¿Qué es la segmentación de red y para qué sirve?

Segmentar la red es dividirla en zonas separadas (producción, administración, invitados, cámaras, servidores) con reglas de qué puede hablar con qué. Sirve para que un incidente en una zona no alcance a las demás y para que cada equipo vea solo lo que necesita.

Una red plana: cuando todo puede hablar con todo

La mayoría de las redes industriales crecieron por acumulación. Primero fueron las computadoras de oficina; después llegaron las impresoras, el servidor, los controladores de la línea, las cámaras, los teléfonos IP y el WiFi de los visitantes. Cada equipo nuevo se conectó al switch que tenía un puerto libre, y el resultado es una red plana: un solo espacio donde cualquier dispositivo puede alcanzar a cualquier otro. Funciona todos los días, hasta el día en que uno de esos dispositivos se convierte en la puerta de entrada.

El contratista, la impresora y el controlador en la misma mesa

En una red plana, la laptop del contratista y el controlador de la línea de producción están, para efectos prácticos, sentados en la misma mesa. Un equipo infectado no necesita atravesar ninguna defensa para buscar al siguiente: los encuentra en la misma red, con los mismos permisos. Y un controlador industrial, diseñado hace años para hablar con su computadora de supervisión y nada más, rara vez tiene forma de defenderse de una petición que no esperaba.

Lo que el firewall del perímetro no puede ver

El firewall vigila la frontera entre tu red e internet, y ahí hace bien su trabajo. Lo que ocurre entre dos equipos dentro de la red nunca pasa por él. Por eso una empresa puede tener un firewall de nueva generación bien configurado y, al mismo tiempo, una red interna donde un incidente viaja de la sala de juntas al piso de producción en minutos. La segmentación es la defensa que trabaja adentro, donde el perímetro no llega.

Qué es segmentar y cómo se ve en la práctica

Segmentar es construir paredes lógicas dentro de la red: dividirla en zonas según la función de los equipos y definir, para cada par de zonas, si pueden comunicarse, en qué dirección y para qué servicios. La red física puede ser la misma; lo que cambia es que ya no todo alcanza a todo.

VLAN: la separación lógica sobre el mismo cableado

La herramienta básica es la VLAN, una red virtual que agrupa puertos y dispositivos aunque estén repartidos en varios switches. Un switch administrable puede tener el puerto de la sala de juntas en la VLAN de invitados, el del servidor en la de servidores y el del controlador en la de producción, sobre el mismo cableado estructurado. Sin switches administrables, la segmentación no existe; con ellos, es cuestión de diseño y configuración.

Reglas entre zonas: el firewall interno decide quién cruza

Separar en VLAN sin reglas entre ellas es como poner paredes sin puertas cerradas. La segmentación se completa cuando un firewall interno, o el propio firewall de nueva generación con interfaces por zona, decide qué tráfico cruza de una a otra: la computadora de supervisión puede hablar con el controlador por el protocolo de la línea, y nadie más; el servidor de cámaras recibe video de las cámaras y entrega a la sala de monitoreo, y nada más. Todo lo que no está permitido explícitamente, se bloquea.

Las zonas típicas de una planta industrial

Aunque cada planta es distinta, casi todas terminan con las mismas zonas: producción u OT, con controladores, HMI y equipos de línea; administración, con las computadoras de oficina; servidores y aplicaciones; telefonía IP; videovigilancia y control de acceso; WiFi de invitados y contratistas; y una zona de gestión para los propios switches y firewalls. Cada una tiene sus reglas hacia las demás, y la de invitados solo sale a internet.

Para qué sirve más allá de la seguridad

La segmentación se justifica sola por contención de incidentes, pero sus beneficios operativos son los que el equipo de TI nota primero.

Contención: el incidente que se queda en su zona

El beneficio principal sigue siendo el que evita el escenario de la apertura. Con la red segmentada, la laptop del contratista vive en la zona de invitados y solo sale a internet; el programa malicioso que trae busca vecinos y no encuentra ninguno. Si el incidente ocurre en administración, producción sigue trabajando mientras sistemas lo contiene. Y cuando llega la hora de investigar, el registro del firewall interno muestra qué intentó cruzar, desde dónde y hacia dónde, que es la información que en una red plana nunca existe.

Rendimiento: menos ruido en cada zona

En una red plana, cada dispositivo escucha el tráfico de difusión de todos los demás. Con cientos de equipos, ese ruido consume capacidad y provoca lentitud que nadie sabe explicar. Al segmentar, cada zona solo escucha lo suyo, y servicios sensibles como la telefonía IP o el video pueden recibir prioridad sin competir con las descargas de la oficina.

Cumplimiento: lo que piden auditorías y clientes

Cada vez más clientes industriales, sobre todo en automotriz, alimentos y farmacéutica, auditan la seguridad de la red de sus proveedores antes de firmar. Los marcos de seguridad para entornos industriales parten de la separación por zonas como requisito básico. Una red segmentada, con su diagrama y sus reglas documentadas, responde esa auditoría en una tarde; una red plana la reprueba en la primera pregunta.

Cómo se diseña la segmentación sin detener la planta

El temor más común es que segmentar rompa algo que hoy funciona. Se evita con método: inventario, diseño y fases.

Inventario de dispositivos y flujos

El primer paso es saber qué hay conectado y quién habla con quién. Un levantamiento de la red identifica cada dispositivo, su función y sus comunicaciones reales, incluidas las que nadie recuerda haber configurado. Ese mapa es el que evita bloquear, al segmentar, el flujo que el sistema de calidad usaba para leer datos de la línea.

Implementación por fases y switches administrables

Con el mapa en la mano, se definen las zonas y las reglas, y se implementan por fases: primero las zonas de menor riesgo operativo, como invitados y administración, y al final producción, en una ventana acordada con la planta y con marcha atrás preparada. Si los switches actuales no son administrables, su reemplazo es parte del proyecto. En TeleCloud diseñamos e implementamos la segmentación con equipos certificados y con el levantamiento previo como base, para que la planta no note el cambio más que en lo que deja de pasar.

Los errores que vuelven inútil una segmentación

Hay cuatro errores que se repiten: crear VLAN sin reglas entre ellas, de modo que todo sigue cruzando; permitir «cualquier cosa» entre producción y administración porque un sistema lo necesitaba y nadie acotó qué; dejar las cámaras o el WiFi de invitados en la misma zona que las computadoras de oficina; y no documentar las reglas, de modo que el siguiente técnico las abre para resolver una falla y nadie las vuelve a cerrar. Una segmentación es tan buena como la disciplina con la que se mantiene.

La forma de sostenerla es tratar las reglas como parte de la operación: un responsable, un diagrama vigente, un procedimiento para abrir una regla nueva con fecha de revisión, y una revisión trimestral de lo que se abrió y ya no se usa. Con eso, la segmentación que se diseñó en el proyecto sigue existiendo dos años después, que es cuando suele probarse.

Si en tu planta cualquier puerto libre da acceso a la misma red que los controladores de producción, tu firewall está cuidando una puerta mientras el edificio no tiene paredes. En TeleCloud levantamos el mapa de tu red, diseñamos las zonas y las implementamos por fases sin detener la operación. Solicita el diagnóstico en https://telecloud.com.mx