Confianza cero en OT frente a TI: por qué fracasa un enfoque único para todos

Aunque los principios son los mismos, la realidad de las redes OT —donde el tiempo de actividad es fundamental, los sistemas son heredados y los dispositivos a menudo no pueden ejecutar agentes de seguridad ni parches— exige una implementación fundamentalmente diferente.

Para entender por qué, es útil observar cómo difiere Zero Trust entre los entornos de TI tradicionales y el contexto único de OT.

¿Cuál es la diferencia entre IT Zero Trust y OT Zero Trust?

Zero Trust en entornos OT e industriales difiere significativamente del Zero Trust general, centrado en TI, en cuanto a objetivos, limitaciones e implementación.

1. Los tipos de activos y los protocolos son fundamentalmente diferentes

IT Zero Trust se centra en los usuarios, las aplicaciones en la nube, los ordenadores portátiles, los dispositivos móviles y el acceso a la web.

OT Zero Trust, por su parte, se ocupa de activos industriales como PLC, HMI, RTU y sensores, que a menudo utilizan protocolos propietarios o heredados (por ejemplo, Modbus, OPC UA, PROFINET).

Por lo tanto, Zero Trust en OT debe funcionar con dispositivos sin agente y estándares de comunicación de generaciones anteriores que no están diseñados para la seguridad moderna.

2. En OT, la disponibilidad tiene prioridad sobre la confidencialidad

Mientras que la principal preocupación de IT Zero Trust es proteger la confidencialidad y la integridad de los datos, el objetivo principal en OT es la disponibilidad y el tiempo de actividad.

OT Zero Trust debe diseñarse para una aplicación sin interrupciones, verificando el acceso sin romper el control en tiempo real, introducir latencia o provocar tiempo de inactividad.

3. Los usuarios y los patrones de acceso son diferentes

En TI, Zero Trust necesita principalmente proteger el acceso de los empleados a los servicios en la nube desde dispositivos gestionados por la empresa.

En OT, por otro lado, los proveedores externos, los ingenieros de servicio y los técnicos subcontratados también necesitan acceder a los sistemas industriales, principalmente desde dispositivos no gestionados y redes desconocidas.

Esto requiere un control de sesión más estricto, así como accesos y aprobaciones basados en el tiempo, especialmente para terceros, con registros de auditoría detallados.

4. Las redes OT suelen ser planas y difíciles de segmentar

Si bien la segmentación de redes es estándar en TI (mediante VLAN, cortafuegos y control de acceso basado en la identidad), muchos entornos operativos siguen funcionando con redes planas con poca segmentación.

Es posible que los dispositivos no admitan las políticas modernas de identidad o acceso.

El OT Zero Trust suele comenzar con la microsegmentación y el aislamiento, utilizando herramientas que funcionan a nivel de red en lugar de a nivel de punto final.

5. Los parches y las actualizaciones no siempre son una opción en OT

Aunque en el ámbito de la TI se pueden implementar actualizaciones, parches de seguridad y nuevas herramientas con frecuencia, los dispositivos OT pueden tener más de 10 años, estar bloqueados por el proveedor o funcionar en entornos regulados en los que la aplicación de parches es poco frecuente o arriesgada.

Se necesita un modelo Zero Trust que proporcione seguridad en torno a los dispositivos que no se pueden parchear, en lugar de en ellos, como puertas de enlace de acceso remoto seguro, control de tráfico y autenticación fuerte antes de la interacción.

6. La visibilidad y la supervisión deben abarcar tanto la TI como la OT

Si bien es posible supervisar el comportamiento de los usuarios, los puntos finales y los servicios en la nube a través de agentes y SIEM en TI, la implementación de Zero Trust en OT implica trabajar en entornos híbridos de TI/OT, a menudo sin agentes.

Se necesitan herramientas que supervisen el acceso remoto, las comunicaciones de los dispositivos y las interacciones entre humanos y máquinas, que conecten la supervisión de TI y OT y que generen registros que tengan en cuenta la OT (por ejemplo, quién accedió a qué PLC y qué cambios realizó).

¿Puedo utilizar las mismas herramientas Zero Trust tanto para TI como para OT?

No de forma eficaz. La mayoría de las soluciones Zero Trust para TI se basan en agentes de punto final, proveedores de identidad, integraciones en la nube y parches frecuentes. Los entornos OT suelen incluir sistemas heredados, redes planas y acceso no gestionado de terceros, lo que requiere soluciones sin agentes y compatibles con protocolos, diseñadas específicamente para las limitaciones de OT.

La superficie de ataque de OT requiere un control de sesión más estricto, microsegmentación y auditabilidad, nada de lo cual viene de serie en las soluciones Zero Trust de TI.

¿Por qué se necesita una solución específica para OT para implementar Zero Trust en entornos operativos?

En el marco de Zero Trust, los sistemas deben diseñarse y funcionar de manera que se pueda hacer lo menos posible con ellos más allá de su uso previsto. En otras palabras, los sistemas solo deben realizar las funciones previstas, y nada más. Esto ayuda a limitar el daño que puede causar un atacante si consigue acceder.

Sin embargo, esto es casi imposible cuando se utiliza una solución centrada en TI en entornos OT, que tienen restricciones y requisitos muy diferentes, desde protocolos heredados hasta una tolerancia limitada al tiempo de inactividad. Los entornos OT requieren soluciones que:

• funcionen sin agentes ni software invasivo

• respeten los requisitos de tiempo de actividad y seguridad operativos

• comprendan los protocolos y sistemas industriales

• integren el control de acceso con el aislamiento de la red

Solo con una solución compatible con OT se pueden implementar los principios Zero Trust sin tener que reformar la infraestructura existente.

 ¿Cómo se puede salvar la brecha entre IT y OT Zero Trust?

Para salvar esta brecha se necesitan herramientas que no impongan los enfoques de TI a los sistemas OT, sino que trabajen con las limitaciones y realidades de OT.

OT Zero Trust requiere

• Políticas de acceso basadas en roles.

• Acceso justo a tiempo y con límite de tiempo.

• Flujos de trabajo de aprobación.

• Supervisión en tiempo real.

• Autenticación fuerte que funcione para usuarios no gestionados.

Estos controles deben funcionar sin instalar software en sus dispositivos OT.

¿Por qué Secomea es una buena opción para Zero Trust en OT?

El enfoque Zero Trust de Secomea está diseñado desde cero para OT:

• No requiere agentes

• Compatible con protocolos heredados (Modbus, Profinet, EtherCAT, Ethernet/IP, etc.)

• Proporciona ventanas de acceso seguras, justo a tiempo y basadas en la aprobación para usuarios remotos autenticados mediante MFA o SSO.

• Permite la supervisión en tiempo real, los registros de auditoría y la grabación de sesiones.

• Admite la microsegmentación a través de puertas de enlace de acceso remoto seguras.

• Cifra los datos en tránsito y en reposo.

• Certificado ISA/IEC 62443 para el desarrollo seguro de productos a lo largo de su ciclo de vida.

• No se trata de una adaptación de las herramientas de TI, sino de una solución nativa de OT alineada con los principios de Zero Trust.

Conclusiones clave

• Las TI y las OT tienen objetivos y limitaciones fundamentalmente diferentes.

• El marco Zero Trust debe adaptarse a las realidades de las OT.

• Las TI y las OT Zero Trust comparten los mismos principios, pero necesitan herramientas e implementaciones diferentes.

• Los sistemas heredados, el acceso de terceros y el tiempo de actividad 24/7 exigen un modelo Zero Trust creado para las OT.

• Necesita un control de acceso sin agentes, basado en sesiones y sensible a la identidad en OT.

• Un enfoque único para todos comprometerá el tiempo de actividad o la seguridad, o ambos.
• Secomea le ayuda a cerrar la brecha con un modelo Zero Trust creado específicamente para redes industriales que no interrumpe sus operaciones.

* Texto ideado, diseñado y redactado por nuestro partner Secomea.