Capítulo 29 — Infraestructura crítica y seguridad sectorial: operaciones
Mapa de la lección
Lección 29 publicada. Mapa, ejemplo, EX057.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["29.1 Qué hacen las operaciones de seguridad"]
N2["29.2 Respuesta a incidentes en TO"]
N3["29.3 Medir las operaciones"]
N4["29.5 Un paso de un manual de respuesta sintético"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX057"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["29.1 Qué hacen las operaciones de seguridad"]
N2["29.2 Respuesta a incidentes en TO"]
N3["29.3 Medir las operaciones"]
N4["29.5 Un paso de un manual de respuesta sintético"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX057"]
[Resultados de aprendizaje y conexión]
|
v
[29.1 Qué hacen las operaciones de seguridad]
|
v
[29.2 Respuesta a incidentes en TO]
|
v
[29.3 Medir las operaciones]
|
v
[29.5 Un paso de un manual de respuesta sintético]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX057]
Resultados de aprendizaje y conexión
Después de este capítulo usted podrá (1) describir las operaciones de seguridad de un operador de servicios críticos: supervisión, triaje, escalado, gestión de cambios y de vulnerabilidades; (2) adaptar la respuesta a incidentes a la tecnología operativa, donde mantener seguro el proceso es lo primero; (3) medir el desempeño operativo con el tiempo de detección y el tiempo de recuperación mediante medianas y percentiles; y (4) redactar un paso de un manual de respuesta que respete tanto la seguridad como las operaciones. Se apoya en los capítulos 12, 15, 24, 27 y 28 y prepara el Laboratorio II (capítulo 30).
29.1 Qué hacen las operaciones de seguridad
En el día a día, una función de operaciones de seguridad supervisa (registros, tráfico de red, alertas), hace el triaje (¿es real?, ¿qué gravedad tiene?), escala (¿a quién?, ¿con qué rapidez?), coordina los cambios (ningún cambio por sorpresa en los sistemas de TO) y gestiona las vulnerabilidades (capítulos 5, 9 y 11). Para un operador de servicios críticos, el rasgo definitorio es la colaboración con operaciones: el personal de la sala de control, los ingenieros y los clínicos saben cómo es la normalidad del proceso y son responsables de las decisiones que lo afectan. Unas operaciones de seguridad que no hablan con la sala de control interpretarán mal las alertas y, peor aún, tomarán medidas que dañen el servicio.
29.2 Respuesta a incidentes en TO
Las recomendaciones del NIST sobre respuesta a incidentes, revisadas en 2025, sitúan la respuesta dentro de la gestión global del riesgo de ciberseguridad y de las funciones del CSF 2.0 (SP 800-61 Rev. 3). En la TO cambia el orden de prioridades: primero mantener seguro el proceso (lo que puede implicar pasar a control manual o local), después contener (aislar los segmentos de TI o TO afectados sin cortar lo que el proceso necesita) y después investigar y recuperar. Desconectar un servidor comprometido es un acto reflejo en TI; en TO, el operador debe saber primero qué hace ese servidor: desconectar el historiador es inocuo, desconectar el único servidor SCADA puede dejar ciegos a los operadores durante una tormenta. También debe preservarse la evidencia: imágenes de las estaciones de ingeniería, configuraciones de los controladores, capturas de red y el registro del operador. Los manuales de respuesta se acuerdan de antemano con operaciones, seguridad funcional y, cuando puedan intervenir datos personales, protección de datos (capítulo 14).
29.3 Medir las operaciones
Las medidas habituales son el tiempo de detección (TTD: desde la primera actividad maliciosa o defectuosa hasta la detección) y el tiempo de recuperación (TTR: desde la detección hasta el servicio restablecido). Sus distribuciones son asimétricas (capítulo 12): la mayoría de los incidentes se resuelven rápidamente; unos pocos llevan días. Informe de la mediana, el percentil 90 y el tamaño de la muestra, e inspeccione los valores atípicos uno por uno: la cola larga es donde están las lecciones. Cuidado con los incentivos: un objetivo de TTD puede animar a registrar con generosidad la hora de «detección». Los 15 registros del Lab 12 muestran por qué: media de 27,2 horas, mediana de 4. Inspeccione individualmente la detección de 240 horas; fue un uso indebido lento de credenciales.
29.4 Ejemplo resuelto y Lab 12 (sintético)
Este caso es sintético. Los miembros de la CRP pusieron en común 15 registros de incidentes depurados de los dos últimos años.
# Lab 12 - time to detect and recover: mean, median and percentiles from synthetic tickets (offline)
import statistics as st
TTD_H = [0.5, 1, 1, 2, 2, 3, 3, 4, 6, 8, 12, 20, 36, 70, 240] # hours from first malicious activity to detection
TTR_H = [2, 3, 3, 4, 5, 5, 6, 8, 8, 10, 12, 16, 24, 48, 96]
for name, xs in (("time to detect", TTD_H), ("time to recover", TTR_H)):
q = st.quantiles(xs, n=10, method="inclusive")
print(f"{name}: n={len(xs)} mean={st.mean(xs):.1f} median={st.median(xs):.1f} p90={q[8]:.1f} max={max(xs)}")
print("mean TTD without the 240 h outlier:", round(st.mean(TTD_H[:-1]), 1))
Salida esperada:
time to detect: n=15 mean=27.2 median=4.0 p90=56.4 max=240
time to recover: n=15 mean=16.7 median=8.0 p90=38.4 max=96
mean TTD without the 240 h outlier: 12.0
El tiempo medio de detección (27,2 h) no describe ningún incidente real: la mitad se detectaron en 4 horas y uno tardó diez días. Eliminar ese único registro reduce la media a menos de la mitad. El informe útil dice: «mediana de 4 h, percentil 90 de unas 56 h, n = 15; el caso de 240 horas fue un uso indebido lento de credenciales descubierto durante una revisión de accesos», y después pregunta por qué la supervisión no lo detectó. Los percentiles sobre 15 registros son aproximados; debe indicarse el método para calcularlos (aquí, el método «inclusive» de statistics.quantiles de Python).
29.5 Un paso de un manual de respuesta (sintético)
Manual de respuesta de CPN, paso 3: sospecha de compromiso de una estación de ingeniería: (1) El analista de seguridad informa al supervisor de la sala de control; el supervisor confirma que ninguna maniobra depende ahora de la estación. (2) El supervisor autoriza el aislamiento; el analista aísla el puerto de red de la estación y la deja encendida (para preservar la memoria). (3) Un ingeniero comprueba las configuraciones de los controladores que la estación podría haber cambiado, comparándolas con la última copia de seguridad conocida como buena. (4) El analista registra las horas, las decisiones y quién las autorizó en el registro del incidente. Cada paso indica quién decide y por qué importa el orden. Si un ingeniero de CPN estuviera a mitad de una maniobra de transferencia de carga en torno a la Subestación Norte desde esa estación, desconectar su puerto de red dejaría la operación a medias, con la sala de control sin saber qué interruptores se habían movido.
29.6 Errores comunes y límites
- Equipos de seguridad que actúan sobre la TO sin autorización de operaciones.
- Cortar la alimentación o borrar sistemas antes de preservar la evidencia.
- Informar de tiempos medios con datos asimétricos.
- Manuales de respuesta que solo existen en los sistemas que el incidente ha inutilizado.
El manual de CPN evita los dos primeros haciendo que el supervisor autorice el aislamiento y dejando encendida la estación. El Lab 12 muestra el tercero. El cuarto explica por qué los miembros de la CRP guardan copias impresas de los manuales en cada sala de control, ya que un incidente puede inutilizar el sistema documental que los contiene.
Ejercicios — capítulo 29
EX057 — Informe de la cola. Objetivo: resumir con honestidad datos asimétricos. Entradas: el Lab 12. Pasos: escriba un resumen de 100 palabras para el consejo de la CRP sobre el TTD y el TTR, que incluya el tamaño de la muestra, una limitación y una pregunta sobre el caso más largo. Evidencia esperada: el resumen. Rúbrica: 3 = medianas y p90 con n, se señala la distorsión de la media, limitación (pocos registros, depurados, horas de detección autodeclaradas), pregunta incisiva; 2 = números sin salvedades; 1 = solo medias; 0 = nada.
EX058 — Contención segura. Objetivo: ordenar las acciones de respuesta en TO. Entradas: se detecta ransomware en el servidor historiador de CW en la zona de control; los servidores SCADA parecen no estar afectados. Pasos: escriba las cinco primeras acciones en orden, con quién decide cada una. Evidencia esperada: lista ordenada. Rúbrica: 3 = confirmar el estado del proceso con operaciones; preparar la operación manual/local; aislar el historiador de la zona de control con la aprobación de operaciones; preservar la evidencia; comprobar el SCADA y los controladores frente a una referencia conocida como buena, con los roles nombrados; 2 = razonable pero sin orden o sin roles; 1 = al estilo de TI, «apagarlo todo»; 0 = nada.
Síntesis del capítulo
Las operaciones de seguridad en los servicios críticos trabajan codo con codo con operaciones: primero mantener seguro el proceso, contener sin dejar ciegos a los operadores, preservar la evidencia y recuperar. Mida con medianas, percentiles y tamaños de muestra, e investigue los valores atípicos que los promedios ocultan.
Siga estudiando — capítulo 29 de 40
← Capítulo 28 · Índice de capítulos del curso · Capítulo 30 →
Continúe con la siguiente lección escrita.