Qué hay conectado de verdad
Identificación pasiva de activos, protocolos y flujos: PLC, HMI, SCADA, historiadores, dispositivos médicos y todo lo que alguien conectó sin registrarlo. Es el entregable que más sorprende al cliente.
Servicio 03
Ciberseguridad industrial: OT, ICS e IoT
En una oficina, un servicio caído es una molestia. En una planta o en un hospital, una autoridad de proceso interrumpida es un riesgo físico. Por eso aquí el método se invierte: la disponibilidad manda sobre la confidencialidad, y lo que en IT es una prueba rutinaria aquí requiere autorización expresa.
Criterio
Por qué un pentester de IT no debería tocar su planta
Un escaneo de red convencional puede dejar fuera de servicio un PLC de veinte años que responde mal a paquetes inesperados. He visto ocurrir. El equipo que audita OT tiene que entender que la herramienta habitual es el problema, no la solución.
- Técnicas pasivas por defecto: captura de tráfico en espejo de puerto y análisis de configuraciones, sin inyectar en el segmento de proceso.
- Las pruebas activas solo se ejecutan con autorización explícita, ventana pactada con planta y responsable de operaciones presente.
- Los equipos de campo con firmware antiguo o sin soporte se documentan, no se prueban, salvo instrucción escrita en contrario.
- El objetivo prioritario es la segmentación IT/OT real: si el dominio corporativo alcanza el nivel 2 de Purdue, el resto es secundario.
Alcance
Alcance típico
El punto de partida casi siempre es el mismo: nadie tiene un inventario fiable de lo que hay conectado al segmento industrial.
Inventario
Arquitectura
Segmentación IT/OT
Verificación de la separación entre red corporativa y red de proceso conforme al modelo Purdue: cortafuegos, zonas desmilitarizadas industriales, accesos remotos de fabricantes y rutas de salto no documentadas.
Amenaza
Modelado con ATT&CK for ICS
Técnicas aplicables a su arquitectura concreta, con el impacto operativo esperado sobre el proceso físico, no sobre la confidencialidad del dato.
Cumplimiento
NIS2 y ENS
Correlación de los hallazgos con las obligaciones aplicables a operadores de servicios esenciales y entidades importantes, con las medidas priorizadas por riesgo real.
Ejecución
Sectores en los que trabajo
El método es el mismo; las restricciones y el vocabulario cambian por completo entre uno y otro.
01
Industria y manufactura
Líneas de producción, control de proceso continuo y por lotes, sistemas de gestión de planta.
02
Sanidad
Dispositivo médico conectado, sistemas de imagen, integración con historia clínica y redes de planta.
03
Energía y utilities
Subestaciones, telecontrol, generación distribuida y sistemas de medida.
04
Agua y ciclo integral
Estaciones de bombeo, telemando de red y potabilizadoras.
05
Edificación e IoT
Control de accesos, climatización, videovigilancia y todo lo que comparte red sin necesitarlo.
FAQ
Preguntas frecuentes
¿Puede auditar sin parar la producción?
Sí, y es el modo de trabajo por defecto. El grueso de la evaluación se realiza con captura pasiva de tráfico, revisión de configuraciones de cortafuegos y conmutadores, y entrevistas con el personal de operaciones. Ninguna de esas actividades toca el segmento de proceso. Las pruebas activas se reservan para paradas programadas o entornos de respaldo.
¿NIS2 me obliga a hacer esto?
La Directiva NIS2 exige a entidades esenciales e importantes adoptar medidas de gestión de riesgos proporcionadas, y menciona expresamente las políticas de evaluación de la eficacia de esas medidas. En la práctica, la forma de acreditar esa evaluación en un entorno industrial es una auditoría técnica documentada. La transposición española concreta las obligaciones y el régimen sancionador, incluida la responsabilidad de los órganos de dirección.
Tenemos los equipos aislados de internet. ¿Sigue siendo necesario?
El aislamiento total casi nunca existe. En la mayoría de las plantas que he evaluado había al menos una vía: el acceso remoto del fabricante para mantenimiento, un portátil de ingeniería que se conecta a ambas redes, una unidad USB de actualización o un enlace de datos hacia el sistema de gestión corporativo. Precisamente verificar esa hipótesis de aislamiento es el objeto del trabajo.
¿Cuál encaja con su caso?
Describa el entorno y el motivo del encargo. Le respondo con la modalidad recomendada y el orden de esfuerzo estimado.