Capítulo 1 — Integridad y métodos avanzados de investigación

Mapa de la lección

Lección 01 publicada. Mapa, ejemplo, EX001.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["1.1 Qué se estudia: servicios, funciones y consecuen"]
  N2["1.2 La evidencia en la investigación sobre infraestr"]
  N3["1.3 Integridad cuando los socios son operadores regu"]
  N4["1.4 Seguridad, doble uso y ética"]
  N5["1.5 Información protegida y acuerdos de datos"]
  N6["1.6 Medición: métricas de resiliencia y de consecuen"]
  N7["1.7 Modos de falla habituales en las afirmaciones de"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX001"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["1.1 Qué se estudia: servicios, funciones y consecuen"]
  N2["1.2 La evidencia en la investigación sobre infraestr"]
  N3["1.3 Integridad cuando los socios son operadores regu"]
  N4["1.4 Seguridad, doble uso y ética"]
  N5["1.5 Información protegida y acuerdos de datos"]
  N6["1.6 Medición: métricas de resiliencia y de consecuen"]
  N7["1.7 Modos de falla habituales en las afirmaciones de"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX001"]

[Resultados de aprendizaje y conexión]
    |
    v
[1.1 Qué se estudia: servicios, funciones y consecuen]
    |
    v
[1.2 La evidencia en la investigación sobre infraestr]
    |
    v
[1.3 Integridad cuando los socios son operadores regu]
    |
    v
[1.4 Seguridad, doble uso y ética]
    |
    v
[1.5 Información protegida y acuerdos de datos]
    |
    v
[1.6 Medición: métricas de resiliencia y de consecuen]
    |
    v
[1.7 Modos de falla habituales en las afirmaciones de]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX001]

Resultados de aprendizaje y conexión

Al terminar este capítulo, el estudiante será capaz de:

1. Definir infraestructura crítica, función crítica, dependencia, interdependencia y resiliencia con la precisión suficiente para asociar una medición a cada término, y explicar por qué las definiciones que usan distintos gobiernos no son intercambiables.
2. Distinguir las observaciones cibernéticas de las afirmaciones sobre consecuencias y precisar qué evidencia se necesita para pasar de unas a otras.
3. Aplicar salvaguardas de integridad de la investigación —preespecificación, registros de desviaciones, separación entre trabajo exploratorio y confirmatorio, declaración de conflictos de interés— a estudios cuyos socios son operadores regulados.
4. Identificar los riesgos de seguridad física, de doble uso, jurídicos y de protección de la información propios de la investigación sobre infraestructura y diseñar salvaguardas proporcionadas, usando los principios del Informe Menlo como estructura de trabajo.
5. Elegir y defender métricas de resiliencia y de consecuencia, reconociendo que la elección de la métrica puede invertir la clasificación de los escenarios y que las ventanas de observación censuran las interrupciones no recuperadas.
6. Redactar un protocolo de investigación que un revisor hostil pero justo —y el responsable de seguridad de una empresa de servicios— pueda auditar, incluidas las condiciones de detención.

El capítulo es el contrato metodológico del resto del libro. El capítulo 2 lee la literatura con su vocabulario de evidencia; el capítulo 3 usa su plantilla de protocolo; los capítulos 4 y 5 usan sus métricas y sus herramientas de validez; los capítulos 6 a 8 usan sus estándares de integridad, seguridad y protección de la información para juzgar el trabajo terminado.

1.1 Qué se estudia: servicios, funciones y consecuencias

1.1.1 Definiciones que tienen peso

«Infraestructura crítica» es un término jurídico y de política pública antes que técnico, y su definición decide hacia qué puede generalizar un estudio. En los Estados Unidos, la definición legal de la USA PATRIOT Act (42 U.S.C. § 5195c(e)) describe sistemas y activos «so vital to the United States that the incapacity or destruction of such systems and assets would have a debilitating impact on security, national economic security, national public health or safety». La política estadounidense organiza esos activos en sectores; el National Security Memorandum on Critical Infrastructure Security and Resilience (NSM-22), emitido el 30 de abril de 2024, derogó y sustituyó la Presidential Policy Directive 21 (2013), mantuvo la estructura sectorial, designó a la Cybersecurity and Infrastructure Security Agency (CISA) como coordinadora nacional y asignó las Sector Risk Management Agencies (resumen de CISA; resumen del Congressional Research Service). El resumen del CRS señala que una administración posterior puede derogar o modificar el NSM-22 sin intervención del Congreso, de modo que una tesis debe citar el instrumento vigente en una fecha declarada.

La Unión Europea usa dos instrumentos coordinados: la Directiva (UE) 2022/2557 relativa a la resiliencia de las entidades críticas (CER), para la resiliencia frente a todos los peligros de las entidades críticas designadas, y la Directiva (UE) 2022/2555 (NIS2), para la ciberseguridad de las entidades esenciales e importantes. Un estudio que llama a un hospital «infraestructura crítica» en el sentido estadounidense y «entidad esencial» en el sentido de NIS2 no está usando sinónimos: las poblaciones difieren, las obligaciones difieren y los umbrales de notificación difieren.

Una perspectiva complementaria es la función en lugar del activo. El National Critical Functions set de CISA, publicado en abril de 2019, enumera 55 funciones agrupadas en Connect, Distribute, Manage y Supply; por ejemplo, «Distribute electricity» o «Supply water». Las funciones atraviesan sectores y organizaciones. Para la investigación, la perspectiva funcional tiene una ventaja decisiva: nombra algo cuya pérdida puede medirse (servicio prestado, personas afectadas, duración) y no algo cuyo compromiso puede observarse (un equipo, una credencial, un controlador).

Definiciones de trabajo usadas en este libro:

Tabla de la lección; desplázate para ver todas las columnas →

Rinaldi, Peerenboom y Kelly clasifican las interdependencias como físicas (un producto material de una es insumo de otra), cibernéticas (dependencia de información transmitida por una infraestructura de información), geográficas (un evento local afecta a componentes ubicados en el mismo lugar) y lógicas (cualquier otro mecanismo, como los mercados o las políticas). Sus seis «dimensiones» —entorno, acoplamiento y comportamiento de respuesta, tipo de falla (en cascada, escalonada, de causa común), características de la infraestructura, estado de operación y tipo de interdependencia— siguen siendo una lista de verificación útil de lo que un modelo ignora. Un estudio doctoral debe declarar cuáles de esas dimensiones modela y cuáles mantiene fijas.

1.1.2 La observación cibernética no es la consecuencia

El problema epistémico que define el campo es la distancia entre lo que puede observarse de un evento cibernético y lo que les ocurrió a las personas. Consideremos tres ejemplos públicos, descritos solo con el nivel de detalle que divulgaron sus editores:

• El ataque de diciembre de 2015 contra tres empresas distribuidoras de electricidad de Ucrania interrumpió el suministro a unos 225 000 clientes durante varias horas; el caso de uso de defensa conjunto de E-ISAC y SANS (marzo de 2016) describe el robo de credenciales, la operación remota de sistemas de gestión de la distribución, malware destructivo y una denegación de servicio telefónica contra los centros de atención al cliente. La consecuencia (clientes sin electricidad, durante horas) dependió de la capacidad de los operadores para restablecer el servicio manualmente, una reserva que era organizativa y no técnica.
• El malware que CISA describe como CrashOverride (alerta TA17-163A, junio de 2017) atacó subestaciones eléctricas de Ucrania en 2016. Un análisis de capacidades de un malware dice qué podría ordenarse; por sí solo no dice qué se perdió.
• El análisis de CISA sobre HatMan (también conocido como TRITON o TRISIS) describe un malware dirigido a un sistema instrumentado de seguridad. Aquí la consecuencia más importante es una que no ocurrió, y las afirmaciones de investigación sobre «cuasi accidentes» requieren un cuidado especial porque el contrafáctico no es observable.

Cada caso vincula una observación cibernética (malware, acceso, comandos) con una consecuencia (interrupción, disparo, daño evitado) a través de una cadena de mecanismos físicos y organizativos. Una afirmación de investigación que salta la cadena —«los ataques contra subestaciones causan apagones»— no es tanto falsa como infundada. Escriba la cadena de forma explícita; cada eslabón es un punto donde una reserva, un procedimiento manual, un sistema de protección o una decisión humana pueden romperla.

1.1.3 La escalera de afirmaciones para la investigación sobre infraestructura

El libro doctoral de respuesta a incidentes de esta serie introdujo una escalera de afirmaciones (observación, inferencia, afirmación de caso, afirmación de investigación). La investigación sobre infraestructura necesita un peldaño más, porque las afirmaciones centrales del campo tratan de consecuencias en sistemas físicos que el investigador normalmente no puede observar de forma directa:

Tabla de la lección; desplázate para ver todas las columnas →

Subir un peldaño siempre añade supuestos. El protocolo de §1.8 exige que cada afirmación de una tesis lleve la etiqueta de su peldaño y de sus supuestos.

1.2 La evidencia en la investigación sobre infraestructura

1.2.1 Cinco fuentes de evidencia y sus sesgos característicos

1. Registros de incidentes e informes públicos. Escasos, divulgados de forma selectiva, escritos con fines distintos de la investigación y moldeados por la exposición jurídica. El sesgo de publicación es extremo: se reportan los eventos con consecuencias dramáticas o adversarios atribuibles; las perturbaciones absorbidas en silencio, no. La población de incidentes es desconocida.
2. Datos operativos de los socios. Historiadores SCADA, registros de gestión de interrupciones, órdenes de trabajo, registros de alarmas. Alta fidelidad, pero son propiedad del operador, a menudo están protegidos por ley o por contrato y los producen sistemas ajustados para la operación y no para la medición. El muestreo lo decide la disposición del socio, que se correlaciona con su madurez.
3. Bancos de pruebas. Plantas de laboratorio físicas o híbridas, como el banco de pruebas Secure Water Treatment (SWaT) descrito por Goh, Adepu, Junejo y Mathur (2016). Permiten ataques controlados y datos etiquetados, a costa de escala, antigüedad y realismo: una planta didáctica de seis etapas no es el sistema de agua de una ciudad.
4. Modelos y simulaciones. Modelos de redes, de flujos, de insumo-producto, basados en agentes, de dinámica de sistemas y de cosimulación (capítulo 2). Permiten contrafácticos y escala, pero solo prueban lo que su estructura y sus parámetros permiten; su validez debe establecerse, no suponerse (Sargent, 2013).
5. Personas. Entrevistas, encuestas, ejercicios de mesa y observación de operadores, gestores de emergencias y reguladores. Revelan reservas que solo existen como práctica —soluciones manuales, ayuda mutua informal— y también revelan lo que las personas dicen que harían, que no es lo que hacen bajo estrés.

El trabajo doctoral sólido triangula: la predicción de un modelo se contrasta con un registro histórico, un experimento en banco de pruebas y el juicio de los operadores, y la tesis explica qué puede y qué no puede respaldar cada fuente.

1.2.2 El problema de la tasa base y del denominador

Los incidentes de infraestructura con consecuencias físicas son raros. Un estudio que recopila «incidentes cibernéticos que afectan a empresas de servicios» a partir de fuentes públicas tiene un numerador sin denominador: no puede decir con qué frecuencia ocurren esos incidentes, solo con qué frecuencia se reportan. Las tasas requieren una población definida (todas las empresas de servicios de un tipo en una jurisdicción), un período definido y un mecanismo de notificación de completitud conocida. Los regímenes de notificación obligatoria podrían ayudar con el tiempo: la Cyber Incident Reporting for Critical Infrastructure Act de 2022 (CIRCIA) de los Estados Unidos obliga a CISA a dictar normas; la propuesta de norma de CISA de 2024 exigiría notificar los incidentes cubiertos en un plazo de 72 horas y los pagos de rescate en 24 horas, y la norma final se envió a revisión interinstitucional el 1 de octubre de 2026 tras incumplir plazos anteriores (Inside Privacy, 2026). Mientras no se publique y entre en vigor una norma final, y mientras sus datos no se pongan a disposición de los investigadores bajo algún régimen de acceso, ninguna tesis debe tratar las obligaciones de notificación como datos.

1.2.3 Retrospectiva, contrafácticos y «cuasi accidentes»

Las afirmaciones sobre consecuencias en este campo suelen ser contrafácticas: «si los operadores no hubieran pasado al control manual, la interrupción habría durado días». Los contrafácticos son objetos de investigación legítimos solo cuando los produce un modelo explícito cuyos supuestos se divulgan y cuya sensibilidad se reporta. La retrospectiva hace que el camino real parezca inevitable y que las alternativas parezcan obvias; el diseño del ejercicio de mesa del capítulo 5 muestra cómo presentar escenarios a los participantes sin que conozcan el desenlace.

1.3 Integridad cuando los socios son operadores regulados

1.3.1 Presiones específicas del campo

Las prácticas de investigación cuestionables —reporte selectivo, análisis flexible, formular hipótesis después de conocer los resultados— son generales (Simmons, Nelson y Simonsohn, 2011; Kerr, 1998). La investigación sobre infraestructura añade cuatro presiones:

• Exposición regulatoria. Un operador socio puede temer que un hallazgo se lea como incumplimiento. La presión para suavizar o retrasar resultados es previsible y debe gestionarse con un acuerdo de publicación escrito antes del acceso a los datos (§1.5.3).
• Financiación por partes interesadas. Los proveedores de productos de detección, las asociaciones sectoriales y las agencias financian investigación. La financiación no es corrupción, pero la financiación no declarada es una falla de integridad, y presentar de forma favorable el producto de un financiador es un riesgo conocido.
• Clasificación y sensibilidad. Algunos resultados no pueden publicarse completos. La tentación es publicar la parte favorable. La regla de este libro: si un resultado no puede publicarse, la existencia del análisis retenido y su dirección deben comunicarse a los examinadores en el marco del acuerdo de acceso, y el texto público no debe afirmar más de lo que respalda la evidencia pública.
• Flexibilidad de la simulación. Un modelo tiene muchos parámetros libres. Ajustarlos hasta que un método propuesto gane es el equivalente en simulación del p-hacking. La salvaguarda consiste en fijar las distribuciones de parámetros, los conjuntos de escenarios y las métricas antes de comparar métodos (capítulo 3), y en reportar todas las familias de escenarios, no solo aquellas en las que el método gana.

1.3.2 Preespecificación para estudios de simulación y de métodos mixtos

El prerregistro no es solo para experimentos con participantes humanos (Nosek et al., 2018). En un estudio de simulación, preespecifique: la versión del modelo y sus pruebas de verificación; las distribuciones de parámetros y sus fuentes; las familias de escenarios y cuántas extracciones de cada una; las políticas de comparación, incluida la línea base más fuerte disponible; la métrica primaria, la métrica secundaria o de seguridad y cualquier margen de no inferioridad; las semillas; y el análisis (diferencias pareadas, método de intervalos). En entrevistas y ejercicios de mesa, preespecifique el marco muestral, el protocolo, las categorías iniciales del marco de codificación y la regla para añadir categorías. Un registro de desviaciones anota cada cambio con fecha, motivo y si ya se habían visto los resultados.

1.3.3 Originalidad y procedencia

La literatura sobre infraestructura está repartida entre la ingeniería, la investigación de operaciones, la economía, las políticas públicas y la seguridad informática, y la misma idea se redescubre a menudo con otros nombres: «restablecimiento consciente de las dependencias» en ingeniería eléctrica, «priorización del restablecimiento» en gestión de emergencias, «criticidad a nivel de servicio» en TI. Por eso, una afirmación doctoral de originalidad necesita una búsqueda entre disciplinas (capítulo 2) y una declaración honesta de qué es nuevo: el método, la aplicación, la evidencia o la síntesis.

1.4 Seguridad, doble uso y ética

1.4.1 Por qué la investigación sobre infraestructura necesita su propio análisis ético

El Informe Menlo (Dittrich y Kenneally, 2012) adaptó los principios de Belmont —respeto por las personas, beneficencia, justicia— a la investigación en tecnologías de la información y la comunicación y añadió el respeto por la ley y el interés público. Aplicarlo a la investigación sobre infraestructura revela partes interesadas ausentes en la mayoría de los estudios de seguridad: la población atendida por la infraestructura, que nunca dio su consentimiento y puede salir perjudicada por un experimento que sale mal; el personal del operador, que puede quedar expuesto a culpas; y los terceros conectados por interdependencia.

Tabla de la lección; desplázate para ver todas las columnas →

1.4.2 Reglas estrictas usadas en este libro

1. Nunca pruebe en producción. Ningún escaneo, sondeo, fuzzing ni inyección de comandos contra ningún sistema operativo en funcionamiento, incluido el «solo leer» con protocolos industriales, sin una autorización escrita del propietario del activo que indique alcance, horario, controles de seguridad y una autoridad de detención. La Guide to Operational Technology Security, SP 800-82 Rev. 3 del NIST (septiembre de 2023) explica por qué la TO difiere de la TI: predominan la disponibilidad y la seguridad física, los dispositivos pueden fallar con un tráfico que los sistemas de TI toleran y los cambios requieren revisión de ingeniería. El NIST publicó un borrador público inicial de la Revisión 4 en septiembre de 2026, con comentarios hasta el 30 de noviembre de 2026 (página del CSRC); cite la revisión que usó.
2. Simule o emule primero. Use modelos, cosimulación, gemelos digitales o bancos de pruebas aislados. Cuando se usa un banco de pruebas físico, este necesita su propio caso de seguridad (presión, tensión, dosificación química) revisado por un ingeniero calificado.
3. Separe la capacidad de la consecuencia al publicar. Una tesis puede publicar cómo se propaga una clase de falla y qué reservas la detienen; no debe publicar una lista de objetivos específicos por activo ni un camino paso a paso hacia un efecto físico.
4. Tenga una autoridad de detención. Todo estudio que involucre al personal o a los sistemas de un socio nombra a una persona del lado del socio que puede detenerlo de inmediato, y el protocolo dice qué pasa con los datos recogidos antes de la detención.

1.4.3 Revisión de doble uso

Una revisión de doble uso plantea tres preguntas antes de cualquier publicación: Ventaja: ¿este resultado facilita de forma sustancial que un adversario cause daño, en comparación con lo que ya es público? Valor defensivo: ¿ayuda más a los defensores que a los atacantes, y tienen los defensores los medios para actuar en consecuencia? Mitigación: ¿puede generalizarse la parte dañina, retrasarse (hasta que existan correcciones) o pasarse a acceso controlado sin perder valor científico? El capítulo 6 realiza una revisión completa de doble uso de los resultados del Estudio Cascada; el capítulo 8 la sitúa en un calendario de divulgación coordinada.

1.5 Información protegida y acuerdos de datos

1.5.1 Regímenes que encontrará el investigador

Los datos de infraestructura suelen estar sujetos a regímenes jurídicos de protección distintos de la legislación sobre datos personales. En los Estados Unidos, algunos ejemplos son la Protected Critical Infrastructure Information (PCII), la Chemical-terrorism Vulnerability Information (CVI), la Sensitive Security Information (SSI) en el transporte y la Critical Energy/Electric Infrastructure Information (CEII) en la Federal Energy Regulatory Commission. Su alcance y sus reglas de tratamiento los definen leyes y reglamentos, y cambian con el tiempo; lea la regla vigente y la interpretación del socio antes de aceptar datos. En la UE, la CER y NIS2 imponen confidencialidad sobre la información intercambiada con las autoridades. Los datos personales de notas de entrevistas, listas de turnos y grabaciones de llamadas están sujetos a la legislación ordinaria de privacidad (por ejemplo, el RGPD en la UE). Nota para el lector hispanohablante: en España, el RGPD se complementa con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales; en América Latina rige la ley de cada país, por ejemplo la Ley 25.326 en Argentina o la Ley 1581 de 2012 en Colombia. Este libro no da asesoramiento jurídico. Exige que el protocolo (§1.8) nombre cada régimen que pueda aplicarse, a la persona que decidió si se aplica y la consecuencia para el tratamiento.

1.5.2 La prueba de sensibilidad de la información

Incluso sin un régimen formal, aplique una prueba de sensibilidad a cada artefacto: ¿identifica un activo específico, su ubicación, su vulnerabilidad o su dependencia de una manera que ayudaría a alguien a dañarlo? Los mapas de alimentador a instalación, las capacidades de combustible de los generadores, las rutas de comunicación de respaldo y las prioridades de restablecimiento son exactamente lo que busca un adversario que planifica un efecto en cascada. Los datos centrales del Estudio Cascada —qué alimentador abastece a qué instalación crítica y cuánto dura su reserva— son, por tanto, sensibles aunque cada número sea aproximado. El capítulo 7 construye los niveles de divulgación que se derivan de esto.

1.5.3 Acuerdos antes del acceso

Negocie antes de recoger nada: un acuerdo de uso de datos (alcance, almacenamiento, conservación, destrucción, notificación de brechas); un acuerdo de publicación (el socio puede revisar en busca de información protegida y de errores de hecho dentro de un plazo fijo, pero no puede vetar los hallazgos que no le gusten); una política de autoría y agradecimientos; y una cláusula de protección del personal (los datos de investigación no se usarán con fines disciplinarios). Registre los acuerdos en el apéndice del protocolo. Un estudio sin acuerdo de publicación ha concedido, en la práctica, un veto a su socio.

1.6 Medición: métricas de resiliencia y de consecuencia

1.6.1 La curva de desempeño

La mayoría de las métricas cuantitativas de resiliencia resumen una curva de desempeño Q(t): la fracción del servicio normal prestada a lo largo del tiempo, antes, durante y después de una perturbación. Bruneau et al. (2003) plantearon la resiliencia sísmica de las comunidades en términos de menor probabilidad de falla, menores consecuencias y menor tiempo de recuperación, y su muy reproducido «triángulo de resiliencia» mide la pérdida como el área entre el servicio pleno y Q(t) durante el período de recuperación. Haimes (2009) sostuvo que la resiliencia es función de la amenaza específica y del estado del sistema, no una propiedad única. La SP 800-160 Vol. 2 Rev. 1 del NIST (diciembre de 2021) define la ciberresiliencia como la capacidad de anticipar, resistir, recuperarse y adaptarse ante condiciones adversas, tensiones o ataques contra sistemas que usan recursos cibernéticos o dependen de ellos.

Resúmenes habituales de Q(t):

Tabla de la lección; desplázate para ver todas las columnas →

Ninguna métrica es neutral. Cada una incorpora un juicio de valor sobre qué pérdidas cuentan y cómo se compensa la profundidad con la duración. Un estudio doctoral debe justificar su métrica primaria por la decisión que informa, reportar al menos una alternativa y mostrar si las conclusiones cambian.

1.6.2 Censura

Si un servicio no se ha recuperado cuando se cierra la ventana de observación, su tiempo hasta la recuperación está censurado: el valor verdadero es al menos el valor observado. Promediar duraciones censuradas como si fueran completas sesga los resultados hacia una recuperación más rápida. Reporte el número de casos censurados, use métodos de supervivencia cuando la muestra lo permita o amplíe la ventana. En las simulaciones, la ventana es una decisión de diseño; elíjala de modo que la censura sea rara con todas las políticas comparadas, o repórtela.

1.6.3 Validez de constructo de los pesos de consecuencia

Una métrica de consecuencia ponderada necesita pesos. Los pesos obtenidos de operadores, gestores de emergencias o marcos de criticidad publicados son juicios de valor, no mediciones. Declárelos de antemano, cite de dónde provienen y realice el análisis con conjuntos de pesos alternativos (capítulo 6). Si la conclusión depende de un único conjunto de pesos, la afirmación debe decirlo.

1.7 Modos de falla habituales en las afirmaciones de investigación sobre infraestructura

• Salto de lo cibernético a la consecuencia. Tratar el acceso o la capacidad de un malware como evidencia de consecuencia física.
• La topología como realidad. Usar un diagrama de red como si capturara flujos, reservas, protecciones y operadores humanos.
• Generalización desde el banco de pruebas. Reportar la exactitud de detección en un banco de pruebas pequeño como exactitud «para sistemas de agua».
• Simulación no validada. Presentar salidas de un modelo sin verificación, sin comparación con ningún evento histórico y sin análisis de sensibilidad.
• Búsqueda de la métrica conveniente. Reportar la métrica de resiliencia que favorezca al método propuesto.
• Muestrear por el desenlace dramático. Construir teoría solo a partir de incidentes famosos.
• Ignorar la reserva humana. Omitir la operación manual, la ayuda mutua y la improvisación, que los informes públicos señalan repetidamente como decisivas en el restablecimiento.
• Sensibilidad silenciosa. Publicar datos que permiten seleccionar objetivos porque cada número «parecía inofensivo».

1.8 Redactar un protocolo de investigación defendible

Un protocolo para un estudio de infraestructura contiene, como mínimo:

1. Pregunta y peldaño de la afirmación. La pregunta de investigación, la afirmación buscada, su peldaño (L1–L5) y su alcance (sistemas, sectores, jurisdicciones, peligros).
2. Definiciones y métricas. Cada constructo, su operacionalización, las métricas primaria y secundaria, la ventana y la regla de censura.
3. Fuentes de evidencia. Cuáles de las cinco fuentes (§1.2.1), por qué y qué no puede respaldar cada una.
4. Diseño. Condiciones de comparación, líneas base, familias de escenarios, muestreo, asignación.
5. Preespecificación. Qué se fija antes de los resultados; el registro de desviaciones.
6. Seguridad y ética. Análisis de Menlo, reglas estrictas (§1.4.2), revisión de seguridad física, autoridad de detención, aprobación para investigación con seres humanos cuando corresponda.
7. Protección de la información. Regímenes aplicables, prueba de sensibilidad, almacenamiento, niveles de divulgación.
8. Acuerdos. Uso de datos, publicación, autoría, protección del personal.
9. Plan de análisis. Estimadores, incertidumbre, análisis de sensibilidad, métricas y pesos alternativos.
10. Condiciones de detención y de abandono. Cuándo se detiene el estudio (seguridad, retirada del socio, brecha de datos) y cuándo se abandona o se acota la afirmación (condiciones de falla declaradas de antemano, capítulo 3).
11. Conflictos de interés y financiación.
12. Plan de reproducibilidad. Qué se divulgará y en qué nivel (capítulo 7).

1.9 Ejemplo resuelto: la primera revisión del protocolo del Estudio Cascada

El doctorando (sintético) propone estudiar el orden de restablecimiento en la Región de Riverbend. El primer borrador dice: «Obtendremos los registros de interrupciones y los registros SCADA de REC de los últimos cinco años, identificaremos las interrupciones relacionadas con incidentes cibernéticos y mostraremos que restablecer primero a los clientes críticos habría reducido el daño». Una revisión del protocolo encuentra:

Tabla de la lección; desplázate para ver todas las columnas →

La pregunta revisada pasa a ser: En las interrupciones de distribución que exigen un restablecimiento manual y secuencial de los alimentadores, ¿ordenar el restablecimiento según el tiempo hasta el impacto de los servicios críticos reduce la pérdida ponderada de servicios críticos en comparación con ordenarlo según los clientes restablecidos, y en cuánto aumenta los clientes-hora perdidos? Es respondible, medible, segura de estudiar y honesta sobre su compromiso.

1.10 Actividad práctica: las métricas de resiliencia pueden invertir las clasificaciones

El siguiente laboratorio sin conexión calcula tres resúmenes de tres curvas de desempeño sintéticas y señala si cada una está censurada. Ejecútelo con Python 3; no se necesitan paquetes.

# Lab 1 - resilience metrics on three synthetic performance curves (offline, standard library only)
# Q(t) = delivered fraction of normal service (1.0 = full), sampled hourly over a 48-hour window.
def curve(drop_at, depth, hold, recover_hours, window=48):
    q = []
    for t in range(window + 1):
        if t < drop_at:
            q.append(1.0)
        elif t < drop_at + hold:
            q.append(1.0 - depth)
        elif t < drop_at + hold + recover_hours:
            frac = (t - drop_at - hold) / recover_hours
            q.append(round(1.0 - depth * (1 - frac), 4))
        else:
            q.append(1.0)
    return q

def metrics(q):
    loss = sum((1.0 - a) + (1.0 - b) for a, b in zip(q, q[1:])) / 2  # trapezoid, hour units
    worst = 1.0 - min(q)
    down = [t for t, v in enumerate(q) if v < 1.0]
    if not down:
        return round(loss, 2), worst, 0, False
    recovered = q[-1] >= 1.0
    ttr = (max(down) + 1 - min(down)) if recovered else None
    return round(loss, 2), round(worst, 2), ttr, not recovered

scenarios = {
    "A_deep_short": curve(drop_at=2, depth=0.90, hold=3, recover_hours=4),
    "B_shallow_long": curve(drop_at=2, depth=0.25, hold=20, recover_hours=10),
    "C_unrecovered": curve(drop_at=30, depth=0.40, hold=30, recover_hours=6),
}
print("scenario        loss_h  worst  ttr_h  censored")
for name, q in scenarios.items():
    loss, worst, ttr, cens = metrics(q)
    print(f"{name:15} {loss:6.2f}  {worst:5.2f}  {str(ttr):5}  {cens}")

Salida esperada:

scenario        loss_h  worst  ttr_h  censored
A_deep_short      4.95   0.90  7      False
B_shallow_long    6.38   0.25  30     False
C_unrecovered     7.40   0.40  None   True

Lea la salida con atención. Según el peor desempeño, A es mucho peor que B; según la pérdida de área y el tiempo hasta la recuperación, B es peor que A. El escenario C tiene la mayor pérdida de área dentro de la ventana, pero su pérdida queda truncada en la hora 48: la pérdida verdadera es mayor y su tiempo hasta la recuperación es desconocido. El laboratorio demuestra tres puntos de §1.6: las clasificaciones dependen de la métrica; la censura oculta los peores casos; y una única «puntuación de resiliencia» oculta un juicio de valor. Si A es una pérdida de presión de agua que obliga a emitir un aviso de hervir el agua y B es un período de presión reducida sin efecto sobre la salud, ni el área ni la duración captan la diferencia decisiva; un umbral sobre la profundidad, sí.

1.11 Errores habituales y límites

• Tratar una etiqueta sectorial como definición de población.
• Afirmar consecuencias a partir de observaciones cibernéticas sin la cadena física y organizativa.
• Usar un recuento de activos o una centralidad de red como medida de consecuencia.
• Reportar una única métrica de resiliencia sin justificarla ni probar una alternativa.
• Promediar tiempos de recuperación censurados.
• Solicitar datos operativos que la pregunta no necesita.
• Empezar la recogida de datos antes de que exista un acuerdo de publicación.
• Tratar lo «sintético» como motivo para omitir la prueba de sensibilidad: los datos sintéticos calibrados con un lugar real todavía pueden identificarlo.

El límite de este capítulo es que las salvaguardas de integridad reducen, pero no eliminan, el riesgo de resultados engañosos. Su propósito es que otros puedan detectar los errores.

Ejercicios — capítulo 1

EX001 — Auditoría con la escalera de afirmaciones. Objetivo: separar observaciones de afirmaciones sobre consecuencias. Entradas: el enunciado sintético «Los registros muestran que el atacante accedió al sistema de gestión de la distribución de REC a las 01:52; la interrupción resultante dejó al hospital sin electricidad y puso en peligro a los pacientes; esto demuestra que las cooperativas rurales son el punto más débil de la red». Restricciones: use los cinco peldaños de §1.1.3. Pasos: (1) divida el enunciado en las aserciones que lo componen; (2) asigne a cada una un peldaño; (3) nombre el supuesto oculto detrás de cada una; (4) nombre una observación que refutaría cada una; (5) reescriba el enunciado para que afirme solo lo que la evidencia podría respaldar. Evidencia esperada: tabla y reescritura. Rúbrica: 3 = cada aserción ubicada correctamente en la escalera, la reserva del generador del hospital y la generalización señaladas, reescritura bien acotada; 2 = una aserción mal ubicada; 1 = la reescritura sigue afirmando de más; 0 = nada.

EX002 — Definición y población. Objetivo: ver cómo las definiciones legales cambian la población de un estudio. Entradas: el NSM-22 (a través de la página de CISA), la Directiva CER y NIS2, tal como se citan en §1.1.1. Restricciones: no parafrasee de memoria; cite el texto definitorio en que se apoya, con artículo o sección. Pasos: (1) para un hospital regional, una pequeña empresa de agua potable y un procesador de pagos, indique si cada uno está dentro del alcance de cada instrumento y en qué categoría; (2) nombre una consecuencia de las diferencias para un estudio comparativo entre jurisdicciones. Evidencia esperada: tabla de 3 × 3 con citas y un párrafo. Rúbrica: 3 = exacta, con citas precisas y una consecuencia de diseño sólida; 2 = un error de categoría; 1 = sin citas; 0 = nada.

EX003 — Tipificación de interdependencias. Objetivo: aplicar los tipos de Rinaldi et al. Entradas: las dependencias de Riverbend: TEL de F2; HOSP de F2 y de WATER; WATER de F3; el SCADA del agua de TEL; la facturación de la cooperativa eléctrica del procesador de pagos; las entregas de combustible para generadores del acceso por carretera. Restricciones: un tipo principal por relación, justificado. Pasos: clasifique cada una como física, cibernética, geográfica o lógica; identifique cualquier ciclo; indique qué dependencia omitiría un modelo puro de flujo de potencia. Evidencia esperada: tabla y un párrafo. Rúbrica: 3 = tipos justificados, se señala la ausencia de ciclo entre los servicios enumerados, combustible/carretera y facturación identificados como fuera de un modelo de flujo de potencia; 2 = una clasificación errónea; 1 = sin justificación; 0 = nada.

EX004 — Análisis de Menlo. Objetivo: identificar partes interesadas y salvaguardas. Entradas: la pregunta revisada del Estudio Cascada en §1.9, que incluye entrevistas con despachadores de REC y un ejercicio de mesa. Restricciones: use los cuatro principios; al menos seis partes interesadas. Pasos: enumere las partes interesadas; para cada principio, nombre el riesgo principal y una salvaguarda; nombre la autoridad de detención y los datos que se destruyen si el socio se retira. Evidencia esperada: tabla de partes interesadas y tabla de salvaguardas. Rúbrica: 3 = población atendida, riesgo disciplinario para el personal, sensibilidad de la información y presión del socio tratados con salvaguardas concretas; 2 = un principio poco desarrollado; 1 = genérico; 0 = nada.

EX005 — Prueba de sensibilidad. Objetivo: decidir qué puede publicarse. Entradas: cinco artefactos: (a) duraciones de restablecimiento agregadas por clase de alimentador; (b) una lista de hospitales con los días de combustible de sus generadores; (c) el código del modelo; (d) el marco de codificación de las entrevistas; (e) un mapa de qué alimentador abastece a la planta regional de tratamiento de agua. Restricciones: aplique §1.5.2; proponga un nivel: público, controlado, retenido. Pasos: (1) decida si cada artefacto identifica un activo, una ubicación, una vulnerabilidad o una dependencia específicos; (2) asigne un nivel; (3) justifique el nivel; (4) proponga una transformación que permita una divulgación más amplia. Evidencia esperada: tabla. Rúbrica: 3 = (b) y (e) retenidos o transformados, (a) y (c) públicos, (d) público si no tiene citas textuales, con transformaciones; 2 = uno mal juzgado; 1 = todo público o todo retenido; 0 = nada.

EX006 — Inversión de métricas. Objetivo: usar el laboratorio 1. Entradas: el código del laboratorio. Restricciones: sin conexión. Pasos: (1) ejecute el laboratorio y registre la salida; (2) añada una cuarta métrica, «horas por debajo de 0,5», y repórtela para todos los escenarios; (3) cambie la ventana a 72 horas y reporte qué le ocurre a C; (4) escriba 150 palabras sobre qué métrica elegiría como primaria para un servicio de agua potable y por qué. Evidencia esperada: cambio en el código, salidas, párrafo. Rúbrica: 3 = valores correctos, C deja de estar censurado y con mayor pérdida, elección de la métrica justificada por un umbral sanitario; 2 = un valor erróneo; 1 = sin justificación; 0 = no ejecutado.

EX007 — Esqueleto de protocolo. Objetivo: redactar un protocolo auditable. Entradas: la pregunta revisada de §1.9. Restricciones: los doce elementos de §1.8; como máximo tres páginas. Pasos: (1) redacte en orden cada uno de los doce elementos del protocolo de §1.8; (2) marque cada elemento como fijo o abierto; (3) escriba dos condiciones de detención y dos condiciones de abandono; (4) enumere lo que un revisor hostil atacaría primero. Evidencia esperada: borrador del protocolo. Rúbrica: 3 = todos los elementos concretos, condiciones de detención y de abandono distintas, protección de la información específica; 2 = uno o dos elementos vagos; 1 = falta la seguridad o los acuerdos; 0 = nada.

Síntesis del capítulo

La investigación sobre infraestructura estudia las consecuencias para las personas a través de cadenas de mecanismos físicos, cibernéticos y organizativos que el investigador rara vez observa directamente. Su evidencia proviene de incidentes raros y reportados de forma selectiva, de datos operativos protegidos, de bancos de pruebas pequeños, de modelos y de personas; cada fuente tiene sesgos característicos y debe triangularse. Las salvaguardas de integridad —preespecificación, registros de desviaciones, declaración— son necesarias porque los socios están regulados, los financiadores tienen intereses y las simulaciones son flexibles. Los riesgos de seguridad y de doble uso son reales: nunca pruebe en producción, simule primero, separe la capacidad de la consecuencia al publicar y nombre una autoridad de detención. La información sobre dependencias y reservas es sensible aunque sea aproximada. Las métricas de resiliencia incorporan juicios de valor; elíjalas según la decisión que se va a tomar y muestre si las conclusiones resisten las alternativas. El protocolo es el contrato que hace auditable todo esto.