Capítulo 26 — Infraestructura crítica y seguridad sectorial: métodos II

Mapa de la lección

Lección 26 publicada. Mapa, ejemplo, EX051.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["26.1 Modelado de amenazas con flujos de datos"]
  N2["26.2 STPA: peligros a partir de la estructura de con"]
  N3["26.3 Ejercicios de mesa"]
  N4["26.4 Elegir los métodos"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX051"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["26.1 Modelado de amenazas con flujos de datos"]
  N2["26.2 STPA: peligros a partir de la estructura de con"]
  N3["26.3 Ejercicios de mesa"]
  N4["26.4 Elegir los métodos"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX051"]

[Resultados de aprendizaje y conexión]
    |
    v
[26.1 Modelado de amenazas con flujos de datos]
    |
    v
[26.2 STPA: peligros a partir de la estructura de con]
    |
    v
[26.3 Ejercicios de mesa]
    |
    v
[26.4 Elegir los métodos]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX051]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) construir modelos de amenazas estructurados de un sistema mediante diagramas de flujo de datos y una lista de comprobación de amenazas; (2) aplicar el análisis de peligros basado en la teoría de sistemas (STPA) para encontrar acciones de control inseguras; (3) diseñar y conducir un ejercicio de mesa como método para poner a prueba los planes; y (4) comparar estos métodos con los métodos de riesgo del capítulo 23 y elegir entre ellos. Se apoya en los capítulos 21–24 y prepara el capítulo 27 (verificación) y el capítulo 28 (análisis de fallas).

26.1 Modelado de amenazas con flujos de datos

Un diagrama de flujo de datos muestra procesos, almacenes de datos, entidades externas, flujos y límites de confianza (donde los datos pasan de un nivel de confianza a otro). El modelado de amenazas recorre cada elemento y plantea una lista de preguntas. Una lista muy utilizada, STRIDE, pregunta por Spoofing identity (suplantación de identidad), Tampering with data (manipulación de datos), Repudiation (repudio, negar una acción), Information disclosure (divulgación de información), Denial of service (denegación de servicio) y Elevation of privilege (elevación de privilegios). Cada flujo que cruza un límite de confianza merece la lista completa. El resultado es una lista de amenazas con el elemento, el tipo de amenaza y una mitigación propuesta.

26.2 STPA: peligros a partir de la estructura de control

El modelo STAMP de Leveson trata los accidentes como el resultado de un control inadecuado y no como cadenas de fallas de componentes (Leveson, 2004). Su método de análisis, STPA, procede así: definir las pérdidas y los peligros; modelar la estructura de control (quién controla qué y con qué realimentación); para cada acción de control, identificar las acciones de control inseguras (UCA) en cuatro formas: no proporcionada cuando se necesita, proporcionada cuando es insegura, proporcionada demasiado pronto, demasiado tarde o fuera de orden, detenida demasiado pronto o aplicada demasiado tiempo; y después encontrar escenarios causales, incluidas la realimentación o las órdenes manipuladas. STPA se adapta bien a los servicios críticos porque trata a los operadores, los procedimientos, el software y los atacantes dentro de una misma estructura.

26.3 Ejercicios de mesa

Un ejercicio de mesa conduce a un equipo por un escenario mediante la discusión, paso a paso, con inyecciones («son las 03:40; las pantallas del CAD muestran una nota de rescate»). Pone a prueba los planes, los roles y la comunicación sin tocar los sistemas en producción. Los buenos ejercicios de mesa tienen objetivos (p. ej., «poner a prueba la decisión de pasar al despacho en papel»), un escenario sintético realista, un facilitador, observadores que registran las decisiones y los tiempos, y una revisión en caliente seguida de un plan de mejora. Son evidencia de preparación solo en la medida en que se actúa sobre sus hallazgos.

26.4 Elegir los métodos

Tabla de la lección; desplázate para ver todas las columnas →

Para el CEDC, la tabla sugiere STPA para el control del despacho y un ejercicio de mesa para el respaldo en papel, como hace el capítulo; después, una evaluación de riesgos clasifica el trabajo resultante.

26.5 Ejemplo resuelto: STPA para el despacho del CEDC (sintético)

Este caso es sintético. Pérdida: respuesta de emergencia retrasada. Peligro: no se despacha una ambulancia a una llamada con riesgo vital dentro del tiempo objetivo. Estructura de control: operador de llamadas → CAD → despachador → tripulación de la ambulancia (por radio y terminales móviles de datos); realimentación del sistema de localización de vehículos al CAD. Acción de control: «asignar la ambulancia disponible más cercana». UCA: no proporcionada: la cola del CAD queda congelada tras una actualización fallida; proporcionada cuando es insegura: el CAD asigna una unidad que figura como «disponible» porque la realimentación de localización está obsoleta o suplantada; demasiado tarde: el respaldo manual se adopta solo al cabo de 20 minutos porque nadie es responsable de la decisión; detenida demasiado pronto: un despachador cancela una asignación tras un error al fusionar llamadas duplicadas. Cada UCA da lugar a requisitos: una alarma de congelación del CAD, indicadores de obsolescencia en las localizaciones de los vehículos, un responsable designado de la decisión de respaldo con un disparador a los 5 minutos y una confirmación antes de cancelar una asignación de alta prioridad. Observe que dos UCA no implican a ningún atacante.

26.6 Errores comunes y límites

• Modelos de amenazas sin límites de confianza.
• STPA reducido a una lista de fallas de componentes.
• Ejercicios de mesa sin objetivos ni seguimiento.
• Elegir el método más impresionante en lugar del que necesita la pregunta.

El STPA del CEDC evitó el segundo error al nombrar acciones de control inseguras, dos de ellas sin atacante alguno. Una revisión STRIDE del flujo del historiador de CW que no marcara el límite de confianza entre la DMZ y el control cometería el primero. Un ejercicio de mesa sin el objetivo «decidir sobre el despacho en papel» comete el tercero. Y elegir STPA para impresionar cuando la pregunta es «qué estrategia de respaldo» comete el cuarto.

Ejercicios — capítulo 26

EX051 — Aplique STRIDE a un flujo. Objetivo: aplicar la lista de comprobación. Entradas: el flujo de CW «el colector del historiador en la DMZ lee OPC UA del servidor SCADA». Pasos: escriba una amenaza para cada letra de STRIDE con una mitigación. Evidencia esperada: seis filas. Rúbrica: 3 = seis amenazas plausibles con las mitigaciones correspondientes (p. ej., colector suplantado → certificados mutuos; manipulación → sesión firmada/autenticada; DoS → límites de tasa en el lado del SCADA); 2 = cuatro o cinco; 1 = menos; 0 = nada.

EX052 — Diseñe un ejercicio de mesa. Objetivo: planificar un ejercicio. Entradas: CVH, escenario «un ransomware cifra el sistema de administración de pacientes un sábado por la noche». Pasos: escriba los objetivos (dos), los participantes, cuatro inyecciones con sus horas y la evidencia que registrará. Evidencia esperada: plan. Rúbrica: 3 = objetivos medibles, participantes clínicos y técnicos, inyecciones realistas y crecientes (incluidas decisiones de protección de datos y de comunicación), tiempos y decisiones registrados; 2 = parcial; 1 = solo el escenario; 0 = nada.

Síntesis del capítulo

El modelado de amenazas encuentra amenazas donde los datos cruzan límites de confianza; STPA encuentra acciones de control inseguras en estructuras sociotécnicas; los ejercicios de mesa ponen a prueba los planes y las personas. Cada uno ve lo que los demás pasan por alto, así que elija según la pregunta y recuerde que muchos peligros no implican a ningún adversario.