Capítulo 5 — Cultura de seguridad | Grado Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 05 publicada. Mapa, ejemplo, EX010.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["5.1 El vocabulario"]
  N2["5.2 La tríada CIA en los servicios críticos"]
  N3["5.3 Actores y técnicas"]
  N4["5.5 Actividad práctica"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX010"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["5.1 El vocabulario"]
  N2["5.2 La tríada CIA en los servicios críticos"]
  N3["5.3 Actores y técnicas"]
  N4["5.5 Actividad práctica"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX010"]

[Resultados de aprendizaje y conexión]
    |
    v
[5.1 El vocabulario]
    |
    v
[5.2 La tríada CIA en los servicios críticos]
    |
    v
[5.3 Actores y técnicas]
    |
    v
[5.5 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX010]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) definir confidencialidad, integridad y disponibilidad y explicar por qué los servicios críticos suelen ordenarlas de forma distinta que la TI de oficina; (2) usar correctamente el vocabulario activo, amenaza, vulnerabilidad, probabilidad, impacto, riesgo y control; (3) describir en el plano conceptual las principales clases de actores de amenaza y de técnicas de ataque; y (4) leer un aviso de seguridad y extraer lo que significa para una organización concreta. Se apoya en los capítulos 1–4 y prepara el capítulo 16 (arquitectura) y el capítulo 19 (el alcance del campo).

5.1 El vocabulario

Un activo es algo de valor: un servicio, un sistema, datos, un edificio, el tiempo de las personas. Una amenaza es una causa potencial de daño: un actor (un grupo criminal, un infiltrado, un Estado) o un evento (una inundación, una actualización fallida). Una vulnerabilidad es una debilidad que una amenaza puede explotar: un defecto sin parchear, una contraseña compartida, una única ruta de cable. La probabilidad indica cuán probable es que una amenaza explote una vulnerabilidad en un período; el impacto es el daño si lo hace. El riesgo los combina, informalmente como «probabilidad × impacto», aunque el capítulo 23 muestra por qué la multiplicación a menudo induce a error. Un control (o salvaguarda) es una medida que reduce la probabilidad o el impacto. La guía de evaluación de riesgos del NIST expone este vocabulario y este proceso (SP 800-30 Rev. 1).

5.2 La tríada CIA en los servicios críticos

La confidencialidad significa que la información solo se revela a quienes están autorizados; la integridad, que la información y los sistemas no se alteran sin autorización; la disponibilidad, que funcionan cuando se necesitan. La TI de oficina suele poner primero la confidencialidad porque las filtraciones de datos personales tienen costos legales y reputacionales. En la TO, el orden suele invertirse: a una empresa de agua le importa ante todo que las bombas funcionen (disponibilidad) y que las órdenes y las lecturas sean auténticas (integridad); el secreto del nivel de un tanque importa mucho menos. La guía de TO del NIST señala este punto y añade la seguridad funcional como preocupación prioritaria (SP 800-82 Rev. 3). La atención sanitaria mezcla ambas cosas: los historiales de los pacientes exigen confidencialidad, mientras que las bombas de infusión y los ventiladores exigen integridad y disponibilidad. Un profesional de la seguridad en un sector crítico debe preguntarse, para cada activo, qué propiedad dañaría primero a las personas si fallara.

5.3 Actores y técnicas

Los actores de amenaza difieren en motivación y capacidad. Los grupos criminales buscan dinero, sobre todo mediante ransomware que cifra los datos y amenaza con publicarlos. Los grupos patrocinados por Estados pueden buscar inteligencia o la capacidad de perturbar servicios en una crisis. Los hacktivistas buscan atención. Los infiltrados pueden actuar con malicia o, con mucha más frecuencia, cometer errores. Los accidentes (actualizaciones fallidas, configuraciones erróneas, cables cortados) causan muchas interrupciones sin ningún adversario. Las técnicas se catalogan en bases de conocimiento públicas como MITRE ATT&CK; la versión para sistemas de control industrial enumera tácticas que van desde el acceso inicial hasta "impair process control", es decir, perjudicar el control del proceso (MITRE ATT&CK for ICS). En el nivel de grado usted debe poder leer un catálogo así y decir qué técnicas aborda un control; no se le pide que las ejecute.

5.4 Ejemplo resuelto: lectura de un aviso para CPN (sintético)

Este caso es sintético. Un aviso de un fabricante (inventado) indica: «Las versiones de la pasarela de acceso remoto VPN-G anteriores a la 9.3 permiten que un atacante no autenticado ejecute código. Se ha observado su explotación. Corregido en la 9.3». Calder Power Networks utiliza VPN-G 9.1 en su sede central, accesible desde internet, y sus ingenieros la usan para llegar a la red de control. Extracción: activo, la pasarela y todo lo que es accesible a través de ella; vulnerabilidad, el defecto de la 9.1; amenaza, cualquier actor que escanee internet, más probable porque se ha observado explotación; impacto, posible acceso a la red de control y, por tanto, a la operación de los alimentadores; opciones de control, actualizar a la 9.3 ahora, o desactivar la pasarela hasta actualizarla y usar una alternativa supervisada. Los catálogos públicos como el Known Exploited Vulnerabilities de CISA existen precisamente para elevar la prioridad de los defectos explotados en la práctica (CISA KEV). La decisión no es difícil; la cultura de seguridad consiste en reconocer que «acceso remoto a la TO», más «explotado», más «expuesto a internet» pesa más que un defecto con una puntuación mayor en un dispositivo aislado.

5.5 Actividad práctica

Elija un aviso reciente de los avisos de ICS de CISA. Sin probar nada, extraiga el activo, la vulnerabilidad, las versiones afectadas, el estado de explotación, la corrección del fabricante y las mitigaciones recomendadas. Después, escriba dos frases sobre cómo cambiaría la prioridad para un operador cuyo dispositivo está (a) expuesto a internet y (b) en una red aislada. Escriba la respuesta sobre la exposición como un cambio de prioridad con una razón, no como una nueva puntuación. Expuesto a internet y explotado suele llevar un aviso a la gestión de emergencia, como ocurre con la VPN-G 9.1 de CPN; el mismo defecto en un dispositivo accesible solo desde una celda aislada puede esperar a la siguiente ventana planificada si se comprueban los controles compensatorios.

5.6 Errores comunes y límites

Usar «amenaza», «vulnerabilidad» y «riesgo» como sinónimos.
Suponer que la confidencialidad siempre va primero.
Tratar todo incidente como un ataque; muchas interrupciones son accidentes, y la respuesta es distinta.
Aprender técnicas de ataque de forma operativa sin autorización (capítulo 10).

EX010 muestra el primer error: llamar vulnerabilidad al corte del cable confunde la amenaza (las obras viales) con la debilidad (una única ruta de cable). El segundo hace que un controlador de dosificación de CW parezca un problema de privacidad cuando lo que protege a los clientes es la integridad. El tercero trata un cable cortado o una actualización fallida como un incidente en el que hay que buscar a un atacante, lo que retrasa la reparación. El cuarto es la razón por la que todos los laboratorios de este libro funcionan sin conexión.

Ejercicios — capítulo 5

EX009 — Ordenar las propiedades. Objetivo: aplicar la tríada CIA activo por activo. Entradas: los historiales de pacientes del CVH; el controlador de dosificación de cloro de CW; el servicio de autorización de tarjetas de Calder Mutual; las grabaciones de llamadas del CEDC. Pasos: ordene C, I y A para cada uno y justifique en una frase la propiedad principal. Evidencia esperada: una tabla. Rúbrica: 3 = ordenaciones defendibles con razones basadas en el daño (dosificación: primero integridad y seguridad funcional); 2 = una débil; 1 = ordenaciones sin razones; 0 = nada.

EX010 — Vocabulario bajo presión. Objetivo: usar los términos con precisión. Entradas: «El riesgo es que unas obras viales corten el cable, lo cual es una vulnerabilidad para el CEDC». Pasos: reescríbalo usando correctamente activo, amenaza, vulnerabilidad e impacto. Evidencia esperada: una o dos frases. Rúbrica: 3 = obras viales como amenaza, única ruta de cable como vulnerabilidad, disponibilidad del despacho como impacto; 2 = un término mal situado; 1 = dos mal situados; 0 = nada.

Síntesis del capítulo

La cultura de seguridad es vocabulario preciso aplicado a consecuencias reales. Activos, amenazas, vulnerabilidades, probabilidad, impacto y controles son ideas distintas. En los servicios críticos, la disponibilidad, la integridad y la seguridad funcional suelen pesar más que la confidencialidad, y la prioridad correcta de un aviso depende de la exposición y de la explotación, no solo de una puntuación.