Capítulo 7 — Seguridad de TO, IoT y sistemas ciberfísicos: integración organizativa | Posgrado Seguridad de OT, IoT y sistemas ciberfísicos

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 07 publicada. Mapa, ejemplo, EX031.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["7.1 El problema de la titularidad"]
  N2["7.2 Una RACI para tres procesos"]
  N3["7.3 Gestión de cambios"]
  N4["7.4 Métricas"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX031"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["7.1 El problema de la titularidad"]
  N2["7.2 Una RACI para tres procesos"]
  N3["7.3 Gestión de cambios"]
  N4["7.4 Métricas"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX031"]

[Resultados de aprendizaje]
    |
    v
[7.1 El problema de la titularidad]
    |
    v
[7.2 Una RACI para tres procesos]
    |
    v
[7.3 Gestión de cambios]
    |
    v
[7.4 Métricas]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX031]

Resultados de aprendizaje

Usted será capaz de (1) diseñar funciones y responsabilidades de seguridad de TO entre TI, operación e ingeniería; (2) construir una matriz RACI para los procesos clave de seguridad de TO; (3) integrar la seguridad de TO en la gestión de cambios; y (4) fijar métricas que impulsen el comportamiento correcto.

7.1 El problema de la titularidad

En muchas empresas de servicios, TI es titular de la red hasta un cortafuegos, operación es titular del proceso, ingeniería es titular de los controladores y nadie es titular del espacio donde se encuentran. NIST SP 800-82r3 recomienda un equipo multifuncional para la seguridad de TO, con una autoridad claramente asignada. Integrar significa dejar por escrito quién decide, no solo quién asesora. En BWRP ese espacio incluye el cortafuegos de la DMZ, el intermediario de proveedores y los enlaces celulares con las estaciones de bombeo. Cada uno necesita un titular con nombre y autoridad para aprobar cambios y actuar en un incidente. Dejarlo por escrito suele revelar que dos equipos creían que el titular era el otro, que es exactamente la brecha que aprovecha un atacante o una avería.

7.2 Una RACI para tres procesos

Para la aprobación del acceso remoto: el supervisor de turno es Responsable de habilitar las sesiones; el responsable de seguridad de TO rinde cuentas (Accountable) de la política; el gestor de proveedores es Consultado; seguridad de TI es Informada de cada sesión. Para un cambio de la lógica del PLC: el ingeniero de control es Responsable, el jefe de ingeniería rinde cuentas, operación es Consultada y seguridad de TO es Informada y recibe una alerta. Para la declaración de un incidente de TO: el supervisor de turno es Responsable de comunicarlo, el director de la planta rinde cuentas, seguridad de TO y TI son Consultadas y el regulador es Informado cuando se alcanzan los umbrales.

Compruebe en cada fila que haya exactamente una parte que rinde cuentas y al menos una persona que hace el trabajo. Comparta la tabla con cada función que nombra y pregunte si están de acuerdo; una función que se entera por la tabla de que rinde cuentas de algo todavía no lo ha aceptado. Revise la RACI tras los cambios organizativos y tras cualquier incidente que la haya puesto a prueba.

7.3 Gestión de cambios

Todo cambio en un sistema de TO pasa por un comité de cambios que ya existe para la seguridad funcional y la fiabilidad. Añadir tres preguntas de seguridad a su formulario (¿añade este cambio un conducto, modifica una cuenta o altera el firmware?) integra la seguridad sin una burocracia paralela. Cada respuesta afirmativa desencadena entonces una acción definida: un conducto nuevo necesita una regla de cortafuegos y un titular; una cuenta modificada necesita una revisión de quién puede usarla; un firmware alterado necesita una comprobación frente a los avisos del proveedor y una copia de seguridad previa. El comité ya entiende las preguntas de seguridad funcional y fiabilidad, así que las preguntas de seguridad deben formularse de la misma manera.

7.4 Métricas

Mida aquello de lo que quiere más. «Número de vulnerabilidades» premia no buscar. Mejor: porcentaje de activos de TO del inventario con versiones de firmware conocidas; mediana de días para aplicar los parches de TO de alto riesgo dentro de las ventanas disponibles; porcentaje de sesiones de proveedores con grabaciones revisadas. Cada métrica nombra un denominador. Cada métrica necesita también un valor de partida y una fecha objetivo. El cuadro de mando de BWRP parte de 14 de 23 RTU en el inventario y 0 de 37 sesiones de proveedores revisadas desde marzo, así que el avance es visible desde el primer informe. Revise cada definición con las personas a las que mide, para que la métrica cambie el comportamiento y no solo el informe.

Ejemplo resuelto (BWRP sintética)

Plan de integración de Daniel: el responsable de seguridad de TO reporta al director de la planta, con una línea punteada hacia el CISO; el formulario del comité de cambios incorpora tres preguntas; un cuadro de mando trimestral muestra la completitud del inventario (hoy 14/23 RTU más 41/41 activos de la planta), la tasa de revisión de sesiones de proveedores (hoy 0/37 sesiones revisadas desde marzo) y la vigencia de las pruebas de restauración.

Caso sintético — Bayside Water Reclamation Plant. La estructura y las cifras son inventadas.

Errores y límites

Las tablas RACI fallan si dos partes rinden cuentas a la vez. Las métricas pueden manipularse; revise las definiciones cada año.

Ejercicios — capítulo 7

EX031 — Detectar un error en una RACI. Un borrador indica que tanto seguridad de TI como el director de la planta rinden cuentas de la declaración de incidentes. ¿Qué está mal y cómo se corrige?
Mostrar criterios de evaluación
Rúbrica: 3 = solo una parte rinde cuentas; director A, TI C; 2 = solo el problema; 1 = lo acepta; 0 = nada.
EX032 — Tres preguntas para el comité de cambios. Reescriba las tres preguntas de seguridad para que alguien no especialista pueda responderlas con sí o no.
Mostrar criterios de evaluación
Rúbrica: 3 = tres preguntas claras de sí/no; 2 = dos; 1 = jerga; 0 = nada.
EX033 — Una métrica contraproducente. Explique cómo «cero hallazgos de TO abiertos» podría ser contraproducente.
Mostrar criterios de evaluación
Rúbrica: 3 = desincentiva informar/buscar; incentiva cerrar sin corregir; 2 = parcial; 1 = vago; 0 = nada.
EX034 — Cifra de completitud del inventario. Calcule la completitud combinada del inventario de BWRP.
Mostrar criterios de evaluación
Rúbrica: 3 = 55/64 ≈ 85,9 %; 2 = fracción correcta; 1 = solo 14/23; 0 = nada.
EX035 — Elegir la línea de reporte. Dé una ventaja de que el responsable de seguridad de TO reporte al director de la planta en lugar de al CISO.
Mostrar criterios de evaluación
Rúbrica: 3 = autoridad sobre las decisiones de operación, contexto del proceso; 2 = vago; 1 = intento mínimo; 0 = nada.

Síntesis del capítulo

La integración es autoridad explícita, preguntas incorporadas al proceso de cambios y métricas con denominadores que premian encontrar y corregir.

Siga estudiando — capítulo 07 de 12

← Capítulo 06 (borrador) · Índice de capítulos del curso · Capítulo 08 (borrador) →