OT/ICS ligero: segmentación de red en fábricas del Caribe

En plantas de manufactura en Puerto Rico — desde procesamiento de alimentos en Arecibo hasta textiles en el área metro — encontramos PLCs y HMIs en la misma VLAN que laptops de contabilidad. CISA alerta regularmente sobre ransomware cruzando IT/OT; un clic en phishing no debería poder escribir registros Modbus, pero sin segmentación es exactamente lo que ocurre.

Segmentación OT/ICS no exige firewall industrial de seis cifras el primer día. Empiece con zonas Purdue simplificadas: Level 3 (IT corporativo) separado de Level 1-2 (control y campo) via firewall con reglas deny-by-default. Solo permita tráfico documentado: historian a SCADA, patch server a HMI en ventana de mantenimiento. NIST SP 800-82 r2 es lectura obligatoria para cualquier gerente de planta con presupuesto de ciberseguridad.

Bruce Schneier ha escrito sobre convergencia IT/OT como amplificación de riesgo: IT quiere visibilidad cloud; OT necesita uptime de 99.9% en línea de embotellado. El compromiso práctico es un DMZ OT con jump hosts auditados, sin browsing general desde consolas de operador, y USB deshabilitado en estaciones de engineering.

Proveedores de automatización locales a menudo piden acceso remoto permanente para soporte. Documente sesiones, use MFA, time-bound access, y grabación de pantalla. Krebs on Security ha documentado incidentes donde credenciales de vendor OT fueron el vector inicial — una contraseña compartida de integrador vale más que exploit zero-day para atacantes oportunistas.

Manufactura caribeña compite con márgenes ajustados; parar línea por malware es pérdida directa. Segmentación bien diseñada cuesta semanas de consultoría, no años de proyecto. Mida éxito: ¿puede un laptop comprometido en recepción alcanzar un PLC? Si sí, aún no ha terminado.