Reglas de firewall para el gateway de OEE: qué debe pedir IT

Puntos clave

• Coloque el gateway en el Nivel 3 o en la DMZ, nunca en la red de oficina.
• Hacia abajo, solo lectura: solo los PLC de la lista, solo con su propio protocolo.
• Hacia arriba, solo saliente: cifrado, hacia hosts con nombre.
• Ninguna regla entrante desde internet hacia la red OT.
• Registre cada conexión y revise las reglas cuando cambie una línea.

Dé a un gateway de OEE lo mínimo posible. Necesita leer las máquinas por un lado y enviar datos hacia fuera por el otro. Nunca necesita una conexión entrante desde internet y nunca necesita escribir en un PLC.

Fabrico, software de OEE y light MES con cámaras de IA, describe este esquema en su propio artículo sobre conectividad con PLC. Es un gateway de solo lectura en la DMZ que envía datos solo hacia fuera por HTTPS. Las reglas exactas para su planta se acuerdan con el equipo técnico de Fabrico. Abajo tiene una lista de comprobación que sus responsables de IT y OT pueden usar con cualquier proveedor.

¿Dónde debe estar un gateway de OEE en la red de planta?

La mayoría de las plantas describen su red con el modelo Purdue. Apila los sistemas en niveles:

• Niveles 0 a 2: sensores, máquinas y sus PLC.
• Nivel 3: operaciones de planta, donde viven los sistemas MES y OEE.
• Nivel 3.5: la DMZ industrial, con firewalls, proxies, copias del historian y servidores de salto.
• Nivel 4: IT de negocio, sin conexión directa con el Nivel 2 ni inferiores.

La DMZ es el colchón entre ambos. El CERT nacional de España, INCIBE, dice que la DMZ "impide o al menos dificulta" que los ataques pasen entre IT y OT.

Un gateway de OEE va en el Nivel 3 o en esa DMZ. Desde ahí puede llegar a los PLC que lee y puede enviar datos hacia fuera por un único camino controlado.

¿Qué reglas de firewall necesita un gateway de OEE?

Pocas, y todas iniciadas por el propio gateway.

1. Hacia cada PLC de la lista: permita el gateway con el protocolo de ese PLC y una cuenta de solo lectura. Deniegue cualquier otro dispositivo.
2. Hacia los servidores del proveedor: permita solo saliente, cifrado, hacia nombres de host concretos. HTTPS o MQTT sobre TLS son las opciones habituales.
3. Hora y nombres: permita el servidor de hora y el DNS de la propia planta. Las horas de parada valen lo que vale el reloj.
4. Acceso de soporte: si el proveedor lo necesita, páselo por su servidor de salto, activado por sesión y registrado.
5. Todo lo demás: denegado, y registre lo que se deniega.

Ejemplo resuelto: un conjunto de reglas de ejemplo para una línea

Línea de ejemplo (cifras ilustrativas, no de un cliente). La línea 4 tiene tres máquinas. El gateway de OEE está en la zona "Línea 4 OT". Los puertos de abajo son los valores por defecto habituales; confírmelos para cada dispositivo y con su proveedor.

Son 6 reglas de permiso, todas ellas conexiones que abre el gateway. El firewall necesita 0 reglas de permiso entrantes. Si un proveedor le pide una, pregunte por qué, por escrito.

El mismo esquema escala. Una segunda línea añade sus propias reglas de PLC. La regla hacia arriba sigue igual.

¿Qué debe preguntar IT a un proveedor de OEE sobre seguridad?

El riesgo es real. En una encuesta a 1.560 responsables de decisión industriales de 17 países, el 46% había sufrido un incidente cibernético en el último año. La seguridad y el cumplimiento normativo quedaron segundos en su lista de necesidades al comprar un MES, citados por el 43%.

• ¿Qué partes de la IEC 62443 siguen? A un proveedor de software se le juzga por la parte 4-1, el proceso de desarrollo seguro, y la parte 4-2, los requisitos para componentes.
• ¿Todas las conexiones con PLC son de solo lectura? ¿Puede nuestro ingeniero de control ver la lista completa de tags?
• ¿A qué hosts y puertos llama el gateway? Consiga la lista antes de la instalación, no después.
• ¿Cómo se guardan y se cambian las contraseñas y los certificados?
• ¿Cómo llegan las actualizaciones al gateway y quién las aprueba?
• ¿Quién puede acceder al gateway para soporte y dónde queda registrado?
• ¿Qué pasa con los datos cuando se cae el enlace?

Nuestra guía de zonas y conductos según IEC 62443 explica cómo agrupar los dispositivos en zonas. La guía de compra de MES en la nube para IT añade preguntas sobre disponibilidad y propiedad de los datos.

¿Qué errores abren la red OT?

1. Un gateway en la red de oficina con un camino hacia abajo hasta los PLC.
2. Una redirección de puerto entrante dejada abierta "para soporte".
3. Una regla "de cualquiera a cualquiera" que quedó de la puesta en marcha.
4. Derechos de escritura en la cuenta del gateway en el PLC.
5. Una sola contraseña de administrador compartida en el gateway de todas las plantas.
6. Sin sincronización horaria, de modo que los registros del firewall y los de paradas no cuadran.

¿Dónde encaja Fabrico?

Fabrico es una plataforma de rendimiento de fabricación con visión artificial. El OEE y el light MES van primero. Lee la señal de la máquina, registra cada parada y le pone precio.

• Registro automático de paradas desde tags de PLC, dispositivos IoT o cámaras.
• OEE en vivo por línea y turno, con cada pérdida valorada en dinero.
• Un clip de cámara como prueba de una parada, donde haya una cámara.
• Un piloto en una línea, que da a IT un alcance pequeño y claro para revisar primero.

El artículo de Fabrico sobre conectividad con PLC para el OEE describe su gateway de solo lectura en la DMZ con HTTPS solo saliente. La arquitectura para su planta se confirma con el equipo técnico de Fabrico antes de la instalación. Vea el producto en la página de OEE con visión artificial, y más preguntas de IT en software de OEE para responsables de IT.

No hay plan gratuito ni niveles: cada planta recibe su presupuesto.

Preguntas frecuentes

¿Un sistema de OEE necesita reglas de firewall entrantes?

No debería. El gateway abre él mismo todas las conexiones: hacia abajo, a los PLC que lee, y hacia fuera, a los servidores del proveedor. Nada de internet necesita entrar en la red OT. Si un proveedor le pide una regla entrante, pida el motivo y una alternativa por escrito.

¿El gateway de OEE debe estar en la DMZ?

El Nivel 3 o la DMZ industrial en el Nivel 3.5 son los sitios habituales. Los dos mantienen el gateway lejos de la red de oficina y le permiten llegar a los PLC que lee. Su responsable de seguridad OT decide qué zona encaja en su planta, según cómo esté ya dividida la red.

¿Puede un gateway de OEE escribir en el PLC?

No debería poder. Dé a su cuenta derechos de solo lectura en el PLC o en el servidor OPC UA, y compruébelo en el controlador. El OEE necesita estados, conteos y códigos de fallo. Nada de eso exige escribir un solo valor de vuelta en la máquina.

¿Qué puertos usa un gateway de OEE?

Depende de los protocolos de PLC de sus líneas y de cómo envía el proveedor los datos hacia fuera. Pida la lista completa de hosts y puertos antes de la instalación. El conjunto de reglas de ejemplo de arriba muestra un esquema típico: unas pocas reglas de solo lectura hacia abajo y una regla cifrada hacia fuera.

¿Es seguro un sistema de OEE en la nube para una red OT?

Puede serlo, cuando el gateway está en la zona correcta, solo lee y envía datos solo hacia fuera por un enlace cifrado. Compruebe el proceso de desarrollo del proveedor frente a las partes 4-1 y 4-2 de la IEC 62443, y empiece por una línea para que IT pueda revisar un alcance pequeño.

Traiga sus preguntas de red a una demo

Traiga su diagrama de red OT. Le mostraremos dónde va el gateway y lo que cuestan por turno las paradas de una línea.

Solicitar una demo · Contáctenos