IT y OT: dos mundos con una frontera que se mueve

1Qué hay en cada lado

OT (planta)                    FRONTERA              IT (negocio)
Sensores/actuadores               MES          ERP ──► BI / analítica
     └► PLC/controlador           │            CRM ──► BI
          └► SCADA/HMI ───────────┼──► DMZ ────► ERP
Robots, cintas, máquinas ──► PLC  │                    ERP ──► Web, apps,
                                                              portal clientes

OT, de abajo arriba: Sensores y actuadores (nivel físico: miden o actúan). PLC (Programmable Logic Controller): ordenador industrial que ejecuta control en ciclos de milisegundos (Siemens, Rockwell, Schneider, Omron). DCS: el equivalente para procesos continuos grandes. SCADA/HMI: software de supervisión (pantallas, alarmas, históricos); el HMI es la pantalla al pie de máquina, el SCADA supervisa toda la instalación. Historian: base de datos de series temporales para millones de lecturas al día. Robots, cobots, AGV/AMR: brazos, robots colaborativos, vehículos guiados o autónomos de almacén.

IT, de arriba abajo: ERP, CRM, BI, ofimática, correo, webs, apps móviles, bases de datos relacionales (ver UD1-02).

En la frontera: MES recibe órdenes del ERP, las reparte a las máquinas, recoge cuánto se ha producido y con qué calidad, y lo devuelve al ERP — es software de IT que habla con OT. DMZ industrial / pasarela: zona de red intermedia con cortafuegos a ambos lados.

2El modelo de Purdue

La norma ISA-95 organiza todo lo anterior en niveles. Se cita constantemente en ciberseguridad industrial.

No hace falta memorizar los niveles: lo importante es que (1) el tiempo que importa en cada nivel es distinto — un PLC que tarda 2 s es un accidente, un ERP que tarda 2 s es normal — y (2) la frontera es el nivel 3, y digitalizar consiste en engrosarlo: cada vez más datos suben y más órdenes bajan.

3Diferencias IT / OT

4Similitudes, y por qué convergen

• Ambos son software en ordenadores: un PLC moderno lleva Linux; un SCADA es una aplicación con base de datos; OPC UA es cliente/servidor con TLS.
• Ambos se conectan por red, cada vez la misma: Ethernet industrial sustituye a los buses propietarios; MQTT se usa en planta y en la nube.
• Ambos se atacan, desde que desapareció el air gap.
• Ambos convergen en el dato: los datos de planta tienen valor en el negocio (ver UD1-06).

El término para esta convergencia es IIoT (Industrial Internet of Things) y sistema ciberfísico: un sistema en el que software y proceso físico están tan acoplados que no tiene sentido separarlos.

5La frontera se mueve

• Años 80-90: frontera nítida. OT era eléctrica y neumática; no se hablaban con IT.
• 2000-2010: el MES aparece como puente; SCADA pasa a Windows y Ethernet.
• 2010-2020: IIoT y nube. Los datos de la planta se analizan a mil kilómetros. ¿Dónde está la frontera si el historian está en AWS?
• 2020-2026: edge computing e IA en planta: un modelo de visión que detecta defectos se ejecuta al pie de la línea pero se entrena en la nube y se despliega con Docker. La frontera ya no es un lugar: es una decisión de diseño.

La misma frase describe frontend/backend: en 1995 el navegador mostraba HTML y el servidor hacía todo; en 2026 hay "frontend" que se ejecuta en el servidor y "backend" en el borde de la red. Se desarrolla en UD1-04.

6Tecnologías típicas de planta y de negocio

Para un desarrollador: la columna IT es la lista de sistemas con los que una aplicación nueva tendrá que integrarse. En el proyecto, el mapa de integración debe indicar con cuál se conecta cada área digitalizada.

7Para debatir en clase

• Un hospital: ¿la bomba de infusión conectada a la red es IT u OT? ¿Y el monitor de constantes que envía alarmas al móvil de la enfermera? ¿Qué prioridad de seguridad aplica?
• Un coche moderno tiene decenas de unidades de control (OT) y una pantalla con apps y mapas (IT) en la misma red interna. ¿Dónde se pone la DMZ? ¿Qué pasó con el Jeep Cherokee (2015)?
• ¿Tiene sentido hablar de OT en una empresa de software? ¿Comparten el centro de datos y los sistemas de producción la cultura de "no toques lo que funciona"?

✓Autoevaluación — puntos que debes dominar

• Defino IT y OT en una frase cada uno.
• Sé situar cada pieza (PLC, DCS, SCADA/HMI, historian, robots/AGV/AMR, MES, DMZ) en el mapa OT→frontera→IT.
• Conozco los niveles del modelo de Purdue/ISA-95 y qué distingue al nivel 3.
• Comparo IT vs OT en al menos 5 dimensiones de la tabla.
• Conozco Stuxnet, Triton/Trisis y Colonial Pipeline, y qué demuestra cada uno.
• Sé qué son IIoT y sistema ciberfísico.
• Puedo explicar cómo se ha movido la frontera IT/OT por décadas.
• Veo el paralelismo con frontend/backend que se desarrolla en UD1-04.
• Reconozco tecnologías típicas de planta y de negocio de las tablas finales.
• Puedo argumentar las tres preguntas de "Para debatir".