Capítulo 39 — Infraestructura crítica y seguridad sectorial: mantenibilidad
Mapa de la lección
Lección 39 publicada. Mapa, ejemplo, EX078.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["39.1 Ciclos de vida largos"]
N2["39.2 Deuda técnica y obsolescencia"]
N3["39.3 Agilidad criptográfica"]
N4["39.4 Retirada de servicio segura"]
N5["39.6 Actividad práctica"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX078"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["39.1 Ciclos de vida largos"]
N2["39.2 Deuda técnica y obsolescencia"]
N3["39.3 Agilidad criptográfica"]
N4["39.4 Retirada de servicio segura"]
N5["39.6 Actividad práctica"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX078"]
[Resultados de aprendizaje y conexión]
|
v
[39.1 Ciclos de vida largos]
|
v
[39.2 Deuda técnica y obsolescencia]
|
v
[39.3 Agilidad criptográfica]
|
v
[39.4 Retirada de servicio segura]
|
v
[39.6 Actividad práctica]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX078]
Resultados de aprendizaje y conexión
Al terminar este capítulo, usted podrá (1) diseñar para la mantenibilidad a lo largo de ciclos de vida largos: actualizaciones, repuestos, competencias y documentación; (2) gestionar la deuda técnica y la obsolescencia en la TO; (3) planificar la agilidad criptográfica y la transición a la criptografía poscuántica; y (4) planificar de forma segura la retirada de servicio. Se apoya en los capítulos 8, 14 y 31 y prepara los capítulos 41 y 44.
39.1 Ciclos de vida largos
Los activos de infraestructura duran décadas; el software y las amenazas cambian en meses. La mantenibilidad significa que el sistema puede mantenerse seguro y funcional durante toda su vida: componentes sustituibles sin rediseño; actualizaciones posibles sin interrupciones largas; documentación al día; competencias disponibles. Entre las decisiones de diseño que perjudican la mantenibilidad están los protocolos propietarios con un único proveedor, el código a medida sin documentar y el hardware sin vía de actualización. Para el TMRP, las RTU que se instalan ahora pueden seguir funcionando en la década de 2040, de modo que el diseño de las pasarelas, el formato de los mensajes y la gestión de claves deben ser mantenibles durante todo ese periodo.
39.2 Deuda técnica y obsolescencia
La deuda técnica es el coste futuro de los atajos que se toman ahora: una configuración codificada de forma fija, una prueba omitida, una pasarela construida «temporalmente» para RTU heredadas. Registre los elementos de deuda con su responsable, el coste de corregirlos y el riesgo de dejarlos. La gestión de la obsolescencia sigue las fechas de fin de venta y de fin de soporte de cada componente y planifica la sustitución antes de que termine el soporte, manteniendo repuestos cuando la sustitución es lenta.
Las pasarelas del TMRP para las unidades RTU-A heredadas de PS1 y PS2 se registran como deuda con un horizonte de tres años. Los repuestos se compran antes del fin de venta.
39.3 Agilidad criptográfica
Los algoritmos se debilitan y las normas cambian. La agilidad criptográfica es la capacidad de cambiar algoritmos y tamaños de clave sin rediseñar el sistema: identificadores de algoritmo en los formatos de mensaje, vías de actualización del firmware y una gestión de claves capaz de aprovisionar nuevos tipos de clave. El NIST publicó sus primeras normas de criptografía poscuántica (FIPS 203, 204 y 205) en agosto de 2024 (anuncio del NIST); el equipamiento de infraestructura que se compra ahora puede seguir funcionando cuando sean plausibles adversarios con capacidad cuántica, por lo que los mecanismos de clave pública de los dispositivos de vida larga necesitan una vía de migración. Los MAC simétricos como HMAC-SHA256 se ven mucho menos afectados; es en el intercambio de claves y en las firmas donde la migración importa.
39.4 Retirada de servicio segura
Los dispositivos retirados contienen claves, configuraciones y detalles de la red. Pasos de la retirada de servicio: revocar claves y certificados; eliminar cuentas; borrar o destruir el almacenamiento según la política; actualizar el inventario, los modelos y las listas de permitidos; y eliminar las reglas de cortafuegos que daban servicio al dispositivo. Las reglas obsoletas de dispositivos retirados son una vía clásica para los atacantes que colocan un dispositivo nuevo en una dirección antigua. La revisión de mantenibilidad del TMRP constató que no existía un procedimiento de retirada de servicio, así que se redactó uno y se vinculó a la gestión de cambios. Se usará por primera vez cuando se sustituyan la RTU-A heredada de PS2 y su pasarela, como describe el EX078.
39.5 Ejemplo resuelto: revisión de mantenibilidad del TMRP (sintético)
La revisión constata: (1) las pasarelas de PS1/PS2 son deuda técnica con un horizonte de tres años, registrada con un plan de sustitución; (2) el formato de mensaje del laboratorio 8 carece de identificador de algoritmo: se modifica para incluir un ID de conjunto de un byte (versión 1 = HMAC-SHA256-128) antes del despliegue en la flota, con un coste de un byte por mensaje; (3) la firma del firmware de la RTU-B usa un esquema de firma clásico: se pide al fabricante, como condición contractual, una hoja de ruta de migración poscuántica; (4) no se mantienen módems LTE de repuesto y el modelo llega al fin de venta el año próximo: se compran repuestos ahora y se planifica la sustitución; (5) falta el procedimiento de retirada de servicio: se redacta y se vincula a la gestión de cambios.
39.6 Actividad práctica
Construya un registro de obsolescencia para los componentes del TMRP (RTU, pasarelas, módems, servidores SCADA, sistema operativo, HSM) con fechas supuestas, estado del soporte, repuestos disponibles y plan de sustitución. Incluya todos los componentes que menciona la revisión del TMRP: RTU-A y RTU-B, las pasarelas, los módems LTE, los servidores SCADA y su sistema operativo, y el módulo de seguridad de hardware. Para cada uno, registre las fechas supuestas de fin de venta y de fin de soporte, los repuestos disponibles y el plan de sustitución. Señale cualquier componente cuyo soporte termine antes de su sustitución prevista, como constató la revisión para los módems LTE. Mantenga el registro bajo control de cambios para que siga al día.
39.7 Errores comunes y límites
- Diseños que requieren al proveedor original para siempre.
- Deuda técnica que no se registra.
- Formatos de mensaje sin versionado ni identificadores de algoritmo.
- Dispositivos retirados que dejan atrás claves y reglas de cortafuegos.
La revisión del TMRP encontró el tercer error en la trama del laboratorio 8 y lo corrigió con un identificador de conjunto de un byte antes del despliegue en la flota. También registró las pasarelas heredadas como deuda y redactó el procedimiento de retirada de servicio que faltaba. Los módems LTE de repuesto se compran antes del fin de venta del modelo. El nuevo procedimiento revoca las claves y elimina las reglas de cortafuegos obsoletas.
Ejercicios — capítulo 39
EX077 — Incorporar agilidad. Objetivo: añadir agilidad criptográfica. Entradas: formato de trama del laboratorio 8. Pasos: añada un ID de conjunto de un byte y una política del receptor que acepte solo los conjuntos configurados; muestre cómo podría introducirse el conjunto 2 (un MAC diferente) durante un periodo de transición y cómo se retiraría el conjunto 1. Evidencia esperada: diseño y un breve esbozo de código. Rúbrica: 3 = ID de conjunto autenticado (dentro del MAC), política de conjuntos permitidos por estación, prevención de la degradación, paso de retirada; 2 = ID de conjunto no autenticado; 1 = solo descripción; 0 = nada.
EX078 — Lista de comprobación de retirada de servicio. Objetivo: retirar un dispositivo de forma segura. Entradas: la RTU-A heredada de PS2 y su pasarela, que se sustituyen por una RTU-B. Pasos: redacte una lista de comprobación de al menos ocho pasos con la evidencia de cada uno. Evidencia esperada: lista de comprobación. Rúbrica: 3 = claves revocadas, cuentas eliminadas, almacenamiento borrado, inventario/modelo/lista de permitidos actualizados, reglas de cortafuegos eliminadas, líneas base de supervisión actualizadas, destino de los repuestos, aprobación final; 2 = faltan las reglas o las claves; 1 = genérica; 0 = nada.
Síntesis del capítulo
Diseñe para décadas: componentes sustituibles, software actualizable, documentación al día, competencias disponibles. Registre la deuda técnica, gestione la obsolescencia antes del fin del soporte, incorpore la agilidad criptográfica en los formatos y en las vías de actualización con un plan de migración poscuántica, y retire los dispositivos de modo que nada (claves, cuentas, reglas) sobreviva al dispositivo.
Siga estudiando — capítulo 39 de 50
← Capítulo 38 · Índice de capítulos del curso · Capítulo 40 →
Continúe con la siguiente lección escrita.