La integración entre los sistemas corporativos y los entornos de operación es cada vez mayor. Plataformas de análisis, mantenimiento, calidad, planeación, trazabilidad y supervisión dependen de información generada directamente en planta. Al mismo tiempo, permitir comunicaciones sin control entre ambos entornos puede ampliar la superficie de exposición y facilitar que un incidente originado en la red corporativa alcance sistemas relacionados con la operación.
Por esta razón, la segmentación entre tecnologías de información (IT) y tecnología operativa (OT) no debe plantearse como un aislamiento absoluto. El objetivo es establecer límites claros y comunicaciones controladas, de manera que la organización pueda aprovechar los datos de producción sin exponer innecesariamente los sistemas que intervienen en los procesos físicos.
NIST señala que la seguridad de los entornos OT debe implementarse considerando sus requisitos particulares de desempeño, confiabilidad y seguridad operacional. Esto obliga a evitar enfoques que funcionen adecuadamente en una red corporativa, pero que puedan introducir interrupciones o comportamientos no previstos dentro de un proceso industrial.
El primer paso consiste en conocer qué información necesita cruzar entre ambos entornos. Antes de crear segmentos, reglas o zonas de seguridad, deben identificarse los flujos realmente necesarios: quién origina la comunicación, qué sistema la recibe, qué servicio utiliza y con qué frecuencia se produce.
Esta identificación permite diferenciar entre comunicaciones esenciales para el negocio y conexiones que existen únicamente por configuraciones históricas o falta de control. A partir de ese análisis puede establecerse una política sencilla: permitir únicamente las comunicaciones justificadas y restringir el resto.
CISA recomienda precisamente establecer límites entre IT y OT, restringir las comunicaciones entre redes y utilizar controles intermedios para evitar conexiones no reguladas. La segmentación ayuda a reducir el movimiento lateral y limita el alcance de un incidente cuando alguno de los entornos resulta comprometido.
La separación no debe limitarse a crear diferentes redes virtuales. Una arquitectura efectiva organiza la infraestructura en zonas de acuerdo con su función, criticidad y necesidades de comunicación. Los sistemas con características similares pueden agruparse y conectarse mediante caminos controlados.
Este enfoque coincide con la serie ISA/IEC 62443, que establece el concepto de zonas y conductos: las zonas agrupan activos con requerimientos de seguridad similares y los conductos representan las comunicaciones autorizadas entre ellas. La metodología también contempla evaluar el riesgo y definir requisitos de seguridad para cada zona y conexión.
En una arquitectura industrial, esto permite mantener diferenciados los sistemas de producción, supervisión, administración, acceso remoto u otros servicios, evitando que todos los dispositivos compartan el mismo nivel de acceso.
La comunicación entre IT y OT debe pasar por puntos claramente definidos. En lugar de permitir conexiones directas desde la red corporativa hacia los sistemas de operación, puede establecerse una zona intermedia donde residan los servicios que necesitan intercambiar información entre ambos entornos.
Las guías de CISA recomiendan utilizar zonas desmilitarizadas o mecanismos equivalentes como intermediarios entre redes con diferentes niveles de confianza. Estos puntos permiten aplicar políticas de acceso, inspeccionar las comunicaciones y registrar los eventos sin eliminar el intercambio de información requerido por el negocio.
El principio es importante: los datos pueden salir del entorno de operación sin que esto implique abrir acceso directo hacia los sistemas que los generan.
Cuando las plataformas corporativas necesitan información de producción, conviene diseñar el flujo de datos de acuerdo con esa necesidad. La información puede transferirse hacia servicios intermedios y posteriormente ponerse a disposición de las aplicaciones de negocio, evitando que estas últimas establezcan conexiones innecesarias directamente con equipos de operación.
El sentido de las comunicaciones también debe revisarse. Existen escenarios en los que el negocio únicamente necesita consultar información proveniente de planta y no requiere enviar instrucciones hacia los sistemas de control. En estos casos pueden adoptarse arquitecturas más restrictivas que reduzcan el número de comunicaciones permitidas.
CISA incluso contempla mecanismos de comunicación unidireccional en escenarios donde los requerimientos operativos lo permiten. Sin embargo, su aplicación debe evaluarse cuidadosamente, ya que no todos los servicios pueden funcionar bajo este modelo.
El acceso remoto merece un tratamiento independiente. Proveedores, personal de mantenimiento y equipos internos pueden requerir acceso a determinados sistemas industriales, pero habilitar conexiones directas incrementa el riesgo.
Una arquitectura segmentada debe definir puntos específicos de acceso, autenticación, autorización y registro. Las conexiones deben limitarse a los equipos y servicios necesarios para cada función y mantenerse bajo monitoreo. CISA recomienda que los accesos hacia entornos protegidos se permitan únicamente desde activos autorizados y a través de mecanismos intermedios controlados.
La segmentación también debe considerar el desempeño. Agregar controles de seguridad sin analizar el comportamiento de las aplicaciones puede introducir retrasos o interrupciones incompatibles con determinados procesos. Por ello, antes de incorporar nuevos puntos de inspección o modificar rutas, es necesario conocer los requerimientos de comunicación de los sistemas involucrados y validar la arquitectura bajo condiciones reales de operación.
Esto resulta especialmente relevante en OT, donde disponibilidad y seguridad deben tratarse de manera conjunta. Una política que reduce un riesgo de ciberseguridad pero afecta un proceso productivo no puede considerarse correctamente implementada. NIST enfatiza precisamente la necesidad de adaptar los controles a las características particulares de los sistemas operacionales.
La segmentación tampoco debe depender exclusivamente de la ubicación de un equipo en la red. Los enfoques actuales de seguridad recomiendan complementar los límites de red con controles de identidad, autenticación y autorización, de forma que un dispositivo o usuario no obtenga confianza únicamente por encontrarse dentro de un determinado segmento. NIST establece este principio dentro de sus lineamientos de arquitectura de confianza cero.
Finalmente, una arquitectura IT/OT segmentada necesita visibilidad. Los puntos que comunican las diferentes zonas deben generar información suficiente para conocer qué tráfico está permitido, qué conexiones son rechazadas y qué cambios se producen en el comportamiento normal.
El monitoreo permite detectar comunicaciones no autorizadas, identificar configuraciones incorrectas y comprobar que los flujos utilizados por el negocio continúan funcionando después de cualquier modificación.
Recapitulando, una estrategia de segmentación IT/OT debe considerar:
- Inventario de activos y comunicaciones: identificar sistemas, dependencias y flujos requeridos antes de modificar la arquitectura.
- Zonas definidas por función y criticidad: evitar redes planas y agrupar activos con necesidades similares.
- Comunicación controlada entre entornos: permitir únicamente los servicios necesarios para la operación y el negocio.
- Puntos intermedios de intercambio: evitar conexiones directas e innecesarias entre plataformas corporativas y sistemas de operación.
- Acceso remoto gobernado: autenticación, autorización, trazabilidad y restricción por función.
- Seguridad compatible con la operación: validar que los controles no comprometan disponibilidad, desempeño o seguridad operacional.
- Protección basada en identidad y privilegio mínimo: complementar la segmentación con controles sobre usuarios y dispositivos.
- Monitoreo continuo: mantener visibilidad sobre las comunicaciones entre zonas y detectar desviaciones.
Segmentar IT y OT no significa desconectar la planta del negocio. Una arquitectura correctamente diseñada permite que la información necesaria continúe fluyendo, pero bajo rutas, permisos y controles definidos.
El objetivo es alcanzar un equilibrio: proteger los sistemas que sostienen la operación sin perder el valor de los datos que permiten analizar, administrar y optimizar el negocio. Para lograrlo, la segmentación debe partir de los procesos y sus dependencias, no únicamente de la tecnología utilizada para separar las redes.