La zona desmilitarizada industrial

Si la oficina necesita saber cuánta sal se produjo hoy, hay dos maneras de dárselo. Una es dejar que el ERP se conecte al historiador de la planta, y entonces un fallo de la oficina tiene camino hasta el nivel 3. La otra es poner en medio una réplica de solo lectura que la planta alimenta y la oficina consulta: el ERP nunca habla con la planta.

Eso es la zona intermedia, el nivel 3.5 de esta ruta (una convención de la práctica, no un número del modelo original): un lugar con su propio control de entrada y de salida donde viven los servicios compartidos. Un equipo de la oficina comprometido llega, como mucho, hasta ahí.

En una zona intermedia bien hecha, las conexiones tienen un sentido. La planta empuja sus datos hacia la zona intermedia; la oficina los lee desde ahí. Nada de la oficina abre una conexión hacia el interior de la planta, y casi nada de la planta abre una conexión hacia la oficina. La excepción más habitual es el salto de las sesiones remotas aprobadas, que es un punto único, registrado y que solo se usa bajo demanda.

Mirar quién abre cada conexión es más informativo que mirar los puertos. Un puerto abierto en el sentido correcto es normal; el mismo puerto abierto en el sentido contrario es un hallazgo.

Para lo que sigue basta una regla: la oficina no debería conocer ninguna dirección de la planta; solo las de la zona intermedia. Si el ERP tiene configurada la dirección del historiador, hay un camino que no pasa por la réplica, aunque hoy esté cerrado por una regla.

En Tamarugal hay un equipo de la zona intermedia que recibe los datos que el historiador de la planta empuja hacia fuera, y sirve de fuente para el ERP y para la jefatura de planeación.

La zona intermedia es un sitio caro de mantener: cada servicio ahí es un equipo más que vigilar, parchear y defender desde dos lados. Por eso la regla de admisión es corta: un servicio entra solo si alguien de un lado lo alimenta y alguien del otro lo consulta. Un servicio que solo usa la planta no necesita estar entre las dos redes; su sitio está dentro de la planta, donde no se expone a la oficina.

Los servicios que se instalan ahí «porque había un hueco» son el origen habitual de cruces que nadie pidió.

Tener una zona intermedia no es tener segmentación. Si las reglas hacia ella son demasiado amplias, o si los servicios guardan credenciales que abren la planta, el equipo comprometido de la zona intermedia se convierte en la puerta de entrada que se quiso evitar. Cada servicio ahí se endurece, se vigila y se limita a lo que necesita, y los conductos que la cruzan se escriben con su origen, destino, puerto y condición.

La zona intermedia reduce el recorrido de quien llega desde la oficina; no lo anula. Lo que lo reduce de verdad son sus reglas.