Capítulo 15 — Evidencia y medición | Grado Seguridad de OT, IoT y sistemas ciberfísicos

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 15 publicada. Mapa, ejemplo, EX043.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["15.1 Los relojes discrepan"]
  N2["15.2 Lo que muestra la cronología corregida"]
  N3["15.3 Cadena de custodia"]
  N4["15.4 Observación, inferencia, hipótesis"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX043"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["15.1 Los relojes discrepan"]
  N2["15.2 Lo que muestra la cronología corregida"]
  N3["15.3 Cadena de custodia"]
  N4["15.4 Observación, inferencia, hipótesis"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX043"]

[Resultados de aprendizaje]
    |
    v
[15.1 Los relojes discrepan]
    |
    v
[15.2 Lo que muestra la cronología corregida]
    |
    v
[15.3 Cadena de custodia]
    |
    v
[15.4 Observación, inferencia, hipótesis]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX043]

Resultados de aprendizaje

Usted podrá (1) corregir el desfase de reloj al combinar registros; (2) preservar la cadena de custodia de la evidencia exportada; (3) distinguir observación, inferencia e hipótesis en una cronología; y (4) enunciar la incertidumbre de una medición.

15.1 Los relojes discrepan

Los controladores, los HMI y los historiadores suelen tener relojes independientes, y un PLC sin hora de red puede desviarse minutos al mes. Antes de ordenar los eventos, mida el desfase —por ejemplo, comparando un evento conocido (un cambio de punto de consigna de un operador) en ambos registros— y anote cómo se midió.

"""Lab 15: align two synthetic logs with a measured clock offset."""
from datetime import datetime, timedelta
hmi = [("2026-03-02T10:00:07", "operator changed SP TT-101 to 95"), ("2026-03-02T10:02:40", "alarm TT-101 HI")]
plc = [("2026-03-02T09:58:52", "SP write accepted"), ("2026-03-02T10:01:30", "valve CV-11 to 80%")]
offset = timedelta(seconds=75)  # measured: PLC clock is 75 s behind the reference
ev = [(datetime.fromisoformat(t), "HMI", m) for t, m in hmi] + [(datetime.fromisoformat(t) + offset, "PLC", m) for t, m in plc]
for t, src, m in sorted(ev):
    print(t.time(), src, m)

Ejecútelo con python3 lab_clock.py. Salida verificada:

10:00:07 HMI operator changed SP TT-101 to 95
10:00:07 PLC SP write accepted
10:02:40 HMI alarm TT-101 HI
10:02:45 PLC valve CV-11 to 80%

En LDHP, el evento conocido fue un cambio de punto de consigna de un operador en HMI-1 a las 10:00:07, que también aparece en el registro de PLC-H como «SP write accepted». Al cotejar ambos se obtuvo un desfase de 75 segundos, con una incertidumbre de unos dos segundos debida a la resolución de los registros.

15.2 Lo que muestra la cronología corregida

Tras sumar el desfase medido de 75 segundos, el «SP write accepted» del PLC coincide con la entrada del HMI a las 10:00:07, lo que respalda la hipótesis de que la escritura vino de HMI-1. Sin la corrección, el evento del PLC aparece 75 segundos antes de que actuara el operador: una secuencia que podría malinterpretarse como una escritura externa seguida de una reacción del operador. La corrección cambia la historia, no solo los números. Un directivo que leyera los registros sin corregir podría concluir que alguien fuera de la sala de control escribió el punto de consigna y que el operador reaccionó después, lo que desencadenaría un incidente de seguridad. La cronología corregida muestra un cambio ordinario del operador, siempre que se cumpla la hipótesis sobre el desfase.

15.3 Cadena de custodia

Para cada archivo exportado, registre quién lo exportó, desde qué sistema, cuándo, con qué método y su hash SHA-256. Guarde el original en modo de solo lectura y trabaje sobre copias. Así es como una cronología se convierte en evidencia en la que pueden confiar un directivo, una aseguradora o un tribunal. Para la cronología de Maya, el registro diría: registro de eventos de HMI-1, exportado por el ingeniero de turno a las 11:20 con la cuenta de solo lectura, SHA-256 registrado; registro de diagnóstico de PLC-H, exportado desde EWS-1 por el ingeniero de control, SHA-256 registrado; ambos originales guardados en modo de solo lectura en el recurso compartido de la investigación, y la cronología corregida de Maya construida solo a partir de copias. Si una aseguradora pregunta más tarde si se editó el registro del PLC, el hash lo responde.

15.4 Observación, inferencia, hipótesis

Etiquete cada entrada de la cronología. «Línea del registro del PLC a las 09:58:52, hora local del PLC» es una observación. «La escritura se originó en HMI-1» es una inferencia. «El desfase del reloj del PLC fue constante toda la mañana» es una hipótesis. Mezclarlas es el defecto más común de los informes de incidentes. La tabla de Maya añade una columna de etiqueta precisamente para esto. Su fila del desfase está marcada como A, porque «75 s ± 2 s, medido cotejando el cambio de punto de consigna de las 10:00:07» depende de que el desfase se mantenga constante de 09:30 a 10:30. Si alguien encuentra después un ajuste del reloj del PLC a las 10:15, solo hay que revisar las filas que dependen de esa hipótesis.

Ejemplo resuelto (LDHP sintética)

La tabla de Maya tiene tres columnas —hora corregida, fuente, enunciado— más una cuarta para la etiqueta (O/I/A). La fila del desfase dice: «Desfase de 75 s ± 2 s, medido cotejando el cambio de punto de consigna del HMI de las 10:00:07 con el mensaje de aceptación del PLC (A: desfase constante durante 09:30–10:30)».

Caso sintético — Lakeside District Heating Plant. Las líneas de registro y el desfase son inventados.

Errores y límites

Un evento cotejado da una sola medición del desfase; la deriva durante el periodo puede hacerla incorrecta más tarde. Las zonas horarias y los cambios de horario de verano son una fuente de error aparte.

Ejercicios — capítulo 15

EX043 — Aplicar el desfase. Una línea del registro del PLC dice 10:04:10. ¿Cuál es la hora corregida?
Mostrar criterios de evaluación
Rúbrica: 3 = 10:05:25; 2 = sentido correcto, error aritmético; 1 = resta; 0 = nada.
EX044 — Etiquetar entradas de la cronología. Etiquete O, I o A: (a) «CV-11 pasó al 80 % a las 10:02:45», (b) «el movimiento de la válvula fue una acción de control automático», (c) «ningún otro equipo escribió en PLC-H».
Mostrar criterios de evaluación
Rúbrica: 3 = O, I, A; 2 = dos correctas; 1 = una; 0 = nada.
EX045 — Campos de custodia. Enumere cinco campos de un registro de custodia para el registro del PLC exportado.
Mostrar criterios de evaluación
Rúbrica: 3 = cinco campos pertinentes, incluido el hash; 2 = cuatro; 1 = sin hash; 0 = nada.

Síntesis del capítulo

La evidencia en TO solo es tan buena como sus relojes, su registro de custodia y su honestidad sobre lo que se vio frente a lo que se concluyó.

Siga estudiando — capítulo 15 de 40

← Capítulo 14 (borrador) · Índice de capítulos del curso · Capítulo 16 (borrador) →