Separación entre identidad TI y OT

Un sistema de control que autentica solo contra un directorio queda atado a él: si el directorio cae, nadie entra, y si cae a las tres de la mañana con producto en proceso, el problema ya no es de identidad sino de producción. Por eso los equipos de control llevan una cuenta local de emergencia: una cuenta del propio equipo, con su secreto guardado aparte, que se usa solo cuando el directorio no responde.

No sustituye al directorio, porque su uso es excepcional y debe quedar anotado. Es la diferencia entre un sistema que se puede operar en un mal día y uno que depende de que todo lo demás funcione.

La regla 1 de la planta dice que los sistemas de la zona de control autentican contra el directorio de planta. La revisión cruza dos columnas de sistemas.txt: contra qué directorio autentica cada sistema y si tiene cuenta local de emergencia. El sistema que cumple las dos fallas es el más expuesto: depende del directorio de las oficinas y, si este no responde, no hay forma de entrar.

Abre sistemas.txt y reglas.txt. No te quedes con el sistema que solo incumple una de las dos.

La regla 4 limita el acceso a la zona de control a personal de planta activo, que son las áreas Producción y Mantenimiento. Quien es de Sistemas, de Finanzas o de cualquier otra área, o quien ya se retiró, no debería tener ese acceso, aunque sus razones fueran buenas cuando se concedió.

Abre cuentas-corporativas.txt. Cuenta las cuentas con acceso a la zona de control que no cumplen las dos condiciones a la vez: área de planta y situación activa. Las cuentas sin acceso no entran en la cuenta.

Quien administra en las dos redes concentra el riesgo: si le roban la cuenta del lado corporativo, tienen la del lado de planta. La regla 5 pide una cuenta distinta en cada red, con claves distintas y, de ser posible, con puestos de trabajo distintos. Es el mismo principio de los niveles de administración del directorio, aplicado a la frontera entre oficinas y planta.

La separación se mide por el resultado: lo que se comprometa en un lado no debe abrir el otro.

La frontera también se cruza sin cuentas, con grupos. Si un grupo del directorio corporativo se anida dentro de un grupo de administración de la planta, todos sus miembros heredan lo que ese grupo permite, aunque ninguno de ellos aparezca en la lista de la planta. La regla 3 lo prohíbe, y se revisa mirando los miembros de cada grupo de administración y el directorio al que pertenece cada uno.

Abre grupos.txt. Los grupos de planta se identifican por el prefijo ot-; los del directorio corporativo, por el prefijo grp- y la columna del directorio.