Capítulo 21 — Infraestructura crítica y seguridad sectorial: modelos de sistemas
Mapa de la lección
Lección 21 publicada. Mapa, ejemplo, EX041.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["21.1 El lazo de control"]
N2["21.2 Un modelo de referencia por capas"]
N3["21.3 Cadenas de servicio y modos degradados"]
N4["21.5 Actividad práctica"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX041"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["21.1 El lazo de control"]
N2["21.2 Un modelo de referencia por capas"]
N3["21.3 Cadenas de servicio y modos degradados"]
N4["21.5 Actividad práctica"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX041"]
[Resultados de aprendizaje y conexión]
|
v
[21.1 El lazo de control]
|
v
[21.2 Un modelo de referencia por capas]
|
v
[21.3 Cadenas de servicio y modos degradados]
|
v
[21.5 Actividad práctica]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX041]
Resultados de aprendizaje y conexión
Después de este capítulo usted podrá (1) describir un lazo de control y los componentes de un sistema SCADA o de control industrial; (2) situar los activos en un modelo de referencia por capas, desde los dispositivos de campo hasta la empresa; (3) modelar un servicio como una cadena de funciones con modos degradados; y (4) indicar a qué tipos de ataque o falla está expuesta cada parte del modelo. Se apoya en los capítulos 7, 16 y 19 y prepara el capítulo 22 (datos y dependencias) y el capítulo 28 (análisis de fallas).
21.1 El lazo de control
Todo proceso físico controlado por computadoras sigue un lazo: un sensor mide (nivel de un depósito, corriente de una línea, posición de un tren); un controlador compara la medición con un punto de consigna y calcula una acción; un actuador actúa (velocidad de una bomba, disparo de un interruptor, aspecto de una señal); el proceso responde; el sensor vuelve a medir. Los controladores lógicos programables (PLC) y las unidades terminales remotas (RTU) ejecutan el lazo localmente. Un sistema SCADA (supervisión, control y adquisición de datos) supervisa muchos lazos en un área extensa: recoge mediciones, las muestra a los operadores en interfaces hombre-máquina (HMI), almacena el histórico en un historiador y envía puntos de consigna y órdenes. Los sistemas instrumentados de seguridad (SIS) vigilan las condiciones peligrosas y actúan de forma independiente para llevar el proceso a un estado seguro (NIST SP 800-82 Rev. 3).
El lazo ofrece un vocabulario preciso para lo que puede fallar: mediciones falsas (el controlador actúa sobre una mentira), órdenes falsas (el actuador hace algo no previsto), pérdida de vista (los operadores no pueden ver), pérdida de control (los operadores no pueden actuar) y compromiso de la protección (el SIS no puede actuar). MITRE ATT&CK for ICS organiza los impactos en términos similares, como pérdida de vista, pérdida de control y manipulación del control (ATT&CK for ICS).
21.2 Un modelo de referencia por capas
Un modelo por capas, ampliamente conocido como modelo Purdue, sitúa los activos según su función: nivel 0, el proceso físico con sensores y actuadores; nivel 1, el control básico (PLC, RTU, SIS); nivel 2, el control de supervisión (HMI, SCADA local); nivel 3, las operaciones del emplazamiento (historiadores, estaciones de ingeniería); una DMZ; y los niveles 4–5, la TI corporativa. El modelo es una ayuda para la enseñanza y la segmentación, no una ley de la naturaleza: los sensores conectados a la nube, los servicios remotos de los proveedores y los dispositivos de campo inalámbricos cruzan niveles. Úselo para preguntar: «¿qué rutas cruzan niveles y están controladas?».
21.3 Cadenas de servicio y modos degradados
A los operadores les importan los servicios, no los niveles. Modele un servicio como una cadena de funciones con modos degradados: el servicio «suministrar agua segura» de Calder Water = captar agua bruta → tratar → vigilar la calidad → almacenar → bombear → distribuir. Cada función tiene estados normal, degradado y fallido. «Vigilar la calidad» degradado podría significar muestreo manual cada hora en lugar de analizadores continuos; «bombear» degradado podría significar control local por parte del personal en la estación sin SCADA. Un modelo de servicio que incluye los modos degradados muestra cuánto tiempo puede continuar el servicio cuando se pierde la automatización, la pregunta que respondieron los operadores ucranianos en 2015 (capítulo 20).
21.4 Ejemplo resuelto: restablecimiento de un alimentador de CPN (sintético)
Este caso es sintético. El servicio «restablecer el suministro tras una falla en un alimentador» de Calder Power Networks: un relé de protección dispara la sección en falla (nivel 1, independiente del SCADA); la RTU informa del disparo (nivel 1→2); el operador lo ve en la HMI (nivel 2) y realiza un reenganche remoto o reconfigura (nivel 2→1); se informa a los clientes mediante el sistema de gestión de cortes (nivel 4). Análisis de fallas por elemento: si falla el relé, la falla persiste, un problema de seguridad; si falla el enlace de la RTU, los operadores pierden la vista de ese alimentador, modo degradado: enviar una cuadrilla; si la HMI está comprometida, un estado falso podría llevar a los operadores a energizar una línea en la que trabajan cuadrillas, un problema de seguridad que los procedimientos (bloqueos, permisos, confirmación verbal) deben detectar; si falla el sistema de gestión de cortes, no se informa a los clientes, un problema de calidad del servicio. El modelo muestra que las consecuencias más graves se sitúan donde la manipulación cibernética se encuentra con los procedimientos de seguridad de las personas.
21.5 Actividad práctica
Dibuje el lazo de control y el modelo por capas de un servicio de Calder distinto del agua o la electricidad (señalización ferroviaria o ventilación de quirófanos). Etiquete cada componente con su nivel, cuál de vista/control/protección respalda y un modo degradado.
Para la ventilación de quirófanos, el sensor podría ser un sensor de presión en conducto o de renovaciones de aire en el nivel 0, el controlador del BMS en el nivel 1, la estación de trabajo de mantenimiento de instalaciones en el nivel 2 y el servidor del BMS en el nivel 3. Un modo degradado es el control manual local de las unidades de tratamiento de aire. Marque qué componente respalda la vista, el control o la protección; un enclavamiento cableado de caudal mínimo de aire, si existe, es protección.
21.6 Errores comunes y límites
- Tratar el modelo por capas como una descripción del tráfico real.
- Ignorar los sistemas de seguridad o suponer que siempre son independientes.
- Modelar los activos sin el servicio que respaldan.
- Suponer que la pérdida del SCADA significa la pérdida del servicio.
El modelo del alimentador de CPN muestra los dos primeros: el relé se sitúa en el nivel 1 y actúa sin SCADA, pero si estuviera conectado en red con la HMI su independencia necesitaría evidencia. El tercer error enumeraría las RTU sin decir que sirven al restablecimiento de alimentadores. El cuarto ignora el modo degradado de enviar una cuadrilla cuando falla el enlace de una RTU.
Ejercicios — capítulo 21
EX041 — Nombre la pérdida. Objetivo: usar el vocabulario del lazo. Entradas: (a) una caída del historiador; (b) una HMI que muestra valores congelados; (c) un punto de consigna falsificado aceptado por un PLC; (d) un disparo del SIS deshabilitado. Pasos: clasifique cada uno como pérdida de vista, pérdida de control, manipulación o pérdida de protección, e indique el riesgo inmediato. Evidencia esperada: cuatro clasificaciones. Rúbrica: 3 = (a) pérdida de la vista histórica, riesgo inmediato bajo; (b) pérdida de vista, peligrosa porque los operadores pueden actuar con datos obsoletos; (c) manipulación del control; (d) pérdida de protección, máxima gravedad; 2 = una errónea; 1 = dos erróneas; 0 = nada.
EX042 — Modos degradados. Objetivo: modelar la continuidad sin automatización. Entradas: el servicio «operar un servicio ferroviario seguro» de Calder Transit. Pasos: escriba la cadena de funciones y un modo degradado para tres funciones, con la restricción que impone cada uno (p. ej., menor frecuencia). Evidencia esperada: cadena y modos. Rúbrica: 3 = cadena razonable (señalización, control de trenes, comunicación con la tripulación, información a los pasajeros, venta de billetes) con modos degradados y restricciones realistas; 2 = cadena sin restricciones; 1 = vago; 0 = nada.
Síntesis del capítulo
Los sistemas de control son lazos de medición, decisión y actuación, supervisados por el SCADA y protegidos por sistemas de seguridad independientes. Los modelos por capas ayudan a la segmentación; las cadenas de servicio con modos degradados muestran cuánto tiempo puede sobrevivir un servicio sin automatización. Las peores consecuencias surgen donde la manipulación se encuentra con la seguridad y el procedimiento humano.
Siga estudiando — capítulo 21 de 40
← Capítulo 20 · Índice de capítulos del curso · Capítulo 22 →
Continúe con la siguiente lección escrita.