Segmentación entre la planta y la nube

La norma IEC 62443 organiza la seguridad industrial en zonas (grupos de activos con el mismo nivel de seguridad requerido) y canales (las vías de comunicación entre zonas, que se controlan y se documentan). El modelo de capas de Purdue, muy usado en planta, ordena los activos en niveles: controladores abajo, supervisión arriba, oficina y nube más allá, con una zona intermedia (la DMZ industrial) entre la planta y lo demás.

Un principio práctico de diseño: la conexión la inicia el lado más protegido. Los datos salen de la planta hacia la nube porque la planta abre la conexión hacia fuera, y no hay puertos de la planta escuchando a internet. El tráfico que abre la nube hacia dentro de la planta debe ser excepcional, estrecho y justificado.

Abre SELECT * FROM zonas y SELECT * FROM flujos_planta_nube para ver el diseño. Una regla en la que la nube abre la conexión hacia un controlador es la más delicada de todas: su puerto es el de un protocolo industrial sin autenticación propia en muchas implementaciones, y quien llegue a él puede, en el peor caso, cambiar parámetros del proceso. Si hay una razón de negocio, se rodea de controles; si no la hay, se elimina.

Toda regla que cruza una frontera debe tener dueño, justificación y fecha de revisión. Una regla vencida que sigue ahí es un permiso sin responsable: nadie la renovó, nadie la retiró. Si además no se usa, es el caso más fácil de resolver: retirarla no rompe nada. Si se usa, hay que averiguar quién y para qué antes de tocarla.

La revisión es del 7 de octubre de 2026.

El tiempo que una regla lleva vencida mide cuánto se tardó en notarlo, y en un informe a gerencia es más claro decir una cifra de días que «venció hace un tiempo». Se cuenta con las fechas: desde el vencimiento hasta la fecha de la revisión.

El equipo de procesos defiende la regla en la que la nube abre la conexión: «sirve para ajustar consignas sin ir a la planta». Es una necesidad real. La respuesta de seguridad no es prohibirla sin alternativa, que lleva a que alguien instale un acceso informal. Tampoco es dejarla como está. Una alternativa es que la planta recoja las órdenes aprobadas y las valide localmente antes de aplicarlas.