El problema
Muchas redes industriales son planas porque crecieron así: primero fue un cable entre el ERP y el SCADA para sacar datos de producción, luego un acceso para el integrador, luego otro. Hoy un ransomware que entra por el correo de oficinas tiene camino directo hasta los HMI. No es una hipótesis: es el patrón que se repite en la mayoría de incidentes industriales publicados.
Los proyectos de segmentación fracasan casi siempre por lo mismo: alguien compra un cortafuegos y nadie sabe qué reglas escribir, porque nadie sabe qué flujos son legítimos. Se acaba dejando pasar todo «temporalmente», y el cortafuegos queda de adorno caro.
Qué incluye el alcance
- Diseño de la arquitectura objetivo en zonas y conductos, según IEC 62443-3-2.
- DMZ industrial para los intercambios IT/OT: historiadores, ficheros, mantenimiento remoto.
- Elección de tecnología sin atadura de fabricante: NGFW industrial y, donde procede, diodo de datos.
- Reglas construidas a partir del tráfico real observado, no de suposiciones.
- Ordenación de accesos remotos: un único punto de entrada, MFA, registro de sesiones y caducidad.
- Plan de migración por fases, cada una con prueba y marcha atrás definidas, dentro de sus ventanas existentes.
Qué recibe
- Arquitectura documentada: planos de red objetivo y de cada fase intermedia.
- Matriz de flujos legítimos entre zonas, contrastada con operación.
- Reglas implantadas y verificadas, con su justificación escrita.
- Procedimiento de operación del cortafuegos: cómo se pide un cambio y quién lo aprueba.
- Evidencia de la arquitectura lista para auditorías NIS2, IEC 62443 o ENS.
Preguntas que nos hacen antes de firmar
¿Cuántas paradas de producción necesita el proyecto?
El plan se diseña sobre sus ventanas de mantenimiento existentes. En la mayoría de los casos no hace falta ninguna parada dedicada; si alguna fase la exigiera, lo sabrá antes de firmar, no a mitad de proyecto.
¿Con qué fabricante de cortafuegos trabajáis?
Con los principales NGFW industriales del mercado, sin exclusividad con ninguno. La elección se argumenta por requisitos técnicos y coste de operación, y la decisión final es suya.
¿Qué pasa con los accesos de nuestros integradores y fabricantes?
Se ordenan, no se cortan. Cada tercero pasa a entrar por un único punto con MFA, con permisos limitados a sus equipos, sesiones registradas y accesos que caducan. Los integradores suelen agradecerlo: también les protege a ellos.