La analogía del castillo: cómo piensa (y falla) la ciberseguridad OT clásica

Si alguna vez habéis hablado con un ingeniero de ciberseguridad sobre cómo proteger una planta industrial, es muy probable que hayáis oído la analogía del castillo — lo que el sector llama en inglés castle-and-moat ("castillo y foso"). Es una de las analogías más antiguas — y más útiles — del sector para explicar, sin jerga técnica, cómo se protege tradicionalmente una red industrial (OT). Y también es la analogía perfecta para explicar por qué esa protección, si se queda ahí, ya no es suficiente.

La idea original: un solo muro grande

Un castillo medieval se defendía con una lógica simple: un muro perimetral alto, un foso alrededor, y una única puerta vigilada. Todo lo de dentro se consideraba "de confianza"; todo lo de fuera, hostil. Si el muro aguantaba, el interior estaba a salvo.

Durante décadas, las redes OT (los sistemas que controlan PLCs, SCADA, robots y líneas de producción) se diseñaron exactamente así:

• El muro es el firewall perimetral entre la red de planta (OT) y la red corporativa (IT).
• El foso es la separación física o lógica que dificulta el acceso directo desde fuera.
• La puerta vigilada es el único punto de acceso remoto, normalmente una VPN.
• El interior del castillo es toda la red de planta: PLCs, HMIs, y los sistemas que guardan el histórico de producción, todo tratado como "zona de confianza" una vez dentro.

Esta lógica funcionó razonablemente bien mientras las redes OT estaban físicamente aisladas ("air-gapped") y nadie de fuera necesitaba entrar. El problema es que esa premisa dejó de ser cierta hace más de una década.

Por qué el muro del castillo ya no protege

El modelo de un único perímetro tiene un fallo estructural: si alguien atraviesa el muro, tiene acceso a todo. Y hoy en día hay muchas más formas de atravesarlo de las que había cuando se diseñó:

• Un proveedor externo se conecta con su propio portátil para dar soporte a una máquina — y ese portátil ya está infectado.
• Un empleado conecta un USB con un firmware de actualización que arrastra malware sin saberlo.
• Un contrato de mantenimiento remoto abre una VPN que nadie ha revisado desde que se instaló.
• La convergencia IT/OT (impulsada por Industria 4.0, mantenimiento predictivo, dashboards en la nube) multiplica los puntos de conexión entre la red corporativa y la de planta.

En todos estos casos, el atacante no salta el muro desde fuera: ya está dentro del foso, y la analogía del castillo no tiene ninguna respuesta para eso. Es el mismo motivo por el que el sector IT lleva años migrando hacia modelos de "zero trust" — la diferencia es que en OT no puedes aplicar zero trust de la misma forma: un PLC de 2008 no puede autenticarse con certificados modernos, y una parada no planificada por un fallo de seguridad puede costar mucho más que en un servidor de oficina.

La traducción real: zonas y conductos (IEC 62443)

Aquí es donde la analogía deja de ser una metáfora bonita y se convierte en ingeniería aplicada. La norma IEC 62443 — el estándar de referencia para ciberseguridad en sistemas de automatización y control industrial — no propone "un muro más grande". Propone muchos muros más pequeños, organizados por criticidad.

En términos del castillo: en vez de un único perímetro exterior, tienes un patio de armas, una muralla interior, una torre del homenaje, y cada anillo tiene su propia puerta y su propio nivel de vigilancia. En términos de IEC 62443, esto se llama segmentación en zonas y conductos:

• Zonas: agrupas los activos por función y criticidad — no es lo mismo la red de un PLC de seguridad funcional que la de una impresora de etiquetas. Cada zona tiene su propio nivel de seguridad objetivo (Security Level, SL 1 a 4).
• Conductos: cada comunicación entre zonas pasa por un punto controlado y auditado — no hay tráfico libre "porque ya estamos dentro del castillo".
• Defensa en profundidad: si un atacante compromete una zona, la segmentación limita el movimiento lateral hacia las zonas más críticas — el "patio de armas" puede caer sin que caiga la "torre del homenaje".

Esto no elimina el perímetro (el muro exterior sigue siendo necesario), pero deja de ser la única línea de defensa. La pregunta ya no es "¿el muro aguanta?", sino "si el muro cae, ¿qué puede tocar el atacante?".

Qué significa esto en una auditoría real

Cuando auditamos una planta, la pregunta que de verdad importa no es si tenéis firewall (casi todo el mundo lo tiene), sino:

1. ¿Está la red de planta segmentada por zonas de criticidad real, o es una única red plana con un firewall en la entrada?
2. ¿Hay visibilidad de qué se comunica entre zonas, o se asume que "todo lo interno es de confianza"?
3. ¿Los accesos remotos (proveedores, mantenimiento) pasan por un conducto auditado, o son una VPN abierta desde 2015?
4. ¿Los activos más críticos (los que paran la producción o ponen en riesgo a personas) están en la zona con mayor nivel de seguridad, o mezclados con el resto?

Un castillo con un solo muro es más barato de construir. Pero cuando cae, cae entero. Una planta segmentada por zonas y conductos cuesta más diseñar — pero cuando algo falla, falla una zona, no la planta entera.

Si queréis saber en qué punto de este espectro está vuestra instalación, es exactamente lo que evaluamos en una auditoría IEC 62443: no si tenéis un muro, sino cuántos muros tenéis y dónde están puestos.