◇ OpenCyber Academy
Máster · Capítulo 4 · Español

Capítulo 4 — Infraestructura crítica y seguridad sectorial: explicaciones en competencia

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Capítulo 4 — Infraestructura crítica y seguridad sectorial: explicaciones en competencia

Mapa de la lección

Lección 04 publicada. Mapa, ejemplo, EX021.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["4.1 Hipótesis de trabajo múltiples e inferencia fuer"]
  N2["4.2 Qué predice la hipótesis del desbordamiento"]
  N3["4.3 Rivales en el Estudio de Desbordamiento"]
  N4["4.4 Diagramas causales"]
  N5["4.5 Herramientas discriminantes y sus supuestos"]
  N6["4.6 Explicaciones en competencia en casos documentad"]
  N7["4.8 Actividad práctica: la estación que parecía desb"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX021"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["4.1 Hipótesis de trabajo múltiples e inferencia fuer"]
  N2["4.2 Qué predice la hipótesis del desbordamiento"]
  N3["4.3 Rivales en el Estudio de Desbordamiento"]
  N4["4.4 Diagramas causales"]
  N5["4.5 Herramientas discriminantes y sus supuestos"]
  N6["4.6 Explicaciones en competencia en casos documentad"]
  N7["4.8 Actividad práctica: la estación que parecía desb"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX021"]
[Resultados de aprendizaje y conexión]
    |
    v
[4.1 Hipótesis de trabajo múltiples e inferencia fuer]
    |
    v
[4.2 Qué predice la hipótesis del desbordamiento]
    |
    v
[4.3 Rivales en el Estudio de Desbordamiento]
    |
    v
[4.4 Diagramas causales]
    |
    v
[4.5 Herramientas discriminantes y sus supuestos]
    |
    v
[4.6 Explicaciones en competencia en casos documentad]
    |
    v
[4.8 Actividad práctica: la estación que parecía desb]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX021]

Resultados de aprendizaje y conexión

Al final de este capítulo, el estudiante será capaz de:

  1. Aplicar el método de las hipótesis de trabajo múltiples: enumerar todas las explicaciones que podrían producir los datos observados antes de favorecer una.
  2. Derivar, para cada rival, una predicción que difiere de la predicción de la hipótesis principal, y elegir datos capaces de distinguirlas.
  3. Dibujar un diagrama causal para un evento de infraestructura, identificar los caminos que sesgarían una comparación y nombrar lo que debe medirse o resolverse mediante el diseño.
  4. Usar poblaciones de comparación, controles negativos, fechas placebo, gradientes dosis-respuesta y la alineación temporal como evidencia discriminante, y enunciar el supuesto en que se apoya cada uno.
  5. Analizar casos públicos documentados en los que una explicación cibernética compitió con otra explicación, y decir qué evidencia decidió entre ellas.
  6. Ejecutar un laboratorio en el que una comparación ingenua atribuye un aumento estacional a un incidente, y mostrar cómo una región de comparación y unas ventanas placebo lo ponen al descubierto.

El capítulo 3 eligió un diseño; este capítulo lo ataca. La tabla de rivales construida aquí se convierte en la sección de robustez del capítulo 6, en las limitaciones del capítulo 7 y en las preguntas de los examinadores del capítulo 8.

4.1 Hipótesis de trabajo múltiples e inferencia fuerte

En 1890, el geólogo T. C. Chamberlin advirtió contra la «teoría dominante»: en cuanto un investigador tiene una explicación favorita, selecciona inconscientemente la evidencia para que encaje con ella. Su remedio era mantener a la vez hipótesis de trabajo múltiples, de modo que cada observación se sopese frente a todas ellas (Chamberlin, reimpreso en 1965). Platt (1964) convirtió esta idea en un procedimiento al que llamó inferencia fuerte: idear hipótesis alternativas; idear un experimento crucial cuyos resultados posibles excluyan una o más de ellas; llevarlo a cabo; repetir. Los investigadores de infraestructura rara vez realizan experimentos, pero la lógica sobrevive: para cada rival, encuentre una observación que el rival predice de forma distinta que su hipótesis.

La regla práctica de este curso: una explicación rival no está abordada hasta que usted haya enunciado qué predice que su hipótesis no predice, y lo haya comprobado. «Controlamos la estacionalidad» no es una respuesta; «un aumento estacional aparecería también en Wexmoor, y la estimación es neta del cambio de Wexmoor» sí lo es.

4.2 Qué predice la hipótesis del desbordamiento

Antes de enumerar los rivales, escriba el patrón completo de predicciones de la hipótesis principal. Si el desvío de ambulancias de Kestrel desplazó carga a sus vecinos, entonces:

  1. Momento: las llegadas a los vecinos aumentan cuando el registro de desvíos de los SEM indica que comenzó el desvío, no antes, y vuelven a bajar cuando termina (quizá con una cola breve).
  2. Lugar: el aumento es mayor en los SU más cercanos (un gradiente de distancia).
  3. Población: no hay un aumento correspondiente en una región no afectada durante los mismos días.
  4. Canal: las llegadas en ambulancia aumentan más que las llegadas por cuenta propia, si el SU de Kestrel siguió abierto a quienes llegaban por su cuenta.
  5. Mecanismo: los registros de destino de los SEM muestran traslados que normalmente habrían ido a Kestrel yendo a los vecinos; el personal describe la redistribución.

Un rival que reproduzca las cinco predicciones no puede distinguirse con estos datos. La mayoría de los rivales falla en al menos una, y ese fallo es la prueba.

4.3 Rivales en el Estudio de Desbordamiento

Rival Qué predeciría Evidencia discriminante
R1 Repunte estacional de enfermedades respiratorias Aumento en los SU de todas las regiones, que comienza con la estación y no con el desvío; sin gradiente de distancia; también aumentan las llegadas por cuenta propia Cambio en la región de comparación; canal de llegadas por cuenta propia; fechas placebo en estaciones anteriores
R2 Evento regional concurrente (ola de calor, concentración multitudinaria, cierre de carreteras) Aumento ligado a las fechas y la geografía del evento Calendarios de eventos; meteorología; datos viales; alineación temporal
R3 Cambio de política de los SEM al mismo tiempo Cambio de destinos que comienza en la fecha de la política y que puede durar más allá del desvío Registro de políticas de los SEM; entrevistas; persistencia después del día 20
R4 Cambio en la medición (nuevo sistema de registro en un vecino; pérdida de datos propia de Kestrel) Escalón en la serie que coincide con el cambio de sistema; posiblemente en todos los resultados de ese sistema Preguntas a los socios; comprobación de discontinuidades en resultados no relacionados del mismo sistema
R5 Regresión a la media Evento fechado por un valor inusual del resultado; descenso posterior hacia la media Día 0 definido a partir del registro de desvíos, con independencia de los resultados (Barnett et al., 2005)
R6 Anticipación Cambio antes del día 0 (rumores, interrupciones parciales) Inspeccionar los días −14 a −1; entrevistas sobre la fase inicial del incidente
R7 Azar Estimaciones dentro del rango de los eventos ficticios en periodos normales Distribución de placebos en el tiempo; intervalos
R8 Choque distinto en la región de comparación Wexmoor cambia por sus propias razones y sesga la diferencia Comparar cada SU de Wexmoor por separado; comprobar los eventos propios de Wexmoor; unidades de comparación alternativas (capítulo 8)
R9 Desvíos no cibernéticos en Kestrel en otros momentos Aumentos similares en otros episodios de desvío Analizar los desvíos no cibernéticos como comprobación del mecanismo (una fortaleza, no una amenaza, si el patrón es similar)

Observe el papel de R9. Si los desvíos ordinarios de Kestrel por saturación también desplazan carga a Alder Point, eso respalda el mecanismo y sugiere que lo que importa es el desvío, no el ransomware, lo que estrecha la afirmación con honestidad. La exposición del estudio es el «desvío inducido por ransomware»; si un desvío por ransomware difiere de uno ordinario (más largo, menos previsible, con los sistemas de información caídos en el hospital que desvía) es otra pregunta.

4.4 Diagramas causales

Un diagrama causal (grafo acíclico dirigido, DAG) dibuja las variables como nodos y los efectos causales supuestos como flechas. Su valor está en que hace visibles los supuestos y le dice qué comparaciones quedan sesgadas por qué caminos (Greenland, Pearl and Robins, 1999; Hernán and Robins, Causal Inference: What If). En el Estudio de Desbordamiento, piense en la «exposición» como estar en el periodo de desvío y en el resultado como las llegadas a Alder Point ese día:

Attack ──► Diversion ──► EMS destination choices ──► Arrivals at AP
                                                       ▲   ▲
Calendar time ──► Season ──────────────────────────────┘   │
      │                                                     │
      └──────────► (period: before vs during) ── Trend ─────┘

Season ──► Arrivals in Wexmoor          Distance (AP, BF, CG) modifies EMS destination choices

Descripción textual del diagrama: el ataque causa el desvío, que cambia las elecciones de destino de los SEM, que aumentan las llegadas a Alder Point. El tiempo de calendario determina tanto si un día está en el periodo de desvío como la estación; la estación también aumenta las llegadas a Alder Point y en Wexmoor. La distancia modifica la intensidad con que el desvío cambia los destinos en cada vecino.

El diagrama muestra por qué una comparación antes-después está sesgada: «antes frente a durante» está ligado al tiempo de calendario, y el tiempo de calendario llega al resultado a través de la estación, un camino por la puerta trasera desde el periodo de exposición hasta el resultado que no pasa por el desvío. Ajustar directamente por la estación es imposible (no se mide con precisión), pero las llegadas de Wexmoor las causa la estación y no el desvío, así que restar el cambio de Wexmoor elimina el camino estacional si la estación afecta por igual a ambas regiones. Ese «si» es el supuesto de tendencias paralelas del capítulo 3, ahora visible como un supuesto sobre flechas.

4.5 Herramientas discriminantes y sus supuestos

Herramienta Cómo funciona Supuesto en que se apoya
Población de comparación Una población no expuesta comparte las causas rivales; su cambio estima la contribución de los rivales Comparte los rivales por igual y no tiene ningún rival propio (R8)
Población de control negativo Una población que no puede verse afectada por la exposición; cualquier «efecto» en ella revela un sesgo del método (Lipsitch et al., 2010) Está sujeta a los mismos sesgos que la población tratada
Resultado de control negativo Un resultado que la exposición no puede afectar pero los factores de confusión sí; un «efecto» sobre él señala confusión (misma fuente) La exposición realmente no puede afectarlo: argumentarlo, no suponerlo
Placebo en el tiempo Aplicar el análisis a fechas de evento ficticias en las que no ocurrió nada; la estimación real debería ser inusual entre ellas Las ventanas ficticias se parecen a la real en estación y ruido
Dosis-respuesta Una exposición mayor (SU más cercano) debería producir un efecto mayor La distancia es un indicador válido de la intensidad de la exposición
Alineación temporal El cambio debería comenzar y terminar con la exposición tal como se registra con independencia del resultado Existen registros independientes de la exposición y son exactos
Evidencia del mecanismo Los registros de destino y las entrevistas muestran la vía Los registros están completos; los relatos no están moldeados por la retrospectiva

Dos advertencias. Primera: los controles negativos necesitan argumentos, no etiquetas. Las llegadas por cuenta propia a Alder Point parecen un resultado de control negativo para un desvío de ambulancias, pero si los pacientes que habrían acudido por su cuenta a Kestrel también fueron a otro lugar, esas llegadas están parcialmente expuestas; úselas como comparación de canal (predicción 4), no como control negativo puro. Segunda: las entrevistas realizadas después de un incidente están sujetas al sesgo retrospectivo: conocer el resultado cambia el juicio de las personas sobre cuán previsible era (Fischhoff, 1975). Pregunte por lo que se sabía y se decidió en cada momento, anclado a registros fechados, en lugar de «qué salió mal».

4.6 Explicaciones en competencia en casos documentados

Los incidentes públicos de infraestructura muestran una y otra vez una explicación cibernética que compite con otra. Los casos siguientes se describen solo al nivel que informan sus fuentes públicas.

Caso Explicaciones en competencia Evidencia que discriminó, según la información pública Lección para el diseño de la investigación
Planta de agua de Oldsmar, 2021 Intrusión remota frente a acción de un empleado Según el exadministrador de la ciudad, el FBI no encontró evidencia de acceso externo; un portavoz del FBI dijo que no podía confirmar una intrusión dirigida (WUSF, 2023); el aviso AA21-042A de CISA había informado de un compromiso Codificar las causas de los incidentes con su estado y su fuente; un aviso no es una conclusión definitiva
Hospital de Düsseldorf, 2020 Retraso del tratamiento causado por el ataque frente a la enfermedad de base del paciente La fiscalía concluyó tras la autopsia que el retraso no fue determinante (MIT Technology Review, 2020) Las afirmaciones sobre resultados individuales necesitan un contrafactual para el individuo; los diseños a nivel de población plantean una pregunta distinta
Colonial Pipeline, 2021 Oleoducto detenido porque se atacaron los sistemas operativos frente a una parada preventiva tras un ataque de ransomware contra la empresa El DOE describe que la empresa «cerró de forma proactiva su sistema de oleoductos en respuesta a un ataque de ransomware» (DOE) Una consecuencia puede deberse a la respuesta a un ataque; un estudio debe modelar las decisiones, no solo los compromisos
Interrupción mundial de julio de 2024 Ciberataque frente a actualización de software defectuosa Microsoft atribuyó la interrupción a una actualización defectuosa de un software de seguridad en 8,5 millones de dispositivos (Microsoft, 2024) Los fallos no maliciosos producen consecuencias de apariencia cibernética; son a la vez rivales y comparaciones útiles

La fila de Colonial merece énfasis para el Estudio de Desbordamiento. El desvío de Kestrel fue una decisión tomada en respuesta al ataque, no una consecuencia mecánica de este. El mismo ataque en un hospital con otra dirección, otros procedimientos u otra información podría haber llevado a un desvío más corto o a ninguno. Por eso, la exposición del estudio es el desvío y su afirmación trata de las consecuencias del desvío; no debe leerse como una estimación del efecto del ransomware en sí.

4.7 Ejemplo resuelto: la tabla de rivales en la propuesta (sintético)

El primer párrafo sobre rivales del candidato decía: «Los posibles factores de confusión, como la estacionalidad, se controlaron mediante el uso de una región de comparación». El supervisor pidió la predicción distintiva y la prueba de cada rival. La sección revisada de la propuesta:

Un rival que el estudio no puede poner a prueba —por ejemplo, un cambio no registrado en la forma en que se despachaban las propias ambulancias de Kestrel— va a las limitaciones con su dirección probable (capítulo 7).

4.8 Actividad práctica: la estación que parecía desbordamiento

Guarde el archivo siguiente como lab4_data.py; los laboratorios 6 y 8 lo importan. Genera los datos sintéticos de Tamsin Valley y Wexmoor para los días −180 a +89 con variación por día de la semana, variación adicional de un día a otro, dos festivos regionales y una estación respiratoria que empieza a subir cerca del día 0 en ambas regiones. Los efectos verdaderos de desbordamiento están fijados en el diccionario TRUE: +22 % en Alder Point durante los días 0–20 (+5 % en los días 21–34), +10 % en Brookfield (+2 %) y ninguno en Calloway. Después, el script compara una estimación ingenua antes-después (28 días antes frente a los días 0–20) con el mismo cambio expresado en relación con Wexmoor, y ejecuta la comparación ingenua en 19 ventanas ficticias de 21 días en la línea de base.

# Lab 4 - competing explanations for a post-incident rise in ambulance arrivals (offline, standard library only)
# Save as lab4_data.py: Labs 6 and 8 import make_region() from it.
# Synthetic Tamsin Valley (treated region) and Wexmoor (comparison region); day 0 = start of the
# 21-day ambulance diversion at the attacked Kestrel hospitals. Days -180..89.
import math, random

DOW = [1.08, 1.02, 1.00, 0.98, 1.00, 0.96, 0.96]
BASE = {"AP": 40, "BF": 30, "CG": 22, "W1": 35, "W2": 28}           # ambulance arrivals per day
DIST_KM = {"AP": 6, "BF": 14, "CG": 38}                            # distance from Kestrel
TRUE = {"AP": (0.22, 0.05), "BF": (0.10, 0.02), "CG": (0.0, 0.0)}  # (days 0-20, days 21-34)
HOLIDAYS = {-100, 45}                                              # regional holidays, both regions
DAYS = range(-180, 90)

def poisson(rng, lam):
    L, k, p = math.exp(-lam), 0, 1.0
    while True:
        p *= rng.random()
        if p <= L:
            return k
        k += 1

def season(t, amp):
    return 1 + amp / (1 + math.exp(-(t - 10) / 6))

def effect(site, t):
    during, tail = TRUE.get(site, (0.0, 0.0))
    return during if 0 <= t <= 20 else tail if 21 <= t <= 34 else 0.0

def make_region(seed=2026):
    rng = random.Random(seed)
    data = {}
    for site, base in BASE.items():
        amp = 0.18 if site in TRUE else 0.17
        series = {}
        for t in DAYS:
            lam = base * DOW[t % 7] * season(t, amp) * (1 + effect(site, t))
            lam *= (0.85 if t in HOLIDAYS else 1.0) * rng.gammavariate(60, 1 / 60)
            series[t] = poisson(rng, lam)
        data[site] = series
    wait = {}                                                     # AP median minutes to provider
    for t in DAYS:
        wait[t] = max(5.0, rng.gauss(28 + (4 if 0 <= t <= 20 else 0) + 3 * (season(t, 0.18) - 1) / 0.18, 6))
    data["AP_wait"] = wait
    return data

def mean(xs):
    xs = list(xs)
    return sum(xs) / len(xs)

def naive(series, pre=(-28, -1), ev=(0, 20)):
    return mean(series[t] for t in range(pre[0], pre[1] + 1)), mean(series[t] for t in range(ev[0], ev[1] + 1))

if __name__ == "__main__":
    d = make_region()
    comp = {t: d["W1"][t] + d["W2"][t] for t in DAYS}
    print("site  km  pre28  event  naive_change  relative_to_Wexmoor")
    cp, ce = naive(comp)
    for s in ("AP", "BF", "CG", "W1", "W2"):
        p, e = naive(d[s])
        rel = (e / p) / (ce / cp) - 1
        km = DIST_KM.get(s, "-")
        print(f"{s:4}  {str(km):>2}  {p:5.1f}  {e:5.1f}  {e / p - 1:+12.3f}  {rel:+19.3f}")
    print(f"Wexmoor pooled pre/post change: {ce / cp - 1:+.3f}  (no exposure: a negative-control population)")
    # placebo-in-time: the same naive comparison at 21-day windows that end before day 0
    pl = []
    for start in range(-150, -21, 7):
        p, e = naive(d["AP"], pre=(start - 28, start - 1), ev=(start, start + 20))
        pl.append(e / p - 1)
    print(f"AP naive placebo windows: n={len(pl)} min={min(pl):+.3f} max={max(pl):+.3f}")

Salida esperada:

site  km  pre28  event  naive_change  relative_to_Wexmoor
AP     6   38.4   51.1        +0.330               +0.246
BF    14   30.4   33.8        +0.112               +0.042
CG    38   22.6   24.5        +0.081               +0.013
W1     -   33.5   37.0        +0.106               +0.036
W2     -   28.1   28.7        +0.022               -0.043
Wexmoor pooled pre/post change: +0.067  (no exposure: a negative-control population)
AP naive placebo windows: n=19 min=-0.064 max=+0.091

Lea la salida como lo haría un seminario:

Las cifras relativas a Wexmoor de este laboratorio son cocientes toscos de medias. El capítulo 6 las sustituye por una serie temporal interrumpida controlada que también modela la tendencia y da intervalos robustos a la autocorrelación.

4.9 Errores comunes y límites

El límite de las herramientas de este capítulo es que cada una se apoya en un supuesto que no puede comprobarse por completo con los mismos datos. La defensa frente a ese límite es la triangulación: cuando la evidencia de momento, lugar, población, canal y mecanismo apunta en la misma dirección, los rivales restantes deben explicarla toda a la vez.

Ejercicios — capítulo 4

EX021 — Tabla de rivales. Objetivo: enumerar rivales con predicciones distintivas. Entradas: un hallazgo sintético: «tras un ataque de ransomware contra una cadena regional de farmacias, las dispensaciones de recetas en farmacias independientes situadas a menos de 10 km aumentaron un 18 % en las dos semanas siguientes». Restricciones: al menos seis rivales. Pasos: (1) enuncie las cinco predicciones de la hipótesis principal (momento, lugar, población, canal, mecanismo); (2) para cada rival, enuncie qué predice de forma distinta; (3) nombre los datos que discriminarían. Evidencia esperada: tabla. Rúbrica: 3 = los rivales incluyen la estación, los eventos concurrentes (por ejemplo, cambios de las aseguradoras), la medición y un choque en la región de comparación, cada uno con una predicción distintiva y comprobable; 2 = un rival sin predicción distintiva; 1 = lista genérica; 0 = nada.

EX022 — Longitud de la línea de base y estimación ingenua. Objetivo: mostrar por qué un periodo previo más largo desplaza la estimación ingenua antes-después mientras que la estimación relativa a Wexmoor apenas se mueve. Entradas: código del laboratorio 4. Restricciones: sin conexión; no cambiar la semilla. Pasos: (1) ejecute el laboratorio y registre la salida; (2) cambie la línea de base ingenua de 28 a 56 días (pre=(-56, -1)) para todos los centros, incluida la comparación agrupada, e informe de los cambios ingenuos y relativos a Wexmoor; (3) explique por qué las estimaciones ingenuas cambiaron pero las relativas cambiaron poco. Evidencia esperada: salidas y un párrafo. Rúbrica: 3 = valores correctos, explicación de que la estación llega a ambas regiones, de modo que el cociente anula la mayor parte de su efecto, mientras que la estimación ingenua depende de cuánta línea de base anterior a la estación incluye; 2 = un valor erróneo; 1 = no ejecutado; 0 = nada.

EX023 — Diagrama causal. Objetivo: explicitar los supuestos. Entradas: el Estudio de Desbordamiento con un hecho añadido: durante el desvío, el condado abrió también una carpa temporal de atención urgente cerca de Brookfield. Restricciones: DAG textual o dibujado con una descripción textual. Pasos: (1) añada la carpa al diagrama; (2) identifique cómo sesga la estimación de Brookfield y en qué dirección; (3) proponga datos o un diseño para abordarlo; (4) indique si amenaza la estimación de Alder Point. Evidencia esperada: diagrama, descripción y párrafo. Rúbrica: 3 = la carpa aparece como una cointervención que afecta a las llegadas de Brookfield (probablemente reduce las llegadas por cuenta propia y quizá las de ambulancia), la dirección está razonada, la respuesta es concreta (análisis por canal, datos de asistencia a la carpa, sensibilidad) y Alder Point se evalúa por distancia y área de influencia; 2 = dirección sin enunciar; 1 = diagrama sin razonamiento; 0 = nada.

EX024 — Controles negativos. Objetivo: argumentar, no etiquetar. Entradas: controles negativos candidatos: (a) llegadas en ambulancia a Wexmoor; (b) llegadas por cuenta propia a Alder Point; (c) infusiones ambulatorias programadas en Alder Point; (d) llegadas en ambulancia a Calloway. Restricciones: usar la lógica de Lipsitch et al. Pasos: para cada uno, indique si es una población o un resultado de control negativo, si la exposición podría afectarlo, si comparte los factores de confusión y su veredicto. Evidencia esperada: tabla. Rúbrica: 3 = (a) aceptado como población con la salvedad de la estación paralela, (b) rechazado como control negativo puro pero útil para el canal, (c) no afectado por el desvío pero probablemente tampoco por la estación, así que débil, (d) rechazado porque Calloway forma parte del gradiente de distancia de la hipótesis; 2 = un veredicto sin justificar; 1 = solo etiquetas; 0 = nada.

EX025 — Una explicación en competencia documentada. Objetivo: analizar un caso público. Entradas: las fuentes sobre Düsseldorf del §4.6 y del §2.5. Restricciones: no especular más allá de las fuentes. Pasos: (1) enuncie las dos explicaciones en competencia; (2) enuncie qué evidencia decidió entre ellas, según la información publicada; (3) explique por qué una afirmación sobre una muerte individual y una afirmación a nivel de población sobre el desvío y los resultados requieren diseños distintos; (4) proponga una pregunta a nivel de población que pueda estudiarse de forma ética. Evidencia esperada: una página. Rúbrica: 3 = explicaciones enunciadas, conclusión basada en la autopsia comunicada con su fuente, contrafactual individual distinguido del poblacional, diseño poblacional ético propuesto (por ejemplo, urgencias dependientes del tiempo durante los desvíos con datos agregados de registros); 2 = falta un elemento; 1 = especulación; 0 = nada.

EX026 — La decisión como exposición. Objetivo: separar el ataque de la respuesta. Entradas: la fila de Colonial Pipeline del §4.6 y el desvío de Kestrel. Restricciones: media página. Pasos: (1) explique por qué la exposición del Estudio de Desbordamiento es el desvío; (2) enumere dos formas en que el mismo ataque podría haber producido un desvío distinto; (3) reescriba la afirmación del estudio para que no exagere el papel del ransomware; (4) proponga una pregunta sobre las decisiones de desvío para un estudio posterior. Evidencia esperada: párrafo y afirmación. Rúbrica: 3 = se articula la respuesta como causa, decisiones alternativas plausibles, afirmación acotada al desvío, pregunta sobre decisiones respondible; 2 = la afirmación sigue tratando del ransomware en general; 1 = confunde el ataque y el desvío; 0 = nada.

Síntesis del capítulo

Mantenga varias explicaciones a la vez y busque observaciones que las separen. Escriba el patrón completo de la hipótesis principal —momento, lugar, población, canal, mecanismo— y exija a cada rival que lo explique entero. Un diagrama causal muestra por qué una comparación antes-después está sesgada por la estación y qué supuesto necesita una región de comparación. Las poblaciones de comparación, los controles negativos, las fechas placebo, la dosis-respuesta y la alineación temporal discriminan cada uno bajo un supuesto que usted debe argumentar. Los casos públicos muestran explicaciones cibernéticas que compiten con errores de operadores, enfermedades de base, decisiones preventivas y actualizaciones defectuosas; la lección es registrar el estado y modelar las decisiones. El laboratorio 4 muestra un método ingenuo que encuentra «desbordamiento» a 38 km y en una región no afectada, y una región de comparación que revela un gradiente cercano a la verdad.

Siga estudiando — capítulo 04 de 08

← Capítulo 03 · Índice de capítulos del curso · Capítulo 05 →

Continúe con la siguiente lección escrita.

Respuestas desarrolladas

EX021 — Tabla de rivales (ejemplo de las farmacias). Predicciones de la hipótesis principal: las dispensaciones aumentan en las independientes cuando empieza la interrupción de la cadena y vuelven a bajar cuando termina; el aumento es mayor cerca de las tiendas de la cadena; no hay aumento en zonas comparables no afectadas; el canal son los traslados de nuevos clientes (pacientes nuevos para la farmacia independiente) y no que los pacientes existentes retiren más; los farmacéuticos informan de traslados. Rivales: estación (recetas de la temporada respiratoria: predice aumentos en todas partes; se comprueba con una zona de comparación); cambio de aseguradora o de formulario esa semana (predice cambios ligados a fármacos o planes concretos; se comprueba por clase de fármaco y pagador); medición (un atasco del sistema de reclamaciones que libera dispensaciones retrasadas: predice un pico de dispensaciones fechadas antes pero procesadas tarde; se comprueba comparando la fecha de dispensación con la de procesamiento); choque en la comparación (se comprueba cada zona de comparación por separado); cierres de tiendas de la cadena no relacionados con el ataque (se comprueban los registros por tienda); azar (semanas placebo). La máxima calificación exige predicciones distintivas, no una lista de temas.

EX022 — Longitud de la línea de base y estimación ingenua. Con pre=(-56, -1) para todos los centros y para la comparación agrupada:

Centro Previo (56 días) Evento Cambio ingenuo Relativo a Wexmoor
AP 39.2 51.1 +0.302 +0.235
BF 30.2 33.8 +0.118 +0.060
CG 22.9 24.5 +0.069 +0.014
W1 35.3 37.0 +0.050 −0.004
W2 27.1 28.7 +0.059 +0.005

El cambio de Wexmoor agrupado es +0.054. Las estimaciones ingenuas cambian (Alder Point pasa de +33,0 % a +30,2 %) porque la línea de base abarca ahora otro tramo de la serie, con otro ruido y un nivel estacional ligeramente distinto; las estimaciones relativas cambian poco (Alder Point, de +24,6 % a +23,5 %; Calloway, de +1,3 % a +1,4 %) porque la estación afecta de forma similar a ambas regiones, así que la parte de la estación que incluya la línea de base se anula en gran medida en el cociente. W1 y W2 en relación con Wexmoor agrupado son cercanos a cero por construcción, ya que forman la comparación agrupada.

EX023 — Diagrama causal. Añada un nodo «Carpa» con las flechas Carpa → llegadas por cuenta propia a Brookfield (fuerte) y Carpa → llegadas en ambulancia a Brookfield (posible, si los SEM llevaron a la carpa a pacientes de baja gravedad). La carpa es una cointervención concurrente con el desvío y concentrada cerca de Brookfield. Si absorbió pacientes de baja gravedad, reduce las llegadas a Brookfield y sesga la estimación del desbordamiento en Brookfield hacia cero (o por debajo). También distorsiona el gradiente de PI2 y hace que el descenso de Alder Point a Brookfield parezca más pronunciado. Respuestas: obtener la asistencia diaria a la carpa; analizar por separado los canales de ambulancia y por cuenta propia; realizar un análisis de sensibilidad que vuelva a sumar las atenciones de la carpa que los registros de los SEM atribuyen al área de influencia de Brookfield. Alder Point se ve menos afectado si su área de influencia no se solapa con la de la carpa; compruébelo con los registros de destino de los SEM.

EX024 — Controles negativos.

Candidato Tipo ¿Podría afectarlo la exposición? ¿Comparte los factores de confusión? Veredicto
(a) Llegadas a Wexmoor Población No (otra región, sin SEM compartidos) Sí, la estación, si es similar Aceptar, con la salvedad de la estación paralela
(b) Llegadas por cuenta propia a Alder Point Resultado Sí, si los pacientes que habrían acudido por su cuenta a Kestrel fueron a otro lugar Sí Rechazar como control negativo puro; usar como comparación de canal
(c) Infusiones ambulatorias programadas en Alder Point Resultado Improbable Probablemente no: la atención programada no depende de la estación respiratoria Débil: no revelaría la confusión estacional
(d) Llegadas a Calloway Población/resultado Posiblemente, en pequeña medida: forma parte de la hipótesis de distancia Sí Rechazar: usarlo como control negativo presupone la respuesta a PI2

EX025 — Una explicación en competencia documentada. Explicaciones: el retraso del tratamiento causado por el desvío derivado del ataque causó la muerte, frente a la enfermedad de base de la paciente. Según la información publicada, la fiscalía concluyó tras la autopsia que el retraso no fue determinante y que la enfermedad por sí sola causó la muerte (MIT Technology Review, noviembre de 2020). Una afirmación sobre una muerte individual requiere el contrafactual individual —¿habría sobrevivido esta paciente con un tratamiento más temprano?—, que una autopsia y una revisión clínica pueden a veces abordar; una afirmación a nivel de población pregunta si los resultados de un grupo de pacientes con urgencias dependientes del tiempo empeoran durante los desvíos, lo que requiere comparar grupos y no dice nada definitivo sobre una muerte concreta. Pregunta poblacional ética: «Durante los desvíos de ambulancias en un centro regional de ictus, ¿cambiaron los tiempos puerta-tratamiento de los pacientes con ictus de la región en relación con periodos comparables sin desvío?», con datos agregados o de registros y las aprobaciones adecuadas.

EX026 — La decisión como exposición. La exposición del estudio es el desvío porque fue lo que movió las ambulancias; el ataque importó a través de la decisión de desviar. Dos decisiones alternativas: Kestrel podría haber seguido abierto a las ambulancias con procedimientos de contingencia (sin desvío, poco desbordamiento), o haber desviado solo categorías concretas como el ictus y el trauma (desbordamiento parcial concentrado en centros especializados). Afirmación reescrita: «En un evento sintético, un desvío de ambulancias de 21 días tras un ataque de ransomware fue seguido de un aumento estimado del 24 % en las llegadas en ambulancia al SU vecino más cercano; el resultado se refiere a las consecuencias del desvío tal como se decidió, no al ransomware en sí». Pregunta posterior: «¿Qué información y qué criterios usan los directivos hospitalarios para decidir si desvían ambulancias durante un ciberincidente y durante cuánto tiempo, y cómo varían esas decisiones?».