◇ OpenCyber Academy
Posgrado · Capítulo 2 · Español

Capítulo 2 — Seguridad de TO, IoT y sistemas ciberfísicos: práctica actual

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Capítulo 2 — Seguridad de TO, IoT y sistemas ciberfísicos: práctica actual

Mapa de la lección

Lección 02 publicada. Mapa, ejemplo, EX006.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["2.1 Qué espera la orientación actual"]
  N2["2.2 Documentado frente a realizado"]
  N3["2.3 Construir la lista de brechas"]
  N4["2.4 Priorizar"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX006"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["2.1 Qué espera la orientación actual"]
  N2["2.2 Documentado frente a realizado"]
  N3["2.3 Construir la lista de brechas"]
  N4["2.4 Priorizar"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX006"]

[Resultados de aprendizaje]
    |
    v
[2.1 Qué espera la orientación actual]
    |
    v
[2.2 Documentado frente a realizado]
    |
    v
[2.3 Construir la lista de brechas]
    |
    v
[2.4 Priorizar]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX006]

Resultados de aprendizaje

Usted será capaz de (1) comparar el programa de seguridad de TO de una organización con los temas de NIST SP 800-82r3 e IEC 62443-2-1; (2) distinguir la práctica documentada de la práctica realizada; (3) elaborar una lista de brechas con evidencia; y (4) priorizar las brechas para la dirección.

2.1 Qué espera la orientación actual

NIST SP 800-82r3 organiza un programa de seguridad de TO en torno a la gobernanza, la gestión de riesgos, la arquitectura y las capacidades de seguridad aplicadas a los sistemas de TO, y relaciona las consideraciones de TO con las funciones del NIST Cybersecurity Framework. IEC 62443-2-1 especifica requisitos para el programa de seguridad de un propietario de activos. Ninguno de los dos es una lista de casillas por marcar; ambos describen capacidades que un programa maduro demuestra. En una revisión, use cada documento para generar preguntas y no una puntuación. En BWRP eso significa preguntar, por ejemplo, cómo se gobierna el acceso remoto, cómo se inventarían los activos y cómo se gestionarían los incidentes en el sistema de dosificación. Las respuestas pasan después a la lista de brechas con su evidencia, de modo que la revisión informa de lo que la planta puede demostrar y no de cuántas cláusulas afirma cumplir.

2.2 Documentado frente a realizado

Una política que dice «el acceso remoto se revisa mensualmente» es práctica documentada. Un registro que muestra las tres últimas revisiones mensuales, con los hallazgos cerrados, es práctica realizada. Los evaluadores de posgrado buscan lo segundo. En BWRP, Daniel muestrea evidencia de cada práctica declarada en lugar de aceptar las respuestas de las entrevistas. La muestra tiene que elegirse antes de mirar, o deriva hacia los casos que quedan bien. Daniel elige cinco prácticas situadas en rutas hacia consecuencias y pide, para cada una, el artefacto más reciente que demuestre que se hizo. Una respuesta de entrevista puede señalar la evidencia, pero nunca la sustituye en la lista de brechas.

2.3 Construir la lista de brechas

Para cada capacidad: lo que espera la orientación, lo que BWRP documenta, lo que la evidencia muestra que se realiza, la brecha, la consecuencia de la brecha y un responsable propuesto. Las estaciones de bombeo remotas conectadas mediante RTU celulares son un punto ciego habitual: aparecen en el registro de activos como «estaciones de bombeo», pero no como puntos finales de red. Cada fila debe ser lo bastante específica como para que su responsable pueda actuar. Para la brecha de inventario de BWRP, eso significa nombrar las nueve RTU de estaciones de bombeo que aún no figuran, la consecuencia de que no pueden supervisarse ni parchearse, y la persona que las añadirá. Una fila que solo dice «inventario incompleto» no da una tarea a nadie.

2.4 Priorizar

Priorice las brechas situadas en rutas hacia consecuencias (dosificación, calidad del vertido) y las que son baratas de cerrar. La falta de inventario de las RTU celulares bloquea varias otras capacidades (supervisión, aplicación de parches, delimitación del alcance de incidentes), así que ocupa un puesto alto aunque sea «solo documentación». Escriba la clasificación con su motivo, para que el director de la planta vea por qué una tarea de inventario supera a una herramienta nueva. En BWRP, la revisión del acceso remoto va a continuación, porque no se realiza desde marzo y los proveedores pueden llegar a PLC-D. Después viene la prueba de restauración de la lógica del PLC, ya que unas copias de seguridad cuya restauración nunca se ha probado pueden fallar cuando se necesiten.

Ejemplo resuelto (BWRP sintética)

Muestra de cinco prácticas de Daniel: inventario de activos (documentado, realizado en parte: 14 de 23 RTU de estaciones de bombeo registradas); revisión del acceso remoto (documentada, no realizada desde marzo); copia de seguridad de la lógica del PLC (realizada, restauración nunca probada); plan de respuesta a incidentes (documentado, sin guía de actuación específica de TO); aplicación de parches (realizada en las HMI Windows, no en el firmware de las RTU).

Caso sintético — Bayside Water Reclamation Plant. Los recuentos y las fechas son inventados.

Errores y límites

Una comparación con un solo documento puede pasar por alto la regulación sectorial. Muestrear cinco prácticas da una visión, no una opinión de auditoría.

Ejercicios — capítulo 2

Síntesis del capítulo

Las revisiones de la práctica actual comparan la evidencia de lo que se hace, no de lo que está escrito, y clasifican las brechas por su efecto en las consecuencias y en otras capacidades.

Siga estudiando — capítulo 02 de 12

← Capítulo 01 (borrador) · Índice de capítulos del curso · Capítulo 03 (borrador) →