Fernando Pérez Lizano — Director Académico Adjunto y Director del Programa Internacional de Inteligencia Artificial, PAD – Escuela de Dirección (Universidad de Piura)

Tecnología de información y tecnología de operación

Un controlador instalado hace más de una década sigue operando en una planta peruana, ejecuta el mismo programa con el que salió de fábrica y hace años que su fabricante dejó de publicar correcciones de seguridad para él. No es un caso extremo ni una negligencia: es la condición corriente de buena parte de la instalación industrial del país. La afirmación es observación del autor, no medición: en el Perú no existe censo público de sistemas de control sin soporte. Y ocurre por razones que cualquier directivo reconocería: el equipo funciona, está calibrado, sostiene una línea que produce, y tocarlo obliga a detenerla.

El artículo anterior de esta serie sostuvo que las empresas peruanas gobiernan bien un frente digital y algunas veces flaquean en los otros tres. Aquella separación era organizativa. Aquí se vuelve física: de un lado la tecnología de información, que procesa datos; del otro la tecnología de operación, que mueve motores, abre válvulas y regula temperaturas. Cuando ambas se conectan —y llevan dos décadas conectándose—, el riesgo deja de medirse en información comprometida y pasa a medirse en producción detenida, equipos dañados y, en el límite, personas heridas.

Ese cambio en la unidad de medida es lo que traslada el asunto al directorio.

Un incidente que no se resuelve restaurando una copia

La convergencia importa por una razón que el vocabulario corporativo esconde. Un incidente en la tecnología de información se resuelve con una secuencia conocida: aislar, restaurar desde una copia, verificar y reanudar. El plan de continuidad que el directorio aprobó descansa sobre ella. Un proceso físico no tiene copia de respaldo: un lote perdido está perdido, un equipo dañado se recompra con un plazo que se mide en meses, y aislar es lo que se quería evitar, detener la línea.

De ahí la primera implicancia para el directorio. El plan de continuidad operativa y el protocolo de respuesta a incidentes digitales suelen ser dos documentos, aprobados en momentos distintos, redactados por áreas distintas y probados por separado. Cuando el evento digital detiene la producción se activan a la vez, y nadie ha comprobado si dicen lo mismo. Leerlos juntos y ver si coinciden en quién manda durante el incidente no exige nada técnico.

La segunda es de exposición patrimonial. Desde 2019 la Lloyd's Market Association publica cláusulas modelo que excluyen de las pólizas de daños las pérdidas por incidente cibernético —acto malicioso o simple falla—, con una definición de sistema informático que alcanza al microcontrolador de un horno. La menos severa rescata incendio y explosión, no el lucro cesante. El directorio solo necesita preguntar cuál lleva la suya.

La tercera es que casi nadie ve lo que tiene. Una encuesta global publicada en 2026 por Fortinet, con más de setecientos profesionales de tecnología de operación, reporta que solo el 14 % declara visibilidad completa de su entorno; procede de un proveedor de seguridad, condición que debe pesar al leerla. Para un directorio peruano la implicancia no es el porcentaje sino lo que se deduce: quien no sabe qué tiene conectado no puede fijar tolerancia al riesgo sobre ello, y confiar no es una decisión que conste en acta.

Dos mundos, dos lógicas de decisión

Elaboración propia a partir de la experiencia profesional del autor. Los horizontes temporales son una caracterización y no valores medidos.

Un activo de veinte años y un soporte de dos

Un molino, una caldera o una subestación se dimensionan, se financian y se aprueban en directorio con horizontes de varias décadas. El programa que los controla y el equipo que lo aloja envejecen en plazos mucho más cortos: el activo y su soporte digital se agotan en escalas distintas. Los plazos del cuadro siguiente son caracterización del autor, no valores medidos.

De esa diferencia de escalas se sigue una consecuencia contable que rara vez se enuncia. Lo que en un lado es mantenimiento, en el otro es inversión de capital: la corrección de seguridad de un sistema de control compite, en el mismo comité y por el mismo dinero, con una ampliación de capacidad. Y a diferencia de la ampliación, no promete ningún ingreso.

Hay señales de renovación. La misma encuesta reporta que el 40 % declara sistemas de control industrial con menos de cinco años, frente al 20 % del año anterior. Aun tomándola por buena, la cifra dice que la mayoría sigue conviviendo con equipos más antiguos. Y en el Perú se traduce sin rodeos: esos equipos no los renueva un ciclo programado, sino una decisión de inversión que compite con todo lo demás, y el directorio que la aprueba decide también cuántos años de soporte compra, sin que el expediente lo diga.

El que ve el riesgo no firma la parada

Supóngase que la vulnerabilidad se detecta. El área de seguridad de la información la identifica y recomienda aplicar la corrección del fabricante. Hacerlo obliga a detener la línea entre horas y días. Y ahí el expediente se detiene también.

Quien detectó el riesgo no tiene atribución para parar la planta. Quien la tiene responde por el programa de producción del mes, un indicador que la parada empeora de inmediato y de forma medible, mientras que el riesgo evitado no se registra en ningún reporte. La asimetría no es de conocimiento —ambas partes saben lo mismo— sino de autoridad respecto del costo: quien ve el problema no controla el costo de resolverlo, y quien lo controla responde por un resultado que resolverlo deteriora.

Por eso el asunto no llega al directorio. No hay conflicto formal que elevar: hay dos áreas cumpliendo su función y una decisión que ninguna tiene mandato para tomar sola. El desacuerdo se resuelve por la vía más silenciosa: se posterga hasta la siguiente parada programada.

La misma encuesta indica dónde quedó la responsabilidad: el 60 % la sitúa en el director de seguridad de la información, figura que casi nunca manda sobre el calendario de producción. El estudio lo lee como señal de madurez; desde el gobierno corporativo admite otra: se asignó a quien puede detectar, no a quien puede corregir. Para un directorio peruano la comprobación cabe en una línea: si esa responsabilidad está escrita, y en la misma silla que la autoridad para detener.

Un indicio peruano apunta igual, aunque venga de otro asunto: el estudio de EY Perú sobre inteligencia artificial y directorios, de 2026, encontró que solo el 24 % de 250 directores y altos directivos había asignado a un comité la supervisión de esa tecnología. Si el asunto digital más visible apenas alcanza esa cobertura, cabe suponer —y se declara como suposición— que el sistema de control no llega. No hay con qué contrastarlo: no existe estadística peruana de incidentes en tecnología de operación.

La pregunta que falta en el expediente no es si la empresa está protegida, sino quién tiene atribución para detener la planta y a quién le cuesta esa decisión.

La norma existe y se detiene antes de la planta

Durante años fue exacto responder al directorio que el Perú no imponía obligaciones de seguridad digital a los operadores industriales privados. Ya no lo es. El Decreto de Urgencia N.º 007-2020, del Marco de Confianza Digital, estuvo más de cinco años sin reglamento hasta que el Decreto Supremo N.º 126-2025-PCM lo reglamentó en noviembre de 2025.

El reglamento sí impone deberes al sector privado: obliga a gestionar riesgos de seguridad digital y a notificar incidentes al Centro Nacional de Seguridad Digital a los proveedores de servicios digitales del sector financiero, de servicios básicos —energía eléctrica, agua y gas—, de salud y de transporte de personas, de acceso a internet, de actividades críticas y de servicios educativos. Lista exigible, y por eso útil de leer al revés desde el directorio de una empresa minera.

La minería y la manufactura no aparecen. Y hay algo más determinante que la lista: el alcance se define por la prestación de servicios digitales. El artículo 13 precisa que las funciones críticas comprenden, como mínimo, la gestión, seguridad y mantenimiento de los sistemas de información, las plataformas digitales, la infraestructura tecnológica y los activos de tecnologías de información relevantes para la actividad crítica. Nombra tecnología de información; el horno no encaja ahí.

De modo que la obligación existe y se detiene en la puerta de la sala de control. Para la empresa industrial peruana que no depende de un organismo sectorial, la seguridad de sus sistemas de control sigue siendo, en términos legales, decisión propia. La Estrategia Nacional de Ciberseguridad 2026-2028 tampoco lo cierra: a la fecha de corte figura como propuesta, sin norma aprobatoria localizada.

Chile tomó el camino contrario. La Ley N.º 21.663, Ley Marco de Ciberseguridad e Infraestructura Crítica de la Información, de 2024, creó una agencia nacional y la facultó para calificar a los operadores de importancia vital. El vacío peruano no es una fatalidad regional. Pero el contraste corta en dos direcciones: una ley puede obligar a gestionar el riesgo y aun así no decir quién firma la detención de una línea. Eso es gobierno corporativo, no norma.

Cuando el activo lo diseñó otro

Hay un elemento que desplaza la pregunta fuera de la empresa. Buena parte de la instalación industrial peruana la diseñó un integrador, la construyó un contratista y la mantiene el fabricante del equipo: la arquitectura de seguridad quedó definida en un diseño ajeno, y el acceso remoto de esos terceros, indispensable para el mantenimiento y para conservar la garantía, es de las vías de entrada más difíciles de gobernar, porque interrumpirla tiene consecuencias contractuales.

Aquí el directorio no gobierna un perímetro técnico. Gobierna un contrato: acceso remoto, notificación de vulnerabilidades del producto, plazos de soporte comprometidos y qué ocurre cuando el fabricante discontinúa una línea de equipos. El reglamento peruano exige a los proveedores obligados trasladar esos deberes a sus contratos; la empresa que queda fuera de la lista no tiene la exigencia y sí el mismo riesgo, y ninguna cláusula la protege de lo que su directorio nunca mandó negociar.

Lo que el expediente aprueba y lo que deja fuera

El expediente de inversión de un activo industrial es un documento maduro: estima la inversión, proyecta el flujo, calcula el retorno, dimensiona el seguro y evalúa el impacto ambiental y social. Rara vez incluye una línea: cuánto costará mantener seguro el sistema de control durante la vida útil del activo, y qué se hará cuando el fabricante retire el soporte antes de que termine de depreciarse.

Esa omisión no es descuido de quien prepara el expediente: nadie tiene el encargo de estimarla. Operaciones dimensiona el activo, finanzas evalúa el flujo, y seguridad de la información no participa en la aprobación de inversiones industriales. El costo existe, se pagará, y aparecerá años después como gasto no previsto, cuando ya no queda alternativa barata.

El directorio puede corregir esto sin conocimiento técnico: le basta exigir que ese renglón aparezca. Un expediente que no lo trae está incompleto, y esa observación un director puede formularla sin discutir arquitecturas.

Decidir en frío lo que nadie quiere decidir en caliente

La tentación, llegado este punto, es crear un comité. La serie ya argumentó por qué un órgano único termina imponiendo el criterio del frente más antiguo. Lo que sigue son decisiones con responsable y horizonte, que no exigen estructura nueva.

Primera, en la próxima sesión ordinaria: definir por escrito el umbral de gravedad a partir del cual una vulnerabilidad en un sistema de control obliga a elevar la decisión de parada por encima de la gerencia de operaciones. No es quién decide siempre, sino desde qué punto deja de decidir una sola gerencia. Indelegable, porque redistribuye una atribución.

Segunda, dentro del trimestre: encargar a la gerencia general un inventario de los sistemas de control cuyo fabricante ya no emite correcciones, con el año en que dejó de hacerlo. No un diagnóstico de arquitectura; una lista con fechas. Si no puede producirla, ese hecho es el hallazgo.

Tercera, en el ciclo presupuestal: incorporar al formato de aprobación de inversiones industriales el costo estimado de sostener seguro el sistema de control durante la vida útil del activo, y el año previsto de fin de soporte. Responsabilidad del comité de inversiones o del órgano que aprueba el gasto de capital.

Cuarta, antes de la próxima renovación contractual: revisar los contratos de mantenimiento e integración en acceso remoto, notificación de vulnerabilidades y compromisos de soporte. Corresponde a la gerencia legal con operaciones; el directorio fija el estándar mínimo aceptable.

Ninguna de las cuatro exige que el directorio entienda un protocolo industrial. Todas exigen que decida antes de que la urgencia decida por él.

El riesgo de invadir lo que corresponde a la gerencia

La objeción es seria y merece respuesta, no descarte. Un directorio que interviene en decisiones de parada invade a la gerencia, ralentiza la operación y asume responsabilidad por resoluciones que no está en condiciones de tomar con la información y la velocidad necesarias. Quien ha dirigido una planta sabe que esas decisiones se toman en minutos y con datos parciales.

La respuesta es que nada de lo anterior pide al directorio decidir paradas. Pide algo anterior: definir, en frío y por escrito, cuándo esa decisión deja de pertenecer a una sola gerencia. Es la lógica con la que fija límites de aprobación de gasto sin aprobar cada compra, o tolerancia al riesgo financiero sin operar la tesorería.

El límite del argumento también debe declararse. En empresas pequeñas o de un solo proceso, donde directorio y gerencia se superponen, esta separación agrega trámite sin agregar control. Aplica donde existe distancia real entre quien decide y quien opera.

Reflexiones finales

Esta convergencia se presenta habitualmente como un problema de arquitectura: cómo separar redes, cómo controlar accesos, qué norma adoptar. La familia de normas IEC 62443, de la Comisión Electrotécnica Internacional (IEC), existe para quien deba resolver esa capa. No es el trabajo del directorio.

El trabajo del directorio es anterior y más incómodo, porque no se resuelve comprando nada. Consiste en mirar cómo quedó repartida la atribución después de que ambos mundos se conectaran: uno ve el riesgo, otro puede corregirlo y ninguno tiene mandato para ordenar el gasto.

De ahí se sigue algo que este artículo no ha dicho hasta aquí. El mapa de riesgos que llega al directorio se arma con lo que cada área reporta, y este riesgo no tiene área que lo reporte: quien lo ve no lo mide en producción, y quien lo mide en producción no lo llama riesgo digital. Un mapa elaborado con rigor puede no tener una sola línea sobre esto, porque el formulario no tenía dónde ponerlo.

Ideas fuerza

1. Conectar ambas tecnologías desplazó la autoridad sobre la producción, y ese desplazamiento no consta en ningún acuerdo del directorio.

2. El activo se aprueba por décadas y el programa que lo gobierna caduca en años; ese desfase no figura en el expediente de inversión.

3. Parar una línea es atribución de la gerencia; lo que el directorio puede fijar de antemano son las condiciones en que esa atribución se ejerce.

4. Que exista norma no significa que alcance: el reglamento peruano se construyó alrededor del servicio digital y no del control de proceso.

5. Si el directorio no fija de antemano quién ordena la parada, ya decidió: la delegó en quien tiene el incentivo de no tomarla.

Preguntas al directorio

Referencias

Agencia Nacional de Ciberseguridad. (s. f.). Leyes. Gobierno de Chile. Recuperado el 28 de agosto de 2026, de https://anci.gob.cl/normativa/leyes/

Biblioteca del Congreso Nacional de Chile. (2024). Ley N.º 21.663, Ley Marco de Ciberseguridad e Infraestructura Crítica de la Información. https://www.bcn.cl/leychile/navegar?idNorma=1202434

EY Perú. (2026). La IA ya está aquí. ¿Quién la gobierna? AI & Boards 2026.

Fortinet. (2026, 9 de junio). While OT security is maturing, risk is not slowing down [Presentación de resultados del 2026 state of operational technology and cybersecurity report]. https://www.fortinet.com/blog/operational-technology/while-ot-security-is-maturing-risk-is-not-slowing-down

International Electrotechnical Commission. (s. f.). IEC 62443, Security for industrial automation and control systems. Recuperado el 28 de agosto de 2026, de https://webstore.iec.ch/

Lloyd's Market Association. (2019, 13 de noviembre). Property and marine cyber clauses (Boletín LMA19-031-PD). Recuperado el 30 de agosto de 2026, de https://lmalloyds.com/property-and-marine-cyber-clauses/

Presidencia del Consejo de Ministros. (2020). Decreto de Urgencia N.º 007-2020, que aprueba el Marco de Confianza Digital y dispone medidas para su fortalecimiento. https://www.gob.pe/institucion/pcm/normas-legales/395322-007-2020

Presidencia del Consejo de Ministros. (2025a). Decreto Supremo N.º 126-2025-PCM, que aprueba el Reglamento del Decreto de Urgencia N.º 007-2020. https://www.gob.pe/institucion/pcm/normas-legales/7370829-126-2025-pcm

Presidencia del Consejo de Ministros. (2025b). Propuesta de la Estrategia Nacional de Ciberseguridad del Perú 2026-2028 (ESNACIB). https://www.gob.pe/institucion/pcm/informes-publicaciones/7046161-propuesta-de-la-estrategia-nacional-de-ciberseguridad-del-peru-2026-2028-esnacib