¿Qué es el Modelo Purdue? Definición, niveles y mejores prácticas

¿Qué es el Modelo Purdue?

Una sola estación de trabajo HMI comprometida otorga a un atacante autoridad de mando directa sobre los PLC que controlan procesos físicos. La diferencia entre que esa estación de trabajo esté detrás de tres límites de seguridad aplicados o comparta una red plana con su servidor de correo corporativo es, en términos prácticos, el Modelo Purdue.

La Purdue Enterprise Reference Architecture (PERA), conocida universalmente como el Modelo Purdue, es un marco de referencia jerárquico que segmenta las redes de sistemas de control industrial (ICS) en capas funcionales distintas, desde los procesos físicos a nivel de campo hasta TI empresarial y redes externas. Desarrollado en el Laboratorio de Control Industrial Aplicado de la Universidad de Purdue en 1991 por Theodore J. Williams y el Industry-Purdue University Consortium for Computer-Integrated Manufacturing, el modelo abordó originalmente los flujos de datos en la manufactura integrada por computadora, no la ciberseguridad.

A medida que las industrias conectaron OT con TI, la estructura jerárquica se convirtió en la base natural para definir qué debe y qué no debe comunicarse a través de los límites de red. Hoy en día, el modelo organiza los entornos ICS en los Niveles 0 al 5 (más un Nivel 3.5 crítico, la DMZ Industrial), cada uno con componentes definidos, límites de confianza y requisitos de seguridad.

Investigaciones del DOE confirman que el modelo "se utiliza como arquitectura base para todos los marcos de sistemas de control industrial como API 1164 y NIST 800-82."

Entender qué es el Modelo Purdue, sin embargo, es solo el primer paso. Su importancia en la seguridad industrial moderna proviene de cómo traduce esa estructura jerárquica en protecciones concretas de ciberseguridad.

Cómo se relaciona el Modelo Purdue con la ciberseguridad

El valor central de seguridad del Modelo Purdue es establecer límites de confianza claros entre los entornos OT y TI, habilitando defensa en profundidad mediante zonas de seguridad en capas. ISA-95 codificó formalmente su enfoque jerárquico en terminología estandarizada, y ISA/IEC 62443 construyó su arquitectura de zonas y conductos directamente sobre la base del modelo.

CISA, NIST y el DoD respaldan activamente el Modelo Purdue en la orientación vigente para 2025:

Las recomendaciones de CISA para 2025 lo mencionan como "una guía para zonas de seguridad en capas"
NIST lo incorporó en SP 800-82 Revisión 3
El Departamento de Defensa lo referencia en la orientación de zero trust para OT

Cuando defienda decisiones de arquitectura ante auditores o reguladores, el Modelo Purdue cuenta con respaldo federal interinstitucional.

La manufactura representó el 27,7% de todos los ciberataques en 2025, el porcentaje más alto de cualquier industria por quinto año consecutivo, según el Índice IBM X-Force 2026. Estas cifras demuestran por qué la segmentación estructurada en entornos industriales no es una mejora opcional.

Para entender cómo funciona esa segmentación en la práctica, es necesario saber qué reside en cada nivel y qué obligaciones de seguridad tiene cada uno.

Los seis niveles del Modelo Purdue

El Modelo Purdue define seis niveles funcionales (0–5), más la DMZ Industrial añadida para abordar la convergencia IT/OT. Cada nivel contiene componentes específicos, tiene un perfil de riesgo definido y requiere controles de seguridad distintos.

Nivel 0: Proceso físico

El proceso industrial real que se controla. Aquí se encuentran sensores, actuadores, válvulas, motores y equipos de producción. El requisito principal es el control de acceso físico y la protección de la integridad de la señal.

Nivel 1: Control básico

Control programable en tiempo real de procesos físicos. PLC, RTU, Sistemas Instrumentados de Seguridad (SIS) y dispositivos electrónicos inteligentes ejecutan la lógica de control. Son objetivos de alto valor porque comprometerlos permite la manipulación directa de procesos físicos. Normalmente ejecutan sistemas operativos en tiempo real sin soporte para autenticación moderna o parches. El DOE clasifica los Niveles 0 y 1 juntos como la Zona de Seguridad con un perfil de riesgo Crítico.

Nivel 2: Control de supervisión

Interacción hombre-máquina y monitoreo de supervisión. HMI, SCADA, estaciones de trabajo de operadores y servidores de control local residen aquí. Este nivel es el objetivo principal para movimiento lateral de atacantes desde TI porque ejecuta sistemas operativos basados en Windows mientras mantiene autoridad de mando directa sobre los PLC de Nivel 1, una brecha crítica de monitoreo y contención en muchos entornos.

Nivel 3: Operaciones del sitio

Gestión de operaciones a nivel de planta. Sistemas de Ejecución de Manufactura (MES), historiadores de datos, sistemas de control por lotes y plataformas de monitoreo de red OT agregan todos los datos OT que fluyen hacia arriba. Los historiadores en este nivel son un punto común de enlace IT/OT y han sido explotados históricamente como puntos de pivote entre entornos.

Nivel 3.5: DMZ Industrial (iDMZ)

Esta capa no existía en el modelo original de los años 90. La orientación del DOE indica: "Este nivel no fue diseñado inicialmente dentro del modelo Purdue; sin embargo, con la continua convergencia de OT y TI esta capa abstracta es esencial para asegurar la separación de las comunicaciones." Contiene firewalls perimetrales en los límites de TI y OT, diodos de datos, servidores proxy, réplicas de historiadores y jump servers. No existen conexiones directas de TI a OT que atraviesen esta zona.

Nivel 4: Red empresarial

Sistemas TI corporativos incluyendo ERP, CRM, Active Directory y aplicaciones de negocio. El requisito crítico de aplicación: cero conectividad directa con el Nivel 2 o inferiores.

Nivel 5: Red externa

Sistemas expuestos a Internet, servicios en la nube y portales de acceso de proveedores que, correctamente diseñados, no tienen ruta hacia OT sin atravesar múltiples límites de seguridad.

Entender estos componentes es necesario, pero saber cómo fluye el tráfico entre ellos es donde realmente ocurre la aplicación de la seguridad.

Cómo funciona el Modelo Purdue

El Modelo Purdue aplica la seguridad mediante el control jerárquico de las comunicaciones. Cada nivel se comunica principalmente con sus vecinos inmediatos, y todo el tráfico entre la zona OT (Niveles 0 al 3) y la zona TI (Niveles 4 y 5) debe pasar por la DMZ Industrial en el Nivel 3.5.

NIST SP 800-82 Rev. 3 exige explícitamente reglas de firewall que impidan que los dispositivos de Nivel 4 se comuniquen directamente con dispositivos de Nivel 2, 1 o 0. El estándar también recomienda que las organizaciones consideren hacer las reglas de salida tan estrictas como las de entrada, ayudando a prevenir tanto ataques entrantes como exfiltración de datos salientes.

ISA/IEC 62443 formaliza esto mediante zonas y conductos. Una zona es un conjunto de activos que comparten requisitos de seguridad comunes. Un conducto es el canal de comunicación que conecta zonas y debe asegurarse al mismo nivel de criticidad que la zona más confiable que conecta.

En la práctica, el flujo de datos funciona así:

Los sensores de Nivel 0 envían datos a los controladores de Nivel 1
Los controladores de Nivel 1 reportan a los HMI y sistemas SCADA de Nivel 2
El Nivel 2 envía datos a los historiadores de Nivel 3
Las réplicas de historiadores de Nivel 3 en la DMZ sirven datos a los consumidores TI de Nivel 4

Los sistemas TI nunca consultan OT directamente

Esta arquitectura de envío de datos unidireccional, reforzada por firewalls, controles de acceso y opcionalmente diodos de datos por hardware, impide que un atacante que comprometa la red empresarial alcance los sistemas que controlan procesos físicos.

Beneficios clave de implementar el Modelo Purdue

Implementado correctamente, el Modelo Purdue aporta valor de seguridad acumulativo en cuatro áreas operativas.

Defensa en profundidad mediante segmentación aplicada. Cada nivel Purdue crea un límite de seguridad que un atacante debe atravesar. Incluso si la red empresarial es completamente comprometida por ransomware, una segmentación adecuada puede evitar la paralización operativa de los procesos físicos.
Alineación con regulaciones y estándares. El Modelo Purdue constituye la base explícita para las evaluaciones de cumplimiento de ISA/IEC 62443, los requisitos de arquitectura de NIST SP 800-82 y las recomendaciones activas de CISA. Implementarlo le proporciona una arquitectura auditable y defendible ante reguladores.
Contención del movimiento lateral. El DBIR de Verizon 2025 encontró que el ransomware representa ahora el 44% de todas las brechas de datos. En entornos OT, el ransomware amenaza directamente la disponibilidad y seguridad operativa, no solo los datos. La segmentación Purdue limita la propagación de ransomware desde TI hacia zonas OT.
Control compensatorio para sistemas heredados. Los ciclos de vida del equipamiento industrial de 15 a 25 años significan que su entorno OT probablemente contiene sistemas que no pueden ser parchados, autenticados o monitoreados con herramientas modernas. La orientación de CISA recomienda específicamente la segmentación de red como la protección principal para estos sistemas.

Estos beneficios se acumulan, pero solo cuando la implementación es sólida. Y una implementación sólida comienza con la comprensión de los desafíos estructurales que hacen que el Modelo Purdue sea más difícil de desplegar de lo que parece en el papel.

Desafíos de implementación del Modelo Purdue

Los principios del Modelo Purdue son claros en el papel. La realidad operativa de implementarlos en entornos industriales en vivo no lo es. Varios desafíos estructurales generan fricción de manera constante entre lo que muestra el diagrama de arquitectura y lo que realmente hace el tráfico en la red.

La convergencia IT/OT crea arquitectura no documentada. Los requisitos operativos modernos crean continuamente nuevas conexiones a través de los límites Purdue. Investigaciones revisadas por pares publicadas en 2025 identifican los requisitos de flujo de datos, la complejidad de las zonas de seguridad y el puenteo de protocolos como los tres principales desafíos de convergencia.
Los sistemas heredados resisten los controles de seguridad modernos. Los PLC y RTU de Nivel 1 suelen ejecutar sistemas operativos en tiempo real con protocolos propietarios que la mayoría de las herramientas de seguridad TI no pueden inspeccionar. No se pueden instalar agentes endpoint en un PLC con RTOS de 2005. La segmentación basada en red se convierte en el único control viable.
La seguridad operativa limita las opciones de seguridad. NIST SP 800-82 Rev. 3 exige explícitamente que la segmentación tenga en cuenta el "rendimiento operativo y la seguridad". Los entornos ICS no pueden tolerar fallos de autenticación o latencia de red que serían aceptables en TI. Ningún control de seguridad puede convertirse en un punto único de falla para los sistemas de producción o seguridad.
La nube y IIoT carecen de ubicación clara en Purdue. El DOE especifica que los dispositivos de Nivel 0 y 1 no son viables para virtualización o alojamiento en la nube debido a los requisitos de tiempo real. La nube y la virtualización aplican en el Nivel 3 y superiores, pero muchas organizaciones integran análisis en la nube y sensores IIoT sin un marco claro de ubicación.
El acceso remoto viola principios fundamentales. Las soluciones tradicionales de VPN a menudo crean conectividad directa con los niveles inferiores de OT, violando directamente la jerarquía de control del Modelo Purdue. CISA ha documentado grupos hacktivistas pro-Rusia que comprometen con éxito dispositivos de control OT a través de conexiones VNC expuestas a Internet y mínimamente aseguradas.

Conocer estos desafíos le ayuda a anticiparlos. Pero los fallos más peligrosos son los que los equipos crean por sí mismos.

Errores comunes del Modelo Purdue que se deben evitar

Donde los desafíos son estructurales, los errores son decisiones: elecciones que los equipos toman durante el diseño, despliegue o gestión continua que socavan las protecciones que el modelo debe proporcionar. Estos son los errores que los cazadores de amenazas de CISA encuentran con mayor frecuencia en entornos industriales reales.

Desplegar VLAN sin aplicar control de acceso entre VLAN. La búsqueda proactiva de amenazas de CISA descubrió organizaciones con VLAN de TI y SCADA separadas y correctamente configuradas pero sin reglas de firewall correspondientes, dejando el enrutamiento entre VLAN sin restricciones. El resultado: "un usuario no privilegiado dentro de la red TI [podía] usar sus credenciales para acceder a la VLAN SCADA crítica." Las VLAN por sí solas son una herramienta de gestión de red, no un control de seguridad.

Los siguientes errores agravan ese fallo fundamental y son igual de comunes en entornos reales:

Dejar reglas de firewall permisivas en vigor. Las reglas de solución de problemas "temporales" (permitir any/any, abrir RDP/VNC) se convierten en elementos permanentes que persisten a través de auditorías y cambios de personal.
Permitir acceso directo de TI a controladores de campo. NIST SP 800-82 Rev. 3 exige reglas de firewall que impidan que dispositivos de Nivel 4 se comuniquen con Nivel 2, 1 o 0. Las violaciones crean rutas de ataque que eluden todos los controles de supervisión.
Tratar la implementación como un proyecto único. Las organizaciones que despliegan segmentación Purdue y nunca la revisan acumulan conexiones no documentadas a medida que cambian las necesidades operativas. La validación de la arquitectura debe incluir análisis real de tráfico y auditoría de reglas, no solo revisión de diagramas.
Conceder acceso remoto amplio de proveedores a zonas OT. La orientación de búsqueda de amenazas de CISA identifica el acceso remoto de proveedores como una vulnerabilidad frecuentemente explotada. El acceso VPN que termina directamente en zonas OT en lugar de en jump servers de la DMZ crea rutas de ataque persistentes.

Evitar estos errores requiere prácticas deliberadas y alineadas con los estándares.

Mejores prácticas del Modelo Purdue

Saber qué puede salir mal es la mitad del trabajo. La otra mitad es construir y mantener la arquitectura de manera que resista la presión operativa, el escrutinio de auditoría y las condiciones de amenaza activa. Las siguientes prácticas reflejan la orientación actual de CISA, NIST y DOE para entornos ICS.

Implemente una DMZ Industrial de dos firewalls. La orientación de CISA es explícita: despliegue firewalls tanto en el límite TI-DMZ como en el límite OT-DMZ, dos puntos de aplicación separados. Aloje todos los servicios compartidos (historiadores, jump servers, endpoints de acceso remoto) dentro de la DMZ. Los hosts de la DMZ no deben iniciar conexiones hacia zonas OT.

Despliegue controles de seguridad conscientes de ICS. Los firewalls estándar de TI son insuficientes. CISA exige firewalls conscientes de SCADA capaces de inspeccionar protocolos industriales en la capa de aplicación, permitir aplicaciones para protocolos autorizados e inspección profunda de paquetes para comunicaciones industriales.

A partir de ahí, cuatro controles operativos refuerzan la arquitectura día a día:

Aplique controles de comunicación bidireccionales. NIST SP 800-82 Rev. 3 recomienda que las reglas de salida sean tan estrictas como las de entrada, previniendo tanto ataques entrantes como exfiltración de datos salientes desde sistemas OT comprometidos.
Utilice diodos de datos para flujos de datos de alta seguridad. La transferencia de datos unidireccional aplicada por hardware para la replicación de historiadores previene físicamente la comunicación inversa, eliminando el riesgo de comando y control hacia OT a través de canales de historiadores.
Valide la arquitectura contra el tráfico real. Compare los conjuntos de reglas de firewall con los diagramas de red. Las búsquedas de amenazas de CISA han encontrado repetidamente que estos se contradicen entre sí. Simule escenarios de ataque: intente alcanzar VLAN SCADA críticas desde cuentas TI no privilegiadas comprometidas.
Termine todo acceso remoto en la DMZ. Cada sesión remota de proveedor, empleado y contratista debe aterrizar en jump servers de Nivel 3.5 con registro de sesión, nunca directamente en zonas OT.

Extienda con zero trust en los niveles superiores. Tanto la orientación de CISA para 2025 como la posición de Zero Trust para OT del DoD consideran zero trust como complementario a Purdue, no un reemplazo. La verificación de identidad aplica en el Nivel 3.5 y superiores. Los Niveles 0 al 2 requieren segmentación basada en red como control principal.

Estas prácticas reflejan el modelo tal como fue diseñado para funcionar. Pero el propio Modelo Purdue no se ha mantenido estático, y comprender cómo ha evolucionado es esencial para los equipos que operan en entornos donde TI y OT ya no están claramente separados.

La evolución moderna: convergencia IT/OT y Purdue 2.0

El Modelo Purdue ha evolucionado de una arquitectura de 6 niveles a un modelo de 7 niveles con el Nivel 3.5 como control de seguridad obligatorio. Los arquitectos de seguridad ahora se refieren a esto como "Purdue 2.0", representando una adaptación más que un reemplazo. El principio de segmentación jerárquica combinado con la iDMZ de Nivel 3.5 sigue siendo el enfoque más validado operativamente para proteger procesos industriales físicos.

Para los equipos de seguridad que gestionan estos entornos cada vez más convergentes, la visibilidad cruzada entre entornos se vuelve esencial para detectar amenazas que atraviesan los límites IT/OT y correlacionar actividad sospechosa entre endpoints, identidades y tráfico de red.

Ciberseguridad basada en IA

Mejore su postura de seguridad con detección en tiempo real, respuesta a velocidad de máquina y visibilidad total de todo su entorno digital.

Demostración

Conclusiones clave

El Modelo Purdue sigue siendo la arquitectura de referencia respaldada a nivel federal para la segmentación de red en ICS, organizando los entornos industriales en niveles jerárquicos con límites de confianza aplicados. La DMZ Industrial en el Nivel 3.5 es ahora obligatoria para cualquier entorno OT conectado.

La implementación tiene éxito o fracasa según la aplicación, no el diseño: valide las reglas de firewall contra el tráfico real, termine todo acceso remoto en la DMZ y despliegue controles de seguridad conscientes de ICS. Con el ransomware presente en el 44% de las brechas y la manufactura como la industria más atacada por cinco años consecutivos, la segmentación basada en Purdue no es opcional.

Preguntas frecuentes

La Purdue Enterprise Reference Architecture (PERA), comúnmente llamada el Modelo Purdue, es un marco jerárquico que segmenta las redes de sistemas de control industrial (ICS) en capas funcionales distintas, desde los procesos físicos en el Nivel 0 hasta la TI empresarial y las redes externas en los Niveles 4 y 5.

Desarrollada en la Universidad de Purdue en 1991, fue diseñada originalmente para la manufactura integrada por computadora y desde entonces se ha convertido en la arquitectura de referencia estándar para la seguridad de ICS, respaldada activamente por CISA, NIST y el Departamento de Defensa.

El Modelo Purdue sigue siendo respaldado activamente por CISA, NIST y el DoD en 2025. Zero trust lo complementa en lugar de reemplazarlo. La guía de CISA para 2025 y la documentación Zero Trust for OT del DoD posicionan zero trust como un refuerzo aplicable a partir del Nivel 3.5.

Los Niveles 0 a 2 normalmente no pueden soportar controles basados en identidad, por lo que la segmentación de red es el principal mecanismo de protección para el control de procesos físicos.

El modelo original de 1991 definía seis niveles (del 0 al 5) para los flujos de datos de manufactura integrada por computadora. El Modelo Purdue Extendido añade el Nivel 3.5, la DMZ Industrial, como una zona de amortiguamiento obligatoria entre OT (Niveles 0 a 3) e IT (Niveles 4 y 5).

El DOE desarrolló esta extensión específicamente porque la convergencia IT/OT hizo que el límite original fuera insuficiente. Todas las recomendaciones gubernamentales actuales consideran el Nivel 3.5 como esencial.

ISA/IEC 62443 construye su arquitectura de seguridad de zonas y conductos directamente sobre los niveles jerárquicos del Modelo Purdue. Cada nivel Purdue se asigna a una zona de seguridad con Niveles de Seguridad definidos (SL 1 a 4), que van desde la protección básica hasta la defensa contra ataques sofisticados y patrocinados por estados.

Los conductos que conectan zonas deben asegurarse con el mismo nivel de criticidad que la zona más confiable a la que conectan. Esta asignación proporciona a los equipos de seguridad una arquitectura auditable y alineada con los estándares para evaluaciones de cumplimiento ICS y revisiones regulatorias.

El Nivel 2 contiene sistemas SCADA y HMI que ejecutan sistemas operativos basados en Windows y mantienen autoridad de comando directa sobre los PLC de Nivel 1. Esto los hace vulnerables a técnicas de ataque estándar de IT y, al mismo tiempo, capaces de comandar procesos físicos.

Debido a que el Nivel 2 suele convertirse en el punto de pivote entre el compromiso empresarial y el impacto en el proceso físico, frecuentemente representa la mayor brecha de monitoreo y control de acceso en plantas reales.

Implementar VLANs sin aplicar controles de acceso entre VLANs. Las búsquedas proactivas de amenazas de CISA documentaron organizaciones con VLANs de TI y SCADA correctamente separadas pero sin reglas de firewall entre ellas, lo que permitía a usuarios de TI no privilegiados acceder a redes SCADA críticas.

Las VLANs organizan el tráfico de red; no lo restringen. Sin reglas de firewall correspondientes que limiten explícitamente la comunicación entre VLANs, un atacante que comprometa la red de TI puede moverse libremente hacia los sistemas OT. La segmentación mediante VLANs por sí sola no proporciona un límite de seguridad significativo.