Acceso remoto industrial: PLC y máquinas sin abrir puertos

El acceso remoto industrial permite llegar a un PLC desde cualquier sitio, y también es por donde entran muchos ataques. Se puede hacer sin abrir puertos.

Cualquier fabricante de maquinaria conoce la llamada. Hay una línea parada a 600 km, el cliente quiere a alguien mirando el autómata ya, y el técnico más cercano está a un día de viaje. El acceso remoto convierte ese día en veinte minutos. Por eso casi todas las plantas acaban teniendo alguna forma de acceso remoto, muchas veces instalada con prisa durante la puesta en marcha y nunca revisada después.

El problema está en cómo se instala. Un puerto reenviado en el router, una herramienta de escritorio remoto que se queda abierta en el PC de ingeniería, o una VPN que le da a un proveedor toda la red de la planta. Las tres cosas funcionan, y las tres dejan una entrada que nadie vigila.

Esta guía está pensada para integradores y fabricantes de maquinaria que necesitan dar servicio a distancia sin convertirse en el punto débil de su cliente. Separa las dos necesidades que suelen mezclarse, explica el principio de la conexión solo saliente, compara las arquitecturas habituales y enumera los controles que va a pedir el departamento de IT de la planta.

Por qué falla el acceso remoto industrial

Los autómatas se diseñaron para redes cerradas. ModbusMProtocoloModbusEl bus de campo industrial más extendidoVer perfil TCP no tiene autenticación: quien llega al puerto 502 puede leer y escribir registros. Muchos protocolos de ingeniería parten de la misma idea, la de que quien está en la red tiene permiso para estar. El acceso remoto rompe esa idea, y por eso la forma de montarlo importa más que en una red de oficina.

Estos son los cuatro montajes que causan la mayoría de los problemas.

El reenvío de puertos. Alguien abre un puerto en el router de la planta y lo apunta al PLC o al HMI. Se hace en cinco minutos y funciona desde cualquier sitio. También funciona para cualquiera: los escáneres de internet indexan de forma continua los equipos que responden en puertos industriales, y a partir de ahí el autómata está a una contraseña por defecto de un desconocido.

Una herramienta de escritorio remoto en el PC de ingeniería. El técnico se conecta a un equipo Windows dentro de la planta y trabaja desde ahí. Ese PC suele tener el software de programación, los ficheros de proyecto y acceso a todos los autómatas. Si la cuenta de la herramienta se comparte o se reutiliza, se comparte todo eso.

Una VPN entre sedes siempre activa. La red de la planta y la del proveedor quedan unidas de forma permanente. El túnel va cifrado, lo que da sensación de seguridad, pero el cifrado no limita lo que el otro lado puede alcanzar. Un malware en un portátil de la oficina del proveedor tiene ahora una ruta hasta la planta.

Las credenciales compartidas. Un usuario llamado `service` con una contraseña que conocen todos los técnicos, incluidos los dos que dejaron la empresa el año pasado. Cuando algo cambia en un autómata, nadie puede decir quién lo hizo.

Ninguno de estos casos es raro. Aparecen porque el acceso remoto lo monta quien lo necesita en ese momento, con lo que tiene a mano, y porque una vez que funciona nadie tiene motivo para tocarlo. Nuestro artículo sobre ciberseguridad OT cubre el panorama general.

Dos necesidades: ver los datos y cambiar la máquina

Casi todas las peticiones de «acceso remoto» esconden dos necesidades distintas, y cada una pide una solución diferente.

Buena parte de las conexiones que hace un servicio técnico son solo para mirar: si la máquina está en marcha, qué alarma hay activa, cuántos ciclos lleva desde el último mantenimiento, qué temperatura había cuando se paró. Nada de eso necesita un camino hacia el autómata. Necesita que los datos salgan.

Separar las dos cosas cambia la conversación con el departamento de IT de la planta. Enviar unas variables elegidas por una conexión saliente es una petición que la mayoría de los equipos de seguridad pueden aprobar. Dar a un proveedor acceso interactivo a la red de control es otra petición, y debería ser poco frecuente, estar justificada y hacerse con supervisión.

Además reduce las veces que se usa el camino de más riesgo. Si el servicio técnico ve las alarmas y las tendencias en un dashboard, muchas incidencias se diagnostican sin abrir ninguna sesión, y las que sí la necesitan empiezan con el técnico sabiendo ya dónde mirar.

El principio de la conexión solo saliente

Detrás de todos los diseños seguros hay la misma idea: nada de lo que hay en internet puede iniciar una conexión hacia la planta. Los equipos de dentro inician todas las conexiones, hacia un destino conocido, y el cortafuegos solo permite eso.

En la práctica funciona así. Un equipo dentro de la planta, un gateway o un router pequeño, abre una conexión TLS con un servidor en la nube. El cortafuegos de la planta ve una conexión saliente hacia una dirección y un puerto, el mismo tipo de tráfico que un navegador que visita una web. No hace falta ninguna regla de entrada, ni dirección IP pública, ni reenvío de puertos. Si la planta está detrás de NAT o sale por una conexión móvil, funciona igual.

Para la monitorización, por esa conexión viajan datos. El gateway lee el autómata con su protocolo, por ejemplo Modbus u OPC UAOProtocoloOPC UAEstándar de interoperabilidad para la automatización industrialVer perfil, y publica los valores en un broker con MQTTProtocoloMQTTEl protocolo pub/sub estándar del IoTVer perfil sobre TLS, normalmente por el puerto 8883. La plataforma nunca habla con el PLC. Solo recibe lo que el gateway decide enviar. Comparamos los dos protocolos que intervienen en OPC UA frente a MQTT, y el papel del broker MQTT tiene su propia guía.

Para el acceso de ingeniería se aplica el mismo principio con una pieza más. El equipo de la planta mantiene una conexión saliente con un servicio intermediario. Cuando un técnico necesita una sesión, se autentica ante ese servicio, el servicio comprueba a qué tiene permiso para llegar y une las dos conexiones. El técnico obtiene un túnel hacia una máquina durante lo que dura la sesión. Los dos extremos llamaron hacia fuera y no quedó nada expuesto.

La conexión solo saliente no hace seguro un diseño por sí sola. Un equipo que llama hacia fuera y después da acceso a toda la red a cualquiera que tenga una contraseña compartida solo ha cambiado el problema de sitio. Lo que consigue es quitar la superficie expuesta, y así los demás controles tienen algo que proteger.

Arquitecturas comparadas

Dos filas merecen un comentario.

La VPN entre sedes no es mala en sí misma. Es la herramienta adecuada para unir dos sedes de la misma organización bajo una única política de seguridad. Se convierte en un problema cuando une dos organizaciones, porque entonces cada red hereda las debilidades de la otra.

El equipo de salto es la respuesta clásica en las plantas grandes: una máquina bastionada en una zona desmilitarizada entre la red de oficina y la de control, donde aterrizan los usuarios remotos y desde la que llegan a autómatas concretos. Funciona bien cuando la planta tiene personal para mantenerla. Un fabricante con máquinas en cuarenta plantas no puede contar con cuarenta equipos de salto bien llevados, y por eso los túneles con intermediario se han convertido en la opción habitual para los proveedores.

Las normas van en la misma dirección. La guía NIST SP 800-82, la referencia en seguridad OT, recomienda que el acceso remoto pase por una zona intermedia y nunca llegue directamente a la red de control. La serie ISA/IEC 62443 describe la misma idea con zonas y conductos: agrupar los activos por riesgo y controlar cada camino entre grupos.

Controles para un acceso remoto industrial seguro

Sea cual sea la arquitectura, estos son los controles que va a buscar el equipo de seguridad de una planta. Un proveedor que llega con ellos ya resueltos pasa antes la aprobación.

1. Cuentas nominales con doble factor. Una cuenta por persona, que se desactiva el día que se va. En Europa, la directiva NIS2 incluye la autenticación multifactor y la seguridad de la cadena de suministro entre las medidas que deben aplicar las entidades esenciales e importantes, así que los clientes de esos sectores se lo van a pedir a sus proveedores.
2. Mínimo privilegio por máquina. Un técnico llega a las máquinas que mantiene, por los puertos que necesita la tarea. El proveedor de la llenadora no ve el paletizador.
3. Acceso bajo demanda, aprobado por la planta. El túnel está cerrado por defecto. Alguien de la planta lo habilita, con una llave en el armario o con una aprobación en un portal, para una intervención concreta.
4. Límites de tiempo. Las sesiones se cierran solas pasado un tiempo. Una conexión habilitada de la que nadie se acuerda equivale a un puerto abierto.
5. Registro de cada sesión. Quién se conectó, a qué máquina, cuándo y durante cuánto tiempo. Después de un incidente es lo primero que se pide.
6. Segmentación detrás del punto de acceso. El equipo de acceso remoto está en el segmento de red de la propia máquina, no en la red troncal de la planta. Si se ve comprometido, el daño se queda en una celda.
7. Solo lectura cuando se pueda. Las conexiones de monitorización no deberían poder escribir. Si el gateway solo lee registros y los publica, un error o una intrusión en el lado de la nube no puede mover un actuador.
8. Actualizaciones del propio equipo de acceso. Los routers VPN y los gateways son ordenadores en el borde de la red. Necesitan actualizaciones de firmware como cualquier otro, y alguien tiene que hacerse cargo de esa tarea.

La parte humana pesa tanto como la técnica. Conviene dejar escrito en el contrato de servicio quién puede pedir una sesión, quién la aprueba y qué pasa fuera del horario laboral. Las guías de INCIBE-CERT sobre sistemas de control industrial insisten en lo mismo: reducir la exposición, aislar las redes de control y usar métodos seguros cuando el acceso remoto es inevitable.

Un plan de despliegue para fabricantes e integradores

Casi ningún proveedor empieza de cero. Tiene máquinas en campo con el acceso que se montó en su momento. Un plan realista sigue este orden.

1. Inventariar lo que hay. Para cada máquina instalada, apunta cómo se llega hoy a ella: puerto reenviado, herramienta de escritorio remoto, VPN, router móvil, nada. La lista suele salir más larga y más variada de lo esperado.

2. Clasificar cada necesidad. Para cada cliente, separa lo que es monitorización de lo que es acceso de ingeniería. Pregunta al servicio técnico qué conexiones del último año cambiaron algo en el autómata y cuáles fueron solo para mirar.

3. Pasar la monitorización a telemetría saliente. Instala o reutiliza un gateway que lea las variables que necesita el servicio técnico y las publique. La lista de variables se decide con el cliente. Unas pocas decenas de valores bien elegidos por máquina suelen bastar para empezar. Nuestra guía de implementación de IoT industrial describe este paso con detalle.

4. Poner el acceso de ingeniería detrás de un intermediario. Sustituye los túneles permanentes y las herramientas compartidas por acceso bajo demanda ligado a cuentas nominales. Empieza por los clientes que ya han preguntado por la seguridad, porque te ayudarán a definir el proceso.

5. Cerrar lo que queda. Quita los reenvíos de puertos, desinstala las herramientas de escritorio remoto y cambia las contraseñas que se compartían. Este es el paso que se aplaza, y el camino viejo se queda abierto al lado del nuevo.

6. Probar los casos de fallo. Corta internet en una instalación y comprueba que la máquina sigue trabajando y que el gateway guarda los datos o se recupera sin intervención. Intenta conectarte con una cuenta desactivada. Pregunta quién recibe el aviso si el gateway deja de enviar.

Un plan así también cambia la oferta comercial. La monitorización permanente es la base de un contrato de servicio con cuota mensual, y las sesiones de ingeniería a distancia siguen siendo una intervención puntual que se factura. Para un fabricante con clientes en varios países, una plataforma IoT multi-tenant mantiene separados las máquinas y los usuarios de cada cliente dentro de una misma instalación.

Dónde encaja una plataforma IoT

Una plataforma IoTITérminoIoT (Internet de las cosas)El IoT (Internet of Things) es la red de objetos físicos con sensores, software y conectividad que recogen e intercambian datos y actúan de forma autónoma.Ver perfil cubre la mitad del problema que corresponde a la monitorización. No es una herramienta para programar un PLC a distancia, y no hay que presentarla como tal. Lo que hace es resolver el motivo más frecuente para conectarse, que es mirar, sin que nadie entre en la red de la planta.

Con Cloud Studio IoT, los protocolos industriales como Modbus y OPC UA se conectan mediante un módulo de software instalado en el edge que hace de gateway. Lee el autómata en local y envía los datos a la plataforma por MQTT sobre TLS en el puerto 8883. La conexión nace dentro de la planta, así que el cortafuegos no necesita ninguna regla de entrada. Cada instancia tiene su propio servidor MQTT, con credenciales que se gestionan desde la plataforma.

Con los datos ya en la plataforma, el servicio técnico trabaja con dashboards, reglas de alarma y notificaciones por correo, SMS, WhatsApp, llamada de voz o push. El acceso se controla con permisos granulares, inicio de sesión único y doble factor nativo, y hay un registro de auditoría de lo que hacen los usuarios. Un fabricante puede dar a cada cliente su propia vista con su propia marca y conservar una vista de todo el parque para su servicio técnico. La página de IoT industrial y la solución de monitorización de maquinaria dan más detalle.

Para las sesiones de ingeniería que queden, acompaña la plataforma con una herramienta de acceso remoto con intermediario que aplique los controles de la lista anterior. Entre las dos cubren las dos necesidades, cada una con el nivel de riesgo que le corresponde. Si la planta tiene además un sistema de supervisión, nuestra introducción a qué es un sistema SCADA explica cómo se relacionan las piezas.

Conclusión

El acceso remoto industrial es un servicio que tus clientes necesitan y un riesgo que sus equipos de seguridad tienen que aceptar. Lo esencial:

• El reenvío de puertos, las herramientas de escritorio remoto compartidas, las VPN permanentes entre empresas y las contraseñas compartidas están detrás de la mayoría de los incidentes.
• Separa la monitorización del acceso de ingeniería. Mirar datos no exige un camino hacia la red de control.
• Usa conexiones solo salientes: los equipos de la planta llaman hacia fuera y el cortafuegos no tiene reglas de entrada.
• Para las sesiones de ingeniería, túneles bajo demanda con cuentas nominales, doble factor, aprobación de la planta, límites de tiempo y registro de sesiones.
• Deja el equipo de acceso en el segmento de la propia máquina y mantenlo actualizado.
• Cierra los caminos viejos cuando el nuevo funcione.

Si fabricas máquinas o integras líneas y quieres pasar tu monitorización a un modelo saliente, habla con el equipo sobre tu parque instalado.

Preguntas frecuentes

¿Qué es el acceso remoto industrial?

Es la posibilidad de llegar a un PLC, un HMI o una máquina desde fuera de la planta, normalmente para diagnosticar una parada o cambiar un programa sin desplazarse. La mayoría de las peticiones esconde dos necesidades distintas: ver cómo está funcionando la máquina y cambiar algo en el controlador.

¿Por qué es peligroso abrir un puerto hacia un PLC?

Porque funciona para cualquiera. Los escáneres de internet indexan de forma continua los equipos que responden en puertos industriales, y protocolos como Modbus TCP no tienen autenticación: quien llega al puerto 502 puede leer y escribir registros. A partir de ahí, el controlador queda a una contraseña por defecto de un desconocido.

¿Qué significa conexión solo saliente?

Que nada en internet puede iniciar una conexión hacia la planta. Un gateway o un router dentro de la planta abre una conexión TLS hacia un servidor conocido, y el cortafuegos permite solo eso. No hace falta ninguna regla de entrada, ni IP pública, ni redirección de puertos, y funciona detrás de NAT o con una conexión celular.

¿Es segura una VPN para acceder en remoto a una planta?

Una VPN entre sedes es la herramienta correcta para unir dos sedes de la misma organización bajo una única política de seguridad. Entre dos empresas se convierte en un problema: el cifrado no limita lo que el otro lado puede alcanzar, así que cada red hereda las debilidades de la otra.

¿Qué controles va a pedir el equipo de IT de la planta a un proveedor?

Cuentas nominales con autenticación multifactor, mínimo privilegio por máquina, acceso bajo demanda aprobado por la planta, límites de tiempo, registro de cada sesión, segmentación detrás del punto de acceso, monitorización de solo lectura cuando sea posible y actualizaciones del propio equipo de acceso.

¿Una plataforma IoT sustituye a una herramienta de acceso remoto?

Solo para la monitorización. La plataforma resuelve el motivo más frecuente para conectarse, que es mirar, con telemetría saliente, de modo que nadie entra en la red de la planta. No es una herramienta para programar un PLC a distancia; para esas sesiones conviene combinarla con una herramienta de acceso remoto con intermediario.