Accesos remotos de proveedores

El acceso remoto de un proveedor industrial tiene cuatro rasgos que lo vuelven el camino más interesante de todo el encargo, y ninguno es un defecto de configuración. Primero, el acceso lo pide producción y lo autoriza mantenimiento, no TI, así que no entra en los ciclos de revisión de cuentas. Segundo, suele ser una credencial compartida por varias personas del proveedor, porque el contrato habla de la empresa y no de la persona. Tercero, tiene que funcionar de madrugada y sin avisar, que es cuando la línea se traba, así que cualquier control que estorbe se desactiva a la tercera llamada. Y cuarto, no caduca: el acceso sobrevive al contrato, porque quien lo pidió ya no trabaja ahí y nadie pide la baja.

A eso se añade el caso más incómodo: el proveedor que, para no depender de TI, instala su propio enlace de datos hasta el armario de la máquina. Ese enlace no pasa por el cortafuegos de la empresa, no aparece en el diagrama y nadie de la empresa lo administra. Técnicamente es una puerta de entrada a la red de proceso, y administrativamente no existe.

El trabajo del evaluador aquí no es probar ese acceso: es documentarlo. Cruzar contratos con cuentas, cuentas con registros de conexión, y registros con el levantamiento físico de enlaces. Todo con documentos, sin pedir una sola credencial y sin conectarse a nada.

Abre el laboratorio. Pon los contratos al lado de la tabla de cuentas del concentrador y busca el desajuste: un proveedor cuyo contrato terminó y cuya cuenta sigue ahí, además compartida y sin fecha de caducidad. Los registros confirman que no es una cuenta olvidada en un papel: se usó hace días.

El levantamiento de enlaces del predio es un documento que casi nadie pide y que aquí vale más que el diagrama de red. Lista cada enlace de datos que entra o sale, quién lo puso, si atraviesa el cortafuegos corporativo y a dónde llega. Uno de ellos no lo administra la empresa y termina directamente en un armario de control.

Una cuenta sin caducidad no es un hallazgo por sí sola; una lista de cuentas sin caducidad sí lo es, porque describe cómo trabaja la empresa. Cuenta las cuentas de proveedor que siguen vigentes y no tienen fecha de caducidad. Las revocadas no cuentan: ya no abren nada.