Demostrar la segmentación desde el lado corporativo

Una comprobación de separación responde a una pregunta estrecha y la responde bien: desde este origen de la red corporativa, ¿se alcanza este destino? Nada más. No dice si la red de proceso está bien construida por dentro, ni si sus equipos están actualizados, ni si alguien podría moverse dentro de ella. Mezclar las dos cosas en el informe es el error que convierte una revisión honesta en una afirmación que no se sostiene.

La forma de hacerla sin acercarse a un equipo de control es la que acordó el acta: un destino de prueba colocado en la red de proceso para eso. Desde cada origen corporativo se comprueba qué llega hasta él. Si llega algo que no debería, la separación falla para ese origen, y eso vale como evidencia aunque ningún controlador se haya enterado de que existías.

El resultado se contrasta siempre contra dos documentos, no contra uno: las reglas del cortafuegos dicen lo que está permitido, y la comprobación dice lo que de verdad pasa. Cuando las dos coinciden, el hallazgo es una regla mal puesta. Cuando no coinciden, hay un camino que no pasa por el cortafuegos, y ese es peor.

Abre el laboratorio y lee las reglas exportadas. El diseño firmado dice que nadie de oficinas habla con la planta sin pasar por la zona intermedia. Las reglas de permitir dicen otra cosa, y el comentario que acompaña a la culpable explica por qué nació: algo que empezó siendo temporal y nadie retiró cuando dejó de hacer falta.

La comprobación se ejecutó el 25 de noviembre con mantenimiento presente en la sala de control. Diez casos, cada uno con su origen, su destino y su resultado. Dos salieron abiertos: uno estaba previsto por una regla que el cliente conocía y defendía, y el otro sorprendió a quien lo ejecutó. El que sorprende es el que va al informe como hallazgo; el previsto va como riesgo aceptado que hay que revisar.

En la primera página del informe no va una lista de reglas: va un número. Cuenta las reglas de permitir que llevan tráfico desde la red corporativa —oficinas o servidores de TI, da igual cuál— hasta la VLAN de proceso sin pasar por la zona intermedia. Las reglas que terminan en un equipo de la zona intermedia no cuentan: ese es el camino previsto.

El hallazgo tiene que sostenerse con lo que de verdad hiciste, y lo que hiciste fue leer reglas y mirar el resultado de una comprobación contra un equipo de prueba. Esa frontera entre lo demostrado y lo supuesto es la que distingue un informe que la planta acepta de uno que la planta rechaza en la primera reunión, con razón.