El agua también necesita un escudo digital

Para nadie es extraño que una ciudad dependa de sistemas digitales para moverse, comprar, pagar impuestos o pedir una cita médica, por ejemplo. Sin embargo, para muchos no es del todo evidente que el agua que sale del grifo se depura después de usarla y vuelve al entorno, también depende de una compleja red de tecnología que ha permitido gestionar mejor un recurso cada vez más escaso, responder a la presión de ciudades más pobladas y ahorrar energía, tiempo y dinero. Pero, esta ventaja también ha abierto una pregunta incómoda: ¿qué ocurre si alguien decide atacar esos sistemas?

La transformación digital del ciclo integral del agua —captación, tratamiento, distribución y saneamiento— no es un capricho tecnológico, es una necesidad. Sensores, centros de control y equipos remotos permiten saber cuánta agua se bombea, detectar fugas, vigilar la calidad, activar válvulas o anticipar averías. En términos sencillos: ayudan a que el sistema funcione con más precisión. El problema es que, al conectar instalaciones que antes estaban aisladas, también se crean nuevas puertas de entrada para posibles amenazas. Lo que antes estaba protegido por una reja, una llave y una sala cerrada, hoy puede quedar expuesto si la protección digital no está a la altura.

Conviene decirlo sin alarmismo, pero también sin ingenuidad: una planta de agua no es solo una oficina con computadores: sus sistemas de control industrial pueden abrir y cerrar bombas y compuertas, dosificar productos, activar alarmas o detener procesos. Si un atacante logra manipularlos, el daño puede salir de la pantalla y llegar a la vida cotidiana. Incluso, puede haber interrupciones en el suministro, vertidos no deseados, alteraciones en el tratamiento o pérdida de confianza pública. En un sector tan esencial, la ciberseguridad no es un asunto de especialistas encerrados en un sótano, es parte de la salud pública, de la protección ambiental y del día a día de una ciudad.

La historia ya ha dado avisos. En el 2000, el caso de Maroochy (Australia) mostró que un ataque contra un sistema de aguas residuales podía provocar consecuencias físicas: cientos de miles de litros de aguas sin tratar fueron liberados —por un exempleado descontento— en espacios públicos y cursos de agua, con daños ambientales y molestias para la población. No hace falta convertir aquel episodio en una película de catástrofes para entender su lección: cuando la tecnología gobierna infraestructuras esenciales, un fallo de seguridad puede convertirse en un problema colectivo.

Uno de los mayores riesgos es seguir creyendo que estos sistemas están seguros porque son poco conocidos. Esa ‘seguridad por oscuridad’ —como se conoce ese concepto— es una falsa tranquilidad. Hoy abundan documentos, perfiles profesionales y publicaciones corporativas que, sin mala intención, pueden revelar pistas sobre tecnologías, proveedores o configuraciones. También hay equipos retirados que conservan información sensible en sus memorias, contraseñas compartidas durante años o accesos remotos pensados para facilitar el mantenimiento, pero no siempre protegidos con el cuidado necesario. La información dispersa, en manos equivocadas, puede convertirse en un mapa.

Otra debilidad frecuente nace en el diseño. Durante mucho tiempo, la prioridad fue que las instalaciones funcionaran sin interrupciones durante décadas y no que estuvieran en la mira de ataques digitales. Por eso persisten equipos antiguos, programas sin actualizar y sistemas para los que ya no hay soporte. En una oficina, actualizar un computador puede ser molesto; en una planta, puede exigir pruebas, paradas planificadas y coordinación con proveedores. Esa dificultad es real, pero no puede servir como excusa permanente, ya que el coste de no actuar puede ser mayor que el de prevenir.

A ello se suma la conexión entre redes corporativas y redes de operación. Una compañía de agua, como cualquier organización, tiene correos, portátiles, sedes administrativas y personal externo. Si esas capas no están bien separadas, un incidente aparentemente común —un correo fraudulento, una memoria USB contaminada, una contraseña débil— puede acercarse a los sistemas que controlan procesos físicos. De ahí la importancia de medidas comprensibles, incluso para quien no domina la jerga técnica: limitar accesos, verificar identidades, separar zonas críticas, revisar permisos, registrar actividad y preparar planes de respuesta antes de que ocurra el incidente.

También hace falta una conversación pública más madura. La ciberseguridad del agua no puede verse como un gasto invisible, es una condición para que todo lo demás funcione. Invertir en protección digital significa proteger el abastecimiento, evitar vertidos, cuidar ríos, reducir interrupciones y sostener la confianza ciudadana. Y significa, además, asumir que los ciberatacantes pueden tener motivaciones distintas, que van desde el fraude económico hasta el sabotaje, el vandalismo o intereses geopolíticos. En infraestructuras críticas, el “a nosotros no nos pasará” es una política demasiado frágil. El agua seguirá necesitando obras, talento y buena gestión, ahora también necesita defensas digitales diseñadas antes de la emergencia.