Una brecha de aire es una política, no un producto. La cuestión es quién audita la brecha.
OPSWAT y Waterfall venden excelente hardware para el perímetro de una red desconectada, y ambos publican más cifras que nosotros. Ninguno le vende el aseguramiento de que ese perímetro sigue aguantando, que es la parte que la mayoría de los parques con brecha de aire hace mal.
Nuestro trabajo desconectado es aseguramiento para sistemas ya en servicio: salas de control aisladas, emplazamientos remotos y enclaves con brecha de aire que no pueden depender de una conexión permanente a la nube de un proveedor. Lo entrega el mismo equipo que dirige nuestras operaciones defensivas, sobre parques que están funcionando ahora y no en un laboratorio.
Lado a lado
| Atributo | Representado por UnstratOff-grid cybersecurity | OPSWATMetaDefender Kiosk Tower 5123Estados Unidos | Waterfall Security SolutionsUnidirectional Security Gateway WF-50045Israel |
|---|---|---|---|
| Qué se compra en realidad14Uno es un servicio, dos son cajas. Un parque desconectado normalmente necesita cubrir los tres papeles, con los proveedores que se puedan sostener. | Un encargo de aseguramiento para entornos desconectados: sistemas aislados, con brecha de aire y remotos, evaluados y defendidos sin conectividad fiable | Un equipo de seguridad de soportes extraíbles que analiza, sanea y valida los soportes portátiles antes de permitir su entrada en una red segura | Una pareja de pasarelas por hardware que replica servidores industriales hacia fuera de una red OT haciendo físicamente imposible la conexión inversa |
| Vector de amenaza abordado14 | No publicado como lista de vectores | Soportes portátiles que entran en el enclave: USB, tarjetas de memoria, discos ópticos y disquetes de 3,5 pulgadas, con comprobaciones de malware, datos sensibles y vulnerabilidades en ficheros | Camino de red hacia fuera del enclave: replicación unidireccional para que ningún paquete, orden o malware pueda volver a la red ICS |
| Motores de detección y tasa de acierto publicada14 | No publicado | Más de 30 motores antimalware, con detección declarada de más del 99 % del malware conocido, además de regeneración de ficheros Deep CDR y redacción para prevención de fuga de datos | No publicado. La pasarela impone el sentido de la comunicación en lugar de inspeccionar el contenido |
| Rendimiento14 | No publicado | Más de 17.000 ficheros por minuto en el Tower 5 | 1 Gbps estándar, varios Gbps con varias parejas TX/RX, con configuración opcional de alta disponibilidad |
| Huella física134 | No aplicable. No se vende ningún equipo | El Tower 5 mide 16.5 x 60.25 x 19.625 in y pesa 180 lb (81,6 kg); en la página de producto se relacionan modelos menores Desktop, Mobile y Mini | Módulos TX y RX de 0,8 kg cada uno y un módulo host de 1,2 kg; chasis estándar, compacto y para carril DIN de 2,5, 4 y 3 kg |
| Rango ambiental134 | No publicado | Operación de 0 a 35 °C y humedad del 10 % al 90 % en el Tower 5. El modelo Mobile está calificado para un rango térmico más amplio | No publicado en la ficha técnica |
| Integración con lo ya instalado14 | No publicado | Almacenamiento local, en red o en la nube, MetaDefender Managed File Transfer, NetWall y diodos de datos de terceros; gestión centralizada en local o en la nube | Más de 100 conectores comerciales que cubren historiadores, protocolos SCADA, monitorización corporativa, transferencia de ficheros y flujos de actualización de antivirus y WSUS, sin coste de personalización declarado |
| Certificación reivindicada14 | No publicado | FCC Clase A, CE, RoHS, UKCA, UL, WEEE y Common Criteria EAL4+ | No publicado en la ficha técnica, que cita las patentes estadounidenses 8,223,205 y 7,649,452 |
| Correspondencia normativa ofrecida24 | No publicado | La guía de despliegue relaciona el uso del kiosco con los requisitos de activos cibernéticos transitorios y soportes extraíbles de NERC CIP-010-2 R4 para plantas eléctricas | No publicado en la ficha técnica |
| Modelo de soporte14 | Un único equipo responsable desde la primera reunión hasta la entrega y el sostenimiento en la región | Cuatro niveles publicados. La respuesta a incidencias va de 12 horas laborables en Silver a 24 horas los siete días de la semana en Platinum y Emerald; soporte telefónico solo en los dos niveles superiores | No publicado en la ficha técnica |
| Origen y exposición política145 | Origen independiente y no alineado, sin exposición política a ningún ecosistema de gran potencia | Empresa de Estados Unidos. La ficha del Tower 5 indica el Reino Unido como país de origen del hardware | Israel. El perfil de la compañía indica sede en Israel con oficinas comerciales y de soporte en otros países |
Los valores de los competidores se citan de los documentos listados en Fuentes, tal como estaban publicados en la fecha indicada. Las configuraciones varían, de modo que cada fila es un punto de partida para la evaluación y no un resultado de ensayo equiparable.
Qué dice la tabla
Los sistemas desconectados fallan en el límite humano, no en el cable
La física de Waterfall no admite discusión. Un láser que solo transmite y un receptor que solo recibe no pueden llevar un paquete de vuelta, y 1 Gbps de replicación unidireccional con más de 100 conectores ya hechos resuelve bien el problema del historiador hacia la red corporativa. Lo que ni un diodo ni un kiosco pueden decirle es si el enclave que hay detrás ha desarrollado en silencio un segundo módem, un portátil de ingeniería que pasa semanas alternas en la red corporativa o un contrato de mantenimiento que exige una sesión remota del proveedor una vez al trimestre. Ese es el modo de fallo que nos contratan para encontrar, y es una revisión de personas, procesos y configuración más que una caja en la pared.
El sostenimiento es distinto cuando el emplazamiento no tiene conectividad
Un kiosco es un equipo Windows con una pila de análisis basada en firmas. Su valor decae en cuanto los soportes dejan de actualizarse, y la propia matriz de soporte de OPSWAT reserva el acceso telefónico a los niveles superiores. Una pasarela necesita que sus conectores se mantengan a medida que cambian los historiadores y los SIEM que hay detrás. Ambos modelos suponen que alguien visita el emplazamiento, o que alguien con rango suficiente es dueño de la vía de actualización. Nuestro modelo es que el mismo equipo que evaluó el enclave vuelve a él, en la región, sin una cola de soporte deslocalizada entre su ingeniero y una respuesta.
Lo que no publicamos y no vamos a inventar
OPSWAT y Waterfall publican tasas de detección, rendimiento, pesos, rangos de temperatura y listas de certificación. Nosotros no publicamos ninguno de esos datos para este servicio porque no es un equipo. Cuando un comprador necesite una cifra comparable, pídanosla por escrito y se la daremos o le diremos con claridad que no disponemos de ella.
Preguntas que hacen los compradores
¿Cómo se asegura una red con brecha de aire sin conectividad a internet?
Hay que cubrir tres tareas. Controlar lo que cruza el límite en soportes extraíbles, que es lo que hace un kiosco de OPSWAT con más de 30 motores de análisis y regeneración de ficheros. Hacer unidireccional el camino de red allí donde los datos deben salir, que es lo que hace en hardware una pasarela de Waterfall. Y después verificar, de forma repetida, que la brecha sigue siendo real. La tercera tarea es la nuestra, y es la que se salta, porque es un servicio y no una orden de compra de una caja.
¿Es mejor un diodo de datos que un cortafuegos para redes OT?
Para tráfico que solo necesita viajar hacia fuera, sí, y el WF-500 de Waterfall lo argumenta con limpieza: el módulo de transmisión contiene un láser de fibra y nada más, de modo que una conexión inversa no es una decisión de política que pueda configurarse mal. Un cortafuegos es un conjunto de reglas, y los conjuntos de reglas se degradan. La limitación honesta es que un diodo no resuelve requisitos bidireccionales, no inspecciona contenido y no le dice qué está ocurriendo dentro de la red protegida.
¿Cuál es la alternativa a OPSWAT MetaDefender Kiosk para un gobierno que no puede usar un proveedor estadounidense?
No somos un sustituto equivalente y no vamos a pretenderlo. OPSWAT entrega un equipo certificado con tasas de análisis publicadas y Common Criteria EAL4+; nosotros entregamos aseguramiento para parques desconectados. Si la restricción es de contratación y no de función, la vía práctica es combinar el hardware de control de soportes que sus normas permitan con un socio de aseguramiento independiente y no alineado que no tenga línea de reporte a ningún gobierno extranjero.
¿Con qué frecuencia debe reevaluarse un sistema con brecha de aire?
Con más frecuencia de la que aplica la mayoría de los operadores, porque la brecha se erosiona con el trabajo ordinario y no con un ataque: un portátil de proveedor, un enlace temporal para una ventana de puesta en marcha, un nuevo contrato de telemonitorización. No publicamos una cadencia fija. Ajústela a la frecuencia con la que su emplazamiento recibe ingenieros externos, y trate cada visita de mantenimiento como un evento de frontera.
Fuentes
- 1. OPSWAT, MetaDefender Kiosk Tower 5: Removable Media Security Kiosk (datasheet, Rev. 2026-01) (copia conservada en este sitio)Recuperado el: 2026-07-31 · Hardware, scanning-performance, media-port, certification and support-tier tables for the largest Kiosk model.
- 2. OPSWAT, MetaDefender Kiosk Deployment Guide (copia conservada en este sitio)Recuperado el: 2026-07-31 · Recommended deployment for power plants, including the NERC CIP-010-2 R4 requirements the Kiosk is positioned against.
- 3. OPSWAT, MetaDefender Kiosk (product page)Recuperado el: 2026-07-31 · HTML only. Lists the Kiosk range (Tower, Desktop, Mobile, Mini, Stand, App) and per-model scanning rates.
- 4. Waterfall Security Solutions, Unidirectional Security Gateway WF-500 (datasheet) (copia conservada en este sitio)Recuperado el: 2026-07-31 · TX/RX architecture, throughput, connector catalogue and per-module dimensions and weights.
- 5. Waterfall Security Solutions, The Story of Waterfall Security & Unidirectional Gateway Technology (company profile) (copia conservada en este sitio)Recuperado el: 2026-07-31 · States that the company's headquarters are in Israel, with sales and support offices elsewhere.