Ciclo de vida y requisitos a los proveedores de OT

La serie ISA/IEC 62443 reparte las exigencias según quién las cumple. La parte 4-1 trata el ciclo de vida de desarrollo seguro del producto, y es cosa del fabricante. La 4-2 fija requisitos técnicos para los componentes. La 2-4 pide un programa de seguridad a los prestadores de servicios, como un integrador o una empresa de mantenimiento. La 2-1 pide el programa del propietario de la planta, que es quien contrata. La 3-3 trata los requisitos del sistema y sus niveles.

Por eso la evidencia de un proveedor se lee con cuidado: que el fabricante demuestre un proceso de desarrollo seguro dice algo sobre el producto que sale de su fábrica. No dice nada sobre cómo quedó configurado en la central ni sobre cómo trabaja el tercero que lo mantiene.

El requisito REQ-02 de la empresa pide que todo acceso remoto de un proveedor se haga con cuenta nominal, autorización del jefe de turno y registro de la sesión. Un acceso permanente con una cuenta que no es nominal ni se registra es la forma más barata de perder la trazabilidad sobre un equipo crítico. Un contrato de un equipo que no es crítico con el mismo defecto es un hallazgo, pero de menor prioridad.

Abre contratos_ot y busca los accesos permanentes sin cuenta nominal y registro.

En un equipo con vida de veinte años, el fin del soporte del fabricante es un hecho de gestión, no una sorpresa técnica: sin soporte no hay parches ni piezas ni avisos de vulnerabilidades. El requisito REQ-04 lo pide vigente durante toda la vida del equipo en la planta. Un contrato cuyo soporte vence unas semanas después del corte es una alerta; uno cuyo soporte terminó antes del corte es una brecha presente.

El requisito REQ-03 pide que el proveedor avise de las vulnerabilidades de su producto dentro de los 30 días. Sin ese aviso, el dueño de la planta se entera por la prensa o por un incidente. La brecha pesa más en los equipos críticos. Para priorizar, el analista cuenta solo los contratos críticos sin cláusula de aviso, y deja aparte los que no lo son.

El integrador que mantiene el sistema de supervisión es de confianza, y su contrato es crítico para la central. Pero la confianza no sustituye al requisito: lo que se hace es llevar el acceso al estándar de la empresa, no cerrarlo de golpe ni dejarlo como está.