Nueva York destinará más de 9 millones de dólares para reforzar la ciberseguridad en sistemas de agua en 153 servicios de agua potable y aguas residuales. La medida busca ayudar a las utilities locales a prevenir, detectar y responder mejor a ataques cibernéticos que pueden afectar operaciones esenciales.
El anuncio lo realizó la gobernadora Kathy Hochul a través del programa de subvenciones SECURE (Strengthening Essential Cybersecurity for Utilities and Resiliency Enhancements). Este esquema se centra en financiar trabajo concreto de evaluación y mejoras de seguridad, además de ofrecer apoyo técnico sin costo.
Más de 9 millones para evaluar y mejorar defensas
Según el estado, los fondos se asignarán a utilities locales para llevar a cabo evaluaciones de ciberseguridad y para implementar mejoras en sus sistemas. La idea es que los beneficiarios puedan identificar brechas, priorizar riesgos y ejecutar cambios que reduzcan la probabilidad de incidentes.
Además del dinero para el fortalecimiento, los recipientes contarán con asistencia técnica gratuita por parte de la Environmental Facilities Corporation (EFC) de Nueva York. Este acompañamiento está pensado para facilitar la adopción de prácticas y controles de seguridad.
Cumplimiento de estándares mínimos estatales
El financiamiento está alineado con requisitos de ciberseguridad introducidos por el estado en marzo. De forma general, estos estándares buscan elevar el nivel de protección en operaciones críticas y en la información sensible relacionada con el suministro y tratamiento de agua.
Entre los elementos mencionados se incluyen:
- Capacitación obligatoria en ciberseguridad para operadores certificados.
- Requisitos de reporte de incidentes ante eventos que comprometan sistemas.
- Protecciones basadas en riesgos para operaciones críticas y datos sensibles.
- Designación de un responsable de ciberseguridad en sistemas de mayor tamaño.
En la práctica, el objetivo es que las utilities no solo reaccionen ante amenazas, sino que cuenten con procesos definidos para gestionar el riesgo de manera continua.
Cómo funciona el apoyo SECURE
Cuando se lanzó el programa SECURE, Nueva York comunicó que las utilities podían recibir importes diferenciados para dos etapas: evaluaciones y actualización de controles. En ese marco, se contemplaba la posibilidad de hasta 50.000 dólares para evaluaciones y hasta 100.000 dólares para la implementación de mejoras.
Al separar el trabajo en fases, el esquema facilita un enfoque ordenado: primero se entiende el estado real de la seguridad y, después, se invierte para corregir lo identificado. Esta lógica es especialmente relevante en infraestructura donde la continuidad del servicio es crítica.
Por qué el riesgo crece: ataques recientes contra sistemas de agua
Hochul señaló que las amenazas son reales y están aumentando. Su comentario se apoya en incidentes recientes donde actores maliciosos han apuntado a sistemas vinculados al agua en distintos estados.
En ese contexto, la alerta llega poco después de una campaña cibernética coordinada contra sistemas de tecnología operativa en instalaciones de agua y aguas residuales en Estados Unidos. Según se informó, más de 30 sistemas comunitarios de Minnesota fueron objetivo en fechas concretas (26 y 27 de julio).
Impactos operativos y continuidad del servicio
Algunos municipios reportaron alteraciones en funciones automatizadas de control. Aun así, los procedimientos de contingencia permitieron que la mayoría de las instalaciones continuaran en operación, lo que subraya la importancia de contar con planes previos ante fallas o interrupciones.
También se reportaron casos donde el atacante afectó controles de operación y provocó que una planta quedara fuera de línea de forma breve. En esa situación, el trabajo de pozo y el tratamiento se detuvieron temporalmente. Sin embargo, otras jurisdicciones indicaron que el agua se mantuvo segura y que el servicio siguió funcionando.
En conjunto, la evidencia apuntó a que la campaña llegó a afectar infraestructura hídrica en al menos siete estados. Michigan confirmó actividad maliciosa en un número reducido de comunidades, Rapid City en Dakota del Sur reportó un incidente vinculado a una estación elevadora de aguas residuales y también se mencionó a Georgia entre los territorios alcanzados.
Para el estado de Nueva York, no se informó públicamente que ninguna utility local estuviera vinculada de manera directa a esa campaña.
Recomendaciones federales tras los incidentes
El anuncio de subvenciones coincide con llamados de organismos federales para reducir la exposición de los sistemas. En particular, la agencia estadounidense CISA instó a operadores de agua y aguas residuales a revisar configuraciones que puedan dejar tecnología operativa expuesta a internet.
Entre las recomendaciones destacadas se incluyen:
- Retirar controladores lógicos programables (PLC) y otras tecnologías operativas de la exposición pública en internet.
- Cambiar contraseñas predeterminadas por credenciales seguras.
- Canalizar el acceso remoto necesario mediante gateways seguros o redes privadas virtuales (VPN).
- Restringir conexiones a direcciones IP confiables.
Estas medidas buscan disminuir vectores comunes de intrusión y limitar el alcance de accesos no autorizados.
Investigación y posibles atribuciones
Los investigadores federales no atribuyeron formalmente los ataques. Aun así, se mencionó a Irán como un posible sospechoso principal, debido a que la actividad reportada se asemeja a campañas previas asociadas a actores de amenazas que suelen apuntar a sistemas de control industrial y utilities del sector hídrico.
Esta información, aunque no concluyente en términos oficiales, refuerza la necesidad de endurecer la seguridad en entornos donde la tecnología operativa y los sistemas de administración pueden estar interconectados.
Fondos adicionales para infraestructura limpia
El paquete de 9 millones en subvenciones de ciberseguridad se presenta como un esfuerzo separado de una inversión mucho mayor orientada a infraestructura. Nueva York incluyó en su presupuesto fiscal 2027 una inversión plurianual de 3.800 millones de dólares para agua limpia.
El estado indicó que esa inversión elevará el total de subvenciones para infraestructura hídrica desde 2017 a más de 10.000 millones de dólares. En otras palabras: mientras los recursos de infraestructura atienden la modernización física, el financiamiento SECURE se enfoca en la protección digital.
Qué significa para las utilities de agua en el corto plazo
Para los operadores, el resultado esperado es doble. Por un lado, la ciberseguridad en sistemas de agua mejora con diagnósticos y correcciones medibles. Por otro, la asistencia técnica sin costo ayuda a que el personal implemente cambios de manera más rápida y con menos fricción.
Asimismo, al exigir elementos como capacitación, reporting de incidentes y controles basados en riesgo, se empuja a las organizaciones a construir capacidades sostenibles, no solo parches puntuales.
Conclusión
La decisión de Nueva York de financiar ciberseguridad en 153 sistemas de agua refuerza el mensaje de que la seguridad digital ya es parte del funcionamiento esencial del sector hídrico. Con evaluaciones, mejoras y acompañamiento técnico, el programa SECURE busca que las utilities cumplan estándares mínimos y reduzcan la exposición ante ataques contra tecnología operativa y sistemas conectados.
En un escenario donde las campañas pueden extenderse por múltiples estados, estos recursos pueden marcar la diferencia entre una interrupción breve y un impacto más severo, manteniendo el servicio y la seguridad del agua para la población.
