Capítulo 32 — Infraestructura crítica y seguridad sectorial: interfaces interdisciplinarias | Grado Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 32 publicada. Mapa, ejemplo, EX063.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["32.1 Derecho y regulación"]
  N2["32.2 Economía e incentivos"]
  N3["32.3 Ingeniería de seguridad funcional y factores hu"]
  N4["32.4 Comunicación"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX063"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["32.1 Derecho y regulación"]
  N2["32.2 Economía e incentivos"]
  N3["32.3 Ingeniería de seguridad funcional y factores hu"]
  N4["32.4 Comunicación"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX063"]

[Resultados de aprendizaje y conexión]
    |
    v
[32.1 Derecho y regulación]
    |
    v
[32.2 Economía e incentivos]
    |
    v
[32.3 Ingeniería de seguridad funcional y factores hu]
    |
    v
[32.4 Comunicación]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX063]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) explicar cómo el derecho y la regulación, la economía, la ingeniería de seguridad funcional, los factores humanos y la comunicación pública dan forma a las decisiones de seguridad en los servicios críticos; (2) traducir un hallazgo técnico para juristas, responsables financieros, clínicos, ingenieros y el público; (3) reconocer cuándo un problema de seguridad es en realidad un problema de incentivos u organizativo; y (4) trabajar entre disciplinas sin sobrepasar su propia competencia. Se apoya en los capítulos 10, 14, 19 y 28–31 y prepara la práctica de campo (capítulo 36) y el proyecto final.

32.1 Derecho y regulación

Los servicios críticos están regulados. Ejemplos consultados para este libro: la Directiva NIS2 de la UE establece obligaciones de gestión de riesgos y de notificación de incidentes para las entidades esenciales e importantes (NIS2); DORA establece requisitos de riesgo de las TIC para las entidades financieras (DORA); en Norteamérica, las normas de protección de infraestructuras críticas (CIP) de NERC se aplican al sistema eléctrico de gran escala (NERC CIP); en el sector del agua de EE. UU., la America's Water Infrastructure Act de 2018 exigió evaluaciones de riesgo y resiliencia y planes de respuesta a emergencias a los sistemas comunitarios de agua por encima de un umbral de tamaño (EPA, AWIA). Como profesional de la seguridad, usted necesita saber que existen estas obligaciones, dónde encontrar el texto vigente y cuándo recurrir a la asesoría jurídica, no interpretarlas por su cuenta. El cumplimiento es un mínimo: cumplir una norma no demuestra que el servicio sea resiliente.

32.2 Economía e incentivos

Gran parte de la infraestructura está operada por empresas privadas, pero su falla perjudica a personas que no son sus clientes: una externalidad. Las inversiones que protegen frente a eventos raros compiten con costes visibles y a corto plazo, y el beneficio (un corte que no se produjo) es invisible. La regulación, los seguros, los requisitos de contratación y la información pública son formas de cambiar los incentivos. Reconocer un problema de incentivos evita un error habitual: proponer un control técnicamente excelente que ningún responsable presupuestario tiene motivos para financiar. El planteamiento de la pérdida esperada y del peor evento creíble del capítulo 1 es el puente hacia un público financiero.

32.3 Ingeniería de seguridad funcional y factores humanos

Los ingenieros de seguridad funcional tienen una larga práctica en el análisis de peligros, las capas de protección independientes y la gestión del cambio (capítulos 26 y 28). La seguridad de la información y la seguridad funcional pueden entrar en conflicto (un bloqueo de cuenta que impide actuar a un operador en una emergencia; un parche que invalida una certificación de seguridad funcional) y deben conciliarse de forma conjunta. Los especialistas en factores humanos estudian cómo trabajan realmente las personas: avalanchas de alarmas, fatiga en los turnos de noche, atajos cuando los procedimientos no se ajustan a la realidad. El trabajo de Reason presenta los errores como consecuencias del diseño del sistema (Reason, 2000). Un control que los operadores no pueden usar bajo estrés acabará eludiéndose (la aceptabilidad psicológica de Saltzer y Schroeder).

32.4 Comunicación

Públicos distintos necesitan traducciones distintas del mismo hallazgo. Los clínicos necesitan conocer el efecto sobre la atención a los pacientes y qué deben hacer de otra manera. Los ingenieros necesitan el mecanismo técnico y las restricciones. Finanzas necesita los costes, las pérdidas evitadas y las opciones. Los juristas necesitan hechos, fechas y las obligaciones que se activan. El público necesita información honesta y oportuna sobre el servicio y sobre lo que debe hacer, sin detalles que ayuden a los atacantes. Los portavoces acordados y las plantillas de mensajes aprobadas de antemano forman parte de la preparación ante incidentes (la inyección del periodista del capítulo 30). El hallazgo sobre el BMS del CVH se traduce así a continuación: una comprobación de la ventilación para el responsable de quirófanos, los detalles de la VLAN y del enclavamiento para mantenimiento de instalaciones, unas 25 000 £ frente a la cancelación de intervenciones para finanzas y una declaración de ausencia de obligaciones para el área jurídica.

32.5 Ejemplo resuelto: un hallazgo, cuatro públicos (sintético)

Este caso es sintético. Hallazgo: la ventilación de los quirófanos del CVH puede modificarse desde el BMS, que es accesible desde la red corporativa con autenticación solo por contraseña.

Responsable de quirófanos: «Un uso indebido del sistema del edificio podría reducir las renovaciones de aire de los quirófanos. Hasta que lo corrijamos, mantenimiento de instalaciones comprobará las lecturas de ventilación al inicio de cada sesión quirúrgica, y usted debe notificar de inmediato cualquier alarma».
Ingeniero de mantenimiento de instalaciones: «Interfaz de administración del BMS accesible desde la VLAN corporativa; solo contraseña. Propuesta: lista de permitidos limitada a dos estaciones de mantenimiento, MFA, enclavamiento cableado de caudal mínimo de aire».
Finanzas: «Coste de unas 25 000 £, pago único; aborda un escenario cuyo peor resultado creíble es la cancelación de intervenciones quirúrgicas durante varios días. Se adjuntan las alternativas y sus costes».
Protección de datos y asesoría jurídica: «No intervienen datos personales; el hallazgo por sí mismo no activa ninguna obligación de notificación; lo reevaluaremos si se detecta una explotación».

32.6 Errores comunes y límites

Emitir opiniones jurídicas sin asesoría jurídica.
Proponer controles sin un argumento de financiación.
Ignorar las consecuencias para la seguridad funcional o clínicas de los controles de seguridad.
Un mismo mensaje para todos los públicos.

El ejemplo resuelto evita cada uno: el mensaje jurídico dice qué se comprobó y cuándo se reevaluará; el mensaje financiero da un coste y su peor resultado creíble; el mensaje para quirófanos nombra la comprobación clínica; y cuatro públicos reciben cuatro mensajes. Un único correo técnico para todos habría fallado al responsable de quirófanos y a finanzas.

Ejercicios — capítulo 32

EX063 — Tradúzcalo para el consejo. Objetivo: comunicar entre disciplinas. Entradas: el resultado del Lab 11 (la ruta cibernética aproximadamente duplica la probabilidad de perder la alimentación crítica en el modelo sintético). Pasos: escriba una nota de 120 palabras para el consejo del CVH con el hallazgo, la corrección de ingeniería propuesta, el planteamiento de costes y los límites del modelo. Evidencia esperada: nota. Rúbrica: 3 = lenguaje claro, consecuencia para los pacientes, la corrección restablece la independencia, honestidad sobre los números sintéticos y sobre el comportamiento no aleatorio del adversario; 2 = parcial; 1 = jerga; 0 = nada.

EX064 — Conflicto entre seguridad funcional y seguridad. Objetivo: conciliar deberes. Entradas: una política de bloquear las cuentas de la HMI tras cinco intentos fallidos de inicio de sesión. Pasos: explique el riesgo para la seguridad funcional y proponga una alternativa que cumpla el propósito de seguridad. Evidencia esperada: explicación y alternativa. Rúbrica: 3 = operador bloqueado durante una emergencia; alternativas como una consola con control de acceso físico y supervisión, limitación de tasa sin bloqueo, alertas ante fallos, anulación de emergencia con auditoría; 2 = una; 1 = vago; 0 = nada.

Síntesis del capítulo

La seguridad en los servicios críticos se sitúa entre el derecho, la economía, la seguridad funcional, los factores humanos y la comunicación. Sepa dónde están las obligaciones y cuándo llamar a la asesoría jurídica, reconozca los problemas de incentivos, concilie de forma conjunta la seguridad funcional y la seguridad, diseñe para personas bajo estrés y traduzca cada hallazgo para el público que debe actuar en consecuencia.