Capítulo 21 — Infraestructura crítica y seguridad sectorial: requisitos

Capítulo 21 — Infraestructura crítica y seguridad sectorial: requisitos

Mapa de la lección

Lección 21 publicada. Mapa, ejemplo, EX041.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["21.1 Fuentes de los requisitos"]
  N2["21.2 Requisitos para la operación degradada"]
  N3["21.3 Niveles de seguridad y requisitos de componente"]
  N4["21.4 Conflictos y negociación"]
  N5["21.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX041"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["21.1 Fuentes de los requisitos"]
  N2["21.2 Requisitos para la operación degradada"]
  N3["21.3 Niveles de seguridad y requisitos de componente"]
  N4["21.4 Conflictos y negociación"]
  N5["21.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX041"]

[Resultados de aprendizaje y conexión]
    |
    v
[21.1 Fuentes de los requisitos]
    |
    v
[21.2 Requisitos para la operación degradada]
    |
    v
[21.3 Niveles de seguridad y requisitos de componente]
    |
    v
[21.4 Conflictos y negociación]
    |
    v
[21.6 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX041]

Resultados de aprendizaje y conexión

Al terminar este capítulo, usted podrá (1) obtener requisitos de seguridad y resiliencia a partir de las consecuencias, las partes interesadas, las regulaciones y la información sobre amenazas; (2) escribir requisitos basados en el desempeño para la operación degradada, la recuperación y la seguridad funcional, no solo para la protección; (3) derivar requisitos de componentes a partir de los requisitos del sistema usando niveles de seguridad; y (4) negociar de forma explícita los conflictos entre requisitos. Aplica al sector los capítulos 5 y 16 y prepara el capítulo 22.

21.1 Fuentes de los requisitos

Los requisitos de seguridad de la infraestructura proceden de cinco fuentes, y un buen conjunto se traza hasta todas ellas: consecuencias (lo que nunca debe ocurrir y lo que debe restablecerse y con qué rapidez); partes interesadas (operadores, clientes como los hospitales, servicios de emergencia, reguladores); regulaciones y normas (p. ej., las evaluaciones de riesgos de la AWIA, NERC CIP, las medidas de gestión de riesgos de NIS2); información sobre amenazas (capacidades de los adversarios documentadas en fuentes como MITRE ATT&CK for ICS y los avisos de CISA); y restricciones (equipos heredados, presupuesto, personal, certificación de seguridad funcional).

21.2 Requisitos para la operación degradada

Un sistema que solo puede estar «seguro» o «comprometido» está mal especificado. Escriba requisitos para los estados intermedios: Durante la pérdida de la red de telemetría, cada estación de bombeo deberá continuar en control automático local dentro de sus límites configurados durante al menos 72 h. Durante una sospecha de compromiso de los servidores SCADA, los operadores deberán poder hacer funcionar PS3 y PS4 en modo manual local con procedimientos y personal documentados en menos de 1 h desde la decisión. Tras un incidente, la operación remota deberá restablecerse en menos de 8 h desde la decisión de restaurar, a partir de copias de seguridad fuera de línea verificadas. Estos son los requisitos que mantienen abastecidas a las personas.

21.3 Niveles de seguridad y requisitos de componentes

IEC 62443-3-3 e IEC 62443-4-2 expresan los requisitos de sistema y de componente frente a niveles de seguridad (SL 1–4) que reflejan la capacidad del adversario al que hay que resistir, desde la infracción casual o fortuita hasta el ataque sofisticado y con muchos recursos (presentación general de la serie ISA/IEC 62443). La evaluación de riesgos para el diseño (IEC 62443-3-2, página del catálogo) divide el sistema en zonas y conductos y asigna un nivel objetivo a cada uno. Un nivel objetivo se convierte después en requisitos de componente concretos; por ejemplo, la autenticación de todos los usuarios humanos o la protección de la integridad de las comunicaciones. El texto de la norma no es de libre acceso; cite cláusulas solo de un ejemplar obtenido legalmente.

21.4 Conflictos y negociación

Los requisitos entran en conflicto: acceso rápido del operador frente a autenticación fuerte; parches frecuentes frente a disponibilidad; registro detallado frente a almacenamiento en sitios remotos; soporte del proveedor frente a aislamiento de la red. No resuelva los conflictos en silencio durante el diseño. Registre cada uno, sus opciones y la decisión con su responsable, que suele ser la persona dueña del riesgo operativo. El primer conflicto registrado del TMRP es entre el modo manual local de R4 y la autenticación de R1, resuelto con un interruptor de llave, una alarma y un registro local. El responsable es operaciones, que asume el riesgo de un acceso manual más lento.

21.5 Ejemplo resuelto: el conjunto de requisitos v1.0 del TMRP (sintético)

Conflicto registrado: el modo manual local de R4 crea un camino que elude la autenticación de R1. Resolución: el modo manual exige un interruptor de llave físico en el panel, genera una alarma en el SCADA y se registra localmente.

21.6 Actividad práctica

Elija un estado degradado aún no cubierto (p. ej., la pérdida del proveedor de cloro durante 7 días) y escriba un requisito, su fuente y su método de verificación. Escriba el requisito con la misma forma que la tabla del TMRP: un identificador, un único enunciado verificable, su fuente y un método de verificación. Una pérdida de siete días del suministro de cloro, por ejemplo, podría llevar a un inventario mínimo de producto químico en el sitio, verificado por inspección, y a un procedimiento con un proveedor alternativo, probado mediante un ejercicio. Compruebe que su requisito no entra en conflicto con uno existente y, si lo hace, registre el conflicto y quién debe decidirlo.

21.7 Errores comunes y límites

• Requisitos solo de protección, ninguno de degradación y recuperación.
• Niveles de seguridad asignados sin una evaluación de riesgos documentada.
• Citar cláusulas de normas sin acceso al texto.
• Conflictos resueltos en silencio por quien redacta el diseño.
• Requisitos que no pueden verificarse con los medios del programa.

El conjunto del TMRP evita el primer error incluyendo R4, R5 y R6 para la operación degradada y la recuperación, y evita el cuarto registrando abiertamente el conflicto del modo manual local. Cada requisito del conjunto puede verificarse con el banco, el ensayo o la demostración del propio programa.

Ejercicios — capítulo 21

EX041 — Requisitos para estados degradados. Objetivo: especificar el comportamiento bajo estrés. Entradas: LRWA, escenario «servidores SCADA cifrados por ransomware». Pasos: escriba tres requisitos que cubran la continuidad del servicio, la detección y contención, y la restauración, cada uno con su fuente y su verificación. Evidencia esperada: tabla. Rúbrica: 3 = medibles, cubren las tres fases, verificación realista; 2 = falta una fase; 1 = solo protección; 0 = nada.

EX042 — Registro de un conflicto. Objetivo: documentar un conflicto. Entradas: los operadores quieren que la HMI permanezca con la sesión iniciada todo el turno; un requisito nuevo exige volver a autenticarse tras 15 min de inactividad. Pasos: redacte un registro de conflicto con opciones, resolución recomendada y responsable. Evidencia esperada: registro. Rúbrica: 3 = las opciones incluyen controles compensatorios (control de acceso físico a la sala de control, bloqueo en modo solo visualización con reautenticación rápida para las acciones de control), responsable designado por su rol; 2 = sin responsable; 1 = elige un bando sin opciones; 0 = nada.

Síntesis del capítulo

Derive los requisitos de las consecuencias, las partes interesadas, las regulaciones, las amenazas y las restricciones. Especifique la operación degradada y la recuperación con tanto cuidado como la protección. Traduzca los niveles de seguridad objetivo en requisitos de componente concretos mediante una evaluación de riesgos documentada, y registre cada conflicto con sus opciones, su decisión y su responsable.

Siga estudiando — capítulo 21 de 50

← Capítulo 20 · Índice de capítulos del curso · Capítulo 22 →

Continúe con la siguiente lección escrita.