«Zero Trust» para la tecnología operativa: lo que exige la nueva guía de la CISA a tu arquitectura de seguridad

El modelo «Zero Trust» para la tecnología operativa (OT) es una arquitectura de seguridad que elimina la confianza implícita en las redes industriales, exigiendo que cada usuario, dispositivo y transferencia de datos se verifique continuamente en función de la identidad, el contexto y el riesgo antes de conceder acceso a cualquier sistema operativo o proceso físico. A diferencia de la TI, el modelo «Zero Trust» para la OT debe funcionar sin interrumpir las operaciones continuas, los sistemas de seguridad ni los equipos heredados que no pueden ejecutar agentes de seguridad modernos.

Cinco organismos del Gobierno de los Estados Unidos —la CISA (Agencia de Ciberseguridad y Seguridad de las Infraestructuras), el Departamento de Defensa, el Departamento de Energía, el FBI y el Departamento de Estado— han publicado la declaración más autorizada hasta la fecha sobre ciberseguridad industrial: «Adaptación de los principios de Zero Trust a la tecnología operativa». El mensaje es inequívoco. El modelo «Zero Trust» ya no es un marco reservado a los entornos de TI. Ahora es la postura de seguridad esperada para todas las organizaciones que operan sistemas de tecnología operativa (OT), desde redes eléctricas hasta instalaciones de tratamiento de aguas o instalaciones gubernamentales.

Si eres un responsable de seguridad de la tecnología operativa (OT) y estás leyendo esto, la cuestión no es si el modelo «Zero Trust» es el camino a seguir. La cuestión es cómo salvar la brecha entre los requisitos de cumplimiento y auditoría impuestos por el gobierno y una instalación que cuenta con equipos con décadas de antigüedad, un equipo de personal al límite de sus capacidades y una junta directiva que te pregunta qué estás haciendo al respecto. Este artículo responde a eso: qué exige realmente la guía de la CISA en cada pilar y cómo se adapta la plataforma OPSWAT a cada uno de ellos.

La guía señala tres pilares que todo programa OT Zero Trust debe abordar: una visibilidad completa de los activos, una gestión sólida de la identidad y el acceso (IAM) y una gestión proactiva de los riesgos de la cadena de suministro. También menciona a los adversarios que impulsan la urgencia: grupos estatales como Volt Typhoon, a los que la CISA ha observado posicionándose previamente dentro de las redes OT para mantener su presencia y esperar a ser activados.

En el ámbito de las tecnologías de la información, el modelo Zero Trust se aplica mediante software: proveedores de identidad, agentes en los terminales y políticas de acceso que se pueden actualizar en cuestión de horas. Los entornos de tecnología operativa (OT) operan bajo restricciones que hacen inviables los enfoques directos de TI: PLC (controladores lógicos programables) heredados con ciclos de vida de 20 años que no pueden ejecutar agentes de autenticación modernos, requisitos estrictos de tiempo de actividad en los que un paquete de detección puede provocar un apagado no planificado, y un vínculo directo entre la ciberseguridad y la seguridad física que el departamento de TI simplemente no tiene.

La guía de la CISA es sincera al respecto. La implantación del modelo «Zero Trust» en una infraestructura industrial obsoleta requiere años y una inversión considerable. Esa dificultad es real.

Lo que la guía deja claro es que el panorama de amenazas no va a esperar a que esos planes maduren. A medida que los sistemas de tecnología operativa (OT) se interconectan cada vez más con las redes de tecnología de la información (IT) y se supervisan de forma remota, la hipótesis tradicional del «air gap» ya no es válida. Los atacantes ya se han adaptado. Las medidas de seguridad que las organizaciones implementan hoy en día —incluso las más graduales— determinan qué parte de esa superficie de ataque queda expuesta mientras se lleva a cabo la transformación a largo plazo. La cuestión no es si hay que empezar, sino por dónde.

La guía de la CISA identifica tres prioridades para el modelo «Zero Trust» en la tecnología operativa (OT): una visibilidad completa de los activos, una gestión sólida de la identidad y el acceso, y una gestión proactiva de los riesgos de la cadena de suministro. Además, señala a los autores de amenazas específicos —Volt Typhoon y grupos vinculados a Estados— que ya están aprovechando las brechas que estos controles pretenden subsanar.

La plataforma OPSWAT se ha diseñado precisamente para esto. Detección pasiva de activos de tecnología operativa (OT) sin necesidad de tocar ni un solo dispositivo. Aislamiento Hardware que hace físicamente imposible todo un tipo de ataques remotos. Tecnología Deep CDR™ aplicada en todos los puntos de transferencia de archivos: red, USB y transferencia de datos. Control de identidades y accesos a nivel de sesión antes de que cualquier conexión llegue a un sistema de control.

En entornos de tecnología operativa (OT), la visibilidad de los activos consiste en mantener un inventario completo y actualizado en todo momento de todos los dispositivos de la red industrial —incluidos los PLC heredados, las RTU (unidades terminales remotas) y las HMI (interfaces hombre-máquina)—, junto con las versiones de firmware y los protocolos, utilizando métodos de supervisión pasivos que no generen tráfico que pueda alterar los sistemas de control sensibles.

Es aquí donde la mayoría de los programas de seguridad de OT presentan su mayor laguna sin resolver; y las razones son de carácter arquitectónico, no organizativo. Industrial se construyen en torno a un conjunto de dispositivos fundamentalmente diferente al de los entornos de TI. Una red de TO típica contiene PLC, RTU, controladores DCS, sensores, relés, IHMs, estaciones de trabajo de ingeniería y una capa cada vez mayor de dispositivos IIoT, cada uno de los cuales se comunica mediante el protocolo específico para el que fue diseñado: Modbus, EtherNet/IP, DNP3, PROFINET, OPC-UA y docenas de variantes propietarias. Las herramientas estándar de detección de TI no pueden analizar estos protocolos. No comprenden la semántica de un código de función Modbus, no pueden interpretar un objeto de datos DNP3 y carecen de un modelo que distinga entre lo que constituye un comportamiento normal y uno anómalo en un intercambio de mensajes implícitos de EtherNet/IP. Cuando esas herramientas se encuentran con dispositivos OT, o bien devuelven datos incompletos o bien generan un tráfico inesperado que el dispositivo receptor nunca fue diseñado para gestionar.

Este segundo resultado no es hipotético. El escaneo activo en entornos de tecnología operativa (OT) ha provocado interrupciones imprevistas de los procesos y bloqueos de dispositivos en instalaciones de producción. Por eso la guía de la CISA recomienda la monitorización pasiva como método adecuado para la detección de activos OT, y por eso dicha recomendación no es negociable en entornos con requisitos estrictos de tiempo de actividad. La recopilación pasiva, implementada a través de TAP de red o puertos SPAN, escucha el tráfico sin inyectar consultas que puedan perturbar los sistemas de control sensibles. Observa qué se está comunicando, cómo se está comunicando y cómo es el comportamiento normal, sin tocar ni un solo dispositivo de la red supervisada.

El problema de cobertura que debe resolver este enfoque se ve agravado por la naturaleza de los patrones de comunicación de la tecnología operativa (OT). Muchos dispositivos solo se comunican durante eventos operativos específicos: un PLC puede transmitir únicamente durante un ciclo de producción, un relé puede enviar información solo en caso de fallo, y un sensor de campo puede generar ráfagas de tráfico intermitentes separadas por largos intervalos de silencio. Una ventana de monitorización que no tenga en cuenta toda la gama de modos operativos producirá un inventario incompleto, y los activos que falten en ese inventario son precisamente los que no se pueden proteger, segmentar ni monitorizar. Según los datos del informe SANS 2025 State of ICS/OT Cybersecurity, la visibilidad de los activos sigue siendo la principal prioridad de inversión en seguridad para las organizaciones industriales; sin embargo, menos de una de cada ocho afirma tener una visibilidad completa de su entorno, desde el acceso inicial a la red hasta el impacto potencial en los procesos físicos. La brecha no es un problema de financiación. Es un problema de metodología.

Volt Typhoon se aprovecha precisamente de esta brecha. La estrategia documentada del grupo consiste en camuflarse entre las operaciones normales de la red —utilizando protocolos legítimos, rutas autorizadas y herramientas administrativas estándar— para establecer un acceso persistente dentro de los entornos de tecnología operativa. Sin una visibilidad completa de lo que hay en la red y de cuál es el comportamiento normal, esas técnicas resultan prácticamente invisibles.

MetaDefender Security™, la plataforma de seguridad OT OPSWAT, aborda este problema mediante la detección pasiva de activos y el análisis en profundidad de los protocolos OT. Al escuchar el tráfico de red en lugar de generarlo, la plataforma crea un inventario completo de activos y un perfil de comportamiento de referencia sin intervenir en los dispositivos supervisados, además de ofrecer gestión de vulnerabilidades y parches e informes de cumplimiento normativo, todo ello en una única interfaz nativa para entornos OT. De este modo, es posible detectar sesiones anómalas, comunicaciones inesperadas entre dispositivos e interacciones de protocolo no autorizadas antes de que lleguen a afectar al funcionamiento.

El mayor reto en materia de IAM en el ámbito de la seguridad operativa (OT) es que los atacantes recurren cada vez más a vías de acceso legítimas —credenciales válidas, sesiones remotas autorizadas y herramientas de ingeniería estándar— en lugar de aprovechar vulnerabilidades de software. Los actores vinculados a Irán descritos en un reciente aviso conjunto del FBI y la CISA se conectaron a controladores lógicos programables (PLC) conectados a Internet a través de puertos de comunicación industrial estándar e interactuaron con los sistemas de control como si fueran operadores autorizados.

La solución de acceso remoto más extendida en entornos de tecnología operativa (OT) —la VPN— introduce una categoría de riesgo de carácter estructural, no configuracional. Las VPN establecen una conectividad directa a nivel de red que rompe el aislamiento jerárquico del modelo de Purdue, lo que permite a los proveedores externos acceder a segmentos de la red de control sin un control granular de las sesiones ni ningún mecanismo para aplicar el principio del privilegio mínimo. Cualquier dispositivo comprometido o seguro en el extremo del proveedor de ese túnel hereda una ruta de red directa a los sistemas de producción. En el caso de los terminales OT heredados sin capacidad de autenticación nativa, la exposición se agrava aún más. Estos dispositivos no pueden registrar eventos de acceso, no pueden aplicar políticas de sesión y no pueden terminar conexiones no autorizadas. Cualquier medida de control que exista debe situarse completamente aguas arriba del dispositivo, o de lo contrario no existe en absoluto. MetaDefender Industrial , el firewall industrial OPSWAT para redes OT, aborda el problema de la segmentación directamente, aplicando una segmentación basada en zonas y controlando el movimiento lateral incluso cuando una sesión de un proveedor ya se encuentra dentro de la red.

La guía de la CISA deja claras las consecuencias de no abordar este problema. Los actores maliciosos vinculados a el Estado accedieron y manipularon controladores lógicos programables (PLC) conectados a Internet utilizando puertos de comunicación industrial estándar, y no a través de vulnerabilidades de software, sino simplemente conectándose como lo haría un operador autorizado. Las credenciales parecían correctas. Los protocolos parecían los esperados. Nada hizo sospechar de la sesión, ya que no había ningún mecanismo para evaluar la legitimidad de la sesión en la capa de acceso.

MetaDefender OT Access «Zero Trust» a nivel de sesión, antes de que cualquier conexión llegue a un activo de OT. Cada sesión remota —ya sea de un ingeniero interno, una ventana de mantenimiento programada por el fabricante de equipos originales (OEM) o un contratista externo que se conecta por primera vez— se autentica de forma individual, se limita al acceso mínimo necesario, tiene una duración limitada y se registra íntegramente. Las sesiones se graban, se supervisan de forma continua y pueden interrumpirse en tiempo real si el comportamiento se desvía de los parámetros esperados. No hay acceso permanente a la red, ni túneles persistentes ni rutas a activos fuera de lo que esa sesión específica requiera explícitamente. Y para los dispositivos heredados que no pueden participar en la autenticación moderna, MetaDefender OT Access la aplicación en la capa de gestión de conexiones, de modo que el control existe independientemente de las capacidades del propio dispositivo.

En el ámbito de la tecnología operativa (OT), el riesgo de la cadena de suministro abarca tanto los eventos de transferencia digital como los físicos: actualizaciones de software distribuidas a través de redes, ordenadores portátiles de proveedores que se introducen en las instalaciones, firmware cargado desde USB y archivos de ingeniería transferidos desde el departamento de TI a redes de control aisladas físicamente. Cada uno de ellos supone una posible introducción de contenido malicioso en los sistemas que, una vez comprometidos, puede afectar directamente a los procesos físicos.

Antes de que cualquier componente de software llegue al límite de la red operativa (OT), su integridad ya debe estar garantizada. MetaDefender Software Chain™ aborda este aspecto en el lado de TI de la cadena de transferencia: valida las herramientas de ingeniería, los paquetes de firmware y las actualizaciones de software industrial suministrados por los proveedores comparándolos con los datos de la lista de materiales de seguridad (SBOM), confirma que los componentes no han sido manipulados durante el tránsito y detecta los componentes desconocidos antes de que se autorice su transferencia. Para cuando un archivo llega al punto Kiosk o al flujo de trabajo MFT , ya ha superado la comprobación de integridad de la capa de TI. Así pues, los controles de perímetro refuerzan una decisión ya tomada, en lugar de compensar una que nunca se tomó.

Esta es la superficie de ataque que los controles basados en la red no pueden abordar por completo, pero la aplicación de medidas en la capa de red sigue desempeñando un papel fundamental una vez que un proveedor ha accedido al sistema.Firewall Industrial MetaDefender Firewall fundamental para inspeccionar la carga útil real del protocolo industrial de cada sesión de un proveedor. Incluso cuando se autoriza una conexión de terceros, el cortafuegos comprueba que los comandos se mantengan dentro de los códigos de función y los rangos de valores esperados para esa sesión, bloqueando en tiempo real los comandos maliciosos procedentes de una herramienta de un proveedor comprometida o de una actualización manipulada. También impone rutas de comunicación estrictas: un dispositivo conectado a un proveedor solo puede acceder a los sistemas específicos para los que ha sido autorizado, lo que contiene cualquier compromiso de la cadena de suministro antes de que pueda moverse lateralmente a través de las zonas de OT. Y para las vulnerabilidades CVE conocidas en componentes de OT en las que el parche del proveedor aún no se ha distribuido —lo que en OT suele tardar meses—, el Industrial Firewall parches virtuales a nivel de red, bloqueando la explotación sin tocar el dispositivo.

MetaDefender , la solución de seguridad para soportes extraíbles OPSWAT, intercepta e inspecciona cada soporte extraíble antes de que acceda a una zona segura. Cada archivo se analiza mediante Metascan™ Multiscanning más de 30 motores antimalware, se evalúa mediante Predictive Alin AI para la detección de vulnerabilidades de día cero antes de la ejecución y se procesa mediante la tecnología Deep CDR™, que reconstruye el archivo a un estado conocido como seguro, eliminando las amenazas incrustadas al tiempo que conserva el contenido legítimo que un técnico necesita para realizar su trabajo. MetaDefender Media Firewall, la solución OPSWAT para la aplicación de escaneo de soportes extraíbles, amplía esta aplicación a USB a nivel de terminal, aplicando una validación basada en hardware que garantiza que solo los soportes extraíbles ya escaneados y aprobados por MetaDefender Kiosk conectarse a una estación de trabajo protegida, independientemente de su ubicación dentro de las instalaciones. MetaDefender , la solución avanzada de protección de terminales OPSWAT, se implementa en terminales críticos para validar si los archivos de los dispositivos de medios extraíbles han sido escaneados y procesados previamente por MetaDefender Kiosk. Esto garantiza que el terminal solo pueda abrir, copiar o acceder a archivos validados, y que se impida que los archivos no autorizados o no escaneados lleguen a entornos críticos.

En el caso de las transferencias que cruzan zonas de red —desde la TI a la TO, o desde sistemas conectados a la nube a entornos de control aislados—, MetaDefender Diode™, la solución de diodo de datos OPSWAT, garantiza un flujo de datos unidireccional controlado por hardware. Esto incluye datos operativos como valores históricos, telemetría de sensores y datos de procesos que fluyen desde la red de TO hacia sistemas de TI, plataformas de análisis o infraestructura en la nube con fines de supervisión y generación de informes. Ningún comando entrante, solicitud de conexión, actualización de software o carga útil puede atravesar el límite en la dirección inversa. La garantía de seguridad no depende de una configuración correcta, de un software actualizado periódicamente ni de la integridad de las credenciales de acceso, ya que ninguno de esos factores de la capa de software tiene vía alguna para anular la restricción del hardware. Para las organizaciones que operan sistemas de control heredados que no se pueden actualizar, no pueden ejecutar agentes de punto final y no pueden tolerar tiempos de inactividad provocados por la seguridad, esta es la arquitectura en la que la guía de la CISA y la comunidad de seguridad industrial en general han coincidido como la respuesta técnica adecuada.

MetaDefender File Transfer™ (MFT) da respuesta a las necesidades de transferencia estructurada de las organizaciones que necesitan intercambiar archivos operativos entre zonas con inspección completa, registro de auditoría y control del flujo de trabajo. Garantiza la verificación del contenido en cada transferencia, asegurando que la propia ruta de transferencia de archivos no se convierta en un punto de entrada sin supervisar.

No todos los límites pueden protegerse mediante políticas. Algunos requieren medidas físicas. Las soluciones Cross-Domain Solutions (CDS) establecen límites a nivel de hardware entre las redes OT e IT, donde ninguna configuración errónea de software, credencial robada o vulnerabilidad de día cero puede abrir una vía de acceso entrante. MetaDefender Optical Diode MetaDefender Security Gateway™ cuentan con la certificación Common Criteria EAL4+ y admiten el cumplimiento de NERC CIP, IEC 62443, NRC 5.71, NIST 800-82 e ISO 27001: el conjunto completo de marcos normativos que rigen las infraestructuras críticas en los sectores de la energía, la energía nuclear, la industria química y la defensa.

La guía de la CISA se ajusta a las funciones del Marco de Ciberseguridad (CSF) 2.0 del NIST: gobernanza, identificación, protección, detección, respuesta y recuperación. En la tabla siguiente se establece una correspondencia entre cada requisito y la OPSWAT pertinente OPSWAT :

El modelo «Zero Trust» en la tecnología operativa (OT) no es un producto que se pueda comprar. La guía de la CISA es clara al respecto: las herramientas y tecnologías son necesarias, pero por sí solas no bastan. Lo que las organizaciones necesitan es una plataforma diseñada para entornos en los que la disponibilidad, la seguridad y el cumplimiento normativo son imprescindibles. La plataforma MetaDefender™ OPSWAT ofrece esa arquitectura en todo el ámbito de aplicación del mandato de la CISA: desde la bandeja de entrada, donde comienza el acceso inicial, hasta el perímetro protegido por hardware, donde terminan los comandos dirigidos a los sistemas críticos.

Como muestra la tabla anterior, OPSWAT todas las categorías de controles alineadas con la CISA en las seis funciones del NIST CSF 2.0 en una única plataforma, un alcance que ningún proveedor especializado exclusivamente en OT puede igualar. ¿Está listo para evaluar en qué punto se encuentra su entorno de OT con respecto al marco «Zero Trust» de la CISA?

Habla con un experto →