Capítulo 4 — Riesgo y ética avanzados | Posgrado Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 04 publicada. Mapa, ejemplo, EX016.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["4.1 Por qué engañan las estimaciones puntuales"]
  N2["4.2 Apetito y tolerancia en unidades de servicio"]
  N3["4.3 El juicio experto como evidencia"]
  N4["4.4 La ética en la seguridad de los servicios esenci"]
  N5["4.5 Quién soporta el riesgo residual"]
  N6["4.7 Actividad práctica: excedencia de pérdidas y dis"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX016"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["4.1 Por qué engañan las estimaciones puntuales"]
  N2["4.2 Apetito y tolerancia en unidades de servicio"]
  N3["4.3 El juicio experto como evidencia"]
  N4["4.4 La ética en la seguridad de los servicios esenci"]
  N5["4.5 Quién soporta el riesgo residual"]
  N6["4.7 Actividad práctica: excedencia de pérdidas y dis"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX016"]

[Resultados de aprendizaje y conexión]
    |
    v
[4.1 Por qué engañan las estimaciones puntuales]
    |
    v
[4.2 Apetito y tolerancia en unidades de servicio]
    |
    v
[4.3 El juicio experto como evidencia]
    |
    v
[4.4 La ética en la seguridad de los servicios esenci]
    |
    v
[4.5 Quién soporta el riesgo residual]
    |
    v
[4.7 Actividad práctica: excedencia de pérdidas y dis]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX016]

Resultados de aprendizaje y conexión

Al terminar este capítulo, usted debería ser capaz de:

Construir una estimación cuantificada del riesgo con una incertidumbre explícita sobre la frecuencia y la gravedad, y leerla como una curva de excedencia de pérdidas en lugar de como un único número.
Expresar el apetito y la tolerancia al riesgo en unidades de servicio, con límites sobre la cola y no solo sobre la media.
Obtener y documentar el juicio experto de forma que pueda cuestionarse.
Analizar quién soporta el riesgo residual y reconocer cuándo una opción que es mejor en promedio es peor para un grupo concreto.
Aplicar principios éticos reconocidos a las decisiones de seguridad, a las pruebas y a la divulgación en los servicios esenciales.

El capítulo 1 comparó opciones con una tabla de escenarios. Este capítulo sustituye la tabla por distribuciones y añade la pregunta que las tablas de decisión ocultan: ¿para quién es mejor una opción? El capítulo 8 aplica ambas cosas a casos en los que cualquier elección perjudica a alguien.

4.1 Por qué engañan las estimaciones puntuales

Una entrada de un registro de riesgos como «probabilidad 3, impacto 4, puntuación 12» oculta tres cosas que una decisión necesita: con qué frecuencia, con qué gravedad y con cuánta incertidumbre. Las recomendaciones del NIST sobre evaluación de riesgos describen el riesgo como una función de la amenaza, la vulnerabilidad, la probabilidad y el impacto, y advierten de que las evaluaciones deben indicar sus supuestos y su incertidumbre (NIST SP 800-30 Rev. 1). Además, multiplicar puntuaciones ordinales hace aritmética con números que son solo etiquetas.

Un modelo mínimo mejor tiene dos partes: una distribución de frecuencia del número de eventos de pérdida que ocurren en un año y una distribución de gravedad de lo grave que es cada uno. En las infraestructuras, la gravedad suele tener asimetría a la derecha: la mayoría de las interrupciones son cortas y unas pocas son muy largas. La distribución lognormal es una elección habitual y sencilla para estas magnitudes; sus parámetros deben anclarse en la evidencia (duraciones de interrupciones pasadas, resultados de ejercicios, incidentes de organizaciones similares) y la propia elección debe registrarse como un supuesto. Simular muchos años da una distribución de la pérdida anual, que puede resumirse de tres maneras: la media (lo que se paga en promedio), la probabilidad de superar los umbrales que importan y un percentil alto como el 99 (un año malo de uno entre cien). Representar la probabilidad de excedencia frente a la pérdida da la curva de excedencia de pérdidas (LEC, por sus siglas en inglés).

4.2 Apetito y tolerancia en unidades de servicio

El apetito de riesgo es la cantidad y el tipo de riesgo que una organización está dispuesta a buscar o retener; la tolerancia fija los límites de la variación aceptable. El NIST CSF 2.0 sitúa ambos dentro de la gobernanza (NIST, 2024). En un servicio esencial, las declaraciones de apetito deben formularse en unidades de servicio y deben acotar la cola. Por ejemplo (sintético): «Merrow Water no aceptará una probabilidad anual superior al 2 % de una interrupción relacionada con ciberincidentes que supere un millón de horas-hogar de suministro, ni ningún escenario creíble en el que los hogares de un solo distrito se queden sin suministro durante más de 48 horas sin una provisión alternativa». La primera cláusula acota la LEC; la segunda acota la distribución, un tema al que volvemos en el §4.5.

4.3 El juicio experto como evidencia

Cuando los datos escasean, los parámetros de frecuencia y gravedad proceden de personas. La obtención estructurada (definir las magnitudes con precisión, formar a los expertos en calibración, pedir cuantiles en lugar de valores únicos, agregar a varios expertos y registrar la justificación) hace que el juicio sea inspeccionable (O'Hagan et al., 2006). Reglas prácticas para el especialista: pregunte por magnitudes observables («¿cuántas horas se tardaría en restablecer el suministro a Upper Merrow tras una pérdida total del SCADA?») en lugar de por probabilidades abstractas; pida primero un intervalo del 90 % y después una mediana; pida tasas base de operadores comparables; y registre la persona, la fecha, la pregunta y la justificación, para poder revisar la estimación cuando llegue evidencia.

4.4 La ética en la seguridad de los servicios esenciales

Las decisiones de seguridad en las infraestructuras distribuyen el daño. Varios marcos consolidados ayudan a razonar sobre ellas:

El Informe Menlo adaptó los principios de la ética de la investigación (respeto por las personas, beneficencia, justicia) a la investigación en tecnologías de la información y la comunicación, y añadió el respeto por la ley y el interés público (Dittrich and Kenneally, 2012). Sus principios se aplican directamente a las pruebas y a la recogida de datos en entornos operativos.
Los códigos profesionales, como el ACM Code of Ethics y el NSPE Code of Ethics for Engineers, sitúan el bienestar y la seguridad del público por encima del interés del empleador o del cliente, y exigen honestidad sobre los límites de la propia competencia y de la seguridad de un sistema.
La legislación de protección de datos impone deberes al tratamiento de datos personales en la monitorización de seguridad y la gestión de incidentes (GDPR, Regulation (EU) 2016/679); los marcos de privacidad, como el NIST Privacy Framework, ayudan a gestionar esos deberes en el diseño. Nota para el lector hispanohablante: en España, el RGPD se complementa con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales; en América Latina rige la ley de cada país, por ejemplo la Ley 25.326 en Argentina o la Ley 1581 de 2012 en Colombia.

Para un especialista hay cuatro preguntas éticas recurrentes. Distribución: ¿quién soporta el riesgo residual de la opción elegida y tuvo voz en la decisión? Proporcionalidad: ¿es la intrusión de una medida de seguridad (la monitorización del personal, la restricción del acceso de pacientes o clientes) proporcionada al daño que evita? Honestidad: ¿se comunican los riesgos y las incertidumbres con veracidad a quienes deciden y, cuando procede, al público? Divulgación: cuando descubre una debilidad que también afecta a otros (un producto de un proveedor usado por otras empresas de servicios), ¿cómo los protege sin armar a los atacantes? Los procesos de divulgación coordinada de vulnerabilidades existen exactamente para este caso (CISA, CVD Program).

4.5 Quién soporta el riesgo residual

Las medidas agregadas (el total de horas-hogar perdidas, la pérdida esperada) pueden favorecer opciones que protegen zonas densas y bien servidas, porque proteger un poco a muchas personas puntúa más que proteger mucho a pocas. Por eso un especialista debe informar, junto a los totales, de la carga per cápita por grupo (distrito, tipo de cliente) y de la carga sobre las personas con menos capacidad para afrontarla, como los hogares con dependencia médica del agua o de la electricidad. Ni los totales ni las medidas per cápita zanjan la cuestión; elegir entre ellos es un juicio de valor que corresponde a quien decide y rinde cuentas, informado por los deberes legales (por ejemplo, los deberes hacia los clientes vulnerables) y por el apetito declarado de la organización. El deber ético del especialista es hacer visible la distribución para que el compromiso se elija con conocimiento de causa.

4.6 Ejemplo resuelto: dos opciones con el mismo presupuesto (sintético)

Merrow Water abastece a tres distritos. Harbour es urbano (60.000 hogares); Fenley, periurbano (25.000); Upper Merrow, rural (6.000 hogares en una única tubería troncal, con una telemetría lenta de restablecer y largos tiempos de desplazamiento de las cuadrillas). Las interrupciones del suministro relacionadas con ciberincidentes se modelan como eventos de Poisson con una duración lognormal (mediana de 8 horas). Actualmente, el restablecimiento en Upper Merrow tarda el triple. Dos opciones cuestan lo mismo:

X: reforzar el SCADA central: reduce la frecuencia de eventos de 0,30 a 0,20 al año en todas partes; no hace nada por el largo restablecimiento de Upper Merrow.
Y: segunda alimentación y control local para Upper Merrow: deja la frecuencia en 0,30, pero reduce el restablecimiento de Upper Merrow a 0,75 de la duración base.

Los hogares vulnerables (con necesidades médicas o de cuidados registradas) se cuentan por separado: 900 en Harbour, 500 en Fenley y 400 en Upper Merrow.

4.7 Actividad práctica: excedencia de pérdidas y distribución

# Lab 4 - same budget, different people: loss exceedance and the distribution of harm (offline, stdlib only)
# Synthetic: Merrow Water supply interruptions caused by cyber events. Two options cost the same.
import random, math
random.seed(4)
YEARS = 20000
DISTRICTS = {  # name: (households, share of interruption events that hit this district, vulnerable households)
    "Harbour (urban)":  (60000, 0.40, 900),
    "Fenley (suburban)": (25000, 0.25, 500),
    "Upper Merrow (rural, single main)": (6000, 0.35, 400),
}
def poisson(lam):
    L, k, p = math.exp(-lam), 0, 1.0
    while True:
        p *= random.random()
        if p < L: return k
        k += 1
def simulate(freq, hours_mu, hours_sigma, rural_hours_factor):
    annual_hh_hours = []; per_district = {d: 0.0 for d in DISTRICTS}; vuln = {d: 0.0 for d in DISTRICTS}
    for _ in range(YEARS):
        total = 0.0
        for _ in range(poisson(freq)):
            hours = random.lognormvariate(hours_mu, hours_sigma)
            r = random.random(); acc = 0
            for d, (hh, share, v) in DISTRICTS.items():
                acc += share
                if r < acc:
                    h = hours * (rural_hours_factor if d.startswith("Upper") else 1.0)
                    per_district[d] += hh * h; vuln[d] += v * h; total += hh * h
                    break
        annual_hh_hours.append(total)
    return annual_hh_hours, per_district, vuln
OPTIONS = {
    "X: harden central SCADA (fewer events)":      (0.20, math.log(8), 0.9, 3.0),
    "Y: second feed + local control Upper Merrow": (0.30, math.log(8), 0.9, 0.75),
}
for name, args in OPTIONS.items():
    loss, per, vul = simulate(*args)
    loss.sort()
    mean = sum(loss) / YEARS
    p_any = sum(1 for x in loss if x > 0) / YEARS
    p_big = sum(1 for x in loss if x > 1_000_000) / YEARS
    p99 = loss[int(0.99 * YEARS)]
    print(name)
    print(f"  mean household-hours/yr {mean:9.0f}  P(any)={p_any:.3f}  P(>1M hh-h)={p_big:.4f}  99th pct {p99:9.0f}")
    for d, (hh, share, v) in DISTRICTS.items():
        print(f"  {d:34s} hours per household/yr {per[d]/YEARS/hh:5.2f}   vulnerable-household-hours/yr {vul[d]/YEARS:7.0f}")

Salida esperada:

X: harden central SCADA (fewer events)
  mean household-hours/yr     88346  P(any)=0.183  P(>1M hh-h)=0.0204  99th pct   1498603
  Harbour (urban)                    hours per household/yr  0.97   vulnerable-household-hours/yr     872
  Fenley (suburban)                  hours per household/yr  0.64   vulnerable-household-hours/yr     318
  Upper Merrow (rural, single main)  hours per household/yr  2.39   vulnerable-household-hours/yr     956
Y: second feed + local control Upper Merrow
  mean household-hours/yr    117262  P(any)=0.261  P(>1M hh-h)=0.0305  99th pct   1920694
  Harbour (urban)                    hours per household/yr  1.48   vulnerable-household-hours/yr    1332
  Fenley (suburban)                  hours per household/yr  0.91   vulnerable-household-hours/yr     453
  Upper Merrow (rural, single main)  hours per household/yr  0.96   vulnerable-household-hours/yr     386

Interpretación. En todas las medidas agregadas X es mejor: una pérdida media de 88.346 frente a 117.262 horas-hogar al año; una probabilidad anual del 2,0 % frente al 3,1 % de superar un millón de horas-hogar; un percentil 99 más bajo. Frente al apetito del §4.2, X se sitúa en el límite del 2 % para la cola (0,0204, dentro del error de simulación del límite) e Y lo incumple claramente. Pero la distribución invierte el panorama. Con X, un hogar de Upper Merrow pierde en promedio 2,39 horas al año (más del doble que un hogar urbano y casi cuatro veces lo que pierde uno periurbano), y los 400 hogares vulnerables de Upper Merrow soportan 956 horas-hogar vulnerable al año, más que los 900 hogares de Harbour. Y reduce la carga rural a 0,96 horas por hogar y las horas-hogar vulnerable rurales a 386, a costa de cargas mayores en otros lugares. El total de horas-hogar vulnerable es casi idéntico (unas 2.146 con X y 2.171 con Y): las opciones apenas difieren en cuánto daño recae sobre las personas vulnerables en conjunto, pero sí, y mucho, en qué personas vulnerables lo soportan. La segunda cláusula del apetito (ningún distrito sin suministro más de 48 horas) exigiría examinar la cola de Upper Merrow, que el resumen no muestra; esa es la ampliación del EX016.

El análisis no decide entre X e Y. Muestra que «X es mejor» solo es cierto desde una perspectiva utilitarista agregada y que la elección concentra el riesgo en una pequeña población rural. Una recomendación defendible podría combinar X con medidas no técnicas más baratas para Upper Merrow (agua embotellada preposicionada, un registro prioritario de hogares vulnerables), y debe dejar constancia del juicio de valor.

4.8 Errores comunes y límites

Multiplicar puntuaciones ordinales y tratar el producto como una magnitud.
Informar solo de la pérdida anual media de un riesgo de cola pesada.
Expresar el apetito de riesgo como un color o un adjetivo en lugar de como un límite en unidades de servicio.
Tratar las cifras obtenidas de expertos como datos y descartar el registro de la obtención.
Informar solo del beneficio agregado, de modo que el daño concentrado en grupos pequeños resulta invisible.
Presentar un juicio de valor (agregado frente a distribución) como un resultado técnico.
Guardar silencio sobre una vulnerabilidad que afecta a otros operadores porque divulgarla resulta incómodo.

Los límites del modelo son los de sus supuestos: la independencia de Poisson ignora las campañas que golpean varios emplazamientos a la vez; la lognormal puede subestimar las interrupciones más largas; los repartos entre distritos son juicios. Si se cambian, los números se mueven; el método de mostrar la distribución junto a los totales, no.

Ejercicios — capítulo 4

EX016 — Mejora rural parcial. Objetivo: ver cómo responde la distribución a una opción más débil. Entradas: el Lab 4. Restricciones: cambie el factor de duración rural de Y de 0,75 a 1,5 (la segunda alimentación se retrasa; solo se entrega el control local). Pasos: (1) vuelva a ejecutarlo; (2) informe de las horas por hogar de Upper Merrow y de las horas-hogar vulnerable con la Y modificada; (3) compárelas con X y con la Y original; (4) amplíe el laboratorio para que informe de la probabilidad de que Upper Merrow sufra en un año una única interrupción de más de 48 horas con X y con Y. Evidencia esperada: salidas y un párrafo. Rúbrica: 3 = cifras de la Y modificada correctas (1,93 horas; 771 horas-hogar vulnerable), todavía mejor para Upper Merrow que X pero mucho menos que la Y original, ampliación de 48 horas implementada con una comprobación correcta por evento; 2 = falta la ampliación; 1 = no ejecutado; 0 = nada.

EX017 — Memorando de análisis ético. Objetivo: aplicar principios éticos a la elección entre X e Y. Entradas: §4.4–4.7. Restricciones: 400 palabras; principios del Informe Menlo y de un código profesional. Pasos: (1) identifique los grupos afectados y su voz; (2) analice la beneficencia y la justicia; (3) indique el juicio de valor que debe hacer el consejo; (4) recomiende una opción combinada con medidas no técnicas. Evidencia esperada: memorando. Rúbrica: 3 = grupos concretos, el compromiso entre la perspectiva agregada y la distributiva se nombra como un juicio, recomendación combinada concreta, se respeta el deber de honestidad hacia el consejo; 2 = principios enumerados pero no aplicados; 1 = afirma que X o Y es técnicamente correcta; 0 = nada.

EX018 — Protocolo de obtención. Objetivo: obtener parámetros de gravedad defendibles. Entradas: la pregunta «¿cuánto se tardaría en restablecer el suministro a Upper Merrow tras la pérdida total del SCADA?». Restricciones: tres expertos; magnitud observable; cuantiles. Pasos: (1) defina la magnitud con precisión; (2) redacte el guion de obtención, incluida una pregunta de calibración; (3) explique cómo agregaría y registraría las respuestas. Evidencia esperada: protocolo. Rúbrica: 3 = magnitud inequívoca (eventos de inicio y fin definidos), se piden los cuantiles 5, 50 y 95, obtención independiente antes de la discusión, calibración y registro conservados; 2 = se piden valores únicos; 1 = probabilidad de un evento vago; 0 = nada.

EX019 — Declaración de apetito. Objetivo: formular el apetito y la tolerancia en unidades de servicio. Entradas: Merrow Health (tres hospitales, dependencia de un servicio de ambulancias). Restricciones: al menos un límite sobre la cola y uno sobre la distribución; medibles con los datos propios de la organización. Pasos: redáctela; después pruébela con un escenario plausible e indique si se incumple. Evidencia esperada: declaración y prueba. Rúbrica: 3 = unidades de servicio (por ejemplo, horas de desvío del servicio de urgencias, tratamientos urgentes retrasados), límites de cola y de distribución medibles, prueba honesta; 2 = solo promedios; 1 = adjetivos; 0 = nada.

EX020 — Dilema de divulgación. Objetivo: gestionar una debilidad que afecta a otros. Entradas: durante una revisión, Merrow Water descubre que la herramienta de soporte remoto de Corvane acepta una credencial por defecto en un puerto de mantenimiento; Corvane da soporte a otras empresas de servicios de la región. Restricciones: ninguna prueba fuera de los propios sistemas de Merrow; ninguna divulgación pública antes de un proceso coordinado. Pasos: (1) acciones de protección inmediatas para Merrow; (2) vía de notificación a Corvane y, si hace falta, a un coordinador; (3) qué decir al foro de resiliencia y cuándo; (4) justificación ética. Evidencia esperada: plan. Rúbrica: 3 = primero se protegen los sistemas propios, notificación privada al proveedor con evidencia, uso de un proceso de divulgación coordinada si el proveedor no actúa, el foro se informa de un modo que protege a los demás sin publicar detalles de explotación, principios citados; 2 = falta un paso; 1 = prueba sistemas de otras empresas de servicios o publica; 0 = nada.

Síntesis del capítulo

Cuantifique el riesgo como frecuencia y gravedad con una incertidumbre explícita, y léalo a través de la curva de excedencia de pérdidas, no de una única puntuación. Formule el apetito y la tolerancia en unidades de servicio, con límites sobre la cola y sobre la distribución. Trate el juicio experto como evidencia que debe obtenerse con cuidado y registrarse. Muestre quién soporta el riesgo residual (per cápita y entre quienes tienen menos capacidad para afrontarlo), porque las opciones que son mejores en promedio pueden concentrar el daño. Aplique principios éticos reconocidos a las elecciones, las pruebas y la divulgación, y mantenga visibles los juicios de valor como juicios que corresponden a quien decide y rinde cuentas.