Capítulo 37 — Seguridad de TO, IoT y sistemas ciberfísicos: operaciones
Mapa de la lección
Lección 37 publicada. Mapa, ejemplo, EX109.
flowchart TD
N0["Resultados de aprendizaje"]
N1["37.1 Contenido del procedimiento operativo"]
N2["37.2 Traspaso"]
N3["37.3 Cierre"]
N4["Nota práctica"]
N5["37.1b Calendario y kits de repuesto"]
N6["Nota de campo: kit sin conexión"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX109"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["37.1 Contenido del procedimiento operativo"]
N2["37.2 Traspaso"]
N3["37.3 Cierre"]
N4["Nota práctica"]
N5["37.1b Calendario y kits de repuesto"]
N6["Nota de campo: kit sin conexión"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX109"]
[Resultados de aprendizaje]
|
v
[37.1 Contenido del procedimiento operativo]
|
v
[37.2 Traspaso]
|
v
[37.3 Cierre]
|
v
[Nota práctica]
|
v
[37.1b Calendario y kits de repuesto]
|
v
[Nota de campo: kit sin conexión]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX109]
Resultados de aprendizaje
Usted podrá (1) redactar el procedimiento operativo de una ventana; (2) hacer el traspaso entre turnos; (3) gestionar el cierre, incluida la desactivación de cuentas y el sellado de la evidencia.
37.1 Contenido del procedimiento operativo
Contactos, referencia al permiso de trabajo, versiones de las herramientas, condiciones de parada, árbol de escalado, rutas de la evidencia. Manténgalo lo bastante breve para usarlo bajo estrés. El procedimiento operativo de Lena para ABP cabe en cuatro páginas impresas. Nombra al responsable de la ventana y al ingeniero de control, enlaza el permiso de trabajo y enumera las versiones permitidas de cada herramienta. Las condiciones de parada, incluido el tiempo de ciclo de 50 ms, están en la primera página, seguidas del árbol de escalado y de la ubicación de la carpeta de evidencia. La versión 1.4 del procedimiento añadió la ruta del archivo de interruptor de corte después de que el ejercicio de mesa detectara su ausencia, y cada cambio posterior queda registrado en el historial de versiones.
37.2 Traspaso
Registro del turno: hallazgos abiertos, últimos identificadores de evento, aprobaciones pendientes, estado del interruptor de corte, alarmas de proceso durante la ventana. Traspaso verbal más el registro. En ABP, el responsable saliente lee en voz alta el registro del turno al responsable entrante y ambos lo rubrican. El registro enumera los hallazgos abiertos con sus responsables, los últimos identificadores de evento registrados por el monitor, las aprobaciones todavía pendientes, si el interruptor de corte está armado y las alarmas de proceso surgidas durante la ventana. Decir los elementos en voz alta detecta entradas que una persona creía obvias y la otra nunca había visto, como una regla temporal pendiente de eliminar.
37.3 Cierre
Desactivar las cuentas temporales, rotar los secretos, sellar la evidencia, exportar las métricas, programar la retrospectiva. Una lista de comprobación vale más que la memoria.
"""Lab: fit patch jobs into plant maintenance windows (synthetic, greedy by risk)."""
windows = [("W1 Sat 02-06", 4.0), ("W2 Sun 02-04", 2.0)]
jobs = [("HMI OS update", 1.5, 8), ("historian DB patch", 2.5, 5), ("PLC-A firmware", 3.0, 9),
("eng-WS AV update", 0.5, 3), ("switch firmware", 1.0, 6)] # name, hours, risk score
left = {w: h for w, h in windows}; plan = {w: [] for w, _ in windows}; deferred = []
for name, h, r in sorted(jobs, key=lambda j: -j[2]):
for w, _ in windows:
if left[w] >= h:
left[w] -= h; plan[w].append(name); break
else:
deferred.append(name)
for w, _ in windows:
print(w, plan[w], f"spare={left[w]:.1f}h")
print("deferred:", deferred)
Salida esperada:
W1 Sat 02-06 ['PLC-A firmware', 'switch firmware'] spare=0.0h
W2 Sun 02-04 ['HMI OS update', 'eng-WS AV update'] spare=0.0h
deferred: ['historian DB patch']
Caso sintético — Ashford Batch Plant. El cierre detectó que el parche aplazado del historiador seguía sin fecha; se escaló antes de la retrospectiva.
La lista de comprobación de cierre de Lena la ejecutan dos personas y su resultado se guarda con un hash. Un parche del historiador se había aplazado durante la ventana sin fecha, así que la lista lo señaló y el parche recibió un responsable y una fecha antes de que se reuniera la retrospectiva.
37.4 Errores y límites
Los procedimientos en wikis a los que nadie puede acceder desde la sala de control fallan; conserve una copia sin conexión. En ABP, la sala de control perdió el acceso de red a la wiki durante una ventana, y el responsable necesitaba de inmediato el árbol de escalado. Desde entonces, el último procedimiento se imprime y se guarda en una carpeta junto a HMI-1, y hay una copia en la estación de ingeniería para su uso sin conexión. Cada copia impresa lleva su número de versión, y la lista de cierre confirma que la copia en papel coincide con la versión vigente, para que no se siga por error un procedimiento antiguo durante un incidente.
Nota práctica
La guardia de las herramientas del CNHP no es una licencia para ampliar conductos. Los avisos tratan de la seguridad de las herramientas y de la aplicación del permiso; los incidentes de proceso se encaminan por la vía de respuesta a incidentes y de seguridad de procesos de la planta.
37.1b Calendario y kits de repuesto
Las ventanas figuran en un calendario compartido con la versión del permiso de trabajo en la descripción. El solapamiento accidental de dos métodos ruidosos en la misma línea troncal es un fallo de operaciones. Los kits de operaciones incluyen imágenes de repuesto del servidor de salto, tarjetas de contacto impresas y copias del permiso sin conexión para cuando el SSO esté caído. El cierre no se marca como terminado hasta que se registren por su nombre los dos firmantes de la lista. El traspaso incluye leer en voz alta al responsable entrante las diez últimas denegaciones del monitor.
Lena revisa el calendario en cada traspaso. Los solapamientos se registran como hallazgos.
Nota de campo: kit sin conexión
El SSO falló durante una ventana de domingo. La copia sin conexión del procedimiento y las tarjetas de contacto impresas permitieron al equipo detenerse limpiamente y avisar a seguridad de procesos. Desde entonces, el kit se revisa en cada cierre.
Las métricas de operaciones incluyen los avisos por ventana y el tiempo medio hasta el reconocimiento de las paradas; las métricas de vanidad como «equipos tocados» se quedan fuera del tablero de operaciones.
37.5 Ejemplo resuelto: un traspaso de turno con contenido de seguridad (ABP sintética)
La hoja de traspaso de ABP gana tres líneas: alertas abiertas del CNHP y quién es su responsable; cualquier sesión remota de proveedor habilitada o programada; y cualquier regla temporal o derivación en vigor con su hora de caducidad. El 14 de marzo, el turno de noche registró una regla temporal del cortafuegos para un diagnóstico del proveedor que caducaba a las 06:00; el turno de día lo comprobó a las 06:15, la encontró todavía presente y la eliminó con el acuerdo del ingeniero. Sin la línea en el traspaso, la regla se habría convertido en un conducto permanente. El cierre de cada orden de trabajo de seguridad exige el puntero a la evidencia y la confirmación de que se revirtieron los cambios temporales.
Ejercicios — capítulo 37
- EX109 — Lista de comprobación. Seis pasos de cierre. Rúbrica: 3 = seis sensatos; 2 = cuatro; 1 = dos; 0 = nada.
- EX110 — Traspaso. Tres campos que debe incluir el registro del turno. Rúbrica: 3 = hallazgos/eventos/aprobaciones (o equivalentes); 2 = dos; 1 = uno; 0 = nada.
- EX111 — Laboratorio. ¿Qué trabajo se aplazó y qué debe registrar el cierre? Rúbrica: 3 = parche del historiador + riesgo residual + fecha de la siguiente ventana; 2 = solo el nombre; 1 = vago; 0 = incorrecto.
Síntesis del capítulo
Opere con procedimientos, traspasos y un cierre implacable.
Siga estudiando — capítulo 37 de 50
← Capítulo 36 (borrador) · Índice de capítulos del curso · Capítulo 38 (borrador) →