Capítulo 26 — Infraestructura crítica y seguridad sectorial: alternativas de arquitectura
Mapa de la lección
Lección 26 publicada. Mapa, ejemplo, EX051.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["26.1 Control centralizado y distribuido"]
N2["26.2 Patrones de redundancia"]
N3["26.3 Diversidad"]
N4["26.4 Flujos unidireccionales y autonomía local"]
N5["26.6 Actividad práctica"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX051"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["26.1 Control centralizado y distribuido"]
N2["26.2 Patrones de redundancia"]
N3["26.3 Diversidad"]
N4["26.4 Flujos unidireccionales y autonomía local"]
N5["26.6 Actividad práctica"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX051"]
[Resultados de aprendizaje y conexión]
|
v
[26.1 Control centralizado y distribuido]
|
v
[26.2 Patrones de redundancia]
|
v
[26.3 Diversidad]
|
v
[26.4 Flujos unidireccionales y autonomía local]
|
v
[26.6 Actividad práctica]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX051]
Resultados de aprendizaje y conexión
Al terminar este capítulo, usted podrá (1) comparar patrones de arquitectura para sistemas críticos: control centralizado frente a distribuido, esquemas de redundancia, diversidad, flujos unidireccionales, autonomía local; (2) analizar el comportamiento de cada patrón ante fallas y ataques; (3) cuantificar las compensaciones con los modelos de disponibilidad, latencia y costo de capítulos anteriores; y (4) documentar las decisiones de arquitectura con sus consecuencias. Desarrolla el concepto seleccionado en el Taller I y prepara el capítulo 27.
26.1 Control centralizado y distribuido
El control centralizado (un SCADA que dirige dispositivos de campo sencillos) da a los operadores una vista única y facilita la coordinación, pero concentra tanto la falla como el ataque. El control distribuido (controladores de campo capaces, que funcionan localmente y aceptan objetivos de supervisión) se degrada con suavidad cuando se pierden el centro o la red, a costa de más dispositivos que proteger y configurar. La mayoría de los diseños resilientes son jerárquicos: el control local mantiene de forma autónoma una operación segura; el centro optimiza y coordina.
La elección del TMRP, el C2 jerárquico, mantiene el control automático local en cada estación.
26.2 Patrones de redundancia
- Reserva en caliente: una segunda unidad en marcha y lista para tomar el relevo automáticamente (pares de servidores SCADA).
- Reserva en frío: un repuesto que hay que arrancar o instalar (RTU de repuesto en un estante).
- N+1: una unidad más de las necesarias (tres bombas donde dos cubren la demanda).
- Votación k de n: se usa en los sistemas de seguridad funcional (sensores 2 de 3) para tolerar una entrada defectuosa o falsificada.
Cada patrón debe juzgarse frente a las causas comunes (capítulo 7): dos servidores idénticos con software idéntico son redundantes frente a una falla de hardware y no frente al malware.
26.3 Diversidad
La diversidad (tecnologías, proveedores, caminos o equipos distintos) reduce las causas comunes. Cuesta más, aumenta las competencias necesarias y puede añadir superficie de ataque. Úsela donde una causa común sería inaceptable: un segundo camino de comunicación a través de otro operador y con otra alimentación; un disparo de seguridad cableado independiente del software; un indicador manual que un operador puede leer cuando toda la electrónica es sospechosa. En LRWA, el argumento a favor de la diversidad es más claro en el camino de telemetría, donde un segundo operador con alimentación separada eliminaría la dependencia compartida del alimentador F1, y en Hollin Hill, donde un indicador de nivel manual da a los operadores una lectura fiable cuando toda la electrónica es sospechosa.
26.4 Flujos unidireccionales y autonomía local
Las pasarelas unidireccionales imponen físicamente un flujo de datos solo de salida; eliminan toda una clase de ataques entrantes contra el lado protegido, pero también eliminan el control remoto a través de ese camino. La autonomía local (la capacidad de un sitio para funcionar con seguridad sin el centro) es un patrón de resiliencia que además limita la consecuencia de un ataque: un centro comprometido puede perturbar la optimización, pero no debería poder llevar un sitio fuera de sus límites seguros si esos límites se imponen localmente (R3).
La opción C3 del TMRP lleva esto a su extremo para el monitoreo.
26.5 Ejemplo resuelto: tres arquitecturas del TMRP comparadas (sintético)
| Propiedad | C1: central + IPsec | C2: jerárquica + autenticación en la capa de aplicación (elección del Taller I) | C3: jerárquica + diodo para el monitoreo, control solo local |
|---|---|---|---|
| Orden remota falsificada | Exige la clave del túnel o comprometer el SCADA | Exige la clave por estación o comprometer el SCADA | Imposible a distancia |
| Centro comprometido | Puede dar órdenes a cualquier sitio dentro de los límites de la RTU | Puede dar órdenes a cualquier sitio dentro de los límites impuestos localmente | No puede dar órdenes |
| Pérdida de la red | Los sitios mantienen el último estado | Los sitios funcionan en automático local 72 h | Los sitios funcionan en automático local |
| Operabilidad | Alta | Alta | Baja de noche (hay que enviar personal) |
| Indisponibilidad de comunicaciones, dos operadores, β = 0,05 | 0,00136 | 0,00136 | n/a para el control |
| Costo | Medio | Medio | Capital bajo, personal alto |
La tabla hace explícito el riesgo residual de C2: un centro SCADA comprometido aún puede emitir órdenes autenticadas dentro de los límites locales. Ese residuo se acepta sobre la base del monitoreo, la aprobación por dos personas de los cambios masivos de consigna y los límites locales que mantienen seguro el proceso.
26.6 Actividad práctica
Escriba un ADR que elija entre C2 y C3 específicamente para PS4 (la alimentación del hospital), teniendo en cuenta que las consignas de PS4 cambian rara vez. Parta de la tabla comparativa y de lo que hace especial a PS4: abastece directamente a St Brenna's y sus consignas cambian rara vez. Sopese la seguridad de eliminar las escrituras remotas de consigna frente al costo de enviar a un técnico para cada cambio, sobre todo de noche con un solo operador de guardia. Indique qué le haría revisar la decisión, como un aumento de la frecuencia de los cambios de consigna. La defensa del capítulo 50 se refiere más adelante a un ADR con exactamente esta opción de solo local para PS4.
26.7 Errores comunes y límites
- Redundancia sin diversidad, presentada como resiliencia frente al ataque.
- Diversidad en todas partes, que desborda la capacidad de mantenimiento.
- Centralización por comodidad, sin límites seguros locales.
- Ignorar el costo operativo de las arquitecturas que eliminan el control remoto.
- Comparaciones de arquitectura sin números cuando hay números disponibles.
La tabla del TMRP evita el último error poniendo números donde existen, como la indisponibilidad de las comunicaciones con un factor de causa común, y declarando con claridad el costo de personal de C3. También acepta abiertamente el residuo de C2 en lugar de afirmar que su redundancia protege frente al ataque.
Ejercicios — capítulo 26
EX051 — Votación frente a la falsificación. Objetivo: analizar la votación 2 de 3. Entradas: tres transmisores de nivel en Hollin Hill; selección de la mediana. Pasos: explique qué puede y qué no puede hacer un transmisor falsificado; qué puede hacer un atacante que controle la RTU común que lee los tres; y cómo restablecer la independencia. Evidencia esperada: media página. Rúbrica: 3 = la mediana tolera una entrada falsificada, la RTU común anula la votación, independencia mediante E/S o controladores separados; 2 = se omite la RTU común; 1 = genérico; 0 = nada.
EX052 — Decisión de arquitectura para PS4. Objetivo: redactar un registro de decisión. Entradas: §26.6. Pasos: redacte el ADR con contexto, opciones, decisión, consecuencias y condiciones de revisión. Evidencia esperada: ADR. Rúbrica: 3 = decisión justificada por la criticidad de PS4 y por la rareza de los cambios de consigna (C3, o C2 con escrituras de consigna solo locales, defendida), consecuencias que incluyen el costo operativo, desencadenantes de revisión; 2 = consecuencias débiles; 1 = sin opciones; 0 = nada.
Síntesis del capítulo
Elija la arquitectura según cómo falla y cómo puede atacarse. El control jerárquico con límites seguros locales combina la operabilidad con la degradación suave. La redundancia protege frente a las fallas independientes, la diversidad frente a las causas comunes; los flujos unidireccionales eliminan los caminos de ataque entrantes junto con el control remoto. Cuantifique donde pueda y documente el riesgo residual que acepta.
Siga estudiando — capítulo 26 de 50
← Capítulo 25 · Índice de capítulos del curso · Capítulo 27 →
Continúe con la siguiente lección escrita.