La sustitución de un cortafuegos industrial al final de su vida útil es una decisión que conviene tomar en función del modelo de implementación, la cobertura de protocolos, el método de creación de políticas, las certificaciones y las condiciones de licencia, y no basándose únicamente en la marca. Estos cinco factores determinan si la sustitución permite mantener la arquitectura de red ya existente, protege los dispositivos industriales específicos que están en funcionamiento y se ajusta a los requisitos de cumplimiento normativo y presupuestarios del entorno. El modelo sucesor sugerido por un proveedor es un punto de partida razonable para la investigación, pero no sustituye a la revisión de esta lista de comprobación.
Puntos clave
- El modelo de implementación determina qué parte de la red hay que rediseñar. Un cortafuegos transparente e en línea sin dirección IP conserva el direccionamiento existente; un cortafuegos enrutado lo modifica.
- La compatibilidad con los protocolos debe ajustarse a tu entorno, no a la lista general de un proveedor. Algunos proveedores restringen el acceso a familias específicas de protocolos mediante niveles de licencia independientes y mutuamente excluyentes, por lo que debes confirmar exactamente qué SKU se incluye en el presupuesto.
- La forma en que se crean las políticas es tan importante como lo que bloquea el cortafuegos. Un cortafuegos capaz de analizar el tráfico en tiempo real y elaborar una base de referencia para las políticas mediante el aprendizaje automático evita el error habitual de crear reglas basadas en un diagrama de red obsoleto.
- Las certificaciones varían según el modelo concreto, no solo según el fabricante. Las certificaciones más destacadas de un fabricante, como la norma IEC 61850-3 para subestaciones, no se aplican automáticamente a todos los modelos de hardware de su gama de productos.
- «Cumple con los requisitos» y «cuenta con certificación» son afirmaciones diferentes. La mayoría de los cortafuegos industriales no cuentan con una certificación independiente como dispositivos según normas como la IEC 62443 o la NERC CIP; lo que sí hacen es permitir la segmentación y el registro de datos que exigen dichas normas. Considera cualquier afirmación sobre la certificación de un dispositivo según cualquiera de estas normas como una señal de alerta que conviene verificar directamente.
Empieza por el modelo de implementación, no por la marca
Un cortafuegos industrial se implementa de una de estas dos formas, y la elección determina en qué medida hay que modificar la red existente. Un dispositivo transparente en línea se sitúa en la ruta del tráfico sin tener una dirección IP propia, lo que permite conservar el sistema de direccionamiento y enrutamiento ya existente. Un dispositivo enrutado tiene su propia dirección IP y participa directamente en la capa de red, lo que puede aportar más funcionalidades, pero también implica un trabajo adicional de rediseño.
Ninguno de los dos modelos es mejor en todos los casos. Una implementación transparente minimiza el impacto de la migración, lo cual es fundamental a la hora de sustituir un cortafuegos que lleva años en funcionamiento, como el Tofino Xenon de Belden. Una implementación enrutada puede ofrecer mayor flexibilidad para entornos de nueva construcción, en los que la red se diseña en función del cortafuegos y no al revés.
Adapta la cobertura del protocolo a tu entorno real
La inspección profunda de paquetes para protocolos industriales, como Modbus, DNP3, EtherNet/IP e IEC 61850, es lo que distingue a un cortafuegos industrial de un cortafuegos de red genérico aplicado a una red OT. La cuestión relevante no es cuántos protocolos enumera un proveedor, sino si los protocolos específicos que se ejecutan en el entorno están cubiertos por la referencia del producto que se está presupuestando.
- Solicita la lista de protocolos por SKU, no por familia de productos. Algunos proveedores conceden licencias para familias de protocolos —como un conjunto de uso general frente a uno específico del proveedor, como los protocolos de GE— como opciones independientes y mutuamente excluyentes que se aplican en el firmware.
- Confirma si la inspección se extiende a los túneles cifrados. Si el entorno utiliza IPsec u OpenVPN para el acceso de proveedores o la conectividad entre varias sedes, pregunta específicamente si la inspección de protocolos se aplica dentro de esos túneles o solo al tráfico no cifrado. Pide que te lo confirmen por escrito, en lugar de darlo por sentado a partir de una lista de características.
Evaluar cómo se elaboran y mantienen las políticas de seguridad
La razón más habitual por la que los cortafuegos industriales acaban funcionando en modo de solo supervisión de forma indefinida es que nadie tiene una visión clara y actualizada de cómo es el tráfico legítimo. Hay dos enfoques que resuelven este problema de forma diferente.
- La creación manual de políticas requiere que alguien redacte reglas de cortafuegos basándose en un diagrama de red, que es preciso el día en que se elabora, pero que posteriormente deja de reflejar la realidad.
- Los modos de aprendizaje o de referencia de comportamiento observan el tráfico en tiempo real durante un intervalo definido y elaboran una política a partir de lo que se está ejecutando; a partir de ahí, señalan las desviaciones respecto a esa referencia. Esto acorta el proceso desde la instalación hasta la aplicación efectiva.
Comprueba las certificaciones correspondientes a tu sector y modelo específicos
Las certificaciones se obtienen por modelo de hardware y no se aplican de forma generalizada a toda la gama de productos de un fabricante. Es posible que el modelo de gama más alta de un fabricante cuente con una certificación, como la norma IEC 61850-3 o la IEEE 1613 para entornos de subestaciones y empresas eléctricas, que no tenga un modelo más pequeño o con menos puertos de la misma familia. Comprueba siempre la ficha técnica del modelo concreto que estés barajando.
Sector / Requisitos | Certificación para confirmar | Por qué es importante |
Subestaciones eléctricas | IEC 61850-3, IEEE 1613 | Regula la compatibilidad electromagnética y la tolerancia ambiental de los equipos de subestaciones eléctricas |
Lugares peligrosos o clasificados | C1D2 | Es obligatorio para su instalación en entornos con riesgo de gases combustibles o polvo |
Certificaciones generales de hardware | CE, FCC | Expectativas básicas de fiabilidad para entornos industriales no controlados |
Industrial Ciberseguridad | IEC 62443-4-2 (SL2, SL3) | Verifica de forma independiente las capacidades de seguridad del cortafuegos y el proceso de desarrollo seguro del proveedor, en lugar de basarse en declaraciones propias. |
«Cumple con la normativa» no es lo mismo que «está certificado»
Normativas como la IEC 62443 y la NERC CIP regulan los programas organizativos y la arquitectura de los sistemas, no un único dispositivo de forma aislada, por lo que la mayoría de los cortafuegos industriales no cuentan con certificación independiente bajo ninguna de estas normativas como producto autónomo. Un cortafuegos puede admitir la segmentación, el control de acceso y el registro de auditoría que exigen estas normativas sin que él mismo cuente con la «certificación IEC 62443» o la «certificación NERC CIP». Si un proveedor afirma que el dispositivo en sí cuenta con esa certificación específica, pregunte qué organismo la ha expedido y cuál es su ámbito de aplicación.
Comprender el modelo de licencias y propiedad
Industrial Los cortafuegos se comercializan bajo diversas estructuras de licencia: dispositivos con licencia perpetua (coste único de hardware), renovaciones de suscripción (cuotas periódicas), basadas en funciones (complementos de protocolos o capacidades), basadas en el rendimiento (niveles de ancho de banda), basadas en protocolos (licencias por protocolo) y licencias de gestión centralizada (plataformas de visibilidad multisede). Cada modelo influye de forma diferente en el coste total de propiedad a lo largo de la vida útil del dispositivo. Pasar de una licencia perpetua a una de suscripción, o incorporar licencias de funciones, de rendimiento o de gestión, conlleva obligaciones presupuestarias continuas que conviene comprender claramente durante la evaluación, en lugar de descubrirlas durante la implementación o la renovación.
Plan para la gestión centralizada de múltiples sedes
Una solución de sustitución que requiera iniciar sesión en cada dispositivo por separado no resulta escalable más allá de unas pocas ubicaciones. La gestión centralizada, ya sea alojada en las propias instalaciones o en la nube, debería poder distribuir políticas, recopilar información sobre el estado y facilitar la elaboración de informes para todas las unidades instaladas desde un único lugar.
Solicita una prueba pilotada antes de comprometerte con todo el complejo inmobiliario
Un proyecto piloto de una sola zona, que se ejecute en modo de supervisión antes de su implantación definitiva y con criterios de éxito definidos y acordados de antemano, reduce el riesgo de que un cambio en la arquitectura provoque un tiempo de inactividad no planificado. La sustitución en todo el parque inmobiliario es un tema que se abordará más adelante, no ahora.
Lista de comprobación para la evaluación de la sustitución
- Modelo de implementación: transparente/en línea o enrutado, y cuál de ellos permite conservar tu arquitectura de red actual
- Cobertura del protocolo: confirmada en función de tu entorno real y de la referencia específica objeto de la oferta, no de una lista general de la familia de productos.
- Método de creación de políticas: elaboración manual de reglas o una referencia de aprendizaje/comportamiento
- Certificaciones: verificadas para el modelo concreto en cuestión, no deducidas a partir del producto estrella del fabricante.
- Formulación normativa: «cumple» los requisitos de un marco normativo frente a una afirmación no verificada sobre la certificación de un dispositivo
- Modelo de licencia: dispositivo con licencia perpetua o suscripción, y el coste total de propiedad que implica cada uno de ellos
- Gestión centralizada: distribución de políticas y generación de informes en todas las sedes desde un único lugar
- Alcance de la prueba piloto: una prueba de concepto de una sola zona, en modo de supervisión, con criterios de éxito acordados antes de tomar cualquier decisión que afecte a todo el parque inmobiliario.
Cómo se aplican a esta lista de comprobación los siguientes conceptos: « MetaDefender », «Industrial » y «Firewall »
MetaDefender Industrial Firewall™ es el cortafuegos industrial de OPSWAT para redes OT, diseñado específicamente para la tecnología operativa y los sistemas ciberfísicos, en lugar de ser una adaptación de un producto de TI. En relación con la lista de requisitos anterior: admite tanto la implementación transparente en línea como la implementación enrutada; su «Modo de aprendizaje» elabora políticas de seguridad a partir del tráfico observado, en lugar de requerir un conjunto de reglas manual; está disponible en versiones de hardware de cuatro y ocho puertos, y el modelo de ocho puertos es compatible con las normas IEC 61850-3 e IEEE 1613 para su uso en subestaciones y empresas de suministro eléctrico; y se integra con My OPSWAT™ Central Management para la gestión de políticas y la generación de informes en múltiples emplazamientos. Admite la segmentación de red conforme a los requisitos de las normas IEC 62443 y NERC CIP, en consonancia con la distinción de cumplimiento mencionada anteriormente: se trata de una declaración de compatibilidad, no de una certificación del dispositivo. Además, cuenta con la certificación C1D2 para entornos hostiles.
Realiza tu propia evaluación de sustitución basándote en esta lista de comprobación y, a continuación, comprueba cómo se ajustan a ella MetaDefender ,Industrial yFirewall en tu entorno específico.
Preguntas frecuentes
¿Cuál es la diferencia entre una implementación de cortafuegos industrial «transparente» y una «routed»?
Un cortafuegos transparente en línea es, en esencia, un puente de capa 2 que carece de dirección IP y se sitúa directamente en la ruta del tráfico, lo que permite conservar el direccionamiento de red existente. Un cortafuegos enrutado funciona como un dispositivo de capa 3. Cuenta con su propia dirección IP y participa en la capa de red, lo que puede aportar mayores capacidades, pero requiere un mayor rediseño de la red para su implementación.
¿Es necesario que un cortafuegos industrial cuente con la certificación IEC 62443 o NERC CIP?
La mayoría de los cortafuegos industriales no cuentan con una certificación independiente bajo ninguno de estos marcos como dispositivos autónomos, ya que ambos marcos regulan los programas organizativos y la arquitectura de los sistemas, más que un producto concreto. Busca un cortafuegos que cumpla con los requisitos de segmentación y auditoría que exigen dichos marcos, y considera cualquier afirmación sobre la certificación de un dispositivo que no esté debidamente justificada como algo que debes verificar directamente.
¿Por qué es importante cómo crea su política de seguridad un cortafuegos industrial?
Un cortafuegos que requiere que las reglas se escriban manualmente a partir de un diagrama de red solo es tan preciso como dicho diagrama, que suele quedar desactualizado. Un cortafuegos capaz de observar el tráfico en tiempo real y elaborar una política de referencia acorta el proceso desde la instalación hasta la aplicación efectiva y refleja lo que realmente está en funcionamiento.
¿Por qué varían las certificaciones entre los distintos modelos de un mismo fabricante?
Las certificaciones, como la IEC 61850-3 o la IEEE 1613, se obtienen y publican para cada modelo de hardware concreto, y no se aplican de forma generalizada a toda una familia de productos. Es posible que el modelo de gama más alta de un fabricante cuente con una certificación de la que no disponga un modelo más pequeño o con menos puertos de la misma gama, por lo que es necesario comprobar la ficha técnica del modelo específico que se esté considerando.
¿Cuánto tiempo debe durar una implantación piloto antes de proceder a la implantación a gran escala?
El tiempo suficiente para observar una muestra representativa de las operaciones normales; se ejecutará en modo de supervisión con criterios de éxito definidos y acordados de antemano, y se limitará a una sola zona. El objetivo es garantizar la fiabilidad de la línea de base de la política antes de su aplicación, no cumplir un número fijo de días.
¿Influye el modelo de licencia en el coste total de propiedad?
Sí. Un dispositivo de uso indefinido supone un gasto único en hardware con renovaciones opcionales del servicio de asistencia, mientras que el modelo de suscripción incluye las licencias en los pagos periódicos. Ninguna de las dos opciones es intrínsecamente más barata; la comparación adecuada depende de la vida útil prevista del dispositivo y de cómo la organización distribuya su presupuesto entre gastos de capital y gastos recurrentes.
