Zero Trust en la convergencia OT-IT: ¿Es realmente aplicable?

La transformación digital ha desdibujado los límites tradicionales entre los entornos de tecnología de la información (IT) y los sistemas de operación industrial (OT). Lo que antes eran mundos completamente separados, hoy están inevitablemente conectados. Esta convergencia OT-IT trae eficiencia, visibilidad y control centralizado… pero también un reto crítico: la ciberseguridad industrial. Uno de los enfoques más sólidos en entornos IT es el modelo Zero Trust, pero surge la pregunta inevitable:

¿Es realmente aplicable el Zero Trust en entornos OT-IT?
La respuesta corta es sí, pero no sin una adaptación rigurosa. Veamos por qué.

¿Qué es Zero Trust?

Zero Trust no es una herramienta, ni una tecnología específica. Es una estrategia de ciberseguridad basada en el principio de “nunca confiar, siempre verificar”.

Su filosofía se opone al antiguo paradigma de seguridad perimetral. Ya no basta con proteger el borde de la red; cada usuario, dispositivo y conexión debe estar autenticado, autorizado y monitorizado continuamente, incluso si está “dentro” del sistema.

En IT, Zero Trust se aplica mediante:

• Control de identidad y acceso (IAM)
• Segmentación de red
• Autenticación multifactor (MFA)
• Análisis de comportamiento y monitoreo continuo
• Políticas de acceso dinámicas basadas en contexto

¿Qué pasa con el Zero Trust ante la convergencia IT-OT?

La convergencia IT-OT ha llegado para quedarse. Tecnologías como:

• SCADA conectados a redes empresariales
• Sensores IIoT en tiempo real
• PLCs accesibles por técnicos remotos
• Plataformas cloud para analítica industrial

…han roto la separación que mantenía a salvo los entornos OT. Esto ofrece múltiples ventajas operativas, pero también amplía drásticamente la superficie de ataque.

Aquí es donde entra el modelo Zero Trust. Pero OT no es IT, y eso implica desafíos únicos.

¿Por qué no se puede aplicar Zero Trust de forma directa en OT?

Implementar Zero Trust en entornos OT exige tener en cuenta características propias del mundo industrial:

1. Sistemas legacy y protocolos inseguros

Muchos dispositivos industriales siguen operando con protocolos como Modbus, DNP3, FTP o TELNET, que no contemplan cifrado ni autenticación. Tampoco soportan agentes ni actualizaciones de seguridad.

2. Requisitos de disponibilidad extrema

En OT, la prioridad es mantener el sistema funcionando. Cualquier control de seguridad que pueda provocar una latencia extra o una caída del sistema no será aceptado operativamente.

3. Falta de identidad digital en activos industriales

Los PLCs, RTUs, sensores, etc., no pueden autenticarse como lo haría un dispositivo IT moderno. Esto complica la implementación de políticas basadas en identidad.

4. Accesos remotos críticos pero desprotegidos

Los proveedores o técnicos de mantenimiento a menudo acceden de forma remota usando VPNs o accesos RDP expuestos. Esto viola por completo el enfoque Zero Trust.

¿Cómo aplicar Zero Trust de forma realista en OT?

Aunque no se puede aplicar “de fábrica”, sí se puede adaptar Zero Trust a entornos OT con soluciones específicas que respeten los requisitos de tiempo real, estabilidad y compatibilidad industrial.

En Cosmikal lo conseguimos con soluciones como Endurance, que permite aplicar principios de Zero Trust sin modificar los sistemas OT. A continuación te explicamos cómo.

Zero Trust en OT-IT con Endurance de Cosmikal

Endurance es un entorno de trabajo basado en un escritorio remoto blindado con funcionalidades PAM, VDI, DLP, IAM y mucho más. Ha sido diseñado desde su núcleo para proteger entornos híbridos OT/IT. Permite aplicar seguridad multicapa robusta entre el usuario y el activo, sin tocar ni comprometer el funcionamiento de sistemas industriales.

Veamos cómo se aplica el modelo Zero Trust adaptado a OT mediante esta solución:

Autenticación fuerte y control de identidades

Todo acceso a infraestructuras industriales pasa por un proceso de autenticación multifactor (MFA), incluso para usuarios internos o integradores. No existe el “usuario de confianza” por defecto.

Escritorio remoto blindado

En lugar de permitir una conexión directa a un PLC, switch industrial o interfaz SCADA, el usuario accede a un escritorio remoto completamente blindado y controlado. Hasta el solo viajan los eventos de ratón, teclado, audio y vídeo. El activo no queda nunca expuesto a la red.

Esto protege frente a:

• Filtración de credenciales
• Comandos maliciosos
• Puertas traseras implantadas por VPN o RDP
• Exposición del activo OT a Internet

Segmentación y control de contexto

Los usuarios solo pueden ver y acceder a los recursos OT que les han sido específicamente asignados, y solo durante el tiempo necesario. Toda sesión queda registrada en vídeo y asociada a petición concreta.

Protección de protocolos inseguros

Endurance encapsula conexiones a servicios que usan protocolos inseguros (FTP, Telnet, VNC, http, etc.) dentro de su arquitectura blindada. Esto permite gestionar entornos heredados sin exponer vulnerabilidades conocidas.

Caso práctico:

Mantenimiento remoto de un sistema SCADA

Imaginemos una empresa energética donde un proveedor externo necesita acceder remotamente a un sistema SCADA para aplicar una reconfiguración.

Sin Zero Trust:

• Se abre un puerto VPN.
• El proveedor accede con usuario genérico.
• No hay registro de lo que hace.
• Si sus credenciales están comprometidas, el atacante entra al corazón de la red OT.

Con Endurance (Zero Trust adaptado):

• El proveedor inicia sesión con MFA.
• Accede a un escritorio remoto blindado.
• Solo tiene permisos para el SCADA específico.
• La sesión está monitorizada y grabada.
• El SCADA nunca está expuesto a Internet.

Resultado: operación segura, trazable y sin interrupciones.

Conclusión

Sí, Zero Trust es aplicable a entornos OT-IT, pero exige adaptación. No basta con aplicar las mismas reglas que usamos en IT. Se requiere una estrategia que entienda los tiempos reales, la fragilidad de los sistemas heredados y la necesidad de disponibilidad constante.

En Cosmikal, llevamos años implementando soluciones que hacen posible esa convergencia segura. Endurance no solo protege los activos digitales, sino también las infraestructuras críticas, dispositivos industriales y sistemas SCADA, respetando la lógica operativa del entorno OT.

¿Quieres saber cómo aplicar Zero Trust en tu entorno industrial?

Contáctanos.
En Cosmikal te ayudamos a hacer converger seguridad y operatividad, sin comprometer ninguno de los dos.