Los diagramas de red suelen mostrar los sistemas de seguridad física en zonas cuidadosamente separadas, pero un diagrama no demuestra que los controles funcionen. La deriva de los cortafuegos, las reglas temporales de mantenimiento, los servidores conectados a dos redes y los conmutadores no gestionados pueden volver a conectar redes que debían permanecer aisladas. La verificación de la segmentación prueba las rutas desplegadas en lugar de confiar en el documento de diseño.
Definir zonas y flujos permitidos
Comience por zonas funcionales como dispositivos de campo, controladores, grabación, gestión, clientes de operador, servicios de integración y soporte remoto. Para cada par de zonas, documente el origen, destino, protocolo y propósito empresarial exactos permitidos. Todo lo demás debe denegarse de forma predeterminada cuando la arquitectura lo permita.
Incluya dependencias que es fácil pasar por alto: DNS, NTP, inscripción de certificados, servicios de directorio, repositorios de software, retransmisores de correo electrónico y supervisión. Una lista de permitidos incompleta puede empujar a los equipos a implantar reglas de emergencia amplias que después se vuelven permanentes.
Verificar desde puntos finales representativos
Las pruebas deben originarse en clases reales de dispositivos o equivalentes seguros. Un análisis desde la red de TI no puede demostrar a qué puede acceder una cámara o un controlador integrado. Confirme las conexiones previstas y después intente recorrer rutas prohibidas de forma controlada. Revise tanto el resultado del cliente como el registro del cortafuegos o conmutador para poder distinguir entre descartes silenciosos y fallos de enrutamiento.
Las directrices de NIST sobre seguridad de tecnología operativa recomiendan la segmentación y las rutas de comunicación controladas como medidas centrales de reducción de riesgos. Las redes de seguridad física comparten muchas de las mismas limitaciones: dispositivos de larga vida útil, protocolos de proveedores, requisitos de disponibilidad y protección limitada de los puntos finales.
Probar por separado el acceso de gestión y de proveedores
Las rutas administrativas merecen una validación más estricta que el tráfico ordinario de eventos. Confirme que la gestión de dispositivos esté limitada a servidores de salto aprobados, usuarios identificados y sesiones supervisadas. Compruebe si el acceso VPN de proveedores solo puede llegar a los sistemas contratados y si se desactiva fuera de las ventanas aprobadas.
Compruebe si existen rutas alternativas a través de Wi-Fi, módems celulares, interfaces de red secundarias y portátiles de servicio. Un controlador aislado en la interfaz principal podría seguir exponiendo un servicio de gestión a través de un canal pasado por alto. El artículo de SectechMedia sobre refuerzo de la ciberseguridad del control de acceso aborda controles relacionados con dispositivos y credenciales.
Incluir estados de fallo y recuperación
La segmentación puede cambiar durante una conmutación por error. Pruebe cortafuegos redundantes, enlaces de respaldo, sitios de recuperación ante desastres y el enrutamiento temporal utilizado durante el mantenimiento. Confirme que un dispositivo de seguridad averiado no establezca de forma predeterminada una ruta sin restricciones y que las configuraciones restauradas conserven la política aprobada.
Registre capturas de paquetes o pruebas de los registros para las pruebas críticas. Una simple hoja de trabajo de aprobado o suspenso es insuficiente cuando una regla cambia posteriormente o un equipo de incidentes necesita conocer la accesibilidad histórica.
Gestionar las excepciones como riesgos con vencimiento
Cada excepción debe identificar el responsable, el motivo, los controles compensatorios y la fecha de vencimiento. Vuelva a realizar pruebas después de actualizaciones de firmware, migraciones de VMS, sustituciones de controladores y rediseños de red. Haga seguimiento de rutas accesibles inesperadas, reglas obsoletas y activos fuera de su zona asignada. El resultado debe ser un programa de verificación vivo que detecte la deriva arquitectónica antes de que un atacante o una interrupción la ponga de manifiesto.
Fuentes de referencia
