Separar OT y TI en la producción
Una planta suele tener dos redes que fingen ser una. El lado de oficina se parchea cada mes; el lado de máquina corre software que era actual cuando se puso en marcha la línea y no se puede tocar sin el fabricante.
Los sistemas de control de máquina a menudo no se pueden parchear, porque el fabricante solo soporta una versión concreta de software y tocarla anula el contrato de soporte. Eso es un hecho alrededor del cual hay que diseñar, no un problema que arreglar.
La respuesta es la separación: pon la red de máquina en su propio segmento, permite solo el tráfico concreto que tiene que cruzar, y no dejes nunca que un sistema de producción alcance internet directamente ni comparta segmento con los portátiles de oficina.
Empieza por un inventario de lo que está conectado de verdad. En la mayoría de las plantas encontramos máquinas que nadie sabía que eran alcanzables desde la red de oficina, y ese hallazgo por sí solo justifica el ejercicio.
Dos mundos con reglas opuestas
| TI de oficina | Control de máquina | |
|---|---|---|
| Parcheo | Mensual, automático donde se pueda | Solo con el fabricante, a menudo nunca |
| Vida útil | De tres a cinco años | De quince a veinticinco años |
| Prioridad | Confidencialidad de los datos | Disponibilidad y seguridad del proceso |
| Parada | Molesta | Cara por minuto, a veces insegura |
| De quién es | De TI | De producción o mantenimiento, rara vez de TI |
La última fila causa casi toda la fricción. La red de máquina suele pertenecer a quienes llevan la línea, y en algún momento se conectó a la red de oficina para poder sacar un informe. Nadie documentó eso.
Empieza por averiguar qué está conectado
Todos los proyectos de OT que hemos hecho empezaron con una sorpresa. Una línea de envasado con un PC de control corriendo un sistema operativo que dejó de estar soportado hace una década, alcanzable desde cualquier mesa del edificio. Un portátil de mantenimiento enchufado de forma permanente a la red de máquina y también en el wifi. Una conexión de soporte remoto que un proveedor abrió en 2019 y nunca cerró.
Un inventario es un día de trabajo y es el único punto de partida honesto. Cualquier otra cosa es diseñar para una red sobre la que estás adivinando.
Segmentación, en el orden que funciona
- Separa primero la red de máquina. Su propio segmento, su propio direccionamiento, su propia interfaz de cortafuegos.
- Denegar por defecto y luego permitir lo necesario. Suele ser un puñado de flujos concretos: un servidor de informes, una comprobación de licencia, una conexión de proveedor.
- Quita el acceso directo a internet. Si una máquina necesita una actualización, pasa por un camino controlado y no por un navegador.
- Controla el acceso del proveedor. Soporte remoto habilitado a petición y cerrado después, en vez de un túnel permanente que nadie vigila.
- Y después vigila. Una vez separado el tráfico, el tráfico inesperado se ve; en una red plana nunca se ve.
El diseño y la gestión de eso está en gestión de redes, y la política de seguridad en ciberseguridad.
Qué hacer con los sistemas que no se pueden parchear
Controles compensatorios, que es la forma educada de decir mantenerlo lejos de cualquier cosa que pueda dañarlo. Si un PC de control no se puede actualizar, entonces no debería ser alcanzable desde la red de oficina, no debería navegar por internet, no debería tener medios extraíbles habilitados y debería tener una imagen que puedas restaurar en una hora.
Ese último punto importa más de lo que la gente espera. Cuando una máquina sin parchear acaba siendo golpeada, el camino de recuperación es una restauración y no una limpieza, y si la imagen no existe la línea se para hasta que el fabricante pueda reconstruirla. Esa es una conversación que se mide en días.
Respalda también el lado de máquina
Los sistemas de control de máquina quedan con frecuencia fuera del régimen de copias porque no se ven como TI. La configuración de una línea, las recetas, los datos de calibración: todo eso es único, nada está en una unidad compartida, y el fabricante normalmente no guarda una copia.
Lo tratamos igual que cualquier otro sistema: una copia, una copia inmutable y una restauración que se haya probado de verdad. El razonamiento está en copia inmutable.
La industria entra en el ámbito más a menudo de lo que se piensa
La fabricación aparece en la lista de sectores de NIS2, y también la alimentación y la química. Incluso cuando una organización queda por debajo del umbral de tamaño, suministrar a un cliente dentro del ámbito trae las obligaciones por vía contractual.
La segmentación y un inventario son dos de las primeras cosas que pide un auditor, así que el trabajo tiene valor más allá del beneficio de seguridad. Cómo son esas pruebas está en NIS2 en la práctica.
Lo que nos preguntan sobre esto
Lo que preguntan responsables de producción y de mantenimiento.
¿Qué hacemos con máquinas que no se pueden parchear?
Diseñar alrededor. Mantén la máquina fuera de la red de oficina y fuera de internet, deshabilita los medios extraíbles, controla el acceso del proveedor y ten una imagen restaurable. No vas a hacer seguro un sistema de control sin soporte; vas a hacerlo inalcanzable y recuperable.
¿Por dónde empezamos con la segmentación de OT?
Por un inventario de lo que está realmente conectado. En la mayoría de las plantas eso produce al menos una sorpresa, normalmente un sistema de control alcanzable desde cualquier mesa o un túnel de proveedor que nunca se cerró. Diseñar después del inventario, no antes.
¿Hay que hacer copia de los sistemas de máquina?
Sí, y se olvidan con frecuencia porque no se ven como TI. La configuración de línea, las recetas y los datos de calibración son únicos y el fabricante normalmente no guarda copia. Sin una imagen restaurable, un fallo significa esperar a una reconstrucción.
¿NIS2 se aplica a la industria?
La fabricación está en la lista de sectores, igual que la alimentación y la química. Hay umbrales de tamaño, pero suministrar a un cliente dentro del ámbito trae igualmente las obligaciones por contrato. La segmentación y un inventario están entre las primeras cosas por las que pregunta un auditor.
Dónde encaja esto en nuestro trabajo
Dónde aterriza este trabajo.
¿Quieres que miremos tu planta?
Media hora de llamada suele bastar para saber si somos la parte adecuada, y lo diremos si no lo somos.
Conocimiento práctico de TI en tu bandeja
Nuevas guías sobre gestión, seguridad y el puesto de trabajo, escritas por quienes hacen el trabajo. Sin discursos comerciales, y puedes darte de baja con un clic.