Capítulo 9 — Seguridad de TO, IoT y sistemas ciberfísicos: liderazgo y aseguramiento

Mapa de la lección

Lección 09 publicada. Mapa, ejemplo, EX041.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["9.1 Afirmaciones, argumentos, evidencia"]
  N2["9.2 Cómo leer la comprobación"]
  N3["9.3 El aseguramiento no es cumplimiento"]
  N4["9.4 Vigencia de la evidencia"]
  N5["9.5 Informar a un consejo"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX041"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["9.1 Afirmaciones, argumentos, evidencia"]
  N2["9.2 Cómo leer la comprobación"]
  N3["9.3 El aseguramiento no es cumplimiento"]
  N4["9.4 Vigencia de la evidencia"]
  N5["9.5 Informar a un consejo"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX041"]

[Resultados de aprendizaje]
    |
    v
[9.1 Afirmaciones, argumentos, evidencia]
    |
    v
[9.2 Cómo leer la comprobación]
    |
    v
[9.3 El aseguramiento no es cumplimiento]
    |
    v
[9.4 Vigencia de la evidencia]
    |
    v
[9.5 Informar a un consejo]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX041]

Resultados de aprendizaje

Usted será capaz de (1) estructurar un argumento de aseguramiento desde una afirmación principal hasta la evidencia; (2) encontrar de forma mecánica las afirmaciones sin respaldo; (3) distinguir el aseguramiento del cumplimiento; y (4) presentar el estado del aseguramiento a un consejo sin exagerarlo.

9.1 Afirmaciones, argumentos, evidencia

Un caso de aseguramiento enuncia una afirmación principal («el riesgo de TO de BWRP es aceptable»), la descompone en subafirmaciones y respalda cada hoja con evidencia: informes de pruebas, revisiones de configuración, registros de simulacros. Goal Structuring Notation es una forma gráfica habitual. Su valor está en que cada brecha se hace visible como una afirmación sin nada debajo.

"""Lab 09: check a synthetic assurance argument: every claim needs evidence or fully supported sub-claims."""
arg = {
    "G1 BWRP OT risk is acceptable": ["G2 remote access controlled", "G3 dosing integrity protected", "G4 recovery tested"],
    "G2 remote access controlled": ["E1 broker config review 2026-09", "E2 session log sample"],
    "G3 dosing integrity protected": ["G5 setpoint limits enforced", "G6 writes monitored"],
    "G5 setpoint limits enforced": ["E3 bench test report"],
    "G6 writes monitored": [],
    "G4 recovery tested": ["E4 restore drill 2025-11"],
}
def supported(node, path=()):
    if node.startswith("E"): return True
    kids = arg.get(node, [])
    return bool(kids) and all(supported(k, path + (node,)) for k in kids)
for g in arg:
    print(f"{g:34} {'supported' if supported(g) else 'UNSUPPORTED'}")

Ejecútelo con python3 lab_assure.py. Salida verificada:

G1 BWRP OT risk is acceptable      UNSUPPORTED
G2 remote access controlled        supported
G3 dosing integrity protected      UNSUPPORTED
G5 setpoint limits enforced        supported
G6 writes monitored                UNSUPPORTED
G4 recovery tested                 supported

Escribir el argumento de este modo hace precisa la pregunta del consejo. En lugar de preguntar si la seguridad de TO es buena, pregunta qué afirmaciones tienen respaldo y cuáles no. Cada elemento de evidencia necesita además un titular y una fecha, para que el caso pueda actualizarse. El argumento de BWRP del laboratorio 9 es deliberadamente pequeño, para mostrar la estructura antes de que crezca.

9.2 Cómo leer la comprobación

G6 «writes monitored» no tiene evidencia ni subafirmaciones, así que no tiene respaldo. G3 depende de G6 y por tanto falla, y la afirmación principal G1 falla con ella. G2 y G4 tienen respaldo. La comprobación es estricta a propósito: para un consejo, una afirmación principal no puede ser verdadera en parte. La comprobación solo evalúa la estructura. No puede decir si la prueba de banco de E3 era la prueba adecuada, ni si la muestra de registros de sesiones de E2 era lo bastante grande. Esos son juicios que corresponden a un revisor. Use la comprobación mecánica para encontrar brechas con rapidez y después lea cada elemento de evidencia para ver si de verdad respalda su afirmación.

9.3 El aseguramiento no es cumplimiento

El cumplimiento muestra que existen los controles exigidos. El aseguramiento argumenta que el riesgo es aceptable dadas las amenazas y las consecuencias reales del sistema. Una planta puede cumplir una lista de verificación y aun así tener una afirmación sin respaldo en su lazo más importante, aquí la integridad de la dosificación. BWRP podría superar una lista de verificación que pregunte si el acceso remoto está controlado y si la recuperación está probada, porque G2 y G4 tienen respaldo, mientras que la afirmación que más importa a los residentes, la integridad de la dosificación, sigue sin respaldo. El aseguramiento pone esa brecha al principio del documento para el consejo, donde un informe de cumplimiento la habría escondido entre los puntos superados.

9.4 Vigencia de la evidencia

La evidencia envejece. Un simulacro de restauración de 2025-11 respalda hoy G4; dentro de dos años no lo hará. Los casos de aseguramiento maduros asignan un período de validez a cada elemento y hacen fallar las afirmaciones cuya evidencia ha caducado. Fije el período de validez según la rapidez con la que la evidencia podría dejar de ser cierta. Una revisión de la configuración del intermediario puede tener que repetirse tras cada cambio importante, mientras que un simulacro de restauración podría ser válido durante un año. Añada las fechas de caducidad al propio argumento, para que la comprobación del laboratorio 9 pueda marcar una afirmación sin respaldo cuando su evidencia caduque.

9.5 Informar a un consejo

Informe: el estado de la afirmación principal (todavía sin respaldo), qué subafirmación la bloquea, qué evidencia está prevista y cuándo. Evite los colores rojo, ámbar y verde sin las afirmaciones subyacentes; el color oculta el razonamiento. El documento de Daniel para el consejo sigue esta estructura. Dice claramente que G1 todavía no tiene respaldo, nombra a G6 como la afirmación que la bloquea, da la fecha en la que existirá la evidencia e identifica la evidencia compensatoria hasta entonces. Un miembro del consejo puede hacer a ese documento una pregunta más afinada que a una sola luz ámbar.

Ejemplo resuelto (BWRP sintética)

Documento de Daniel para el consejo: «G1 todavía no tiene respaldo porque la supervisión de escrituras en PLC-D (G6) no tiene evidencia. Previsto: desplegar supervisión pasiva en la red de dosificación antes de enero y adjuntar la revisión de alertas del primer mes como evidencia E5. Hasta entonces, la evidencia compensatoria es E3 (prueba de banco de los límites del punto de consigna)».

Caso sintético — Bayside Water Reclamation Plant. La estructura del argumento y los identificadores de evidencia son inventados.

Errores y límites

Un árbol con respaldo solo vale lo que valga la pertinencia de la evidencia; un informe de pruebas puede quedar asociado a la afirmación equivocada. Las comprobaciones mecánicas no juzgan la calidad de la evidencia.

Ejercicios — capítulo 9

• EX041 — Corregir el árbol. Añada la evidencia «E5 monitoring review 2027-01» bajo G6. ¿Qué imprime el laboratorio para G1?
  Mostrar criterios de evaluación

  Rúbrica: 3 = supported (todas las ramas llegan ahora a evidencia); 2 = correcto pero sin motivo; 1 = sigue sin respaldo; 0 = nada.
• EX042 — Una regla de caducidad. Escriba una regla que haga fallar la evidencia de más de 18 meses y diga qué elemento fallaría primero.
  Mostrar criterios de evaluación

  Rúbrica: 3 = regla más E4 (2025-11) como el más antiguo; 2 = uno de los dos; 1 = vago; 0 = nada.
• EX043 — Cumplimiento sin aseguramiento. Dé un ejemplo en el que BWRP supera una lista de verificación pero G3 no tiene respaldo.
  Mostrar criterios de evaluación

  Rúbrica: 3 = la lista pide cortafuegos/política, no supervisión de escrituras de dosificación; 2 = parcial; 1 = vago; 0 = nada.
• EX044 — Evidencia mal asociada. Explique por qué asociar a G3 una prueba de penetración de la TI corporativa sería un error.
  Mostrar criterios de evaluación

  Rúbrica: 3 = no es pertinente para la integridad de la red de dosificación; otro sistema; 2 = parcial; 1 = aceptable; 0 = nada.
• EX045 — Una frase para el consejo. Escriba una frase que informe del estado de G1 sin códigos de color.
  Mostrar criterios de evaluación

  Rúbrica: 3 = estado, afirmación que bloquea, plan y fecha; 2 = tres; 1 = «ámbar»; 0 = nada.

Síntesis del capítulo

El aseguramiento hace auditables las afirmaciones de la dirección: cada afirmación principal se descompone hasta llegar a evidencia vigente y pertinente, y las brechas se informan como brechas.

Siga estudiando — capítulo 09 de 12

← Capítulo 08 (borrador) · Índice de capítulos del curso · Capítulo 10 (borrador) →