Si hoy en día entra a casi cualquier planta de fabricación, subestación eléctrica o instalación de tratamiento de agua, encontrará una red que nunca fue diseñada para ser atacada. Fue diseñada para operar de manera confiable, predecible y durante décadas. Esa filosofía de diseño construyó el mundo industrial del que dependemos. También construyó las condiciones exactas que hacen que los entornos de tecnología operativa (OT) sean tan difíciles de defender.

Durante años, las organizaciones industriales trataron la segmentación de red como algo "deseable pero no esencial". A menudo se consideraba suficiente un firewall entre IT y OT. Hoy en día, esa suposición es peligrosa. Los atacantes ya no necesitan vulnerar un sistema de control directamente; simplemente necesitan una laptop sin parches de seguridad, una herramienta de acceso remoto expuesta o la conexión de un proveedor que nunca fue aislada adecuadamente. Una vez dentro de una red plana, se mueven lateralmente casi sin resistencia, alcanzando a menudo controladores lógicos programables (PLCs), estaciones de trabajo de ingeniería y sistemas instrumentados de seguridad en cuestión de horas.

Este es exactamente el problema que la norma IEC 62443 fue redactada para resolver. En el centro del estándar se encuentra un concepto que es sencillo de describir pero realmente difícil de ejecutar bien: zonas y conductos. La segmentación no es una casilla de verificación en este marco de referencia, es la base arquitectónica sobre la cual se construye todo lo demás, desde la evaluación de riesgos hasta los objetivos de nivel de seguridad.

Este artículo detalla lo que la segmentación de la norma IEC 62443 realmente requiere, por qué tantos sitios industriales todavía lo hacen mal y cómo los líderes de seguridad de OT pueden convertir el riesgo abstracto en controles de red concretos y aplicables.

Por qué la segmentación es la columna vertebral del cumplimiento de la norma IEC 62443

La norma IEC 62443 se basa en una filosofía orientada al riesgo en lugar de un libro de reglas único para todos. Reconoce que una planta de procesamiento químico, una línea de alimentos y bebidas, y una subestación de servicios eléctricos conllevan consecuencias diferentes si se ven comprometidas; por lo tanto, no deben protegerse todas con controles idénticos. La segmentación es el mecanismo que hace posible este enfoque basado en riesgos en la práctica.

Sin límites de zona claros, cada activo en la red hereda de manera efectiva el perfil de riesgo del dispositivo menos seguro conectado a ella. Un solo controlador HVAC con conexión a Internet o una puerta de enlace de acceso remoto mal configurada pueden convertirse en el eslabón débil que exponga una línea de producción completa. La segmentación contiene ese riesgo por diseño, en lugar de esperar que nunca se ponga a prueba.

También hay una realidad comercial que impulsa esta urgencia. Las aseguradoras, los reguladores y, cada vez más, los propios clientes están pidiendo a las organizaciones industriales que demuestren que sus sistemas de control están diseñados con límites de seguridad definidos, y no solo protegidos por un único firewall perimetral. La segmentación ha pasado de ser una mejor práctica técnica a una expectativa de gobernanza.

Entendiendo las zonas y conductos de la norma IEC 62443

La norma define dos componentes fundamentales para la arquitectura de redes industriales: zonas y conductos. Comprender ambos, a fondo y no superficialmente, es el punto de partida para cualquier proyecto de segmentación serio.

¿Qué es una zona?

Una zona es una agrupación de activos lógicos o físicos que comparten requisitos de seguridad comunes. Los activos se agrupan porque tienen una criticidad similar, consecuencias similares si se ven comprometidos y una función operativa similar. Una zona puede contener:

• Todos los PLCs y E/S remotas asociados con una sola línea de producción

• Los servidores de historiador y de reportes utilizados por los ingenieros de la planta

• Un sistema instrumentado de seguridad (SIS) y sus solucionadores lógicos asociados

• Infraestructura de acceso remoto utilizada por terceros proveedores

La agrupación es deliberada, no por conveniencia. Los activos nunca deben colocarse en la misma zona simplemente porque se encuentran en el mismo switch físico o subred. La decisión de agrupación debe estar impulsada por la consecuencia del riesgo: qué sucede con la seguridad, la producción y la continuidad del negocio si este grupo de activos se ve comprometido.

¿Qué es un conducto?

Un conducto es la vía a través de la cual viaja la comunicación entre zonas o, en algunos casos, dentro de una zona cuando el tráfico necesita ser controlado estrictamente. Los conductos son donde residen los controles de seguridad reales: firewalls, puertas de enlace unidireccionales, diodos de datos, inspección con reconocimiento de protocolos y políticas de control de acceso.

Cada conducto debe responder a tres preguntas antes de permitir su existencia:

• ¿Qué datos necesitan cruzar este límite y por qué?

• ¿Cuál es el nivel mínimo de acceso requerido para respaldar esa necesidad?

• ¿Qué sucede si esta vía se utiliza de manera indebida o se ve comprometida?

Si un conducto no puede responder claramente a estas preguntas, por lo general no debería existir en su forma actual.

Niveles de seguridad: Alineando la protección con la consecuencia

La norma IEC 62443 define niveles de seguridad (SL 0 a SL 4) que describen la solidez de la protección requerida contra adversarios cada vez más capaces. A cada zona se le debe asignar un nivel de seguridad objetivo (SL-T) basado en la evaluación de riesgos, y los conductos que la protegen deben diseñarse para cumplir con ese objetivo.

El valor de esta tabla no es académico. Ofrece a los líderes de OT un lenguaje estandarizado y defendible para explicar a los ejecutivos y auditores por qué una zona cuenta con un diodo de datos y otra recibe un conjunto de reglas de firewall estándar. La segmentación deja de ser una opinión técnica y se convierte en una decisión documentada y justificada por el riesgo.

Riesgos, desafíos e información de la industria

La segmentación parece sencilla en una pizarra. En la práctica, es uno de los proyectos operativamente más sensibles que emprenderá una organización industrial, y las consecuencias de equivocarse se han hecho evidentes públicamente en más de una ocasión.

Cuando las redes planas se encuentran con atacantes reales

A finales de 2015, unos atacantes obtuvieron acceso a las redes de control de varias empresas regionales de distribución de energía en Ucrania. Una vez dentro, pudieron pasar de los sistemas de IT corporativos a las redes operativas con relativa facilidad, manipulando finalmente los controles de los interruptores y cortando el suministro eléctrico a aproximadamente 230,000 residentes. Los investigadores señalaron más tarde que una separación más sólida entre las redes corporativas y las de control habría ralentizado o bloqueado significativamente el camino de los atacantes hacia los interruptores. El incidente sigue siendo una de las ilustraciones del mundo real más claras de lo que sucede cuando IT y OT comparten el mismo límite de confianza.

Un patrón similar surgió en 2017, cuando un sistema instrumentado de seguridad en una instalación petroquímica en Medio Oriente fue blanco de un malware diseñado específicamente para manipular controladores de seguridad. El ataque no comenzó dentro de la red de seguridad; comenzó con el acceso obtenido en otra parte del entorno y se movió lateralmente hasta llegar a sistemas que nunca debieron ser accesibles desde el tráfico operativo general. Los sistemas de seguridad, por diseño, están destinados a ser la última línea de defensa contra fallas catastróficas. Cuando se encuentran en el mismo espacio de red accesible que todo lo demás, esa última línea de defensa se convierte en un salto más para un atacante.

En 2019, un importante productor de aluminio se vio obligado a realizar operaciones manuales con papel y lápiz en múltiples instalaciones después de que un ransomware se propagara por su red, lo que finalmente interrumpió la producción a nivel mundial. El impacto financiero ascendió a decenas de millones de dólares y la recuperación tomó semanas. La lección se repitió en casi todas las revisiones posteriores al incidente: el ransomware rara vez respeta las suposiciones de red. Se propaga por donde haya conectividad sin restricciones y encontrará cada vía plana y no segmentada disponible.

Un patrón se manifiesta en cada uno de estos casos. El punto de entrada inicial rara vez fue el sistema más sensible. El daño real provino de lo que el atacante pudo alcanzar después, y esa accesibilidad casi siempre se debió a una falla de segmentación, no a la falla de una sola herramienta de seguridad.

Por qué los proyectos de segmentación comúnmente se estancan o fracasan

Al hablar con líderes de seguridad de OT en las industrias de fabricación, energía y procesos, se revela un conjunto constante de desafíos que ralentizan los esfuerzos de segmentación:

• Conexiones heredadas no documentadas. Muchas plantas tienen rutas de comunicación que fueron configuradas hace años por un proveedor o integrador y que nunca se documentaron formalmente. Segmentar la red sin descubrir primero estas rutas corre el riesgo de interrumpir la producción.

• Temor a los tiempos de inactividad operativa. Los equipos de ingeniería y operaciones son comprensiblemente cautelosos ante cualquier cambio en la red que pueda interrumpir un proceso en ejecución, especialmente en la fabricación continua o la generación de energía.

• Mezcla de equipos nuevos y antiguos. Los PLCs heredados con soporte limitado o nulo para la autenticación moderna coexisten con dispositivos más nuevos conectados por IP, lo que dificulta la aplicación uniforme de políticas.

• Falta de claridad en la propiedad. IT a menudo es propietario de la infraestructura de red, mientras que OT es propietario del proceso, y las decisiones de segmentación con frecuencia caen en una brecha entre ambos equipos.

• Excesiva dependencia de un único firewall perimetral. Muchos sitios todavía consideran suficiente un único firewall de límite IT/OT, sin segmentación interna entre las líneas de producción, los puntos de acceso de proveedores o los sistemas de seguridad.

• Dispersión del acceso remoto. Los proveedores externos e integradores con frecuencia conservan accesos remotos permanentes que nunca se limitaron después de la puesta en marcha, creando conductos que eluden por completo los límites de zona previstos.

Ninguno de estos desafíos es inusual. De hecho, son la norma en la mayoría de los sitios industriales que han estado operando durante más de una década. Reconocer esto es importante: los proyectos de segmentación fracasan con menos frecuencia debido a malas decisiones tecnológicas y más a menudo debido a una planificación apresurada que omite el descubrimiento de activos y la definición de zonas basada en riesgos.

Recomendaciones prácticas y mejores prácticas

Convertir los principios de la norma IEC 62443 en una arquitectura de segmentación funcional es un proceso estructurado, no el hito de un solo proyecto. El siguiente enfoque refleja cómo las organizaciones industriales maduras pasan de redes planas de alto riesgo a arquitecturas defendibles de zonas y conductos.

1. Comience con un inventario completo de activos

No se puede diseñar la segmentación para activos cuya existencia desconoce. El punto de partida no negociable es un inventario completo y actualizado continuamente de cada dispositivo, controlador, estación de trabajo y ruta de comunicación. Esto incluye el descubrimiento pasivo de redes para sacar a la luz conexiones no documentadas olvidadas, ya que con frecuencia es ahí donde se oculta el mayor riesgo.

2. Agrupe los activos por consecuencia, no por conveniencia

Defina las zonas candidatas en función de lo que sucedería a nivel operativo, financiero y de seguridad si ese grupo de activos se viera comprometido, no en función del cableado físico existente o del diseño de la subred. Un sistema de seguridad, una red de PLCs de producción y un historiador de planta casi siempre merecen zonas separadas, incluso si actualmente se encuentran en el mismo switch.

3. Asigne un nivel de seguridad objetivo a cada zona

Utilice un proceso documentado de evaluación de riesgos para asignar clasificaciones SL-T. Este paso convierte la segmentación en una decisión defendible y auditable en lugar de un diagrama de red subjetivo, y respalda directamente los requisitos de evaluación de riesgos de la norma IEC 62443-3-2.

4. Diseñe conductos en torno al principio de mínimo privilegio

Cada conducto debe permitir únicamente los protocolos, puertos y direcciones de tráfico específicos requeridos para fines operativos legítimos. Siempre que sea posible, priorice los flujos de datos unidireccionales para el tráfico de reportes e historiadores, y restrinja el acceso de ingeniería a ventanas de mantenimiento definidas en lugar de dejarlo permanentemente abierto.

5. Aisle el acceso remoto por completo

El acceso de proveedores y de ingeniería remota debe canalizarse a través de un entorno de salto dedicado y monitoreado, nunca directamente a una zona de producción. El acceso debe ser limitado en el tiempo, registrarse y revisarse regularmente, y las credenciales deben revocarse inmediatamente una vez que se complete el trabajo.

6. Separe los sistemas de seguridad del tráfico de control general

Los sistemas instrumentados de seguridad merecen su propia zona con los controles de conducto más estrictos de toda la arquitectura. Nunca deben compartir un dominio de difusión, un switch o una interfaz de gestión con el tráfico de control de producción general.

7. Valide antes de aplicar

Antes de aplicar reglas de conducto estrictas, ejecute las políticas de segmentación en un modo de solo monitoreo para confirmar que los patrones de tráfico legítimos se comprendan por completo. Esto evita la causa más común de tiempo de inactividad relacionado con la segmentación: bloquear una ruta de comunicación que el personal de operaciones no sabía que existía pero que realmente necesitaba.

8. Trate la segmentación como una arquitectura viva

Las redes cambian a medida que se añade, reemplaza o reconfigura el equipo. Una arquitectura de segmentación que era precisa al momento de la puesta en marcha puede volverse inexacta de manera silenciosa en un año. Las revisiones programadas, combinadas con una visibilidad continua de los activos, mantienen las zonas y los conductos alineados con el entorno real en lugar de con un diagrama desactualizado.

Una referencia rápida: Controles de conductos por escenario de riesgo

Este tipo de mapeo estructurado ofrece a los gerentes de planta y a los CISOs un punto de referencia compartido, uno que traduce las decisiones técnicas de segmentación a un lenguaje que las áreas de operaciones, ingeniería y liderazgo ejecutivo pueden comprender y respaldar.

Cómo apoya Shieldworkz a las organizaciones

Diseñar e implementar una segmentación alineada con la norma IEC 62443 rara vez es algo que un equipo interno pueda completar solo, especialmente junto con las demandas de producción del día a día. Shieldworkz trabaja junto a las organizaciones industriales para convertir la segmentación de una iniciativa estancada en una arquitectura funcional y sostenible.

• Descubrimiento integral de activos de OT para construir un inventario preciso y actualizado continuamente antes de que comience cualquier diseño de zona

• Diseño de zonas y conductos basado en riesgos alineado directamente con los requisitos de las normas IEC 62443-3-2 y 3-3, adaptado al riesgo operativo real de cada instalación

• Evaluaciones de nivel de seguridad objetivo (SL-T) que brindan a la dirección una base documentada y defendible para cada decisión arquitectónica

• Validación de conductos y tráfico utilizando una implementación que prioriza el monitoreo para evitar interrupciones no planificadas en la producción

• Fortalecimiento del acceso remoto para conexiones de proveedores y terceros, cerrando puntos de acceso permanentes que eluden los límites previstos

• Guía para el aislamiento de sistemas de seguridad para garantizar que los entornos SIS cumplan con los requisitos de protección más estrictos de la arquitectura

• Revisiones continuas de la arquitectura para que la segmentación siga siendo precisa a medida que evolucionan los equipos, los proveedores y las condiciones de la red

• Informes listos para ejecutivos que traducen el trabajo técnico de segmentación al lenguaje de riesgos para juntas directivas, aseguradoras y reguladores

El objetivo no es simplemente dibujar límites de zona en un diagrama. Es construir una arquitectura en la que confíen las operaciones, que los equipos de seguridad puedan defender y que reduzca genuinamente el radio de impacto del próximo incidente.

Conclusión

La segmentación no es un proyecto único con una línea de meta; es una disciplina continua que determina si un dispositivo comprometido se convierte en un incidente contenido o en una crisis en toda la planta. Las zonas y conductos de la norma IEC 62443 brindan a las organizaciones industriales una forma estructurada y basada en el riesgo para tomar esa determinación de manera deliberada, en lugar de dejarla al azar o a la histórica expansión de la red.

La organizaciones que hacen esto bien comparten un rasgo común: tratan la segmentación como una decisión de riesgo empresarial, no solo como una tarea de ingeniería de red. Involucran de manera conjunta a los líderes de operaciones, ingeniería y seguridad, basan los límites de las zonas en las consecuencias en lugar de la conveniencia, y validan antes de aplicar.

Los incidentes que acaparan los titulares rara vez comienzan donde termina el daño. La diferencia entre un evento contenido y uno catastrófico casi siempre se reduce a lo que la red permitió que el atacante alcanzara a continuación.

Reserve una consulta gratuita con nuestros expertos

Si su organización está trabajando en los requisitos de segmentación de la norma IEC 62443, o simplemente no está segura de qué tan expuesta está realmente su arquitectura de red actual, nuestro equipo está listo para ayudarlo a evaluarla. Reserve una consulta gratuita con los expertos en seguridad de OT de Shieldworkz y dé el primer paso hacia una arquitectura de red basada en zonas y conductos defendibles y orientados al riesgo.

Recursos adicionales  

Un informe descargable sobre el ciberincidente de Stryker aquí  
Lista de verificación para la evaluación y selección de proveedores de soluciones de escaneo de medios extraíbles aquí  
Lista de verificación de evaluación de riesgos de OT/ICS basada en la norma IEC 62443 para el sector de fabricación de alimentos y bebidas aquí 
Guías de remediación basadas en la norma IEC 62443 aquí