Ciberseguridad para controladores de «cero confianza»: proteger las redes OT industriales

El modelo «zero trust» aplicado a las redes OT industriales consiste en no confiar en ningún acceso por defecto, ni siquiera cuando provenga de un técnico, un proveedor de servicios, un ordenador interno o una red ya conectada a la planta. Cada conexión a un controlador lógico, un sistema SCADA, una interfaz hombre-máquina (IHM) o una pasarela industrial debe estar autenticada, autorizada, limitada, registrada y ser revocable. En entornos de Siemens, Schneider, Rockwell o de múltiples fabricantes, este enfoque reduce la exposición de los controladores lógicos sin obstaculizar las necesidades de mantenimiento y supervisión.

El problema

El modelo de seguridad tradicional suele basarse en un perímetro: un cortafuegos protege la entrada y, a continuación, los equipos situados en el interior de la red se consideran relativamente fiables. En las redes OT industriales, esta lógica es frágil. Los controladores lógicos no siempre pueden actualizarse rápidamente, algunos protocolos industriales no incorporan una autenticación fuerte nativa, los puestos de ingeniería son críticos y el tradicional «air gap» suele haber desaparecido con la supervisión remota, el mantenimiento a distancia, el IIoT y los intercambios con la nube.

Los equipos sobre el terreno conocen los riesgos más frecuentes.

• Una VPN genérica compartida puede exponer en exceso la red OT si se ve comprometida una cuenta, un equipo o un archivo de configuración.

• Los protocolos industriales como Modbus/TCP, EtherNet/IP o algunas aplicaciones de PROFINET pueden transmitir comandos o datos sin un cifrado de aplicación suficiente, dependiendo de las configuraciones.

• Los accesos de los proveedores a veces permanecen abiertos de forma permanente, sin un periodo de mantenimiento, sin restricciones concretas y sin una revisión periódica.

• Las redes OT planas permiten que equipos de baja criticidad se comuniquen con controladores de producción o servidores SCADA sensibles.

• Los autómatas y las interfaces hombre-máquina (IHM) antiguos pueden depender de versiones de software fijas, lo que obliga a compensarlo mediante la red, la segmentación y la supervisión.

• Los registros de acceso están incompletos: resulta difícil saber qué usuario se ha conectado, cuándo, desde dónde y a qué equipo.

• En algunos equipos industriales siguen existiendo contraseñas predeterminadas o compartidas, sobre todo cuando no se controlan adecuadamente el inventario y los procedimientos de cambio.

• Los datos de producción, las recetas, los parámetros de proceso y el estado de las máquinas pueden circular entre zonas sin un control adecuado.

• Los requisitos de la norma NIS2 y los principios de la norma IEC 62443 refuerzan la necesidad de documentar, limitar, registrar y auditar los accesos a los sistemas industriales.

El modelo «zero trust» no consiste en bloquear la OT. Consiste en eliminar los accesos implícitos y sustituirlos por derechos explícitos, contextualizados y verificables.

¿Por qué el modelo «zero trust» es adecuado para las redes OT?

En el ámbito de las tecnologías de la información (TI), el modelo «zero trust» suele asociarse con la identidad del usuario, el puesto de trabajo y las aplicaciones SaaS. En el ámbito de la tecnología operativa (TO), debe adaptarse a las limitaciones industriales: disponibilidad, seguridad, ciclos largos, protocolos históricos, equipos difíciles de actualizar y intervenciones de proveedores externos.

La idea central sigue siendo la misma: nunca dar por sentado que un usuario o un equipo es fiable solo por el hecho de estar «en la red correcta».

Principio «zero trust»	Aplicación concreta en OT	Ejemplo
Verificar explícitamente	Autenticar cada acceso remoto	Cuenta nominativa y MFA para un técnico
Privilegio mínimo	Limitar a los equipos necesarios	Acceso a una CPU de Siemens, no a toda la VLAN
Segmentación	Aislar las zonas y los conductos	Línea 1 separada de la línea 2
Supervisión continua	Registrar y alertar	Conexión del proveedor fuera del horario establecido
Revocación rápida	Retirar un derecho de inmediato	Desactivación de un certificado comprometido
Resiliencia	Mantener el funcionamiento local	El controlador sigue siendo controlable in situ

Este enfoque resulta especialmente útil cuando hay varios actores que intervienen en los mismos sistemas: equipos internos de mantenimiento, especialistas en automatización, fabricantes de maquinaria, integradores, proveedores de sistemas SCADA, operadores de telecomunicaciones y subcontratistas.

Arquitectura «zero trust» para controladores lógicos programables y SCADA

Una arquitectura OT de «zero trust» se basa en zonas, canales y un punto de control entre los usuarios remotos y los equipos industriales. La pasarela no debe ser un simple túnel transparente: debe aplicar normas de acceso, registrar las sesiones y permitir una revocación rápida.

La red OT conserva sus funciones locales. Los autómatas, las interfaces hombre-máquina (IHM) y el sistema SCADA siguen funcionando in situ, pero los accesos externos se filtran, se registran y se limitan a una necesidad concreta.

Nuestro enfoque

Eziwan aplica un enfoque «zero trust» para las redes OT combinando identidad, túneles seguros, reglas por dispositivo, segmentación, ventanas temporales, supervisión y registros de auditoría. El objetivo es sustituir los accesos permanentes y compartidos por accesos nominales, limitados, observables y revocables.

• Identificación por acceso: cada técnico o proveedor cuenta con sus propias credenciales, certificados o derechos de acceso, sin necesidad de compartir una cuenta VPN.

• Acceso con el mínimo privilegio: cada usuario solo tiene acceso a los equipos necesarios para desempeñar sus funciones.

• Plazos: los accesos de los proveedores pueden caducar automáticamente una vez finalizado el periodo de mantenimiento autorizado.

• Microsegmentación de la red: las sedes, líneas o zonas OT están aisladas por defecto, con reglas explícitas entre perímetros.

• Registros de auditoría en tiempo real: se registran las conexiones, los accesos denegados, la duración de las sesiones, los recursos a los que se ha accedido y los incidentes de seguridad.

• Detección de anomalías: alertas sobre conexiones fuera del horario establecido, intentos no autorizados o comportamientos inusuales.

• Aislamiento rápido: se puede aislar a un usuario, una regla o un equipo sin necesidad de desplazarse al terreno, siempre que la arquitectura lo permita.

• Gestión de contraseñas de tecnología operativa (OT): inventario de equipos sensibles, identificación de puntos débiles en el acceso y flujo de trabajo para una actualización controlada.

• Cifrado de flujos remotos: los protocolos OT no cifrados pueden encapsularse en un túnel seguro entre el usuario autorizado y el punto de acceso industrial.

• Procedimientos de respuesta ante incidentes: modelos de contención, revocación, registro y recuperación para reducir la improvisación en situaciones de crisis.

Este enfoque se integra con una pasarela Eziwan, la supervisión a través de la nube Eziwan y las arquitecturas de conectividad industrial.

Características principales

VPN personalizada por usuario

Cada técnico y proveedor debe disponer de su propio acceso. Un certificado, una configuración o una cuenta a nombre del usuario permiten saber quién se conecta y revocar el acceso a un usuario sin que ello afecte al resto.

La ventaja es inmediata: si se produce una filtración en un acceso, este se puede desactivar de forma individual. El resto de técnicos conservan sus derechos y la investigación puede basarse en una identidad clara.

Control de acceso basado en roles para la OT

El RBAC, o control de acceso basado en roles, debe adaptarse a las realidades del sector. Un operador, un técnico de automatización interno, un integrador de Siemens, un proveedor de Schneider o un técnico de soporte de Rockwell no necesitan el mismo ámbito de acceso.

Ejemplos de posibles funciones:

• Operador: consulta de informes o acceso a una interfaz limitada.

• Técnico de mantenimiento: diagnóstico y supervisión de una zona.

• Técnico en automatización: acceso a los controladores lógicos programables y a las herramientas de ingeniería autorizadas.

• Contratista constructor: acceso temporal a la maquinaria bajo su responsabilidad.

• Administrador de OT: gestión de normas, usuarios y auditorías.

El rol no debe abrir toda una red por comodidad. Debe describir una necesidad real: emplazamiento, zona, equipamiento, protocolo, duración y nivel de intervención.

Ventanas de mantenimiento temporales

Los accesos permanentes son uno de los puntos débiles de las redes OT. Una ventana temporal permite autorizar el acceso a un proveedor durante cuatro horas, un día o un periodo planificado, y luego cerrar automáticamente dicho acceso.

Este mecanismo reduce los olvidos a la hora de revocar el acceso. Además, ofrece una prueba clara: la conexión estaba autorizada en un intervalo de tiempo concreto, para una intervención específica.

Microsegmentación de la red OT

La microsegmentación consiste en dividir la red en áreas más pequeñas y más fáciles de controlar. Limita la propagación de un incidente y reduce las rutas innecesarias hacia los equipos críticos.

El técnico de la sede A no debe poder acceder a la sede B simplemente por estar conectado al mismo concentrador VPN. La segmentación debe aplicarse en la red, no solo en una aplicación.

Registros de auditoría para el cumplimiento de las normas NIS2 e IEC 62443

Los registros son imprescindibles para demostrar el control de los accesos. Se utilizan para la gestión, la auditoría, el análisis de incidencias y el cumplimiento normativo interno.

Un registro útil debe contener, como mínimo:

• Identidad del usuario.

• Organización o función relacionada.

• Hora de inicio y fin de la sesión.

• Dirección IP de origen y destino OT.

• Equipo o zona afectada.

• Se ha aplicado la norma de acceso.

• Intentos rechazados.

• Modificación de derechos o revocación.

• Incidencias inusuales en la conexión.

Hay que ser preciso en cuanto al alcance: una pasarela de red puede registrar las conexiones, los flujos y las reglas aplicadas. La trazabilidad detallada de las modificaciones internas de un controlador lógico programable (PLC) depende también de las herramientas de ingeniería, de los registros del equipo y de los procedimientos de cambio.

Alertas en tiempo real sobre anomalías

El modelo «zero trust» no es solo un control de acceso. Debe generar alertas cuando algo se desvía del comportamiento esperado.

Ejemplos de alertas relevantes:

• Conexión fuera del horario establecido.

• Intento de acceso a un autómata sin autorización.

• Fallo repetido en la autenticación.

• Conexión desde una fuente inusual.

• Volumen de tráfico anómalo hacia una zona OT.

• Uso de una cuenta de proveedor fuera de una intervención programada.

• Cambio de una regla fundamental.

Estas alertas pueden enviarse por correo electrónico, webhook, sistema de supervisión, SIEM o herramienta de gestión de incidencias, según la organización.

Aislamiento de emergencia

Cuando se detecta un comportamiento sospechoso, el equipo debe poder actuar con rapidez. El aislamiento de emergencia puede consistir en desactivar una cuenta, revocar un certificado, desactivar una regla de acceso, aislar una pasarela o bloquear un flujo hacia una zona determinada.

El objetivo no es paralizar la fábrica ante la primera duda. Se trata de contar con medidas graduales, documentadas y reversibles.

Integración de SIEM y SOAR

Los eventos de Eziwan pueden enviarse a un SIEM o a un sistema de supervisión de seguridad para correlacionarlos con otras señales: directorio, EDR, cortafuegos, registros de Windows, eventos SCADA, alertas de red o tickets de intervención.

Esta integración ayuda al SOC a distinguir entre una intervención normal y un comportamiento sospechoso. También permite activar los guiones de respuesta (playbooks) de SOAR cuando la organización los utiliza: enriquecimiento de alertas, notificación, apertura de tickets, revocación de accesos o solicitud de validación.

Ejemplo de política de acceso «zero trust» para la tecnología operativa (OT)

Una política de «zero trust» debe ser comprensible para los equipos de OT y TI. Debe evitar las reglas implícitas y describir claramente los derechos.

profils:
  automaticien_interne:
    authentification:
      mfa: obligatoire
      compte: nominatif
    ressources:
      - site: usine_nord
        zone: ligne_1
        equipements:
          - automate_s7_1500
          - ihm_ligne_1
        protocoles:
          - tia_portal
          - https
    horaires:
      autorise: heures_ouvrées
    journalisation: obligatoire

  prestataire_machine:
    authentification:
      mfa: obligatoire
      certificat: individuel
    ressources:
      - site: usine_nord
        zone: cellule_robotisee
        equipements:
          - plc_compactlogix
          - ihm_panelview
    fenetre_maintenance:
      debut: "2026-06-25T08:00:00+02:00"
      fin: "2026-06-25T12:00:00+02:00"
    journalisation: obligatoire
    expiration: automatique

Esta formalización evita que los permisos sean demasiado amplios. Además, facilita la auditoría, ya que cada derecho está vinculado a una justificación operativa.

Protocolos industriales: límites y medidas compensatorias

El modelo «zero trust» para la tecnología operativa (OT) debe tener en cuenta los protocolos que se utilizan realmente. Algunos protocolos industriales se han diseñado para redes cerradas, con pocos o ningún mecanismo nativo de autenticación y cifrado. Otros cuentan con variantes o configuraciones más seguras, pero estas no siempre están disponibles en los equipos existentes.

Protocolo o práctica	Riesgo habitual	Medida correctiva
Modbus/TCP	Posibilidad de comandos si se autoriza el acceso a la red	Filtrado por IP, túnel cifrado, segmentación
EtherNet/IP	Detección y acceso amplios según la topología	Rutas explícitas, reglas por equipo
PROFINET	Sensible a la topología y a los flujos locales	Aislamiento de zonas, acceso controlado para ingeniería
OPC UA	Seguridad dependiente de certificados y políticas	Certificados, cifrado, gestión de cuentas
Interfaces web HMI	Contraseñas débiles o antiguas	Autenticación multifactorial (MFA) previa, filtrado, cambio controlado
RDP o VNC	Objetivo frecuente si está expuesto	Sin exposición a Internet, acceso a través de una pasarela

Cuando no es posible aplicar medidas de seguridad directas a un controlador, hay que reforzar la seguridad a su alrededor: segmentación, filtrado, identidad, supervisión, inventario y procedimientos de cambio.

«Zero trust», NIS2 e IEC 62443

NIS2 e IEC 62443 no son sinónimos de «zero trust», pero sus requisitos coinciden en varios aspectos: gestión de riesgos, control de accesos, segmentación, registro de eventos, gestión de incidentes, continuidad y gobernanza.

Una arquitectura «zero trust» para la tecnología operativa (OT) puede contribuir a la consecución de estos objetivos.

Requisito	Implementación de un enfoque «zero trust» para OT
Gestión de accesos	Cuentas nominativas, autenticación multifactorial (MFA), revocación
Privilegio mínimo	Derechos limitados por equipo y duración
Segmentación	Zonas OT aisladas, canales controlados
Trazabilidad	Registros de conexión, denegaciones y cambios
Gestión de proveedores	Acceso temporal y auditable para proveedores
Respuesta ante incidentes	Aislamiento rápido, pruebas y procedimientos
Continuidad	Acceso controlado sin exposición directa

El cumplimiento normativo no puede declararse únicamente mediante una herramienta. Depende de la arquitectura global, los procedimientos, las pruebas de funcionamiento y la gobernanza. Eziwan aporta los elementos técnicos necesarios para hacer realidad estos requisitos.

Ciclo de una conexión «zero trust»

Una conexión «zero trust» a un equipo de tecnología operativa (OT) sigue una secuencia clara: solicitud, autenticación, verificación del contexto, autorización, registro, acceso limitado, supervisión y cierre.

Esta secuencia hace que el acceso sea comprensible y verificable. Evita el modelo en el que una VPN abierta da acceso a toda una red sin contexto.

Gestión de contraseñas OT

Las contraseñas predeterminadas, compartidas o que nunca se renuevan siguen siendo un problema habitual en los entornos industriales. No obstante, el cambio debe planificarse con cautela: algunos equipos son antiguos, algunas cuentas son utilizadas por aplicaciones, y un cambio que no se haya probado puede provocar una interrupción.

Un enfoque realista incluye:

• Inventario de equipos con autenticación local.

• Identificación de cuentas predeterminadas o compartidas.

• Clasificación por criticidad.

• Prueba de cambio en un equipo no crítico o durante una ventana de mantenimiento.

• Documentación de las dependencias de las aplicaciones.

• Almacenamiento seguro de información confidencial.

• Eliminación de cuentas innecesarias.

• Revisión periódica de los accesos de los proveedores.

El modelo «zero trust» reduce la dependencia de las contraseñas locales al establecer un control estricto en una fase previa, pero no exime de gestionar las cuentas con seguridad débil en los propios dispositivos.

Respuesta a una incidencia de OT

En caso de sospecha de una intrusión, los equipos deben saber qué hacer antes de que se produzca la crisis. El plan de respuesta ante incidentes de TI debe ser sencillo, operativo y adaptado a las limitaciones de producción.

Las primeras medidas deben garantizar la seguridad de las personas y la continuidad a nivel local. En la OT, aislar un equipo no siempre significa detenerlo. Hay que distinguir entre la desconexión de un acceso remoto, el aislamiento de la red, el cambio al modo local y la parada de la producción.

Buenas prácticas de implementación

Un proyecto de «zero trust» para la infraestructura operativa (OT) debe ser gradual. Es preferible empezar por los accesos más expuestos y, a continuación, ampliar la segmentación y las reglas.

• Realizar un mapa de las instalaciones, zonas, controladores lógicos programables (PLC), interfaces hombre-máquina (IHM), sistemas SCADA, puestos de ingeniería y accesos existentes.

• Identificar a los proveedores y constructores que disponen de acceso remoto.

• Eliminar las cuentas compartidas lo antes posible.

• Establecer cuentas nominativas y un sistema de autenticación fuerte.

• Definir las zonas OT y los conductos autorizados.

• Limitar las normas en función del equipamiento, el protocolo y la duración.

• Registrar los accesos y las denegaciones.

• Probar las herramientas profesionales reales: TIA Portal, Control Expert, Studio 5000, OPC UA, interfaces web.

• Configurar alertas que permitan actuar.

• Documentar los procedimientos de revocación y de emergencia.

• Revisar los derechos periódicamente.

Esta estrategia permite mejorar rápidamente la seguridad sin imponer una transformación radical de la red industrial.

Errores frecuentes que hay que evitar

Confundir VPN con «zero trust»

Una VPN cifra un túnel, pero no garantiza ningún privilegio. Aunque la VPN permita el acceso a toda la red OT, no resuelve el problema de fondo. El modelo «zero trust» impone normas precisas por usuario, equipo, protocolo y contexto.

Segmentar únicamente sobre el papel

No basta con un esquema de red. La segmentación debe aplicarse mediante normas técnicas, someterse a pruebas, documentarse y supervisarse. Es necesario comprobar que ningún usuario no autorizado pueda acceder a una zona restringida.

Olvidarse de los proveedores

Los proveedores suelen disponer de accesos confidenciales, que en ocasiones se mantienen durante años. Deben integrarse en el mismo modelo que los equipos internos: cuenta personal, autenticación multifactorial (MFA), ventana temporal, ámbito limitado y registros.

Buscar la perfección antes de actuar

La implementación completa del modelo «zero trust» puede llevar tiempo. Es mejor empezar por eliminar los accesos compartidos, cerrar los accesos permanentes innecesarios y registrar las conexiones críticas, que retrasar cualquier medida a la espera de una arquitectura ideal.

Descuidar las pruebas de negocio

Una regla demasiado estricta puede bloquear una herramienta de ingeniería o un sistema de supervisión. Cada regla debe probarse con aplicaciones reales, en un entorno controlado y con los equipos implicados.

Lista de comprobación de madurez del modelo «zero trust» en OT

Área	Pregunta	Prioridad
Inventario	¿Se han registrado los controladores lógicos programables, las interfaces hombre-máquina, los sistemas SCADA y los accesos remotos?	Alta
Identidad	¿Dispone cada usuario de una cuenta a su nombre?	Alta
MFA	¿Está activada la autenticación fuerte para el acceso remoto?	Alta
Privilegio mínimo	¿Están los derechos limitados a los equipos necesarios?	Alta
Proveedores	¿Caducan automáticamente los accesos externos?	Alta
Segmentación	¿Están aisladas por defecto las zonas OT?	Alta
Registros	¿Se registran las conexiones y los rechazos?	Alta
Alertas	¿Generan las anomalías notificaciones aprovechables?	Media
Revocación	¿Se puede bloquear un acceso rápidamente?	Alta
Incidente	¿Existe un procedimiento de contención de la zona OT?	Alta
Auditoría	¿Se pueden exportar las pruebas para su verificación?	Media

Esta lista de comprobación ofrece un punto de partida práctico para evaluar la situación de una instalación y establecer las prioridades de actuación.

Cómo ayuda Eziwan a proteger los controladores industriales

Eziwan proporciona un punto de control entre los usuarios remotos y las redes OT. La solución ayuda a sustituir los accesos implícitos por accesos explícitos, controlados y rastreables.

Pregunta de OT	Respuesta de Eziwan	Beneficio
Acceso remoto seguro	Túneles cifrados y cuentas nominativas	Menos accesos compartidos
Privilegios mínimos	Reglas por equipo o zona	Reducción de la superficie de ataque
Proveedores	Ventanas temporales y revocación	Fin de los accesos permanentes olvidados
Segmentación	Puerta de enlace entre zonas y conductos	Aislamiento de los perímetros críticos
Auditoría	Registros de sesión y eventos	Pruebas para investigaciones y cumplimiento normativo
Incidentes	Desactivación rápida de accesos	Confinamiento más sencillo
Supervisión	Alertas e integración SIEM	Detección más rápida
Continuidad	Arquitectura controlada	Mantenimiento remoto sin exposición directa

Este enfoque permite a las empresas industriales reforzar la seguridad de los controladores lógicos programables, los sistemas SCADA y los equipos de tecnología operativa sin renunciar al mantenimiento a distancia.

Conclusión

La ciberseguridad «zero trust» de los controladores lógicos programables (PLC) no es un eslogan: es un método concreto para limitar los accesos, reducir los privilegios, segmentar las redes, rastrear las conexiones y reaccionar más rápidamente en caso de incidente. En las redes OT, donde los equipos no siempre pueden actualizarse rápidamente y donde la disponibilidad sigue siendo prioritaria, este enfoque ofrece una protección realista y progresiva.

Eziwan ayuda a implementar este modelo mediante accesos nominativos, túneles seguros, reglas por equipo, ventanas de mantenimiento, registros de auditoría, alertas y aislamiento rápido. Para las empresas industriales sujetas a los requisitos de NIS2, la norma IEC 62443 o a restricciones internas de ciberseguridad, se trata de una forma pragmática de transformar los principios de «zero trust» en controles operativos sobre el terreno.

Para profundizar en el tema

• Ciberseguridad industrial — Fundamentos de la seguridad OT y buenas prácticas sobre el terreno
• VPN clásica frente a acceso remoto industrial — Por qué el modelo «zero trust» supera a la VPN tradicional en entornos OT
• Acceso remoto industrial — Implementa un acceso remoto sin exponer puertos públicos
• NIS2 para la industria — Adapta tu estrategia «zero trust» a los requisitos de la NIS2
• Ciberseguridad del acceso remoto a redes OT — Proteja específicamente los accesos remotos a sus redes OT