Acceso remoto de proveedores y terceros en OT, una sola máquina por sesión.
Mantenga su VPN o su enlace 4G. Access Gate añade autenticación, acceso a un solo activo, cierre automático de la sesión y un registro de cada sesión.
Última actualización:
Para dar a un proveedor acceso remoto seguro a una sola máquina, mantenga la VPN o el enlace 4G que ya usa y haga que termine en una pasarela situada delante de esa máquina. El proveedor se autentica en la pasarela con su propia identidad y MFA, en un directorio distinto del de su personal, y solo llega a esa máquina, por el protocolo que requiere la intervención, durante un tiempo fijado. Toda la sesión queda grabada.
El acceso remoto de proveedores y, en general, el acceso remoto de terceros cubren cualquier conexión a su red OT por parte de personal ajeno a su empresa: fabricantes de equipos y de maquinaria, integradores y empresas de mantenimiento. La mayoría de las plantas les abren un túnel VPN o instalan un router 4G en la máquina. Por sí solos, son un riesgo: un usuario conectado puede llegar a toda la red, nadie controla lo que hace y no queda nada registrado.
Trout Access Gate mantiene el enlace VPN o 4G y añade el control que falta:
- la microsegmentación de la red local, de modo que a cada activo solo se llega a través de la pasarela
- un bastión donde cada usuario se autentica, con empleados y proveedores en directorios distintos
- una sesión por activo, que se cierra pasado un tiempo fijado y queda registrada en su planta
Si busca el producto, los precios y el despliegue, consulte acceso remoto seguro para OT con Access Gate.
En producción: Thales despliega cada entorno restringido en 4 horas, totalmente on-premise, y un gran fabricante de Carolina del Norte gestiona 1300 activos y 660 usuarios con Access Gate.
¿Basta una VPN para el acceso remoto de proveedores?
No. Una VPN cifra el enlace y comprueba quién lo abre. Sin embargo, no decide a qué máquina llega el usuario una vez dentro, ni registra lo que hace. La CISA y el NIST piden más que un simple túnel.
La NIST SP 800-82 Rev. 3, en su sección 6.2.10, indica que el acceso remoto debe limitarse a lo que exige el negocio. Pide retirar el acceso cuando ya no sea necesario, por ejemplo con temporizadores automáticos, y supervisar las actividades remotas. También recomienda valorar el uso de MFA para el acceso remoto a OT. La Rev. 3 se publicó en septiembre de 2023 y sustituyó a la Rev. 2, de 2015.
La guía de buenas prácticas de la CISA sobre acceso remoto a sistemas de control industrial recomienda encarecidamente eliminar las conexiones directas a los sistemas de control. Aconseja además un servidor de autenticación separado para proveedores e integradores, de modo que su acceso pueda bloquearse y volver a concederse caso por caso. El aviso de la CISA de 2026 sobre ataques contra PLC añade que una pasarela o una VPN delante del PLC puede exigir MFA aunque el PLC no lo admita. El riesgo es real: en noviembre de 2023, unos atacantes tomaron el control de PLC de Unitronics en servicios de agua de EE. UU., entre ellos la Municipal Water Authority of Aliquippa en Pensilvania, y el aviso de CISA AA23-335A señala equipos accesibles desde Internet con la contraseña por defecto. CISA contabilizó después al menos 75 equipos comprometidos en esa campaña. Su aviso del 7 de abril de 2026 cubre los PLC Rockwell CompactLogix y Micro850, Schneider Modicon M340 y Siemens S7-1200. Los atacantes llegaban a ellos por los puertos 44818, 2222, 102 y 502.
Lo que controla cada enfoque habitual y lo que deja registrado:
| Enfoque | Qué controla | Qué registra |
|---|---|---|
| Solo VPN | Quién abre el túnel. Dentro, el usuario puede llegar a toda la red. | Como mucho, los registros de conexión. No lo que hizo el usuario. |
| Router 4G en el armario eléctrico | Solo quién conoce la contraseña del router. | Nada en su planta. |
| Servidor de salto | Quién entra en el servidor de salto. Desde ahí, cualquier máquina a la que tenga acceso ese servidor. | Los inicios de sesión en el servidor de salto. Las sesiones, solo si añade grabación. |
| Bróker de acceso en la nube | Quién llega a qué sistema, a través de la nube del bróker. | Las sesiones, a menudo solo en parte, guardadas en la nube del bróker. |
| VPN + Trout Access Gate | Quién llega a qué máquina, durante cuánto tiempo y qué comandos se permiten. | Cada sesión de principio a fin, a prueba de manipulaciones, en su planta. |
Gestione personal y proveedores en directorios separados.
Muchas de las personas que necesitan acceso remoto no están en su directorio. Los integradores, los fabricantes de maquinaria y las empresas de mantenimiento no suelen tener cuenta en su organización, y es posible que usted no quiera crearles una en su directorio corporativo. Access Gate se conecta a varios directorios a la vez. Su personal inicia sesión con su directorio corporativo, por ejemplo Active Directory o Microsoft Entra ID. Los proveedores inician sesión con un directorio distinto: un segundo Active Directory reservado a terceros o el directorio integrado en Access Gate. La pasarela exige MFA a ambos grupos. Después, los dos grupos siguen las mismas reglas: un activo por tarea, un tiempo limitado y una sesión grabada. Dar de alta o de baja a un proveedor nunca afecta a su directorio corporativo.
El usuario trabaja con normalidad y cada sesión queda grabada.
Una VPN o un enlace 4G crea un túnel y luego confía en quien lo use. Access Gate se sitúa al final de ese túnel, delante del activo. La sesión termina en la pasarela, y la pasarela abre una conexión aparte hacia el activo. El usuario mantiene un acceso interactivo completo y puede hacer su trabajo. Al mismo tiempo, cada comando se contrasta con su política y toda la sesión queda grabada. Esa grabación es la evidencia que usted entrega a un auditor.
La pasarela entiende los protocolos OT. Puede permitir que un proveedor lea un sensor sin que pueda dar órdenes al controlador asociado. Esta regla la aplica la pasarela, no el portátil del proveedor, así que se mantiene aunque el portátil esté comprometido.
La pasarela y sus registros se quedan en su planta.
La pasarela y sus registros se ejecutan en su propio entorno. Ni el tráfico de las sesiones ni los datos de auditoría pasan por la nube de un proveedor externo, y ningún tercero trata sus datos de acceso. Además, el acceso remoto no depende de que un servicio en la nube esté disponible. La operación local y los registros siguen funcionando durante un corte de internet. Un bróker de acceso alojado en la nube no puede ofrecer esto. Thales usa Access Gate así en entornos restringidos que deben superar una homologación nacional. Cada uno se configura en 4 horas, sin nube.
¿Cómo dar a un proveedor acceso a un solo PLC?
El proveedor es el usuario que menos controla. No tiene cuenta en su organización, puede conectarse desde otro país y el controlador que necesita a menudo no se puede parchear. Su conexión VPN o 4G termina en la pasarela, no en la red local de la planta. Se autentica en la pasarela con MFA, mediante el directorio de proveedores. Después obtiene acceso a una máquina para una tarea. La sesión se cierra cuando se acaba el tiempo y queda grabada de principio a fin.
Si se filtra la contraseña de un proveedor, por sí sola no da acceso a nada de lo que hay detrás de la pasarela. Revocar el acceso es retirar un permiso, no una cuenta global. El técnico del proveedor sigue teniendo acceso interactivo completo para hacer su trabajo.
Cómo dar acceso remoto a un PLC.
La mayoría de las solicitudes de acceso remoto en OT terminan en un controlador. Un integrador tiene que cambiar la lógica, un fabricante de maquinaria tiene que leer un fallo, un ingeniero tiene que comprobar un valor. El PLC no puede protegerse solo: no puede pedir un segundo factor, y un controlador antiguo no puede autenticar a un usuario ni grabar una sesión. El control de acceso de un PLC tiene que estar delante de él. Dragos constató que el 26 % de los avisos ICS de 2025 no incluía parche ni mitigación del fabricante (Dragos, 2026).
La pasarela hace lo que el controlador no puede. Autentica a la persona, abre una sesión con ese único PLC mediante el protocolo que requiere la intervención y la graba. Como la pasarela entiende el protocolo, leer un valor y escribirlo pueden ser permisos distintos, de modo que un proveedor que solo necesita diagnosticar no puede cambiar nada. No se instala nada en el PLC y su configuración no cambia.
Cuatro pasos de la visibilidad al control.
- 01
Identificar quién se conecta a la red OT desde fuera
Haga una lista de su personal y sus proveedores, y de cómo se conecta cada uno: VPN, servidor de salto, la herramienta propia del proveedor, un módem 4G en el armario eléctrico. La mayoría de las plantas encuentran una conexión de la que nadie es responsable.
- 02
Limitar cada usuario remoto al activo que necesita
Hoy, un usuario de VPN o 4G suele poder llegar a todos los PLC de la red, no solo al que venía a atender. Microsegmente la red para que a cada activo solo se llegue a través de la pasarela.
- 03
Poner primero detrás de la pasarela los activos de mayor riesgo
Empiece por los controladores que no puede parchear, el servidor SCADA y el sistema instrumentado de seguridad (SIS). Cada sesión hacia ellos queda entonces identificada, limitada a un activo y grabada.
- 04
Llevar todo el acceso de proveedores a la pasarela
Los proveedores usan la pasarela porque es la forma más fácil de entrar: un enlace, un inicio de sesión, una sesión. Cada sesión de proveedor queda registrada, y usted puede demostrar quién hizo qué. En un gran fabricante de Carolina del Norte, Access Gate gestiona el acceso a 1.300 activos y 660 usuarios.
Qué exige NIS2 para el acceso de terceros.
NIS2 incluye la seguridad de la cadena de suministro entre las diez medidas obligatorias de gestión de riesgos. El artículo 21(2)(d) trata de la seguridad en las relaciones con sus proveedores directos y sus prestadores de servicios. Para un operador OT, eso incluye a los integradores, los fabricantes de maquinaria y los técnicos de soporte que se conectan a sus equipos. Usted debe poder demostrar a qué puede llegar cada uno y qué hizo.
Una cuenta permanente no responde al auditor
Una cuenta VPN permanente para un proveedor no muestra a qué activos llega ni qué hizo el proveedor el trimestre pasado. Un acceso concedido por intervención, limitado a activos y protocolos concretos y que caduca automáticamente, muestra ambas cosas.
Identificar al técnico, no solo a la empresa
Con una cuenta de proveedor compartida, no se puede saber quién hizo qué tras un incidente. Una identidad por técnico, autenticada en la pasarela, permite atribuir cada acción a una persona.
La evidencia sale de la operación diaria
Las grabaciones de sesión, la lista de permisos por zona y un historial de cambios a prueba de manipulaciones se generan con el funcionamiento diario del control. El artículo 21(2)(f) le pide evaluar si sus medidas funcionan, y para ello sirven los mismos datos.
Cubre los equipos que no se pueden modificar
La obligación se aplica aunque el activo no pueda alojar un agente ni admitir MFA. Aplicar el control delante del equipo permite que un PLC de 2009 cumpla una política que nunca podría aplicar por sí mismo.
Sus contratos con proveedores no tienen que cambiar. Lo que tiene que cambiar es la vía de acceso, que debe ser suya. Así, una pregunta de la autoridad de supervisión se responde con una exportación y no con una investigación.
Seis requisitos para una herramienta de acceso remoto de proveedores.
Use esta lista para comparar productos, incluido el nuestro. Una VPN o un router 4G por sí solos no cumplen ninguno. Un bróker en la nube cumple algunos, pero a través de su propia nube.
Directorios separados para personal y proveedores
El personal se autentica en su directorio corporativo, por ejemplo Active Directory o Entra ID. Los proveedores se autentican en un directorio distinto: un segundo Active Directory o el directorio integrado en la pasarela, con MFA en la pasarela. La misma política se aplica a ambos.
Análisis del protocolo, no solo de los puertos
La pasarela interpreta protocolos OT como Modbus y DNP3 y aplica las reglas por comando y por registro, no solo por puerto. A un usuario se le puede permitir leer un valor pero no escribirlo.
Sin agente en el activo
No se instala nada en el PLC, el HMI ni el servidor SCADA, y su configuración no cambia. Los controladores antiguos, que no pueden autenticar usuarios ni grabar sesiones, obtienen ambas cosas de la pasarela.
Mínimo privilegio, por sesión
El acceso se concede a un solo sistema, para una sola tarea y durante un tiempo limitado, y después se retira. Entre un trabajo y el siguiente no queda abierta ninguna conexión a la red de control.
Diseñado para la disponibilidad
La pasarela está en la vía del acceso remoto, no en el lazo de control en funcionamiento. Dispone de conmutación por error y de una vía de acceso de emergencia. Si la pasarela queda fuera de servicio, la planta sigue produciendo. Además, la pasarela no añade retardo al proceso en marcha.
Auditoría a prueba de manipulaciones
Cada sesión se graba de principio a fin: quién se conectó, qué comandos envió, cuánto tiempo estuvo y qué cambió. Los usuarios no pueden alterar las grabaciones, y usted puede enviarlas a un SIEM o usarlas en una investigación.
Cómo se comparan la VPN, el bróker en la nube y Access Gate.
| Capacidad | VPN o 4G solos | Bróker de acceso en la nube | VPN + Trout Access Gate |
|---|---|---|---|
| Identidad para proveedores externos | A menudo, una cuenta compartida | Sí, en la nube del bróker | Sí, en un directorio de proveedores separado, en local |
| Grabación de sesiones para auditoría | No | Parcial, en la nube | Completa, a prueba de manipulaciones, en local |
| Análisis del protocolo (Modbus, DNP3) | No | Rara vez | Sí, por comando y por registro |
| Sin agente en el PLC / HMI | N/D | Suele necesitar un conector | Sí, nada en el activo |
| Depende de la nube de un proveedor | No | Sí, la nube es el bróker | No, funciona en su planta |
| Ubicación de los datos de auditoría | No se registran | Nube del proveedor | Su entorno |
| Mínimo privilegio por tarea | No, acceso a toda la red | Sí | Sí, un sistema, con tiempo limitado |
Preguntas frecuentes sobre el acceso remoto de proveedores y terceros.
La NIST SP 800-82 Rev. 3 (septiembre de 2023, sección 6.2.10) indica que el acceso remoto debe limitarse a las necesidades operativas, retirarse cuando ya no sea necesario, supervisarse y protegerse con MFA cuando sea posible. La CISA recomienda eliminar las conexiones directas a los sistemas de control y dar a proveedores e integradores un servidor de autenticación separado. En 2026, la CISA también aconsejó colocar una pasarela, un cortafuegos o una VPN delante del PLC: ese equipo puede exigir el MFA que el PLC no admite. Una pasarela delante de cada máquina, como Trout Access Gate, hace todo esto sin modificar el equipo.
Mantenga la VPN o el enlace 4G que el proveedor ya utiliza y ponga una pasarela delante del PLC. El enlace termina entonces en la pasarela y no en la red de la planta. El proveedor se autentica con MFA en la pasarela y obtiene una sesión con ese único controlador durante un tiempo fijado. Todo lo que hace queda grabado, y no se instala nada en el PLC. Cuando se acaba el tiempo, la sesión se cierra. La contraseña del proveedor, por sí sola, ya no da acceso a la red.
El acceso remoto de proveedores es la forma en que un fabricante de equipos, un fabricante de maquinaria o un integrador se conecta a sus sistemas industriales (PLC, HMI, SCADA) desde fuera de la planta para su mantenimiento (telemantenimiento). Cuando se hace de forma segura, la VPN o el enlace 4G solo aporta la conexión. Cada técnico del proveedor tiene una identidad nominativa. Una pasarela delante del activo controla y graba cada sesión. El acceso se limita a un activo por tarea y termina automáticamente. Nada depende de una nube externa.
Una VPN crea un túnel cifrado y luego confía en quien esté dentro. En una red plana, un usuario conectado, o cualquiera que le haya robado la contraseña, puede llegar a mucho más que al sistema que venía a mantener. La VPN no registra nada de ello. En OT, una sola contraseña de proveedor reutilizada puede llegar a los PLC que gobiernan el proceso. Mantenga la VPN para la conexión y añada una pasarela que autentique al usuario, dé acceso a un solo sistema, cierre la sesión a su hora y la grabe.
El acceso remoto de terceros es cualquier conexión a su entorno de alguien que no es empleado suyo: un proveedor de equipos, un fabricante de maquinaria, un integrador o una empresa de mantenimiento. En OT es el acceso que más riesgo conlleva. La cuenta del usuario la gestiona otra empresa, usted no gestiona su portátil y el activo al que llega normalmente no se puede parchear. Para protegerlo, dele una identidad fuera de su directorio corporativo, por ejemplo un segundo Active Directory o el directorio integrado en la pasarela. Exija MFA en la pasarela. Limite cada sesión a un sistema para una tarea, grábela y deje que caduque al terminar el trabajo.
Sí, y en OT debería. La pasarela y sus registros se ejecutan en su propio entorno. Ni el tráfico de las sesiones ni los datos de auditoría pasan por la nube de un proveedor externo, y ningún tercero trata esos datos. Además, el acceso remoto no depende de que un servicio en la nube esté disponible, así que la operación local y los registros siguen funcionando durante un corte de internet.
Estos marcos exigen controlar y registrar el acceso a los sistemas críticos, incluido el acceso de terceros y de sistemas automatizados. Una pasarela que vincula cada sesión a una persona identificada, da el acceso mínimo necesario y graba cada sesión a prueba de manipulaciones genera la evidencia que pide un evaluador. Cubre a empleados y proveedores, y los equipos no cambian. El nivel 2 de CMMC abarca los 110 requisitos de seguridad de NIST SP 800-171 Rev. 2. NERC CIP-003-9, en vigor desde el 1 de abril de 2026, añade controles del acceso remoto de proveedores para los activos de bajo impacto.
Otras páginas sobre el acceso remoto OT
La pasarela es el primer servicio que despliega, no el último.
Proteja sus plantas hoy. Controle su digitalización mañana.
Access Gate pone la capacidad de cómputo en la red, junto a sus activos. Una vez instalada la pasarela, el mismo equipo aloja los servicios que integran el OT de forma segura: acceso remoto, pasarelas de protocolo, DNS y hora, historian, servidor de actualizaciones. Acelere su digitalización, sin perder el control.