Hitachi Vantara potencia el almacenamiento híbrido en Azure
La compañía incorpora grabación, monitoreo en tiempo real y capacidad de intervención humana en los accesos remotos a sistemas OT, con el objetivo de reducir riesgos de terceros y facilitar las auditorías de cumplimiento.
AppGate anunció una ampliación de su solución Zero Trust Network Access (ZTNA) para tecnología operativa (OT), que incorpora capacidades de gobernanza de sesiones. La actualización permite grabar conexiones remotas, supervisar la actividad en tiempo real y dar a los responsables autorizados la capacidad de finalizar una sesión cuando detecten acciones que excedan los permisos establecidos.
La propuesta se dirige a operadores de infraestructuras críticas que necesitan gestionar el acceso de empleados, contratistas, proveedores y fabricantes de equipos originales (OEM) a instalaciones y sistemas industriales. Sectores como energía, manufactura, servicios públicos y sanidad dependen cada vez más de estas conexiones para mantener y administrar sus operaciones.
La novedad amplía la solución para OT que AppGate presentó en marzo de 2026. Mientras aquella versión se centraba en controlar quién podía acceder a los sistemas críticos, la nueva incorpora mecanismos para gobernar lo que sucede una vez establecida la conexión.
Controlar la sesión sin automatizar decisiones críticas
Uno de los elementos centrales de la actualización es mantener a una persona al frente de las decisiones que pueden comprometer la seguridad o disponibilidad de una instalación.
Las herramientas de seguridad pueden detectar comportamientos anómalos, pero una respuesta automática no siempre resulta adecuada en entornos industriales. Una acción de contención equivocada podría interrumpir una línea de producción, afectar al suministro eléctrico o de agua, o comprometer procesos esenciales.
AppGate plantea un modelo en el que los supervisores pueden observar las sesiones activas y terminarlas cuando sea necesario. La compañía busca así combinar el control de acceso con una capacidad de intervención que tenga en cuenta las consecuencias operativas de cada decisión.
“Cada sesión remota en un entorno OT representa una decisión de negocio y los operadores deben gobernarla como tal”, afirmó Leo Taddeo, CEO de AppGate.
La solución también permite grabar las sesiones de acceso remoto. Según la empresa, cuando se activa la política de grabación con un enfoque fail-closed, la conexión no llega a iniciarse si no es posible comenzar la grabación. El objetivo es evitar sesiones gobernadas que carezcan de un registro verificable de actividad.
Menos exposición a proveedores y credenciales comprometidas
El acceso remoto de terceros constituye uno de los principales escenarios de riesgo que aborda la actualización. Los proveedores y fabricantes necesitan conectarse para realizar tareas de mantenimiento, diagnóstico o asistencia técnica, pero una credencial comprometida puede convertirse en una vía de entrada a sistemas que controlan procesos físicos.
AppGate Session Governance permite almacenar credenciales en una bóveda segura e introducirlas automáticamente al iniciar la sesión, sin exponerlas al tercero que se conecta. Además, los permisos pueden limitarse a los activos, protocolos y ventanas temporales autorizados.
Este enfoque busca reducir la dependencia de cuentas VPN permanentes y limitar las posibilidades de movimiento lateral dentro de la infraestructura industrial. Incluso si una credencial queda comprometida, el acceso permanece restringido al alcance previamente definido, según la descripción del fabricante.
La actualización también permite utilizar el inventario y las agrupaciones de activos OT que ya mantiene la organización para establecer políticas de acceso. De esta forma, los permisos pueden definirse según el contexto de los activos y no depender exclusivamente de listas estáticas de direcciones.
La compañía afirma que estas capacidades se integran con las herramientas de monitoreo e ingeniería existentes, sin exigir su sustitución ni rediseñar la arquitectura de red en producción.
Auditorías y cumplimiento normativo
La grabación de sesiones y los registros de acceso también buscan reducir el trabajo manual asociado a las auditorías. Los operadores necesitan demostrar no solo qué usuarios se conectaron a los sistemas críticos, sino también qué actividades realizaron durante sus sesiones.
AppGate señala que la evidencia generada puede respaldar evaluaciones de cumplimiento relacionadas con IEC 62443, NERC CIP-005 Interactive Remote Access, NIST SP 800-82 y Cybersecurity Maturity Model Certification (CMMC), siempre que se habilite la gobernanza de sesiones correspondiente.
Estas referencias cubren distintos marcos y requisitos de ciberseguridad industrial, acceso remoto y protección de sistemas. La disponibilidad de registros, sin embargo, no implica por sí sola el cumplimiento integral de cada estándar: las organizaciones deben evaluar sus obligaciones específicas y los controles que tienen implantados.
Para los responsables de seguridad y tecnología, disponer de evidencias de las sesiones puede facilitar la investigación de incidentes y la demostración de que los accesos se realizaron bajo las condiciones autorizadas.
Una arquitectura local para entornos críticos
AppGate indica que su solución para OT utiliza la misma arquitectura de enrutamiento directo y operación local de AppGate ZTNA. Puede funcionar en redes aisladas o desconectadas, sin depender de una comunicación continua con la nube para gestionar el acceso y la gobernanza.
La plataforma cuenta, según la compañía, con certificación bajo NIAP Common Criteria y criptografía validada por FIPS. Estos elementos forman parte de la arquitectura de seguridad anunciada por el fabricante.
La propuesta permite aplicar un enfoque común de Zero Trust a entornos de tecnología de la información (IT) y tecnología operativa (OT), manteniendo los requisitos particulares de riesgo, rendimiento y disponibilidad de cada uno.
Daniel Pérez, director de Ventas para Latinoamérica de AppGate, destacó que las organizaciones industriales de la región necesitan reforzar los controles de acceso sin introducir mecanismos que puedan detener una planta o alterar los procesos físicos.
“En Latinoamérica, los sectores como energía, manufactura, utilities y otras industrias críticas dependen cada vez más de la conectividad remota para operar y mantener sus instalaciones, controlar quién accede a los entornos OT y qué puede hacer una vez dentro se vuelve fundamental”, afirmó Daniel Pérez, Director de Ventas para Latinoamérica de AppGate.
Y agregó: “las organizaciones necesitan fortalecer su postura de seguridad sin introducir controles que puedan afectar la continuidad de procesos físicos. Esta evolución de AppGate para OT responde precisamente a esa necesidad, la pregunta no es si fortalecer la seguridad de sus entornos OT, sino cómo hacerlo sin detener la planta ni rediseñar la arquitectura que ya tiene en producción. AppGate ZTNA para entornos OT resuelve exactamente esa tensión, aplica Zero Trust sobre la infraestructura existente, sin exigir cambios de red ni interrupciones en los procesos físicos. El resultado es gobernanza real sobre cada conexión, quién accede, a qué activo y bajo qué condiciones. Seguridad y continuidad dejan de competir entre sí”.
La solución está disponible para clientes que utilizan AppGate ZTNA versión 7.0 o posterior.
La seguridad industrial exige gobernar lo que ocurre después del acceso
La ampliación anunciada por AppGate refleja una evolución en la protección de entornos OT: pasar de verificar quién puede conectarse a controlar también las actividades que se desarrollan durante la sesión.
Para los CIO y responsables de ciberseguridad industrial, el desafío consiste en equilibrar tres objetivos: limitar el acceso de terceros, disponer de evidencias verificables para investigar y auditar las conexiones, y preservar la continuidad de los procesos físicos.
La supervisión en tiempo real, la gestión segura de credenciales y la posibilidad de intervenir ante actividades de alto riesgo ofrecen mecanismos para abordar ese equilibrio. Su eficacia dependerá, no obstante, de la configuración de las políticas, la integración con los controles existentes y la preparación de los equipos responsables de responder ante incidentes.
En infraestructuras críticas, la seguridad no puede evaluarse únicamente por su capacidad para bloquear amenazas. También debe medirse por su capacidad para mantener el control sin generar interrupciones operativas innecesarias.
