Capítulo 8 — Acceso remoto de los proveedores
Mapa de la lección
Lección 08 publicada. Mapa, ejemplo, EX029.
flowchart TD
N0["Resultados de aprendizaje"]
N1["8.1 Por qué se conectan los proveedores"]
N2["8.2 Qué encontró el aviso"]
N3["8.3 Un patrón más seguro"]
N4["8.4 Terminar la sesión"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX029"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["8.1 Por qué se conectan los proveedores"]
N2["8.2 Qué encontró el aviso"]
N3["8.3 Un patrón más seguro"]
N4["8.4 Terminar la sesión"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX029"]
[Resultados de aprendizaje]
|
v
[8.1 Por qué se conectan los proveedores]
|
v
[8.2 Qué encontró el aviso]
|
v
[8.3 Un patrón más seguro]
|
v
[8.4 Terminar la sesión]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX029]
Resultados de aprendizaje
Usted podrá (1) describir cómo acceden los proveedores a distancia a los sistemas de la planta; (2) explicar las lecciones del aviso de 2021 sobre la planta de agua de Oldsmar; y (3) llevar una sesión remota siguiendo una lista de comprobación sencilla.
8.1 Por qué se conectan los proveedores
Los fabricantes de máquinas dan soporte remoto a sus equipos para diagnosticar averías sin desplazarse. Es útil, pero un enlace permanente y siempre activo hacia la línea es también una entrada permanente para cualquiera que robe las credenciales. En HPFL, el fabricante de la envolvedora necesita de vez en cuando leer los registros de averías. Esa necesidad es real, y rechazar todo acceso remoto supondría esperar días a una visita. La respuesta es permitir el acceso solo por una ruta controlada, para un trabajo concreto y bajo la vigilancia del emplazamiento.
8.2 Qué encontró el aviso
El aviso de CISA AA21-042A describe el compromiso de una instalación de tratamiento de agua de EE. UU. en 2021 en el que se usó software de acceso remoto para llegar a un sistema de control. Sus recomendaciones incluyen usar autenticación multifactor, contraseñas robustas para el escritorio remoto, cerrar los puertos de escritorio remoto que no se usen y auditar las conexiones remotas. Esos puntos se aplican directamente a una línea de envasado. En HPFL eso significa comprobar que no se ejecuta software de escritorio remoto directamente en HMI-1 ni en ENG-LT, que las cuentas de los proveedores usan autenticación multifactor y que las sesiones remotas se registran y se revisan. La reunión de lecciones aprendidas del capítulo 16 encontró más tarde un puerto de escritorio remoto en HMI-1 abierto por un contratista, justo el tipo de ruta contra el que advierte el aviso.
8.3 Un patrón más seguro
El acceso remoto pasa por una única pasarela controlada por el emplazamiento en la DMZ, nunca por software instalado directamente en las HMI. Cada proveedor tiene una cuenta nominativa con autenticación multifactor. La conexión está desactivada por defecto y se activa para la ventana de una sesión con ticket. Alguien del emplazamiento vigila la sesión y puede terminarla. Las sesiones se registran y se revisan. Recoja el patrón en un procedimiento breve que los proveedores reciban antes de su primera sesión. El supervisor abre un ticket con una franja horaria; el técnico activa la cuenta y vigila. Si un proveedor pide acceso permanente, la petición va al supervisor y normalmente se rechaza.
8.4 Terminar la sesión
Cuando termina el trabajo, la cuenta se vuelve a desactivar, se deja constancia del cambio y el operador confirma que la línea se comporta con normalidad. Una sesión que se deja activada «para la próxima vez» es el fallo más común. En HPFL, Tomás desactivó la cuenta del proveedor a las 14:38, antes de que se cerrara la ventana, y anotó en el ticket las horas de inicio y fin. Revise las cuentas de proveedores cada semana para confirmar que ninguna se ha quedado activada. Una cuenta encontrada activada fuera de un ticket se notifica como hallazgo. Confirme también que el cambio del proveedor figura en el registro.
Ejemplo resuelto (HPFL sintética)
El fabricante de la envolvedora necesita leer un registro de averías. El supervisor abre el ticket 4471 para las 14:00–14:45. Tomás activa la cuenta del proveedor en la pasarela, vigila la pantalla compartida, ve que el ingeniero solo abre el visor de averías y desactiva la cuenta a las 14:38.
Caso sintético — HPFL. El ticket, el proveedor y los horarios son inventados.
Errores y límites
Algunas máquinas llegan con módems celulares integrados para el soporte del proveedor; eluden por completo la pasarela y hay que localizarlos y controlarlos. Vigilar una sesión no permite detectarlo todo; el registro y la revisión añaden una segunda comprobación.
Ejercicios — capítulo 8
- EX029 — Recomendaciones del aviso. Nombre tres recomendaciones de AA21-042A. Rúbrica: 3 = tres entre MFA, contraseñas robustas de RDP, cerrar los puertos RDP sin uso, auditar las conexiones remotas; 2 = dos; 1 = una; 0 = nada.
- EX030 — Enlace siempre activo. Explique por qué «el enlace del proveedor está siempre activo para que el soporte sea más rápido» es un riesgo. Rúbrica: 3 = entrada permanente para credenciales robadas, uso sin vigilancia; 2 = riesgo vago; 1 = estar de acuerdo; 0 = nada.
- EX031 — Registro de la sesión. ¿Qué debería escribir Tomás en el ticket 4471 tras la sesión? Rúbrica: 3 = nombre o cuenta del proveedor, inicio y fin, qué se hizo, cuenta desactivada, línea normal; 2 = parte; 1 = «hecho»; 0 = nada.
- EX032 — El módem oculto. Durante un recorrido por la planta, Tomás encuentra un módem celular en el armario de la llenadora. ¿Por qué es importante? Rúbrica: 3 = elude la pasarela, la MFA y el registro; camino no gestionado; notificarlo al responsable; 2 = uno; 1 = retirarlo él mismo; 0 = nada.
Síntesis del capítulo
El acceso de los proveedores pasa por una sola pasarela, con cuentas nominativas y multifactor, activadas solo durante ventanas vigiladas y registradas.
Siga estudiando — capítulo 08 de 18
← Capítulo 07 (borrador) · Índice de capítulos del curso · Capítulo 09 (borrador) →