Lo que se exige antes de comprar

Un equipo de planta se compra una vez y se queda quince o veinte años. Si la seguridad no se pide en el pliego, después solo queda ponerla encima: segmentar alrededor de un equipo que no se puede endurecer, vigilar un protocolo que no se puede cambiar, aceptar una cuenta que no se puede retirar. Cada una de esas medidas es posible, pero cuesta más que haberlo exigido antes y casi nunca llega a ser completa.

Los requisitos de seguridad del pliego hacen dos cosas. Fijan lo que el proveedor debe entregar, y le dan a la planta un argumento de contrato cuando el equipo no lo cumple. Una petición hecha después de firmar es un favor; una hecha antes es una condición. Las normas de la serie IEC 62443 ordenan este reparto: la parte 4-1 describe cómo debe desarrollar su producto un fabricante, la 4-2 los requisitos técnicos de los componentes, y la 2-4 lo que se espera de quien presta servicios de integración y mantenimiento.

Un pliego útil traduce el riesgo en requisitos que se pueden comprobar. Los habituales: que el equipo obligue a cambiar la contraseña de fábrica en el primer arranque, que tenga cuentas individuales con roles, que verifique la firma del firmware antes de instalarlo, que el proveedor entregue la lista de puertos y protocolos que abre y que se comprometa a dar parches de seguridad durante la vida útil de la línea.

Cada requisito lleva una marca de obligatorio u opcional, y la marca importa: un requisito opcional puede perderse en la negociación; uno obligatorio descarta la oferta que no lo cumple. La lista de puertos y protocolos, que parece un trámite, es la que permite luego inventariar y segmentar sin sondear el equipo.

Una oferta de proveedor es una tabla de respuestas: para cada requisito, si cumple, no cumple o cumple en parte, y qué documento lo respalda. Antes de comparar precios se comprueba la parte obligatoria, y un «no» en un requisito obligatorio es lo primero que se busca. No hay que interpretarlo: el proveedor mismo lo escribió.

Aquí hay tres ofertas. Una de ellas reconoce que su equipo no obliga a cambiar la contraseña de fábrica en el primer arranque, y que esa contraseña es fija e igual en todos los equipos que vende.

Marcar «sí» en una casilla no cuesta nada. Lo que da valor a la respuesta es la evidencia que la acompaña: un manual, una ficha técnica, un informe de pruebas, una carta firmada. Una respuesta afirmativa con evidencia «ninguna» es una promesa, no un hecho, y en un pliego se trata como pendiente hasta que el proveedor aporte el documento.

Cuenta, para el proveedor Calderón e Hijos Sistemas, cuántos requisitos obligatorios aparecen con «sí» y con alguna evidencia distinta de «ninguna».

La oferta de Calderón dice «sí» a dos requisitos obligatorios pero no aporta ninguna evidencia, y reconoce que su equipo trae un módem celular integrado para diagnóstico. Quien revisa las ofertas tiene que decidir qué hacer con cada hallazgo: la respuesta que contradice el pliego, y la que lo cumple solo de palabra.