Proteja el acceso a la planta sin la nube. Cinco alternativas a Zscaler, clasificadas para OT.
Trout Access Gate es un dispositivo on-premise para asegurar el acceso OT sin la nube: protege los PLC y HMI que nunca ejecutan un agente, con la aplicación de políticas en su propia red, sobre el equipamiento que ya tiene.
Última actualización:
La elección correcta depende de lo que protege.
Zscaler es realmente bueno en aquello para lo que fue creado: conectar una fuerza laboral distribuida con aplicaciones en la nube. Su modelo supone un agente en el endpoint y una ruta de red hacia un punto de presencia en la nube. Para una flota de portátiles que acceden a SaaS, ese es el diseño correcto, y nada de lo aquí expuesto lo pone en duda.
En términos de mercado, Zscaler es una plataforma Security Service Edge (SSE). Zscaler Internet Access (ZIA) es la pasarela web segura. Zscaler Private Access (ZPA) es el ZTNA que sustituye a la VPN para aplicaciones privadas. Privileged Remote Access (PRA) intermedia sesiones sin cliente para proveedores. Las alternativas que se buscan, Prisma Access, Netskope, Cloudflare, están en la misma categoría SSE y SASE. Esa categoría responde bien a una pregunta: cómo una persona con un portátil llega a una aplicación. No se diseñó para la pregunta de la planta: cómo llega alguien a un controlador que no ejecuta agentes y no tiene ruta a la nube.
Una planta de tratamiento de agua o un taller mecánico rompen ambas suposiciones. El endpoint es un PLC o un HMI que nunca ejecutará un agente, y a menudo se encuentra en un segmento sin ruta a Internet. El Zero Trust entregado desde la nube no tiene nada que instalar en el dispositivo ni ningún lugar al que enviar el tráfico. Es una discordancia de categoría, y el producto no tiene la culpa.
La comparación útil es qué modelo encaja en una planta de producción. La tabla siguiente se basa en la documentación pública de cada proveedor. Cuando una capacidad no está documentada, la tabla lo indica en lugar de suponerla.
Zscaler: 5 competidores y alternativas, clasificados para OT.
Esta clasificación solo juzga una cosa: la capacidad de proteger activos IT y OT en las instalaciones. Para una flota de portátiles que accede a SaaS el orden sería muy distinto, y la primera ficha lo reconoce.
1. Trout Access Gate
Un appliance on-premise que se conecta a su red existente y aplica Zero Trust allí, sin nada que instalar en el dispositivo y sin plano de control en la nube al que llegar.
- Ideal para
- Plantas con PLC, HMI y SCADA heredados, segmentos aislados o air-gapped, y mandatos de soberanía que exigen que cada paquete permanezca en el sitio.
- Dónde se detiene
- No es una solución SASE. Si su problema es una plantilla distribuida que accede a aplicaciones cloud, este formato no encaja y un ZTNA cloud es la mejor opción.
2. Palo Alto Prisma Access
SASE entregado desde la nube con un discurso documentado sobre acceso remoto OT e ICS, cuyo análisis de protocolos industriales reside en el firewall de nueva generación y no en el broker de acceso.
- Ideal para
- Organizaciones ya estandarizadas en Palo Alto que quieren un único proveedor desde el borde IT hasta la ruta de acceso remoto OT.
- Dónde se detiene
- Se entrega desde la nube, así que no funciona en un segmento sin ruta de salida. Los plazos de despliegue no están documentados públicamente.
3. Zscaler Privileged Remote Access
La referencia del Zero Trust cloud-first, con un producto de acceso remoto privilegiado que abre sesiones sin cliente que instalar hacia sistemas OT.
- Ideal para
- Grandes plantillas distribuidas que acceden a SaaS, más el acceso supervisado de proveedores a sistemas OT que sí tienen ruta hacia la nube.
- Dónde se detiene
- Necesita el plano de control cloud, así que se detiene en el air gap. No hay análisis de protocolo OT documentado en el propio broker.
4. Netskope
Zero Trust cloud sobre la red NewEdge, comercializado para el acceso a SCADA, PLC y HMI, con capacidad OT orientada al descubrimiento más que a la aplicación de políticas.
- Ideal para
- Equipos que quieren visibilidad sobre cloud, web y aplicaciones privadas, y que tratan el acceso OT como una aplicación privada más.
- Dónde se detiene
- La grabación y reproducción de sesiones no están documentadas públicamente, y la aplicación de políticas depende de alcanzar NewEdge.
5. Cloudflare Zero Trust
El Zero Trust cloud más rápido de poner en marcha, con un nivel de entrada generoso y sin posicionamiento específico para OT.
- Ideal para
- Equipos reducidos que protegen aplicaciones web y accesos SSH o RDP para usuarios humanos, cuando el coste y el plazo de puesta en marcha son lo que más importa.
- Dónde se detiene
- No hay compatibilidad documentada con dispositivos OT, el registro de comandos no permite reproducción, y la dependencia de la red de Cloudflare es total.
Cómo se comparan las opciones Zero Trust para plantas industriales.
Las celdas de los competidores proceden de la documentación pública de cada proveedor, enlazada abajo. Cuando una capacidad no está documentada públicamente, la celda lo indica en lugar de suponerlo.
| Capacidad | Zscaler | Palo Alto Prisma Access | Netskope | Cloudflare Zero Trust | Trout Access Gate |
|---|---|---|---|---|---|
| Dependencia de la nube | Servicio en la nube; opción de plano de datos on-premise | SASE entregado desde la nube | Nube (NewEdge) | Solo nube (red global) | Ninguna; on-premise, en la red existente |
| Requiere agente | Client Connector; navegador sin cliente vía PRA | GlobalProtect; navegador sin cliente vía PRA | Cliente Netskope; navegador sin cliente | Cliente WARP; algún acceso sin cliente | Ninguno; nada que instalar |
| Compatible con PLC / HMI heredados | Intermedia el acceso sin cliente a sistemas OT | Intermedia el acceso remoto OT e ICS | Comercializa acceso a SCADA, PLC, HMI | No documentado para dispositivos OT | Sí; el dispositivo nunca se toca |
| Funciona en air-gap | No; necesita el plano de control en la nube | No; entregado desde la nube | No; necesita la nube NewEdge | No; necesita la red de Cloudflare | Sí; sin dependencia de la nube |
| Tiempo de despliegue típico | No documentado | No documentado | No documentado | No documentado | Un día; sin recableado ni interrupción |
| Grabación y reproducción de sesión | Sí; grabación de sesión PRA | Sí; grabación Browser PRA | No documentado; solo monitorización | Solo registro de comandos; sin reproducción | Sí; grabado y reproducible |
| Conocimiento de protocolos OT | RDP, SSH, VNC; sin análisis OT documentado | RDP, SSH, VNC; el análisis OT reside en el NGFW, no en el intermediario | RDP, SSH; descubrimiento OT, no aplicación | TCP, HTTP, SSH; sin análisis OT | Aplicación con reconocimiento de protocolos, incluido Modbus |
| Correspondencia de cumplimiento (CMMC L2 / NIS2 / NERC CIP) | NIS2 publicado; CMMC y NERC no documentados | NIS2 y NERC referenciados; CMMC no documentado | NIS2 publicado; CMMC y NERC no documentados | NIS2 y FedRAMP; CMMC y NERC no documentados | CMMC L2, NIS2 y NERC CIP |
Fuentes: Zscaler · Palo Alto · Netskope · Cloudflare
Las preguntas que lo deciden en una planta de producción.
¿La aplicación de políticas permanece en el sitio?
El Zero Trust entregado desde la nube enruta la decisión de acceso a través de un punto de presencia del proveedor. La aplicación on-premise, en la red existente, mantiene cada decisión y cada paquete dentro del perímetro. Eso es lo que exigen un segmento OT aislado y un mandato de soberanía de datos.
¿Puede proteger un dispositivo que nunca ejecutará un agente?
Un proxy moderno termina la sesión, autentica a la persona, aplica la política, registra lo ocurrido y reenvía una solicitud limpia. El PLC o el HMI nunca sabe que algo cambió, y nunca necesita que se le instale software.
¿Está la pista de auditoría lista para un evaluador?
Un evaluador de CMMC, NIS2 o NERC CIP pide registros a prueba de manipulaciones de quién se conectó, a qué dispositivo y qué hizo. Access Gate los genera en el punto de control, a medida que ocurre cada sesión.
Access Gate funciona donde no se puede instalar nada.
Trout Access Gate protege a fabricantes de defensa, instituciones de investigación y operadores de infraestructuras críticas: entornos construidos sobre PLC heredados, SCADA y equipos que no admiten un agente. Entre ellos se encuentran Thales, Millbrook Machine, Elna Magnetics, Irish Manufacturing Research, HUN-REN SZTAKI y STBMA.
Ver casos de clientesPreguntas sobre competidores y alternativas a Zscaler.
Access Gate es un appliance Zero Trust on-premise para IT y OT, sin nada que instalar en las máquinas. Cubre los activos que un ZTNA en la nube no puede alcanzar.
No para lo que Zscaler hace mejor. Si su trabajo es conectar una fuerza laboral remota con SaaS, Zscaler encaja bien y Access Gate no pretende competir en eso. Access Gate es para la otra mitad del problema: proteger activos IT y OT on-premise, incluidos PLC y HMI que no pueden ejecutar un agente y a menudo no tienen ruta a la nube. Muchos sitios usan ambos.
Sí. La aplicación de políticas ocurre en la red, junto al equipo, no en el endpoint. Un proxy moderno termina la sesión, autentica la identidad, aplica la política de enclave y graba la sesión, luego reenvía una solicitud limpia al dispositivo. Un PLC de veinte años recibe el mismo tratamiento Zero Trust que una estación de trabajo moderna, sin nada instalado en él.
Sí. Access Gate funciona completamente on-premise como un appliance conectado a su red existente. No hay plano de control en la nube ni punto de presencia en la nube al que llegar, por lo que sigue funcionando en un segmento aislado o en air-gap. Los servicios Zero Trust entregados desde la nube dependen de alcanzar la red de su proveedor.
Sí, y es lo más habitual. ZPA sigue gestionando los portátiles y el SaaS. Access Gate se coloca delante de la red de planta: quien llega por ZPA sigue encontrando una comprobación de identidad, una política por activo y una sesión grabada antes de alcanzar un PLC o un HMI. No se solapan: uno decide quién entra en la red, el otro qué puede hacer con una máquina una vez dentro.
Access Gate aplica la política sobre los protocolos que circulan por el cable, no solo sobre los puertos. Para un protocolo como Modbus, que carece de autenticación nativa, un proxy con reconocimiento de protocolo puede vincular el acceso a la identidad, restringir qué códigos de función y registros puede usar una fuente, y registrar cada transacción, sin tocar el controlador.
Un sitio, un flujo, una semana. Se instala el equipo junto al switch de planta, se escucha unos días para ver quién llega a qué, y luego se pasa un flujo de acceso remoto (lo habitual es una sesión de proveedor a un controlador) en modo solo informe y después en aplicación. Nada cambia en el controlador y el camino antiguo queda disponible como respaldo hasta que lo cierre. Si ese flujo funciona, el resto es repetir.
Se corresponde con las familias de control de acceso, protección de sistemas y comunicaciones, y auditoría que evalúan esos marcos: acceso ligado a la identidad, segmentación, MFA a nivel de red y registros a prueba de manipulaciones generados en el punto de aplicación. Considérelo un control documentado dentro de un programa más amplio, no una casilla de cumplimiento por sí solo.
Access Gate lo desarrolla Trout Software, empresa francesa, y funciona íntegramente en la planta: la decisión de acceso, los registros y el inventario nunca salen del sitio, y no hay ningún tenant en la nube bajo jurisdicción extranjera. Para compradores NIS2, LPM y del sector público que necesiten una opción soberana, la guía en francés sobre alternativas soberanas a Fortinet y Zscaler para OT detalla los criterios.
Parta de sus endpoints. Si son portátiles que acceden a SaaS, encaja un ZTNA en la nube como Zscaler, Prisma Access, Netskope o Cloudflare. Si son PLC, HMI, RTU o servidores en air-gap, encaja un appliance on-premise como Access Gate. Se conecta a su red existente y no necesita agente ni nube. La tabla anterior muestra dónde se sitúa cada uno.
Compruebe si Access Gate encaja en su planta.
Treinta minutos con un ingeniero suelen bastar para saber si un appliance on-premise encaja en su planta, o si un ZTNA en la nube es la mejor opción. Se lo diremos con honestidad en cualquier caso.