Ciberseguridad en sistemas BMS y EMS

Los sistemas de gestión de edificios (BMS) y de gestión energética (EMS) controlan hoy mucho más que el confort: climatización, iluminación, control de accesos, generación y consumo de energía. Durante décadas operaron aislados de las redes corporativas y esa separación funcionaba como una barrera de seguridad de facto.

Esa barrera se ha roto. Hoy son sistemas conectados con dispositivos IoT, acceso remoto de proveedores y enlaces directos con el mundo IT. La misma conectividad que aporta eficiencia y control amplía la superficie expuesta a los ciberataques y lo hace sobre infraestructuras que, cuando fallan, no solo pierden datos: dejan un edificio a oscuras, un hospital sin climatización o una planta sin control.

Este artículo repasa por qué BMS y EMS se han convertido en objetivo, cuáles son sus vulnerabilidades más frecuentes, qué ocurre cuando uno es vulnerado y cómo protegerlos, incluyendo el marco normativo que empieza a exigirlo.

¿Por qué los sistemas BMS y EMS son un objetivo de los ciberataques?

Un BMS o un EMS es, en la práctica, un sistema de tecnología operativa (OT): software y dispositivos que controlan procesos físicos. A diferencia de un sistema de información convencional, un ataque aquí no se queda en la pantalla, sino que altera el funcionamiento de equipos reales.

El atractivo para un atacante es doble. Por un lado, estos sistemas gobiernan funciones que, si se interrumpen, generan un daño inmediato y visible, lo que los convierte en una palanca ideal para la extorsión. Por otro, suelen estar conectados a la red corporativa, de modo que un BMS mal protegido puede servir de puerta de entrada hacia sistemas IT mucho más valiosos.

La convergencia IT/OT amplía la superficie de ataque

Tradicionalmente, las redes IT (ordenadores, servidores, datos) y las redes OT (control industrial y de edificios) vivían separadas. La digitalización las ha unido: los datos del EMS alimentan cuadros de mando corporativos, los equipos se supervisan en remoto y los dispositivos de campo se conectan a internet para reportar información.

Esa convergencia IT/OT es la raíz del problema. Muchos componentes OT se diseñaron para entornos cerrados dando por hecho que nadie hostil podría alcanzarlos y priorizando la disponibilidad y la continuidad del proceso por encima de la seguridad. Al conectarlos, esos equipos heredan la exposición de internet sin haber sido concebidos para resistirla. La ciberseguridad industrial nace precisamente para cubrir ese hueco, aplicando a los entornos OT una protección que en el mundo IT se da por descontada.

Principales vulnerabilidades en sistemas BMS y EMS

Las debilidades más habituales no suelen estar en ataques sofisticados, sino en configuraciones y prácticas heredadas de cuando estos sistemas estaban aislados.

Dispositivos IoT y puntos de entrada expuestos

Sensores, controladores, pasarelas y equipos de campo multiplican los puntos de conexión. Muchos dispositivos IoT aplicados a la gestión energética llegan con credenciales por defecto, firmware sin endurecer y servicios expuestos que rara vez se revisan tras la instalación.

El problema se agrava porque estos equipos son fáciles de localizar: buscadores como Shodan permiten encontrar sistemas de automatización accesibles desde internet en cuestión de minutos. Conviene además distinguir el contexto de despliegue, ya que las diferencias entre IoT industrial y comercial condicionan tanto las capacidades de seguridad del dispositivo como su ciclo de vida.

Un caso ya clásico ilustra el riesgo: en 2017, atacantes exfiltraron unos 10 GB de datos de un casino norteamericano a través de una pecera inteligente conectada a internet para regular temperatura y alimentación, según documentó Forbes a partir del análisis de Darktrace. El dispositivo más inofensivo del edificio se convirtió en la vía de fuga de información.

Protocolos de comunicación inseguros

Buena parte de los BMS y EMS se comunican mediante protocolos diseñados hace décadas, sin cifrado ni autenticación nativos. Los dos más extendidos son BACnet y Modbus.

Modbus, creado en 1979, no incorpora autenticación ni cifrado: cualquier dispositivo con acceso a la red puede enviar comandos y el tráfico viaja en texto claro, como detalla INCIBE. BACnet, muy habitual en climatización y gestión de edificios, presenta limitaciones equivalentes en sus implementaciones tradicionales. Existen variantes seguras (Modbus sobre TLS y BACnet/SC, BACnet Secure Connect, que cifra las comunicaciones), pero conviven con una enorme base instalada que sigue funcionando sin protección.

El resultado es que, una vez dentro de la red, interceptar o manipular las comunicaciones de un BMS resulta trivial si no se han añadido capas de seguridad por encima del protocolo.

Sistemas heredados sin actualizar

Los equipos OT tienen ciclos de vida largos, a menudo de diez o quince años. Es común encontrar controladores con sistemas operativos sin soporte, firmware que no se ha parcheado desde su puesta en marcha o software cuyo fabricante ya no existe.

En OT, además, aplicar un parche no es tan sencillo como en IT: actualizar puede requerir detener un proceso, y el miedo a interrumpir la operación hace que muchas organizaciones convivan indefinidamente con vulnerabilidades conocidas.

Accesos remotos de proveedores y terceros

El mantenimiento de BMS y EMS suele estar externalizado, lo que implica dar acceso remoto a integradores y fabricantes. Cada uno de esos accesos es una puerta que, si no se controla, queda fuera del perímetro de seguridad de la organización.

Este es uno de los vectores más peligrosos y también uno de los más documentados. En la brecha de Target de 2013, los atacantes entraron a través de las credenciales de un proveedor de climatización (HVAC) con acceso a la red, se movieron lateralmente y llegaron a los terminales de venta, comprometiendo los datos de 41 millones de tarjetas, según recoge The HIPAA Journal. 

En 2021, un atacante afirmó haber accedido de forma remota a los sistemas de varios hospitales de Boston a través de su proveedor de HVAC, ENE Systems, un incidente que healthcareinfosecurity analizó como muestra del riesgo OT en la cadena de suministro sanitaria.

Segmentación de red deficiente

Cuando la red OT y la red IT comparten espacio sin separación, un atacante que compromete un dispositivo de edificio puede alcanzar servidores corporativos y viceversa. La falta de segmentación convierte cualquier punto débil en una amenaza para todo el conjunto.

La segmentación mediante zonas y conductos, aislar los sistemas críticos y controlar el tráfico entre ellos, es una de las medidas más eficaces y, sin embargo, una de las que con más frecuencia se pasa por alto.

¿Qué puede pasar si un BMS o EMS es vulnerado?

Las consecuencias van bastante más allá de una filtración de datos, porque estos sistemas actúan sobre el mundo físico.

• Interrupción operativa. En 2021, una empresa alemana de ingeniería de automatización perdió el control de cientos de dispositivos KNX de un edificio de oficinas: los atacantes borraron y bloquearon tres cuartas partes de los equipos usando la propia clave de seguridad del sistema y la empresa tuvo que volver a accionar la iluminación manualmente desde los cuadros eléctricos hasta poder recuperar el control, según informó Dark Reading. El acceso se produjo por un puerto expuesto a internet y, en un caso similar, por una pasarela IP instalada en la fase de obra y nunca desconectada.
• Riesgo para las personas. En entornos como un hospital, la climatización, la presurización o el control de accesos no son comodidades, sino elementos de seguridad. En agosto de 2026, un hospital de Winnipeg sufrió un ataque de ransomware sobre su sistema de gestión de instalaciones que afectó a puertas y a la climatización, un incidente que healthcareinfosecurity situó de nuevo en el terreno del riesgo OT en sanidad.
• Uso del BMS como trampolín hacia la red IT, como en el caso Target, donde el objetivo final no era el edificio, sino los datos de pago.
• Exfiltración de información a través de dispositivos aparentemente inocuos, como en el caso de la pecera.

Buenas prácticas para proteger tus sistemas BMS y EMS

No existe una única medida que resuelva el problema. La protección eficaz combina tecnología, procesos y personas, en la línea de lo que plantean marcos como el de IFMA para la ciberseguridad de edificios.

• Auditorías de seguridad periódicas. Evaluar con regularidad la exposición del BMS/EMS, identificar dispositivos accesibles desde internet y corregir configuraciones inseguras antes de que lo haga un atacante.
• Segmentación de red. Separar OT de IT y aislar los sistemas críticos mediante zonas y conductos, VLAN y cortafuegos, de modo que un equipo comprometido no arrastre al resto.
• Autenticación fuerte y control de accesos. Eliminar credenciales por defecto, aplicar el principio de mínimo privilegio y exigir autenticación multifactor (MFA) en todos los accesos, especialmente los remotos.
• Actualizaciones y parches periódicos. Mantener un proceso de gestión de vulnerabilidades adaptado a OT, que contemple ventanas de mantenimiento y pruebas antes de aplicar cambios.
• Comunicaciones cifradas y protocolos seguros. Sustituir o encapsular los protocolos sin protección (túneles VPN/TLS, BACnet/SC, Modbus seguro) para que el tráfico de control no viaje en claro.
• Inventario de activos OT. No se puede proteger lo que no se conoce. Mantener un inventario actualizado de dispositivos, versiones y conexiones es la base de cualquier programa de seguridad.
• Control del acceso de proveedores. Registrar, limitar en el tiempo y supervisar todo acceso de terceros, y retirar las conexiones temporales en cuanto dejan de ser necesarias.
• Monitorización continua del entorno OT. Vigilar el tráfico y el comportamiento de los dispositivos para detectar anomalías. La monitorización OT es clave porque muchos de estos sistemas no generan registros por sí mismos, lo que deja los ataques sin rastro.
• Formación del equipo técnico. Buena parte de los incidentes tiene un origen humano. El personal que instala y opera BMS y EMS con frecuencia procede de perfiles de ingeniería, no de seguridad, y necesita formación específica.

Plan de respuesta a incidentes

Ninguna protección es infalible, así que hay que asumir que el incidente puede ocurrir y prepararse para él. Un plan de respuesta define quién hace qué cuando se detecta un ataque: cómo se contiene, cómo se comunica, cómo se recupera la operación y, muy importante en OT, cómo se vuelve al control manual de forma segura mientras se restablecen los sistemas.

Un elemento decisivo es disponer de copias de seguridad de las configuraciones y de planes de recuperación probados. En el caso de los dispositivos KNX bloqueados, la recuperación fue posible, pero costó semanas de operación manual. Un plan ensayado reduce ese tiempo de forma drástica.

¿Qué exige la normativa: NIS2, IEC 62443 e ISO 27001?

El marco regulatorio ha dejado de tratar la ciberseguridad de estos sistemas como una recomendación para convertirla, en muchos casos, en una obligación.

Directiva NIS2

La Directiva (UE) 2022/2555, conocida como NIS2, eleva el nivel común de ciberseguridad en la Unión Europea y amplía de forma notable el número de organizaciones obligadas, con 18 sectores cubiertos, entre ellos energía, sanidad, transporte, aguas o infraestructuras digitales. Exige medidas de gestión de riesgos (artículo 21), notificación de incidentes (artículo 23) y responsabilidad de la dirección, con sanciones que pueden alcanzar los 10 millones de euros.

IEC 62443

La serie ISA/IEC 62443 es el estándar internacional de referencia para la ciberseguridad de los sistemas de automatización y control industrial (IACS), es decir, el mundo OT en el que operan BMS y EMS. Nació del estándar ISA-99 y fue adoptada por la IEC.

Aporta conceptos que encajan directamente con la protección de un edificio: la segmentación en zonas y conductos, cuatro niveles de seguridad (SL 1 a SL 4) según la sofisticación de la amenaza frente a la que se protege y el principio de seguridad desde el diseño. Reparte además responsabilidades entre el propietario del activo, el integrador y el fabricante del producto, lo que resulta especialmente útil en un ecosistema donde intervienen varios proveedores.

ISO 27001

La norma ISO/IEC 27001 define los requisitos de un sistema de gestión de la seguridad de la información (SGSI) y es la única certificable de su familia. Aborda la seguridad desde una perspectiva de gestión de riesgos y protege la confidencialidad, la integridad y la disponibilidad de la información.

Su relación con las anteriores es de complementariedad más que de solapamiento: donde IEC 62443 se centra en el entorno OT, ISO 27001 aporta el marco de gobernanza sobre el conjunto de la organización, incluida la parte IT con la que el BMS/EMS se comunica. Muchas organizaciones combinan ambas para cubrir el continuo IT/OT.

¿Cómo un sistema BMS o EMS bien diseñado reduce el riesgo?

Un sistema de gestión de edificios (BMS) o una plataforma de gestión energética (EMS) bien diseñados optimizan el consumo e incorporan la seguridad como parte de su arquitectura, en lugar de añadirla después.

Un buen diseño parte de una premisa sencilla: no se puede proteger lo que no se ve. La monitorización continua y centralizada da visibilidad sobre qué dispositivos hay, cómo se comunican y cuándo se desvían de su comportamiento normal, que es la base tanto de la eficiencia como de la detección de anomalías. 

Sobre esa visibilidad, una plataforma EMOS permite consolidar la captura de datos, aplicar segmentación y control de accesos, y cifrar comunicaciones, en lugar de depender de dispositivos dispersos y sin gobierno.

Elementos como un datalogger fiable para la adquisición de datos o el edge computing para procesar información cerca del origen refuerzan además esa arquitectura: reducen la exposición innecesaria, limitan el tráfico que debe salir de la instalación y acotan el alcance de un posible compromiso.

En definitiva, la ciberseguridad de BMS y EMS no es un producto que se compra, sino una propiedad del sistema. Diseñar la gestión del edificio y de la energía con seguridad desde el principio y apoyarla en una plataforma que centralice datos, control y trazabilidad, es lo que convierte una superficie de ataque en una infraestructura defendible.