Acceso remoto de proveedores y su control

Un proveedor necesita llegar a un equipo de planta, pero no necesita llegar a toda la planta, ni siempre. Cuatro condiciones lo resumen: entra por un camino único (el servidor de salto, no una conexión directa), con cuenta nominal y segundo factor, bajo pedido y con ticket (el acceso se abre para una tarea y se cierra al terminar) y con la sesión grabada. La serie IEC 62443 trata a los proveedores de servicio como parte de la seguridad de la planta, no como un tercero aparte.

La ficha de acuerdos dice cómo debería entrar cada proveedor. Compararla con lo que el acuerdo permite en la práctica es la primera revisión: ¿quién entra sin segundo factor? Una contraseña robada o filtrada de un proveedor es una vía frecuente hacia la planta del cliente, porque los proveedores atienden a muchos clientes y su cuenta es un objetivo atractivo.

Filtra la ficha por la columna del segundo factor.

Cada sesión debería tener un ticket que diga quién la pidió, qué se iba a hacer y a qué equipo. El registro de sesiones lo permite comprobar: una sesión sin ticket no es necesariamente maliciosa, pero es un acceso que nadie pidió, y a una hora poco habitual. Se investiga como un incidente hasta saber quién la abrió y por qué.

Busca en el registro la sesión que ningún ticket respalda.

El registro guarda la hora de inicio y de fin de cada sesión, en UTC. Sumar la duración de las sesiones de un proveedor permite dos cosas: comparar con lo que pidió en sus tickets, y detectar a quien se queda más tiempo del acordado. Aquí interesa un proveedor que sí cumple, con dos sesiones en la semana.

Calcula los minutos totales de las sesiones del proveedor PRV-02.

La ficha muestra un proveedor con VPN directa, cuenta compartida y disponibilidad permanente. No se corta de golpe, porque es quien mantiene una línea de producción; tampoco se deja igual. Lo razonable es pasarlo al mismo camino que los demás —salto, segundo factor, cuenta nominal, acceso bajo pedido— con una fecha y un responsable, y mientras tanto restringir su VPN a los equipos que mantiene.