Capítulo 31 — Infraestructura crítica y seguridad sectorial: implementación II
Mapa de la lección
Lección 31 publicada. Mapa, ejemplo, EX061.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["31.1 Despliegue por etapas"]
N2["31.2 Gestión de claves y secretos en producción"]
N3["31.3 Integración de equipos heredados"]
N4["31.4 Puesta en servicio y traspaso"]
N5["31.6 Actividad práctica"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX061"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["31.1 Despliegue por etapas"]
N2["31.2 Gestión de claves y secretos en producción"]
N3["31.3 Integración de equipos heredados"]
N4["31.4 Puesta en servicio y traspaso"]
N5["31.6 Actividad práctica"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX061"]
[Resultados de aprendizaje y conexión]
|
v
[31.1 Despliegue por etapas]
|
v
[31.2 Gestión de claves y secretos en producción]
|
v
[31.3 Integración de equipos heredados]
|
v
[31.4 Puesta en servicio y traspaso]
|
v
[31.6 Actividad práctica]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX061]
Resultados de aprendizaje y conexión
Al terminar este capítulo, usted podrá (1) desplegar controles en entornos operativos mediante una implantación por etapas con reversión; (2) gestionar claves, configuración y secretos en producción; (3) integrar equipos heredados mediante pasarelas y controles compensatorios; y (4) poner en servicio un control con pruebas de aceptación y traspaso a los operadores. Lleva al terreno la implementación de banco del capítulo 28 y prepara los capítulos 32–34.
31.1 Despliegue por etapas
El despliegue en campo sigue etapas, cada una con criterios de entrada y de salida: banco (todas las pruebas aprueban); emplazamiento piloto de baja consecuencia; un emplazamiento de alta consecuencia con supervisión adicional y un plan de reversión; flota. Cada etapa tiene una reversión —la capacidad de volver con rapidez al estado anterior conocido como correcto—, probada antes de necesitarla. Programe los cambios fuera de los picos de demanda y con los operadores informados; en el sector del agua, evite cambios durante periodos de alta demanda o cuando el almacenamiento esté bajo.
Las etapas del TMRP son el banco, PS2 como piloto de baja consecuencia, PS4 como primer emplazamiento de alta consecuencia y, después, la flota.
31.2 Gestión de claves y secretos en producción
En el banco, las claves son archivos; en producción, son ciclos de vida. Genere las claves en módulos de seguridad de hardware o en elementos seguros de los dispositivos; registre los dispositivos mediante una ceremonia auditable (dos personas, con registro); guarde el inventario de qué clave pertenece a qué dispositivo y su fecha de rotación; rótelas; y revóquelas sin demora cuando un dispositivo se pierda o se dé de baja. Los secretos de las cuentas de servicio van a una bóveda con registro de accesos, no a scripts. Un inventario de claves es, en sí mismo, información sensible.
En el TMRP, las claves se generan en el elemento seguro de la pasarela durante el registro.
31.3 Integración de equipos heredados
Los dispositivos heredados que no pueden autenticarse se envuelven: una pasarela colocada físicamente al lado (en el mismo armario) añade autenticación en el lado de la red y habla el protocolo heredado por un enlace corto y protegido físicamente. La pasarela pasa a formar parte de la frontera de seguridad del dispositivo, de modo que necesita su propio bastionado, su propia supervisión y su propio camino de actualización. Los controles compensatorios cubren lo que la pasarela no puede cubrir: alarmas de manipulación del armario, registro local y restricciones sobre qué códigos de función pasan.
En PS2, la pasarela se encuentra en el armario de la RTU, con un enlace serie de 30 cm, y deja pasar solo dos códigos de función.
31.4 Puesta en servicio y traspaso
La puesta en servicio verifica el sistema instalado en su entorno real: las pruebas de aceptación en el emplazamiento repiten en el lugar las pruebas clave del banco (la autenticación rechaza tramas falsificadas; se rechaza la repetición; la conmutación a automático local funciona; las alarmas llegan a la sala de control en 60 s). El traspaso entrega a los operadores procedimientos, formación, contactos y las limitaciones conocidas. Mientras los operadores no puedan manejar y recuperar el sistema, el control no está en servicio.
En PS2, la aceptación en el emplazamiento también detectó la deriva del reloj de la pasarela, que se corrigió y se volvió a probar antes del traspaso. Primero se formó a los operadores.
31.5 Ejemplo resuelto: piloto en PS2 (sintético)
El emplazamiento piloto del TMRP es PS2: RTU-A heredada, de baja consecuencia. Criterios de entrada: T1, T2, T3 (v2) y T5 aprobadas en el banco; imagen de reversión preparada; operadores informados. La pasarela se instala en el armario de la RTU; el enlace serie mide 30 cm dentro del armario cerrado con llave; la pasarela deja pasar solo los códigos de función 3 (lectura) y 6 (escritura de un único registro) para el rango de registros configurado. Aceptación en el emplazamiento: las tramas falsificadas y repetidas se rechazan y generan alarma; al retirar la antena LTE se pasa a operación automática local y salta una alarma de pérdida de comunicación en 60 s; al reponer la antena se reanuda la telemetría con los contadores en continuidad. Un hallazgo: el reloj de la pasarela derivó 40 s en 48 h porque NTP no era alcanzable a través del nuevo conducto; se corrigió añadiendo una fuente de tiempo interna a la lista de permitidos del conducto. Criterios de salida cumplidos tras la nueva prueba; PS4 es el siguiente.
31.6 Actividad práctica
Redacte el plan de etapas para la implantación del TMRP en la flota, con criterios de entrada y salida y reversión para cada etapa, y una nota de traspaso de dos páginas para los operadores sobre la pasarela. Use el piloto de PS2 como modelo de criterios de entrada y salida y, después, extienda el plan a PS4 y a las estaciones restantes. Para cada etapa, indique cómo se realiza la reversión y quién decide aplicarla. En la nota de traspaso, indique a los operadores las alarmas que genera la pasarela, qué significa cada una, cómo pasar a operación manual local y a quién llamar. Enumere con claridad las limitaciones conocidas, como la dependencia de una fuente de tiempo interna aprendida en PS2.
31.7 Errores comunes y límites
- Despliegue «de golpe» sin piloto ni reversión.
- Planes de reversión nunca probados.
- Registro de claves hecho por una sola persona y sin constancia.
- Pasarelas tratadas como transparentes en lugar de como dispositivos críticos para la seguridad.
- Puesta en servicio sin operadores; traspaso sin limitaciones conocidas.
El piloto de PS2 del TMRP evitó estos errores: tenía una imagen de reversión, se informó a los operadores antes de la instalación y el hallazgo de la deriva del reloj se trató como una corrección de interfaz y se volvió a probar antes de empezar con PS4. El registro de claves sigue la ceremonia de dos personas con registro descrita arriba, y la pasarela se trató como un dispositivo crítico para la seguridad, con su propio bastionado y su propio camino de actualización.
Ejercicios — capítulo 31
EX061 — Criterios de reversión. Objetivo: definir cuándo revertir. Entradas: el despliegue en PS4. Pasos: defina tres desencadenantes medibles de reversión, quién decide y el tiempo máximo para completar la reversión. Evidencia esperada: lista. Rúbrica: 3 = desencadenantes medibles (p. ej., pérdida de telemetría > 5 min no explicada por pérdida del enlace, cualquier mensaje aceptado que no supere la auditoría, latencia de alarma > 60 s en alarmas prioritarias), responsable de la decisión designado por su función, tiempo de reversión coherente con la reserva del hospital; 2 = desencadenantes vagos; 1 = sin responsable; 0 = nada.
EX062 — La pasarela como frontera. Objetivo: proteger un envoltorio para equipos heredados. Entradas: la pasarela de PS2. Pasos: enumere seis controles que necesita la propia pasarela y el riesgo residual si un atacante obtiene acceso físico al armario. Evidencia esperada: lista y enunciado del riesgo residual. Rúbrica: 3 = bastionado, actualizaciones firmadas, protección de claves, filtrado de códigos de función, detección de manipulación, registro; riesgo residual honesto (un atacante físico puede eludirla a través del enlace serie); 2 = falta el riesgo residual; 1 = genérico; 0 = nada.
Síntesis del capítulo
Despliegue por etapas con criterios de entrada y de salida y una reversión probada. Gestione las claves y los secretos como ciclos de vida con ceremonias auditables. Envuelva los dispositivos heredados con pasarelas que se traten a su vez como críticas para la seguridad, junto con controles físicos compensatorios. Un control solo está en servicio tras la aceptación en el emplazamiento y el traspaso a los operadores.
Siga estudiando — capítulo 31 de 50
← Capítulo 30 · Índice de capítulos del curso · Capítulo 32 →
Continúe con la siguiente lección escrita.