen un marco de valoración que reconoce la naturaleza defensiva y de mitigación de riesgos de la inversión en seguridad OT.

Este marco redefine cómo las organizaciones deben pensar en presupuestos de ciberseguridad industrial. En lugar de preguntarse “¿qué ganamos?”, el modelo sugiere estructurar la conversación alrededor de: “¿cuál es el costo probable de una brecha y cómo se compara con el costo de prevención?” Esto transforma la ecuación financiera y permite que ejecutivos comprendan que la seguridad OT es protección patrimonial, no gasto discrecional.

La brecha entre visiones: IT vs. OT

Históricamente, los departamentos de TI han lidiado con presiones similares, pero desarrollaron lenguajes y métricas que funcionan mejor en su contexto. En OT, el desafío es mayor porque muchas plantas operan bajo modelos de inversión de capital a largo plazo, donde los ciclos de vida de los equipos pueden durar décadas. Un PLC instalado en 2005 sigue controlando procesos críticos en muchas fábricas latinoamericanas, lo que significa que la seguridad debe superponerse retroactivamente sobre equipos que nunca fueron diseñados con ciberseguridad en mente.

Esto complica los cálculos financieros tradicionales. No se puede justificar reemplazar un equipo funcional solo por razones de seguridad usando métricas de ROI convencionales. El nuevo marco reconoce estas restricciones operacionales y propone modelos de presupuestación que reflejan la realidad de plantas con infraestructuras heterogéneas y envejecidas.

Métricas alternativas: Retorno sobre la mitigación (ROM)

En lugar de ROI, expertos como Perez y Marzloff sugieren evaluar el “Retorno sobre la Mitigación” (ROM): ¿cuánto riesgo eliminamos con cada dólar invertido? Esto requiere cuantificar:

• Costo de inactividad: Si una línea de producción se detiene 8 horas por ataque, ¿cuánto ingreso se pierde?
• Costo de remediación post-incidente: ¿Cuánto cuesta restaurar sistemas, investigar la brecha, notificar a reguladores?
• Costo de compliance y sanciones: En sectores regulados (energía, agua), una brecha implica multas significativas.
• Daño reputacional: Plantas con baja confiabilidad pierden clientes.

Al estimar estos costos—que en plantas grandes pueden alcanzar millones de dólares—la inversión preventiva en seguridad OT aparece como económicamente racional, incluso sin generar ingresos directos.

Aplicabilidad para plantas en Latinoamérica

En la región, donde muchas fábricas operan con márgenes ajustados y presupuestos limitados, este marco es especialmente valioso. Una planta textil o de alimentos que depende de procesos continuos no puede permitirse interrupciones. Un ataque ransomware que paralice por 48 horas los sistemas SCADA puede costar más que años de inversión en seguridad.

Además, regulaciones emergentes—como requisitos de ciberseguridad en cadenas de suministro críticas—están creando presiones normativas que hacen obligatoria la inversión en seguridad OT. El nuevo marco financia estas iniciativas al demostrar que cumplen criterios de prudencia financiera, no solo obligación legal.

Recomendaciones prácticas para equipos de seguridad

Al presentar presupuestos a ejecutivos, los líderes OT deben:

1. Traducir vulnerabilidades a riesgos económicos: No decir “tenemos un PLC sin parchear”, sino “un ataque a este PLC detendría la planta por X horas, costando $Y”.
2. Usar datos históricos locales: Investigar incidentes previos en plantas similares en la región para justificar escenarios.
3. Estructurar en capas: Presupuestos incrementales que muestren protección adicional con cada inversión.
4. Incluir conformidad regulatoria: Si hay normas IEC 62443 o NIST aplicables, usarlas como justificación inicial—luego añadir análisis financiero.

Qué vigilar a futuro

Este cambio en cómo se financia la seguridad OT es aún incipiente. Es probable que en los próximos años veamos estandarización de métricas ROM y herramientas que automaticen cálculos de impacto económico. Conferencias como S4x26 seguirán siendo espacios donde se define cómo la industria comunica y justifica estas inversiones críticas.