Capítulo 21 — Seguridad de TO, IoT y sistemas ciberfísicos: requisitos
Mapa de la lección
Lección 21 publicada. Mapa, ejemplo, EX061.
flowchart TD
N0["Resultados de aprendizaje"]
N1["21.1 Fuentes"]
N2["21.2 Tres familias"]
N3["21.3 Criterios de aceptación"]
N4["Nota práctica"]
N5["21.1b MoSCoW bajo seguridad funcional"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX061"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["21.1 Fuentes"]
N2["21.2 Tres familias"]
N3["21.3 Criterios de aceptación"]
N4["Nota práctica"]
N5["21.1b MoSCoW bajo seguridad funcional"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX061"]
[Resultados de aprendizaje]
|
v
[21.1 Fuentes]
|
v
[21.2 Tres familias]
|
v
[21.3 Criterios de aceptación]
|
v
[Nota práctica]
|
v
[21.1b MoSCoW bajo seguridad funcional]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX061]
Resultados de aprendizaje
Usted podrá (1) obtener requisitos de seguridad de procesos, de operaciones y de seguridad de la información; (2) separar los requisitos funcionales, de seguridad funcional y de medición; (3) redactar criterios de aceptación que un probador pueda ejecutar con datos de prueba sintéticos.
21.1 Fuentes
Seguridad de procesos quiere capas de protección independientes. Operaciones quiere visualizar sin tiempo de parada. Seguridad de la información quiere conductos con denegación por defecto. Las entrevistas de obtención producen enunciados con «deberá» etiquetados por su fuente. Los conflictos (visualización por conveniencia frente a aislamiento del SIS) se registran, no se disimulan. En ABP, Lena entrevistó por separado al ingeniero de seguridad de procesos, a los jefes de turno, a los ingenieros de control y al equipo de red de TI, y después llevó los conflictos a una reunión conjunta. El conflicto más claro fue la regla de visualización remota FW-12, que operaciones valoraba y seguridad funcional no podía aceptar. Se registró con ambas posturas, y la solución, visualizar a través de la réplica de la DMZ, se convirtió en un requisito con responsable.
21.2 Tres familias
Funcional: «El monitor serie deberá decodificar Modbus RTU en la línea troncal A y emitir decisiones de permitir/denegar». Seguridad funcional: «Si el archivo de la lista de permitidos no se carga, el monitor deberá fallar de forma cerrada (descartar todo el tráfico no esencial, o generar una alarma y exigir una acción humana, según el diseño)». Medición: «El CNHP deberá informar de la cobertura de técnicas de ATT&CK for ICS planificada frente a observada, con denominadores». En caso de empate, ganan los requisitos de seguridad funcional.
Lena etiqueta cada requisito del CNHP con su familia, para que las revisiones puedan comprobar que los de seguridad funcional se prueban primero. Los empates se resuelven por escrito.
21.3 Criterios de aceptación
Cada requisito tiene un Dado/Cuando/Entonces sobre datos sintéticos. Ejemplo: Dado que se deniega L2 a L1-SIS, Cuando se ejecuta la alcanzabilidad desde L4, Entonces L1-SIS no está en el conjunto alcanzable. Los criterios que requieren una escritura en una planta en servicio se rechazan en la revisión.
Caso sintético — Ashford Batch Plant. El requisito de seguridad funcional S-1, «fallar de forma cerrada si falta la lista de permitidos», no superó su prueba de aceptación cuando una ruta con una errata devolvió PASS. La corrección se publicó antes de cualquier ventana en la planta.
Los criterios se revisan con el responsable del requisito. Cada criterio es una prueba.
21.4 Errores y límites
Las partes interesadas inventan requisitos a mitad de ventana; apárquelos en una lista de pendientes con un ticket AUTH; no parchee en caliente los monitores de producción durante un lote. Cuando alguien pide una nueva regla de monitor durante un lote, Lena la registra en la lista de pendientes con un ticket de autorización y la evalúa después de la ventana. Cambiar un monitor de producción a mitad de lote arriesga una interrupción o un error de fallo abierto que nadie ha probado. El elemento pendiente nombra quién lo pidió, por qué y cuándo se revisará, para que la solicitud no se pierda y quien la planteó vea que se atiende.
Nota práctica
Las pruebas de aceptación del CNHP llevan el identificador del requisito en su nombre y hacen fallar la integración continua cuando se omiten, de modo que un requisito del monitor sin prueba aparece en la compilación. Los requisitos Must huérfanos se prueban o se aplazan formalmente con un responsable de la dirección.
21.1b MoSCoW bajo seguridad funcional
La priorización Must/Should/Could sigue colocando todos los requisitos de seguridad funcional en Must. Un Could que debilita un Must (la denegación opcional de los códigos de escritura) se reclasifica o se rechaza. Los gestores de producto no ganan por votación al fallo cerrado. Los campos de registro llevan también el identificador del requisito (req=S-1), para que un evento de denegación pueda trazarse hasta el requisito que aplica. En ABP, S-1 y R-12 son ambos elementos Must, y ninguna decisión de producto puede bajarlos de nivel. Una solicitud para hacer opcionales, por conveniencia, las denegaciones de códigos de escritura se rechazó por este motivo, y el rechazo se registra con el requisito que habría debilitado.
Ejercicios — capítulo 21
- EX061 — Obtención. Escriba un requisito funcional y uno de seguridad funcional con «deberá» a partir de «la oficina no debe alcanzar el SIS». Rúbrica: 3 = ambos comprobables; 2 = uno; 1 = vago; 0 = nada.
- EX062 — Aceptación. Dado/Cuando/Entonces para el fallo cerrado cuando falta la lista de permitidos. Rúbrica: 3 = completo, con la denegación/alarma esperada; 2 = parcial; 1 = idea; 0 = nada.
- EX063 — Conflicto. Visualización de L4 a L2 por conveniencia frente a zonificación: registre el conflicto y la regla elegida. Rúbrica: 3 = conflicto nombrado + regla que antepone la seguridad funcional, vía DMZ; 2 = solo la regla; 1 = elige la conveniencia; 0 = nada.
Síntesis del capítulo
Los requisitos del CNHP vienen de los operadores e ingenieros de la planta, se dividen en familias y se entregan con pruebas de aceptación sobre datos de prueba sintéticos de la planta.
Siga estudiando — capítulo 21 de 50
← Capítulo 20 (borrador) · Índice de capítulos del curso · Capítulo 22 (borrador) →