Capítulo 47 — Ensayo de fallo y recuperación | Ingeniería Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 47 publicada. Mapa, ejemplo, EX093.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["47.1 Por qué ensayar la recuperación"]
  N2["47.2 Diseñar el ensayo"]
  N3["47.3 Camino crítico"]
  N4["47.5 Actividad práctica: laboratorio 17"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX093"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["47.1 Por qué ensayar la recuperación"]
  N2["47.2 Diseñar el ensayo"]
  N3["47.3 Camino crítico"]
  N4["47.5 Actividad práctica: laboratorio 17"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX093"]

[Resultados de aprendizaje y conexión]
    |
    v
[47.1 Por qué ensayar la recuperación]
    |
    v
[47.2 Diseñar el ensayo]
    |
    v
[47.3 Camino crítico]
    |
    v
[47.5 Actividad práctica: laboratorio 17]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX093]

Resultados de aprendizaje y conexión

Al terminar este capítulo, usted podrá (1) diseñar un ensayo controlado de fallo y recuperación con límites de seguridad; (2) calcular caminos críticos y comparar los tiempos de recuperación planificados y medidos; (3) observar y registrar el desempeño humano y técnico durante el ensayo; y (4) convertir los resultados del ensayo en el estado de los requisitos y en cambios de diseño. Valida los requisitos de recuperación (R6) y prepara el expediente de evidencia (capítulo 48).

47.1 Por qué ensayar la recuperación

Una capacidad de recuperación que no se ha ejercitado es una esperanza. Las copias de seguridad que no se han restaurado pueden estar incompletas; los procedimientos que no se han seguido pueden ser erróneos; los tiempos que no se han medido son conjeturas. La NIST SP 800-34 Rev. 1 trata la planificación de contingencias, incluidas las pruebas, la formación y los ejercicios. El propio ensayo del TMRP mostró por qué: el objetivo de restablecimiento de ocho horas de R6 parecía razonable hasta que se midió el camino crítico. Medirlo era precisamente el objetivo.

47.2 Diseñar el ensayo

Defina el escenario (p. ej., servidores SCADA declarados comprometidos a las 02:00), los objetivos (restablecer la operación remota a partir de copias de seguridad desconectadas; mantener el suministro en modo local durante todo el ensayo), los límites de seguridad (ensayo en el entorno de pruebas o en una ventana planificada con la operación local atendida por personal; criterios de interrupción), los observadores y las mediciones (tiempo de cada tarea, desviaciones respecto al procedimiento, decisiones). El ensayo del TMRP usó el escenario de servidores SCADA declarados comprometidos, con el suministro mantenido en modo local durante todo el ensayo. Los observadores registraron el tiempo de cada tarea y cada desviación respecto al procedimiento.

47.3 Camino crítico

Las tareas de recuperación tienen duraciones y dependencias. El camino crítico es la cadena más larga de tareas dependientes; fija el tiempo mínimo de recuperación. Las tareas que quedan fuera del camino crítico tienen holgura. Acortar la recuperación significa acortar las tareas del camino crítico o romper dependencias, no acelerar las tareas con holgura. En el ensayo del TMRP, el recambio de claves de las RTU tenía seis horas de holgura. Acelerarlo no habría cambiado nada. Solo la generación de imágenes, la reconstrucción y la restauración de la configuración determinaron el resultado de doce horas, y por eso todas las opciones para cumplir R6 actúan sobre una de esas tres tareas, como las imágenes en espera preconstruidas o la generación de imágenes en hardware de repuesto.

47.4 Ejemplo resuelto: ensayo de recuperación del TMRP (sintético)

El plan del ensayo (laboratorio 17): aislar (1 h); establecer las operaciones manuales (1 h); generar imágenes forenses de los servidores SCADA (3 h); reconstruir el SCADA a partir de soportes desconectados (4 h); restaurar la configuración (2 h); recambiar las claves de las RTU (3 h, en paralelo); verificar las consignas (1 h); reanudar el control remoto (1 h). El camino crítico pasa por la generación de imágenes forenses, la reconstrucción y la restauración de la configuración: el control remoto vuelve a las 12 h, frente a las 8 h de R6. El recambio de claves tiene 6 h de holgura; acelerarlo no consigue nada. Opciones para cumplir las 8 h: imágenes del SCADA en espera preconstruidas (reconstrucción de 4 h → 1 h); generación de imágenes en paralelo con la reconstrucción en hardware de repuesto (quita 3 h del camino); o un acuerdo con las partes interesadas para que R6 sea de 12 h, puesto que el suministro se mantiene en modo local durante todo el proceso. El ensayo midió además que las operaciones manuales se establecieron en 50 minutos, con lo que se cumplió el requisito de 1 h.

47.5 Actividad práctica: laboratorio 17

# Lab 17 - recovery critical path versus the restoration target (synthetic TMRP trial plan, offline)
T = {  # task: (hours, prerequisites)
    "isolate": (1, []), "manual_ops": (1, ["isolate"]), "forensic_image": (3, ["isolate"]),
    "rebuild_scada": (4, ["forensic_image"]), "restore_config": (2, ["rebuild_scada"]),
    "rekey_rtus": (3, ["isolate"]), "verify_setpoints": (1, ["restore_config", "rekey_rtus"]),
    "resume_remote": (1, ["verify_setpoints"])}
ef, prev = {}, {}
def finish(t):
    if t not in ef:
        d, ps = T[t]; start = max((finish(p) for p in ps), default=0)
        prev[t] = max(ps, key=finish) if ps else None; ef[t] = start + d
    return ef[t]
end = finish("resume_remote"); path, n = [], "resume_remote"
while n: path.append(n); n = prev[n]
print("restore remote control at", end, "h; critical path:", " -> ".join(reversed(path)))
print("slack of rekey_rtus:", finish("restore_config") - finish("rekey_rtus"), "h; target 8 h met:", end <= 8)

Salida esperada:

restore remote control at 12 h; critical path: isolate -> forensic_image -> rebuild_scada -> restore_config -> verify_setpoints -> resume_remote
slack of rekey_rtus: 6 h; target 8 h met: False

La salida confirma el ejemplo resuelto: el control remoto vuelve al cabo de doce horas porque la generación de imágenes, la reconstrucción y la restauración de la configuración se ejecutan en serie, y el recambio de claves termina seis horas antes de que se necesite. Cambie el plan como pide el EX093 y observe cómo el camino crítico pasa a otra cadena. El laboratorio no incluye las operaciones manuales en el camino hacia el control remoto, porque se ejecutan en paralelo; el ensayo las midió por separado en cincuenta minutos frente al requisito de una hora. Conserve ambas salidas.

47.6 Errores comunes y límites

Recuperación probada solo sobre el papel.
Ensayos sin criterios de interrupción ni personal para la seguridad.
Mejorar tareas que tienen holgura.
Resultados del ensayo declarados como superados cuando no se cumplió el requisito.
Conservación forense omitida para ganar tiempo sin una decisión.

El ensayo del TMRP evitó el cuarto error al declarar R6 como no cumplido con doce horas, y mantuvo la generación de imágenes forenses en lugar de omitirla sin una decisión. Los criterios de interrupción y el personal local se fijaron antes de que comenzara el ensayo, y las opciones para cumplir R6 actúan solo sobre las tareas del camino crítico.

Ejercicios — capítulo 47

EX093 — Acortar el camino. Objetivo: usar el camino crítico. Entradas: laboratorio 17. Pasos: (1) haga que rebuild_scada dependa solo de isolate (hardware de repuesto, imágenes en paralelo) y vuelva a calcular; (2) reduzca además rebuild_scada a 1 h (imagen en espera) y vuelva a calcular; informe cada vez del nuevo camino crítico. Evidencia esperada: salidas. Rúbrica: 3 = resultados correctos (ejecute el código) y la observación de que el camino crítico pasa a otra cadena; 2 = cifras correctas, camino no comentado; 1 = no ejecutado; 0 = nada.

EX094 — Análisis forense frente a rapidez. Objetivo: tomar una decisión de compromiso documentada. Entradas: omitir la generación de imágenes forenses acorta la recuperación. Pasos: redacte una nota de decisión para el director de operaciones: opciones, consecuencias para la investigación, aspectos legales/regulatorios y prevención futura, recomendación. Evidencia esperada: una página. Rúbrica: 3 = generación de imágenes en paralelo en hardware de repuesto como opción preferida, riesgos de perder evidencia explicados, responsable de la decisión; 2 = recomienda omitirla sin consecuencias; 1 = vaga; 0 = nada.

Síntesis del capítulo

La recuperación debe ensayarse para que se pueda confiar en ella. Diseñe ensayos con límites de seguridad y mediciones, encuentre el camino crítico, mejore solo lo que está en él e informe del estado del requisito que el ensayo muestra realmente; después, cambie el diseño o el requisito con las partes interesadas.