El transporte, en el punto de mira: es el segundo sector más atacado en Europa
La transformación digital del sector ferroviario avanza sobre una infraestructura especialmente compleja.
Las nuevas soluciones digitales deben convivir e integrarse con sistemas electromecánicos que pueden tener hasta 40 años de antigüedad, distribuidos geográficamente y conectados a una extensa cadena de suministro. Al mismo tiempo, sistemas como ERTMS (European Rail Traffic Management System) y ETCS (European Train Control System) están convirtiéndose en la columna vertebral de la señalización ferroviaria europea, acercando cada vez más el riesgo cibernético a sistemas esenciales para el control de los trenes.
Esta evolución se produce en un contexto de creciente exposición. El informe sobre el panorama de amenazas 2025 de ENISA destaca que el transporte fue el segundo sector más atacado en Europa, concentrando alrededor del 7,5% de los incidentes de ciberseguridad registrados. Además, recientes ataques DDoS contra operadores ferroviarios europeos y vulnerabilidades de software que afectan al material rodante muestran que el riesgo es real y tangible.
Un incidente en un entorno ferroviario no solo puede impactar en la circulación y fiabilidad de los trenes que transportan a miles de pasajeros, sino que también puede provocar interrupciones en toda la red, con la consiguiente pérdida económica y las posibles sanciones regulatorias.
Nueve prioridades para reforzar la resiliencia del ferrocarril
A partir de las perspectivas de sus expertos en el sector ferroviario de la región EMEA, Fortinet identifica nueve ámbitos prioritarios:
1. Gestionar la convergencia IT/OT. La creciente conexión entre los sistemas corporativos, los entornos de control operacional, los sistemas a bordo y los servicios para pasajeros incrementa los posibles puntos de compromiso. Los operadores necesitan visibilidad sobre el conjunto de su infraestructura y gestionar conjuntamente los riesgos IT y OT.
2. Proteger los sistemas heredados. Parte de la tecnología ferroviaria permanece operativa durante décadas y no fue diseñada teniendo en cuenta la ciberseguridad. La segmentación, monitorización y aplicación de controles basados en riesgo resultan especialmente relevantes mientras avanza su modernización.
3. Integrar seguridad operacional y ciberseguridad. Los controles habituales en entornos empresariales pueden generar latencia, inestabilidad o afectar a las certificaciones de sistemas críticos. Por ello, deben adaptarse a las condiciones específicas del ferrocarril y someterse a pruebas continuas.
4. Gestionar el riesgo de terceros y de la cadena de suministro. Fabricantes, proveedores de señalización y telecomunicaciones, integradores y equipos de mantenimiento forman un ecosistema amplio sobre el que los operadores no siempre tienen un control completo.
5. Proteger los accesos remotos y sobre el terreno. Esenciales para el mantenimiento y diagnóstico de redes geográficamente distribuidas, también constituyen posibles vías de intrusión. El control de identidades, los permisos de terceros, la segmentación y la gestión de sesiones adquieren aquí especial importancia.
6. Prepararse para la transformación de las telecomunicaciones. La migración de GSM-R hacia FRMCS, basada en comunicaciones 5G e IP de mayor ancho de banda, permitirá operaciones más avanzadas y basadas en datos, pero también ampliará la superficie de ataque y añadirá nuevos desafíos relacionados con identidad, virtualización y supervisión de red.
7. Responder a un entorno de amenazas creciente. Al tratarse de una infraestructura estratégica, el sector debe estar preparado frente a distintas amenazas, incluidos ataques sofisticados de los estados.
8. Adaptar la detección y respuesta al entorno ferroviario. Las actuaciones agresivas de análisis o contención pueden interferir con las operaciones OT. La monitorización debe ser pasiva, tener en cuenta el contexto operacional y preservar la seguridad de las operaciones incluso en situaciones degradadas.
9. Superar la fragmentación de la gobernanza. El ciberriesgo afecta a ingeniería, operaciones, telecomunicaciones, seguridad y dirección. El desafío es conseguir una responsabilidad compartida y coordinada, conectando además los marcos regulatorios ferroviarios y de ciberseguridad.
