Una manufacturera industrial de Texas Central puso en marcha equipo de producción nuevo de forma segura después de que CMIT Solutions of Austin Central diseñara e implementara una subred a la medida, un proyecto de ingeniería de red de 35 horas que aisló la línea de manufactura de la red corporativa y dio flexibilidad operativa sin meter el riesgo de la tecnología operativa (OT) al resto del negocio.
La manufactura moderna es cada vez más digital. Conforme las líneas de producción suman sensores en red, controladores lógicos programables (PLC), sistemas de supervisión y adquisición de datos (SCADA) y dispositivos del internet industrial de las cosas (IoT), la convergencia entre OT y tecnología de la información (TI) crea oportunidades reales y exposición igual de real. Esta manufacturera quería los beneficios de monitoreo y control del equipo conectado sin entregarle a un atacante un camino del piso de planta a los sistemas corporativos.
Ficha del proyecto
- Cliente: Manufacturera industrial
- Ubicación: Texas Central
- Servicio: Soporte de redes
- Alcance: 35 horas — diseño de subred a la medida, segmentación con firewall, documentación y validación de conectividad
- Resultado: La nueva línea de manufactura en operación a tiempo, con el tráfico de OT y de TI completamente separado
El reto
El equipo industrial habla protocolos y corre sistemas operativos diseñados para la confiabilidad y el desempeño en tiempo real, no para la ciberseguridad. Los PLC, las interfaces hombre-máquina (HMI) y los sensores industriales suelen correr firmware heredado sin soporte de parches, con vulnerabilidades publicadas y sin autenticación significativa.
La nueva línea necesitaba conectividad de red para monitoreo y control, pero darle a ese equipo acceso sin restricciones a la red corporativa habría creado una exposición inaceptable: en la práctica, poner dispositivos imparchables en la misma red que los sistemas financieros, el correo y los archivos compartidos.
La solución
En lugar de tratar la segmentación como una idea de último momento, CMIT Solutions of Austin Central diseñó la arquitectura de la subred antes de que el equipo entrara en operación. Los dispositivos de manufactura quedaron en una subred dedicada con reglas de firewall que gobiernan exactamente qué tráfico puede cruzar entre OT y TI, y el acceso a internet de esos dispositivos quedó controlado y monitoreado en lugar de abierto por defecto.
Después el diseño se comprobó en la práctica. Cada pieza de equipo se probó para la conectividad que de verdad necesita, y la arquitectura resultante quedó documentada con diagramas, para que las futuras adiciones a la línea se conecten a un diseño conocido y no improvisado.
Lo que entregamos
- Subred a la medida diseñada para aislar el equipo de manufactura
- Reglas de firewall configuradas para restringir el tráfico entre las redes de OT y de TI
- Acceso a internet de los dispositivos de manufactura controlado y monitoreado
- Documentación de red y diagramas de arquitectura producidos
- Pruebas y validación de conectividad de todo el equipo
Los resultados
El equipo nuevo de manufactura entró en operación a tiempo, completamente conectado y funcional, sin ceder en seguridad por el camino. Como la segmentación se diseñó por adelantado, el calendario de producción nunca quedó secuestrado por un problema de red descubierto durante la puesta en marcha.
El valor de seguridad se acumula con el tiempo. La segmentación de red es una de las mitigaciones más eficaces contra el ransomware, una amenaza que sigue concentrándose en las manufactureras precisamente porque las caídas no planeadas les cuestan decenas de miles de dólares por hora. Establecer fronteras adecuadas entre OT y TI significa que un incidente de un lado de la línea deja de ser un incidente en todas partes.
Puntos clave
- Los dispositivos del piso de planta rara vez se pueden parchar, así que aíslalos en lugar de confiar en ellos.
- Diseña la segmentación de red antes de poner el equipo en marcha; meterle aislamiento después cuesta más y normalmente cuesta tiempo de producción.
- La segmentación limita el radio de daño, y por eso sigue siendo una de las defensas más fuertes y más baratas contra el ransomware en manufactura.
¿Vas a sumar equipo conectado en tu planta del área de Austin? Escríbele a CMIT Solutions of Austin Central sobre Soporte de redes y segmentación.
