Capítulo 5 — Infraestructura crítica y seguridad sectorial: herramientas e interpretación

Mapa de la lección

Lección 05 publicada. Mapa, ejemplo, EX021.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["5.1 El panorama de los marcos"]
  N2["5.2 Leer una evaluación"]
  N3["5.3 Métricas que impulsan decisiones"]
  N4["5.4 Interpretar hallazgos técnicos"]
  N5["5.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX021"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["5.1 El panorama de los marcos"]
  N2["5.2 Leer una evaluación"]
  N3["5.3 Métricas que impulsan decisiones"]
  N4["5.4 Interpretar hallazgos técnicos"]
  N5["5.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX021"]

[Resultados de aprendizaje y conexión]
    |
    v
[5.1 El panorama de los marcos]
    |
    v
[5.2 Leer una evaluación]
    |
    v
[5.3 Métricas que impulsan decisiones]
    |
    v
[5.4 Interpretar hallazgos técnicos]
    |
    v
[5.6 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX021]

Resultados de aprendizaje y conexión

Al terminar este capítulo debería ser capaz de:

• elegir entre los principales marcos y líneas base públicos para un servicio esencial y explicar para qué sirve cada uno;
• leer con espíritu crítico una autoevaluación o una puntuación de madurez: qué mide, quién la produjo y qué no puede mostrar;
• diseñar un pequeño conjunto de métricas del programa que impulsen decisiones en lugar de decorar informes;
• interpretar los hallazgos técnicos que le entreguen ingenieros y proveedores lo bastante bien como para hacer las preguntas de seguimiento adecuadas.

Las «herramientas» del coordinador son sobre todo documentos y medidas. El capítulo 4 construyó el registro; este capítulo aporta las varas de medir externas y las cifras que informan sobre él.

5.1 El panorama de los marcos

Se encontrará con varias referencias que se solapan. Cada una tiene una finalidad distinta:

Tabla de la lección; desplázate para ver todas las columnas →

La regla del coordinador: una estructura principal (por ejemplo, el CSF 2.0) para el programa, con las demás referencias asociadas a ella, en lugar de cuatro hojas de cálculo paralelas. Los requisitos regulatorios de su jurisdicción van primero; los marcos le ayudan a cumplirlos, no los sustituyen.

5.2 Leer una evaluación

Un resultado de evaluación como «Proteger: 2,4 / 4» o «cobertura de los CPG del 71%» invita a una falsa confianza. Antes de repetirlo, haga cinco preguntas:

1. ¿Qué se evaluó? ¿Qué instalaciones, sistemas y procesos, y cuáles no?
2. ¿Quién evaluó y cómo? ¿Autoevaluación del dueño del sistema, de un par, de un evaluador independiente? ¿Mediante entrevista, revisión documental o prueba?
3. ¿Qué cuenta como «cumplido»? ¿Una política escrita, una política en uso o una política que se ha demostrado que funciona?
4. ¿Cuándo? Las evaluaciones envejecen rápido tras reorganizaciones, cambios de proveedor e incidentes.
5. ¿Qué decisión respalda? Si ninguna decisión cambia en función del número, es decoración.

Una autoevaluación es valiosa (es barata y genera comprensión), pero mide lo que creen los dueños. El capítulo 7 añade formas de obtener evidencia más sólida.

5.3 Métricas que impulsan decisiones

Las buenas métricas del programa comparten tres propiedades: se relacionan con una consecuencia o con un control que protege frente a ella; su responsable puede modificarlas; y un umbral desencadena una acción conocida. Compare:

Tabla de la lección; desplázate para ver todas las columnas →

Los recuentos de actividad («bloqueamos 40.000 ataques») son fáciles de producir y rara vez útiles para decidir. Prefiera medidas de exposición, puntualidad y cobertura de lo que más importa.

5.4 Interpretar hallazgos técnicos

Los ingenieros, el KVROC y los proveedores envían hallazgos. No necesita verificarlos técnicamente, pero debe hacer preguntas que los dejen listos para decidir:

• ¿Qué está afectado? ¿Qué instalación, qué función, qué nivel de consecuencia?
• ¿Cómo lo sabe? ¿Observado directamente, inferido o comunicado por una herramienta que puede equivocarse?
• ¿Cuál es la exposición? ¿Accesible desde internet, desde la red de oficina, solo in situ?
• ¿Cuál es la acción recomendada, quién la ejecuta, para cuándo y qué perturba?
• ¿Hay un aviso público? Si lo hay, enlácelo; avisos como la alerta de la CISA para el sector del agua sobre controladores expuestos a internet con contraseñas predeterminadas (CISA AA23-335A) ayudan a la dirección a entender que un hallazgo no es hipotético.

5.5 Ejemplo resuelto: una autoevaluación con los CPG (sintético)

L. Ferreira completó una lista de comprobación de los CPG para Kestrel Water e informa de «71% de objetivos cumplidos». La coordinadora hace las cinco preguntas y descubre que la evaluación abarcó la red corporativa y la planta de tratamiento, pero no las doce estaciones; que las respuestas eran «sí» si existía una política; y que se hizo antes de que cambiara el acuerdo de acceso remoto de HydroLogic. Dos elementos «cumplidos» (la autenticación multifactor para el acceso remoto y la revocación de credenciales del personal que se marcha) no tienen evidencia para las cuentas de proveedores.

Informa a la dirección: «Una autoevaluación de la TI corporativa y de la planta de tratamiento encontró la mayoría de las prácticas de base implantadas sobre el papel. No abarcó las estaciones, y dos elementos que son los que más importan para ellas (la autenticación multifactor para el acceso remoto y la eliminación a tiempo de las cuentas) no están verificados para los proveedores. Propongo una revisión del acceso de proveedores en mayo (capítulo 8) y repetir la evaluación, incluidas las estaciones, antes de septiembre.». El 71% se queda en un anexo.

5.6 Actividad práctica

Tome cualquier panel público o afirmación de un informe anual sobre ciberseguridad (por ejemplo, «100% del personal formado»). Aplique las cinco preguntas y reescríbala como una afirmación lista para decidir, anotando lo que necesitaría saber. Escriba su reescritura con la misma forma que el informe de la coordinadora sobre la autoevaluación con los CPG: qué se abarcó, cómo se juzgó, qué quedó fuera y qué decisión se deriva. Si la afirmación no respalda ninguna decisión, dígalo; eso ya es un hallazgo. Conserve la cifra original, pero colóquela después del contexto y no al principio. Anote la fecha de la afirmación y si algo ha cambiado desde entonces, como una reorganización o un proveedor nuevo.

5.7 Errores comunes y límites

• Aplicar varios marcos en paralelo sin asociarlos entre sí.
• Elegir métricas porque los datos son fáciles de obtener.
• Tratar el marketing de un proveedor («conforme a la 62443») como una evaluación de su instalación.

• Olvidar que los marcos y las líneas base se revisan; cite la versión y la fecha.

• Dar un objetivo por cumplido porque existe una política, como hizo la autoevaluación con los CPG, sin preguntar si está en uso o si se ha demostrado que funciona.

• Dejar fuera parte del servicio, como las doce estaciones, y aun así comunicar una sola cifra para toda la empresa, o comunicar porcentajes sin alcance ni método.
• Repetir un resultado de evaluación ante la dirección antes de preguntar cuándo se hizo y qué ha cambiado desde entonces.

Ejercicios — capítulo 5

EX021 — Elija una estructura principal. Objetivo: seleccionar y asociar marcos. Insumos: Kestrel Water debe informar a su regulador, compra sistemas de TO a proveedores y tiene un consejo poco familiarizado con la seguridad. Pasos: proponer una estructura principal y cómo se relacionan con ella los CPG y la 62443. Evidencia esperada: una justificación breve. Rúbrica: 3 = primero los requisitos regulatorios, el CSF 2.0 como estructura del programa para el consejo, los CPG como línea base priorizada asociada a él, la 62443 usada para los requisitos de proveedores y de compras; 2 = elección sin asociación; 1 = «hacerlo todo»; 0 = nada.

EX022 — Interrogue una puntuación. Objetivo: aplicar las cinco preguntas. Insumos: «Madurez de Detectar 3,1/5, frente a 2,6». Pasos: escribir las cinco preguntas aplicadas a esta puntuación e indicar qué respuesta haría creíble la mejora. Evidencia esperada: preguntas y criterios. Rúbrica: 3 = pregunta por el alcance, el evaluador y el método, la definición de los niveles, la fecha y la decisión que respalda; creíble si el alcance y el método son los mismos, si es independiente o se basa en evidencia, y si se vincula a un resultado observado (por ejemplo, la detección de una inyección de un ejercicio); 2 = solo preguntas; 1 = la acepta; 0 = nada.

EX023 — Arregle las métricas. Objetivo: diseñar métricas que impulsen decisiones. Insumos: el informe mensual actual: correos bloqueados, detecciones del antivirus, políticas aprobadas, personal formado. Pasos: sustituirlas por cuatro métricas con responsable y acción al superar el umbral. Evidencia esperada: tabla. Rúbrica: 3 = métricas ligadas a la consecuencia y al control (por ejemplo, higiene de los riesgos de nivel 5, tiempo de eliminación de cuentas de proveedores, exposición de interfaces operativas, participación en ejercicios), cada una con responsable y acción; 2 = métricas sin acciones; 1 = cambios cosméticos; 0 = nada.

EX024 — Deje un hallazgo listo para decidir. Objetivo: interrogar un hallazgo técnico. Insumos: correo del KVROC: «Vimos RDP desde internet hacia hmi-02 anoche, recomendamos bloquearlo». Pasos: redactar la respuesta. Evidencia esperada: la respuesta. Rúbrica: 3 = pregunta a qué instalación y función sirve hmi-02, si la conexión tuvo éxito, el origen y la evidencia, y si sigue expuesto; pregunta quién puede bloquearlo y qué perturba el bloqueo (¿el acceso de un proveedor?); implica al dueño de operaciones; lo trata como potencialmente urgente; 2 = pregunta algunas cosas; 1 = «bloquéenlo, por favor»; 0 = nada.

EX025 — Informe con honestidad. Objetivo: comunicar los límites de una evaluación. Insumos: el ejemplo resuelto 5.5. Pasos: reescribir el mensaje a la dirección para el consejo en menos de 100 palabras. Evidencia esperada: el mensaje. Rúbrica: 3 = expone con claridad la laguna de cobertura y los elementos no verificados, da el plan y la fecha, y evita el porcentaje como titular; 2 = menciona primero el porcentaje pero incluye los límites; 1 = «71% de cumplimiento»; 0 = nada.

Síntesis del capítulo

Los marcos y las líneas base son varas de medir: elija una estructura principal, cumpla primero la ley y asocie el resto. Lea toda evaluación por su alcance, su método, su definición, su fecha y la decisión que respalda. Mida la exposición, la puntualidad y la cobertura de lo que importa, con responsables y acciones de umbral. Deje los hallazgos técnicos listos para decidir preguntando qué está afectado, cómo se sabe, cuál es la exposición, quién actúa y qué perturba.