Capítulo 4 — Infraestructura crítica y seguridad sectorial: métodos fundamentales

Mapa de la lección

Lección 04 publicada. Mapa, ejemplo, EX016.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["4.1 El ciclo de evaluación de riesgos"]
  N2["4.3 Titularidad e higiene"]
  N3["4.4 Aceptar el riesgo"]
  N4["4.6 Actividad práctica"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX016"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["4.1 El ciclo de evaluación de riesgos"]
  N2["4.3 Titularidad e higiene"]
  N3["4.4 Aceptar el riesgo"]
  N4["4.6 Actividad práctica"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX016"]

[Resultados de aprendizaje y conexión]
    |
    v
[4.1 El ciclo de evaluación de riesgos]
    |
    v
[4.3 Titularidad e higiene]
    |
    v
[4.4 Aceptar el riesgo]
    |
    v
[4.6 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX016]

Resultados de aprendizaje y conexión

Al terminar este capítulo debería ser capaz de:

• conducir un ciclo de evaluación de riesgos sencillo y repetible para un servicio esencial y mantener un registro de riesgos útil;
• explicar por qué multiplicar la probabilidad por la consecuencia puede inducir a error en las infraestructuras críticas y cómo clasificar primero por consecuencia;
• asegurarse de que cada riesgo tenga un dueño, un tratamiento, una fecha límite y una fecha de revisión, y detectar cuándo no los tiene;
• registrar correctamente la aceptación de un riesgo, con autoridad, condiciones y caducidad.

Los capítulos 1–3 le dieron el lenguaje, el contexto y los registros. Este capítulo los convierte en el método central del coordinador.

4.1 El ciclo de evaluación de riesgos

El NIST describe la evaluación de riesgos como un proceso de preparar, realizar, comunicar y mantener la evaluación (NIST SP 800-30 Rev. 1). Para un coordinador, un ciclo practicable tiene cinco pasos:

1. Enmarcar: qué servicio, qué horizonte temporal, qué consecuencias cuentan y cuál es el apetito de la dirección.
2. Identificar: reunir riesgos candidatos a partir de incidentes, auditorías, conversaciones con el personal, revisiones de proveedores, avisos y ejercicios.
3. Analizar: escribir cada uno como causa, evento y consecuencia; estimar la probabilidad y la consecuencia con las personas que conocen el tema.
4. Decidir: el dueño del riesgo elige un tratamiento y una fecha; la aceptación se eleva al nivel de autoridad adecuado.
5. Supervisar: revisar según un calendario y cuando algo cambia; informar hacia arriba de los principales riesgos.

El registro es la memoria de este ciclo. Si el registro está desactualizado, el ciclo se ha detenido, diga lo que diga la política.

4.2 Las escalas y sus límites

La mayoría de las organizaciones puntúan la probabilidad y la consecuencia en escalas de 1 a 5. Deles sentido anclando cada nivel en los términos de su servicio. Una escala de consecuencia para Kestrel Water podría ser:

Tabla de la lección; desplázate para ver todas las columnas →

El producto habitual, probabilidad × consecuencia, es cómodo, pero tiene dos problemas conocidos. Primero, permite que un problema menor y frecuente supere a uno catastrófico y raro (4 × 3 = 12 gana a 2 × 5 = 10). Segundo, los números son etiquetas ordinales, no mediciones, así que la aritmética con ellos es más débil de lo que parece. En los servicios esenciales, una convención sensata es clasificar primero por consecuencia (todo lo que pueda dañar a las personas o superar el tiempo de autonomía de un cliente crítico va arriba) y usar el producto solo para ordenar riesgos de consecuencia similar. Sea cual sea la regla que elija, póngala por escrito para que la clasificación sea reproducible y discutible.

4.3 Titularidad e higiene

Un riesgo sin dueño es una preocupación, no un riesgo gestionado. La higiene del registro significa que cada entrada tiene: un dueño con autoridad sobre el servicio afectado; una decisión de tratamiento; una fecha límite para el tratamiento; una fecha de última revisión; y un enlace a la evidencia del avance. Un coordinador comprueba la higiene con regularidad, porque el deterioro del registro es silencioso: nadie se da cuenta de que un riesgo «alto» se revisó por última vez hace ocho meses hasta que ocurre algo.

En el Lab 4, R02 muestra los tres fallos a la vez: sin dueño, una revisión de hace siete meses y un tratamiento vencido, en un riesgo de nivel 5.

4.4 Aceptar el riesgo

La aceptación es un tratamiento legítimo: ninguna organización puede arreglarlo todo a la vez. Una aceptación correcta registra quién aceptó el riesgo (con un nivel de autoridad acorde con su consecuencia), qué medidas compensatorias se aplican, en qué condiciones decae la aceptación y cuándo caduca. La NIS2 exige que los órganos de dirección de las entidades esenciales e importantes aprueben las medidas de gestión de riesgos de ciberseguridad y supervisen su aplicación (Directive (EU) 2022/2555, Article 20). Sea cual sea su jurisdicción, los riesgos con consecuencias de nivel 5 deben ser aceptados por la dirección o por el consejo, nunca discretamente por el coordinador.

4.5 Ejemplo resuelto: revisar el registro (sintético)

En marzo, la coordinadora revisa el registro de Kestrel Water antes de la comisión de auditoría y riesgos del consejo. Usa el Lab 4, que codifica la convención de clasificación y las comprobaciones de higiene para que cualquiera pueda volver a ejecutarlas. Lab 4 (guárdelo como lab04.py y ejecútelo con python3 lab04.py):

# Lab 4 - consequence-led risk register review (offline, standard library only; all data synthetic)
import datetime as dt
TODAY = dt.date(2026, 3, 2)
# id, title, owner, likelihood 1-5, consequence 1-5, service affected, last review, treatment due
REGISTER = [
    ("R01", "Remote vendor access to station RTUs without MFA", "A. Mensah", 4, 5, "drinking water", "2026-01-10", "2026-04-30"),
    ("R02", "Single engineer knows chlorine dosing logic",       "",          3, 5, "drinking water", "2025-08-01", "2026-02-01"),
    ("R03", "Billing portal phishing of customer accounts",      "C. Okafor", 5, 3, "billing",        "2026-02-20", "2026-06-30"),
    ("R04", "Historian backups never test-restored",             "J. Tan",    3, 4, "drinking water", "2025-12-15", "2026-01-31"),
    ("R05", "Grid supply loss at pumping station KW-07",         "A. Mensah", 2, 5, "drinking water", "2026-02-01", "2026-09-30"),
    ("R06", "Office printer firmware outdated",                  "IT desk",   4, 1, "office IT",      "2026-02-25", "2026-05-31"),
    ("R07", "Hospital not told of planned pressure work",        "L. Ferreira",3, 4, "hospital supply","2025-06-30", "2026-03-31"),
]
SERVICE_WEIGHT = {"drinking water": 3, "hospital supply": 3, "billing": 1, "office IT": 0}
rows = []
for rid, title, owner, l, c, svc, rev, due in REGISTER:
    score = l * c
    flags = []
    if not owner: flags.append("NO OWNER")
    if (TODAY - dt.date.fromisoformat(rev)).days > 180: flags.append("REVIEW STALE")
    if dt.date.fromisoformat(due) < TODAY: flags.append("TREATMENT OVERDUE")
    if c == 5: flags.append("SEVERE CONSEQUENCE")
    rows.append((score, c, SERVICE_WEIGHT[svc], rid, title, flags))
print("Ranked by score only:")
for score, c, w, rid, title, flags in sorted(rows, key=lambda r: (-r[0], r[3])):
    print(f"  {rid} score={score:2d}")
print("Ranked by consequence, then service weight, then score:")
for i, (score, c, w, rid, title, flags) in enumerate(sorted(rows, key=lambda r: (-r[1], -r[2], -r[0], r[3])), 1):
    print(f"  {i}. {rid} c={c} w={w} score={score:2d} {'; '.join(flags) or 'ok'}")
print("Needs governance action:", ", ".join(r[3] for r in sorted(rows, key=lambda r: r[3]) if any(f != 'SEVERE CONSEQUENCE' for f in r[5])))

Salida esperada (Python 3.13.5):

Ranked by score only:
  R01 score=20
  R02 score=15
  R03 score=15
  R04 score=12
  R07 score=12
  R05 score=10
  R06 score= 4
Ranked by consequence, then service weight, then score:
  1. R01 c=5 w=3 score=20 SEVERE CONSEQUENCE
  2. R02 c=5 w=3 score=15 NO OWNER; REVIEW STALE; TREATMENT OVERDUE; SEVERE CONSEQUENCE
  3. R05 c=5 w=3 score=10 SEVERE CONSEQUENCE
  4. R04 c=4 w=3 score=12 TREATMENT OVERDUE
  5. R07 c=4 w=3 score=12 REVIEW STALE
  6. R03 c=3 w=1 score=15 ok
  7. R06 c=1 w=0 score= 4 ok
Needs governance action: R02, R04, R07

Lea las dos clasificaciones. Solo por puntuación, el riesgo de phishing de facturación R03 (15) empata con R02 y queda por encima de R05, una pérdida del suministro eléctrico en una estación de bombeo que podría dejar sin agua a miles de personas. Clasificados por consecuencia y después por la importancia del servicio afectado, los tres riesgos de nivel 5 sobre el agua potable van primero. Los indicadores de higiene muestran dónde falla la gobernanza, no la tecnología: R02 (un único ingeniero que entiende la lógica de dosificación de cloro) no tiene dueño, lleva siete meses sin revisarse y su tratamiento está vencido; la prueba de restauración de R04 está vencida; la revisión de R07 está obsoleta. Estos tres van a la comisión como acciones de gobernanza, con una propuesta de dueño para R02 (A. Mensah, dueño de la dosificación).

Fíjese en lo que el laboratorio no hace. No le dice si la «probabilidad 4» de R01 es correcta; eso sale de la conversación con las personas que conocen al proveedor y la amenaza. Hace explícita la regla de clasificación y repetibles las comprobaciones de higiene; no emite el juicio por usted.

4.6 Actividad práctica

Cambie la clave de clasificación del Lab 4 para ordenar solo por puntuación y muestre el resultado a un colega. Pregúntele qué orden defendería en una reunión del consejo tras un fallo de presión en el hospital. Después escriba en dos frases la regla de clasificación de su organización. Fíjese en dónde quedan R03 y R05 en cada orden, porque esa es la discusión a la que se enfrentaría tras una interrupción: un riesgo de phishing de facturación clasificado por encima de una pérdida de suministro en una estación de bombeo es difícil de defender. Después añada un riesgo inventado con consecuencia 5 y probabilidad 1 y compruebe dónde cae con cada regla. Por último, ejecute las comprobaciones de higiene con otra fecha TODAY, por ejemplo seis meses después, y vea qué revisiones y tratamientos se vuelven obsoletos o vencen sin que nadie lo note.

4.7 Errores comunes y límites

• Escalas sin anclas, de modo que un «4» significa cosas distintas para personas distintas.
• Aritmética con puntuaciones ordinales presentada como precisión («riesgo 13,6»).
• Dueños que son coordinadores o comités en lugar de responsables con autoridad.
• Aceptaciones sin caducidad, que se vuelven permanentes por defecto.
• Registros que enumeran tecnologías («SCADA») en lugar de declaraciones de riesgo.

• Tratar el registro como el objetivo; es solo la memoria de las decisiones.

• Dejar un riesgo de nivel 5 sin dueño porque nadie lo quiere, como le ocurrió a R02 durante meses.

• Puntuar la probabilidad sin hablar con las personas que conocen al proveedor o la amenaza, de modo que el número refleja la conjetura del coordinador.

Ejercicios — capítulo 4

EX016 — Ancle una escala. Objetivo: dar sentido a la probabilidad. Insumos: la escala de consecuencia de 4.2. Pasos: escribir una escala de probabilidad de cinco niveles anclada en el tiempo y en la evidencia. Evidencia esperada: la escala. Rúbrica: 3 = niveles ligados a periodos o a evidencia (por ejemplo, 5 = ha ocurrido aquí en el último año o se está intentando activamente en el sector; 1 = sin casos conocidos en el sector, necesitaría varias condiciones improbables); señala que se tienen en cuenta los controles existentes; 2 = solo periodos; 1 = palabras como «alto»; 0 = nada.

EX017 — Lea el Lab 4. Objetivo: interpretar la clasificación y la higiene. Insumos: la salida del Lab 4. Pasos: explicar por qué R03 pasa de segundo empatado a sexto y por qué R05 sube; enumerar las acciones de gobernanza y quién debería ser dueño de cada una. Evidencia esperada: explicación y lista. Rúbrica: 3 = R03 tiene consecuencia 3 sobre la facturación; R05 tiene consecuencia 5 sobre el agua potable; acciones: dueño de R02 (A. Mensah) y tratamiento vencido, prueba de restauración vencida de R04 (J. Tan, con A. Mensah como dueño del servicio), revisión obsoleta de R07 (L. Ferreira, o traspasarla a la coordinadora por la relación con el hospital); 2 = explicación sin dueños; 1 = repite la salida; 0 = nada.

EX018 — Acepte un riesgo correctamente. Objetivo: registrar la aceptación. Insumos: el consejo decide que este año no puede financiar la sustitución de los controladores de la estación KW-10. Pasos: redactar el registro de aceptación. Evidencia esperada: el registro. Rúbrica: 3 = nombra la declaración de riesgo, la autoridad que acepta (consejero delegado o consejo, dada la consecuencia), las medidas compensatorias (por ejemplo, sin acceso remoto, supervisión por el KVROC, piezas de repuesto), las condiciones que ponen fin a la aceptación (nuevo aviso, incidente), la fecha de caducidad y el responsable de la revisión; 2 = sin caducidad; 1 = «aceptado»; 0 = nada.

EX019 — Amplíe el laboratorio. Objetivo: codificar otra regla de higiene. Insumos: el Lab 4. Pasos: añadir un indicador «ACCEPTANCE EXPIRED» usando un campo nuevo, probarlo con una aceptación caducada y otra válida y mostrar la salida. Evidencia esperada: cambio de código y salida. Rúbrica: 3 = campo añadido en todas las filas, regla correcta, dos casos de prueba que demuestran ambos resultados, y «Needs governance action» incluye la caducada; 2 = funciona sin pruebas; 1 = solo la regla; 0 = nada.

EX020 — Presente ante la comisión. Objetivo: comunicar el registro. Insumos: la salida del Lab 4. Pasos: escribir el resumen de una página para la comisión de auditoría y riesgos. Evidencia esperada: el resumen. Rúbrica: 3 = principales riesgos clasificados por consecuencia en lenguaje llano, con dueños y fechas; acciones de gobernanza con las decisiones solicitadas; declaración explícita de la regla de clasificación y sus límites; ninguna «puntuación» única; 2 = enumera riesgos sin peticiones; 1 = pega la tabla; 0 = nada.

Síntesis del capítulo

La evaluación de riesgos es un ciclo (enmarcar, identificar, analizar, decidir, supervisar) y el registro es su memoria. Ancle las escalas en los términos de su servicio, clasifique primero por consecuencia en los servicios esenciales y trate las puntuaciones como ordinales. Todo riesgo necesita un dueño con autoridad, un tratamiento, fechas y evidencia; la aceptación solo es legítima con la autoridad, las condiciones y la caducidad que le corresponden.