El Modelo Purdue y las zonas

El Modelo Purdue ordena la planta en niveles: en el nivel de campo están los sensores y los actuadores; encima, el nivel de control, donde vive el PLC; encima, la supervisión, con la HMI y el SCADA; encima, los sistemas de operación, como el historiador y la estación de ingeniería; y arriba del todo, la red de oficina y la empresa. No es una jerarquía de mando, sino un lenguaje común para decir qué nivel debería hablar con cuál y por dónde.

El valor del modelo es que convierte una discusión difusa sobre «qué se conecta con qué» en algo que se puede dibujar y revisar. Cuando más adelante busques una conexión que no debería existir, lo que harás es comprobar si un nivel está hablando con otro saltándose los que hay en medio.

Sobre ese mapa, el marco IEC 62443 añade dos ideas sencillas y muy útiles. Una zona agrupa los equipos que tienen la misma necesidad de seguridad —por ejemplo, todo el control de la planta en una zona, la oficina en otra, y una zona intermedia entre ambas—. Un conducto es el único paso permitido entre dos zonas: el punto por el que cruza el tráfico que de verdad tiene que cruzar, y donde se aplica y se vigila ese paso. Lo que no va por un conducto, no cruza.

Pensar en zonas y conductos es lo que hace manejable la defensa: en vez de mirar equipo por equipo, se protege el borde entre grupos. La pregunta deja de ser «¿este equipo es seguro?» y pasa a ser «¿qué cruza entre esta zona y la otra, y por dónde?».

De todos los equipos del mapa, la estación de ingeniería merece un cuidado aparte. Vive en el nivel de operación y es el equipo desde el que se reprograma la lógica del PLC: quien la controla puede reescribir lo que la planta hace físicamente, no solo leer datos. Por eso se protege con más celo que una HMI o un historiador, y por eso no debería tener un pie en la oficina y otro en la planta: su sitio está del lado del proceso, al que se llega por el conducto vigilado, no por una conexión directa desde la oficina.

Distinguir el equipo que solo observa del que puede cambiar el control es lo que ordena las prioridades de defensa. El que reescribe la lógica es el que, si cae, se lleva la planta con él.

Abre la captura de los elementos de Andes Agua. Entre los equipos que hablan con el controlador, localiza la estación de ingeniería: el equipo que consulta la configuración del PLC y que podría reprogramar su lógica —no la pantalla del operador ni el historiador que solo guarda datos—. Aísla su fila y lee el código anotado.