Caso de uso: pentesting en una planta farmacéutica sin frenar la producción
Cómo se audita la ciberseguridad de una planta farmacéutica con sistemas validados: por qué no se puede parchear a voluntad, cómo se prueba sin tocar el proceso, y por qué la cuenta compartida de la HMI es a la vez un hallazgo de seguridad y un problema de integridad de datos.
Respuesta rápida: en una planta farmacéutica la restricción no es técnica, es regulatoria. Los sistemas están validados y no se pueden tocar sin evaluar el impacto, así que la auditoría se ordena al revés que en IT: primero todo lo que no toca el proceso —tráfico en pasivo, arquitectura, cuentas, reglas de firewall— y recién al final, en ventana acordada, lo activo. El hallazgo más valioso casi nunca es un exploit: es descubrir que el mismo problema aparece en el informe de seguridad y en el de calidad, y se arregla una sola vez.
Por qué llaman
Casi nunca es por miedo a un ataque. El disparador suele ser externo: un cliente que audita a su proveedor, una casa matriz que baja un requisito, una certificación que ahora incluye un capítulo de ciberseguridad. Llega como un cuestionario con preguntas que nadie en la planta sabe responder —“¿tiene segmentación entre IT y OT?”, “¿cómo controla el acceso remoto de sus proveedores?”— y el pedido inicial es casi siempre el mismo: “necesitamos un pentest”.
El primer trabajo es convertir ese pedido en algo que se pueda ejecutar sin poner en riesgo ni el proceso ni el estado validado de los sistemas.
La restricción que cambia todo: los sistemas están validados
En una planta farmacéutica, los sistemas computarizados que afectan la calidad del producto están validados: hay documentación que demuestra que hacen lo que dicen hacer, y esa demostración es lo que se le muestra al regulador. ANMAT, en el mercado local, y las auditorías de cliente o de casa matriz cuando se exporta.
La consecuencia práctica es dura de digerir para quien viene de IT: un parche no es un parche, es un cambio. Hay que evaluar el impacto, documentarlo y, según qué toque, revalidar. Un servidor de proceso con un sistema operativo sin soporte no está así por dejadez; está así porque actualizarlo dispara un proyecto de validación que compite por presupuesto con todo lo demás.
Eso invalida la recomendación automática. “Actualizá todo” no es un plan: es la forma más rápida de que el informe se archive sin que nadie haga nada. El plan que sí funciona es reducir la exposición de lo que no se puede tocar.
Cómo se ordena el trabajo
- Reglas de enfrentamiento, por escritoAntes de conectar un cable: qué se puede tocar y qué no, quién autoriza, a quién se llama si algo se comporta raro, y cuál es la señal para frenar todo. En OT esto no es burocracia, es la diferencia entre una auditoría y un incidente.
- Escuchar, no preguntarCaptura pasiva desde un puerto espejo. Sale el inventario real —qué equipos hay, qué protocolos hablan, contra quién— sin inyectar un solo paquete. Acá aparece siempre algo que no estaba en ningún plano.
- Revisión documental y de configuraciónArquitectura, reglas de firewall, cuentas y permisos, cómo entra el proveedor, cómo salen los datos hacia el ERP. Es la parte más aburrida y la que más hallazgos produce.
- Pruebas activas en IT y en la DMZAhí sí, pentest en el sentido clásico: la red corporativa, los servicios expuestos, el camino de acceso remoto. Es donde entran los ataques reales y donde se puede probar con libertad.
- Pruebas activas en OT, acotadasSolo lo acordado, en ventana de parada o contra un banco con el mismo modelo de PLC, con personal de planta presente. Suele ser el tramo más corto del proyecto.
El hallazgo que vale por todo el informe
La HMI de cada línea tiene una cuenta compartida por turno. La sabe todo el mundo, no caduca, y en una de las dos líneas todavía es la de fábrica.
Para el equipo de seguridad es un hallazgo estándar. Lo interesante aparece cuando se lo mira desde calidad: la integridad de datos exige que cada registro sea atribuible a una persona identificable —es la primera letra de ALCOA, el criterio con el que se evalúa un registro GMP—. Con una cuenta compartida, el audit trail del sistema existe pero no sirve como evidencia: registra que “operador1” ajustó un parámetro, y “operador1” son once personas.
Es decir: la misma debilidad estaba escrita en dos informes distintos, de dos áreas que no se hablaban, y cada una la tenía priorizada como “media”. Juntas se convierten en la primera de la lista, y se arreglan con un solo movimiento: identidad nominal en las HMI.
Ese cruce es la razón por la que conviene que la auditoría de seguridad y la gente de calidad se sienten en la misma reunión. En una planta farmacéutica hay controles de ciberseguridad que ya están exigidos por GMP con otro nombre: la identidad nominal por operador, el audit trail que no se pueda alterar y el control de cambios sobre sistemas validados son, antes que controles de seguridad, requisitos de integridad de datos.
Lo demás que apareció
- Red plana. Las dos líneas, el sistema de monitoreo ambiental, las cámaras y las PC de oficina en el mismo segmento. El monitoreo ambiental es el más sensible del conjunto —de él dependen registros que respaldan la liberación de lotes— y estaba tan expuesto como una impresora.
- El acceso del proveedor, permanentemente abierto. Instalado para un service, nunca cerrado. Sin segundo factor y con una cuenta que usaban varios técnicos.
- La estación de ingeniería, en las dos redes. Dos placas de red, ruteo sin controlar, correo y navegación en el mismo equipo con el que se programan los PLC.
- Los respaldos de programa nunca se restauraron. Existían y estaban al día. Nadie había probado nunca volver desde ellos, que es lo único que define si un respaldo sirve.
Qué se hizo primero
El orden lo definió una sola pregunta: qué saca más riesgo sin tocar un sistema validado.
Segmentar. Separar planta de oficina con una DMZ industrial, y separar entre sí las dos líneas y el monitoreo ambiental. Ningún equipo de proceso se modifica: cambia la red que los rodea. Es lo que convierte un incidente en toda la planta en un incidente en una línea, y es lo que permite convivir con el servidor viejo que no se puede actualizar.
Cerrar el acceso remoto. Cuenta nominal por técnico, segundo factor, habilitación a pedido y sesión grabada. Barato, rápido, y cierra la puerta que más se usa.
Identidad nominal en las HMI. El cruce con calidad. Requiere revalidar, así que entró como proyecto con fecha, pero con un patrocinador que antes no tenía: dejó de ser un pedido de sistemas para ser un requisito de calidad.
Monitoreo pasivo permanente. Un recolector escuchando una copia del tráfico, que avisa cuando aparece un equipo nuevo o una escritura a un PLC fuera de la ventana de mantenimiento. No inyecta nada al proceso, así que no discute con la validación.
Lo que se lleva quien nunca auditó su planta
El informe técnico importa menos de lo que parece. Las tres cosas que cambian de verdad después de un trabajo así son más simples:
- Existe un inventario. Por primera vez hay una lista de qué está conectado, y siempre tiene sorpresas.
- Hay un orden de prioridades defendible. Con el modelo de amenaza escrito, se puede explicar por qué esto va antes que aquello, y se puede presupuestar.
- Seguridad y calidad hablan. Que es, en una planta farmacéutica, la mitad del trabajo.
Preguntas frecuentes
¿Se puede hacer un pentest sin parar la producción?
Sí, si se ordena en capas. La mayor parte del hallazgo sale de trabajo que no toca el proceso: captura pasiva del tráfico, revisión de arquitectura y reglas de firewall, análisis de configuraciones y de cuentas. Las pruebas activas sobre equipos de control se acotan a una ventana de parada acordada o a un banco de pruebas con el mismo modelo de PLC. En una planta farmacéutica esa separación no es una comodidad: es la condición para que el trabajo se pueda hacer.
Si el sistema está validado, ¿no se puede parchear?
Se puede, pero no a voluntad: un cambio sobre un sistema validado obliga a evaluar el impacto y, según el caso, a revalidar. Eso convierte al parche en un proyecto con costo y calendario, y explica por qué las plantas conviven con software viejo. La salida no es parchear más rápido, es reducir la exposición de lo que no se puede parchear: segmentarlo, restringir quién le puede hablar y monitorearlo.
¿Qué tiene que ver la ciberseguridad con la integridad de datos GMP?
Se cruzan en el mismo control. La integridad de datos exige que cada registro sea atribuible a una persona identificable. Una HMI con una cuenta compartida por todo el turno rompe esa atribución: el audit trail existe, pero no sirve como evidencia porque no distingue quién hizo qué. El mismo hallazgo es una debilidad de seguridad y una observación de calidad, y se arregla una sola vez: identidad nominal.
¿Cuánto dura una auditoría de este tipo?
Depende del alcance, pero el orden de magnitud es de algunas semanas, y la parte que toca equipos de control es la más corta de todas. El grueso del tiempo se va en el relevamiento y en entender el proceso: sin saber qué hace cada lazo de control no se puede evaluar el impacto de nada. La coordinación con producción y con calidad suele pesar más en el cronograma que el trabajo técnico.
¿Por dónde conviene empezar si nunca se auditó la planta?
Por el inventario y la segmentación, en ese orden. Saber qué hay conectado —relevado en pasivo, no escaneando— y después separar la red de planta de la de oficina con una DMZ industrial. Son los dos movimientos que más riesgo sacan por peso y los que no dependen de reemplazar equipos de proceso, que es siempre la parte cara y lenta.