Heredas una red de planta llena de PLC. Tu escáner de vulnerabilidades y tu ciclo de parches de TI están listos: ¿cómo los adaptas a OT?

La trampa de esta pregunta es tratar una red OT como una LAN de oficina más grande. Los controladores industriales interactúan con el mundo físico: un escaneo o un parche rutinario en un portátil puede detener una bomba o una línea de producción.

Qué dice NIST

NIST SP 800-82r3 plantea la seguridad OT en torno a sus requisitos únicos de rendimiento, fiabilidad y seguridad física (safety). Sus pautas son concretas:

• Parcheo: las actualizaciones no siempre pueden aplicarse con rapidez; requieren pruebas exhaustivas del fabricante y del propietario, paradas programadas con días o semanas de antelación y, a veces, revalidación. Los parches deben probarse primero en un sandbox y aplicarse en ventanas de mantenimiento programadas, con plan de recuperación.
• Escaneo activo: hay que valorar si las herramientas de escaneo activo pueden dañar los sistemas OT y probarlas en sistemas fuera de línea antes de desplegarlas.
• Monitorización: ejecutar la monitorización de red en modo pasivo (puertos SPAN o taps) es un primer paso sensato.
• Dispositivos no parcheables: usa controles compensatorios, por ejemplo dispositivos bump-in-the-wire delante de ellos.

Por qué fallan los distractores

Escanear todo esta noche ignora la guía de pruebas. Negarse a proteger OT es derrotista: la monitorización pasiva, la segmentación y el parcheo planificado funcionan. Escanear en horas punta maximiza el daño si un dispositivo frágil cae.

Qué buscan los entrevistadores

Una respuesta senior muestra que adaptas los métodos al entorno: descubrir de forma pasiva, probar primero, cambiar en ventanas y compensar cuando no se puede parchear.