Capítulo 23 — Seguridad de TO, IoT y sistemas ciberfísicos: métodos I
Mapa de la lección
Lección 23 publicada. Mapa, ejemplo, EX067.
flowchart TD
N0["Resultados de aprendizaje"]
N1["23.1 Empezar por la consecuencia"]
N2["23.2 El flujo de trabajo de 62443-3-2 a grandes rasg"]
N3["23.3 Las matrices y sus trampas"]
N4["23.4 Riesgo residual"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX067"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["23.1 Empezar por la consecuencia"]
N2["23.2 El flujo de trabajo de 62443-3-2 a grandes rasg"]
N3["23.3 Las matrices y sus trampas"]
N4["23.4 Riesgo residual"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX067"]
[Resultados de aprendizaje]
|
v
[23.1 Empezar por la consecuencia]
|
v
[23.2 El flujo de trabajo de 62443-3-2 a grandes rasg]
|
v
[23.3 Las matrices y sus trampas]
|
v
[23.4 Riesgo residual]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX067]
Resultados de aprendizaje
Usted podrá (1) realizar una evaluación de riesgos guiada por las consecuencias para una zona; (2) usar con responsabilidad una matriz de probabilidad y consecuencia; (3) relacionar la evaluación con el flujo de trabajo de IEC 62443-3-2; y (4) registrar el riesgo residual con un responsable.
23.1 Empezar por la consecuencia
En TO, la evaluación empieza preguntando qué podría hacer el proceso que resultara inaceptable —pérdida de calefacción en invierno, sobrepresión, escaldaduras— y solo después qué rutas cibernéticas podrían causarlo. Partir de las vulnerabilidades produce largas listas de hallazgos de bajo impacto; partir de la consecuencia centra el esfuerzo en los lazos que importan. En LDHP, los resultados inaceptables son la pérdida de calefacción en 4.000 hogares en invierno y la sobretemperatura en la impulsión. El primero tiene rutas cibernéticas a través del registro 100 y de EWS-1; el segundo también tiene una ruta, pero el disparo independiente de SIS-H limita su consecuencia. Empezar ahí le indica a Maya que examine los conductos de PLC-H antes que las interfaces web de las pasarelas de contadores, aunque las pasarelas producirían más hallazgos en un escaneo.
23.2 El flujo de trabajo de 62443-3-2 a grandes rasgos
IEC 62443-3-2 describe identificar el sistema considerado, realizar una evaluación de riesgos inicial de alto nivel, dividirlo en zonas y conductos, realizar una evaluación de riesgos detallada por zona y documentar los requisitos de seguridad y los niveles de seguridad objetivo. No necesita la norma completa para practicar el razonamiento, pero cítela correctamente. Aplicado a LDHP, el sistema considerado es la planta de calderas con sus contadores. La evaluación inicial identifica la pérdida de calefacción como consecuencia dominante. La división produce la zona de control de calderas, la zona de contadores y SIS-H como zona propia. La evaluación detallada por zona produce, respectivamente, el SL-T 3, el SL-T 2 y la ausencia de conductos enrutables de Maya.
23.3 Las matrices y sus trampas
Una matriz de 5 × 5 multiplica una puntuación de probabilidad por una de consecuencia. Es una herramienta de comunicación, no aritmética: «3 × 4 = 12» no significa el doble de grave que 6. Los errores de inversión del orden se producen cuando las categorías son amplias. Mantenga siempre el escenario narrado junto a la puntuación. En LDHP, un escenario de toma de control de una pasarela de contadores puntuado 3 × 4 y otro de escritura del punto de consigna en PLC-H puntuado 2 × 5 dan 12 y 10, lo que situaría primero la pasarela. Las narraciones cuentan otra historia: la pasarela afecta a la facturación y la configuración de una calle; la escritura del punto de consigna afecta a la calefacción de todos los hogares. Mantener la narración junto al número es lo que permite a un revisor detectar esa inversión, como hace la clasificación por consecuencias de Maya en el capítulo 26 cuando sitúa la reproducción de un solo inquilino por debajo de la toma de control de la pasarela.
23.4 Riesgo residual
Después de los controles queda algo de riesgo. Debe tener un responsable que lo acepte por escrito, una fecha de revisión y las hipótesis en que se basa. Para S-3, la manipulación del punto de consigna, el riesgo residual tras los controles del capítulo 24 tiene dos partes: un empleado interno con acceso de ingeniería y una escritura desde el propio HMI-1, el origen permitido. El proyecto final de Maya demuestra después que la segunda es real: el único fallo que le quedaba a su monitor fue una escritura originada en el HMI. El responsable sería el director de la planta de LDHP, como en el ejemplo resuelto siguiente, que lo acepta por escrito bajo la hipótesis de que las cuentas nominativas hacen atribuibles esas escrituras, con una fecha de revisión seis meses después, o antes si se construye la correlación del monitor con los inicios de sesión de los operadores.
Ejemplo resuelto (LDHP sintética)
Escenario S-3: malware de la oficina alcanza PLC-H a través de la regla 14 y baja el punto de consigna de impulsión (ATT&CK for ICS T0836). Consecuencia 4 (pérdida de calefacción en todo el distrito durante horas, sin heridos porque SIS-H se ocupa de la sobretemperatura, pero no de la baja temperatura). Probabilidad 3 antes de los controles. Tras eliminar la regla 14 y añadir una lista de permitidos, probabilidad 1. Residual: persiste el empleado interno con acceso de ingeniería; responsable: el director de la planta; revisión en seis meses.
Caso sintético — Lakeside District Heating Plant. Las puntuaciones son ilustrativas.
Errores y límites
La probabilidad de los ataques dirigidos es un juicio, no una frecuencia; indique quién la juzgó y con qué fundamento. No deje que una puntuación baja oculte una consecuencia catastrófica.
Ejercicios — capítulo 23
- EX067 — Primero la consecuencia. Escriba una consecuencia inaceptable para la zona de contadores IoT y la ruta cibernética que podría causarla. Rúbrica: 3 = consecuencia concreta más ruta; 2 = una de las dos; 1 = lista de vulnerabilidades; 0 = nada.
- EX068 — Interpretar puntuaciones de la matriz. El escenario A puntúa 2 × 5 = 10 y el B, 5 × 2 = 10. ¿Son igual de urgentes? Rúbrica: 3 = no; A tiene una consecuencia catastrófica y necesita otro tratamiento; juzgar por la narración; 2 = solo «no»; 1 = sí; 0 = nada.
- EX069 — Registro del riesgo residual. Escriba el enunciado de riesgo residual de S-3 tras los controles. Rúbrica: 3 = ruta que persiste, responsable, fecha de revisión, hipótesis; 2 = tres; 1 = «riesgo aceptado»; 0 = nada.
Síntesis del capítulo
La evaluación guiada por las consecuencias, el uso honesto de las matrices y un riesgo residual con responsable convierten un registro de riesgos de TO en una herramienta de decisión y no en una hoja de cálculo.
Siga estudiando — capítulo 23 de 40
← Capítulo 22 (borrador) · Índice de capítulos del curso · Capítulo 24 (borrador) →