Capítulo 43 — Práctica en la industria o en el servicio público

Mapa de la lección

Lección 43 publicada. Mapa, ejemplo, EX127.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["43.1 Estancia"]
  N2["43.2 Informes depurados"]
  N3["43.3 Traducción"]
  N4["Nota práctica"]
  N5["43.1b Autorizaciones y conflictos"]
  N6["Nota de campo: apéndice de restricciones"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX127"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["43.1 Estancia"]
  N2["43.2 Informes depurados"]
  N3["43.3 Traducción"]
  N4["Nota práctica"]
  N5["43.1b Autorizaciones y conflictos"]
  N6["Nota de campo: apéndice de restricciones"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX127"]

[Resultados de aprendizaje]
    |
    v
[43.1 Estancia]
    |
    v
[43.2 Informes depurados]
    |
    v
[43.3 Traducción]
    |
    v
[Nota práctica]
    |
    v
[43.1b Autorizaciones y conflictos]
    |
    v
[Nota de campo: apéndice de restricciones]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX127]

Resultados de aprendizaje

Usted podrá (1) adaptar la ingeniería CNHP a las restricciones de una organización anfitriona; (2) redactar un informe de prácticas sin detalles de propiedad reservada; (3) traducir entre seguridad de procesos, operaciones e ingeniería.

43.1 Estancia

En la industria o el servicio público, las plantillas de permisos de trabajo, la residencia de datos y las compras son distintas. En su estancia en un fabricante por contrato, Lena encontró formularios de permiso distintos, un proceso de compras distinto y reglas más estrictas que en ABP sobre dónde podían almacenarse los datos. Adaptó sus métodos al proceso de la anfitriona en lugar de importar los formularios de ABP. Lo que no cambió fue el núcleo de su práctica: herramientas que se detienen de forma segura ante la duda, mediciones con sus denominadores y pruebas realizadas solo dentro del alcance que la anfitriona había aprobado por escrito.

43.2 Informes depurados

Los entregables del curso usan nombres sintéticos y agregados. Los identificadores reales de la planta permanecen dentro de los sistemas de la anfitriona. El informe de prácticas de Lena describió el riesgo del portátil del proveedor sin nombrar a la anfitriona, sus plantas ni sus dispositivos. Las direcciones y los nombres de host permanecieron dentro de los sistemas de la anfitriona, y las cifras se dieron solo como recuentos o rangos. La revisión de autorización de la anfitriona comprobó el informe antes de que llegara a la universidad, y su supervisora calificó la versión depurada, de modo que nada identificable salió de la organización. Lena conservó los originales en los sistemas de la anfitriona.

43.3 Traducción

Seguridad de procesos escucha independencia y SIL. Operaciones escucha ventanas y alarmas. Ingeniería escucha esquemas y pruebas. Los mismos hechos, tres dialectos.

Caso sintético — Ashford Batch Plant. El memorando de prácticas de Lena usó solo cifras sintéticas de ABP; se omitieron los nombres reales de las plantas asociadas.

En su memorando de prácticas, Lena redactó el mismo hallazgo sobre el portátil de tres maneras: para seguridad de procesos, como una amenaza a la independencia de los controladores de línea; para operaciones, como una necesidad de programar actualizaciones; y para ingeniería, como un cambio de configuración. Cada lector recibió la versión que necesitaba.

43.4 Errores y límites

«No puedo contarle lo que hice» no es un informe de prácticas, aunque los detalles de la red de la planta anfitriona sean confidenciales. El informe de prácticas de Lena no podía incluir los detalles reales de la red de la anfitriona, así que acordó con su mentor en la anfitriona una reconstrucción sintética que conservaba la estructura del hallazgo pero sustituía cada detalle identificativo. Su apéndice de restricciones indicaba lo que no se le había permitido examinar. Esto dio a la universidad algo que evaluar sin exponer a la anfitriona, y es la norma para cualquier estancia en la que el propio trabajo no pueda describirse directamente.

Nota práctica

Si su anfitriona vende escáneres de TO, declárelo y siga rechazando las puntuaciones vacías. Las presentaciones comerciales no son medición.

43.1b Autorizaciones y conflictos

Las estancias en el servicio público pueden requerir habilitaciones de seguridad. Los artefactos del curso se mantienen en el nivel de sensibilidad más bajo: reconstrucciones sintéticas. Nunca pegue texto restringido en GitHub. Los informes de prácticas incluyen un apéndice de restricciones que se califica con el mismo peso que el trabajo técnico. Si la anfitriona prohíbe incluso las métricas depuradas, use un escenario de gemelo totalmente sintético y etiquetado como tal. El propio apéndice de Lena siguió esta regla. El acuerdo de Lena con su mentor en la anfitriona se redactó antes de empezar a escribir, y nombraba las cifras que podía usar y las que no.

Nota de campo: apéndice de restricciones

Una anfitriona del servicio público prohibía el SaaS extranjero y exigía registros preparados para solicitudes de acceso a la información pública (FOIA). El apéndice de restricciones del informe de prácticas explicaba por qué la arquitectura C era imposible y por qué se eligió la A. Los evaluadores calificaron el apéndice con el mismo peso que el código.

El apéndice de restricciones enumera cada restricción junto con el rol de la anfitriona que la impuso.

43.5 Ejemplo resuelto: traducir un hallazgo de la estancia (ABP sintética)

En su estancia en un fabricante por contrato, Lena observa que el portátil del proveedor usado para las actualizaciones de los PLC también navega por internet. Su informe depurado omite nombres de host y direcciones, describe el riesgo en términos de planta —«un solo portátil reúne la exposición a internet y la capacidad de descargar lógica en los controladores de línea (ATT&CK for ICS T0843)»— y recomienda un portátil de ingeniería dedicado y actualizado sin conexión. La revisión de autorización de la organización anfitriona aprueba el informe antes de que llegue a su universidad, y el apéndice de restricciones indica lo que no se le permitió examinar.

Ejercicios — capítulo 43

• EX127 — Dialecto. Traduzca «fallar de forma cerrada ante la falta de política» para seguridad de procesos. Rúbrica: 3 = redacción en términos de seguridad/riesgo; 2 = parcial; 1 = avalancha de jerga; 0 = nada.
• EX128 — Depurar. Reescriba una frase que filtra un nombre de host real. Rúbrica: 3 = sustituto sintético; 2 = parcial; 1 = sigue filtrando; 0 = nada.
• EX129 — Restricción. Dos restricciones del servicio público que cambian la arquitectura. Rúbrica: 3 = p. ej., residencia de datos, compras, FOIA; 2 = una; 1 = vaga; 0 = nada.

Síntesis del capítulo

La práctica son restricciones reales más artefactos de aprendizaje depurados.

Siga estudiando — capítulo 43 de 50

← Capítulo 42 (borrador) · Índice de capítulos del curso · Capítulo 44 (borrador) →