Capítulo 3 — Práctica autorizada y tratamiento de la evidencia

Mapa de la lección

Lección 03 publicada. Mapa, ejemplo, EX011.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["3.1 Por qué la autorización es un problema de coordi"]
  N2["3.2 Qué contiene una autorización válida"]
  N3["3.3 Registros de decisión"]
  N4["3.4 Tratamiento de la evidencia para un coordinador"]
  N5["3.5 Compartir: el Traffic Light Protocol"]
  N6["3.7 Actividad práctica"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX011"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["3.1 Por qué la autorización es un problema de coordi"]
  N2["3.2 Qué contiene una autorización válida"]
  N3["3.3 Registros de decisión"]
  N4["3.4 Tratamiento de la evidencia para un coordinador"]
  N5["3.5 Compartir: el Traffic Light Protocol"]
  N6["3.7 Actividad práctica"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX011"]

[Resultados de aprendizaje y conexión]
    |
    v
[3.1 Por qué la autorización es un problema de coordi]
    |
    v
[3.2 Qué contiene una autorización válida]
    |
    v
[3.3 Registros de decisión]
    |
    v
[3.4 Tratamiento de la evidencia para un coordinador]
    |
    v
[3.5 Compartir: el Traffic Light Protocol]
    |
    v
[3.7 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX011]

Resultados de aprendizaje y conexión

Al terminar este capítulo debería ser capaz de:

• explicar quién puede autorizar trabajos de seguridad en un servicio esencial y qué contiene una autorización válida;
• redactar un registro de decisión que resistiría las preguntas de un regulador o de un auditor un año después;
• gestionar la evidencia que produce un programa de coordinación: qué conservar, dónde, durante cuánto tiempo y quién puede verla;
• compartir información sensible con los socios usando un esquema de marcado acordado (el Traffic Light Protocol).

El capítulo 2 identificó quién decide. Este capítulo hace que sus decisiones sean explícitas, queden registradas y puedan compartirse con seguridad.

3.1 Por qué la autorización es un problema de coordinación

El trabajo de seguridad en un servicio esencial (una evaluación, un escaneo de vulnerabilidades, una sesión de mantenimiento de un proveedor, una prueba de penetración, incluso «solo mirar» la configuración de un controlador) puede afectar al servicio. En los entornos de control, el NIST señala que algunas actividades rutinarias de TI, entre ellas el escaneo activo, pueden perturbar las operaciones (NIST SP 800-82 Rev. 3). La autorización existe para que la persona responsable de la consecuencia acepte de antemano lo que va a ocurrir y para que todos puedan demostrar después lo que se acordó.

El coordinador suele ser la persona que prepara una autorización: redacta el alcance, obtiene las firmas adecuadas, la distribuye y la conserva. Rara vez es la persona que la concede.

3.2 Qué contiene una autorización válida

Use los elementos siguientes para cualquier evaluación, prueba o trabajo de terceros en sistemas operativos de la planta. La guía de pruebas del NIST describe reglas de actuación con un contenido similar para las evaluaciones técnicas (NIST SP 800-115).

Tabla de la lección; desplázate para ver todas las columnas →

Una condición de parada es un evento acordado de antemano que pone fin al trabajo de inmediato: «cualquier alarma inesperada en la estación; cualquier petición de un operador; cualquier pérdida de visión en las pantallas del operador». Las condiciones de parada convierten el «tenga cuidado» en algo comprobable.

3.3 Registros de decisión

La coordinación produce decisiones: aceptar un riesgo, aplazar un parche, aislar una estación, notificar a un regulador. Un registro de decisión es una nota breve y fechada que recoge:

1. la decisión, en una frase;
2. quién la tomó y con qué autoridad;
3. las opciones consideradas y por qué se eligió esta;
4. la información disponible en ese momento y lo que se desconocía;
5. las condiciones y la fecha de revisión («revisar si el proveedor publica una corrección, o antes del 30 de junio»);
6. a quién se informó.

El sentido del punto 4 es la equidad con quien toma la decisión. Una decisión tomada a las 02:00 con información parcial puede ser buena aunque el resultado sea malo. Sin un registro, la retrospectiva reescribe la historia. Con él, una organización puede aprender qué decisiones fueron malas y cuáles tuvieron mala suerte.

3.4 Tratamiento de la evidencia para un coordinador

Un coordinador maneja evidencia de tres tipos:

• Evidencia de gobernanza: autorizaciones, registros de decisión, aceptaciones de riesgo, actas de reuniones, informes de ejercicios. Se conserva como registro de la organización; proteja su integridad (quién cambió qué) y consérvela según la política.
• Evidencia de incidentes: registros, imágenes y correos reunidos durante un incidente. Su recopilación es trabajo técnico; el coordinador se asegura de que se solicite pronto, de que se registre su custodia y de que el acceso esté limitado. La orientación del NIST sobre respuesta a incidentes insiste en prepararse para la recopilación de evidencia antes de que ocurran los incidentes (NIST SP 800-61 Rev. 3).
• Información de diseño sensible: diagramas de red, informes de vulnerabilidades, listas de acceso de proveedores. No es evidencia de una infracción, pero resulta muy útil para un atacante. Guárdela en una ubicación con control de acceso, nunca en hilos de correo generales.

Tres reglas prácticas: una única ubicación de referencia por tipo de registro; un responsable con nombre para cada ubicación; y ningún secreto (contraseñas, claves) en ningún registro.

3.5 Compartir: el Traffic Light Protocol

Los socios (el CSIRT nacional, un grupo sectorial de intercambio de información, el hospital) necesitan información para protegerse. El Traffic Light Protocol (TLP) es un esquema de marcado de uso extendido que indica a los destinatarios hasta dónde pueden compartirla (FIRST, TLP 2.0):

• TLP:RED: solo para los destinatarios nombrados;
• TLP:AMBER: los destinatarios pueden compartirla dentro de su organización y con sus clientes cuando necesiten conocerla; TLP:AMBER+STRICT la limita a la organización del destinatario;
• TLP:GREEN: puede compartirse dentro de la comunidad del destinatario, no públicamente;
• TLP:CLEAR: sin restricción más allá de los derechos de autor habituales.

El TLP marca el permiso para compartir, no una clasificación de confidencialidad, y no sustituye a las obligaciones legales. Marque la línea de asunto y el comienzo del mensaje, y elija la etiqueta menos restrictiva que siga protegiendo a las personas.

3.6 Ejemplo resuelto: autorizar la evaluación de un proveedor (sintético)

ScadaCo ofrece una «revisión del estado de seguridad» gratuita del sistema de control de la planta de tratamiento. La coordinadora redacta la autorización:

• Finalidad: revisar la configuración de los servidores de supervisión frente a la guía de bastionado de ScadaCo.
• Dentro del alcance: los dos servidores de supervisión de KW-TW y su documentación. Fuera del alcance: todos los controladores de las estaciones, el sistema de dosificación y el cortafuegos de red.
• Permitido: revisión de solo lectura de los archivos de configuración exportados y entrevista supervisada con J. Tan. Prohibido: escanear la red, instalar software, cambiar cualquier ajuste, copiar datos fuera de la instalación salvo el informe final.
• Personas: M. Ilic (ScadaCo), supervisado por J. Tan.
• Ventana: 21 de abril de 2026, de 09:00 a 13:00, hora local.
• Condiciones de parada: cualquier petición de un operador; cualquier alarma en KW-TW.
• Tratamiento de los datos: el informe se marca TLP:AMBER+STRICT, se entrega mediante el servicio seguro de transferencia de archivos acordado y se guarda en la biblioteca de registros de seguridad; ScadaCo borra las notas de trabajo en un plazo de 14 días y lo confirma por escrito.
• Autoridad: A. Mensah (jefe de operaciones, dueño de KW-TW); el responsable de servicio de ScadaCo refrenda.

Ese día, M. Ilic pide «ejecutar rápidamente una herramienta de descubrimiento para comprobar las versiones». J. Tan se niega, porque la autorización prohíbe el escaneo, y registra la petición. El registro de decisión anota la negativa y que la comprobación de versiones se hará a partir de la documentación. Así es como debe funcionar la autorización.

3.7 Actividad práctica

Tome cualquier visita rutinaria de un proveedor en una organización que conozca y escriba su autorización con el formato de tabla de 3.2. Marque qué elementos no pudo completar; esas son las lagunas de la práctica de esa organización. Elija una visita que afecte a un sistema que preocuparía a alguien, como una sesión de mantenimiento de un controlador, y no la del personal de limpieza o una entrega. Escriba las condiciones de parada como eventos que cualquiera en la instalación pueda reconocer. Después pregunte a la persona que firmaría como dueña del servicio si está de acuerdo con su alcance y sus exclusiones; su respuesta suele revelar un sistema que olvidó. Guarde juntos su borrador y los comentarios de esa persona como evidencia de la laguna que encontró.

3.8 Errores comunes y límites

• Un «OK verbal» de alguien sin autoridad sobre el servicio.
• Un alcance redactado como «la red de TO», sin exclusiones.
• Sin condiciones de parada, o con condiciones de parada que nadie en la instalación conoce.
• Registros de decisión redactados después de conocerse el resultado.
• Enviar información de diseño como adjuntos de correo ordinarios.

• Usar el TLP como si fuera una clasificación legal o para ocultar información a quien la necesita.

• Dejar que el proveedor redefina el trabajo el mismo día, como habría hecho la petición de ScadaCo de ejecutar una herramienta de descubrimiento si J. Tan no la hubiera rechazado.

• No dejar constancia de una negativa, de modo que un revisor posterior no puede ver que la autorización se hizo cumplir.

Ejercicios — capítulo 3

EX011 — Repare una autorización. Objetivo: encontrar los elementos que faltan. Insumos: «OK para que Northgate haga una prueba de penetración en la red de TO la semana que viene — A. Mensah (por chat)». Pasos: enumerar los elementos que faltan y reescribirla. Evidencia esperada: lista de lagunas y reescritura. Rúbrica: 3 = identifica finalidad, alcance y exclusiones, actividades permitidas/prohibidas, personas con nombre, ventana con zona horaria, condiciones de parada, tratamiento de los datos y autoridad escrita; la reescritura excluye los sistemas de seguridad y de dosificación y prefiere métodos no intrusivos; 2 = la mayoría de los elementos; 1 = retoques menores; 0 = nada.

EX012 — Redacte un registro de decisión. Objetivo: registrar una decisión con equidad. Insumos: a las 02:10, el responsable de turno decidió mantener KW-05 en automático pese a un inicio de sesión remoto sin explicar, porque operar en manual exigía llamar al personal, con 90 minutos de espera. Pasos: redactar el registro de seis partes. Evidencia esperada: el registro. Rúbrica: 3 = las seis partes, con las incógnitas del momento (si el inicio de sesión era malicioso), las condiciones (vigilar los valores de dosificación, revisar a las 06:00) y a quién se informó; 2 = faltan opciones o incógnitas; 1 = solo una narración; 0 = nada.

EX013 — Elija una etiqueta TLP. Objetivo: aplicar TLP 2.0. Insumos: (a) indicadores de una campaña de phishing dirigida a empresas de agua, para enviar al grupo sectorial; (b) un informe que nombra los modelos de controlador sin parchear de Kestrel Water, para el KVROC; (c) una nota pública de consejos para los clientes. Pasos: elegir las etiquetas y justificarlas. Evidencia esperada: tres etiquetas. Rúbrica: 3 = (a) GREEN (beneficio para la comunidad), (b) AMBER+STRICT o RED (sensible para la empresa; el KVROC lo necesita), (c) CLEAR; con razones; 2 = etiquetas sin razones; 1 = todo RED; 0 = nada.

EX014 — Ubicaciones de la evidencia. Objetivo: organizar la evidencia de gobernanza. Insumos: autorizaciones en la bandeja de entrada de un ingeniero, aceptaciones de riesgo en las actas del consejo, informes de ejercicios en una unidad compartida, listas de acceso de proveedores en una hoja de cálculo enviada por correo cada mes. Pasos: proponer un esquema. Evidencia esperada: esquema de un párrafo con responsables. Rúbrica: 3 = una única ubicación de referencia con control de acceso por tipo de registro, responsables con nombre, conservación, historial de versiones, dejar de enviar por correo las listas de acceso; 2 = ubicación sin responsables; 1 = «usar SharePoint»; 0 = nada.

EX015 — Prueba de las condiciones de parada. Objetivo: hacer comprobable la cautela. Insumos: una actualización de firmware de un proveedor en KW-09, programada de 13:00 a 15:00. Pasos: escribir tres condiciones de parada e indicar quién tiene autoridad para invocarlas. Evidencia esperada: condiciones y autoridad. Rúbrica: 3 = condiciones observables (alarma inesperada, pérdida de visión, prolongación más allá de las 15:00, petición del operador) y el operador de turno o el jefe de operaciones pueden parar sin justificarlo; 2 = condiciones vagas; 1 = decide el proveedor; 0 = nada.

Síntesis del capítulo

La autorización hace que el dueño de la consecuencia acepte de antemano exactamente lo que va a ocurrir y permite que todos lo demuestren después. Una autorización válida tiene un alcance con exclusiones, actividades permitidas y prohibidas, personas con nombre, una ventana, condiciones de parada, tratamiento de los datos y autoridad escrita. Los registros de decisión recogen lo que se sabía en ese momento; la evidencia de gobernanza reside en ubicaciones controladas y con responsable; el TLP indica a los socios hasta dónde pueden compartir.