Capítulo 24 — Infraestructura crítica y seguridad sectorial: controles

Mapa de la lección

Lección 24 publicada. Mapa, ejemplo, EX047.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["24.1 Los marcos como organizadores"]
  N2["24.2 Tipos de control"]
  N3["24.3 Correspondencias y lagunas"]
  N4["24.4 Restricciones de la TO"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX047"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["24.1 Los marcos como organizadores"]
  N2["24.2 Tipos de control"]
  N3["24.3 Correspondencias y lagunas"]
  N4["24.4 Restricciones de la TO"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX047"]

[Resultados de aprendizaje y conexión]
    |
    v
[24.1 Los marcos como organizadores]
    |
    v
[24.2 Tipos de control]
    |
    v
[24.3 Correspondencias y lagunas]
    |
    v
[24.4 Restricciones de la TO]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX047]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) usar un marco (NIST CSF 2.0, el CAF del Reino Unido u objetivos sectoriales) para organizar los controles; (2) clasificar los controles por tipo (preventivo, detectivo, correctivo) y por naturaleza (técnica, procedimental, física, de ingeniería); (3) relacionar los controles con los escenarios y las técnicas que abordan y encontrar lagunas; y (4) elegir controles adecuados a las restricciones de la TO. Se apoya en los capítulos 16 y 23 y prepara el Laboratorio I (capítulo 25) y el capítulo 27 (verificación).

24.1 Los marcos como organizadores

Un marco organiza los resultados para que no se olvide nada importante. El Cybersecurity Framework 2.0 del NIST agrupa los resultados en seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar (NIST CSF 2.0). El CAF del Reino Unido expresa resultados e indicadores de buenas prácticas para los operadores de servicios esenciales (NCSC CAF). También existen objetivos sectoriales; por ejemplo, los objetivos de desempeño en ciberseguridad sanitaria del Departamento de Salud y Servicios Humanos de EE. UU. (HHS HPH CPGs). Los catálogos detallados de controles, como NIST SP 800-53, enumeran controles específicos (SP 800-53 Rev. 5). Los marcos le dicen qué resultados alcanzar; no le dicen qué riesgo importa más para su servicio, eso procede del capítulo 23.

24.2 Tipos de control

Los controles preventivos detienen un evento (lista de permitidos, autenticación, un límite cableado). Los controles detectivos lo advierten (supervisión, comprobaciones de integridad, alarmas). Los controles correctivos o de recuperación restablecen el servicio (copias de seguridad, procedimientos manuales, equipos de repuesto). Por su naturaleza, los controles son técnicos, procedimentales (aprobación por dos personas, gestión de cambios), físicos (armarios cerrados con llave, interruptores de llave) o de ingeniería (diseños que hacen imposible un estado dañino, como una bomba dimensionada de modo que no pueda sobredosificar). En la TO, los controles de ingeniería y físicos suelen ser los más fiables, porque siguen funcionando cuando las computadoras están comprometidas.

24.3 Correspondencias y lagunas

Un control solo tiene valor frente a algo. Construya una correspondencia entre los escenarios (o técnicas catalogadas, por ejemplo de ATT&CK for ICS) y los controles, marcando cada control como preventivo, detectivo o correctivo. Las lagunas aparecen como escenarios con solo controles detectivos (lo sabrá, pero no lo detendrá), sin ningún control correctivo (no podrá recuperarse) o cubiertos solo por controles que comparten un punto único de falla (el modo común del capítulo 16). La correspondencia también pone de manifiesto los controles huérfanos, que no abordan nada de su lista: candidatos a revisión.

24.4 Restricciones de la TO

Algunos controles habituales en TI son arriesgados o imposibles en TO: los agentes de endpoint que consumen recursos del controlador, la aplicación automática de parches, el escaneo activo, el bloqueo de cuentas en una HMI de operador durante una emergencia (bloquear al operador puede ser más peligroso que el atacante). Las alternativas incluyen la supervisión pasiva de la red, la lista de permitidos de aplicaciones en estaciones de trabajo estables, los diodos de datos de solo lectura para flujos unidireccionales, los interruptores de llave físicos para los modos de programación y los controles procedimentales vinculados al registro de turno del operador. El mapa del BMS del CVH los aplica: supervisión pasiva de la VLAN del BMS en lugar de agentes en el controlador, y un enclavamiento cableado de caudal mínimo de aire para la ventilación de los quirófanos en lugar de depender del bloqueo o de los parches.

24.5 Ejemplo resuelto: mapa de controles del BMS del CVH (sintético)

Este caso es sintético.

Tabla de la lección; desplázate para ver todas las columnas →

El mapa convierte un vago «el BMS es un riesgo» en dos acciones concretas: un enclavamiento de ingeniería y una restauración de la configuración probada.

24.6 Errores comunes y límites

• Tratar el cumplimiento de un marco como reducción del riesgo.
• Contar controles en lugar de relacionarlos con escenarios.
• Depender únicamente de la detección para consecuencias que requieren prevención.
• Importar controles de TI a la TO sin considerar la seguridad operativa.

El mapa del BMS del CVH evita cada uno: no cuenta controles, los relaciona con tres escenarios, añade un enclavamiento de ingeniería donde solo existía detección y rechaza controles de TI como la aplicación automática de parches al controlador del BMS. Una puntuación del marco de «Proteger: implementado» no le habría dicho nada al hospital sobre el caudal de aire de los quirófanos.

Ejercicios — capítulo 24

EX047 — Clasifique los controles. Objetivo: usar el tipo y la naturaleza. Entradas: copias de seguridad fuera de línea; aprobación de pagos por dos personas; analizador de cloro en la salida que dispara una válvula; alerta del SIEM ante nuevas cuentas de administrador; interruptor de llave para la programación del PLC. Pasos: clasifique cada uno por tipo y naturaleza. Evidencia esperada: tabla. Rúbrica: 3 = copias de seguridad correctivo/técnico; aprobación por dos personas preventivo/procedimental; disparo del analizador preventivo (limita la consecuencia)/de ingeniería; alerta del SIEM detectivo/técnico; interruptor de llave preventivo/físico; 2 = un error; 1 = dos errores; 0 = nada.

EX048 — Encuentre la laguna. Objetivo: relacionar y juzgar. Entradas: la tabla del CVH. Pasos: añada un escenario (ransomware en el servidor del BMS) con controles en cada columna, después nombre la mejora más valiosa y justifíquela. Evidencia esperada: fila y justificación. Rúbrica: 3 = controles plausibles que incluyen una restauración probada y el control manual local; mejora justificada por la consecuencia; 2 = fila sin justificación; 1 = fila incompleta; 0 = nada.

Síntesis del capítulo

Los marcos organizan los resultados; el análisis de riesgos decide las prioridades; las correspondencias conectan los controles con los escenarios que abordan y revelan lagunas. Prefiera combinaciones de prevención, detección y recuperación y, en la TO, favorezca los controles de ingeniería y físicos que siguen funcionando cuando las computadoras no lo hacen.