OpenCyber AcademyMapa de la lección
Lección 09 publicada. Mapa, ejemplo, EX041.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["9.1 Dirigir una función especializada"]
N2["9.2 Informes al consejo"]
N3["9.3 ¿Señal o ruido?"]
N4["9.4 Casos de aseguramiento"]
N5["9.5 Vigencia de la evidencia"]
N6["9.6 Las tres líneas y la revisión independiente"]
N7["9.8 Actividad práctica: gráfico XmR y vigencia de la"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX041"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["9.1 Dirigir una función especializada"]
N2["9.2 Informes al consejo"]
N3["9.3 ¿Señal o ruido?"]
N4["9.4 Casos de aseguramiento"]
N5["9.5 Vigencia de la evidencia"]
N6["9.6 Las tres líneas y la revisión independiente"]
N7["9.8 Actividad práctica: gráfico XmR y vigencia de la"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX041"]
[Resultados de aprendizaje y conexión]
|
v
[9.1 Dirigir una función especializada]
|
v
[9.2 Informes al consejo]
|
v
[9.3 ¿Señal o ruido?]
|
v
[9.4 Casos de aseguramiento]
|
v
[9.5 Vigencia de la evidencia]
|
v
[9.6 Las tres líneas y la revisión independiente]
|
v
[9.8 Actividad práctica: gráfico XmR y vigencia de la]
|
v
[Ejemplo resuelto] --> [Ejercicio EX041]
Resultados de aprendizaje y conexión
Al terminar este capítulo, usted debería ser capaz de:
- Dirigir una función de seguridad en un servicio esencial: fijar la dirección, desarrollar la capacidad y conservar la confianza de operaciones y del consejo.
- Informar al consejo en unidades de servicio con un pequeño conjunto de indicadores que sirvan para decidir.
- Distinguir un cambio real del ruido en un indicador de seguridad mediante un gráfico de comportamiento del proceso (XmR).
- Construir un caso de aseguramiento para una afirmación sobre resiliencia y mantener la vigencia de su evidencia.
- Usar el modelo de las tres líneas y la revisión independiente sin convertir el aseguramiento en papeleo.
Los capítulos 7 y 8 integraron la seguridad en la organización y la pusieron a prueba en casos difíciles. Este capítulo trata de la persona responsable de ella a lo largo de los años: de qué informa, cómo sabe si las cosas mejoran y cómo demuestra a otros que las afirmaciones son ciertas. Después, el capítulo 10 se ocupa de la evidencia externa que un líder debe leer.
9.1 Dirigir una función especializada
Un líder de seguridad en un servicio esencial dirige a personas escasas, a menudo sobrecargadas, que trabajan entre culturas distintas: ingenieros de control, personal de TI, operadores, proveedores. Predominan cuatro responsabilidades. Dirección: un número reducido de prioridades vinculadas al servicio y a su consecuencia, revisadas cuando cambia la evidencia (los desencadenantes de revisión del capítulo 1). Capacidad: las competencias, las herramientas y el tiempo para hacer el trabajo, incluida la sucesión, para que el conocimiento de un sistema crítico no resida en una sola cabeza. Confianza: operaciones debe creer que seguridad entiende la planta y no la pondrá en peligro; el consejo debe creer que los informes son francos. Rendición de cuentas: una titularidad clara (capítulo 7) y un registro de las decisiones (capítulo 1). Los códigos profesionales exigen honestidad sobre los límites (ACM Code of Ethics); para un líder, eso incluye decir al consejo lo que no se sabe.
Desarrollar la capacidad en seguridad de la TO es, en parte, una cuestión de mezclar trayectorias: ingenieros de control que aprenden seguridad y especialistas en seguridad que aprenden el proceso. Las rotaciones, los ejercicios conjuntos (capítulo 6) y las revisiones compartidas de incidentes (capítulo 3) aportan más que los cursos por sí solos.
9.2 Informes al consejo
Los consejos deben tomar decisiones sobre el apetito, la inversión y la rendición de cuentas. Un buen informe es breve y responde a cuatro preguntas: ¿Estamos dentro del apetito? (los límites de cola y de distribución del capítulo 4, en unidades de servicio); ¿Qué ha cambiado? (amenazas nuevas, incidentes, supuestos); ¿Funcionan nuestros controles? (evidencia verificada, capítulo 2; rendimiento evaluado, capítulo 6); ¿Qué tienen que decidir ustedes? Los indicadores deben ser pocos, estar definidos y estar vinculados a la consecuencia: la cobertura verificada de las prácticas de mayor peso; el tiempo de corrección de las vulnerabilidades explotadas conocidas en los sistemas expuestos, usando una lista de referencia como el catálogo de CISA (CISA, KEV); el último simulacro de operación manual superado en cada emplazamiento principal; el tiempo de recuperación demostrado para los sistemas críticos; y las decisiones pendientes con sus responsables. Evite los recuentos que miden la actividad en lugar del resultado: número de alertas, formaciones impartidas, hallazgos cerrados.
9.3 ¿Señal o ruido?
Todo indicador varía de un mes a otro. Reaccionar a cada subida malgasta la atención; ignorar un cambio real malgasta el tiempo. Un gráfico de comportamiento del proceso (también llamado gráfico de valores individuales y rango móvil, o XmR) separa ambas cosas usando la propia historia del indicador. A partir de un periodo de referencia, calcule la media y la diferencia absoluta media entre valores consecutivos (el rango móvil medio); los límites naturales del proceso son la media más o menos 2,66 veces el rango móvil medio. Los puntos fuera de los límites, o las rachas largas a un lado de la media, señalan un cambio que merece investigarse; los puntos dentro son variación rutinaria (NIST/SEMATECH e-Handbook, control charts). Dos reglas prácticas: elija la referencia de un periodo que se considere estable y no incluya el periodo que está poniendo a prueba; y trate una señal como un aviso para investigar, no como la prueba de una causa.
9.4 Casos de aseguramiento
Un caso de aseguramiento es un argumento estructurado de que una afirmación es cierta, respaldado por evidencia. Sigue la estructura general de la argumentación (afirmación, fundamentos, garantía, refutación) (Toulmin, 2003) aplicada a los sistemas. Por ejemplo: Afirmación: «Hollin puede suministrar agua segura durante 72 horas sin su sistema de control». Subafirmaciones: la dosificación manual puede mantenerse con el personal de cualquier turno; las existencias de productos químicos duran 72 horas; los analizadores funcionan sin SCADA; el personal puede ser relevado. Evidencia: informes de simulacros con tiempos y participantes; registros de existencias; pruebas de los analizadores; cuadrante de turnos. Refutaciones consideradas: turno de noche con personal mínimo; pérdida de alimentación de los analizadores; incidente simultáneo en Fenley. Un caso de aseguramiento hace visible de qué evidencia depende cada afirmación, de modo que, cuando la evidencia envejece o falla, se sabe qué afirmaciones quedan afectadas.
9.5 Vigencia de la evidencia
La evidencia caduca. Una restauración probada hace dieciocho meses dice poco de las copias de seguridad de hoy; una revisión del cortafuegos anterior a un cambio de red dice poco después de él. Para cada afirmación de aseguramiento, fije una antigüedad máxima de la evidencia relacionada con la rapidez con que cambia el sistema subyacente, e informe de la evidencia caducada como una laguna, aunque no se sepa que algo esté mal. Un tipo de evidencia de grado bajo (una declaración) con una antigüedad permitida larga merece un escrutinio especial: puede estar «vigente» según la regla, pero es débil por naturaleza (los grados del capítulo 2).
9.6 Las tres líneas y la revisión independiente
El modelo de las tres líneas del Institute of Internal Auditors describe los roles de la dirección (primera línea: ser titular del riesgo y gestionarlo), de las funciones especializadas de riesgos y cumplimiento (segunda línea: conocimiento experto, apoyo y cuestionamiento) y de la auditoría interna (tercera línea: aseguramiento independiente), todos ellos responsables ante un órgano de gobierno (IIA, 2020). En la seguridad de los servicios esenciales, el valor del modelo es la claridad: operaciones es titular del riesgo de su planta; la función de seguridad fija estándares, cuestiona y ayuda; la auditoría interna o un revisor externo comprueba que el sistema funciona. El modelo falla cuando la segunda línea hace el trabajo de la primera (de modo que nadie en operaciones es titular del riesgo) o cuando la auditoría pone a prueba documentos en lugar de la realidad.
9.7 Ejemplo resuelto: el dosier del consejo de Merrow Water (sintético)
El consejo de Merrow Water recibe cada mes la mediana de días para corregir las vulnerabilidades explotadas conocidas en los sistemas expuestos a internet. Tras una lectura de 24 días en diciembre, una consejera no ejecutiva preguntó si las cosas iban a peor o si diciembre había sido un mal mes. En la misma reunión, el especialista presentó la evidencia en que se apoyan seis afirmaciones de aseguramiento. El Lab 9 examina ambas cosas. La pregunta de la consejera es la correcta, y no puede responderse comparando solo diciembre con noviembre. El especialista necesita una referencia de meses en los que no se sepa que ocurriera nada inusual, así que el gráfico usa los once primeros meses y deja fuera las lecturas posteriores. Las seis afirmaciones se eligieron porque cada una respalda la declaración del consejo de que Merrow Water puede recuperarse con seguridad de un ciberincidente; cada una tiene un tipo de evidencia designado, una fecha y una antigüedad máxima aceptable acordada con la auditoría interna.
9.8 Actividad práctica: gráfico XmR y vigencia de la evidencia
# Lab 9 - is the assurance signal a change or noise? An XmR chart and evidence freshness (offline, stdlib only)
# Synthetic: Merrow Water's monthly median days to remediate known-exploited vulnerabilities on internet-facing
# systems, reported to the board, and the age of the evidence behind six assurance claims.
from datetime import date
MONTHS = ["Jan","Feb","Mar","Apr","May","Jun","Jul","Aug","Sep","Oct","Nov","Dec","Jan2","Feb2","Mar2"]
DAYS = [ 12, 9, 14, 11, 13, 10, 12, 15, 11, 9, 13, 24, 21, 23, 25]
BASE = 11 # first 11 months form the baseline
x = DAYS[:BASE]; mean = sum(x) / BASE
mr = [abs(b - a) for a, b in zip(x, x[1:])]; mrbar = sum(mr) / len(mr)
ucl, lcl = mean + 2.66 * mrbar, max(0, mean - 2.66 * mrbar)
print(f"baseline mean {mean:.2f} days, mean moving range {mrbar:.2f}, limits [{lcl:.2f}, {ucl:.2f}]")
run = 0
for m, d in zip(MONTHS, DAYS):
flag = []
if d > ucl or d < lcl: flag.append("outside limits")
run = run + 1 if d > mean else 0
if run >= 4: flag.append(f"{run} in a row above mean")
print(f" {m:5s} {d:3d} {'; '.join(flag)}")
TODAY = date(2026, 10, 12)
CLAIMS = [ # (claim, evidence type, date of evidence, maximum acceptable age in days)
("offline backups restorable", "restore test record", date(2026, 3, 2), 180),
("vendor sessions all brokered", "broker log reconciliation", date(2026, 9, 20), 31),
("no default credentials on PLCs", "engineer attestation", date(2025, 11, 5), 365),
("manual dosing drill passed", "drill report", date(2026, 6, 18), 365),
("IT/OT firewall rules reviewed", "rule review sign-off", date(2026, 1, 9), 180),
("MFA on all remote access", "IdP configuration export", date(2026, 10, 1), 90),
]
print("evidence freshness:")
for c, ev, d, mx in CLAIMS:
age = (TODAY - d).days
print(f" {'STALE' if age > mx else 'ok '} {age:4d}d / {mx:3d}d {c} ({ev})")
Salida esperada:
baseline mean 11.73 days, mean moving range 3.10, limits [3.48, 19.97]
Jan 12
Feb 9
Mar 14
Apr 11
May 13
Jun 10
Jul 12
Aug 15
Sep 11
Oct 9
Nov 13
Dec 24 outside limits
Jan2 21 outside limits
Feb2 23 outside limits; 4 in a row above mean
Mar2 25 outside limits; 5 in a row above mean
evidence freshness:
STALE 224d / 180d offline backups restorable (restore test record)
ok 22d / 31d vendor sessions all brokered (broker log reconciliation)
ok 341d / 365d no default credentials on PLCs (engineer attestation)
ok 116d / 365d manual dosing drill passed (drill report)
STALE 276d / 180d IT/OT firewall rules reviewed (rule review sign-off)
ok 11d / 90d MFA on all remote access (IdP configuration export)
Interpretación. Durante los once meses de referencia, el indicador promedió 11,7 días con unos límites naturales de aproximadamente 3,5 a 20,0 días. Los 24 días de diciembre están fuera de los límites (una señal, no solo un mal mes), y los tres meses siguientes también, con una racha por encima de la media. Algo cambió en diciembre; entre las causas candidatas están la marcha de un miembro del personal, un cambio en el contenido del catálogo de vulnerabilidades, una nueva clase de sistemas expuestos a internet o un cambio en la forma de calcular el indicador. El gráfico dice al consejo que debe preguntar, no cuál es la respuesta correcta. En cuanto a la evidencia, dos de las seis afirmaciones están caducadas: la prueba de restauración de las copias de seguridad fuera de línea (224 días frente a un límite de 180) y la revisión del cortafuegos entre TI y TO (276 días frente a 180). La afirmación sobre las credenciales por defecto de los PLC está dentro de su límite de antigüedad, pero se apoya en la declaración de un ingeniero, el grado de evidencia más débil, y caduca en menos de un mes. El consejo debe oír tres cosas: un deterioro real del tiempo de corrección desde diciembre, con una investigación en curso; dos afirmaciones de aseguramiento caducadas, con fechas de renovación; y una afirmación que necesita evidencia más fuerte, no solo más reciente.
9.9 Errores comunes y límites
- Informar de recuentos de actividad en lugar de indicadores relacionados con la consecuencia.
- Reaccionar a cada subida mensual, o atribuir al ruido un cambio real.
- Incluir el periodo sospechoso en la referencia, lo que ensancha los límites y oculta la señal.
- Redactar afirmaciones de aseguramiento sin evidencia designada, o evidencia sin fecha.
- Tratar una evidencia reciente pero débil como fuerte.
- Dejar que la función de seguridad sea titular del riesgo operativo en nombre de operaciones.
- Presentar al consejo solo las buenas noticias.
El límite de los indicadores y los gráficos es que resumen. Indican a un líder dónde mirar; mirar (conversar con los operadores, visitar los emplazamientos, leer las revisiones de incidentes) sigue siendo trabajo del líder.
Ejercicios — capítulo 9
EX041 — Una referencia contaminada. Objetivo: ver cómo afecta la elección de la referencia a las señales. Entradas: el Lab 9. Restricciones: cambie la referencia a los doce primeros meses (incluido diciembre). Pasos: (1) vuelva a ejecutarlo; (2) informe de la nueva media, del rango móvil y de los límites; (3) informe de qué meses posteriores quedan ahora fuera de los límites; (4) explique la lección. Evidencia esperada: salida y un párrafo. Rúbrica: 3 = media de 12,75, rango móvil medio de unos 3,82, límites de aproximadamente [2,6, 22,9]; diciembre sigue fuera, pero enero (21) queda ahora dentro; lección: incluir el periodo puesto a prueba ensancha los límites y puede ocultar un cambio; 2 = cifras correctas, falta la lección; 1 = no ejecutado; 0 = nada.
EX042 — Informe al consejo de una página. Objetivo: informar en unidades de servicio para decidir. Entradas: las salidas del Lab 9, la cobertura verificada de Merrow Water del capítulo 2 (39 %), la evaluación del capítulo 6 y los hallazgos del RACI del capítulo 7. Restricciones: una página; seis indicadores como máximo; termine con las decisiones solicitadas. Pasos: redacte el informe. Evidencia esperada: informe. Rúbrica: 3 = estado del apetito en unidades de servicio, señal comunicada con la incertidumbre sobre su causa, evidencia caducada y débil identificada, decisiones concretas con responsables; 2 = incluye métricas de actividad; 1 = tranquilización sin evidencia; 0 = nada.
EX043 — Caso de aseguramiento. Objetivo: construir un argumento estructurado. Entradas: la afirmación «Hollin puede suministrar agua segura durante 72 horas sin su sistema de control». Restricciones: al menos cuatro subafirmaciones, cada una con el tipo de evidencia, la antigüedad máxima y el estado actual; al menos tres refutaciones. Pasos: construya el caso como una tabla o un árbol. Evidencia esperada: caso de aseguramiento. Rúbrica: 3 = las subafirmaciones cubren las personas, los materiales, los instrumentos y la duración; evidencia de grado verificado cuando es posible, con su antigüedad; refutaciones realistas (turno de noche, alimentación de los analizadores, incidente concurrente) con respuestas; 2 = evidencia sin fecha; 1 = repite la afirmación; 0 = nada.
EX044 — Las tres líneas en la práctica. Objetivo: asignar los roles de aseguramiento. Entradas: las seis afirmaciones de aseguramiento del Lab 9. Restricciones: use el modelo de las tres líneas. Pasos: para cada afirmación, asigne el titular de la primera línea, la actividad de cuestionamiento de la segunda línea y el método de prueba de la tercera línea; identifique una afirmación en la que la segunda línea esté haciendo actualmente trabajo de la primera. Evidencia esperada: tabla y un párrafo. Rúbrica: 3 = los titulares son roles operativos, los métodos de cuestionamiento y de prueba son distintos, ejemplo creíble de confusión de roles (por ejemplo, el equipo de seguridad ejecutando pruebas de restauración que debería ejecutar operaciones); 2 = líneas confundidas en una fila; 1 = genérico; 0 = nada.
EX045 — Capacidad y sucesión. Objetivo: reducir la dependencia de una sola persona. Entradas: el único ingeniero de Merrow Water que entiende la lógica del controlador de dosificación de Hollin prevé jubilarse dentro de 18 meses. Restricciones: presupuesto para un puesto adicional; las operaciones no deben verse alteradas. Pasos: (1) identifique qué conocimiento está en riesgo y cómo capturarlo; (2) diseñe un plan de desarrollo para dos sucesores; (3) defina la evidencia de que la sucesión ha funcionado. Evidencia esperada: plan. Rúbrica: 3 = conocimiento capturado como artefactos verificados (lógica anotada, procedimientos de prueba, recorridos grabados), trabajo en pareja y cambios supervisados, evidencia como un cambio dirigido por un sucesor y un simulacro sin el ingeniero que se jubila; 2 = solo cursos de formación; 1 = solo documentación; 0 = nada.
Síntesis del capítulo
Dirigir la seguridad de un servicio esencial significa fijar una dirección vinculada a la consecuencia, desarrollar una capacidad que sobreviva a las marchas y conservar la confianza de operaciones y del consejo. Informe al consejo en unidades de servicio con pocos indicadores y decisiones explícitas. Use gráficos de comportamiento del proceso para distinguir el cambio del ruido, con una referencia limpia. Construya casos de aseguramiento que vinculen cada afirmación con evidencia fechada de grado conocido, e informe de la evidencia caducada o débil como lagunas. Use las tres líneas para mantener la titularidad en operaciones, el cuestionamiento en los especialistas y las pruebas independientes en la auditoría.