OpenCyber AcademyMapa de la lección
Lección 10 publicada. Mapa, ejemplo, EX019.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["10.1 La autorización es la línea"]
N2["10.2 Reglas de enfrentamiento"]
N3["10.3 Divulgación"]
N4["10.4 Códigos profesionales y conflictos"]
N5["10.6 Actividad práctica"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX019"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["10.1 La autorización es la línea"]
N2["10.2 Reglas de enfrentamiento"]
N3["10.3 Divulgación"]
N4["10.4 Códigos profesionales y conflictos"]
N5["10.6 Actividad práctica"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX019"]
[Resultados de aprendizaje y conexión]
|
v
[10.1 La autorización es la línea]
|
v
[10.2 Reglas de enfrentamiento]
|
v
[10.3 Divulgación]
|
v
[10.4 Códigos profesionales y conflictos]
|
v
[10.6 Actividad práctica]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX019]
Resultados de aprendizaje y conexión
Después de este capítulo usted podrá (1) explicar por qué es la autorización, y no la capacidad técnica, lo que define el trabajo de seguridad legítimo; (2) redactar un documento sencillo de reglas de enfrentamiento para un ejercicio; (3) gestionar un descubrimiento accidental sobre un sistema real mediante la divulgación coordinada; y (4) razonar sobre los conflictos entre seguridad, seguridad funcional, privacidad y continuidad del servicio con la ayuda de un código profesional. Se apoya en los capítulos 1–9 y rige todas las actividades prácticas del resto del libro.
10.1 La autorización es la línea
La misma orden puede ser mantenimiento o un delito. Lo que las separa es la autorización: el permiso explícito de alguien facultado para darlo, para un alcance, un tiempo y un método definidos. La mayoría de las jurisdicciones tipifican como delito el acceso no autorizado a sistemas informáticos y, en los servicios críticos, las pruebas no autorizadas también pueden poner en peligro a las personas: un escaneo inofensivo para un portátil puede bloquear un controlador. Por eso la regla de este libro es simple y absoluta: el trabajo práctico usa los laboratorios sintéticos del libro, sistemas de su propiedad o sistemas cuyo propietario ha dado un permiso escrito y específico. La curiosidad por un dispositivo expuesto de una empresa de servicios real no es un permiso.
10.2 Reglas de enfrentamiento
Los ejercicios autorizados se ponen por escrito en unas reglas de enfrentamiento (RoE): quién autoriza (con nombre y función); el alcance (qué sistemas, qué direcciones y, de forma explícita, qué queda excluido; los sistemas de seguridad funcional suelen estarlo); la ventana de tiempo; los métodos permitidos; las condiciones de parada («ante cualquier alarma inesperada del proceso: parar y llamar al ingeniero de turno»); el plan de comunicación; el tratamiento de los datos encontrados; y cómo se informarán los resultados. Unas RoE protegen al servicio, a la organización y a quien realiza la prueba. En la TO, las RoE suelen acordarse con los ingenieros de operaciones y de seguridad funcional, no solo con el equipo de seguridad de TI, y a menudo limitan las pruebas a la observación pasiva o a réplicas sin conexión.
10.3 Divulgación
Si encuentra una vulnerabilidad por accidente (una página pública que expone una interfaz de control, un correo enviado por error), el camino ético es detenerse, no seguir explorando, e informar en privado al propietario o a través de un coordinador. La divulgación coordinada de vulnerabilidades da al propietario o al fabricante tiempo para corregir antes de que se publiquen los detalles; organismos nacionales como CISA gestionan programas que coordinan a quienes descubren con los fabricantes (programa CVD de CISA). Anote qué vio y cuándo, manténgalo en confidencialidad y no conserve datos a los que no tenía derecho a acceder.
10.4 Códigos profesionales y conflictos
El Código de Ética de la ACM pide a los profesionales de la informática que contribuyan a la sociedad y al bienestar humano, eviten el daño, sean honestos y respeten la privacidad, y que "access computing and communication resources only when authorized or when compelled by the public good", es decir, que accedan a recursos informáticos y de comunicación solo cuando estén autorizados o cuando lo exija el bien público (ACM Code, 2018). Los dilemas reales enfrentan estos deberes entre sí. ¿Debe un hospital retrasar un parche de seguridad para su flota de ventiladores porque la actualización exige retirar dispositivos del servicio durante un pico de enfermedades respiratorias? ¿Debe una empresa de servicios compartir los detalles de un incidente con otras empresas cuando sus abogados aconsejan silencio? Un enfoque estructurado ayuda: identificar a las partes interesadas y los daños; identificar los deberes y quién los tiene; considerar alternativas (parchear un subconjunto, añadir un control compensatorio); decidir; registrar el razonamiento y quién aceptó el riesgo residual.
10.5 Ejemplo resuelto: la HMI abierta (sintético)
Este caso es sintético. Un estudiante que busca información sobre prácticas en el sitio web público de Calder Water sigue un enlace que abre una página web titulada «Pump Station 4 — operator view». No se le pidió ninguna contraseña. La respuesta ética: no hacer clic en nada de la página, no probar otros enlaces, tomar una captura de pantalla solo de la barra de direcciones y del título si hace falta para informar, cerrar la página y escribir al contacto de seguridad publicado por CW (o, si no lo hay, al CERT o CSIRT nacional) indicando qué vio, cuándo y cómo llegó a ello. No publicar nada al respecto. No «comprobar si de verdad está en funcionamiento». Debe informarse al asesor de ética de la universidad del estudiante. En este caso sintético, CW agradece al estudiante, elimina el enlace y descubre que la página era una demostración de un fabricante olvidada en un servidor web, un recordatorio de que quien descubre rara vez conoce el panorama completo.
10.6 Actividad práctica
Escriba unas RoE de una página para el Laboratorio I (capítulo 25), que solo ejecuta los laboratorios sin conexión del libro en su propio computador. Incluso con un alcance trivial, complete todos los encabezados: quién autoriza, alcance, exclusiones, ventana, métodos, condiciones de parada, tratamiento de los datos e informe. Como condición de parada, «cualquier comportamiento inesperado de mi propio computador, o cualquier intento de un script de acceder a la red» es específica y observable. Nómbrese a sí mismo como quien autoriza y quien prueba dentro del alcance, y a su tutor como la persona a quien se avisa si se produce una condición de parada.
10.7 Errores comunes y límites
- «Era accesible públicamente, así que estaba permitido».
- La autorización verbal, o la autorización de alguien que no es propietario del sistema.
- La ampliación progresiva del alcance durante una prueba («ya que estoy aquí…»).
- Conservar los datos encontrados durante una prueba una vez terminado el encargo.
- Tratar la ética como una lista de comprobación de cumplimiento en lugar de como un deber de razonamiento.
El ejemplo resuelto de la HMI abierta pone a prueba los tres primeros. La página era accesible públicamente, pero nadie en CW autorizó una visita; un compañero de clase que dice «adelante» no es propietario del sistema; y hacer clic en «solo un enlace más» para comprobar si está en funcionamiento es ampliar el alcance. El cuarto se aplicaría si el estudiante conservara la captura de pantalla después de informar. El quinto es la razón por la que el estudiante también avisó al asesor de ética.
Ejercicios — capítulo 10
EX019 — Redactar las condiciones de parada. Objetivo: proteger un servicio en funcionamiento durante una prueba autorizada. Entradas: CPN autoriza una captura pasiva del tráfico de red en su sala de control durante un día. Pasos: redacte cinco condiciones de parada e indique a quién se llama en cada una. Evidencia esperada: una lista. Rúbrica: 3 = cinco condiciones específicas y observables (alarma del proceso, comportamiento inesperado de un dispositivo, descubrimiento de tráfico de sistemas de seguridad funcional fuera del alcance, petición de un operador, datos de tipo sensible) con funciones nombradas; 2 = genéricas; 1 = menos de tres; 0 = nada.
EX020 — El dilema del parche. Objetivo: estructurar una decisión ética. Entradas: el ejemplo del parche de los ventiladores de la discusión de este capítulo sobre los códigos profesionales. Pasos: enumere las partes interesadas y los daños, dos alternativas a «parchear todo ahora» o «no parchear nada», y redacte un registro de decisión de 150 palabras que nombre a quien acepta el riesgo residual. Evidencia esperada: el análisis y el registro. Rúbrica: 3 = daños en ambos lados, alternativas creíbles (parcheo escalonado, aislamiento más supervisión), responsables clínico y de seguridad nombrados; 2 = solo un lado; 1 = opinión sin estructura; 0 = nada.
Síntesis del capítulo
La autorización define el trabajo de seguridad legítimo. Redacte reglas de enfrentamiento, deténgase cuando tropiece con algo real e infórmelo en privado, y razone de forma explícita los conflictos entre deberes, registrando quién aceptó qué riesgo. En los servicios críticos, las pruebas descuidadas pueden dañar a las personas.