Por donde entra casi todo

El proveedor de la llenadora de Andes Agua instaló, durante la puesta en marcha, una conexión de mantenimiento para poder entrar a la máquina desde sus oficinas. Esa conexión sigue activa: está permanentemente encendida, llega directa al equipo de la llenadora dentro de la planta, y nadie de Andes Agua sabe cuándo el proveedor se conecta ni qué hace. Es un camino hacia el interior de la planta que está siempre disponible, fuera del control de la empresa y sin registro. Un atacante que comprometa al proveedor —o que descubra esa conexión— entra en la planta por una puerta que la propia planta dejó abierta.

El problema no es que el proveedor necesite acceso: es que el acceso sea permanente, directo y sin vigilancia. Reconocer esa combinación es el primer paso para cerrarla sin dejar a la máquina sin mantenimiento.

El acceso remoto correcto invierte casi todas esas propiedades. No está siempre abierto: se habilita bajo demanda, cuando hay un trabajo, y se cierra al terminar. No se concede solo: alguien de la planta lo aprueba para esa sesión. No confía en una contraseña: exige un segundo factor. Y no llega directo al equipo: pasa por un salto —un equipo intermedio en la zona intermedia— desde el que se llega a la máquina, con la sesión registrada de principio a fin. El proveedor mantiene su máquina, pero cada entrada es puntual, aprobada, verificada y grabada.

La diferencia entre el acceso peligroso y el correcto no es la herramienta, sino las condiciones: bajo demanda en vez de permanente, aprobado en vez de libre, con segundo factor, a través de un salto y con registro.

Una pieza clave del acceso correcto es que el proveedor no se conecte directamente al equipo de la planta, sino a un equipo de salto situado en la zona intermedia, y desde ahí —y solo durante la sesión aprobada— alcance la máquina. El salto es un punto único y vigilado por donde pasa todo acceso externo: ahí se aplica el segundo factor, se graba la sesión y se corta el paso al terminar. Sin salto, cada proveedor abre su propio túnel directo a la planta y no hay un sitio donde ver ni controlar quién entra. Con salto, todo el acceso remoto se concentra en una puerta que se puede vigilar y cerrar.

El salto es a las personas lo que la zona intermedia es a los datos: un único punto de cruce controlado, en lugar de muchos caminos directos que nadie vigila.

Al revisar el acceso del proveedor de Andes Agua aparece otro detalle: todos los técnicos del proveedor entran con la misma cuenta compartida, y su contraseña es la que traía de fábrica el equipo de acceso, nunca se cambió. Eso significa que no se puede saber qué técnico hizo qué, que la contraseña probablemente la conoce mucha gente dentro y fuera del proveedor, y que figura en los manuales públicos del fabricante. La corrección es dar una identidad por persona, quitar las credenciales por defecto y atar cada sesión a quién la abrió, de modo que el registro sirva para algo.

Una cuenta compartida con clave de fábrica anula el registro y el control aunque el resto del acceso esté bien montado: si no se sabe quién entró, la sesión grabada pierde la mitad de su valor. La identidad por persona es lo que hace que la vigilancia signifique algo.

Abre la captura de accesos desde el exterior. Una dirección de fuera entra directa a un equipo de la planta, a horas irregulares y de forma repetida: es el acceso de mantenimiento del proveedor, dejado permanentemente abierto. Aísla esa conexión y lee el código anotado en su fila.