Capítulo 19 — Infraestructura crítica y seguridad sectorial: alcance y teoría

Mapa de la lección

Lección 19 publicada. Mapa, ejemplo, EX037.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["19.1 Qué significa «crítica»"]
  N2["19.2 Tres lentes"]
  N3["19.3 Qué tiene de distintivo el campo"]
  N4["19.5 Actividad práctica"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX037"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["19.1 Qué significa «crítica»"]
  N2["19.2 Tres lentes"]
  N3["19.3 Qué tiene de distintivo el campo"]
  N4["19.5 Actividad práctica"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX037"]

[Resultados de aprendizaje y conexión]
    |
    v
[19.1 Qué significa «crítica»]
    |
    v
[19.2 Tres lentes]
    |
    v
[19.3 Qué tiene de distintivo el campo]
    |
    v
[19.5 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX037]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) explicar qué hace que una infraestructura sea «crítica» y comparar cómo la definen y organizan los Estados Unidos, la Unión Europea y el Reino Unido; (2) usar las ideas de funciones críticas, interdependencia y resiliencia para analizar un servicio; (3) comparar tres lentes teóricas (riesgo, resiliencia y seguridad funcional/sistemas) y decir qué ve y qué pasa por alto cada una; y (4) situar a una organización en su contexto regulatorio y sectorial. Abre el núcleo disciplinar del libro y se apoya en todos los capítulos 1–18.

19.1 Qué significa «crítica»

Una infraestructura es crítica cuando su interrupción dañaría gravemente la salud, la seguridad, la seguridad económica o el funcionamiento de la sociedad. Los gobiernos lo concretan de formas distintas. Los Estados Unidos designan dieciséis sectores de infraestructura crítica, desde la energía y el agua hasta la sanidad y los servicios financieros (CISA, Critical Infrastructure Sectors), y complementan los sectores con un conjunto de Funciones Críticas Nacionales: funciones como «suministrar agua» o «prestar atención médica» cuya interrupción sería debilitante (CISA, NCF set). La Unión Europea regula la ciberseguridad de las entidades «esenciales» e «importantes» de muchos sectores mediante la Directiva NIS2 (Directive (EU) 2022/2555), la resiliencia física y operativa más amplia de las «entidades críticas» mediante la Directiva CER (Directive (EU) 2022/2557) y la resiliencia operativa digital de las entidades financieras mediante DORA (Regulation (EU) 2022/2554). El National Cyber Security Centre del Reino Unido publica el Cyber Assessment Framework, que se usa para evaluar a los operadores de servicios esenciales (NCSC CAF).

La visión por funciones suele ser más útil que la visión por sectores. El Calder Valley Hospital pertenece a la «sanidad», pero la función que necesitan las personas es «prestar atención de urgencias», que depende de la electricidad, el agua, las comunicaciones, el despacho y las cadenas de suministro gestionadas por otros sectores.

19.2 Tres lentes

El riesgo (capítulo 23) pregunta: ¿qué podría ocurrir, con qué probabilidad, con qué gravedad y qué controles lo reducen más por el dinero invertido? Su fortaleza es la priorización; su debilidad, que las estimaciones de probabilidad captan mal los eventos raros, nuevos o en cascada. La resiliencia pregunta: cuando se produce una interrupción, sea cual sea su causa, ¿cómo absorbe el servicio el golpe, se adapta y se recupera? Haimes define la resiliencia como la capacidad de soportar una interrupción importante con una degradación aceptable y de recuperarse en un tiempo y con un coste aceptables (Haimes, 2009); Bruneau y sus colegas la midieron como la pérdida de calidad del servicio a lo largo del tiempo (Bruneau et al., 2003). La guía de ingeniería de ciberresiliencia del NIST aplica estas ideas a los sistemas (SP 800-160 Vol. 2 Rev. 1). Las visiones de seguridad funcional y sistemas tratan los accidentes como el resultado de un control inadecuado sobre componentes que interactúan, más que de fallas aisladas (Leveson, 2004), y nos recuerdan que el error humano suele ser un síntoma del diseño del sistema (Reason, 2000). Un analista competente usa las tres: el riesgo para priorizar, la resiliencia para prepararse para lo que el análisis de riesgos pasó por alto y el pensamiento sistémico para entender cómo fallan juntas las organizaciones y la tecnología.

19.3 Qué tiene de distintivo el campo

Cinco rasgos se repiten en todos los sectores: las consecuencias físicas (daño a las personas y al medio ambiente, no solo a los datos); la tecnología de larga vida (capítulo 2); la interdependencia (capítulo 22); la regulación y la rendición de cuentas pública; y la propiedad mixta: la mayor parte de la infraestructura la operan empresas privadas, pero la sociedad depende de ella, así que los incentivos para invertir en protección frente a eventos raros son débiles. Estos rasgos explican por qué fracasa «aplicar el manual de la TI corporativa» y por qué importa el conocimiento específico de cada sector.

En Calder estos rasgos son concretos: el daño del CVH es físico (pacientes), las RTU de CPN duran décadas, la subestación alimenta a otros cuatro servicios (Lab 3), cada operador responde ante su propio regulador y la mayoría son empresas privadas cuya falla perjudica a residentes del condado que no son sus clientes.

19.4 Ejemplo resuelto: perfil del CEDC (sintético)

Este caso es sintético. Un perfil sectorial del County Emergency Dispatch Centre: función: recibir llamadas de emergencia y despachar ambulancias, bomberos y policía; daño por pérdida: retraso de la respuesta en cuestión de minutos; dependencias: telecomunicaciones (llamadas y datos del CAD), electricidad (SAI y generador), servicios en la nube del fabricante del CAD, personal; contexto regulatorio: obligaciones de servicio público y, según la jurisdicción, obligaciones de ciberseguridad para entidades esenciales (a verificar con asesoría jurídica); lentes: riesgo, el ransomware en el CAD es el escenario principal; resiliencia, el respaldo con papel y radio debe sostener el despacho durante horas; sistemas, un paso al papel a las 2 de la madrugada es tanto un problema de factores humanos como técnico. El perfil aún no dice qué hacer; dice qué preguntas importan.

19.5 Actividad práctica

Elija un sector real de su país. A partir de fuentes oficiales, averigüe quién lo designa como crítico, qué ley o marco fija sus obligaciones de ciberseguridad, qué organismo lo supervisa y qué orientación pública se aplica. Registre cada fuente con su fecha. No dé por hecho que el modelo de la UE, de los EE. UU. o del Reino Unido se aplica en otros lugares. Registre la jurisdicción y la fecha de cada fuente, porque las definiciones cambian: la UE sustituyó su anterior directiva de seguridad de las redes por la NIS2, y las fechas de transposición nacional difieren. Cuando un marco solo se aplica por encima de un umbral de tamaño, anote el umbral y si el operador elegido lo supera.

19.6 Errores comunes y límites

• Equiparar «infraestructura crítica» con «TO».
• Leer una lista de sectores como una lista de sectores independientes.
• Usar una sola lente e ignorar lo que revelan las demás.
• Afirmar obligaciones legales sin comprobar el texto vigente y la jurisdicción.

El CEDC muestra el primer error: un centro de despacho casi no tiene TO y aun así es crítico. El Lab 3 muestra el segundo: las entradas de la subestación, las telecomunicaciones y el agua dependen unas de otras. Usar solo la lente del riesgo con el CEDC pasaría por alto el problema del paso al papel a las 2 de la madrugada. Y el perfil del CEDC deja a propósito sus obligaciones legales «a verificar con asesoría jurídica».

Ejercicios — capítulo 19

EX037 — Funciones, no sectores. Objetivo: aplicar la visión por funciones. Entradas: Calder Mutual. Pasos: nombre dos funciones críticas que respalda, sus dependencias de otros sectores y la cronología del daño si cada una se detiene. Evidencia esperada: perfil breve. Rúbrica: 3 = funciones como «prestar servicios de pago» y «dar acceso al efectivo», dependencias de la electricidad, las telecomunicaciones y otras infraestructuras financieras, cronología del daño (horas para los pagos, días para salarios y prestaciones); 2 = solo a nivel de sector; 1 = vago; 0 = nada.

EX038 — Tres lentes. Objetivo: comparar teorías sobre un caso. Entradas: la planta de tratamiento de CW. Pasos: escriba una pregunta que haría cada lente y una cosa que cada una podría pasar por alto. Evidencia esperada: tres pares. Rúbrica: 3 = riesgo (escenarios probables; pasa por alto cascadas nuevas), resiliencia (recuperación y modos degradados; puede infravalorar la economía de la prevención), sistemas (estructura de control, factores humanos y organizativos; más difícil de cuantificar); 2 = dos lentes; 1 = una; 0 = nada.

Síntesis del capítulo

Una infraestructura es crítica porque la sociedad depende de sus funciones. Las jurisdicciones la organizan de forma distinta mediante sectores, funciones y leyes como NIS2, CER y DORA. El riesgo, la resiliencia y el pensamiento sistémico son lentes complementarias, y los rasgos distintivos del campo (consecuencias físicas, longevidad, interdependencia, regulación y propiedad mixta) explican por qué necesita su propia disciplina.