Ciberseguridad en entorno industrial
Un PLC lleva quince años funcionando sin actualizarse porque parar la línea cuesta más que el riesgo. Esa cuenta cambia el día que alguien la hace por ti.
Dónde entra de verdad un ataque a planta
La red de planta no es la red de oficina
En oficina, un equipo comprometido se apaga y se reinstala. En planta, apagar es parar la producción — y a veces abrir una válvula.
Por qué no se puede parchear como en TI
Un autómata certificado no se actualiza sin volver a certificar la línea. Por eso la defensa no es «tenerlo al día»: es que lo que está desactualizado no sea alcanzable desde ningún sitio con internet.
Lo que separa los dos mundos
Segmentación. La red de proceso en su propia VLAN, con cortafuegos hacia TI y reglas por sentido, no por bloque.
Sin salida a internet desde el nivel de control, ni para actualizaciones ni para telemetría.
Accesos de fabricante por salto controlado y con ventana de tiempo, nunca por un módem que quedó puesto.
Inventario de lo que hay: no se protege lo que no está en una lista.
El cable de más largo es el fallo más común. Un portátil de mantenimiento conectado a la vez a la red de proceso y a la wifi de invitados une los dos mundos durante el rato que dure — y nadie lo apuntó en ningún sitio.
El USB que entra por la puerta buena
El técnico del fabricante llega con su portátil y su pendrive. Tiene cita, tiene contrato y tiene razón en lo que viene a hacer.
La confianza no es un control
Nadie duda del técnico. La pregunta es otra: ese pendrive ha estado en otras cuatro plantas este mes, y su portátil se conecta a la wifi del hotel. El riesgo no es la persona: es el camino que trae detrás.
Cómo se hace sin bloquear el trabajo
Un kiosco de desinfección a la entrada: todo soporte pasa por él y sale a un USB de planta.
Puertos cerrados por política en los equipos de control, con excepción nominal y con caducidad.
Un portátil de la planta para el técnico, con lo que necesite ya instalado.
Y registro de qué se conectó, cuándo y quién lo autorizó.
Si el control hace el trabajo imposible, se lo salta todo el mundo. Un puerto cerrado sin alternativa acaba en un adaptador comprado por el propio equipo de mantenimiento. La alternativa es parte del control, no un extra.
Cuando algo pasa: aislar antes que apagar
El primer impulso es desenchufar. En una planta, desenchufar puede ser la peor de las opciones disponibles.
Aislar la red, no cortar el proceso
Un equipo comprometido se saca de la red —cable fuera, puerto de switch abajo— y se deja encendido. Apagarlo borra la memoria, que es donde está casi todo lo que dirá qué pasó, y puede dejar el proceso en un estado que nadie ha previsto.
Los cuatro primeros pasos
1 · Aislar el equipo de la red, sin apagarlo.
2 · Avisar a producción y a seguridad a la vez: uno decide si la línea sigue, el otro qué se toca.
3 · No reinstalar nada hasta que alguien haya mirado.
4 · Anotar la hora de todo lo que se haga. Después nadie se acuerda, y el orden es el dato.
Quien detecta no investiga. El operario que ve algo raro avisa y para ahí. Un intento de arreglarlo por cuenta propia destruye la prueba y, con frecuencia, avisa al que está dentro de que ya se le ha visto.