¿Quién es responsable del acceso remoto en OT? Modelos de propiedad y riesgos

Por qué es difícil definir la propiedad del acceso remoto en OT

El acceso remoto en entornos OT (Tecnología Operacional) abarca múltiples ámbitos: identidad, infraestructura, sistemas de producción, seguridad y prestación de servicios externos. Estos ámbitos involucran a distintos equipos, objetivos y perspectivas de riesgo.

Como resultado, la responsabilidad rara vez encaja claramente en un único rol o departamento.

En lugar de un único responsable, las organizaciones suelen apoyarse en acuerdos informales entre IT, OT, seguridad, operaciones y proveedores.

Además, en muchas organizaciones, la gobernanza del acceso se desarrolla mediante una serie de decisiones prácticas, más que como resultado de una única decisión arquitectónica.

Con el tiempo, esto crea una estructura que funciona en el día a día, pero que resulta difícil de describir o auditar, y que solo se mantiene hasta que la presión, el crecimiento o los incidentes ponen de manifiesto sus carencias.

Comprender los modelos habituales de responsabilidad ayuda a explicar por qué ocurre esto.

Propiedad liderada por IT

En este modelo, IT gestiona el acceso remoto como parte de la identidad, autenticación y seguridad de red.

Este enfoque ofrece autenticación centralizada y alineación con los estándares de seguridad corporativos. Sin embargo, el contexto operativo puede quedar alejado de las decisiones de acceso, lo que genera tensiones durante incidentes o ventanas de mantenimiento.

Fortalezas

• Gestión centralizada de identidades
• Controles de acceso consistentes
• Fácil alineación con políticas de seguridad corporativas

Limitaciones

• Visibilidad limitada del impacto en operaciones OT
• Las decisiones de acceso pueden ignorar la urgencia productiva
• Los equipos OT pueden sentirse limitados o tender a eludir controles

Propiedad liderada por OT

En este modelo, los equipos OT controlan el acceso a los sistemas de producción que operan y mantienen.

Esta proximidad favorece la rapidez de respuesta y decisiones basadas en el contexto. Sin embargo, con el tiempo pueden surgir variaciones entre sitios y sistemas, y las revisiones de acceso pueden depender en exceso de equipos individuales.

Fortalezas

• Gran conocimiento del contexto productivo
• Respuesta rápida ante incidentes
• Decisiones alineadas con la disponibilidad y la seguridad operativa

Limitaciones

• Controles de seguridad variables según el entorno
• Revisiones de acceso inconsistentes
• El riesgo a largo plazo suele quedar en segundo plano

Propiedad compartida o conjunta

Los modelos compartidos distribuyen la responsabilidad entre IT, OT y seguridad.

Fomentan la colaboración y una visión compartida, pero también introducen dependencias que pueden ralentizar la toma de decisiones y diluir la responsabilidad, especialmente cuando las funciones se solapan.

Fortalezas

• Perspectivas equilibradas
• Mejor alineación entre seguridad y operaciones
• Estructuras de aprobación más claras sobre el papel

Limitaciones

• Toma de decisiones más lenta bajo presión
• Responsabilidad difusa
• Riesgo de que todos asuman que otro está revisando los accesos

Propiedad impulsada por proveedores (explícita o implícita)

En este modelo, los proveedores gestionan su propio acceso como parte de acuerdos de soporte o servicio.

Escala bien operativamente y reduce el esfuerzo interno. Sin embargo, la visibilidad y la gobernanza dependen de los contratos y de la confianza, que pueden no reflejar la realidad operativa.

Fortalezas

• Soporte y mantenimiento rápidos
• Baja carga operativa interna
• Escala fácilmente en entornos con muchos activos

Limitaciones

• Los propietarios de activos pierden visibilidad
• Los accesos pueden mantenerse más allá de su propósito inicial
• La responsabilidad se vuelve poco clara durante incidentes

Dónde fallan los modelos en la práctica

En todos los modelos de propiedad suelen aparecer patrones similares:

• Se conceden accesos temporales para tareas específicas que no se revocan, permaneciendo activos más allá de su uso previsto
• La responsabilidad cambia con el personal, proveedores o contratos, sin una transferencia formal
• Las revisiones dependen de suposiciones en lugar de procesos programados, sin una gestión formal del ciclo de vida de credenciales
• Las excepciones crecen más rápido que las reglas, deteriorando la visibilidad de forma progresiva

Estos problemas se hacen especialmente visibles durante transiciones o momentos de presión operativa. La responsabilidad cambia entre equipos, sistemas u organizaciones, mientras que los accesos permanecen sin cambios.

Patrones de gobernanza que suelen funcionar mejor

Aunque ningún modelo es perfecto, las organizaciones que mantienen el control a largo plazo suelen compartir ciertas características:

• Existe un rol claramente responsable de la gobernanza de accesos, aunque la ejecución sea compartida
• Las decisiones de acceso se registran, revisan y reevalúan de forma periódica
• El acceso de proveedores se trata como un riesgo a gestionar, con el mismo nivel de control que el acceso interno
• La responsabilidad se mantiene incluso ante cambios organizativos o contractuales

La estructura puede no parecer muy diferente; la diferencia real está en la claridad.

Siempre hay alguien responsable de la pregunta sobre quién accede, incluso si otros ejecutan.

De la propiedad al control

Una propiedad clara no elimina el riesgo, pero determina cómo se gestiona.

Cuando la responsabilidad es visible y explícita, los patrones de acceso evolucionan con el entorno.

Cuando se diluye, la proliferación de accesos y la pérdida de visibilidad son casi inevitables con el tiempo.

* Artículo realizado por nuestro partner Secomea.