Preguntas frecuentes

Potenza Services, Inc. es una firma de ciberseguridad OT e ingeniería de redes industriales, propiedad de veteranos, con sede en Tampa, Florida, y fundada en 2012. Evaluamos, segmentamos y gobernamos redes de tecnología operativa para operadores de cemento, minería y agregados en Norteamérica y Sudamérica, con un equipo de campo bilingüe en inglés y español. Nuestro trabajo es independiente de los OEM: no vendemos equipos ni revendemos contratos de soporte de fabricantes, de modo que quien gobierna la red no tiene nada que vender en ella. Las evaluaciones y la arquitectura siguen ISA/IEC 62443, NIST SP 800-82, NIST CSF 2.0 y el Modelo Purdue.

Cemento, minería y agregados, incluidas las plantas de concreto premezclado y dosificación, son el enfoque principal. El cemento es el único sector donde Potenza ha publicado cifras de campo: el informe Estado de la Seguridad OT 2025 cubre 267 switches de red OT evaluados en una operación cementera activa de múltiples plantas, el 82% de ellos en fin de vida o descontinuados. Sectores adyacentes con las mismas características OT incluyen infraestructura de agua, energía y servicios públicos, alimentos y bebidas, manufactura crítica y transporte.

Potenza tiene su sede en Tampa, Florida, y atiende operadores en Norteamérica y Sudamérica. El equipo de campo es bilingüe en inglés y español, y este sitio se publica en ambos idiomas. Las evaluaciones se realizan en plantas activas, no solo a partir de la telemetría de una plataforma.

No. Potenza no vende hardware, no revende contratos de soporte de OEM y no recibe comisiones de los proveedores cuyo acceso gobierna. Potenza lo llama independencia estructural: quien gobierna la red OT no tiene nada que vender en ella. Por eso el OT Service Owner no puede ser también el proveedor OT.

PortGuard OT es el equipo de monitoreo que Potenza desarrolla y opera. Se instala uno dentro de cada planta y vigila los switches y firewalls de esa planta en modo de solo lectura. Funciona con switches de cualquier fabricante, sigue operando sin conexión a internet y alerta primero a los ingenieros de Potenza.

La tecnología operativa (OT) es la red de PLC, HMI, variadores y estaciones de ingeniería que opera procesos físicos: hornos, trituradoras, bandas transportadoras y sistemas de dosificación. La seguridad IT protege datos y asume sistemas operativos modernos, parches frecuentes y agentes en cada equipo. La seguridad OT protege primero la disponibilidad y la seguridad de las personas: los controladores suelen correr software heredado, no pueden parcharse al ritmo de IT y no pueden alojar agentes sin arriesgar la estabilidad del proceso. Por eso la seguridad OT se apoya en controles de red, segmentación, acceso gobernado y monitoreo pasivo, en lugar de las herramientas de endpoint que funcionan en la oficina.

El Modelo Purdue agrupa los sistemas de una planta en niveles: dispositivos de campo y controladores en los niveles 0 a 2, operaciones de sitio en el nivel 3 y sistemas de negocio en los niveles 4 y 5. Segmentar por nivel Purdue significa que el tráfico entre niveles cruza un conducto definido con una política explícita, en lugar de una red plana. El cambio más grande en la mayoría de las hojas de ruta es una DMZ industrial entre los niveles 3 y 4: los sistemas de negocio leen datos de producción desde una réplica allí, los proveedores ingresan por un servidor de salto allí, y las actualizaciones se preparan allí antes de llegar a la planta. ISA/IEC 62443 formaliza esto como zonas y conductos, cada uno con un nivel de seguridad objetivo.

ISA/IEC 62443 para zonas, conductos y mapeo de capacidad por nivel de seguridad; NIST SP 800-82 revisión 3 para la guía específica de OT; el Marco de Ciberseguridad NIST 2.0, incluida su función Gobernar, para la gobernanza del programa; y la Arquitectura de Referencia Empresarial Purdue para los niveles de red. Cuando una jurisdicción o un cliente agrega reglas sectoriales, se mapean sobre la misma línea base.

Una prueba de penetración indica qué era explotable el día en que se ejecutó. Una Evaluación de Topología documenta qué hay en la red, cómo se conecta, cómo está segmentada y qué nivel de seguridad ISA/IEC 62443 puede soportar cada zona. Potenza empieza por la topología porque toda decisión posterior, incluida si vale la pena una prueba de penetración, depende de ella.

Un diagnóstico en cuatro etapas de la postura de seguridad OT de una planta. Ciega: sin inventario, topología ni visibilidad de ciclo de vida confiables. Consciente: documentada en papel, pero aún no controlada. Controlada: segmentación, acceso gobernado y gestión de ciclo de vida mantenidos para los sistemas prioritarios. Resiliente: controles continuos y probados, de modo que el entorno se degrada de forma controlada bajo estrés en lugar de fallar en silencio. La Autoevaluación de Preparación OT, gratuita, ubica una planta en el modelo en doce preguntas.

Todo proyecto comienza con una Evaluación de Topología, con alcance por planta. La fase 2, Autoridad de Topología, mantiene esa documentación como documento de registro con control de cambios gobernado. La fase 3, OT Service Owner, es una extensión operativa del equipo OT del cliente con gobernanza alineada a ITIL en toda la flota. Cada fase se construye sobre la documentación de la anterior, de modo que nada se diseña ni se implementa antes de conocer la topología.

La evaluación combina verificación física de switches, firewalls y paneles de parcheo con descubrimiento pasivo y activo en los segmentos OT. Produce un inventario de activos OT con estado de ciclo de vida, diagramas de topología de red por área de producción, un informe de evidencia de segmentación mapeado al Modelo Purdue y una matriz de capacidad por nivel de seguridad frente a ISA/IEC 62443. El alcance depende del número de áreas de producción y cuartos de red, no del tonelaje. Una planta integrada suele ser una sola evaluación, con la ventana definida en la declaración de trabajo antes de comenzar.

No. La evaluación está diseñada para una planta en operación, y el monitoreo nunca se coloca en línea con el tráfico de control ni instala agentes en los controladores. Si una parada planificada cae dentro de la ventana, se aprovecha para la verificación física en áreas de difícil acceso, pero no es un requisito. Los requerimientos de acceso se definen en la declaración de trabajo y se coordinan con operaciones de planta.

El acceso remoto y privilegiado gobernado es uno de los cinco controles de la Línea Base OT para Cemento y Minería de Potenza. En la práctica, cada ruta de OEM, integrador y contratista hacia la planta se inventaría por proveedor y luego se canaliza por un servidor de salto en la DMZ industrial, con registro y mínimo privilegio, en lugar de conexiones directas a los controladores. Como OT Service Owner, Potenza gobierna ese acceso en nombre del operador, y como no vende equipos no tiene conflicto de interés con los proveedores cuyas sesiones controla. Potenza es socio tecnológico de BeyondTrust para acceso privilegiado.

Sí, y de forma independiente de ellos. Las herramientas y la infraestructura de monitoreo existentes se evalúan y se integran, no se reemplazan por defecto. Los SCADA y PLC heredados normalmente pueden protegerse mediante segmentación, acceso gobernado y monitoreo sin reemplazarlos; el reemplazo es una decisión de ciclo de vida tomada a partir del inventario de registro, no un requisito para la seguridad.

Sí. Las evaluaciones tienen alcance por planta, y una operación de múltiples plantas se secuencia de modo que la primera topología de registro exista antes de comenzar la segunda. Los entregables se entregan a un responsable con nombre en el equipo del operador, no se publican en un portal ni se envían a una lista de distribución.