Durante mucho tiempo, la red de la fábrica fue un pequeño mundo aparte. Las máquinas hablaban con sus controladores, y la conexión con la oficina era una única pasarela vigilada con esmero. Ese mundo ya no existe: los datos de las máquinas fluyen hacia dashboards, sistemas ERP y la nube, los proveedores mantienen las instalaciones a distancia y cada mes se añaden sensores nuevos.
Cada nueva conexión es útil, y también una posible puerta de entrada. Este artículo explica por qué el cifrado por sí solo no hace segura una fábrica, qué papel tienen los certificados y por qué rotarlos periódicamente es una de las medidas más eficaces y, a la vez, más descuidadas.
Por qué la seguridad OT es distinta de la seguridad TI
En la oficina, los sistemas se actualizan cada mes y se reinician por la noche. En la producción, a menudo eso no es posible:
- Larga vida útil: Las máquinas y los controladores funcionan durante quince o veinte años, mucho más de lo que cualquier sistema operativo recibe soporte.
- Sin paradas: Las actualizaciones y los reinicios significan detener la producción. Se planifican con meses de antelación, si es que se hacen.
- Protocolos antiguos: Muchos dispositivos se comunican sin cifrar y no pueden comprobar con quién están hablando.
- Redes planas: Una vez dentro, un atacante a menudo puede llegar a cualquier dispositivo, porque la red nunca se dividió en zonas.
Por eso, la seguridad OT no puede depender de que cada dispositivo se proteja a sí mismo. La protección tiene que venir de la red que rodea a los dispositivos.
El cifrado necesita identidad
El cifrado garantiza que nadie pueda leer ni modificar los datos por el camino. Pero solo sirve si además se sabe quién está al otro lado. De lo contrario, un atacante simplemente establece su propia conexión cifrada.
Para eso están los certificados. Un certificado es un documento de identidad digital: demuestra que un dispositivo o servicio es realmente quien dice ser. Con TLS mutuo (mTLS), ambas partes presentan su certificado y solo pasan los dispositivos conocidos y autorizados. OPC UA aplica el mismo principio con sus propios certificados de aplicación.
En resumen: el cifrado protege el contenido; los certificados protegen frente al interlocutor equivocado. Una red de fábrica segura necesita ambas cosas.
El problema infravalorado: certificados que nunca cambian
En muchas plantas, los certificados se emiten una vez y después se olvidan. Eso provoca tres problemas:
- Las identidades robadas siguen siendo válidas: Si se copian un certificado y su clave, el atacante puede utilizarlos mientras el certificado sea válido, a menudo durante años.
- Los certificados compartidos extienden el daño: Si varios dispositivos o plantas utilizan el mismo certificado, un solo dispositivo comprometido abre la puerta a todos.
- La caducidad provoca interrupciones: Cuando caduca un certificado que nadie vigila, las conexiones se cortan de repente, y la producción con ellas.
Por eso, normas de seguridad como la IEC 62443 y, en la UE, la directiva NIS2 exigen que los certificados y las claves se gestionen y renueven periódicamente. Hacerlo a mano para cientos de conexiones es poco realista, así que en la práctica a menudo no se hace.
Cómo es un enfoque viable
En lugar de actualizar cada máquina, se protege el tráfico allí donde entra en la fábrica o pasa de un área a otra:
- Un proxy de cifrado en el perímetro: Un proxy en la fábrica cifra y descifra todo el tráfico que pasa por él. Los dispositivos antiguos siguen funcionando sin cambios.
- Certificados propios para cada tipo de conexión: Los datos de máquina, el mantenimiento remoto y la conexión con el ERP tienen cada uno sus propios certificados, de modo que un problema en uno no afecta a los demás.
- Lista de dispositivos autorizados: Solo pasan los dispositivos permitidos de forma explícita. Todo lo demás se rechaza.
- Rotación automática: Los certificados se renuevan automáticamente en un intervalo definido, sin que nadie tenga que acordarse.
- Sin certificados compartidos: Cada proxy y cada planta tienen sus propios certificados, de modo que un compromiso queda aislado.
Cómo lo lleva a la práctica RALUS CertProxy
Desarrollamos RALUS CertProxy precisamente para este enfoque. Funciona en un servidor de su fábrica o en sus propias instalaciones, y cifra y descifra todo el tráfico que pasa por él. Cada tipo de comunicación utiliza sus propios certificados de un pool gestionado, y solo pasan los dispositivos autorizados.
CertProxy admite todos los tipos de certificado habituales, entre ellos certificados de CA públicas y privadas, certificados autofirmados, certificados OPC UA, certificados de cliente mTLS y certificados de dispositivo IEEE 802.1AR. Los certificados rotan automáticamente en el intervalo que usted defina, para que TI cumpla las normas de rotación sin trabajo manual.
Varios CertProxies trabajan juntos: rotan los certificados de forma aleatoria, sin repeticiones y sin que dos proxies compartan un certificado. Tanto si se ve comprometida la red de TI como una fábrica, CertProxy mantiene la fábrica aislada.
Por dónde empezar
- 1Enumerar las conexiones: ¿Qué sistemas se comunican con la red de la fábrica y qué protocolos utilizan? Para empezar basta con una lista sencilla.
- 2Ordenarlas por riesgo: El mantenimiento remoto y las conexiones a la nube suelen ir primero, seguidos de las conexiones entre plantas.
- 3Proteger primero una conexión: Empiece por la conexión más crítica, compruebe que funciona de forma fiable y continúe paso a paso.
- 4Definir un intervalo de rotación: Acuerde con TI con qué frecuencia deben renovarse los certificados y deje que se haga automáticamente.
- 5Supervisar: Vigile las conexiones y los certificados, para que nada caduque ni cambie sin que nadie se dé cuenta.
Conclusión
Una fábrica conectada necesita algo más que un cortafuegos en el perímetro. El cifrado, unas identidades claras y unos certificados que se renuevan periódicamente marcan la diferencia entre una red que simplemente está cifrada y una que está realmente protegida, y nada de ello tiene por qué suponer más trabajo manual.
¿Quiere saber qué conexiones debería proteger primero? Solicite una demo de CertProxy.