Capítulo 29 — Seguridad de TO, IoT y sistemas ciberfísicos: operaciones
Mapa de la lección
Lección 29 publicada. Mapa, ejemplo, EX085.
flowchart TD
N0["Resultados de aprendizaje"]
N1["29.1 Una supervisión en la que confíen los operadore"]
N2["29.2 Pasos del manual"]
N3["29.3 Parches en ventanas"]
N4["29.4 Ejercicios de mesa"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX085"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["29.1 Una supervisión en la que confíen los operadore"]
N2["29.2 Pasos del manual"]
N3["29.3 Parches en ventanas"]
N4["29.4 Ejercicios de mesa"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX085"]
[Resultados de aprendizaje]
|
v
[29.1 Una supervisión en la que confíen los operadore]
|
v
[29.2 Pasos del manual]
|
v
[29.3 Parches en ventanas]
|
v
[29.4 Ejercicios de mesa]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX085]
Resultados de aprendizaje
Usted podrá (1) diseñar un flujo de trabajo de supervisión de seguridad de TO con los operadores en el circuito; (2) escribir un paso de un manual de respuesta a incidentes que respete la seguridad del proceso; (3) planificar la aplicación de parches dentro de las ventanas de mantenimiento; y (4) dirigir un ejercicio de mesa.
29.1 Una supervisión en la que confíen los operadores
La supervisión pasiva de la red en el conmutador de control de LDHP construye una línea base de quién habla con quién. Las alertas —un equipo nuevo que habla Modbus, una escritura desde un origen inesperado, una descarga de firmware— van a un analista de seguridad que llama al jefe de turno antes de que nadie toque la planta. NIST SP 800-82r3 subraya que la respuesta a incidentes en TO debe coordinarse con operaciones, porque las propias acciones de contención pueden causar una perturbación del proceso.
En LDHP, la alerta del ejercicio de mesa de este capítulo, una escritura Modbus en el registro 100 desde 10.20.4.17, en la VLAN de oficina, es exactamente el caso del «origen inesperado».
29.2 Pasos del manual
Los buenos pasos de un manual de TO nombran a quien decide y el estado seguro. «Aislar PLC-H de la red» es peligroso si los operadores pierden el HMI. Mejor: «El jefe de turno decide si pasar la caldera a control manual local; solo entonces el analista bloquea el origen sospechoso en el cortafuegos». El ejercicio de mesa de este capítulo siguió este orden: el analista llamó al jefe de turno a las 02:12, el operador restableció el punto de consigna de impulsión de 30 °C a 90 °C a las 02:15 y el jefe de turno aprobó bloquear 10.20.4.17 en el cortafuegos a las 02:18. El bloqueo llegó después de que el proceso estuviera seguro, no antes, y después de que lo decidiera una persona con nombre.
29.3 Parches en ventanas
LDHP tiene una ventana de mantenimiento mensual de cuatro horas. Los parches se prueban en un HMI de banco, se clasifican por riesgo (exposición × consecuencia) y se aplican en ese orden hasta llenar la ventana; el resto se aplaza con una incidencia fechada y controles compensatorios. IEC TR 62443-2-3 trata la gestión de parches en entornos IACS. En un mes con una corrección de firmware para PLC-H, una actualización de Windows para HMI-1 y un parche para las pasarelas, la clasificación pone primero a PLC-H solo si la corrección aborda una ruta expuesta; de lo contrario, HMI-1, que alberga las cuentas nominativas de los operadores y está expuesto a EWS-1 y al servidor de salto, puede ir primero. Lo que se aplace recibe una incidencia fechada y los controles compensatorios del capítulo 24.
29.4 Ejercicios de mesa
Un ejercicio de mesa ensaya un escenario sobre el papel: a quién se llama, qué se decide, qué información falta. Revela carencias sin poner en riesgo el proceso. El ejercicio de mesa de LDHP partió de una alerta a las 02:10 de una noche de enero: una escritura Modbus en el registro 100 de PLC-H desde 10.20.4.17, en la VLAN de oficina. El analista llamó al jefe de turno a las 02:12, el operador confirmó que el punto de consigna de impulsión había cambiado a 30 °C y restableció 90 °C a las 02:15, y el jefe de turno aprobó bloquear la dirección a las 02:18, tras lo cual comenzó la recogida de evidencia. La carencia que encontró era corriente e importante: nadie tenía el teléfono nocturno del administrador del cortafuegos. Un incidente real habría encontrado la misma carencia con menos tiempo para corregirla.
Caso sintético — Lakeside District Heating Plant. Las horas, las direcciones y la carencia son inventadas.
Errores y límites
Los manuales se deterioran a medida que cambian el personal y las redes; revíselos después de cada ejercicio. El bloqueo automático en TO debería ser excepcional y acordado de antemano.
Ejercicios — capítulo 29
- EX085 — Reescribir un paso peligroso del manual. Reescriba de forma segura «Apagar de inmediato el servidor SCADA». Rúbrica: 3 = quien decide, primero el estado seguro del proceso y después la contención; 2 = parcial; 1 = sin cambios; 0 = nada.
- EX086 — Llenar una ventana. Hay parches que necesitan 1,5 h (riesgo 9), 2 h (riesgo 6), 1 h (riesgo 8) y 1 h (riesgo 3) en una ventana de 4 h. ¿Cuáles entran? Rúbrica: 3 = riesgo 9, 8 y 3 (3,5 h), con el parche de riesgo 6 aplazado en una incidencia fechada; 2 = conjunto correcto, sin registro del aplazamiento; 1 = se excede de la ventana; 0 = nada.
- EX087 — Corregir la carencia del ejercicio de mesa. Proponga una corrección para el número de teléfono que faltaba y cómo probarla. Rúbrica: 3 = lista de guardias en el manual más una llamada de prueba en el siguiente ejercicio; 2 = una de las dos; 1 = vago; 0 = nada.
Síntesis del capítulo
La seguridad de las operaciones de TO mantiene a los operadores al mando del proceso, aplica parches por riesgo dentro de las ventanas y ensaya hasta que las carencias se encuentran sobre el papel y no a las 2 de la madrugada.
Siga estudiando — capítulo 29 de 40
← Capítulo 28 (borrador) · Índice de capítulos del curso · Capítulo 30 (borrador) →