Capítulo 27 — Infraestructura crítica y seguridad sectorial: diseño de controles
Mapa de la lección
Lección 27 publicada. Mapa, ejemplo, EX053.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["27.1 Del escenario al control"]
N2["27.3 Capas independientes"]
N3["27.4 Especificar los controles"]
N4["27.6 Actividad práctica"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX053"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["27.1 Del escenario al control"]
N2["27.3 Capas independientes"]
N3["27.4 Especificar los controles"]
N4["27.6 Actividad práctica"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX053"]
[Resultados de aprendizaje y conexión]
|
v
[27.1 Del escenario al control]
|
v
[27.3 Capas independientes]
|
v
[27.4 Especificar los controles]
|
v
[27.6 Actividad práctica]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX053]
Resultados de aprendizaje y conexión
Al terminar este capítulo, usted podrá (1) diseñar controles que aborden escenarios concretos con un desempeño definido; (2) combinar controles preventivos, detectivos y de recuperación en una defensa en profundidad cuyas capas fallen de forma independiente; (3) preferir límites diseñados, basados en la física, para las peores consecuencias; y (4) especificar cada control de modo que pueda verificarse. Aplica los capítulos 15, 23 y 26 y prepara los capítulos 28 y 30.
27.1 Del escenario al control
Cada escenario del capítulo 23 recibe controles en tres puntos: prevenir el evento de amenaza, detectarlo si la prevención falla, y limitar y recuperarse de las consecuencias. Ejemplo, órdenes de parada falsificadas a PS3 y PS4: prevenir con órdenes autenticadas (R1); detectar con alarmas ante anomalías en las órdenes y cambios de estado inesperados; limitar con una lógica local de rearranque automático y con el tanque del hospital; recuperarse con procedimientos manuales locales (R4). Cada uno de estos controles debe especificarse y verificarse después, como muestra el resto del capítulo, antes de que el escenario de la parada falsificada pueda darse por cubierto en el expediente.
27.2 Primero, los límites diseñados
Para las peores consecuencias, los controles más robustos no dependen en absoluto del software: válvulas de alivio de presión, topes mecánicos, enclavamientos cableados, bombas dosificadoras de productos químicos dimensionadas físicamente para que no puedan sobredosificar con la carrera máxima. La ingeniería informada por lo cibernético (véase la CCE del INL) da importancia a estos controles porque se mantienen aunque se comprometan todos los sistemas digitales. No pueden cubrirlo todo (una válvula de alivio mecánica no puede impedir que se apague una bomba), pero acotan los peores casos.
Para la bomba dosificadora de LRWA, el límite de carrera dimensionado por los ingenieros de proceso es uno de estos controles.
27.3 Capas independientes
La defensa en profundidad solo funciona si las capas fallan de forma independiente. Enumere las dependencias de cada capa: si la autenticación, el monitoreo y el registro dependen todos de los servidores SCADA, un solo compromiso anula los tres. Ponga al menos una capa de detección fuera de los sistemas que vigila (monitoreo pasivo de la red, un analizador independiente) y mantenga los materiales de recuperación (copias fuera de línea, procedimientos, claves de repuesto) fuera del alcance de la amenaza de la que hay que recuperarse.
El TMRP aplica esto poniendo la alarma del analizador de cloro en un registrador separado y guardando las copias fuera de línea lejos de los servidores SCADA que restaurarían.
27.4 Especificar los controles
Una especificación de control indica: el escenario o escenarios que aborda; su función; su desempeño (detección en menos de X, tasa de rechazo, tiempo de restauración); sus dependencias; su modo de falla (a prueba de fallos o con operación mantenida, y qué significa eso aquí); su responsable; y su método de verificación. Sin desempeño ni verificación, un control es una intención. La especificación de los límites de consigna del ejemplo resuelto que sigue muestra todos los elementos: el escenario, los límites y el límite de escalón, la regla de alarma, las dependencias, la conservación de la última consigna válida como modo de falla y la prueba T3 como verificación. Su responsable es el equipo de ingeniería de control que configura el controlador de dosificación.
27.5 Ejemplo resuelto: límites de consigna (sintético)
Escenario: una consigna falsificada o errónea lleva la bomba dosificadora de cloro a sobredosificar. Controles: (1) diseñado: carrera de la bomba dosificadora limitada físicamente para que la dosis máxima con el caudal máximo quede por debajo de una concentración dañina (dimensionada por los ingenieros de proceso); (2) preventivo: límites y límites de escalón en el controlador (R3), implementados en el controlador y no en la HMI, para que un SCADA comprometido no pueda eludirlos; (3) detectivo: alarma de un analizador de cloro independiente (R9) en un registrador separado; (4) de recuperación: procedimiento para aislar la línea de dosificación y purgarla. Especificación de (2): rechazar las consignas fuera de 0,5–5,5 mg/L o que cambien más de 0,5 mg/L por orden, rechazar los valores no finitos, registrar cada rechazo, alarmar ante tres rechazos en 10 minutos; a prueba de fallos = conservar la última consigna válida; verificado con la prueba T3, incluidas pruebas basadas en propiedades (Lab 11).
27.6 Actividad práctica
Redacte especificaciones completas de dos controles del escenario de parada falsificada de §27.1, con desempeño, dependencias, modo de falla y verificación. Elija un control preventivo, como las órdenes autenticadas, y un control de recuperación, como la operación manual local en PS3 y PS4. Para cada uno, indique el desempeño que debe lograr, de qué depende y qué ocurre cuando falla. La autenticación debe fallar cerrada para las órdenes; la operación manual local debe funcionar sin el SCADA ni la red. Nombre un responsable por su rol y un método de verificación, y después compruebe si los dos controles comparten alguna dependencia que permitiría a un solo evento anular ambos.
27.7 Errores comunes y límites
- Controles sin criterios de desempeño.
- Límites impuestos en la HMI y no en el controlador.
- «Capas» que comparten dependencias.
- Ningún límite diseñado para la peor consecuencia cuando es factible.
- Materiales de recuperación al alcance del mismo atacante.
El ejemplo de la dosificación evita cada uno: los límites están en el controlador, la alarma del analizador usa un registrador separado, el límite de carrera está diseñado y cada elemento tiene una meta de desempeño. Los límites también conservan la última consigna válida cuando se rechaza una orden, de modo que el modo de falla queda enunciado, y cada rechazo se registra para la regla de alarma.
Ejercicios — capítulo 27
EX053 — Auditoría de dependencias de las capas. Objetivo: comprobar la independencia. Entradas: los cuatro controles de §27.5 y su implementación: límites del controlador en el PLC de dosificación; analizador en un registrador separado; registro a través del SCADA. Pasos: enumere las dependencias de cada capa; identifique cualquier dependencia compartida; proponga un cambio. Evidencia esperada: tabla y cambio. Rúbrica: 3 = se encuentra la dependencia compartida (registro y alarma de los rechazos a través del SCADA), se propone un cambio (registro local más un camino de alarma independiente); 2 = sin cambio; 1 = solo la lista; 0 = nada.
EX054 — Qué significa «a prueba de fallos». Objetivo: definir los modos de falla en su contexto. Entradas: la pasarela de telemetría autenticada de PS4. Pasos: ante una falla de la pasarela, defina qué significa «a prueba de fallos» para (a) las órdenes, (b) la telemetría, (c) el control local, y justifíquelo. Evidencia esperada: tres definiciones. Rúbrica: 3 = las órdenes fallan cerradas (se rechazan), la telemetría falla de forma visible (alarma en el SCADA), el control local continúa automáticamente; 2 = una mal definida; 1 = «a prueba de fallos = parar»; 0 = nada.
Síntesis del capítulo
Diseñe controles por escenario en los puntos de prevención, detección y recuperación. Ponga límites físicos diseñados a las peores consecuencias, imponga los límites donde el atacante no pueda eludirlos, haga independientes las capas y especifique para cada control su desempeño, sus dependencias, su modo de falla, su responsable y su verificación.
Siga estudiando — capítulo 27 de 50
← Capítulo 26 · Índice de capítulos del curso · Capítulo 28 →
Continúe con la siguiente lección escrita.