Cómo proteger la red de una planta que llega a Sonora

Cuando una planta de manufactura aterriza en Sonora bajo un esquema de nearshoring, la red suele montarse contra reloj: primero producir, después ordenar. El problema es que esa red improvisada —switches sin configurar, un WiFi plano para todo, accesos remotos abiertos “mientras tanto”— se queda años, y se convierte en la puerta de entrada de un incidente que detiene la línea.

Esta guía recorre, en orden de prioridad, lo que tiene que estar bien para que la red de tu operación no sea el eslabón débil. No es una lista de productos: es criterio de ingeniería que aplicamos en cada arranque.

1. Separa lo que no debería verse entre sí

El error más común es una red plana: oficinas, planta, cámaras, invitados y servidores en el mismo segmento. Si un equipo se infecta, lo alcanza todo.

La base es segmentar por VLAN según función y riesgo:

• TI corporativa (estaciones de trabajo, ERP, correo).
• OT / piso de planta (PLCs, HMIs, equipos de control) — el segmento más sensible y el que peor tolera reinicios.
• Cámaras y CCTV, que casi nunca necesitan hablar con la red de oficinas.
• Invitados / contratistas, totalmente aislados.

Entre segmentos, el tráfico pasa por el firewall con reglas explícitas: solo lo que debe comunicarse, se comunica. Todo lo demás se niega por defecto.

En entornos OT, segmentar mal puede tirar producción. Cualquier cambio de red sobre el piso de planta se hace con ventana de mantenimiento y plan de reversión.

2. Cierra los accesos remotos antes de que alguien los encuentre

Una matriz corporativa en Estados Unidos necesita ver la operación en México, y eso es legítimo. Lo que no es legítimo es resolverlo con un puerto RDP abierto a internet o una VPN compartida con una sola contraseña que conoce medio equipo.

Lo mínimo:

• Nada de RDP/SSH expuesto directo a internet. El acceso remoto entra por VPN (IPsec/SSL) o por una solución de acceso de confianza cero.
• MFA obligatorio en todo acceso remoto y administrativo. Una credencial robada no debe bastar.
• Cuentas nominales, no genéricas: si “admin” lo usan cinco personas, no hay forma de auditar quién hizo qué.

El acceso remoto bien hecho no estorba a la matriz; le da visibilidad sin abrir la casa.

3. Parcha lo que se puede y aísla lo que no

En manufactura conviven equipos modernos con máquinas que corren sobre sistemas que el fabricante dejó de soportar hace años. No siempre puedes actualizar el control de una máquina sin romper la garantía del proveedor.

La estrategia es doble:

• Parchea con disciplina todo lo que sí admite actualización: servidores, estaciones, firewall, equipos de red. Un calendario de parches mensual, con prueba previa, evita la mayoría de los incidentes oportunistas.
• Aísla lo que no se puede parchear. Si una HMI corre sobre un sistema operativo sin soporte, no la dejas en internet ni en el segmento de oficinas: la encierras en su VLAN, con acceso estrictamente controlado.

Cualquier cifra de “X% de equipos industriales sin soporte” o referencia a un CVE específico debe verificarse contra la fuente oficial del fabricante antes de citarla. [a validar]

4. Si no lo monitoreas, te enteras tarde

La diferencia entre un susto y un paro de tres días suele ser el tiempo de detección. Una red puede estar comprometida semanas antes de que algo se note en producción.

Lo que recomendamos operar, no solo instalar:

• Logs centralizados del firewall, los servidores y los controladores de dominio, retenidos el tiempo suficiente para investigar.
• Alertas sobre lo que importa: accesos administrativos fuera de horario, tráfico saliente anómalo, intentos de fuerza bruta.
• Revisión periódica, no un dashboard que nadie mira. El monitoreo sin alguien que responda es decoración.

5. Ten cómo volver atrás

Ningún control evita el 100% de los incidentes. Lo que separa una recuperación ordenada de una crisis es el respaldo:

• Respaldos bajo el principio 3-2-1 (tres copias, dos medios, una fuera del sitio), con al menos una copia inmutable o desconectada que el ransomware no pueda cifrar.
• Pruebas de restauración reales y periódicas. Un respaldo que nunca se restauró es una hipótesis, no un respaldo.

En resumen

Proteger la red de una planta nueva no es comprar una caja mágica: es segmentar, cerrar accesos, parchar con disciplina, monitorear de verdad y poder volver atrás. En ese orden. Cada punto reduce superficie de ataque y, sobre todo, reduce el tiempo en que un incidente puede detener tu producción.

Es exactamente la lógica con la que armamos nuestros diagnósticos. Si quieres saber en cuál de estos cinco frentes está tu operación hoy, y con qué prioridad atacar cada hueco, pídenos un diagnóstico: revisamos tu infraestructura y tu seguridad y te entregamos hallazgos priorizados P1/P2/P3, sin costo y sin letra chica.