Acceso remoto seguro para redes industriales

El acceso remoto a redes industriales es un tema pendiente en la gran mayoría de las plantas. Con frecuencia me encuentro con soluciones improvisadas, herramientas comerciales de acceso remoto y en el caso de los más aventureros, direcciones IP públicas y servicios RDP expuestos directamente a Internet.

El gran problema de entregar esta responsabilidad al personal de mantenimiento o al control vendor es que sus prioridades operativas no necesariamente se alinean con la confidencialidad, la integridad y la seguridad de la conexión o de los datos en tránsito.

Analicemos las alternativas:

La VPN tradicional para acceso remoto

Elevando un poco la vara y descartando de entrada la idea de publicar accesos por IP públicas o RDP a Internet, la opción más a mano suele ser una VPN de acceso remoto protegida con usuario, contraseña y MFA (siempre con MFA).

Esta alternativa podría ser aceptable si realizamos un perfilamiento estricto de cada tipo de usuario para entregarle únicamente los accesos indispensables (por ejemplo, si se requiere mantenimiento al sistema SCADA, el acceso debe limitarse exclusivamente a la IP de dicho SCADA). Sin embargo, mantener este perfilamiento y asociar adecuadamente los niveles de autenticación y autorización se convierte rápidamente en una tarea compleja y muy poco escalable.

Principales riesgos de las VPN en redes OT:

• Falta de visibilidad sobre el estado del dispositivo: La VPN valida la identidad de quien se conecta, pero no la salud del equipo. Si la computadora remota está infectada antes o durante la sesión, el túnel VPN se convierte en la autopista perfecta para transportar tráfico malicioso hacia nuestra red industrial.
• Falta de trazabilidad (Accounting): No existe un registro detallado o evidencia clara de las acciones ejecutadas durante la conexión.
• Gestión insegura de credenciales: Obliga al usuario remoto o tercero a conocer las credenciales del activo (o a ingresarlas manualmente). ¿Debería un tercero conocer las credenciales del sistema más sensible de la planta?

Herramientas comerciales de control y escritorio remoto

Soluciones como TeamViewer, AnyDesk o LogMeIn representan un problema muy serio contra los principios de diseño seguro y la estrategia de Defensa en Profundidad promovida por estándares como ISA/IEC 62443.

¿Por qué son un riesgo en entornos OT?

• Bypass de controles perimetrales: Inician conexiones salientes desde dentro de la red industrial hacia servidores intermediarios en Internet, saltándose los controles de seguridad por donde debería fluir el tráfico legítimo.
• Autenticación débil: Suelen depender de códigos temporales o contraseñas predefinidas para dar acceso a la red de control.
• Superficie de ataque amplia: Al tomar control de un host interno, resulta muy complejo restringir el acceso solo a aplicaciones o puertos específicos, entregando un alcance excesivo al operador remoto.
• Riesgo de cadena de suministro: Nos convierten en dependientes de la seguridad de un tercero. Si la plataforma comercial sufre una brecha, los atacantes pueden pivotar a través de ella para alcanzar nuestra red.
• Cero gobernanza y auditoría: Carecen de flujos de aprobación temporal, permisos condicionales y, lo más crítico, de trazabilidad forense para verificar las acciones ejecutadas.

La alternativa segura: PAM + ZTNA para entornos industriales

Frente a estos escenarios, la alternativa recomendada pasa por soluciones de Acceso Remoto Seguro basadas en arquitecturas Zero Trust (ZTNA) y Gestión de Accesos Privilegiados (PAM) diseñadas específicamente para entornos industriales, alineadas con normas como ISA/IEC 62443 o NERC CIP.

Las plataformas PAM/ZTNA para entornos OT ofrecen ventajas clave:

• Arquitectura alineada al modelo Purdue: Se basan en un Jump Host ubicado en la IDMZ (Nivel 3.5), respetando las políticas de segmentación y aislamiento propias de redes industriales.
• Acceso granular por aplicación: El perfilamiento se realiza por usuario, grupos o etiquetas. El endpoint remoto no accede a la red interna; se conecta al PAM/ZTNA y este solo le expone la aplicación, rol o protocolo autorizado.
• Bóveda segura de credenciales: El PAM gestiona e inyecta las credenciales del activo final de forma transparente. De esta manera, el usuario remoto jamás conoce las credenciales del sistema al que accede.
• Auditoría y trazabilidad completa: Cuentan con capacidades de grabación de sesión en video, registro de comandos (keylogging) y generación de logs detallados para análisis forense.
• Gobernanza y control de accesos: Permiten parametrizar flujos de aprobación, jerarquías de autorización y ventanas de tiempo predefinidas para los mantenimientos.
• Integración de identidad: Se integran con soluciones de autenticación de doble factor (MFA), IAM y Single Sign-On (SSO).

En resumen, la combinación de PAM y ZTNA resuelve de manera centralizada, escalable y segura los mayores retos del acceso remoto para ambientes industriales, reforzando nuestras arquitecturas de segmentación y microsegmentación para proteger la continuidad operativa en OT.