ENGINEERING NOTES · May 2026

Tres errores comunes en un Gap Assessment de ICS

Después de años haciendo y revisando evaluaciones de brecha en entornos industriales, estos tres se repiten más que cualquier otro.

Tratar el inventario de activos como un ejercicio de una sola vez. En OT el inventario se degrada rápido — un contratista agrega un dispositivo, una actualización de firmware cambia una versión — y un gap assessment basado en un inventario de hace ocho meses ya está midiendo una red que no existe.
Copiar controles de TI sin adaptarlos a la disponibilidad de OT. Pedir 'reinicio inmediato tras parche crítico' suena bien en un checklist, pero en una planta que no puede parar sin coordinación de producción, ese control es papel, no práctica real.
Medir madurez solo en tecnología, no en proceso y personas. Un firewall industrial bien configurado no sirve de mucho si nadie tiene claro quién aprueba un cambio de regla, o si el procedimiento de respuesta a incidentes vive en un documento que nadie ha leído desde que se firmó.

El denominador común de los tres: un gap assessment que solo mira tecnología produce una foto bonita y una falsa sensación de seguridad. El que también mira proceso, personas y la fecha de caducidad de sus propios datos, produce algo que realmente reduce riesgo.