OpenCyber AcademyMapa de la lección
Lección 08 publicada. Mapa, ejemplo, EX036.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["8.1 Qué hace difícil un caso"]
N2["8.2 Cascadas y relojes de respaldo"]
N3["8.3 Las prioridades de restablecimiento necesitan pe"]
N4["8.4 Cuando la causa es un proveedor de confianza"]
N5["8.5 Extorsión"]
N6["8.6 Sucesos internos ambiguos"]
N7["8.7 Obligaciones en conflicto"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX036"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["8.1 Qué hace difícil un caso"]
N2["8.2 Cascadas y relojes de respaldo"]
N3["8.3 Las prioridades de restablecimiento necesitan pe"]
N4["8.4 Cuando la causa es un proveedor de confianza"]
N5["8.5 Extorsión"]
N6["8.6 Sucesos internos ambiguos"]
N7["8.7 Obligaciones en conflicto"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX036"]
[Resultados de aprendizaje y conexión]
|
v
[8.1 Qué hace difícil un caso]
|
v
[8.2 Cascadas y relojes de respaldo]
|
v
[8.3 Las prioridades de restablecimiento necesitan pe]
|
v
[8.4 Cuando la causa es un proveedor de confianza]
|
v
[8.5 Extorsión]
|
v
[8.6 Sucesos internos ambiguos]
|
v
[8.7 Obligaciones en conflicto]
|
v
[Ejemplo resuelto] --> [Ejercicio EX036]
Resultados de aprendizaje y conexión
Al terminar este capítulo, usted debería ser capaz de:
- Reconocer los rasgos que hacen difícil un caso: la interdependencia, la presión del tiempo, los deberes en conflicto, la evidencia incompleta y el daño en todas las opciones.
- Analizar los fallos en cascada entre sectores y fijar prioridades de restablecimiento con pesos explícitos.
- Estructurar las decisiones sobre fallos de proveedores de confianza, extorsiones y sucesos internos ambiguos.
- Gestionar obligaciones en conflicto con reguladores, clientes, socios y fuerzas del orden sin engañar a ninguno de ellos.
- Comunicar en condiciones de incertidumbre de forma que la evidencia posterior no lo desacredite.
Este capítulo reúne las reglas de decisión del capítulo 1, la disciplina probatoria del capítulo 3, la ética del capítulo 4 y la integración del capítulo 7, y las aplica allí donde se tensan. Después, el capítulo 9 pregunta cómo prepara un líder a una organización para estos casos.
8.1 Qué hace difícil un caso
Los casos fáciles tienen una respuesta correcta que es difícil de ejecutar. Los casos difíciles no tienen ninguna opción sin daño, y el especialista debe ayudar a elegir qué daño, con rapidez, con evidencia incompleta y bajo escrutinio. Se repiten cinco rasgos: la interdependencia, de modo que una decisión sobre un servicio cambia los resultados en otros; la presión del tiempo, porque los suministros de respaldo, el almacenamiento y la paciencia se agotan; los deberes en conflicto con distintas partes interesadas; la evidencia ambigua, sobre todo en cuanto a la causa y la intención; y la irreversibilidad, porque algunas acciones (pagar, desconectar, anunciar) no pueden deshacerse. Las disciplinas de los capítulos anteriores siguen siendo válidas; lo que cambia es que deben prepararse de antemano, porque no habrá tiempo para inventarlas.
8.2 Cascadas y relojes de respaldo
Las infraestructuras dependen unas de otras de forma física (electricidad para las bombas), digital (telemetría a través de las telecomunicaciones), geográfica (canalizaciones y emplazamientos compartidos) y lógica (mercados, dotación de personal) (Rinaldi, Peerenboom and Kelly, 2001). Los estudios de redes muestran que los sistemas interdependientes pueden fallar de forma más abrupta que cualquiera de ellos por separado (Buldyrev et al., 2010). Para un especialista, la herramienta práctica es el reloj de respaldo: para cada emplazamiento esencial, cuánto dura su propio respaldo (combustible del generador, almacenamiento, batería, solución manual) tras el fallo de una dependencia. El daño empieza cuando un reloj se agota. Las decisiones de restablecimiento (qué alimentador volver a energizar, qué emplazamiento visitar primero) son elecciones sobre qué relojes detener.
Las intrusiones de diciembre de 2015 en tres empresas ucranianas de distribución eléctrica, descritas en una alerta sobre sistemas de control industrial, causaron cortes que afectaron a unos 225.000 clientes; después de restablecerse el suministro, las empresas siguieron funcionando con operaciones restringidas (CISA, IR-ALERT-H-16-056-01). El caso recuerda que el final de un corte no es el final de un incidente inducido por un ciberataque: puede que durante un tiempo no se pueda confiar en los sistemas de control, y el restablecimiento y la operación continuada pueden depender del trabajo manual.
8.3 Las prioridades de restablecimiento necesitan pesos explícitos
El orden de restablecimiento suele fijarse por costumbre: primero la carga mayor, o primero el trabajo más rápido. Ninguna de las dos reglas está diseñada para minimizar el daño. Ordenar los trabajos para minimizar el tiempo total ponderado de finalización es un resultado clásico de la teoría de la planificación (Smith, 1956); en cuanto los relojes de respaldo actúan como fechas límite, el problema pasa a ser de retraso ponderado, mucho más difícil en general, pero con un puñado de alimentadores pueden enumerarse simplemente todos los órdenes. La parte más difícil son los pesos. ¿Vale lo mismo una hora sin electricidad en un hospital que una hora sin electricidad en una vivienda? Tratar todas las horas-persona por igual es en sí un juicio de valor, y normalmente uno malo cuando algunos emplazamientos albergan funciones vitales. Los pesos deben acordarse de antemano con la gestión de emergencias y registrarse; el análisis muestra entonces el orden que implican esos pesos y lo sensible que es al fallo de un respaldo.
8.4 Cuando la causa es un proveedor de confianza
Los fallos de los proveedores son difíciles porque los propios procesos de la organización confían en el proveedor. La caída de julio de 2024 causada por una actualización defectuosa obligó a las organizaciones afectadas a recuperar a mano muchos equipos finales (Microsoft, 2024). Las decisiones en un caso así incluyen: si desconectar el canal del proveedor antes de saber si la causa es un error o un compromiso; qué sistemas recuperar primero (la lógica de restablecimiento del §8.3 se aplica tanto a los equipos finales como a los alimentadores); si retrasar las actualizaciones en el futuro y aceptar el coste de seguridad de una protección más lenta; y cómo mantener la detección cuando el problema es la propia herramienta de detección. Prepararse para este caso significa anillos de actualización escalonados para los sistemas críticos, soportes de recuperación independientes y una capacidad mínima que no dependa del proveedor.
8.5 Extorsión
Los casos de ransomware y de extorsión con datos obligan a decidir sobre el pago mientras los servicios están degradados. Un especialista no decide si se paga (eso corresponde a la dirección, asesorada por los abogados), pero estructura la decisión: el tiempo de recuperación realista con y sin descifrado (los descifradores suelen ser lentos e imperfectos); las consecuencias para el servicio y la seguridad de cada calendario; la posición jurídica, incluidos los riesgos de sanciones, que debe comprobarse con los abogados; las condiciones de la aseguradora; las consecuencias éticas y estratégicas de financiar actividades delictivas; y la evidencia que cambiaría la evaluación. En mayo de 2021, Colonial Pipeline Company detuvo de forma proactiva su sistema de oleoductos en respuesta a un ataque de ransomware y lo reinició seis días después (U.S. Department of Energy; véase también CISA, 2023), lo que ilustra que la decisión de detener un servicio esencial puede ser en sí misma una precaución tomada en condiciones de incertidumbre, con grandes consecuencias para otros. La preparación para la recuperación (copias de seguridad probadas, operación manual, capacidad de reconstrucción limpia) es lo que da a una organización libertad en esta decisión; debe existir antes de que surja el caso.
8.6 Sucesos internos ambiguos
El suceso de Hollin (capítulo 3) podría ser un uso indebido de una cuenta compartida de un proveedor, un cambio legítimo no registrado de un ingeniero del proveedor u otra cosa. Los casos internos son difíciles porque las personas implicadas son compañeros o socios, la evidencia es ambigua y una acusación prematura es dañina y a veces ilícita. El caso del sector del agua tratado en los capítulos 2 y 3, cuyo primer relato se discutió después (WUSF, 2023), muestra cómo los relatos públicos pueden adelantarse a la evidencia. En la práctica: actúe sobre el acceso, no sobre la persona (suspenda la cuenta compartida, exija cuentas nominativas), preserve la evidencia, implique pronto a recursos humanos y a los servicios jurídicos, mantenga las acusaciones fuera de las comunicaciones y recuerde que el error humano suele ser un síntoma del diseño del sistema (Reason, 2000).
8.7 Obligaciones en conflicto
En un incidente significativo, un especialista puede enfrentarse a la vez a: el plazo de notificación de un regulador; las fuerzas del orden, que piden que algunos detalles sigan siendo confidenciales; un operador socio que pregunta si está expuesto; clientes que necesitan información de seguridad; un proveedor que pide un aplazamiento antes de que se diga nada sobre su producto; y las condiciones de las aseguradoras. Los principios para resolverlo son: no engañar nunca a nadie; separar lo que se dice de lo que se omite, y omitir solo con una razón defendible; dar primero la información de seguridad; cumplir los deberes legales, consultando a los abogados cuando los deberes entren en conflicto; y registrar cada decisión y su motivo. La divulgación coordinada de vulnerabilidades (capítulo 4) es una forma estructurada de gestionar el conflicto con el proveedor.
8.8 Ejemplo resuelto: restablecimiento tras un corte regional (sintético)
Un ciberincidente en el centro de control de Merrow Energy ha dejado sin tensión cuatro alimentadores. Los operadores pueden restablecer con seguridad un alimentador cada vez, de forma manual. Cada alimentador abastece a emplazamientos esenciales con relojes de respaldo: la planta de agua de Hollin tiene seis horas de almacenamiento; el bombeo de Fenley, cuatro horas; el hospital de Harbour, 48 horas de combustible para el generador; la terminal de contenedores, dos horas de batería; un depósito de combustible, ocho horas. Las viviendas no tienen respaldo. La célula de emergencias del foro regional debe recomendar un orden. El Lab 8 enumera todos los órdenes, primero ponderando por igual cada hora-persona.
8.9 Actividad práctica: orden de restablecimiento
# Lab 8 - restoration order after a regional outage, with backup clocks running (offline, stdlib only)
# Synthetic: after a cyber-induced distribution outage, Merrow Energy can re-energize one feeder at a time.
# Each feeder carries essential sites whose backup lasts a fixed number of hours; after that, people lose service.
from itertools import permutations
FEEDERS = { # feeder: (hours to restore safely, [(site, people served, backup hours)])
"F1 Harbour": (4, [("homes", 40000, 0), ("Harbour hospital", 3000, 48)]),
"F2 Hollin": (3, [("Hollin water works", 70000, 6)]),
"F3 Fenley": (2, [("homes", 18000, 0), ("Fenley pumping", 25000, 4)]),
"F4 Port": (5, [("container terminal", 2000, 2), ("fuel depot", 15000, 8)]),
}
def harm(order):
t, total = 0, 0
for f in order:
t += FEEDERS[f][0]
for site, people, backup in FEEDERS[f][1]:
total += people * max(0, t - backup)
return total
res = sorted((harm(o), o) for o in permutations(FEEDERS))
print("best five orders (person-hours without service):")
for h, o in res[:5]: print(f" {h:9,d} {' > '.join(o)}")
print(f"worst: {res[-1][0]:,d} {' > '.join(res[-1][1])}")
largest = sorted(FEEDERS, key=lambda f: -sum(p for _, p, _ in FEEDERS[f][1]))
print(f"'largest load first' {' > '.join(largest)}: {harm(largest):,d}")
shortest = sorted(FEEDERS, key=lambda f: FEEDERS[f][0])
print(f"'quickest job first' {' > '.join(shortest)}: {harm(shortest):,d}")
# What if the hospital generator fails at hour 2 (backup 48 -> 2)? Re-solve.
FEEDERS["F1 Harbour"][1][1] = ("Harbour hospital", 3000, 2)
res2 = sorted((harm(o), o) for o in permutations(FEEDERS))
print(f"after hospital generator failure, best: {res2[0][0]:,d} {' > '.join(res2[0][1])}")
Salida esperada:
best five orders (person-hours without service):
510,000 F3 Fenley > F2 Hollin > F1 Harbour > F4 Port
589,000 F2 Hollin > F3 Fenley > F1 Harbour > F4 Port
600,000 F3 Fenley > F1 Harbour > F2 Hollin > F4 Port
631,000 F1 Harbour > F2 Hollin > F3 Fenley > F4 Port
642,000 F1 Harbour > F3 Fenley > F2 Hollin > F4 Port
worst: 1,299,000 F4 Port > F1 Harbour > F3 Fenley > F2 Hollin
'largest load first' F2 Hollin > F1 Harbour > F3 Fenley > F4 Port: 681,000
'quickest job first' F3 Fenley > F2 Hollin > F1 Harbour > F4 Port: 510,000
after hospital generator failure, best: 531,000 F3 Fenley > F2 Hollin > F1 Harbour > F4 Port
Interpretación. Con pesos iguales, el mejor orden (Fenley, Hollin, Harbour, Port) pierde 510.000 horas-persona de servicio; el peor pierde 1.299.000. La costumbre de «primero la carga mayor» cuesta 681.000, un tercio más que el mejor; «primero el trabajo más rápido» coincide aquí con el mejor, pero solo porque los trabajos cortos coinciden con los relojes de respaldo cortos (el reloj del bombeo de Fenley es de cuatro horas). Llama la atención que, cuando falla el generador del hospital, el mejor orden con pesos iguales no cambia: 3.000 usuarios del hospital son pocos en comparación con 70.000 clientes del agua, así que los pesos iguales mantienen al hospital en tercer lugar. Ese resultado es el análisis diciéndole que sus pesos son erróneos para este propósito. El EX036 le pide ponderar más las horas-persona del hospital; con una ponderación plausible, el hospital pasa al primer lugar en cuanto falla su generador. La decisión corresponde a la célula de emergencias; la contribución del especialista es mostrar el orden que implica cada conjunto defendible de pesos y cómo lo cambia el fallo de un respaldo.
8.10 Errores comunes y límites
- Tratar un caso difícil como si tuviera una opción inocua y buscarla mientras se agotan los relojes.
- Restablecer por costumbre en lugar de con pesos explícitos acordados de antemano.
- Ponderar por igual todas las horas-persona y llamarlo neutral.
- Confiar en el canal del proveedor durante un incidente causado por el proveedor.
- Dejar que decida sobre el pago de una extorsión un especialista en lugar de la persona de la dirección que rinde cuentas.
- Acusar a personas antes de que la evidencia lo respalde.
- Hacer declaraciones a una parte interesada que contradicen las hechas a otra.
El límite del análisis en los casos difíciles es el tiempo. La enumeración del Lab 8 tarda milisegundos; acordar los pesos lleva semanas de planificación. Haga ese trabajo antes del suceso, ensáyelo y acepte que durante el suceso estará eligiendo entre opciones imperfectas con información incompleta.
Ejercicios — capítulo 8
EX036 — Los pesos cambian el orden. Objetivo: ver cómo los pesos de valor determinan el restablecimiento. Entradas: el Lab 8. Restricciones: pondere cada hora-persona del hospital 20 veces más que una hora-persona de una vivienda; deje los demás en 1. Pasos: (1) modifique la función de daño; (2) informe del mejor orden con el generador de 48 horas y después de que el generador falle a las 2 horas; (3) explique el cambio y quién debería fijar el peso. Evidencia esperada: cambio en el código, salidas y un párrafo. Rúbrica: 3 = con el generador funcionando, el mejor orden no cambia (510.000); tras el fallo, Harbour pasa al primer lugar (mejor: 751.000 horas-persona ponderadas, Harbour > Hollin > Fenley > Port); la explicación identifica el peso como un juicio de la gestión de emergencias acordado de antemano; 2 = cifras correctas, explicación pobre; 1 = no ejecutado; 0 = nada.
EX037 — Estructure una decisión de extorsión. Objetivo: apoyar una decisión de la dirección sin tomarla. Entradas: el sistema de administración de pacientes de Merrow Health está cifrado; las copias de seguridad están intactas, pero una reconstrucción limpia se estima en 9 días; los atacantes afirman tener datos de pacientes y ofrecen un descifrador. Restricciones: ninguna conclusión jurídica; la seguridad de los pacientes, primero. Pasos: (1) enumere las opciones; (2) para cada una, el calendario de recuperación, las consecuencias para la seguridad y el servicio, las cuestiones jurídicas para los abogados, las consideraciones éticas y las incertidumbres; (3) indique qué evidencia cambiaría el análisis. Evidencia esperada: informe para la decisión. Rúbrica: 3 = las opciones incluyen la reconstrucción sin pago y medidas parciales, la fiabilidad del descifrador se trata como incierta, la extorsión con datos se separa de la recuperación, cuestiones de sanciones y de notificación para los abogados, medidas de seguridad independientes de la elección; 2 = falta una consideración; 1 = recomienda pagar o negarse como un hecho técnico; 0 = nada.
EX038 — Caída causada por un proveedor. Objetivo: decidir ante el fallo de un proveedor de confianza. Entradas: una actualización del proveedor de seguridad de equipos finales de Merrow Water bloquea durante la noche las HMI de cuatro plantas; el proveedor dice que es un defecto. Restricciones: las plantas deben seguir produciendo agua segura. Pasos: (1) acciones inmediatas; (2) orden de recuperación entre los emplazamientos; (3) si bloquear las actualizaciones siguientes y cómo; (4) cambios posteriores en la política de actualizaciones, con su coste de seguridad. Evidencia esperada: plan. Rúbrica: 3 = primero la operación manual, canal del proveedor en pausa hasta su verificación, recuperación ordenada por los relojes de respaldo, después anillos de actualización escalonados con una aceptación explícita de una protección más lenta; 2 = sin cambio de política; 1 = espera al proveedor; 0 = nada.
EX039 — Comunicaciones sobre un suceso interno. Objetivo: comunicar un caso interno ambiguo. Entradas: el suceso de Hollin con la cronología corregida. Restricciones: no se nombra a ninguna persona; se respetan los procesos laborales y contractuales. Pasos: redacte (1) un mensaje interno al personal; (2) un mensaje a Corvane; (3) una declaración para el foro de resiliencia. Evidencia esperada: tres textos breves. Rúbrica: 3 = factuales, sin acusaciones, se indican las acciones sobre el acceso (cuentas nominativas, cuenta compartida suspendida), se piden a Corvane los registros de sesiones conforme al contrato, el foro recibe información de protección útil; 2 = un texto exagera; 1 = acusatorio; 0 = nada.
EX040 — Obligaciones en conflicto. Objetivo: conciliar demandas sin engaño. Entradas: durante la investigación de Hollin, la policía pide a Merrow Water que no divulgue el detalle de la cuenta del proveedor; llega el plazo de notificación al regulador; Merrow Energy pregunta si debería suspender el acceso de Corvane; un periodista pregunta si el agua no era segura. Restricciones: siga los principios del §8.7; consulte a los abogados cuando sea necesario. Pasos: para cada parte, qué dice, qué omite y por qué, y quién lo aprueba. Evidencia esperada: tabla. Rúbrica: 3 = respuesta de seguridad dada con veracidad (la dosis volvió a la normalidad en menos de un minuto y se verificó), regulador informado por completo bajo confidencialidad, Merrow Energy recibe consejos de protección sin incumplir la petición de la policía (por ejemplo, el consejo de revisar todas las cuentas compartidas de proveedores), el periodista no es inducido a error, aprobaciones registradas; 2 = una parte mal gestionada; 1 = declaración engañosa; 0 = nada.
Síntesis del capítulo
Los casos difíciles tienen daño en todas las opciones, con presión del tiempo, evidencia ambigua y deberes en conflicto. Prepárese para ellos: mapee las dependencias y los relojes de respaldo; acuerde de antemano con la gestión de emergencias los pesos del restablecimiento; planifique para los fallos causados por proveedores con anillos de actualización y una recuperación independiente; estructure las decisiones de extorsión para la persona de la dirección que rinde cuentas; actúe sobre el acceso y no sobre las personas en los casos internos; y resuelva las obligaciones en conflicto sin engañar nunca, poniendo la seguridad primero, omitiendo solo con razones defendibles y registrando cada decisión. El análisis es rápido; el acuerdo es lento: haga la parte lenta antes del suceso.