El modelo Purdue —también denominado Purdue Reference Model o PERA— es la arquitectura de referencia más extendida para entender la estructura de una red de control industrial (ICS/OT) y diseñar su segmentación de ciberseguridad. Si tu empresa opera sistemas SCADA, PLCs, DCS o cualquier tipo de automatización de planta, este modelo define la jerarquía entre tus activos de proceso y la red corporativa IT, y determina dónde se colocan los controles de seguridad.
Entender esta estructura es el punto de partida de cualquier proyecto serio de ciberseguridad OT. Sin ese mapa compartido, el alcance de un diagnóstico no puede definirse con precisión y la conversación con un especialista no avanza.
¿Qué es el modelo Purdue en redes industriales?
El modelo Purdue tiene su origen en el trabajo de Theodore J. Williams en la Purdue University durante los años 90. La ISA lo formalizó como base conceptual de ISA-95 para la integración entre sistemas de fabricación y gestión empresarial. Desde entonces, estándares como IEC 62443 y la guía NIST SP 800-82 Rev. 3, publicada en 2023, lo utilizan como referencia para definir zonas de seguridad, conductos de comunicación y puntos de control en entornos OT.
Su utilidad práctica es doble. En primer lugar, proporciona un lenguaje común entre equipos de operaciones (OT), responsables IT y especialistas en ciberseguridad: sin esa referencia compartida, el alcance de una segmentación es ambiguo y difícil de contratar. En segundo lugar, delimita con claridad dónde termina el perímetro de cada capa de control y dónde empieza el siguiente nivel de defensa.
Aunque el modelo data de los años 90, sigue siendo el punto de partida en la mayoría de proyectos de segmentación OT actuales, precisamente porque los entornos industriales acumulan activos de distintas generaciones y necesitan una referencia que sea agnóstica de vendor y aplicable tanto a una planta antigua como a una instalación más reciente. INCIBE ofrece material de referencia sobre la aplicación del modelo en entornos de ciberseguridad industrial que resulta útil para equipos técnicos que abordan el tema por primera vez.
Conviene aclarar una distinción que genera confusión frecuente: el modelo Purdue no es una norma de obligado cumplimiento ni una certificación. Es un marco descriptivo. Lo que sí tiene exigibilidad es la familia IEC 62443, que adopta la jerarquía Purdue como punto de partida para definir zonas y conductos. Por eso, en la práctica, entender el modelo Purdue es el prerrequisito para abordar cualquier requisito normativo de ciberseguridad industrial.
Los seis niveles del modelo Purdue
El modelo divide la arquitectura industrial en seis niveles numerados del 0 al 5. Los niveles 0 a 3 corresponden al entorno OT; los niveles 4 y 5, al entorno IT corporativo.
Niveles 0 y 1: el proceso físico y su control
El nivel 0 es el proceso físico en sí: sensores de temperatura, presión, caudal y nivel, y actuadores como válvulas, bombas y motores. No existe lógica de decisión en este nivel; solo señal analógica o digital que refleja el estado real del proceso.
El nivel 1 aloja los controladores que transforman esa señal en acción: PLCs, RTUs y sistemas de accionamiento. Se comunican con el nivel 0 mediante protocolos de campo como Modbus, Profibus o HART. Un compromiso en el nivel 1 puede alterar el comportamiento del proceso físico sin que el operador de SCADA lo detecte de inmediato, porque los valores que ascienden al nivel 2 pueden estar siendo manipulados en origen.
En una planta real, los niveles 0 y 1 son los más difíciles de segmentar a posteriori. Suelen estar cableados sobre buses de campo deterministas que no toleran latencia adicional, y los PLCs que los gobiernan tienen ciclos de vida de quince o veinte años, sin capacidad para alojar agentes de seguridad ni soportar parcheo frecuente. La estrategia habitual en estas capas no es endurecer el dispositivo, sino aislar el segmento que lo contiene y vigilar el tráfico que entra y sale de él.
Niveles 2 y 3: supervisión y operaciones de planta
El nivel 2 contiene los sistemas de supervisión: SCADA, DCS e HMI. Aquí el operador visualiza el estado del proceso en tiempo real y emite comandos. Es el nivel más expuesto a vectores de ataque mediante acceso remoto de mantenimiento, dispositivos USB o ingeniería social sobre el personal de turno.
El nivel 3 corresponde a las operaciones de planta: MES, gestión de turnos, historización de datos de producción y servidores de ingeniería. ISA-95 denomina a este nivel “control de fabricación”. Es el punto donde los datos de proceso se preparan para ser consumidos por los sistemas empresariales del nivel superior, y donde se gestionan recetas de producción y parámetros de calidad.
Los niveles 2 y 3 concentran las estaciones de ingeniería: los equipos desde los que se programa y reconfigura un PLC. Estas estaciones son un objetivo de alto valor, porque comprometer una de ellas equivale a obtener capacidad de modificar la lógica de control del proceso. En una segmentación bien diseñada, las estaciones de ingeniería residen en una subred propia, con acceso restringido y registro de cada sesión que abre una conexión hacia el nivel 1.
Niveles 4 y 5: la red corporativa y el perímetro externo
El nivel 4 es la red empresarial estándar: ERP, correo corporativo, servidores de directorio y herramientas colaborativas. El nivel 5 representa el perímetro hacia internet y redes de socios o proveedores externos.
La frontera entre el nivel 3 (OT) y el nivel 4 (IT) es el punto de segmentación más crítico de toda la arquitectura. Es aquí donde se concentra el mayor riesgo de movimiento lateral entre entornos y donde se implanta la DMZ industrial. La mayor parte de los incidentes que han afectado a plantas industriales en la última década no atacaron directamente la OT: entraron por la red corporativa del nivel 4 y se desplazaron hacia abajo aprovechando una frontera 3/4 mal definida o inexistente.
Cómo se aplica el modelo Purdue al segmentar una planta real
El salto entre conocer los seis niveles y segmentar una instalación concreta es donde fallan la mayoría de proyectos. El modelo es un esquema; una planta es un conjunto de activos heterogéneos instalados a lo largo de décadas, muchos de ellos sin documentación fiable. Aplicar el modelo Purdue sobre ese terreno exige un orden de trabajo.
El primer paso no es trazar fronteras, sino inventariar. El especialista OT que asume el proyecto necesita saber qué dispositivos hay, en qué nivel funcional encaja cada uno y —sobre todo— cómo se comunican entre sí. Ese inventario suele revelar sorpresas: un historian del nivel 3 que habla directamente con un PLC del nivel 1 saltándose el nivel 2, un HMI con una tarjeta de red conectada a la ofimática corporativa, un equipo de mantenimiento que mantiene un módem abierto desde hace años. Cada una de esas anomalías es una frontera Purdue que en el papel existe y en la planta no.
Con el inventario y el mapa de tráfico sobre la mesa, la asignación de cada activo a su nivel deja de ser teórica. Un servidor que historiza datos pertenece al nivel 3 aunque físicamente esté en el mismo armario que un SCADA del nivel 2; lo que define el nivel es la función, no la ubicación. Esta clasificación funcional es lo que permite después decidir, frontera por frontera, qué tráfico es legítimo y qué tráfico debe bloquearse. Es el trabajo central de un proyecto de segmentación de red OT: convertir el mapa Purdue en una política de comunicaciones aplicada sobre firewalls, switches gestionados y reglas de acceso.
El último paso de la aplicación práctica es la validación. Una segmentación no se da por buena cuando se configuran las reglas, sino cuando se comprueba que el tráfico real respeta esas reglas sin romper la operación. Esa verificación es, a su vez, parte del alcance de una auditoría de ciberseguridad OT, que contrasta la arquitectura desplegada contra la diseñada y detecta las desviaciones que el día a día introduce.
Errores comunes de segmentación OT con el modelo Purdue
Los proyectos de segmentación que fracasan suelen repetir un conjunto reducido de errores. Conocerlos por adelantado ayuda a evaluar mejor cualquier propuesta técnica.
Confundir VLAN con segmentación. Separar los niveles en VLANs distintas no es segmentar si no hay un firewall que inspeccione y filtre el tráfico entre ellas. Una VLAN sin control de flujo es organización lógica, no una frontera de seguridad. El tráfico sigue siendo enrutable de un nivel a otro.
Definir las fronteras sin medir el tráfico. Diseñar la segmentación a partir del diagrama de red en lugar de a partir del tráfico observado produce reglas que, al activarse, paran la línea de producción. Una comunicación legítima no documentada bloqueada por una ACL nueva es un incidente de disponibilidad, y en OT la disponibilidad es prioritaria.
Olvidar el nivel 3,5. La DMZ industrial no es un nivel del modelo original, pero su ausencia es uno de los fallos más graves. Sin esa red intermedia, los niveles 3 y 4 se comunican directamente y el aislamiento OT/IT desaparece en la práctica.
Tratar el acceso remoto como una excepción. El acceso de mantenimiento de OEM y proveedores no es un caso aislado: en una planta moderna es tráfico permanente. Si la segmentación lo deja fuera de su alcance, queda una puerta abierta que ningún firewall perimetral vigila.
Segmentar una vez y no revisar. Una planta cambia: se añaden máquinas, se reconfiguran procesos, entran integradores nuevos. Una segmentación que no se audita periódicamente se degrada. Por eso la segmentación inicial y la evaluación de riesgos OT recurrente son partes del mismo ciclo, no proyectos independientes.
Segmentación práctica con el modelo Purdue
Conocer los niveles es el primer paso. Lo operativo es determinar qué controles se colocan en cada frontera y cómo se valida su efectividad sobre el tráfico real de planta.
La DMZ industrial entre niveles 3 y 4
La zona desmilitarizada industrial (DMZ OT/IT) es una red intermedia que impide el tráfico directo entre el nivel 3 y el nivel 4. En ella residen servidores historians, proxies de protocolo y jump servers que validan y transforman el tráfico antes de que cruce en cualquier dirección. Sin esta barrera, un ransomware que entre por la red corporativa puede moverse lateralmente hasta los HMI si las rutas están abiertas. Ese fue el vector documentado en el incidente de Colonial Pipeline en 2021.
El principio de diseño de la DMZ industrial es que ningún sistema del nivel 4 hable nunca de forma directa con un sistema del nivel 3, y viceversa. Toda comunicación termina en un componente de la DMZ que la inspecciona, la valida y la reinicia hacia el otro lado. Un dato de producción que el ERP necesita no lo lee del historian del nivel 3: lo lee de una réplica situada en la DMZ que el historian alimenta. Esa indirección rompe el camino que un atacante usaría para escalar entre entornos.
Controles de flujo dentro del entorno OT
Entre los niveles 0, 1, 2 y 3, el flujo normal de datos es ascendente (del proceso hacia la supervisión). Los comandos descendentes deben estar explícitamente autorizados. Los controles típicos incluyen:
- Firewalls con soporte de protocolos OT (Modbus/TCP, OPC DA/UA, DNP3, EtherNet/IP).
- Listas de control de acceso (ACL) en switches industriales gestionados.
- Data diodes para flujos estrictamente unidireccionales en zonas de alta criticidad.
- Jump servers con registro de sesión y autenticación multifactor para el acceso remoto de mantenimiento.
La combinación adecuada de estos controles depende del nivel de seguridad objetivo (Security Level) definido según IEC 62443-3-3. El especialista OT que ejecute el proyecto determina ese nivel a partir del análisis de riesgo previo: no existe una receta universal aplicable a todas las instalaciones industriales. Una zona que aloja un sistema instrumentado de seguridad exige un Security Level más alto que una zona de logística interna, y los controles de su frontera se dimensionan en consecuencia.
Limitaciones del modelo Purdue ante IIoT y acceso cloud
El modelo Purdue fue diseñado antes de que los dispositivos IIoT y las plataformas cloud se integraran en la planta. Hoy generan dos tensiones que la arquitectura original no resuelve por sí sola.
Telemetría IIoT directa desde el nivel de campo. Algunos dispositivos modernos envían datos directamente a plataformas cloud desde el nivel 1, saltándose los niveles 2 y 3. Esa conexión crea un vector lateral que rompe la jerarquía de segmentación si no se gestiona mediante un gateway dedicado en la DMZ o una política de egress estricta sobre el tráfico saliente.
Acceso remoto permanente de OEM y proveedores. Los fabricantes de maquinaria mantienen con frecuencia conexiones VPN persistentes hacia el nivel 2 para monitorización predictiva o soporte técnico. Sin segmentación adicional y sin registro de sesión, esas conexiones equivalen a una puerta de acceso directa hacia el SCADA que permanece abierta de forma continua.
La respuesta práctica no es abandonar el modelo Purdue, sino extenderlo. NIST SP 800-82 Rev. 3 recomienda complementar la segmentación Purdue con principios de Zero Trust: autenticación continua, acceso con mínimo privilegio y microsegmentación dentro de los propios niveles OT. El modelo Purdue aporta el mapa topológico; Zero Trust aporta la política de confianza que opera sobre ese mapa.
En plantas con PLCs de ciclo de vida largo que no soportan agentes de seguridad propios, este enfoque combinado es especialmente relevante. La monitorización pasiva mediante port mirroring o TAP de red permite visibilidad del tráfico OT sin intervenir en los dispositivos de proceso ni comprometer la disponibilidad de la línea de producción.
Más sobre arquitectura OT aplicada: el servicio de segmentación de redes OT industriales traduce el modelo Purdue en una política de red verificable, coordinado con integradores especializados en el sector de tu planta.
Preguntas frecuentes sobre el modelo Purdue
¿Qué es el modelo de Purdue?
El modelo de Purdue es una arquitectura de referencia jerárquica que divide la red industrial en seis niveles (0 a 5), separando los sistemas de control físico del proceso —PLCs, sensores, actuadores— de las redes corporativas IT. Es la base sobre la que IEC 62443 e ISA-95 definen zonas y conductos de seguridad. En la práctica, proporciona el mapa topológico que el especialista OT usa como punto de partida para diseñar la segmentación y determinar dónde colocar los controles de seguridad.
¿Qué dispositivo se encuentra normalmente en el nivel 1 del modelo Purdue?
Los PLCs y las RTUs son los dispositivos característicos del nivel 1. Ejecutan el control directo sobre el proceso físico: regulan motores, abren válvulas, activan sistemas de parada de emergencia. Reciben señal del nivel 0 (sensores y actuadores) y reportan su estado al nivel 2 (SCADA/HMI).
¿Cuál es el mayor riesgo de un ataque en el nivel 0?
El nivel 0 opera el proceso físico real. Un ataque que alcance este nivel puede manipular lecturas de sensores o comandos de actuadores mientras los sistemas de supervisión muestran valores dentro de rango, porque la falsificación ocurre antes de que el dato ascienda al nivel 2. El resultado puede ser daño a equipos, parada no planificada o, en infraestructura crítica, riesgo directo para la seguridad de personas. El caso Stuxnet (2010) ilustra este vector con precisión documentada: los centrifugadores de enriquecimiento operaban fuera de sus límites seguros mientras el HMI mostraba valores normales.
¿Cuáles son los principios de seguridad que aplica el modelo Purdue?
El modelo Purdue aplica defensa en profundidad mediante capas de control jerárquicas: separación física y lógica entre niveles, control del flujo de comunicaciones en cada frontera, DMZ industrial entre OT e IT, y acceso con mínimo privilegio para cada capa. IEC 62443 formaliza estos principios en niveles de seguridad (SL-T y SL-C) aplicables a cada zona y conducto definido sobre el mapa Purdue.
¿Qué relación tienen ISA-95 e IEC 62443 con el modelo Purdue?
ISA-95 define los niveles funcionales de integración entre producción y gestión empresarial, que son la base conceptual de la jerarquía Purdue. IEC 62443 toma esa jerarquía como mapa topológico y añade la metodología de seguridad: zonificación, niveles de seguridad (SL-T, SL-C), requisitos de sistema y de producto. En la práctica se usan juntos: el modelo Purdue describe la arquitectura; IEC 62443 describe cómo protegerla capa por capa.
¿Por dónde se empieza a aplicar el modelo Purdue en una planta sin segmentar?
Por el inventario y el mapa de tráfico. Antes de trazar fronteras hay que saber qué activos hay, en qué nivel funcional residen y cómo se comunican entre sí. Solo con ese mapa puede el especialista OT decidir qué controles colocar en cada frontera. Aplicar el modelo sin inventario previo produce una segmentación teórica que no resiste el primer contacto con el tráfico real de planta.
Si tu instalación no tiene una segmentación clara entre niveles —o si no sabes con certeza en qué capa residen tus activos críticos— el primer paso es un diagnóstico de postura de seguridad realizado por un especialista OT verificado. Fortiot identifica al especialista adecuado según el sector y el alcance de tu planta, y coordina la propuesta técnica inicial.
Solicita diagnóstico OT
Sin compromiso.
Más sobre el proceso: el diagnóstico de ciberseguridad OT y el cumplimiento NIS2 en industria.
La información de este artículo tiene carácter divulgativo. Fortiot no ejecuta auditorías, instalaciones ni operaciones técnicas directamente. La implementación de controles de seguridad OT recae en la consultora especializada que el cliente contrate tras el diagnóstico preliminar.