Capítulo 24 — Seguridad de TO, IoT y sistemas ciberfísicos: controles
Mapa de la lección
Lección 24 publicada. Mapa, ejemplo, EX070.
flowchart TD
N0["Resultados de aprendizaje"]
N1["24.1 Familias de controles"]
N2["24.2 Ajustar los controles a S-3"]
N3["24.3 Controles que hacen daño"]
N4["24.4 Controles heredados y compensatorios"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX070"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["24.1 Familias de controles"]
N2["24.2 Ajustar los controles a S-3"]
N3["24.3 Controles que hacen daño"]
N4["24.4 Controles heredados y compensatorios"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX070"]
[Resultados de aprendizaje]
|
v
[24.1 Familias de controles]
|
v
[24.2 Ajustar los controles a S-3]
|
v
[24.3 Controles que hacen daño]
|
v
[24.4 Controles heredados y compensatorios]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX070]
Resultados de aprendizaje
Usted podrá (1) elegir controles preventivos, detectivos y correctivos para un escenario; (2) relacionarlos con los requisitos fundamentales de IEC 62443-3-3; (3) reconocer controles que podrían dañar la disponibilidad o la seguridad funcional; y (4) diseñar controles compensatorios para dispositivos heredados.
24.1 Familias de controles
IEC 62443-3-3 agrupa los requisitos de sistema en siete requisitos fundamentales: control de identificación y autenticación (FR 1), control de uso (FR 2), integridad del sistema (FR 3), confidencialidad de los datos (FR 4), flujo de datos restringido (FR 5), respuesta oportuna a los eventos (FR 6) y disponibilidad de los recursos (FR 7). Usarlos como encabezados mantiene equilibrado un plan de controles. La tabla de controles de Maya para S-3 muestra el efecto: cinco controles repartidos entre los FR 1, 3, 5, 6 y 7. Sin los encabezados, un primer borrador tiende a enumerar tres reglas de cortafuegos y nada para la recuperación, que es lo que le concierne al FR 7. Las columnas vacías, aquí FR 2 y FR 4, no son automáticamente carencias, pero cada una necesita una frase que explique por qué no se aplica a este escenario.
24.2 Ajustar los controles a S-3
Para el escenario de manipulación del punto de consigna: restringir el flujo de datos con una lista de permitidos en el cortafuegos (FR 5); exigir cuentas nominativas en HMI-1 (FR 1); añadir en la lógica de PLC-H límites de punto de consigna confirmados por el operador (en la práctica, FR 3, y un control de proceso); alertar de las escrituras de punto de consigna desde cualquier equipo distinto de HMI-1 (FR 6); mantener copias de seguridad probadas de la lógica del PLC (FR 7). La tabla de Maya registra completa la fila del límite del punto de consigna: PLC-H rechaza puntos de consigna de impulsión fuera de 70–110 °C salvo que esté activo el modo de ingeniería; FR 3; preventivo; con el modo de fallo de bloquear un cambio legítimo fuera de banda durante la puesta en marcha, mitigado con el modo de ingeniería registrado; responsable, ingeniería de control.
24.3 Controles que hacen daño
La prevención activa de intrusiones que descarta escrituras Modbus «sospechosas» puede bloquear una orden de emergencia legítima. El bloqueo de cuentas tras inicios de sesión fallidos puede dejar fuera a un operador durante un incidente. Cada control necesita una pregunta sobre su modo de fallo: si se dispara por error, ¿qué le pasa al proceso? La fila del límite del punto de consigna de Maya plantea esta pregunta y la responde: durante la puesta en marcha se rechazaría un punto de consigna legítimo fuera de 70–110 °C, así que para ese caso existe el modo de ingeniería, con registro. La misma pregunta aplicada a un dispositivo de prevención de intrusiones en línea con PLC-H tiene una respuesta peor: si descarta la escritura de emergencia de un operador durante una avería en una noche fría, el proceso pierde su única vía rápida de recuperación. Por eso LDHP supervisa de forma pasiva y aplica las restricciones con la lista de permitidos del cortafuegos, que bloquea por origen en lugar de adivinar la intención.
24.4 Controles heredados y compensatorios
El firmware de PLC-H no puede autenticar a los clientes Modbus. El enfoque compensatorio es rodearlo: limitar los conductos con una lista de permitidos para que solo HMI-1 y HIST-1 puedan alcanzarlo, supervisar el tráfico de forma pasiva y proteger la estación de ingeniería que puede cambiar su lógica. La lista de permitidos del capítulo 27 hace comprobable la primera medida: HMI-1 puede escribir los registros 100–119, HIST-1 solo puede leer y cualquier otro origen queda bloqueado. La supervisión es el sensor pasivo del conmutador de control, y la protección de EWS-1 incluye reenviar sus eventos de carga de controladores de software, que Maya añade tras leer AA22-103A en el capítulo 31. Ninguna de estas medidas cambia PLC-H; juntas deciden quién puede alcanzarlo.
Ejemplo resuelto (LDHP sintética)
La tabla de Maya tiene las columnas: control, FR, previene/detecta/corrige, modo de fallo, responsable. La fila del límite del punto de consigna dice: «PLC-H rechaza puntos de consigna de impulsión fuera de 70–110 °C salvo que esté activo el modo de ingeniería — FR 3 — previene — modo de fallo: bloquea un cambio legítimo fuera de banda durante la puesta en marcha; mitigado con el modo de ingeniería con registro — responsable: ingeniería de control».
Caso sintético — Lakeside District Heating Plant. Los límites y los responsables son inventados.
Errores y límites
Los controles enumerados pero no probados no dan ninguna garantía. La relación con los FR muestra la cobertura de las categorías, no que un requisito se cumpla en el nivel de seguridad objetivo.
Ejercicios — capítulo 24
- EX070 — Relacionar un control de la zona de contadores. Dé un control para cada uno de los FR 1, FR 5 y FR 6 en la zona de contadores. Rúbrica: 3 = tres controles pertinentes bien relacionados; 2 = dos; 1 = uno; 0 = nada.
- EX071 — Plantear la pregunta del modo de fallo. ¿Cuál es el modo de fallo de bloquear las cuentas del HMI tras tres contraseñas erróneas, y qué alternativa es más segura? Rúbrica: 3 = operador bloqueado en una emergencia; alerta con retardo o eximir las consolas de la sala de control con seguridad física; 2 = uno; 1 = vago; 0 = nada.
- EX072 — Compensar un dispositivo que no puede autenticar. Enumere tres controles compensatorios para una pasarela de contadores que no puede cambiar su contraseña por defecto. Rúbrica: 3 = aislar, restringir la interfaz de gestión, supervisar, planificar la sustitución (tres cualesquiera); 2 = dos; 1 = uno; 0 = nada.
Síntesis del capítulo
Un buen plan de controles de TO cubre los siete requisitos fundamentales, pregunta cómo falla cada control y rodea lo que no se puede corregir.
Siga estudiando — capítulo 24 de 40
← Capítulo 23 (borrador) · Índice de capítulos del curso · Capítulo 25 (borrador) →