Capítulo 1 — Fundamentos de seguridad para profesionales

Capítulo 1 — Fundamentos de seguridad para profesionales

Mapa de la lección

Lección 01 publicada. Mapa, ejemplo, EX001.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["1.1 Qué es un servicio esencial"]
  N2["1.2 Primero, la consecuencia"]
  N3["1.3 El trabajo del coordinador"]
  N4["1.4 El vocabulario del riesgo"]
  N5["1.5 Los marcos como mapas"]
  N6["1.7 Actividad práctica"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX001"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["1.1 Qué es un servicio esencial"]
  N2["1.2 Primero, la consecuencia"]
  N3["1.3 El trabajo del coordinador"]
  N4["1.4 El vocabulario del riesgo"]
  N5["1.5 Los marcos como mapas"]
  N6["1.7 Actividad práctica"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX001"]

[Resultados de aprendizaje y conexión]
    |
    v
[1.1 Qué es un servicio esencial]
    |
    v
[1.2 Primero, la consecuencia]
    |
    v
[1.3 El trabajo del coordinador]
    |
    v
[1.4 El vocabulario del riesgo]
    |
    v
[1.5 Los marcos como mapas]
    |
    v
[1.7 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX001]

Resultados de aprendizaje y conexión

Al terminar este capítulo debería ser capaz de:

• explicar qué hace que un servicio sea «esencial» y por qué su seguridad se juzga por la consecuencia para las personas, no por el daño a los ordenadores;
• describir el trabajo del coordinador y distinguirlo del del ingeniero, del analista de seguridad y del directivo;
• usar el vocabulario básico del riesgo (activo, amenaza, vulnerabilidad, probabilidad, consecuencia, dueño del riesgo, apetito de riesgo) con la precisión suficiente para que los colegas puedan actuar a partir de sus frases;
• situar su trabajo dentro de un marco reconocido (las seis funciones del NIST Cybersecurity Framework 2.0) sin confundir el marco con el trabajo.

Este capítulo solo presupone nociones básicas de seguridad. Todo lo que viene después en el libro se apoya en las distinciones que se hacen aquí.

1.1 Qué es un servicio esencial

Un servicio esencial es aquel cuya interrupción perjudica a las personas, a la economía o al orden público con rapidez y a gran escala: agua potable, electricidad, sanidad, transporte, pagos, comunicaciones de emergencia. Los gobiernos los enumeran de forma distinta. Estados Unidos agrupa dieciséis sectores de infraestructura crítica (CISA, Critical Infrastructure Sectors) y describe las funciones críticas nacionales subyacentes (por ejemplo, «suministrar agua» o «prestar atención médica») que atraviesan los sectores (CISA, National Critical Functions Set). La Directiva NIS2 de la Unión Europea nombra sectores de «alta criticidad» e impone obligaciones a las entidades esenciales e importantes, también a sus órganos de dirección (Directive (EU) 2022/2555).

La idea útil de todas estas listas es la misma: lo que hay que proteger es una función prestada a las personas, no un edificio ni un servidor. Kestrel Water no existe para hacer funcionar ordenadores; existe para que 180.000 personas puedan beber agua segura a una presión adecuada a todas horas, todos los días. Sus ordenadores importan en la medida en que la función depende de ellos.

1.2 Primero, la consecuencia

En una oficina, la tríada clásica de la seguridad suele recitarse como confidencialidad, integridad y disponibilidad, en ese orden. En un servicio esencial, el orden de preocupación suele cambiar. La guía del NIST sobre seguridad de la tecnología operativa señala que los sistemas de TO afectan directamente al mundo físico y que sus prioridades (la seguridad de las personas, la disponibilidad y la integridad del control) difieren de las prioridades habituales de TI (NIST SP 800-82 Rev. 3).

Para un coordinador esto tiene un significado práctico. Cuando clasifique un problema, pregunte en este orden:

1. ¿Podría hacer daño a alguien? (dosis química errónea, pérdida de presión en un hospital, un trabajador expuesto a una bomba en movimiento);
2. ¿Podría detener el servicio, durante cuánto tiempo y para cuántas personas?
3. ¿Podría hacer que el servicio deje de ser fiable, con operadores que ya no están seguros de que las pantallas muestren la verdad?
4. ¿Podría exponer información: datos de clientes, diseños de red, informes de vulnerabilidades?

Una brecha de datos en el sistema de facturación es grave y puede acarrear obligaciones legales, pero un cambio silencioso en una consigna de cloro es un problema de otra categoría. Un coordinador que no sepa explicar esa diferencia en una frase ante un consejo verá cómo el dinero va al lugar equivocado.

1.3 El trabajo del coordinador

El director de operaciones de Kestrel Water, E. Varga, redactó la descripción del nuevo puesto. Su núcleo son tres verbos: conectar, posibilitar decisiones y evidenciar.

• Conectar. Operaciones, TI, ingeniería, atención al cliente, comunicación, los proveedores y la dirección tienen cada uno una parte del panorama. El coordinador se asegura de que las partes se encuentren: de que las personas adecuadas se enteren a tiempo de un riesgo, un cambio o un incidente.
• Posibilitar decisiones. El coordinador rara vez toma las decisiones importantes. El jefe de operaciones decide si una estación funciona en manual; el consejero delegado decide qué decir al público. El coordinador se asegura de que la decisión tenga un responsable, la información que necesita, un plazo y un registro.
• Evidenciar. El coordinador puede mostrar a un consejo, a un auditor o a un regulador qué se decidió, por qué y si se llevó a cabo.

El coordinador no es el ingeniero que reconfigura el cortafuegos, ni el analista que lee los registros, ni el directivo que acepta el riesgo. Confundir estas funciones es el fallo más común de los coordinadores nuevos: o intentan hacer ellos mismos el trabajo técnico (y pierden de vista el programa) o toman decisiones que corresponden a alguien con autoridad sobre el servicio (y después son desautorizados o culpados).

1.4 El vocabulario del riesgo

Las palabras precisas ahorran horas de reuniones. Las definiciones siguientes siguen el uso común de NIST SP 800-30 Rev. 1, simplificado para la práctica:

• Activo: cualquier cosa de la que depende el servicio: equipos, software, datos, personas, proveedores, edificios.
• Amenaza: circunstancia o actor con potencial de causar daño (un grupo delictivo, una actualización descuidada, una inundación).
• Vulnerabilidad: debilidad que una amenaza podría explotar (una cuenta de proveedor sin autenticación multifactor).
• Probabilidad: lo probable que es que el daño se produzca en un periodo dado, teniendo en cuenta los controles existentes.
• Consecuencia (o impacto): lo que les ocurre al servicio y a las personas si se produce.
• Riesgo: la combinación: una afirmación de qué podría ocurrir, cómo, con qué probabilidad y con qué gravedad.
• Dueño del riesgo: la persona con autoridad y presupuesto para decidir cómo se trata el riesgo. Normalmente, un responsable del servicio afectado, no el coordinador.
• Apetito de riesgo: cuánto riesgo está dispuesta a aceptar la dirección de la organización para alcanzar sus objetivos, declarado de antemano.
• Tratamiento: reducir, evitar, transferir (por ejemplo, mediante un seguro o un contrato) o aceptar el riesgo.

Una declaración de riesgo bien formada tiene una causa, un evento y una consecuencia: «Como la cuenta remota del proveedor de bombas no tiene segundo factor, un atacante con la contraseña del proveedor podría iniciar sesión en los controladores de las estaciones y cambiar las consignas de las bombas, causando pérdida de presión a hasta 20.000 clientes, entre ellos el hospital». Compárela con «riesgo de acceso de proveedores», que nadie puede asumir como dueño ni tratar.

1.5 Los marcos como mapas

El NIST Cybersecurity Framework 2.0 organiza los resultados en seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar (Govern, Identify, Protect, Detect, Respond, Recover) (NIST CSWP 29, The NIST Cybersecurity Framework 2.0). La versión 2.0 añadió Gobernar, que abarca la estrategia, las funciones, la política, la gestión de riesgos y el riesgo de la cadena de suministro: la mayor parte de lo que trata este libro. El Cyber Assessment Framework del Reino Unido, escrito para operadores de servicios esenciales, se organiza en torno a objetivos como gestionar el riesgo de seguridad y minimizar el impacto de los incidentes (NCSC, Cyber Assessment Framework).

Un marco es un mapa de resultados. Le dice lo que consigue un buen programa, no cómo debe conseguirlo su empresa de servicios, y desde luego no que usted ya lo haya conseguido. El capítulo 5 muestra cómo leer las evaluaciones basadas en marcos sin dejarse engañar por ellas.

1.6 Ejemplo resuelto: la primera semana (sintético)

El primer día, la nueva coordinadora recibe tres peticiones:

1. El departamento de TI le pide que «dé el visto bueno» a un nuevo antivirus para los ordenadores de la sala de control antes del viernes.
2. El presidente de la comisión de auditoría del consejo, T. Lindqvist, pide «nuestra puntuación de riesgo cibernético» para la comisión del mes que viene.
3. El jefe de operaciones, A. Mensah, menciona que un proveedor de bombas «a veces se conecta desde casa» para reparar la estación KW-07.

Una respuesta débil las trata como tres tareas. La respuesta de una coordinadora las ordena por consecuencia y por quién es dueño de la decisión:

El tercer asunto, mencionado de pasada, es el de mayor consecuencia. Los coordinadores aprenden a oír el riesgo en la conversación.

1.7 Actividad práctica

Elija un servicio esencial que conozca (su propio empleador o uno público descrito en una noticia). Escriba, en no más de una página: la función que presta a las personas; tres cosas de las que depende; y una declaración de riesgo bien formada, con causa, evento y consecuencia. Marque qué partes conoce y cuáles supone. Después entregue la página a un colega y pídale que nombre al dueño del riesgo solo a partir de su declaración. Si no puede, probablemente la consecuencia o el servicio afectado son demasiado vagos. Compare su función con la frase de Kestrel Water sobre agua segura a una presión adecuada para 180.000 personas: nombra a quién se sirve y qué necesita.

1.8 Errores comunes y límites

• Tratar la «seguridad» como propiedad del departamento de TI. En un servicio esencial, operaciones es dueño de la consecuencia.
• Escribir los riesgos como sustantivos («ransomware», «personal interno») en lugar de como afirmaciones que alguien pueda asumir.
• Pedir una única puntuación de riesgo. Las puntuaciones ocultan qué servicio, qué personas y qué decisión.
• Confundir un perfil del marco con evidencia de que los controles funcionan.

• Este capítulo simplifica: los métodos reales de riesgo (capítulo 4) necesitan calibración, datos y juicio, y las leyes difieren entre países.

• Dar el visto bueno a un cambio que corresponde a otra persona, como evitó la coordinadora con la petición del antivirus para los ordenadores de la sala de control.

• Tratar un comentario de pasada, como el de un proveedor que a veces se conecta desde casa, como charla trivial en lugar de como un riesgo candidato.

Ejercicios — capítulo 1

EX001 — Reescriba los riesgos. Objetivo: producir declaraciones de riesgo que alguien pueda asumir. Insumos: las entradas del registro «ransomware», «PC antiguos» y «acceso de proveedores». Pasos: reescribir cada una como una declaración de causa, evento y consecuencia situada en Kestrel Water. Evidencia esperada: tres declaraciones. Rúbrica: 3 = cada una tiene una causa, un evento y una consecuencia para el servicio medida en personas o en tiempo, y nombra la función afectada; 2 = a una le falta la consecuencia; 1 = siguen siendo genéricas; 0 = nada.

EX002 — Orden de preocupación. Objetivo: aplicar la clasificación por consecuencia. Insumos: cuatro eventos: (a) un intruso copia la base de datos de facturación; (b) las pantallas del operador en KW-03 se congelan durante 40 minutos; (c) la consigna de cloro de KW-05 se cambia sin aprobación; (d) un diagrama de la red interna se envía por correo a una dirección equivocada. Pasos: ordenarlos y justificarlo. Evidencia esperada: clasificación con una frase para cada uno. Rúbrica: 3 = (c) primero por razones de seguridad de las personas, (b) segundo por la pérdida de visión y la posible pérdida de control, después (d) y (a) con un razonamiento sobre a quién se perjudica y cómo; señala que las obligaciones legales pueden hacer que (a) siga siendo urgente; 2 = solo los dos primeros correctos; 1 = pone (a) primero sin razonamiento; 0 = nada.

EX003 — Límites de la función. Objetivo: separar la coordinación de la autoridad. Insumos: la petición del antivirus de 1.6. Pasos: escribir el correo que enviaría a TI y a A. Mensah. Evidencia esperada: dos mensajes breves. Rúbrica: 3 = rechaza dar el visto bueno en solitario, nombra al dueño de la decisión, pide la compatibilidad del proveedor, una prueba fuera de producción y un plan de reversión, y propone una fecha; 2 = dueño correcto sin pedir la prueba; 1 = da el visto bueno; 0 = nada.

EX004 — Asociación con el CSF 2.0. Objetivo: usar un marco como mapa. Insumos: las tres peticiones de 1.6. Pasos: asignar cada una a una o más funciones del CSF 2.0 y explicarlo. Evidencia esperada: tres asignaciones. Rúbrica: 3 = antivirus → Proteger (y Gobernar por los derechos de decisión); puntuación de riesgo → Gobernar; conexiones del proveedor → Gobernar (cadena de suministro) e Identificar/Proteger; señala que la etiqueta de una función no es evidencia; 2 = etiquetas sin razones; 1 = una etiqueta; 0 = nada.

EX005 — Oiga el riesgo. Objetivo: detectar el riesgo en la conversación. Insumos: el comentario «el turno de noche deja la puerta de la estación calzada abierta porque el lector de tarjetas es lento». Pasos: escribir una declaración de riesgo, nombrar a un probable dueño y una pregunta que haría antes de proponer cualquier solución. Evidencia esperada: declaración, dueño, pregunta. Rúbrica: 3 = la declaración vincula el acceso físico con los equipos de control y la consecuencia; el dueño es el responsable de la estación o el jefe de operaciones; la pregunta respeta por qué lo hace el personal (por ejemplo, cuánto tarda y si la puerta se necesita como salida de emergencia); 2 = sin pregunta; 1 = culpa al personal; 0 = nada.

Síntesis del capítulo

Un servicio esencial es una función prestada a las personas, y su seguridad se mide por la consecuencia: seguridad de las personas, continuidad, fiabilidad y, después, confidencialidad. El coordinador conecta a las personas que tienen partes del panorama, se asegura de que las decisiones tengan responsables y registros, y conserva la evidencia. Las declaraciones de riesgo precisas y un marco usado como mapa (no como prueba) son las primeras herramientas del oficio.

Siga estudiando — capítulo 01 de 12

← Página del curso · Índice de capítulos del curso · Capítulo 02 →

Continúe con la siguiente lección escrita.