Capítulo 34 — Proyecto comparativo | Grado Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 34 publicada. Mapa, ejemplo, EX068.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["34.1 Comparación multicriterio"]
  N2["34.2 Hacerlo con honestidad"]
  N3["34.3 Cuando una puntuación no basta"]
  N4["34.5 Entregable del proyecto"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX068"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["34.1 Comparación multicriterio"]
  N2["34.2 Hacerlo con honestidad"]
  N3["34.3 Cuando una puntuación no basta"]
  N4["34.5 Entregable del proyecto"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX068"]

[Resultados de aprendizaje y conexión]
    |
    v
[34.1 Comparación multicriterio]
    |
    v
[34.2 Hacerlo con honestidad]
    |
    v
[34.3 Cuando una puntuación no basta]
    |
    v
[34.5 Entregable del proyecto]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX068]

Resultados de aprendizaje y conexión

Después de este proyecto usted podrá (1) comparar tres o más opciones según criterios explícitos con pesos y evidencias; (2) comprobar la sensibilidad de la clasificación a los pesos; (3) presentar una comparación que un responsable de la decisión pueda cuestionar; y (4) reconocer cuándo una puntuación ponderada oculta una consideración decisiva. Se apoya en los capítulos 1, 15, 23 y 24 y prepara la propuesta del proyecto final (capítulo 35). Es la expresión central del resultado del curso: comparar métodos, evaluar evidencias y diseñar soluciones defendibles.

34.1 Comparación multicriterio

Las decisiones sobre servicios críticos implican varios criterios que no comparten unidad: reducción de la consecuencia, carga operativa, coste, plazo de implantación, solidez de la evidencia de que la opción funciona. El análisis de decisión multicriterio puntúa cada opción en cada criterio, pondera los criterios y los combina, en el caso más sencillo como una suma ponderada. Su valor reside menos en el número final que en hacer visibles los criterios, las puntuaciones y los pesos para que las personas puedan discutirlos de forma productiva. En la evaluación de los dispositivos sin soporte del proyecto final (capítulo 39), el peso del coste se imprime junto a cada puntuación, y así es como un lector puede ver que la pasarela del proveedor gana cuando ese peso supera 0,45.

34.2 Hacerlo con honestidad

Defina cada criterio de modo que más alto sea mejor (invierta los costes y las cargas). Puntúe en una escala anclada («5 = elimina la peor consecuencia creíble; 1 = ningún efecto medible»). Registre la evidencia detrás de cada puntuación (capítulo 15). Fije los pesos antes de puntuar, idealmente con las partes interesadas, para evitar ajustar los pesos a una opción favorita. Después realice un análisis de sensibilidad: varíe los pesos y vea si cambia la ganadora. Si solo cambia con pesos inverosímiles, la decisión es robusta; si pequeños cambios la invierten, informe de que la decisión depende de un juicio de valor y nómbrelo.

34.3 Cuando una puntuación no basta

Algunas consideraciones son restricciones, no criterios: una obligación legal, un requisito de seguridad funcional, un nivel mínimo de servicio. Una opción que vulnera una restricción queda excluida, sea cual sea su puntuación. Otras son vetos de personas con autoridad (el rechazo de un director clínico a una opción que perturba los quirófanos). Trátelas explícitamente antes de puntuar. Para el CEDC, el requisito del regulador de restablecer el servicio en cuatro horas es una restricción (EX068), que excluye las opciones que no puedan demostrarlo. El veto de un director clínico a una opción que cierra los quirófanos durante una semana se trata del mismo modo.

34.4 Ejemplo resuelto y Lab 13 (sintético)

Este caso es sintético. La CRP compara tres opciones de resiliencia frente al ransomware para el CEDC con cuatro criterios y pesos de 0,4, 0,2, 0,2 y 0,2.

# Lab 13 - weighted comparison of three options and weight sensitivity (synthetic scores, offline)
CRITERIA = ["consequence reduction", "operational burden (inverted)", "cost (inverted)", "evidence strength"]
W = [0.4, 0.2, 0.2, 0.2]
SCORES = {  # 1-5, higher is better
    "network segmentation project": [5, 2, 2, 4],
    "managed detection service":    [3, 4, 3, 3],
    "offline backups + restore drills": [4, 4, 4, 5],
}
def total(s, w): return sum(a * b for a, b in zip(s, w))
for name, s in SCORES.items():
    print(f"{name:33} {total(s, W):.2f}")
print("weight on consequence needed for segmentation to win:")
for wc in (0.4, 0.5, 0.6, 0.7, 0.8):
    rest = (1 - wc) / 3
    w = [wc, rest, rest, rest]
    best = max(SCORES, key=lambda k: total(SCORES[k], w))
    print(f"  w_consequence={wc:.1f} -> {best}")

Salida esperada:

network segmentation project      3.60
managed detection service         3.20
offline backups + restore drills  4.20
weight on consequence needed for segmentation to win:
  w_consequence=0.4 -> offline backups + restore drills
  w_consequence=0.5 -> offline backups + restore drills
  w_consequence=0.6 -> offline backups + restore drills
  w_consequence=0.7 -> network segmentation project
  w_consequence=0.8 -> network segmentation project

Las copias de seguridad con simulacros de restauración ganan con los pesos acordados y siguen por delante hasta que la reducción de la consecuencia representa entre 0,6 y 0,7 del peso total. Por tanto, el informe dice: «Recomendación: copias de seguridad fuera de línea con simulacros de restauración. La recomendación solo se invierte si la asociación otorga a la reducción de la consecuencia más de aproximadamente 0,63 de la decisión (el EX067 deduce el punto de cruce exacto), en cuyo caso se prefiere la segmentación. Las opciones no son excluyentes; la segmentación es la candidata más sólida para el segundo año». Observe lo que las puntuaciones no recogen: las copias de seguridad permiten recuperarse del ransomware, pero no impiden el robo de datos que a menudo lo acompaña, una consideración que debe declararse explícitamente y no esconderse en un número.

34.5 Entregable del proyecto

Un informe comparativo de 2500 palabras sobre una pregunta de su elección dentro del caso Calder o sobre un tema público documentado (por ejemplo, tres enfoques del acceso remoto, tres estrategias de copia de seguridad, tres opciones de supervisión): restricciones, criterios con escalas ancladas, evidencia de cada puntuación, pesos fijados de antemano, análisis de sensibilidad, recomendación con condiciones de inversión y límites. Para la comparación de los dispositivos sin soporte del proyecto final (capítulo 39), ese peso es 0,45 en el coste; por debajo gana el aislamiento con supervisión, por encima gana la pasarela del proveedor. Declare la condición de inversión con palabras, como hace el informe del Lab 13: el peso con el que cambiaría la recomendación y el juicio de valor que representa ese peso.

34.6 Errores comunes y límites

Puntuar primero y elegir los pesos después.
Puntuaciones sin anclar («un 4 porque me parece bien»).
Ignorar las restricciones y los vetos.
Presentar un total ponderado como una verdad objetiva.
Tratar las opciones como mutuamente excluyentes cuando pueden combinarse.

El Lab 13 evita el primero al fijar los pesos en 0,4, 0,2, 0,2 y 0,2 antes de puntuar. El informe también señala que la segmentación y las copias de seguridad pueden combinarse, con lo que evita el quinto error. Una puntuación de 4 en solidez de la evidencia necesita los registros de los simulacros que la respaldan; sin ellos, es el segundo error. Presentar 4,20 como una prueba sería el cuarto.

Ejercicios — capítulo 34

EX067 — Encuentre el punto de cruce. Objetivo: localizar el punto de inversión. Entradas: el Lab 13. Pasos: calcule el peso exacto de la consecuencia con el que la segmentación y las copias de seguridad empatan, usando la regla de reparto igualitario para los demás pesos. Evidencia esperada: deducción y valor. Rúbrica: 3 = segmentación $5w + (2+2+4)(1-w)/3$, copias de seguridad $4w + (4+4+5)(1-w)/3$; empate cuando $w = 5(1-w)/3$, por lo que $w = 5/8 = 0.625$; 2 = búsqueda numérica hasta 0,62–0,63; 1 = solo el intervalo 0,6–0,7; 0 = nada.

EX068 — Añada una restricción. Objetivo: tratar un requisito no compensatorio. Entradas: el regulador del CEDC exige un restablecimiento demostrado en 4 horas. Pasos: explique cómo cambia esto el análisis y qué evidencia debe aportar cada opción. Evidencia esperada: explicación. Rúbrica: 3 = tratado como restricción y no como criterio; solo cumplen las opciones que demuestran el restablecimiento (las copias de seguridad con simulacros, directamente; la segmentación y la detección no restablecen, por lo que deben combinarse con una capacidad de recuperación); 2 = tratado como un peso elevado; 1 = ignorado; 0 = nada.

Síntesis del capítulo

La comparación es la habilidad central del grado: criterios explícitos, puntuaciones ancladas, evidencias, pesos fijados de antemano, análisis de sensibilidad y condiciones de inversión declaradas. Las restricciones y los vetos van antes de puntuar, y un total ponderado es un argumento estructurado, no un veredicto.