Capítulo 8 — Seguridad de TO, IoT y sistemas ciberfísicos: casos difíciles
Mapa de la lección
Lección 08 publicada. Mapa, ejemplo, EX036.
flowchart TD
N0["Resultados de aprendizaje"]
N1["8.1 Cuando la contención pone en peligro el proceso"]
N2["8.2 Amenazas internas"]
N3["8.3 Compromiso de un proveedor"]
N4["8.4 Comunicar en condiciones de incertidumbre"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX036"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["8.1 Cuando la contención pone en peligro el proceso"]
N2["8.2 Amenazas internas"]
N3["8.3 Compromiso de un proveedor"]
N4["8.4 Comunicar en condiciones de incertidumbre"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX036"]
[Resultados de aprendizaje]
|
v
[8.1 Cuando la contención pone en peligro el proceso]
|
v
[8.2 Amenazas internas]
|
v
[8.3 Compromiso de un proveedor]
|
v
[8.4 Comunicar en condiciones de incertidumbre]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX036]
Resultados de aprendizaje
Usted será capaz de (1) liderar una respuesta cuando la contención y la seguridad funcional del proceso entran en conflicto; (2) gestionar un escenario interno con equidad y evidencia; (3) gestionar el compromiso de un proveedor que afecta a varios emplazamientos; y (4) comunicarse en condiciones de incertidumbre con los reguladores y el público.
8.1 Cuando la contención pone en peligro el proceso
Suponga que la evidencia apunta a un intruso en el servidor SCADA de BWRP durante una tormenta, cuando las estaciones de bombeo necesitan arranques remotos de bombas para evitar desbordamientos. Desconectar el SCADA detiene a la vez al intruso y el control remoto de los operadores. La tarea del líder es elegir la opción menos mala: mantener el SCADA conectado con una vigilancia reforzada y verificación manual de cada orden; enviar cuadrillas a las estaciones de consecuencia alta para que tomen el control local; y después aislar. NIST SP 800-82r3 subraya que la respuesta a incidentes de TO debe sopesar el impacto en la seguridad funcional y en la operación de las acciones de respuesta.
8.2 Amenazas internas
Un cambio local sin explicación en un panel de dosificación (el ejemplo del capítulo 3) podría ser un ajuste bienintencionado de un técnico o un sabotaje. Trátelo primero como una desviación del proceso, reúna evidencia sin acusar, implique a recursos humanos y a la asesoría jurídica antes de las entrevistas, y recuerde que las culturas de culpa hacen que el personal oculte los errores, lo que es peor para la seguridad. En BWRP, la evidencia ya apuntaba a un cambio local durante un período en el que el panel estaba en modo local. El siguiente paso es comprobar los cuadrantes de turnos y las órdenes de trabajo de esa franja, y preguntar al técnico qué estaba haciendo, llevando la conversación como una revisión del proceso. Solo si la explicación no encaja se convierte en un asunto disciplinario o legal.
8.3 Compromiso de un proveedor
Si un proveedor de SCADA anuncia que su servidor de actualizaciones distribuyó software manipulado, toda empresa de servicios que lo use debe determinar su exposición. Los líderes necesitan un inventario de las versiones instaladas y un registro de la procedencia de las actualizaciones. El intercambio de información sectorial ayuda; también una relación previa con el equipo de seguridad del proveedor. Para BWRP, la primera pregunta sería qué servidores SCADA y estaciones de ingeniería recibieron actualizaciones de la fuente afectada, y cuándo. Eso requiere registros guardados antes del anuncio, y por eso importa el trabajo de inventario de la lista de brechas. Los contactos con el equipo de seguridad del proveedor y con el grupo sectorial de intercambio deben establecerse antes de una crisis, no durante ella.
8.4 Comunicar en condiciones de incertidumbre
Diga a los reguladores lo que sabe, lo que no sabe, lo que está haciendo y cuándo dará la próxima actualización. Evite tanto las garantías que no puede respaldar como las especulaciones sobre la atribución. En BWRP, la declaración provisional de la 01:00 de la noche de tormenta siguió este patrón: una sesión desconocida desde el servidor SCADA, cuadrillas en las estaciones junto a la playa, la ruta externa cortada y la hora de la siguiente actualización. No afirmaba nada sobre quién era el responsable. Prepare con antelación plantillas para estas declaraciones, de modo que puedan emitirse con rapidez sin una redacción descuidada.
Ejemplo resuelto (BWRP sintética)
Noche de tormenta, 23:40: la supervisión alerta de una sesión saliente desconocida desde el servidor SCADA. Daniel y el supervisor de turno acuerdan: cuadrillas en las seis estaciones junto a la playa antes de las 00:30 para tomar el control local; el SCADA sigue conectado con verificación por dos personas de cada orden remota; a las 00:35, con el control local confirmado, se corta la ruta externa del SCADA en el cortafuegos de la DMZ. El regulador recibe una declaración provisional a la 01:00 según los términos de notificación de la autorización.
Caso sintético — Bayside Water Reclamation Plant. El evento y los horarios son inventados.
Errores y límites
La verificación por dos personas ralentiza la operación; es una medida temporal. Las declaraciones provisionales no deben retrasarse para perfeccionarlas.
Ejercicios — capítulo 8
- EX036 — Secuenciar la respuesta de una noche de tormenta. Explique por qué se enviaron las cuadrillas antes de cortar la ruta externa. Rúbrica: 3 = mantener la prevención de desbordamientos mediante el control local antes de perder el control remoto; 2 = parcial; 1 = rapidez; 0 = nada.
- EX037 — Primeros pasos ante una posible amenaza interna. Enumere las tres primeras acciones tras el cambio sin explicación en el panel. Rúbrica: 3 = poner el proceso en condiciones seguras/verificar el punto de consigna, preservar la evidencia, implicar a RR. HH./asesoría jurídica antes de las entrevistas; 2 = dos; 1 = acusar; 0 = nada.
- EX038 — Pregunta de exposición al proveedor. ¿Qué dos registros permiten a BWRP responder «¿nos afectó la actualización manipulada?»? Rúbrica: 3 = versión instalada por equipo e historial de origen/fecha de las actualizaciones; 2 = uno; 1 = lista de proveedores; 0 = nada.
- EX039 — Una declaración provisional. Redacte una declaración provisional de tres frases para el regulador. Rúbrica: 3 = lo conocido, lo desconocido, las acciones y la hora de la próxima actualización; 2 = tres de cuatro; 1 = especulativa; 0 = nada.
- EX040 — Terminar la verificación por dos personas. Indique un criterio para terminar la medida temporal. Rúbrica: 3 = ruta del intruso cerrada e integridad del SCADA verificada (p. ej., reconstrucción limpia o hashes verificados), aprobación del titular; 2 = parcial; 1 = solo basado en el tiempo; 0 = nada.
Síntesis del capítulo
Los casos difíciles exigen una secuencia que mantenga el proceso seguro, equidad con las personas, inventarios que respondan a las preguntas sobre proveedores y una comunicación honesta.
Siga estudiando — capítulo 08 de 12
← Capítulo 07 (borrador) · Índice de capítulos del curso · Capítulo 09 (borrador) →