Capítulo 2 — Infraestructura crítica y seguridad sectorial: práctica actual

Capítulo 2 — Infraestructura crítica y seguridad sectorial: práctica actual

Mapa de la lección

Lección 02 publicada. Mapa, ejemplo, EX007.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["2.1 Qué significa «práctica actual» para un especial"]
  N2["2.2 Líneas base transversales"]
  N3["2.3 Los regímenes sectoriales crean distintos tipos"]
  N4["2.4 Por qué difiere la práctica entre sectores"]
  N5["2.5 Declarado, documentado y verificado"]
  N6["2.6 Priorizar por consecuencias"]
  N7["2.8 Actividad práctica: cobertura declarada frente a"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX007"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["2.1 Qué significa «práctica actual» para un especial"]
  N2["2.2 Líneas base transversales"]
  N3["2.3 Los regímenes sectoriales crean distintos tipos"]
  N4["2.4 Por qué difiere la práctica entre sectores"]
  N5["2.5 Declarado, documentado y verificado"]
  N6["2.6 Priorizar por consecuencias"]
  N7["2.8 Actividad práctica: cobertura declarada frente a"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX007"]

[Resultados de aprendizaje y conexión]
    |
    v
[2.1 Qué significa «práctica actual» para un especial]
    |
    v
[2.2 Líneas base transversales]
    |
    v
[2.3 Los regímenes sectoriales crean distintos tipos]
    |
    v
[2.4 Por qué difiere la práctica entre sectores]
    |
    v
[2.5 Declarado, documentado y verificado]
    |
    v
[2.6 Priorizar por consecuencias]
    |
    v
[2.8 Actividad práctica: cobertura declarada frente a]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX007]

Resultados de aprendizaje y conexión

Al terminar este capítulo, usted debería ser capaz de:

1. Describir las principales líneas base y regímenes, transversales y sectoriales, con los que probablemente se encontrará un operador de servicios esenciales, y qué tipo de obligación crea cada uno.
2. Explicar por qué los sectores que comparten tecnología siguen necesitando prácticas distintas: difieren la consecuencia, la física, la regulación y la plantilla.
3. Distinguir la implantación declarada, documentada y verificada de una práctica, y medir la diferencia.
4. Priorizar las carencias por su consecuencia para el servicio esencial y no por su número.
5. Criticar una práctica común y proponer una alternativa mejor fundamentada en evidencias.

El capítulo 1 le dio una forma de elegir entre opciones. Este capítulo aporta las opciones que se espera que conozca un especialista competente y el estándar de evidencia para afirmar que están implantadas. El capítulo 3 se pregunta después qué cuenta como evidencia cuando algo sale mal.

2.1 Qué significa «práctica actual» para un especialista

La «práctica actual» no es una única lista. Es la intersección de tres cosas: lo que exigen los reguladores y las normas en su jurisdicción y su sector; lo que recomiendan las orientaciones autorizadas a partir de los ataques observados; y lo que los operadores comparables realmente hacen y pueden demostrar. Un especialista debe conocer las tres y debe poder decir de qué fuente procede cada afirmación de un programa de seguridad, porque tienen un peso distinto. Una obligación legal es una restricción; un requisito de una norma puede ser contractual o certificable; una orientación es un consejo que debe sopesarse frente a su propio análisis de consecuencias.

La práctica también envejece. Los avisos sobre el preposicionamiento en redes de infraestructura por parte de actores patrocinados por Estados que usan herramientas de administración legítimas (CISA, AA24-038A, 2024) cambiaron lo que significan un «registro adecuado» y una «higiene de credenciales adecuada» para los operadores que los habían tratado como tareas domésticas de TI. Una línea base que era actual hace tres años puede ser hoy un mínimo.

2.2 Líneas base transversales

Cuatro familias de documentos se repiten en todos los sectores:

• Marcos de resultados. El NIST CSF 2.0 organiza los resultados en Govern, Identify, Protect, Detect, Respond y Recover (gobernar, identificar, proteger, detectar, responder y recuperar) (NIST, 2024). El Cyber Assessment Framework del NCSC del Reino Unido fija cuatro objetivos (gestionar el riesgo de seguridad, protegerse frente a los ciberataques, detectar los eventos de ciberseguridad y minimizar el impacto de los incidentes), con indicadores de buena práctica para cada principio, y está diseñado en torno a las funciones esenciales (NCSC, CAF). Los marcos de resultados dicen qué debe lograrse, no cómo; son buenos para estructurar un programa y malos como guiones de prueba.
• Líneas base priorizadas. Los Cross-Sector Cybersecurity Performance Goals de CISA enumeran un pequeño conjunto de prácticas con un alto valor de reducción del riesgo para organizaciones de cualquier tamaño (CISA, CPGs); el Departamento de Salud y Servicios Humanos de EE. UU. publicó, con el mismo espíritu, objetivos de desempeño específicos para la atención sanitaria (HHS, HPH CPGs, 2024). Son útiles precisamente porque son breves; no son un programa completo.
• Catálogos de controles. La NIST SP 800-53 Rev. 5 es un catálogo exhaustivo de controles de seguridad y privacidad (NIST); la NIST SP 800-82 Rev. 3 adapta las orientaciones a la tecnología operativa, incluidas superposiciones (overlays) y las restricciones particulares de los sistemas de control (NIST, 2023).
• Normas industriales. La serie ISA/IEC 62443 aborda la seguridad de los sistemas de automatización y control industrial para propietarios de activos, integradores y proveedores de productos, incluidas las zonas y los conductos, los niveles de seguridad y el desarrollo seguro de productos (ISA overview). Su parte de evaluación de riesgos para el diseño de sistemas, la IEC 62443-3-2, es el punto de partida habitual de una revisión de arquitectura de TO (IEC catalogue page).

2.3 Los regímenes sectoriales crean distintos tipos de obligación

A escala de la organización, la pregunta no es «qué marco es el mejor», sino «qué obligaciones se nos aplican y qué evidencias esperará cada regulador». Ejemplos, que deben volver a verificarse para su jurisdicción y su fecha:

De ahí se derivan dos lecciones. Primera: un operador que abarca varios sectores (una empresa multiservicios, un puerto con su propia red eléctrica) puede estar sujeto a varios regímenes con plazos de notificación y estilos de evidencia distintos; armonizarlos en un único conjunto interno de controles con correspondencias es una tarea central del especialista. Segunda: el cumplimiento es un mínimo y una restricción, como sostuvo el capítulo 1: dos operadores que cumplen plenamente el mismo régimen pueden tener una resiliencia muy distinta.

2.4 Por qué difiere la práctica entre sectores

La tecnología compartida tienta a copiar prácticas de un sector a otro. Cuatro diferencias hacen que eso no sea seguro:

1. Consecuencia y tiempo. Los sistemas clínicos de un hospital fallan hacia daños en minutos u horas; un sistema de agua con almacenamiento puede tener de horas a días; el daño de un sistema de pagos se acumula en las ventanas de liquidación; el de un puerto, en el tiempo de permanencia de la carga y en las cadenas de suministro. El tiempo hasta el daño determina cuánto respaldo manual se necesita y con qué rapidez debe darse la respuesta.
2. Física y seguridad funcional. En la TO, una acción de seguridad puede causar daño por sí misma: un escaneo agresivo puede bloquear un controlador; aislar una red puede dejar ciegos a los operadores. La NIST SP 800-82 subraya que las restricciones de disponibilidad y de seguridad funcional determinan qué controles de seguridad son aceptables (NIST, 2023).
3. Regulación y cultura de la evidencia. La electricidad en Norteamérica trabaja con requisitos auditables y prescriptivos; muchas empresas de agua trabajan con evaluaciones certificadas periódicas; la atención sanitaria trabaja bajo la legislación de privacidad y la gobernanza de la seguridad clínica, además de las normas de seguridad.
4. Plantilla y proveedores. Las pequeñas empresas de servicios pueden no tener personal de seguridad; los hospitales dependen de los fabricantes de dispositivos médicos para los parches; los puertos dependen de los proveedores del sistema operativo de la terminal y de las navieras. Quién puede implantar realmente una práctica determina si es real.

2.5 Declarado, documentado y verificado

La mayoría de las evaluaciones de líneas base son autoevaluaciones. Son útiles, pero un especialista debe saber qué parte de un «sí» está verificada. Use tres grados de evidencia:

• Verificado (V): se observó que la práctica funciona mediante prueba, inspección o conciliación: se realizó y cronometró una restauración; se exportó y comprobó la configuración del proveedor de identidad; se conciliaron los registros del intermediario con las sesiones del cortafuegos.
• Documentado (D): existe una política, un diseño o un procedimiento que dice que la práctica está implantada, pero nadie comprobó que la realidad coincida.
• Afirmación (S): alguien lo dijo.

Los métodos de evaluación del catálogo del NIST distinguen entre examinar, entrevistar y probar por la misma razón (NIST SP 800-53 Rev. 5). La diferencia entre la cobertura declarada y la verificada es a menudo la cifra más importante de un informe de línea base, y la que más a menudo se omite. También es donde viven los incidentes: copias de seguridad sin conexión que «existen» pero nunca se han restaurado; un acceso de proveedores que está «intermediado» salvo por aquel módem heredado.

2.6 Priorizar por consecuencias

La importancia de una práctica depende de cuánto limita la pérdida del servicio esencial. Pondere las prácticas por su consecuencia (no por cuántas referencias de marcos les corresponden) y priorice las carencias en las que el peso es alto y la puntuación verificada es baja. Los pesos son juicios; registre quién los fijó (capítulo 1). En Merrow Bay, el foro acordó que la MFA en el acceso remoto, la segmentación entre TI y TO, las copias de seguridad sin conexión probadas y el acceso de proveedores intermediado tienen el mayor peso, porque cada una limita directamente una vía hacia la pérdida del suministro observada en incidentes públicos: el compromiso del acceso remoto de un sistema de tratamiento de agua fue objeto de un aviso conjunto en 2021 (CISA, AA21-042A), aunque el relato de ese suceso concreto se cuestionó después (WUSF, 2023); la debilidad del acceso remoto que describía el aviso sigue siendo, en cualquier caso, una preocupación de diseño válida.

2.7 Ejemplo resuelto: las autoevaluaciones de cuatro operadores (sintético)

El Merrow Bay Resilience Forum pidió a cuatro operadores que autoevaluaran ocho prácticas, con una puntuación de 0 (ausente), 1 (parcial) o 2 (implantada), y que calificaran la evidencia como V, D o S. La tarea del especialista es convertir las respuestas en una imagen regional sin ofender a nadie ni creérselo todo. En lugar de «rechazar» las afirmaciones, el Lab 2 les da un crédito provisional de cero hasta que se prueben y medio crédito a los documentos. Esos créditos son una elección de política; el EX007 pone a prueba su efecto.

Dos convenciones determinan los resultados. Los pesos de cada práctica los acordó el foro, de modo que la imagen regional refleja su juicio sobre qué prácticas limitan la pérdida del suministro. Y los operadores aparecen con su nombre en este ejemplo solo porque es sintético; un informe real del foro mostraría normalmente a cada operador su propia fila y daría a los demás solo el resumen regional. El especialista debería enviar a cada operador su resultado en privado antes de la reunión del foro, para que nadie descubra una carencia incómoda delante de sus homólogos.

2.8 Actividad práctica: cobertura declarada frente a verificada

# Lab 2 - claimed versus verified baseline coverage, weighted by consequence (offline, standard library only)
# Synthetic: four Merrow Bay operators self-assess eight baseline practices (0 = absent, 1 = partial, 2 = in place)
# and say what evidence backs each answer: V = verified by test or inspection, D = document only, S = statement only.
PRACTICES = {  # practice -> consequence weight (how much it limits loss of the essential service; invented)
    "MFA on remote access": 3, "asset inventory incl. OT": 2, "IT/OT segmentation": 3,
    "offline backups restored in test": 3, "central logging retained 90d": 1,
    "incident plan exercised in 12 months": 2, "vendor access brokered and recorded": 3,
    "default credentials removed": 2,
}
ANSWERS = {  # operator -> list of (score, evidence) in PRACTICES order
    "Merrow Water":     [(2,"V"),(1,"D"),(2,"D"),(2,"S"),(1,"V"),(2,"V"),(1,"S"),(2,"S")],
    "Merrow Health":    [(2,"V"),(1,"D"),(1,"D"),(2,"V"),(2,"V"),(2,"D"),(1,"D"),(1,"S")],
    "Merrow Energy":    [(2,"V"),(2,"V"),(2,"V"),(1,"D"),(2,"V"),(2,"V"),(2,"D"),(2,"D")],
    "Port of Merrow":   [(2,"S"),(0,"S"),(1,"S"),(2,"S"),(1,"D"),(1,"S"),(0,"S"),(2,"S")],
}
CREDIT = {"V": 1.0, "D": 0.5, "S": 0.0}  # how much of a claimed score we accept without further testing
W = list(PRACTICES.values()); maxw = 2 * sum(W)
print(f"{'operator':16s} claimed  verified  gap(weighted points)")
gaps = []
for op, ans in ANSWERS.items():
    claimed = sum(w * s for w, (s, e) in zip(W, ans))
    verified = sum(w * s * CREDIT[e] for w, (s, e) in zip(W, ans))
    print(f"{op:16s} {claimed/maxw:6.0%}   {verified/maxw:6.0%}   {maxw-verified:5.1f}")
    for (name, w), (s, e) in zip(PRACTICES.items(), ans):
        unverified = w * (2 - s * CREDIT[e])
        if w == 3 and unverified >= 3:
            gaps.append((unverified, op, name, s, e))
print("\nHigh-consequence practices with >= 3 unverified weighted points:")
for u, op, name, s, e in sorted(gaps, reverse=True):
    print(f"  {u:4.1f}  {op:16s} {name}  (claimed {s}, evidence {e})")

Salida esperada:

operator         claimed  verified  gap(weighted points)
Merrow Water        84%      39%    23.0
Merrow Health       74%      53%    18.0
Merrow Energy       92%      75%     9.5
Port of Merrow      58%       1%    37.5

High-consequence practices with >= 3 unverified weighted points:
   6.0  Port of Merrow   vendor access brokered and recorded  (claimed 0, evidence S)
   6.0  Port of Merrow   offline backups restored in test  (claimed 2, evidence S)
   6.0  Port of Merrow   MFA on remote access  (claimed 2, evidence S)
   6.0  Port of Merrow   IT/OT segmentation  (claimed 1, evidence S)
   6.0  Merrow Water     vendor access brokered and recorded  (claimed 1, evidence S)
   6.0  Merrow Water     offline backups restored in test  (claimed 2, evidence S)
   4.5  Merrow Health    vendor access brokered and recorded  (claimed 1, evidence D)
   4.5  Merrow Health    IT/OT segmentation  (claimed 1, evidence D)
   4.5  Merrow Energy    offline backups restored in test  (claimed 1, evidence D)
   3.0  Merrow Water     IT/OT segmentation  (claimed 2, evidence D)
   3.0  Merrow Energy    vendor access brokered and recorded  (claimed 2, evidence D)

Interpretación. La cobertura declarada va del 58 % al 92 %; la verificada, del 1 % al 75 %. La posición de la propia Merrow Water (84 % declarada, 39 % verificada) resulta incómoda para su especialista: las dos carencias de mayor peso son afirmaciones de que las copias de seguridad sin conexión pueden restaurarse y de que el acceso de proveedores está intermediado. El 1 % de Port of Merrow no significa que el puerto no tenga seguridad; significa que no se ha demostrado nada. La lista priorizada es un plan de verificación antes que un plan de corrección: cada uno de los once elementos se basa en una afirmación o en un documento, de modo que la primera acción en cada caso es poner a prueba la afirmación, algo barato en comparación con comprar controles y, a veces, suficiente para cerrar la carencia. Merrow Energy, con evidencias mayoritariamente verificadas, es la mejor fuente de método práctico de la región: un activo para el foro, no solo una puntuación.

2.9 Criticar una práctica común

Se espera que los especialistas cuestionen las prácticas que persisten por costumbre. Tome la «prueba de penetración de TO» anual que figura en muchos contratos. A menudo produce una lista de hallazgos sobre una muestra de sistemas en una ventana corta, con técnicas que deben atenuarse para no perturbar el proceso, y suele delimitarse de modo que se evitan los activos de mayor consecuencia. Entre las alternativas con mejor valor como evidencia figuran: una revisión guiada por las consecuencias que parte del peor resultado físico creíble y retrocede hasta las rutas digitales que podrían causarlo (Idaho National Laboratory, CCE); la conciliación continua de los registros de acceso remoto y de cambios; y las pruebas en una instalación representativa en lugar de en la planta en producción (capítulo 6). La crítica no es «no pruebe nunca»; es «elija el método de evidencia que responde a la pregunta que de verdad hace el consejo de administración».

2.10 Errores comunes y límites

• Tratar una correspondencia con un marco como evidencia de implantación.
• Informar solo de la cobertura declarada, o promediar la declarada y la verificada en una sola cifra.
• Copiar la práctica de otro sector sin comprobar el tiempo hasta el daño y las restricciones de seguridad funcional.
• Tratar la línea base más breve como el programa completo, o el catálogo más largo como una lista de tareas.
• Suponer que el regulador de un sector aceptará evidencias diseñadas para otro.
• Ponderar las prácticas por cuántas normas las mencionan y no por su consecuencia.

El límite de cualquier línea base es que describe defensas que son comunes porque los ataques eran comunes. Dice poco sobre las rutas raras, dirigidas o nuevas, y por eso los capítulos 4 y 5 añaden el análisis guiado por las consecuencias.

Ejercicios — capítulo 2

EX006 — Haga corresponder una práctica con varios marcos. Objetivo: vincular una práctica con obligaciones y orientaciones sin confundirlas. Entradas: «acceso de proveedores intermediado y registrado» en Merrow Water. Restricciones: use solo las fuentes citadas en los §2.2–2.3; no cite texto de normas de pago. Pasos: (1) identifique la función o funciones del CSF 2.0 y el objetivo del CAF a los que contribuye; (2) indique si aparece como objetivo transversal de CISA; (3) explique cómo la encuadra la idea de zonas y conductos de la IEC 62443; (4) indique, sin dar asesoramiento jurídico, si es una obligación legal para una empresa de agua en su jurisdicción y cómo lo verificaría. Evidencia esperada: una tabla breve de correspondencias y un párrafo. Rúbrica: 3 = correspondencias correctas a nivel de función y objetivo, obligaciones separadas de las orientaciones, una vía de verificación con asesoramiento jurídico indicada; 2 = una correspondencia errónea; 1 = trata las orientaciones como ley; 0 = nada.

EX007 — Cambie la política de evidencias. Objetivo: comprobar cómo cambia la imagen una política de puntuación. Entradas: el Lab 2. Restricciones: cambie el crédito de una afirmación de 0.0 a 0.25 y no cambie nada más. Pasos: (1) vuelva a ejecutarlo e informe de la cobertura verificada de cada operador; (2) diga qué conclusiones del §2.8 se mantienen; (3) defienda una política de créditos para el informe del foro. Evidencia esperada: salidas y un argumento de 200 palabras. Rúbrica: 3 = números correctos, reconocimiento de que se mantienen el orden y la prioridad de probar las afirmaciones, una política defendida a partir del uso del informe; 2 = números correctos, argumento débil; 1 = no ejecutado; 0 = nada.

EX008 — Plan de verificación. Objetivo: convertir las principales carencias en pruebas. Entradas: los tres elementos de Merrow Water de mayor peso en la lista del Lab 2. Restricciones: las pruebas deben ser seguras para la planta en funcionamiento; nombre la evidencia que contaría como V. Pasos: para cada elemento, indique el método (prueba, inspección, conciliación), el responsable, las condiciones de seguridad, el criterio de aceptación y el coste esperado en días-persona. Evidencia esperada: tabla. Rúbrica: 3 = los métodos ponen realmente a prueba la realidad (por ejemplo, una restauración cronometrada de un sistema identificado a un servidor aislado; la conciliación de los registros del intermediario con las sesiones del cortafuegos durante 30 días), condiciones de seguridad explícitas, criterios de aceptación medibles; 2 = un método solo documental; 1 = «revisar la política»; 0 = nada.

EX009 — Operador sujeto a varios regímenes. Objetivo: planificar las evidencias para regímenes superpuestos. Entradas: una empresa multiservicios sintética de la UE que suministra agua, opera una pequeña red de distribución eléctrica y tiene una filial de pagos. Restricciones: identifique los regímenes del §2.3 que podrían aplicarse, sin decidir su ámbito jurídico. Pasos: (1) enumere los regímenes candidatos y por qué podría aplicarse cada uno; (2) diseñe un único conjunto interno de controles con correspondencias; (3) identifique los plazos de notificación de incidentes que deben conciliarse; (4) indique qué preguntaría a los asesores jurídicos. Evidencia esperada: plan de una página. Rúbrica: 3 = regímenes candidatos plausibles, un único conjunto de controles con correspondencias, plazos de notificación identificados como problema de diseño, preguntas jurídicas específicas; 2 = correspondencias vagas; 1 = presenta conclusiones jurídicas como hechos; 0 = nada.

EX010 — Critique una práctica. Objetivo: defender un método de evidencia mejor. Entradas: el contrato de Merrow Health exige una «prueba de penetración externa anual de la red clínica». Restricciones: 300 palabras; respete la seguridad de los pacientes. Pasos: (1) enuncie la pregunta que el consejo quiere responder; (2) diga qué responde y qué no responde la prueba anual; (3) proponga una cartera alternativa de evidencias; (4) indique sus límites. Evidencia esperada: memorando. Rúbrica: 3 = pregunta explícita, límites de las pruebas puntuales identificados (muestra, ventana, atenuación, dispositivos excluidos), alternativas ajustadas a la pregunta, límites honestos; 2 = crítica sin alternativa; 1 = rechaza de plano las pruebas; 0 = nada.

Síntesis del capítulo

La práctica actual es la intersección de la obligación, la orientación y la práctica demostrada de los homólogos, y cada una tiene un peso distinto. Conozca los marcos de resultados, las líneas base priorizadas, los catálogos de controles y las normas industriales, y sepa qué regímenes obligan a su organización y qué evidencias espera cada uno. No copie prácticas entre sectores sin comprobar el tiempo hasta el daño, la física, la regulación y la plantilla. Califique la evidencia como verificada, documentada o afirmación, informe con honestidad de la diferencia, pondere las prácticas por su consecuencia y convierta las mayores carencias en verificación antes que en corrección. Cuestione las prácticas habituales preguntando a qué pregunta responden sus evidencias.

Siga estudiando — capítulo 02 de 12

← Capítulo 01 · Índice de capítulos del curso · Capítulo 03 →

Continúe con la siguiente lección escrita.