La separación entre la red de oficina (IT) y la red de planta (OT) lleva años siendo más un plano de arquitectura que una realidad operativa. Y el plano suele ser lo primero que se desactualiza. Cada sistema de supervisión que se conectó para dar visibilidad a producción, cada acceso remoto que se abrió para que un fabricante pudiera mantener su máquina, cada panel que se instaló para que dirección viera el estado de la línea en tiempo real, tenía sentido por sí solo en el momento en que se instaló. El resultado agregado de veinte años de esas decisiones, casi nunca lo tiene.
Este artículo aborda esa convergencia desde lo práctico: qué hay realmente conectado, con qué protocolo habla, quién puede llegar hasta ello y cómo se segmenta sin parar la producción.
El inventario real, el punto de partida que casi nadie tiene actualizado
Antes de segmentar nada hay que saber qué hay. Y en la mayoría de plantas industriales, el inventario documentado y el inventario real no coinciden. Hay dispositivos que lleva años funcionando sin que nadie recuerde quién los conectó, PLC accesibles desde redes que en teoría no deberían llegar hasta ellos, y equipos de mantenimiento con acceso permanente que se activó para una intervención puntual hace tiempo y nunca se cerró.
Levantar un inventario real pasa por observar el tráfico de la red, no solo por preguntar. Herramientas como Malcolm, un conjunto de herramientas open source desarrollado con participación de CISA para el análisis de tráfico de red mediante capturas completas y registros de Zeek, permiten construir ese mapa a partir de lo que la red dice de sí misma, en lugar de a partir de documentación que puede llevar años sin revisarse. El resultado suele incluir sorpresas: protocolos activos que nadie sabía que seguían en uso y rutas de comunicación que no aparecen en ningún diagrama.
Protocolos industriales que no fueron diseñados pensando en autenticación
Buena parte de los protocolos que siguen en producción en plantas industriales (Modbus, algunas variantes de Profinet, protocolos serie heredados) se diseñaron en un contexto donde la disponibilidad y el determinismo eran la prioridad absoluta, y la ciberseguridad no formaba parte del diseño. Muchos de ellos no autentican quién envía un comando, y algunos ni siquiera lo cifran. Eso no es un defecto que se pueda parchear de un día para otro: es una característica del protocolo con la que hay que convivir mientras esos equipos sigan en producción, que en el mundo industrial puede significar décadas.
La respuesta no pasa por sustituir el protocolo, casi nunca es viable a corto plazo, sino por compensar esa debilidad con lo que sí se puede controlar desde fuera: quién puede llegar hasta esa red y qué puede hacer una vez dentro.
Segmentación útil frente a segmentación documentada
Aquí es donde entra el marco de referencia más extendido en ciberseguridad industrial, la norma IEC 62443, que introduce el concepto de zonas y conductos: agrupar activos con requisitos de seguridad similares en zonas, y controlar de forma explícita cada vía de comunicación (cada conducto) entre zonas distintas. El valor de este enfoque no está en el diagrama que queda bonito en una presentación, sino en que cada conducto tenga un propósito identificado, un control asociado y una razón documentada para existir.
La diferencia entre segmentación útil y segmentación documentada es precisamente esa. Un diagrama de zonas que nadie revisa desde que se dibujó no protege nada. Una segmentación que se audita, que se actualiza cuando cambia la planta y que limita de verdad hasta dónde puede llegar un equipo comprometido, sí.
Acceso remoto de proveedores: la vía más corta hacia la planta
Si hay un punto ciego recurrente en ciberseguridad industrial es el acceso remoto que se concede a fabricantes e integradores para el mantenimiento de sus equipos. Ese acceso suele configurarse pensando en la urgencia de la primera intervención, con credenciales compartidas, sin caducidad y con más alcance del estrictamente necesario. Con el tiempo se convierte en una puerta permanente que nadie revisa, y que en varios incidentes conocidos del sector ha sido la vía de entrada real, no el fallo del protocolo industrial en sí.
Gestionarlo bien implica accesos por tiempo limitado, activados solo cuando hay una intervención en curso, con trazabilidad de qué se hizo durante la sesión y con revisión periódica de qué proveedores conservan acceso y por qué.
En OT no se puede parar para actualizar
Antes de decidir qué herramienta desplegar conviene preguntarse qué se está conectando a qué y con qué permisos, y esa pregunta se alarga con cada proyecto nuevo. La cámara de un sistema de visión artificial en planta que envía imágenes a un servidor, o el equipo que ejecuta un modelo junto a la línea, como los de la inferencia en el edge, son dispositivos más que inventariar, segmentar y mantener. Contestar con datos y no con planos es el punto de partida de los proyectos de inventario y segmentación que desarrolla el equipo de ciberseguridad de Irontec de principio a fin.
