Segmentación de red
Una planta solar rara vez es una única red plana. Detrás del router de la instalación suele estar la red de control con los inversores, los registradores y el telecontrol — y junto a ella una red para las cámaras, otra para la alarma y el control de accesos, y otra para el propio hardware de red.
Las personas que trabajan en esas redes rara vez son las mismas. La empresa de alarmas necesita llegar a las cámaras. No tiene nada que hacer en los inversores.
Eso es exactamente lo que expresa la segmentación de red en Mirox: cada red se etiqueta y cada socio alcanza solo los segmentos que le hayas concedido.
Por qué importa para KRITIS y NIS2
El control de la planta es la parte de una planta solar que interesa a los marcos regulatorios. KRITIS y NIS2 esperan que los operadores mantengan el acceso al mínimo imprescindible y que sea demostrable — es decir, poder responder a quién podía alcanzar el control y quién lo alcanzó realmente.
La segmentación aporta ambas mitades de esa respuesta:
- Mínimo privilegio por construcción. A una organización asociada se le conceden segmentos concretos. Todo lo demás — ante todo la red de control — no solo se oculta en su interfaz: está ausente del enrutamiento de su acceso remoto. No puede alcanzarla aunque conozca la dirección.
- Trazabilidad. Cada sesión de acceso remoto queda recogida en el registro de accesos de la planta: quién se conectó, a qué dispositivo, cuándo y durante cuánto tiempo. También los intentos rechazados.
Así puedes incorporar a un proveedor de seguridad externo a una planta sin ampliar su alcance a los equipos de producción — y demostrarlo.
Los segmentos
Cada red registrada en Mirox puede llevar una o varias etiquetas. No son excluyentes: una VLAN con cámaras y una central de alarma recibe ambas.
| Segmento | Qué pertenece a él |
|---|---|
| Infraestructura de red | Routers, switches, cortafuegos, puntos de acceso. |
| Cámaras | Cámaras, grabadores NVR, codificadores de vídeo. |
| Sistemas de seguridad | Centrales de alarma, control de acceso, detección perimetral y de intrusión. |
| Control de la planta | Inversores, registradores, telecontrol (PLC). |
El control de la planta es una restricción, no solo una etiqueta. Una red con esa etiqueta queda fuera del alcance de un rol limitado a segmentos aunque lleve además una etiqueta concedida a ese rol — porque una cámara que comparte VLAN con el controlador de la planta no hace que el controlador sea seguro de exponer.
Redes sin etiquetar
Una red sin etiquetas está sin clasificar. Para tu propio equipo no cambia nada: operadores y gestores técnicos y comerciales alcanzan esas redes igual que siempre.
Pero un rol cuyo alcance se define por segmentos no entra en ellas. Es deliberado: nadie ha dicho qué hay dentro y, en una planta solar, una red sin etiquetar bien puede llevar inversores — Mirox no lo adivina.
Consecuencia práctica: después de conceder a alguien el rol Responsable de seguridad, etiqueta las redes que debe alcanzar. Hasta entonces no verá nada.
El rol Responsable de seguridad
Responsable de seguridad es el primer rol cuyo alcance se define mediante estas etiquetas. Está pensado para un proveedor externo de alarma, videovigilancia o protección perimetral:
- Alcanza los dispositivos de red de sus segmentos concedidos por las dos vías de acceso remoto — el proxy de dispositivos y la VPN personal.
- Lee el registro de accesos de la planta y ve así su propio rastro.
- Puede crear y seguir tickets sobre lo que encuentre.
- No ve ningún dato de producción, rendimiento, ingresos o contratos — esas partes de Mirox no existen para este rol.
- Nunca alcanza una red de control de la planta.
El rol se concede por planta o por cartera, o se comparte mediante una cooperación con la organización del socio. Ningún rol de organización se convierte en él por sí solo.
Pide al proveedor que active la 2FA antes de la primera visita
Un Responsable de seguridad trabaja solo por acceso remoto, así que la autenticación de dos factores (2FA) importa más para este rol que para ningún otro. El proxy de dispositivos siempre requiere 2FA en la cuenta del usuario y un inicio de sesión vigente. Y si la organización propietaria de la planta exige 2FA, la planta sigue oculta en Mirox hasta que el usuario del proveedor tenga un segundo factor. La VPN personal se basa en un certificado y no depende de la 2FA.
Puesta en marcha
- Abre los ajustes de red de la planta y etiqueta cada red según lo que contiene. Puedes hacerlo al crear una conexión VPN o después, sobre una ya existente.
- Concede al socio el rol Responsable de seguridad — en una sola planta, en una cartera o mediante una cooperación con su organización.
- Comprueba el resultado en la lista de dispositivos de la planta: el socio solo ve los dispositivos dentro de sus segmentos.
Las etiquetas pueden cambiarse en cualquier momento. Quitar una deja la red fuera de alcance en la siguiente conexión del socio; añadir una la abre. No hace falta volver a emitir credenciales.
Relacionado
- Sistema de permisos — los roles a los que se aplican estos segmentos.
- Política de seguridad de la organización — cuándo se exige un segundo factor para ver una planta.
- Registro de accesos — quién alcanzó qué y cuándo.
- Restricciones de cooperación — qué puede recibir una organización asociada.
- Acceso remoto — cómo el proxy de dispositivos y la VPN personal alcanzan una planta.