# ¿Cómo separo IT y OT con VLAN y listas de acceso?

Use VLAN para separar las redes y un cortafuegos, no solo listas de acceso del switch, para controlar lo que pasa entre ellas. Ponga los controladores de producción, los HMI y los servidores SCADA en sus propias VLAN, coloque un cortafuegos entre ellos y la red de oficina y añada una pequeña DMZ para los sistemas que necesitan ambos lados, como una copia del historian o una pasarela de acceso remoto. Escriba las reglas como lista de permitidos: qué equipo de oficina puede llegar a qué equipo OT, por qué puerto, y nada más; deniegue y registre el resto. Las listas de acceso del switch sirven para separaciones sencillas dentro de OT, pero no llevan estado de las conexiones y es fácil equivocarse a gran escala. Planifique el cambio con el ingeniero OT y en una ventana de mantenimiento, porque una dependencia pasada por alto puede parar una línea. Después vigile la frontera: desde el plan Pro, NetSenX marca el tráfico que cruza niveles de la red de planta, desde un puerto SPAN o TAP, sin sondear ningún dispositivo OT.

FAQ: [Zero trust, identidad y segmentación](https://netsenx.com/es/faq/zero-trust) · https://netsenx.com/es/faq/how-to-segment-it-and-ot-with-vlans-and-acls

## Siga leyendo

- https://netsenx.com/es/ot-network-monitoring
- https://netsenx.com/es/detect-lateral-movement-c2-beaconing

## Preguntas relacionadas

- [¿Qué es la microsegmentación y la necesitan las pequeñas empresas?](https://netsenx.com/es/faq/what-is-microsegmentation)
- [¿Es una VLAN una frontera de seguridad?](https://netsenx.com/es/faq/is-a-vlan-a-security-boundary)
- [¿Cómo compruebo que el Wi-Fi de invitados no llega a nuestra red interna?](https://netsenx.com/es/faq/how-to-check-guest-wifi-cannot-reach-the-internal-network)
- [¿Basta con un Wi-Fi de invitados separado para la seguridad?](https://netsenx.com/es/faq/is-a-separate-guest-wifi-enough)
- [¿Puede alguien conectar un dispositivo a una toma de red libre de nuestra oficina?](https://netsenx.com/es/faq/can-someone-plug-a-device-into-a-free-network-socket)