OpenCyber Academy
Posgrado · Capítulo 12 · Español
Código del curso: OCA-161Capítulo 12: OCA-161-C012

Capítulo 12 — Revisión final y transferencia

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 12 publicada. Mapa, ejemplo, EX056.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["12.1 El curso como un único método"]
  N2["12.2 Transferencia entre sectores"]
  N3["12.3 Decisiones multicriterio y puntos de inversión"]
  N4["12.4 Autoevaluación y práctica continuada"]
  N5["12.6 Actividad práctica: mismas opciones, pesos dist"]
  N6["Síntesis del capítulo"]
  N7["Capítulo 1: EX001–EX005"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX056"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["12.1 El curso como un único método"]
  N2["12.2 Transferencia entre sectores"]
  N3["12.3 Decisiones multicriterio y puntos de inversión"]
  N4["12.4 Autoevaluación y práctica continuada"]
  N5["12.6 Actividad práctica: mismas opciones, pesos dist"]
  N6["Síntesis del capítulo"]
  N7["Capítulo 1: EX001–EX005"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX056"]

[Resultados de aprendizaje y conexión]
    |
    v
[12.1 El curso como un único método]
    |
    v
[12.2 Transferencia entre sectores]
    |
    v
[12.3 Decisiones multicriterio y puntos de inversión]
    |
    v
[12.4 Autoevaluación y práctica continuada]
    |
    v
[12.6 Actividad práctica: mismas opciones, pesos dist]
    |
    v
[Síntesis del capítulo]
    |
    v
[Capítulo 1: EX001–EX005]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX056]

Resultados de aprendizaje y conexión

Al terminar este capítulo, usted debería ser capaz de:

  1. Integrar los métodos del curso en un enfoque coherente de las decisiones de seguridad a escala de la organización.
  2. Transferir una decisión de un sector a otro reexaminando los supuestos y volviendo a obtener los pesos.
  3. Hallar el peso con el que se invierte una recomendación multicriterio y usarlo para centrar la discusión.
  4. Evaluar su propia competencia frente al resultado del curso con evidencia y planificar su desarrollo continuo.
  5. Completar un análisis de caso avanzado que se apoye en todos los capítulos.

Este capítulo final repasa el curso como un único método, practica su transferencia a un sector nuevo y prepara la evaluación final. Su último ejercicio es el caso integrador del curso.

12.1 El curso como un único método

Leído de principio a fin, el curso describe un ciclo que un especialista ejecuta de forma continua:

  1. Plantear la decisión: titular, opciones (incluida la de aplazar), objetivos en unidades de servicio (capítulo 1).
  2. Conocer la línea base: obligaciones, orientaciones y práctica verificada (capítulo 2).
  3. Establecer los hechos: evidencia que separe la observación de la inferencia (capítulo 3).
  4. Cuantificar y distribuir el riesgo: frecuencia, gravedad, cola y quién lo soporta (capítulo 4).
  5. Diseñar alternativas: primero la consecuencia, comparadas como grafos y como sistemas operables (capítulo 5).
  6. Evaluar antes de confiar: pruebas controladas con intervalos (capítulo 6).
  7. Integrar: titularidad, proveedores, mando de emergencias e intercambio de información (capítulo 7).
  8. Prepararse para los casos difíciles: pesos, relojes y obligaciones acordados de antemano (capítulo 8).
  9. Dirigir y asegurar: indicadores, casos de aseguramiento, evidencia vigente (capítulo 9).
  10. Leer con sentido crítico: estudios, avisos y afirmaciones, con vistas a su transferencia (capítulo 10).
  11. Ejecutar y evaluar proyectos con honestidad (capítulo 11).

Cada paso produce un artefacto que otros pueden inspeccionar: un registro de decisión, un plan de verificación, un hallazgo, una curva de excedencia de pérdidas con una tabla de distribución, un ADR, un informe de evaluación, un RACI, un acuerdo sobre los pesos del restablecimiento, un caso de aseguramiento, una ficha de evidencia, un informe de proyecto. La credibilidad de un especialista descansa en esos artefactos más que en cualquier juicio aislado.

12.2 Transferencia entre sectores

Los especialistas cambian de sector, y el trabajo regional exige razonar sobre varios a la vez. La transferencia fracasa de dos maneras características: copiando conclusiones que dependían de las condiciones del primer sector; y copiando pesos que reflejaban los valores del primer sector. La transferencia tiene éxito cuando se copia el método y se reexamina cada supuesto. Una lista de comprobación práctica para la transferencia:

12.3 Decisiones multicriterio y puntos de inversión

Cuando las opciones se comparan según varios criterios con pesos (un modelo sencillo de suma ponderada), la recomendación depende de los pesos. En lugar de defender un único conjunto de pesos, halle el punto de inversión: el peso con el que cambia la recomendación. Si el punto de inversión está lejos de cualquier peso plausible, la recomendación es robusta; si está cerca, la discusión debe centrarse en ese peso. El análisis de sensibilidad sistemático de los modelos es un campo en sí mismo (Saltelli et al., 2008); para una decisión con tres opciones, suele bastar un barrido unidimensional. Es el equivalente multicriterio de los umbrales de probabilidad del capítulo 1.

12.4 Autoevaluación y práctica continuada

El resultado del curso es dirigir la aplicación avanzada y justificar las elecciones a escala de la organización en infraestructura crítica y seguridad sectorial. Evalúese frente a él con evidencia, no con sensaciones: para cada capítulo, ¿qué artefacto ha producido, con qué nivel (las rúbricas de los ejercicios) y qué retroalimentación ha recibido? Las carencias se convierten en un plan de desarrollo continuo con práctica concreta, no solo con cursos: dirija un simulacro; redacte un registro de decisión para una decisión real; revise el contrato de un proveedor; informe a un consejo; presente una ficha de evidencia a sus colegas. Los códigos profesionales esperan que los profesionales mantengan su competencia y trabajen dentro de ella (ACM Code of Ethics; NSPE Code of Ethics). Las leyes, los estándares y las amenazas cambiarán a lo largo de su carrera; los hábitos de plantear bien, aportar evidencia, ser honesto con la incertidumbre y registrar el juicio, no.

12.5 Ejemplo resuelto: transferir la elección de un programa a Merrow Health (sintético)

El panel de Merrow Water puntuó tres programas de seguridad según cuatro criterios (0–10): continuidad del servicio esencial, seguridad de las personas, asequibilidad y privacidad. La dirección de Merrow Water ponderó mucho la continuidad y poco la privacidad. Merrow Health quiere reutilizar el análisis. El especialista copia las puntuaciones solo después de comprobar cada una con colegas clínicos y de gobernanza de la información (en este ejemplo se confirman) y pide a la dirección de Merrow Health que fije sus propios pesos. El Lab 12 compara los resultados y halla el punto de inversión.

Copiar las puntuaciones es en sí un juicio. Las puntuaciones de continuidad y de seguridad podrían ser distintas en un hospital, donde los sistemas clínicos que fallan causan daño en minutos y la privacidad conlleva deberes legales a los que una empresa de agua rara vez se enfrenta. Registrar que cada puntuación se comprobó, y quién lo hizo, permite al lector ver que la transferencia descansa en datos de entrada verificados y no solo en el panel de Merrow Water.

12.6 Actividad práctica: mismas opciones, pesos distintos

# Lab 12 - transferring a decision to another sector: same options, different weights (offline, stdlib only)
# Synthetic: three security programmes scored 0-10 on four criteria by Merrow Water's panel, then reused
# by Merrow Health. Scores are invented; the weights are what each sector's leadership agreed.
OPTIONS = {  # option: scores on (continuity of essential service, safety of people, cost-affordability, privacy)
    "P1 manual-operation readiness":     (9, 7, 6, 4),
    "P2 identity and remote-access":     (6, 6, 7, 8),
    "P3 network monitoring and response": (7, 5, 4, 6),
}
CRIT = ["continuity", "safety", "affordability", "privacy"]
WEIGHTS = {
    "water":  (0.45, 0.30, 0.20, 0.05),
    "health": (0.25, 0.30, 0.15, 0.30),
}
for sector, w in WEIGHTS.items():
    assert abs(sum(w) - 1) < 1e-9
    scores = {o: sum(a * b for a, b in zip(s, w)) for o, s in OPTIONS.items()}
    print(sector, " ".join(f"{o.split()[0]}={v:.2f}" for o, v in scores.items()), " best:", max(scores, key=scores.get).split()[0])
# Sweep the privacy weight, taking it proportionally from the other water weights, to find the reversal point
w0 = WEIGHTS["water"]; prev = None
for k in range(0, 61):
    p = k / 100; rest = sum(w0[:3])
    w = tuple(x / rest * (1 - p) for x in w0[:3]) + (p,)
    best = max(OPTIONS, key=lambda o: sum(a * b for a, b in zip(OPTIONS[o], w))).split()[0]
    if best != prev: print(f"privacy weight {p:.2f}: best {best}"); prev = best

Salida esperada:

water P1=7.55 P2=6.30 P3=5.75  best: P1
health P1=6.45 P2=6.75 P3=5.65  best: P2
privacy weight 0.00: best P1
privacy weight 0.28: best P2

Interpretación. Con los pesos del agua, la preparación para la operación manual (P1) obtiene 7,55 y es claramente la preferida. Con los pesos de la salud (la privacidad pesa ahora 0,30 porque están en juego datos de pacientes), gana la identidad y el acceso remoto (P2), con 6,75 frente a 6,45. El barrido sobre los pesos del agua muestra que P2 supera a P1 en cuanto el peso de la privacidad pasa de aproximadamente 0,28; para la salud, el barrido inverso (EX056) muestra que P1 recupera el primer lugar en cuanto el peso de la continuidad supera aproximadamente 0,32. La lección sobre la transferencia es que las puntuaciones viajaron, la conclusión no: la misma evidencia, ponderada según los valores legítimos de otro sector, recomienda un programa distinto. El trabajo del especialista es hacerlo visible, no convencer a un sector de que adopte los pesos del otro. Los puntos de inversión indican además a cada dirección exactamente qué juicio debe debatir.

12.7 Errores comunes y límites

Los modelos de suma ponderada suponen que los criterios pueden compensarse linealmente y que las puntuaciones están en escalas comparables; ninguna de las dos cosas es del todo cierta. Son herramientas para una conversación estructurada, que se usan mejor junto con los puntos de inversión y el registro de decisión.

Ejercicios — capítulo 12

EX056 — El punto de inversión de la salud. Objetivo: hallar dónde cambia la recomendación. Entradas: el Lab 12. Restricciones: haga un barrido del peso de la continuidad para la salud, tomando el resto proporcionalmente de los otros tres criterios. Pasos: (1) modifique el barrido; (2) informe del peso con el que P1 supera a P2; (3) obtenga el mismo punto algebraicamente; (4) explique qué debería debatir la dirección de Merrow Health. Evidencia esperada: código, salida, derivación y un párrafo. Rúbrica: 3 = inversión entre 0,31 y 0,32 con el barrido y 0,318 algebraicamente (4,4c − 1,4 = 0), discusión centrada en la continuidad frente a la privacidad para los servicios clínicos; 2 = solo el barrido; 1 = no ejecutado; 0 = nada.

EX057 — Lista de comprobación de la transferencia. Objetivo: transferir una conclusión del sector del agua a un puerto. Entradas: la recomendación robusta C del capítulo 1 (la mitad para el bastionado del acceso remoto, la mitad para la capacidad de operación manual) para Merrow Water. Restricciones: use la lista de comprobación del §12.2 para Port of Merrow. Pasos: para cada elemento, indique qué difiere y si cambia la conclusión; después, indique qué volvería a obtener. Evidencia esperada: tabla y conclusión. Rúbrica: 3 = diferencias concretas (tiempo hasta el daño en días; TO de la terminal gestionada por un contratista; regímenes distintos; concentración de proveedores en Halden Cloud y Lumen Watch; consecuencias comerciales en lugar de sanitarias), conclusión derivada de nuevo en lugar de copiada, nueva obtención enumerada; 2 = algunos elementos genéricos; 1 = copia la conclusión; 0 = nada.

EX058 — Autoevaluación con evidencia. Objetivo: evaluar la competencia frente al resultado del curso. Entradas: sus respuestas a los ejercicios y la retroalimentación recibida. Restricciones: evidencia para cada afirmación. Pasos: (1) para cada capítulo, enumere su artefacto y su puntuación en la rúbrica; (2) identifique sus tres áreas más débiles; (3) redacte un plan de desarrollo a 12 meses con actividades prácticas y evidencia del progreso. Evidencia esperada: tabla y plan. Rúbrica: 3 = puntuaciones honestas con evidencia, debilidades concretas, plan basado en la práctica con evidencia medible; 2 = plan solo de cursos; 1 = sin evidencia; 0 = nada.

EX059 — Caso integrador: compromiso de un proveedor en Merrow Bay. Objetivo: aplicar el curso completo a un caso avanzado. Entradas: escenario sintético: Corvane Systems informa de que un atacante accedió a su plataforma de soporte remoto durante once días; Corvane da soporte al SCADA de Merrow Water y de Merrow Energy y a los sistemas de anatomía patológica de Merrow Health. Los registros de Merrow Water muestran tres sesiones de Corvane en ese periodo, una de ellas de noche y sin ningún tique asociado. Restricciones: 3.000 palabras como máximo; solo datos sintéticos; cite los capítulos de los métodos. Pasos: (1) plantee las decisiones inmediatas y las estratégicas (cap. 1); (2) indique el plan probatorio y los hallazgos iniciales (cap. 3); (3) fije las prioridades de restablecimiento y de protección entre los tres operadores con pesos explícitos (cap. 4, 8); (4) evalúe los cambios de diseño en el acceso de los proveedores (cap. 5, 6); (5) aborde la titularidad, la concentración de proveedores y la coordinación del foro (cap. 7); (6) redacte las comunicaciones al consejo y al regulador (cap. 3, 9); (7) evalúe con sentido crítico las declaraciones de Corvane (cap. 10); (8) proponga un proyecto de continuación con un diseño de evaluación (cap. 11). Evidencia esperada: informe del caso. Rúbrica: de 0 a 3 en cada una de las ocho partes (máximo 24); 20 o más = excelente, 14–19 = competente, menos de 14 = todavía no competente. La máxima puntuación exige incertidumbre explícita, juicios de valor registrados y ningún engaño en las comunicaciones.

EX060 — Práctica continuada y desencadenantes de revisión. Objetivo: mantener actualizado el curso. Entradas: las referencias de este libro. Restricciones: identifique las fuentes que probablemente cambiarán. Pasos: (1) enumere cinco fuentes (leyes, estándares, orientaciones) que deba volver a verificar, con el modo en que las vigilará; (2) fije desencadenantes de revisión para su propia práctica (por ejemplo, un nuevo aviso que afecte a sus productos de acceso remoto); (3) indique cómo registrará los cambios en sus registros de decisiones. Evidencia esperada: plan de una página. Rúbrica: 3 = fuentes realmente volátiles (por ejemplo, la transposición de NIS2, las revisiones de NERC CIP, la revisión de la SP 800-82, las actualizaciones de los CPG, las orientaciones sectoriales), vigilancia concreta, desencadenantes concretos, método de registro de los cambios; 2 = vigilancia genérica; 1 = solo una lista; 0 = nada.

Síntesis del capítulo

El curso es un único método: plantear, conocer la línea base, aportar evidencia, cuantificar el riesgo y su distribución, diseñar, evaluar, integrar, prepararse para los casos difíciles, dirigir y asegurar, leer con sentido crítico y ejecutar proyectos con honestidad, y cada paso produce un artefacto inspeccionable. Transfiera el método, no la conclusión: reexamine la consecuencia, la física, la regulación, las personas, los datos y los valores, y deje que cada sector fije sus propios pesos. Informe de los puntos de inversión para que los líderes debatan el juicio que importa. Evalúese con evidencia, planifique la práctica con retroalimentación y mantenga en revisión las fuentes y las decisiones a medida que cambia el campo.

Respuestas desarrolladas

EX001 — Plantee una decisión hospitalaria. Quien decide: el director de Operaciones (COO) de Merrow Health, con aprobación del consejo por encima de un umbral de capital establecido. Decisión: si sustituir, y cuándo, el sistema de información del laboratorio de anatomía patológica sin soporte. Opciones: (A) sustituirlo este año por un producto con soporte; (B) aislar el sistema actual, restringir sus interfaces y sustituirlo dentro de dos años; (C) sustituirlo dentro de dos años sin más aislamiento (una opción débil que una persona razonable solo preferiría con una presión presupuestaria extrema; es mejor reemplazarla por una tercera opción genuina, como trasladar el trabajo urgente al sistema de otro centro); (D) aplazar indefinidamente. Objetivos (unidades de servicio): maximizar los resultados urgentes entregados dentro de los plazos clínicos; minimizar las intervenciones programadas canceladas; minimizar la exposición de datos que identifican a pacientes. Horizonte: decisión este trimestre; consecuencias a tres años. Restricciones: ninguna plantilla adicional no presupuestada; se exige la aprobación de seguridad clínica; obligaciones de protección de datos. La máxima puntuación exige una tercera opción genuina (no un hombre de paja), objetivos en unidades de servicio y restricciones diferenciadas de los objetivos.

EX005 — Auditoría de sesgos. Disponibilidad (el ransomware del oleoducto), anclaje (el presupuesto de 400.000 £), optimismo sobre el respaldo manual (2009), recuento de controles (nueve de once hallazgos), deferencia/pensamiento de grupo (el presidente habló primero, no hubo otras opiniones). Remedios: estimaciones independientes antes de la discusión; pre mortem; exigir evidencia de simulacros recientes; puntuar las opciones por consecuencias; registrar el disenso y rotar quién habla primero.

EX056 — El punto de inversión de la salud. Barrido: P1 supera a P2 cuando el peso de la continuidad llega a aproximadamente 0,32. Álgebra: sean las puntuaciones P1 = (9,7,6,4) y P2 = (6,6,7,8); con los pesos (c, 0,30/0,75·(1−c), 0,15/0,75·(1−c), 0,30/0,75·(1−c)), la diferencia P1−P2 = 0 en c ≈ 0,318. La dirección debería debatir cuánto pesa más la continuidad que la privacidad en los servicios clínicos.

EX057 — Lista de comprobación de la transferencia. Diferencias del puerto: tiempo hasta el daño más lento; TO gestionada por un contratista; regímenes distintos; concentración en Halden Cloud y Lumen Watch; consecuencias comerciales. La mitad dedicada a la operación manual puede importar menos que la resiliencia de la identidad y de la nube; vuelva a obtener los escenarios, las probabilidades y los pesos con el capitán de puerto y el contratista.

EX058 — Autoevaluación con evidencia. La máxima puntuación exige artefactos capítulo a capítulo con sus puntuaciones en las rúbricas, tres debilidades concretas y un plan a 12 meses basado en la práctica con evidencia del progreso (por ejemplo, «dirigir dos simulacros; redactar tres registros de decisión revisados por un colega»).

EX059 — Caso integrador. Evalúe de 0 a 3 cada una de las ocho partes del ejercicio (máximo 24). Una respuesta sólida plantea las decisiones inmediatas (¿suspender el acceso de Corvane?, ¿notificar?) y las estratégicas (rediseñar el acceso de los proveedores); planifica la evidencia en los tres operadores; fija los pesos del restablecimiento con el foro; propone un acceso similar a D3 con evaluación; repara la titularidad y aborda la concentración en Corvane; comunica sin engaños; lee con sentido crítico las declaraciones de Corvane; y propone un proyecto de continuación con DiD o un diseño equivalente. La incertidumbre y los juicios de valor son explícitos en todo momento.

EX060 — Práctica continuada y desencadenantes de revisión. Fuentes volátiles: la transposición nacional de NIS2 y sus orientaciones; las revisiones de NERC CIP; las actualizaciones de la NIST SP 800-82 y del CSF; los CPG y el KEV de CISA; las orientaciones sectoriales (HPH CPGs, sector del agua). Vigilancia: listas de correo de los estándares, páginas de los reguladores, suscripciones a avisos. Desencadenantes: un aviso nuevo que afecte a los productos de acceso remoto; un incidente en una organización similar; un cambio en la concentración de proveedores. Registre los cambios como actualizaciones fechadas de los registros de decisiones.