Capítulo 23 — Infraestructura crítica y seguridad sectorial: métodos I | Grado Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 23 publicada. Mapa, ejemplo, EX045.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["23.1 Una evaluación de riesgos estructurada"]
  N2["23.2 El problema de las matrices"]
  N3["23.3 Primero las consecuencias"]
  N4["23.5 Actividad práctica"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX045"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["23.1 Una evaluación de riesgos estructurada"]
  N2["23.2 El problema de las matrices"]
  N3["23.3 Primero las consecuencias"]
  N4["23.5 Actividad práctica"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX045"]

[Resultados de aprendizaje y conexión]
    |
    v
[23.1 Una evaluación de riesgos estructurada]
    |
    v
[23.2 El problema de las matrices]
    |
    v
[23.3 Primero las consecuencias]
    |
    v
[23.5 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX045]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) realizar una evaluación de riesgos estructurada siguiendo las etapas de NIST SP 800-30; (2) explicar las debilidades de las matrices de riesgo; (3) aplicar un enfoque centrado primero en las consecuencias que parte de los peores efectos sobre el servicio; y (4) comparar ambos enfoques en un caso e indicar cuándo es adecuado cada uno. Se apoya en los capítulos 1, 12, 15 y 19–22 y prepara el capítulo 24 (controles) y el capítulo 26 (métodos II).

23.1 Una evaluación de riesgos estructurada

NIST SP 800-30 describe la evaluación de riesgos por etapas: preparar (propósito, alcance, supuestos, fuentes); realizar (identificar las fuentes y los eventos de amenaza, las vulnerabilidades y las condiciones predisponentes, determinar la probabilidad y el impacto, determinar el riesgo); comunicar los resultados; y mantener la evaluación a medida que cambian las cosas (SP 800-30 Rev. 1). La fortaleza del método es la disciplina: le obliga a dejar por escrito el alcance y los supuestos, y a indicar de dónde procede cada juicio. Sus resultados suelen ser calificaciones cualitativas (de muy bajo a muy alto) en escalas que define la organización.

23.2 El problema de las matrices

Muchas organizaciones combinan las calificaciones de probabilidad e impacto en una matriz de riesgo de 5×5. Las matrices son fáciles de comunicar, pero tienen problemas conocidos. Las etiquetas ordinales («3 = posible») se multiplican como si fueran números. Riesgos muy distintos reciben la misma celda. Los eventos raros y catastróficos acaban en el mismo color que los frecuentes y menores. Las calificaciones dependen mucho de quién esté en la sala. El hábito del capítulo 1 ayuda: siempre que sea posible, ponga cantidades aproximadas detrás de las etiquetas (un intervalo de probabilidad anual, una duración de la interrupción, un daño) y muestre la peor consecuencia creíble por separado de la calificación.

23.3 Primero las consecuencias

En los servicios críticos, la probabilidad suele ser el dato menos conocible: los adversarios se adaptan y los eventos que más importan son raros. Un enfoque centrado primero en las consecuencias parte del otro extremo: identifique los resultados que no deben ocurrir (pérdida del suministro de agua al hospital durante más de 8 horas; dosificación de cloro sin control), rastree qué funciones y sistemas podrían causarlos y pregúntese qué necesitaría lograr un adversario o una falla para provocar cada uno. La Consequence-driven Cyber-informed Engineering (CCE) del Idaho National Laboratory formaliza esto: identificar los eventos de alta consecuencia, cartografiar los sistemas implicados, iluminar las rutas que seguiría un adversario y mitigar, preferiblemente con cambios de ingeniería que eliminen la posibilidad en lugar de detectarla (INL CCE). ISA/IEC 62443-3-2 también basa su evaluación de riesgos para el diseño de sistemas en zonas, conductos y consecuencias (página del catálogo de IEC 62443-3-2).

23.4 Ejemplo resuelto: dosificación de cloro en CW (sintético)

Este caso es sintético. Visión de la matriz de riesgo: la amenaza «cambio no autorizado del punto de consigna de dosificación de cloro» se califica con probabilidad 2 (improbable) e impacto 5 (grave) = 10, ámbar. El registro dice «vigilar». Visión centrada primero en las consecuencias: el resultado inaceptable es «agua que sale de la planta con cloro fuera de los límites seguros durante el tiempo suficiente para dañar a los clientes». Rutas: un cambio del punto de consigna desde la HMI (error del operador o compromiso); una orden falsificada al PLC de dosificación a través de la red de control; un sensor que informa de un cloro residual falso de modo que el controlador sobredosifica; un portátil de un proveedor conectado al PLC. Mitigaciones de ingeniería que no dependen de detectar al atacante: un caudal máximo cableado de la bomba dosificadora; un analizador independiente de cloro residual en la salida que dispara la válvula de salida mediante un circuito separado; un interruptor de llave físico para el modo de programación del PLC. La matriz decía «vigilar»; el análisis de consecuencias produjo tres cambios concretos, uno de los cuales (el límite físico) elimina el resultado más peligroso independientemente de cómo haya entrado el atacante.

23.5 Actividad práctica

Tome la señalización del tren ligero de Calder Transit. Escriba una consecuencia inaceptable, tres rutas hacia ella (al menos una no maliciosa) y una mitigación de ingeniería que elimine o acote la consecuencia. Después califique el mismo escenario en una matriz de 5×5 y compare lo que le dijo cada enfoque.

Para la señalización, una consecuencia inaceptable podría ser «dos trenes autorizados a entrar en el mismo cantón». Las rutas incluyen una configuración corrupta del enclavamiento tras un mantenimiento (no maliciosa), una orden falsificada desde una estación de control comprometida y un circuito de vía averiado que se interpreta erróneamente como libre. Una mitigación de ingeniería es la propia lógica de seguridad del enclavamiento, independiente de la estación de control. En una matriz de 5×5, el mismo escenario puede puntuar 5 en impacto y 1 en probabilidad, lo que da una celda que lo infravalora.

23.6 Errores comunes y límites

Multiplicar etiquetas ordinales como si fueran mediciones.
Calificar la probabilidad de acciones adversarias novedosas con falsa confianza.
Tratar «vigilar» como una mitigación.
Un análisis centrado primero en las consecuencias que solo enumera consecuencias y nunca cartografía rutas ni mitigaciones.
Ignorar las rutas no maliciosas hacia la misma consecuencia.

El ejemplo del cloro muestra directamente el tercer error: el resultado «vigilar» de la matriz dejaba posible el resultado peligroso. El primer error produjo su puntuación de 10. El análisis de consecuencias evitó el cuarto al nombrar rutas y mitigaciones, y el quinto al incluir el error del operador y las lecturas falsas de los sensores como rutas junto al compromiso.

Ejercicios — capítulo 23

EX045 — Misma celda, riesgo distinto. Objetivo: poner de manifiesto los límites de la matriz. Entradas: riesgo A: probabilidad 5, impacto 2 (cortes molestos diarios de la wifi del personal); riesgo B: probabilidad 2, impacto 5 (pérdida de la ventilación de los quirófanos del CVH). Pasos: calcule ambas puntuaciones de la matriz, explique por qué la igualdad de puntuación induce a error y proponga cómo presentarlos en su lugar. Evidencia esperada: puntuaciones y explicación. Rúbrica: 3 = ambas 10; explica el mal uso de las escalas ordinales y la distinta naturaleza del daño; propone una columna separada de peor consecuencia creíble o intervalos cuantitativos; 2 = parcial; 1 = solo las puntuaciones; 0 = nada.

EX046 — Primero las consecuencias. Objetivo: aplicar el método. Entradas: el conmutador de pagos de Calder Mutual. Pasos: defina una consecuencia inaceptable, cartografíe tres rutas y dé una mitigación de ingeniería y una procedimental. Evidencia esperada: el análisis. Rúbrica: 3 = consecuencia específica (p. ej., transferencias fraudulentas de alto valor liberadas, o pagos no disponibles > 4 h el día de pago de las nóminas), rutas plausibles que incluyen a personas internas o errores, mitigación de ingeniería (límites estrictos por transacción, confirmación fuera de banda) y una procedimental; 2 = genérico; 1 = solo la consecuencia; 0 = nada.

Síntesis del capítulo

La evaluación de riesgos estructurada aporta disciplina al alcance, los supuestos y el juicio; las matrices de riesgo simplifican la comunicación pero distorsionan las comparaciones. Los métodos centrados primero en las consecuencias, como la CCE, parten de lo que no debe ocurrir y favorecen mitigaciones de ingeniería que acotan el daño independientemente del atacante. Use ambos e indique cuál impulsa cada recomendación.