SCADA moderno: límites, resiliencia y migración segura

Un programa de SCADA moderno no es un cambio cosmético para usar un navegador. Rediseña cómo los operadores observan el proceso, emiten comandos, investigan condiciones anormales y recuperan servicios. La arquitectura debe respetar el proceso físico, la autoridad de control y los procedimientos del sitio. Una pantalla cuidada no compensa límites de red débiles ni una restauración sin probar.

Definir primero el límite HMI/SCADA

El HMI presenta el estado del proceso y las acciones del operador. SCADA suele agregar adquisición, comandos de supervisión, alarmas, eventos, historia y comunicaciones remotas. Ninguno debería reemplazar la lógica del PLC, RTU, SIS o equipo local. Enclavamientos, permisivos, estados seguros y controles deterministas permanecen en su capa validada.

Por eso, un HMI web es un cliente, no una nueva capa de seguridad funcional. Debe operar en redes controladas, autenticar usuarios, autorizar cada acción y dirigir comandos por el camino de supervisión establecido. No debe exponerse directamente a Internet. El acceso remoto, si el riesgo y la operación lo justifican, requiere puntos de entrada administrados, monitoreo, duración limitada y una forma explícita de revocación.

Separar valores, historia, alarmas y eventos

Cada tipo de registro responde una pregunta distinta:

Valores actuales: describen el último estado conocido, con calidad y marca de tiempo.
Muestras del historiador: permiten analizar tendencias; el modo de captura, la banda muerta, la retención y los agregados afectan su interpretación.
Alarmas: representan condiciones anormales que pueden requerir respuesta. Su ciclo incluye activación, reconocimiento, retorno a normal, reglas de inhibición temporal y prioridad.
Eventos: registran hechos discretos como inicio de sesión, cambio de modo, comando, cambio de configuración o conmutación. Un evento aporta evidencia, pero no siempre es una alarma.

OPC UA ofrece un modelo integrado de información y servicios para datos, Alarmas y Condiciones y acceso histórico. Esa arquitectura puede mejorar la coherencia semántica, pero usar OPC UA no demuestra que una aplicación implemente todos los perfiles ni conserve cada evento ante una falla. Antes de migrar pantallas, deben definirse identificadores estables, calidad, marcas de origen y servidor, transiciones de alarma, identidad del reconocimiento y reglas de retención.

La redundancia es un mecanismo, no una promesa

Dos servidores no crean automáticamente un servicio disponible. Dependencias compartidas de almacenamiento, identidad, licencias, red o clientes pueden seguir siendo puntos únicos de falla. Es necesario documentar qué estado se replica, cómo se evita el cerebro dividido, qué inicia la conmutación y qué deben hacer luego los clientes.

El modelo de Alarmas y Condiciones de OPC UA indica que una conmutación fría o templada puede requerir refrescar eventos; una conmutación en caliente también puede necesitarlo. Las pruebas deben cubrir condiciones retenidas, reconocimientos, continuidad de secuencia, vacíos históricos y reconexión del cliente. Se informa el tiempo de recuperación y la pérdida de datos observados bajo una prueba definida, sin convertirlos en garantías generales de disponibilidad o latencia.

Construir zonas y conductos estrechos

NIST SP 800-82 Rev. 3 aborda la seguridad OT considerando restricciones de rendimiento, confiabilidad y seguridad física. Su defensa en profundidad incluye segmentación o zonas por función o ubicación. CISA también recomienda una arquitectura ICS por capas, segmentación cuando sea posible, DMZ, tráfico controlado entre ICS y la red corporativa, acceso remoto reforzado y conexiones monitoreadas.

Primero se mapean los flujos necesarios; después se abren puertos. Estaciones de operación, servicios SCADA, historiadores, estaciones de ingeniería, acceso remoto y consumidores empresariales deben ubicarse en zonas apropiadas. Solo se permite origen, destino, protocolo y dirección documentados. Una necesidad de reportes no justifica una ruta general desde clientes empresariales hacia controladores.

El mínimo privilegio se aplica a personas y servicios. Deben separarse roles de operador, ingeniería, administración, servicio y consulta. Se evitan cuentas compartidas y se registra la identidad en comandos y reconocimientos. Las credenciales OT se separan cuando lo requiere el análisis de riesgo, se protege el acceso privilegiado y se elimina el acceso inactivo. Los controles no deben bloquear procedimientos de emergencia sin una alternativa operativa aprobada.

Tratar el tiempo y la recuperación como dependencias

El análisis de alarmas falla si controladores, servidores, clientes e identidad discrepan en la hora. Hay que definir fuentes autoritativas, deriva admitida, zona horaria, cambios estacionales, semántica de las marcas de origen y servidor, y respuesta ante pérdida de sincronización. La desviación se monitorea y la calidad se conserva, en vez de mostrar una cronología incierta como si fuera válida.

La copia debe incluir configuración de servidores, alarmas, esquemas del historiador, certificados, listas de confianza, identidad, scripts, licencias cuando corresponda y mapas de interfaces. Las copias se protegen del mismo fallo administrativo o camino de ransomware que producción.

Una copia es solo una hipótesis hasta que se restaura. Los simulacros periódicos se ejecutan en un entorno aislado, verifican integridad y compatibilidad de versiones y se conectan únicamente a interfaces simuladas. Deben registrar pasos, duración, dependencias faltantes y responsables. El procedimiento se corrige con lo aprendido realmente en el ejercicio.

Migrar por etapas con una reversión real

El trabajo comienza con el inventario de activos, flujos, tags, alarmas, interfaces, usuarios, dependencias y restricciones operativas. Se captura una línea base aprobada y criterios de aceptación. La nueva plataforma se construye fuera de línea con datos grabados o generados. Luego se comparan calidad, unidades, tiempos, transiciones de alarma, historia, auditoría y roles.

El piloto cubre un área acotada en modo paralelo de solo lectura. La autoridad de escritura se transfiere después de revisar riesgos, capacitar operadores, probar accesos, validar copias y aprobar la ventana de cambio. Los disparadores de reversión se fijan antes del corte: vacíos de datos inaceptables, alarmas incorrectas, defectos en comandos, deriva horaria o conmutación fallida. La configuración anterior y un procedimiento probado de retorno se conservan hasta completar el período de observación acordado.

El siguiente fixture es documentación determinista, no una receta de conexión. Comprueba una transición de alarma y un evento de auditoría sin conectividad con planta:

{"sequence":1,"source":"SIM-TANK-01","kind":"alarm","state":"active","priority":2,"sourceTime":"2026-07-24T10:00:00.000Z"}
{"sequence":2,"source":"SIM-TANK-01","kind":"alarm","state":"acknowledged","priority":2,"sourceTime":"2026-07-24T10:00:05.000Z"}
{"sequence":3,"source":"SIM-HMI-01","kind":"event","action":"login","actor":"fixture-operator","sourceTime":"2026-07-24T10:00:06.000Z"}