Dónde termina TI y empieza la planta

En una empresa con producción industrial conviven dos redes con prioridades opuestas. La red corporativa se mide por confidencialidad de la información y se parchea el martes que toque; la red de proceso se mide por disponibilidad y continuidad del ciclo, y se interviene cuando la línea para, que puede ser dentro de seis meses. La guía de seguridad de tecnología de operación del NIST (SP 800-82, revisión 3, de septiembre de 2023) ordena el asunto de la misma forma: separar en zonas, controlar cada paso entre ellas y tratar la conexión con la red corporativa como el punto que más vigilancia necesita.

El diseño habitual mete una zona de paso entre las dos: nadie de oficinas habla directamente con la planta, y lo que cada lado necesita del otro lo deja en un servidor de esa zona intermedia. Esa es la frontera dibujada. La frontera real es otra cosa: es cualquier punto por el que un paquete de la red corporativa pueda terminar en la red de proceso. Un servidor con dos tarjetas de red, un puesto que alguien cableó a las dos redes o un enlace que montó un proveedor valen tanto como un cortafuegos mal configurado, y no aparecen en ningún diagrama.

Por eso el primer documento que se pide no es el diagrama: es la tabla de interfaces. Un diagrama dice lo que alguien quiso; la tabla de interfaces dice lo que hay cableado.

Abre el laboratorio. El inventario corporativo coloca cada equipo en un segmento; la tabla de interfaces dice en qué VLAN está cada tarjeta de red. Cuando los dos documentos no cuentan lo mismo, manda la tabla de interfaces. Busca un equipo que el inventario sitúe entre los puestos de oficina y que, sin embargo, tenga una pata en la VLAN del proceso.

No todo lo que une las dos redes es un defecto. La zona intermedia existe justamente para que haya un paso, y ese paso lo hace un servidor que recoge lo que la planta produce como dato —lecturas de las líneas, totales, tiempos— y lo publica hacia el lado corporativo. Ese servidor es la frontera que el cliente sí conoce, la que está pensada y la que se revisa. Identificarlo sirve para dos cosas: sabes qué equipo sí entra en tu alcance desde el lado corporativo, y sabes contra qué comparar todo lo demás.

El número importa porque es lo primero que va al informe: el cliente cree que tiene una frontera y la tabla de interfaces dice cuántas tiene. Cuenta los equipos del inventario corporativo que tienen al menos una interfaz en la VLAN del proceso de envasado. Cuenta equipos, no interfaces: un equipo con dos tarjetas en esa VLAN sigue siendo uno.