Capítulo 20 — Infraestructura crítica y seguridad sectorial: casos fundacionales | Grado Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 20 publicada. Mapa, ejemplo, EX039.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["20.1 Leer un caso"]
  N2["20.2 Seis casos"]
  N3["20.3 Comparar los casos"]
  N4["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX039"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["20.1 Leer un caso"]
  N2["20.2 Seis casos"]
  N3["20.3 Comparar los casos"]
  N4["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX039"]

[Resultados de aprendizaje y conexión]
    |
    v
[20.1 Leer un caso]
    |
    v
[20.2 Seis casos]
    |
    v
[20.3 Comparar los casos]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX039]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) resumir seis casos públicos que dieron forma al campo a partir de sus fuentes primarias o autorizadas; (2) separar lo que establecen las fuentes de lo que se repite habitualmente; (3) extraer lecciones trasladables y compararlas entre sectores; y (4) tratar con honestidad los relatos revisados. Se apoya en el capítulo 19 y prepara el capítulo 31 (casos avanzados) y el proyecto final. Todas las descripciones se mantienen al nivel de las fuentes citadas; ningún caso se enseña como técnica.

20.1 Leer un caso

Para cada caso, registre: fecha y sector; qué le ocurrió al servicio (alcance, duración, personas afectadas); acceso inicial y propagación, solo tal como los describe la fuente; respuesta; tipo de fuente (aviso gubernamental, informe de auditoría, análisis revisado por pares, comunicado de la empresa, periodismo); y qué sigue siendo incierto. Los primeros informes a menudo se equivocan; los posteriores a menudo los corrigen. Un buen analista cita ambos. Para Oldsmar este registro tiene dos fechas: el aviso de 2021 y la declaración de 2023 que lo revisó. Ambos forman parte del registro, con el relato del aviso etiquetado como superado en lugar de eliminado.

20.2 Seis casos

Distribución eléctrica en Ucrania, diciembre de 2015. La alerta de CISA describe ataques coordinados contra tres empresas regionales de distribución que causaron cortes que afectaron a unos 225 000 clientes, con operación remota de interruptores, destrucción de algunos sistemas e interrupción de los centros de atención telefónica; el suministro se restableció pasando a la operación manual (CISA IR-ALERT-H-16-056-01; véase también el análisis de E-ISAC/SANS). Lección: el respaldo manual y un personal capaz de operar sin automatización fueron decisivos.

WannaCry y el NHS, mayo de 2017. La National Audit Office del Reino Unido concluyó que el ransomware afectó al menos a un tercio de los trusts del NHS en Inglaterra, provocó la cancelación de citas y el desvío de ambulancias, y que las organizaciones afectadas tenían sistemas Windows sin parchear o sin soporte; el NHS no había ensayado una respuesta nacional (NAO, 2017). Lección: el malware no dirigido puede causar daño clínico; la higiene básica y la coordinación ensayada importan.

TRITON/HatMan, 2017. El informe de análisis de malware de CISA describe un malware diseñado para interactuar con un controlador concreto de un sistema instrumentado de seguridad, la capa destinada a evitar daños físicos (CISA MAR-17-352-01). Lección: los sistemas de seguridad funcional son objetivos, y su independencia de las redes de control debe ser real.

Tratamiento de agua de Oldsmar, febrero de 2021. El aviso de CISA informó de que actores no identificados accedieron al sistema de control de una planta de tratamiento de agua a través de un software de acceso remoto y aumentaron el punto de consigna del hidróxido de sodio, algo que un operador advirtió y revirtió (CISA AA21-042A). En 2023, un antiguo administrador municipal dijo que el evento fue probablemente un error de un empleado y no una intrusión (WUSF, 2023). Lección: fuera cual fuera la causa, el acceso remoto sin gestionar y la dependencia de un único operador atento eran debilidades; y los relatos públicos pueden revisarse.

Colonial Pipeline, mayo de 2021. El aviso conjunto de CISA y el FBI sobre el ransomware DarkSide informa de que los actores desplegaron ransomware contra la red de TI de una empresa de oleoductos, de que no había indicios de que sus redes de TO se hubieran visto afectadas directamente y de que la empresa desconectó de forma proactiva ciertos sistemas de TO para garantizar su seguridad (CISA AA21-131A). La retrospectiva de CISA a los dos años nombra a la empresa y recuerda las colas de combustible a lo largo de la costa este que siguieron (CISA, 2023). Lección: un compromiso de la TI puede detener las operaciones de TO a través de dependencias de negocio y decisiones de precaución, sin tocar el sistema de control.

Actualización de CrowdStrike, julio de 2024. Una actualización defectuosa de un software de seguridad bloqueó equipos Windows en todo el mundo; Microsoft estimó que se vieron afectados unos 8,5 millones de dispositivos, con interrupciones en aerolíneas, hospitales y bancos (Microsoft, 2024). Lección: no hace falta un adversario; una dependencia de software compartida es un punto único de falla para varios sectores.

20.3 Comparar los casos

Tabla de la lección; desplázate para ver todas las columnas →

Caso	Causa	Efecto en el sector	Lección trasladable
Ucrania 2015	Ataque deliberado	Corte eléctrico	Capacidad de operación manual
WannaCry 2017	Malware no dirigido	Interrupción clínica	Higiene, coordinación ensayada
TRITON 2017	Malware dirigido	Capa de seguridad funcional amenazada	Independencia de los sistemas de seguridad funcional
Oldsmar 2021	Discutida	Casi accidente en la dosificación química	Gobierno del acceso remoto; relatos revisados
Colonial 2021	Ransomware en la TI	Parada de precaución de la TO	Dependencia de negocio entre TI y TO
CrowdStrike 2024	Actualización defectuosa	Interrupción intersectorial	Concentración en dependencias compartidas

La tabla comprime cada caso en una lección para poder compararlos; no es un resumen de lo que ocurrió. Lea la columna «Causa»: dos de los seis no implican ningún ataque dirigido contra el sistema de control.

20.4 Ejemplo resuelto: lecciones para el CVH (aplicación sintética)

La aplicación es sintética; los casos están citados arriba. Para el Calder Valley Hospital, las lecciones trasladables son: (1) ensayar la operación sin TI (procesos en papel, como hicieron los operadores ucranianos sin automatización); (2) inventariar y aislar los dispositivos sin soporte (WannaCry); (3) confirmar que un compromiso del BMS no puede detener los controles de seguridad locales de la ventilación de los quirófanos (la lección de TRITON sobre las capas independientes); (4) gobernar el acceso remoto al BMS (Oldsmar); (5) cartografiar qué procesos clínicos dependen de la TI de negocio, como la admisión de pacientes (Colonial); y (6) planificar la falla masiva de un producto de endpoint compartido (CrowdStrike).

20.5 Errores comunes y límites

Repetir detalles llamativos que ninguna fuente primaria respalda.
Citar el primer relato e ignorar la corrección.
Tratar cada caso como un ataque.
Convertir un estudio de caso en una receta de ataque.

Ejemplos habituales: afirmar que Oldsmar fue «un hackeo» sin la revisión de 2023; repetir duraciones de cortes que no figuran en la fuente citada; llamar ataque a lo de CrowdStrike; o describir las técnicas de Stuxnet cuando la lección es la suposición que falló. Cada uno de los seis resúmenes de aquí se mantiene al nivel que su fuente respalda, y el EX039 le pide que compruebe uno.

Ejercicios — capítulo 20

EX039 — Comprobación de la fuente primaria. Objetivo: separar la fuente de la repetición. Entradas: uno de los seis casos de este capítulo. Pasos: lea la fuente citada y enumere tres hechos que afirma, una afirmación repetida habitualmente que no hace (búsquela en un artículo de prensa o un blog) y cómo redactaría el caso para un informe. Evidencia esperada: lista y redacción. Rúbrica: 3 = hechos exactos con su ubicación en la fuente, una afirmación sin respaldo identificada, redacción cuidadosa; 2 = solo hechos; 1 = hechos de fuentes secundarias; 0 = nada.

EX040 — Lección intersectorial. Objetivo: trasladar una lección. Entradas: Colonial Pipeline. Pasos: aplique su lección a Calder Transit: ¿qué sistemas de TI de negocio podrían forzar una parada de precaución de las operaciones ferroviarias y qué podría evitarlo? Evidencia esperada: dos dependencias y dos medidas. Rúbrica: 3 = p. ej., venta de billetes/ingresos, programación de tripulaciones, información a los pasajeros; medidas como reglas de operación degradada acordadas de antemano y la separación de las dependencias operativas respecto de las de negocio; 2 = una de cada; 1 = genérico; 0 = nada.

Síntesis del capítulo

Los casos fundacionales del campo enseñan mediante la comparación: respaldo manual, higiene, independencia de los sistemas de seguridad funcional, gobierno del acceso remoto, dependencia de negocio entre TI y TO, y concentración en dependencias compartidas. Lea las fuentes primarias, tenga presentes las revisiones y traslade lecciones, no técnicas.