Capítulo 33 — Infraestructura crítica y seguridad sectorial: seguridad funcional y resiliencia
Mapa de la lección
Lección 33 publicada. Mapa, ejemplo, EX034.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["33.1 STPA"]
N2["33.2 Sistemas instrumentados de seguridad e independ"]
N3["33.3 Resiliencia"]
N4["33.5 Actividad práctica"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX034"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["33.1 STPA"]
N2["33.2 Sistemas instrumentados de seguridad e independ"]
N3["33.3 Resiliencia"]
N4["33.5 Actividad práctica"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX034"]
[Resultados de aprendizaje y conexión]
|
v
[33.1 STPA]
|
v
[33.2 Sistemas instrumentados de seguridad e independ]
|
v
[33.3 Resiliencia]
|
v
[33.5 Actividad práctica]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX034]
Resultados de aprendizaje y conexión
Al terminar este capítulo, usted podrá (1) aplicar el análisis de procesos basado en la teoría de sistemas (STPA) a una estructura de control, incluidas las causas relacionadas con la seguridad; (2) describir los sistemas instrumentados de seguridad y por qué necesitan independencia; (3) definir y diseñar la resiliencia: anticipar, resistir, recuperarse, adaptarse; y (4) integrar la seguridad funcional, la seguridad y la resiliencia en un único análisis. Se apoya en los capítulos 10, 17, 23 y 32 y prepara los capítulos 34 y 47.
33.1 STPA
Leveson (2004) propuso STAMP, un modelo de accidentes que trata la seguridad funcional como un problema de control: los accidentes surgen cuando no se hacen cumplir las restricciones sobre el comportamiento del sistema. STPA, el método de análisis construido sobre él, procede así: (1) definir las pérdidas y los peligros; (2) modelar la estructura de control: controladores, acciones de control, retroalimentación; (3) identificar las acciones de control inseguras (UCA) de cuatro tipos: no proporcionada cuando se necesita, proporcionada cuando es insegura, proporcionada demasiado pronto o demasiado tarde o en el orden equivocado, detenida demasiado pronto o aplicada durante demasiado tiempo; (4) identificar los escenarios de pérdida, es decir, por qué podría producirse cada UCA, incluidas la retroalimentación defectuosa, los modelos de proceso defectuosos y, en seguridad (STPA-Sec), la acción de un adversario. La fortaleza de STPA es que encuentra peligros derivados de interacciones en las que ningún componente ha fallado, que es exactamente la situación de un ataque de datos falsos.
33.2 Sistemas instrumentados de seguridad e independencia
Un sistema instrumentado de seguridad (SIS) lleva un proceso a un estado seguro cuando se detecta una condición peligrosa, con independencia del sistema básico de control del proceso. Las normas de seguridad funcional (IEC 61508 y sus derivadas sectoriales) asignan niveles de integridad de seguridad. La independencia implica sensores, lógica y elementos finales separados y, en términos actuales, redes y acceso de ingeniería separados, porque una estación de trabajo de ingeniería comprometida que puede reprogramar tanto la lógica de control como la de seguridad elimina la independencia. TRITON atacó directamente controladores de SIS (informe HatMan de la CISA).
33.3 Resiliencia
NIST SP 800-160 Vol. 2 Rev. 1 articula la ciberresiliencia en torno a los objetivos de anticipar, resistir, recuperarse y adaptarse, con técnicas como la diversidad, la segmentación, la redundancia, la no persistencia y la respuesta adaptativa. Haimes (2009) sostiene que la resiliencia debe definirse en relación con amenazas y estados del sistema concretos. Diseñar la resiliencia significa: diseñar modos degradados (capítulo 22), mantener capacidad y reservas (almacenamiento, baterías, repuestos), lograr que la recuperación sea rápida y esté ensayada (capítulo 47) y aprender después de los eventos.
En la LRWA, el depósito del hospital, las baterías de los armarios y las 72 horas de operación automática local son reservas; el ensayo de recuperación es práctica.
33.4 Ejemplo resuelto: STPA sobre el control de nivel de Hollin Hill (sintético)
Pérdida L1: hospital sin agua; L2: desbordamiento del depósito e inundación. Peligros: H1, nivel por debajo del mínimo mientras continúa la demanda; H2, nivel por encima del rebosadero. Estructura de control: operador del SCADA → controlador PI (velocidad de la bomba de PS3) → bomba → depósito; retroalimentación mediante el transmisor de nivel. UCA: UCA1 «el controlador reduce el caudal de entrada cuando el nivel es bajo» (proporcionada cuando es insegura → H1); UCA2 «el operador no interviene cuando el nivel baja» (no proporcionada → H1); UCA3 «el controlador aumenta el caudal de entrada cuando el nivel es alto» (→ H2). Escenario de UCA1: el modelo de proceso del controlador cree que el nivel es alto porque la retroalimentación de nivel está falsificada (Lab 7). Escenario de UCA2: la pantalla del operador muestra el mismo nivel falsificado. Restricciones: medición de nivel independiente con alarma (EX034); disparo cableado de la bomba por nivel alto para H2; alarma de nivel bajo al operador a partir de la medición independiente. STPA llegó al mismo control que el detector de residuos, pero desde el peligro y no desde el ataque.
33.5 Actividad práctica
Amplíe el §33.4 con el lazo de dosificación: pérdidas, peligros, estructura de control, al menos cuatro UCA (una de cada tipo) y un escenario de pérdida para cada una, uno de ellos adversarial. Empiece por pérdidas como el daño a los consumidores por sobredosificación o subdosificación, y por peligros como un cloro residual fuera de sus límites. Dibuje la estructura de control: el operador, el controlador de dosificación, la bomba dosificadora y el analizador que retroalimenta el residual. Use los límites del lado del controlador y la alarma del analizador independiente de los controles de dosificación del TMRP al derivar las restricciones, y haga que su escenario adversarial sea uno en el que la retroalimentación del controlador esté falsificada.
33.6 Errores comunes y límites
- Análisis de peligros que ignora a los adversarios, o análisis de seguridad que ignora los peligros.
- «Independencia» del SIS con estación de trabajo de ingeniería o red compartidas.
- Resiliencia definida como «tiempo de disponibilidad».
- STPA reducido a una lista de comprobación sin estructura de control.
El EX066 muestra el segundo error en Fenwick, donde el sistema de parada por fuga de cloro gaseoso comparte la estación de trabajo de ingeniería y el conmutador de red con los controladores del proceso. El análisis de Hollin Hill del TMRP evita el primer error al incluir la retroalimentación de nivel falsificada como escenario de pérdida junto a los fallos aleatorios, y trata la resiliencia como servicio prestado a lo largo del tiempo, no como tiempo de disponibilidad de los servidores.
Ejercicios — capítulo 33
EX065 — Tabla de UCA. Objetivo: identificar acciones de control inseguras. Entradas: §33.5. Pasos: elabore la tabla de UCA con los cuatro tipos y los escenarios. Evidencia esperada: tabla. Rúbrica: 3 = los cuatro tipos aplicados correctamente, escenarios que incluyen retroalimentación defectuosa y acción de un adversario, restricciones derivadas; 2 = tipos confundidos; 1 = lista de fallos, no de acciones de control; 0 = nada.
EX066 — Auditoría de independencia. Objetivo: comprobar la independencia del SIS. Entradas: el sistema de parada por fuga de cloro gaseoso de Fenwick comparte la estación de trabajo de ingeniería y el conmutador de red con los controladores del proceso. Pasos: identifique las violaciones de la independencia y proponga una arquitectura que la restablezca, con los riesgos residuales. Evidencia esperada: media página. Rúbrica: 3 = se identifican la estación de trabajo y el conmutador compartidos, acceso de ingeniería separado con llave física o estación de trabajo separada, red separada o cableado directo, riesgo residual enunciado; 2 = falta una violación; 1 = genérico; 0 = nada.
Síntesis del capítulo
STPA trata las pérdidas como fallos de control y encuentra acciones de control inseguras que surgen de las interacciones, incluidas las adversariales. Los sistemas instrumentados de seguridad deben ser independientes en sensores, lógica, redes y acceso de ingeniería. La resiliencia —anticipar, resistir, recuperarse, adaptarse— debe definirse frente a amenazas concretas y diseñarse mediante modos degradados, reservas y una recuperación ensayada.
Siga estudiando — capítulo 33 de 50
← Capítulo 32 · Índice de capítulos del curso · Capítulo 34 →
Continúe con la siguiente lección escrita.