Capítulo 22 — Seguridad de TO, IoT y sistemas ciberfísicos: datos y dependencias
Mapa de la lección
Lección 22 publicada. Mapa, ejemplo, EX064.
flowchart TD
N0["Resultados de aprendizaje"]
N1["22.1 Primero, el inventario"]
N2["22.2 Cadenas de dependencia"]
N3["22.3 Dependencias de proveedores"]
N4["22.4 Las personas como dependencias"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX064"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["22.1 Primero, el inventario"]
N2["22.2 Cadenas de dependencia"]
N3["22.3 Dependencias de proveedores"]
N4["22.4 Las personas como dependencias"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX064"]
[Resultados de aprendizaje]
|
v
[22.1 Primero, el inventario]
|
v
[22.2 Cadenas de dependencia]
|
v
[22.3 Dependencias de proveedores]
|
v
[22.4 Las personas como dependencias]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX064]
Resultados de aprendizaje
Usted podrá (1) construir un inventario de activos y dependencias; (2) seguir los flujos de datos desde el dispositivo de campo hasta el uso de negocio; (3) encontrar puntos únicos de fallo, incluidas personas y proveedores; y (4) usar una lista de materiales de software para razonar sobre vulnerabilidades heredadas.
22.1 Primero, el inventario
No se puede proteger lo que no se ha enumerado. NIST SP 800-82r3 sitúa el inventario de activos al comienzo de un programa de seguridad de TO. Un inventario útil registra no solo fabricante, modelo y firmware, sino también función, zona, responsable, criticidad y qué depende del activo. La lista de dependencias de Maya en este capítulo parte de un inventario así: TT-101, PLC-H con firmware v3.2, FV-12, el conmutador de control SW-2, HMI-1, el servidor de licencias LIC-1, EWS-1 y el contrato de soporte del proveedor. Registrar la v3.2 es lo que permitiría a LDHP responder el mismo día a un aviso sobre el firmware del PLC; registrar LIC-1 como dependencia de HMI-1 es lo que dejó al descubierto un punto único de fallo que ningún diagrama de red mostraba.
22.2 Cadenas de dependencia
PLC-H depende de la alimentación de 24 V, de sus módulos de E/S, del conmutador de la red de control, de la estación de ingeniería para los cambios de lógica y del proveedor para el firmware. HMI-1 depende de Windows, del servidor de licencias del entorno de ejecución del HMI y del controlador de dominio para las cuentas nominativas. Una caída del servidor de licencias que deja en blanco los HMI es un incidente de disponibilidad con causa raíz cibernética, aunque no haya ningún atacante.
Maya marcó LIC-1 como el punto único de fallo oculto y preguntó al fabricante del HMI por un periodo de gracia de la licencia, que permitiría a HMI-1 seguir funcionando si LIC-1 estuviera caído durante una noche.
22.3 Dependencias de proveedores
El firmware de la pasarela de contadores incorpora una pila TCP/IP de código abierto y una biblioteca TLS. Si se publica una vulnerabilidad en la pila, todas las pasarelas la heredan. Una lista de materiales de software (SBOM) enumera esos componentes para que, cuando aparezca un aviso, la planta pueda responder «¿nos afecta?» en horas y no en semanas. Los avisos de ICS de CISA identifican los productos y versiones afectados, lo que solo sirve si su inventario registra las versiones.
MTR-C, en el capítulo 30, es el caso en que una SBOM no basta: aunque muestre una pila afectada, el dispositivo no puede actualizarse.
22.4 Las personas como dependencias
Si solo un ingeniero sabe restaurar la lógica de PLC-H desde la copia de seguridad, esa persona es un punto único de fallo. Documente los procedimientos y forme a más personas. En LDHP el riesgo es mayor de noche en invierno. Si la lógica de PLC-H se corrompiera, por una descarga fallida desde EWS-1 o de forma deliberada, restaurarla requiere el último archivo de programa bueno, la versión de firmware correspondiente (v3.2 en la lista de Maya) y alguien que conozca los pasos de restauración en ese controlador. Si esa persona está de vacaciones en enero, la caldera funciona en control manual local hasta que vuelva. La recomendación de Maya fue un procedimiento de restauración escrito, probado en banco una vez al año por un segundo ingeniero, con el hash del archivo de copia de seguridad registrado junto a cada restauración probada.
Ejemplo resuelto (LDHP sintética)
Maya redacta la lista de dependencias de la función de temperatura de impulsión: TT-101, PLC-H (firmware v3.2), FV-12, el conmutador de control SW-2, HMI-1, el servidor de licencias LIC-1, la estación de ingeniería EWS-1 y el contrato de soporte del proveedor. Marca LIC-1 como punto único de fallo oculto y recomienda comprobar con el fabricante del HMI el periodo de gracia de la licencia.
Caso sintético — Lakeside District Heating Plant. Las versiones y los nombres son inventados.
Errores y límites
Un inventario construido solo con escaneo de red omite los dispositivos serie y los repuestos apagados, y el escaneo activo puede perturbar dispositivos frágiles; combine la captura pasiva, las exportaciones de configuración y los recorridos por la planta.
Ejercicios — capítulo 22
- EX064 — Campos de un registro de inventario. Enumere seis campos para una entrada del inventario de activos de TO. Rúbrica: 3 = seis, incluidos versión de firmware, zona y criticidad; 2 = cuatro o cinco; 1 = solo fabricante/modelo; 0 = nada.
- EX065 — Responder a un aviso. Un aviso de CISA indica como afectadas las versiones 2.0–2.4 de la biblioteca TLS de la pasarela. ¿Qué dos datos del inventario deciden si LDHP está afectada? Rúbrica: 3 = versión del firmware de la pasarela y versión del componente en su SBOM; 2 = uno; 1 = solo el nombre del fabricante; 0 = nada.
- EX066 — Un punto único oculto. Identifique un punto único de fallo de LDHP que no sea de red y una mitigación. Rúbrica: 3 = p. ej., un solo ingeniero, el servidor de licencias, un único repuesto; con mitigación; 2 = solo el punto; 1 = solo un dispositivo de red; 0 = nada.
Síntesis del capítulo
Los inventarios, las cadenas de dependencia y las SBOM permiten a una planta razonar sobre fallos y avisos antes de que lleguen.
Siga estudiando — capítulo 22 de 40
← Capítulo 21 (borrador) · Índice de capítulos del curso · Capítulo 23 (borrador) →