En Texas se celebrará este noviembre un acontecimiento que pocos imaginaban hace veinte años: La vigésima edición de la Conferencia de Ciberseguridad API 2025 para la Industria del Petróleo y Gas Natural. Que este evento haya perdurado tanto tiempo no es casualidad. Su historia avanza en paralelo a la evolución de las amenazas que busca combatir.
En 2005, cuando los sistemas SCADA apenas comenzaban a conectarse a internet y hablar de “guerra cibernética” nos parecía exagerado y hasta una película de ficción, este foro ya reunía a expertos que, en medio de la incertidumbre, comprendían el valor estratégico de proteger los sistemas de control industrial. Hoy día, la conferencia se ha convertido en el punto de encuentro donde la industria energética aprende, comparte y refuerza la defensa de sus activos más críticos.
La edición 2025, bajo el lema “Ciber Continuidad: Resiliencia del Petróleo y Gas en la Era Digital”, no solo busca actualizar protocolos o intercambiar buenas prácticas. Es, más bien, el reconocimiento de que refinerías, plataformas offshore y plantas de procesamiento son ahora infraestructuras digitales que mueven hidrocarburos. Si un sistema de control es vulnerado, no solo se exponen datos: se interrumpe la energía que mueve ciudades, se detienen cadenas de suministro y se pone a prueba la seguridad nacional.
La única conferencia OT del sector
Lo que distingue a este evento entre las muchas conferencias de ciberseguridad es su enfoque y su constancia. Aquí no se discuten amenazas genéricas ni se presentan soluciones para el comercio electrónico o la banca digital. Se abordan los riesgos específicos del entorno oil & gas, donde un ransomware puede paralizar una planta de licuefacción o un ataque puede comprometer un sistema de perforación automatizado.
Otro rasgo notable es su carácter colaborativo. La conferencia se organiza gracias al trabajo voluntario de profesionales activos en el campo, no de consultores o promotores de productos. Los ponentes enfrentan día a día los mismos desafíos que analizan en el escenario.
En su edición 2025, el evento ofrecerá más de 60 presentaciones distribuidas en tres líneas temáticas. Se hablará de amenazas persistentes avanzadas (APT) dirigidas al sector energético, de cómo aplicar marcos como el NIST Cybersecurity Framework en entornos OT y de casos prácticos que muestran la convergencia entre ingeniería, datos y seguridad (Inspenet, 2025).
Durante dos jornadas en The Woodlands, Texas, más de 750 participantes se moverán entre sesiones técnicas, conferencias magistrales y un área de exposición donde proveedores especializados presentarán herramientas diseñadas para protocolos industriales como Modbus o DNP3. También habrá demostraciones de segmentación de red para entornos donde la latencia puede significar la diferencia entre una operación segura y una falla crítica, junto con plataformas de threat intelligence enfocadas en actores estatales que consideran la infraestructura energética como un objetivo prioritario (Energies Media, 2025).
La comunidad invisible
Hay que resaltar que el verdadero valor de esta conferencia se encuentra en esas conversaciones espontáneas que ocurren fuera del escenario. En los pasillos, durante un café o una cena, los asistentes comparten dilemas que rara vez pueden discutir en otros espacios.
¿Cómo modernizar sistemas legacy sin detener procesos continuos? ¿Cómo convencer a una dirección ejecutiva de invertir en la prevención de ataques que tal vez nunca ocurran? ¿Cómo retener talento cuando el sector tecnológico ofrece sueldos más altos y entornos más flexibles?
Estas charlas generan alianzas informales y fortalecen una red de apoyo entre profesionales que enfrentan los mismos riesgos. Además, la posibilidad de obtener créditos de educación profesional continua (CPE) añade un incentivo práctico: quienes mantienen certificaciones como CISSP, GICSP o GRID pueden actualizarlas mientras aprenden de colegas con experiencia directa.
Veinte años después de su primera edición, y en medio de la transición energética más compleja del petróleo y gas, esta conferencia conserva una verdad esencial: la energía que mueve al mundo es hoy tan vulnerable a un ciberataque como a una tormenta o una explosión. Y los guardianes de esa energía digital se reúnen cada año para asegurar que las luces sigan encendidas.
Gobernanza digital y convergencia IT/OT
El tema central de la edición 2025 va más allá de los aspectos técnicos. Propone una nueva forma de entender la gobernanza digital en la industria energética. La American Petroleum Institute (API), reconocida históricamente por definir estándares de integridad mecánica y seguridad operacional, desde hace algún tiempo está ampliando su mirada para incluir el riesgo cibernético como parte de la integridad operacional. Este cambio ya se refleja en estándares como API 1164, que aborda la ciberseguridad en sistemas de transporte de hidrocarburos, y API 780, que trata la gestión de amenazas internas (API, 2021; Itegriti, 2020).
Vayamos a la realidad: la certeza de un ataque fallido a los sistemas ya no existe, y en este caso, porque las refinerías están conectadas con redes corporativas, sistemas de proveedores, sensores IoT y plataformas en la nube. Esto, sin la menor duda, es una posible puerta de entrada para un ciberataque. Según reportes recientes, cerca del 80 % de las intrusiones en sistemas OT del sector energético provienen de accesos indirectos a través de terceros (Inspenet, 2025). Por eso, la seguridad de la cadena de suministro digital se ha convertido en un tema estratégico y compartido.
En la actualidad, los ingenieros de control deben entender ciberseguridad, y los especialistas en defensa digital deben conocer los protocolos industriales. Esa combinación de habilidades está impulsando la creación de centros de monitoreo unificados (SOC industriales) que integran inteligencia de amenazas, respuesta a incidentes y ejercicios de simulación (red-teaming) enfocados en sistemas físicos (Nankya, 2023).
Refinerías y plantas petroquímicas comienzan a usar machine learning, digital twins para modelar vulnerabilidades y simuladores que reproducen ataques reales como parte de estrategias avanzadas de ciberresiliencia (Nankya, 2023). Sin embargo, la tecnología por sí sola no garantiza seguridad. Se necesita una cultura organizacional que vea la ciberseguridad como un aliado de la continuidad y no como un obstáculo operativo. Las empresas más maduras ya incluyen indicadores de riesgo cibernético en sus tableros de desempeño, y los comités ejecutivos, tradicionalmente centrados en HSE y producción, están integrando responsables de seguridad digital en la toma de decisiones (Inspenet, 2025).
La visión API 2025 resume ese enfoque: una energía más segura no solo en lo físico o ambiental, sino también en lo digital, donde la continuidad operativa dependa de la sinergia entre ingeniería, datos y defensa cibernética.
Conclusiones
Esta Conferencia de Ciberseguridad de la API 2025 es muy importante. Ya no se trata únicamente de resistir ataques, sino también de incorporar en el corto plazo, la ciberseguridad como parte esencial de la continuidad del negocio (Kholidy, 2021). Y para muestra “En un entorno donde refinerías, plataformas y plantas están completamente interconectadas, el riesgo cibernético se convierte en riesgo operativo y estratégico” (NIST SP 1800-23, 2019). Hoy día, las organizaciones más avanzadas lo entienden así y están integrando la gestión del riesgo digital en sus estructuras, junto a los indicadores de producción y seguridad.
La visión en los distintos escenarios es el impulso de una energía eficiente, sostenible y, en términos de seguridad en el futuro inmediato, que sea digitalmente confiable. Significa anticiparse a la adversidad, ya sea un ataque, una interrupción física o un fallo sistémico, y mantener la operación en marcha mediante detección temprana, recuperación rápida y resiliencia continua. Las alianzas que surgen en este tipo de encuentros fortalecen a toda la cadena energética. En un mundo cada vez más digital y fragmentado, garantizar la continuidad del petróleo y gas es tan esencial como mantener la seguridad física de una plataforma o un pozo.
Conoce lo más destacado de la API 2025 en Inspenet.
La vigésima edición de la Conferencia de Ciberseguridad API 2025 reunió a líderes del sector Oil & Gas para compartir innovaciones, estrategias y tecnologías clave en la protección de infraestructuras .
Referencias
- American Petroleum Institute. (2021, August 18). Third edition of API Standard 1164: Pipeline Control Systems Cybersecurity. https://www.api.org/news-policy-and-issues/news/2021/08/18/third-edition-of-api-standard-1164
- Hewitt, J., Wiggins, C., Penn, T., Bejtlich, A., & Knudson, K. (2019, November 12). The API 1164 framework and cybersecurity considerations for pipeline transportation and storage (Topic Paper 4-15). In National Petroleum Council Study on Oil and Natural Gas Transportation Infrastructure. U.S. Department of Energy. The Department of Energy’s Energy.gov
- Inspenet. (2025, October 26). Digital resilience and cybersecurity in the oil industry. Inspenet. https://inspenet.com/en/articulo/digital-resilience-in-the-oil-industry/
- Itegriti. (2020, August 26). Safeguarding production: OT cybersecurity for legacy and modern systems in oil & gas. Toro TXOne. https://www.txone.com/white-papers/safeguarding-production-oil-and-gas/
- McCarthy, J. (2019). Energy sector asset management: For electric utilities, oil & gas pipeline (NIST SP 1800-23). National Institute of Standards and Technology.
- Nankya, M. (2023). Securing industrial control systems: Components, cyber-defence and challenges. International Journal of Industrial Control Systems, … https://www.ncbi.nlm.nih.gov/articles/PMC10649322/
