Qué hace cada caja

El controlador lógico programable —el PLC— es el corazón del control. Lee los sensores (el nivel de un tanque, la presión de una línea) y acciona los actuadores (abre una válvula, arranca una bomba) según el programa que tiene cargado. En Andes Agua, un PLC gobierna las llenadoras y las bombas de agua. No es un servidor: es un equipo de tiempo real, pensado para hacer una cosa de forma fiable durante años, y por eso mismo es frágil ante lo que no espera. Lo que le llega por la red se convierte en movimiento físico.

Entender que una orden en la red se traduce en una válvula que se abre es lo que hace tangible el riesgo. No se está protegiendo un dato: se está protegiendo lo que un motor hace en el mundo real.

La HMI —interfaz humano-máquina— es la pantalla desde la que el operador de planta ve el estado del proceso y da órdenes: ve el nivel de los tanques, arranca o detiene una línea, reconoce una alarma. Es una ventana al proceso, no el lugar donde se hace seguridad. Un error común de quien viene de TI es tratar la HMI como si fuera el sistema a proteger; en realidad es un cliente que habla con el controlador, y protegerla sin proteger el controlador y la red que los une deja el problema intacto.

Saber que la HMI solo muestra y manda, pero no controla el proceso por sí misma, evita concentrar el esfuerzo en la pantalla y descuidar lo que de verdad decide: el controlador y el camino de red hasta él.

Dos equipos más completan el cuadro. El historiador recoge y guarda las variables del proceso a lo largo del tiempo —cuánta agua se embotelló, qué presión hubo a cada hora— y es la fuente de los informes; suele ser el equipo que la oficina quiere consultar. La estación de ingeniería es desde donde se programa y se cambia la lógica del PLC: quien tiene acceso a ella puede reescribir lo que la planta hace. Son dos papeles muy distintos: uno observa, el otro puede modificar el control, y por eso la estación de ingeniería es un equipo especialmente sensible.

Distinguir quién solo lee de quién puede cambiar la lógica es clave para decidir después qué se protege con más celo y qué se puede exponer con cuidado a la oficina.

El Modelo Purdue ordena la planta en niveles: en el nivel de campo están los sensores y actuadores; encima, los controladores (el PLC); encima, la supervisión (la HMI y el SCADA); encima, los sistemas de operación (el historiador, la estación de ingeniería); y arriba del todo, la red de oficina y la empresa. Entre la planta y la oficina se dibuja una zona intermedia. El valor del modelo es que da un lenguaje común para decir qué nivel debería hablar con cuál: la oficina, que está arriba, no tiene por qué alcanzar directamente al controlador, que está abajo.

Colocar cada elemento en su nivel es el paso previo a segmentar. Cuando más adelante busques la segmentación rota, lo que estarás comprobando es si algún nivel habla con otro con el que no le toca.

Abre la captura del tráfico de Andes Agua que acompaña a esta sala: se ve a cada elemento hablando con los demás. Aísla el equipo al que la pantalla del operador y la supervisión le mandan sus lecturas —el que acciona bombas y válvulas— y lee en su fila el código anotado.