## Capítulo 1 — Toma de decisiones avanzada en seguridad ### Mapa de la lección Lección 01 publicada. Mapa, ejemplo, EX001. ```mermaid flowchart TD N0["Resultados de aprendizaje"] N1["1.1 Decisiones, no hallazgos"] N2["1.2 La pérdida esperada es necesaria pero no suficie"] N3["1.3 Cómo leer la comparación"] N4["1.4 Valor de la información"] N5["Síntesis del capítulo"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 N5 --> EX["Ejemplo resuelto"] EX --> Q["Ejercicio EX001"] ``` ### Dibujo lógico ```mermaid flowchart LR N0["Resultados de aprendizaje"] N1["1.1 Decisiones, no hallazgos"] N2["1.2 La pérdida esperada es necesaria pero no suficie"] N3["1.3 Cómo leer la comparación"] N4["1.4 Valor de la información"] N5["Síntesis del capítulo"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX001"] ``` ```text [Resultados de aprendizaje] | v [1.1 Decisiones, no hallazgos] | v [1.2 La pérdida esperada es necesaria pero no suficie] | v [1.3 Cómo leer la comparación] | v [1.4 Valor de la información] | v [Síntesis del capítulo] | v [Ejemplo resuelto] --> [Ejercicio EX001] ``` ### Resultados de aprendizaje Usted será capaz de (1) plantear una decisión de seguridad de TO con opciones, criterios, incertidumbre y un responsable de la decisión; (2) comparar opciones por pérdida esperada y por peor caso creíble a la vez; (3) registrar una decisión de modo que pueda auditarse más adelante; y (4) reconocer cuándo conviene aplazar una decisión para reunir información. ### 1.1 Decisiones, no hallazgos En el nivel de posgrado, el entregable rara vez es una lista de vulnerabilidades; es una decisión que alguien con presupuesto y responsabilidad debe tomar. En la planta sintética Bayside Water Reclamation Plant (BWRP), el responsable de seguridad de TO, Daniel Osei, debe decidir cómo acceden los proveedores al controlador de dosificación química PLC-D. Un marco de decisión nombra al responsable (el director de la planta), las opciones, los criterios, lo que es incierto y la fecha en la que debe tomarse la decisión. Para la decisión sobre el acceso de proveedores, el marco también necesita el plazo que la fuerza, como el vencimiento del contrato de VPN actual, y las personas a las que hay que consultar: operación, el gestor de proveedores e ingeniería. Escribir el marco antes del análisis evita que Daniel elija los criterios después de saber qué opción favorecen. ### 1.2 La pérdida esperada es necesaria pero no suficiente La pérdida anual esperada (probabilidad por pérdida, sumada sobre los escenarios) permite comparar en una sola escala opciones con costes distintos. Pero los servicios públicos no son neutrales al riesgo: un evento raro que contamine el vertido a una bahía, desencadene una actuación regulatoria y erosione la confianza pública puede ser inaceptable con cualquier probabilidad por encima de un umbral. Por eso los líderes informan de la pérdida esperada junto con el peor caso creíble y cualquier restricción regulatoria o de seguridad funcional que sea vinculante con independencia de la aritmética. ```python """Lab 01: compare three synthetic BWRP options by expected annual loss and worst credible case.""" options = { # name: (annual cost, [(probability per year, loss if it happens)]) "A keep vendor VPN": (10_000, [(0.10, 400_000), (0.02, 2_500_000)]), "B brokered sessions": (35_000, [(0.03, 400_000), (0.005, 2_500_000)]), "C no remote access": (90_000, [(0.01, 400_000), (0.004, 2_500_000)]), } for name, (cost, events) in options.items(): eal = sum(p * l for p, l in events) worst = max(l for _, l in events) print(f"{name:20} cost={cost:>7,} expected_loss={eal:>9,.0f} total={cost+eal:>9,.0f} worst_case={worst:,}") ``` Ejecútelo con `python3 lab_decide.py`. Salida verificada: ```text A keep vendor VPN cost= 10,000 expected_loss= 90,000 total= 100,000 worst_case=2,500,000 B brokered sessions cost= 35,000 expected_loss= 24,500 total= 59,500 worst_case=2,500,000 C no remote access cost= 90,000 expected_loss= 14,000 total= 104,000 worst_case=2,500,000 ``` ### 1.3 Cómo leer la comparación La opción B tiene el total más bajo (59.500) porque su coste de control compra una gran reducción de la probabilidad de incidente. La opción C elimina más riesgo, pero con estas estimaciones cuesta más de lo que ahorra. Las tres comparten el mismo peor caso porque el escenario catastrófico sigue siendo posible por otras rutas; ninguna elección de acceso remoto lo elimina. Esa observación lleva al líder a buscar salvaguardas independientes, no más gasto en acceso remoto. Los números también muestran lo sensible que es la clasificación. La opción A pierde por sus probabilidades de incidente; si ambas estimaciones se redujeran a la mitad, el total de A bajaría a 55.000 y superaría a los 59.500 de B. Por eso el registro de Daniel nombra un disparador de revisión ligado a la estimación de incidentes, y por eso la siguiente pregunta es qué solidez tienen realmente esas probabilidades. ### 1.4 Valor de la información Si las estimaciones de probabilidad se discuten (y para los ataques dirigidos siempre se discuten), pregúntese si la decisión cambiaría al moverlas dentro de su rango plausible. Si B gana en todo ese rango, decida ahora. Si la clasificación se invierte, un estudio breve (revisión de registros de proveedores, un ejercicio de mesa) puede valer más que una compra inmediata. Para BWRP, la pregunta es si B sigue ganando cuando la probabilidad de incidente de proveedor de la opción A es menor que la estimada. Daniel puede comprobarlo en el laboratorio cambiando un número cada vez y anotando dónde se invierte la clasificación. Si la inversión exige una estimación fuera de lo que informan otras organizaciones del sector, la decisión se mantiene; si no, dos semanas de revisión de los registros de proveedores pueden ser el mejor primer gasto. ### Ejemplo resuelto (BWRP sintética) Registro de decisión de Daniel: «D-2026-14. Responsable: director de la planta. Decisión: adoptar sesiones de proveedor intermediadas (B). Fundamento: menor coste esperado total con las estimaciones del anexo 1; el peor caso es igual en todas las opciones, así que una acción separada (D-2026-15) revisa el enclavamiento de límite alto de dosificación. Revisar si la estimación de frecuencia de incidentes de proveedor supera 0,06 al año o tras cualquier incidente de acceso remoto». > **Caso sintético — Bayside Water Reclamation Plant.** BWRP, Daniel Osei y todos los costes y probabilidades son inventados. ### Errores y límites Las estimaciones puntuales de probabilidades adversarias transmiten una precisión falsa; presente rangos. La aritmética de la pérdida esperada no recoge el daño a las personas aguas abajo, que debe argumentarse por separado. ### Ejercicios — capítulo 1 - **EX001 — Coste total de la opción A con una probabilidad menor.** Si el escenario de 400.000 de A baja a 0,05 al año, recalcule el total de A. *Rúbrica:* 3 = 10.000 + 20.000 + 50.000 = 80.000, todavía por encima de B; 2 = solo el número; 1 = error aritmético; 0 = nada. - **EX002 — Por qué el peor caso es idéntico.** Explique qué implica para el líder el peor caso compartido de 2,5 millones. *Rúbrica:* 3 = la elección de acceso remoto no elimina la ruta catastrófica; invertir en una salvaguarda independiente; 2 = parcial; 1 = «todas iguales»; 0 = nada. - **EX003 — Redactar un disparador de revisión.** Añada un disparador de revisión más a D-2026-14. *Rúbrica:* 3 = disparador observable y específico; 2 = vago pero pertinente; 1 = «si las cosas cambian»; 0 = nada. - **EX004 — ¿Se invierte la clasificación?** Halle la probabilidad del escenario de 400.000 de B con la que el total de B iguala los 100.000 de A. *Rúbrica:* 3 = (100.000 − 35.000 − 12.500)/400.000 ≈ 0,131; 2 = método; 1 = ignora el otro término; 0 = nada. - **EX005 — Cuándo no decidir todavía.** Describa una situación en la que Daniel debería aplazar D-2026-14 para reunir información. *Rúbrica:* 3 = la clasificación se invierte dentro del rango plausible y un estudio barato puede acotarlo antes del plazo; 2 = parcial; 1 = «cuando haya dudas»; 0 = nada. ### Síntesis del capítulo Los líderes deciden con la pérdida esperada, el peor caso creíble, responsables explícitos y disparadores de revisión, y compran información cuando esta podría cambiar la elección. ### Siga estudiando — capítulo 01 de 12 [← Página del curso](../../README.md) · [Índice de capítulos del curso](../SUBJECTS.md) · [Capítulo 02 (borrador) →](#ch-02) ## Worked answers **EX001.** 10.000 + 0,05 × 400.000 + 0,02 × 2.500.000 = 10.000 + 20.000 + 50.000 = 80.000, todavía más que los 59.500 de B. **EX002.** El escenario catastrófico puede producirse por rutas que ninguna opción de acceso remoto cierra, así que más gasto en acceso remoto no puede reducir el peor caso; el líder debería financiar una salvaguarda independiente (por ejemplo, un límite alto de dosificación cableado) para cambiar la cola. **EX003.** «Revisar si el proveedor del intermediario notifica un incidente de seguridad que afecte a su servicio de sesiones, o si el informe de atestación del intermediario tiene más de 12 meses». **EX004.** Total de B = 35.000 + 400.000p + 0,005 × 2.500.000 = 47.500 + 400.000p. Igualarlo a 100.000 da p = 52.500 / 400.000 ≈ 0,131 al año. **EX005.** Si las estimaciones creíbles de la probabilidad de incidente de A van de 0,01 a 0,10 y la clasificación entre A y B se invierte dentro de ese rango, mientras que una revisión de dos semanas de los registros de acceso de proveedores podría acotar la estimación antes del plazo del contrato, aplazar para hacer el estudio es mejor que decidir ahora.