Capítulo 13 — Identidad y acceso
Mapa de la lección
Lección 13 publicada. Mapa, ejemplo, EX037.
flowchart TD
N0["Resultados de aprendizaje"]
N1["13.1 Las cuentas compartidas rompen la atribución"]
N2["13.2 Roles que corresponden al trabajo"]
N3["13.3 Acceso de emergencia"]
N4["13.4 Acceso remoto de proveedores"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX037"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["13.1 Las cuentas compartidas rompen la atribución"]
N2["13.2 Roles que corresponden al trabajo"]
N3["13.3 Acceso de emergencia"]
N4["13.4 Acceso remoto de proveedores"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX037"]
[Resultados de aprendizaje]
|
v
[13.1 Las cuentas compartidas rompen la atribución]
|
v
[13.2 Roles que corresponden al trabajo]
|
v
[13.3 Acceso de emergencia]
|
v
[13.4 Acceso remoto de proveedores]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX037]
Resultados de aprendizaje
Usted podrá (1) diseñar cuentas nominativas basadas en roles para operadores, ingenieros y proveedores; (2) explicar el requisito fundamental de IEC 62443 de control de identificación y autenticación; (3) separar los privilegios de «ver», «operar» e «ingeniería»; y (4) diseñar un acceso de proveedores acotado en el tiempo.
13.1 Las cuentas compartidas rompen la atribución
Históricamente, las salas de control usaban un único inicio de sesión por turno. Cuando cambia un punto de consigna, el registro muestra «operator», no qué operador. IEC 62443-3-3 agrupa los requisitos en siete requisitos fundamentales; el FR 1, control de identificación y autenticación, pide que los usuarios humanos se identifiquen de forma única. Las cuentas nominativas permiten que una investigación separe un error honesto de un uso indebido. En LDHP, antes del rediseño de Maya, HMI-1 usaba un único inicio de sesión compartido por turno, así que un cambio de punto de consigna a las 02:00 no podía atribuirse a una persona; el registro solo decía «operator». El rediseño dio a cada operador una cuenta nominativa, de modo que la investigación del capítulo 15 puede preguntar a una persona concreta qué cambió.
13.2 Roles que corresponden al trabajo
En LDHP bastan tres roles para HMI-1: ver (tendencias y alarmas), operar (reconocer alarmas, cambiar puntos de consigna dentro de los límites) e ingeniería (cambiar límites, descargar lógica desde la estación de ingeniería). El FR 2, control de uso, cubre la aplicación de esos privilegios. Mínimo privilegio significa que un contratista que revisa tendencias recibe solo ver. El diseño de Maya sigue estos roles. Un operador de turno puede mover el punto de consigna de impulsión dentro de los límites de 70–110 °C de PLC-H; solo un ingeniero puede cambiar esos límites o descargar lógica desde EWS-1. La cuenta de diagnóstico del proveedor es de solo lectura salvo que una incidencia la eleve para una sesión. El FR 2 es donde se aplica esa regla.
13.3 Acceso de emergencia
Una planta no puede dejar fuera a los operadores durante una emergencia porque un servidor de directorio esté caído. Diseñe cuentas de emergencia (break-glass): credenciales selladas, autenticación local, alerta inmediata al usarlas y revisión posterior al evento. Esta es la disponibilidad y la seguridad funcional dando forma al diseño de identidades. El diseño de Maya guarda el sobre de emergencia de LDHP en la caja fuerte del jefe de turno. Su uso dispara una alerta al ingeniero de guardia, y tras cada uso se cambia la contraseña y se vuelve a sellar el sobre. La revisión pregunta por qué falló el inicio de sesión basado en el directorio, no quién abrió la caja fuerte.
13.4 Acceso remoto de proveedores
Los proveedores necesitan acceso remoto para el diagnóstico. El aviso de CISA AA21-042A, sobre el compromiso en 2021 del sistema de control de una planta de tratamiento de agua de EE. UU. a través de software de acceso remoto, recomendó la autenticación multifactor, contraseñas robustas para las credenciales de escritorio remoto, la auditoría de las conexiones remotas y el cierre de los puertos RDP no utilizados. Un diseño más seguro: un servidor de salto en la DMZ, autenticación multifactor, sesiones habilitadas por el jefe de turno durante una ventana fija y grabación.
El punto de partida de LDHP se parecía al caso de 2021: una herramienta de escritorio remoto siempre activa para el proveedor. El diseño de Maya la sustituyó por sesiones a través del servidor de salto de la DMZ, habilitadas durante cuatro horas por incidencia, grabadas y revisadas semanalmente.
Ejemplo resuelto (LDHP sintética)
Maya documenta la práctica actual: un inicio de sesión compartido en el HMI y acceso del proveedor mediante una herramienta de escritorio remoto siempre activa. Su diseño: cuentas nominativas en tres roles; sobre de emergencia en la caja fuerte del jefe de turno; sesiones del proveedor a través del servidor de salto de la DMZ, habilitadas durante cuatro horas por incidencia, grabadas y revisadas semanalmente.
Caso sintético — Lakeside District Heating Plant. Las cuentas y el proveedor de LDHP son inventados; el aviso citado describe un incidente real.
Errores y límites
La MFA en una consola de sala de control puede ralentizar la respuesta ante emergencias; úsela para el acceso remoto y de ingeniería, y confíe en la seguridad física de la sala de control para la operación local cuando esté justificado.
Ejercicios — capítulo 13
- EX037 — Asignar un rol. Un contratista de mantenimiento de calderas necesita revisar las tendencias de combustión durante una semana. ¿Qué rol y qué límite de tiempo? Rúbrica: 3 = solo ver, con caducidad al terminar la semana, cuenta nominativa; 2 = rol correcto; 1 = operar; 0 = ingeniería.
- EX038 — Revisión del acceso de emergencia. Enumere tres cosas que hay que comprobar después de usar la cuenta de emergencia. Rúbrica: 3 = quién la usó y por qué, acciones realizadas, credencial rotada; 2 = dos; 1 = una; 0 = nada.
- EX039 — Lecciones de AA21-042A. Nombre dos medidas de acceso remoto recomendadas en el aviso sobre la planta de agua que se apliquen a LDHP. Rúbrica: 3 = dos medidas correctas; 2 = una; 1 = un genérico «usar antivirus»; 0 = nada.
Síntesis del capítulo
La identidad en TO debe hacer que cada acción sea atribuible, que cada privilegio corresponda a un trabajo y que cada emergencia sea superable.
Siga estudiando — capítulo 13 de 40
← Capítulo 12 (borrador) · Índice de capítulos del curso · Capítulo 14 (borrador) →