Capítulo 7 — Infraestructura crítica y seguridad sectorial: controles y verificación

Mapa de la lección

Lección 07 publicada. Mapa, ejemplo, EX031.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["7.1 Qué es un control, para un responsable"]
  N2["7.2 Niveles de aseguramiento"]
  N3["7.3 Quién verifica"]
  N4["7.4 Excepciones"]
  N5["7.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX031"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["7.1 Qué es un control, para un responsable"]
  N2["7.2 Niveles de aseguramiento"]
  N3["7.3 Quién verifica"]
  N4["7.4 Excepciones"]
  N5["7.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX031"]

[Resultados de aprendizaje y conexión]
    |
    v
[7.1 Qué es un control, para un responsable]
    |
    v
[7.2 Niveles de aseguramiento]
    |
    v
[7.3 Quién verifica]
    |
    v
[7.4 Excepciones]
    |
    v
[7.6 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX031]

Resultados de aprendizaje y conexión

Al terminar este capítulo debería ser capaz de:

• describir un control en términos que un responsable pueda asumir: objetivo, dueño, funcionamiento y evidencia;
• distinguir los niveles de aseguramiento (declarado, documentado, observado, probado) y decidir qué nivel necesita cada control;
• planificar un programa de verificación proporcionado para los controles que protegen frente a consecuencias de nivel 5;
• gestionar las excepciones a los controles como decisiones de riesgo limitadas en el tiempo y con dueño.

El capítulo 6 puso en marcha el programa. Este capítulo pregunta si sus protecciones funcionan de verdad.

7.1 Qué es un control, para un responsable

Un control es una medida que modifica el riesgo (NIST SP 800-53 Rev. 5 cataloga miles de ellos). A efectos de coordinación, describa cada control importante en una ficha:

• Objetivo: qué riesgo aborda y cómo («impide usar una contraseña robada de un proveedor para iniciar sesión en las estaciones»);
• Dueño: quién responde de que funcione;
• Funcionamiento: qué ocurre, con qué frecuencia y quién lo hace («la pasarela de acceso remoto exige un segundo factor para todas las cuentas de proveedores»);
• Evidencia: qué mostraría que funciona y dónde se guarda;
• Señal de fallo: qué vería si dejara de funcionar.

Los controles sin dueño se deterioran igual que los riesgos sin dueño.

7.2 Niveles de aseguramiento

¿Hasta qué punto está seguro de que un control funciona? Cuatro niveles útiles:

Tabla de la lección; desplázate para ver todas las columnas →

Los niveles más altos cuestan más. Un programa proporcionado aspira al nivel probado en los controles que protegen frente a consecuencias de nivel 5, al observado para los niveles 3–4, y acepta el documentado para el resto. Las orientaciones del NIST sobre supervisión continua describen cómo mantener un conocimiento permanente de si los controles siguen siendo eficaces (NIST SP 800-137).

7.3 Quién verifica

• Primera línea: los dueños de los controles comprueban sus propios controles (autoevaluación, comprobaciones rutinarias).
• Segunda línea: la coordinadora o la función de seguridad revisan la evidencia y toman muestras.
• Tercera línea: la auditoría interna o un evaluador independiente dan garantías al consejo.

El coordinador suele diseñar el plan de verificación y realizar las comprobaciones de segunda línea. Las pruebas en sistemas operativos de la planta deben autorizarse como cualquier otro trabajo (capítulo 3), y en los entornos de control una «prueba» suele ser una revisión de la configuración y de los registros más que un intento activo.

Las comprobaciones de segunda línea deben tomar muestras de la evidencia directamente en lugar de aceptar el resumen del dueño.

7.4 Excepciones

A veces no se puede aplicar un control: un controlador antiguo de una estación no admite un segundo factor; un dispositivo médico no puede parchearse sin perder su certificación. Una excepción es una decisión registrada y con dueño de operar sin el control, que es una forma de aceptación del riesgo (capítulo 4). Necesita: el control y el sistema afectados; el motivo; las medidas compensatorias; la autoridad que la acepta; una fecha de caducidad; y un plan para eliminar la excepción. El registro de excepciones se revisa junto con el registro de riesgos.

En Kestrel Water, la excepción del controlador de KW-10 llegó al consejo con caducidad en marzo.

7.5 Ejemplo resuelto: verificar tres controles (sintético)

La coordinadora elige tres controles que protegen frente a riesgos de nivel 5 y comprueba cada uno:

Tabla de la lección; desplázate para ver todas las columnas →

El plan de verificación que se deriva: corregir C1 en 30 días (dueño, A. Mensah); programar una prueba de restauración de C2 en 60 días con un resultado cronometrado (dueño, J. Tan); repetir la comprobación de C3 tras cualquier cambio de lógica. La coordinadora comunica el nivel de aseguramiento de cada control, no una única afirmación de «controles eficaces».

7.6 Actividad práctica

Escriba fichas de control (objetivo, dueño, funcionamiento, evidencia, señal de fallo) para dos controles de una organización que conozca y asigne a cada uno un nivel de aseguramiento actual, con su justificación. En cada ficha, diga cómo sería en la práctica la señal de fallo, por ejemplo un inicio de sesión de un proveedor sin evento de segundo factor en el registro de la pasarela. Explique por qué eligió el nivel de aseguramiento, citando la evidencia que vio realmente. Después decida qué nivel debería alcanzar el control, dada la consecuencia frente a la que protege, y qué paso concreto lo elevaría, por ejemplo una prueba de restauración para una copia de seguridad que solo se ha observado terminar bien. Mantenga las fichas lo bastante breves para que un dueño las actualice.

7.7 Errores comunes y límites

• Equiparar «el trabajo terminó bien» con «el control funciona» (copias de seguridad, parches).
• Verificar los controles críticos solo al nivel declarado o documentado.
• Hacer pruebas activas en sistemas operativos de la planta sin autorización ni acuerdo de operaciones.
• Excepciones sin caducidad, que se convierten silenciosamente en el diseño.

• Informar de controles como «eficaces» sin decir cómo se estableció.

• Tratar la propia afirmación de un proveedor de que la MFA está activada como evidencia observada, cuando solo la exportación de la pasarela lo muestra.

• Verificar un control una vez y nunca más, de modo que un cambio de configuración posterior lo elimina silenciosamente.
• Probar un sistema de repuesto o de banco y olvidar confirmar que producción coincide, como hizo C3 mediante la suma de comprobación.

Ejercicios — capítulo 7

EX031 — Escriba una ficha de control. Objetivo: hacer que un control pueda asumirse. Insumos: «Las cuentas de proveedores se eliminan cuando terminan los contratos». Pasos: escribir la ficha de cinco partes. Evidencia esperada: la ficha. Rúbrica: 3 = objetivo ligado a un riesgo, dueño con autoridad (jefe de operaciones o dueño del contrato), funcionamiento con desencadenante y plazo, evidencia (conciliación mensual de las cuentas con los contratos), señal de fallo (existen cuentas de contratos terminados); 2 = falta la señal de fallo; 1 = repite la frase; 0 = nada.

EX032 — Asigne objetivos de aseguramiento. Objetivo: aplicar la proporcionalidad. Insumos: controles: MFA para el acceso de proveedores; política de contraseñas para los portátiles de oficina; procedimiento de operación manual de las estaciones; tarjetas de visitante en la sede central. Pasos: asignar niveles de aseguramiento objetivo y justificarlos por la consecuencia. Evidencia esperada: cuatro objetivos. Rúbrica: 3 = probado para la MFA de proveedores y la operación manual (mediante ejercicio o simulacro), documentado u observado para los demás, con razonamiento; 2 = objetivos sin razones; 1 = todo probado; 0 = nada.

EX033 — Diseñe una prueba de restauración. Objetivo: verificar C2. Insumos: el ejemplo resuelto. Pasos: esbozar la prueba, los criterios de éxito y la autorización. Evidencia esperada: esbozo. Rúbrica: 3 = restauración en un entorno aislado, no en producción; cronometrada frente al objetivo de 24 h; comprueba la integridad de los datos de un periodo elegido; autorizada por el dueño del servicio; resultado registrado con fecha y evidencia; 2 = sin criterios de éxito; 1 = «comprobar los registros de las copias»; 0 = nada.

EX034 — Redacte una excepción. Objetivo: gestionar una laguna de control. Insumos: el controlador de KW-10 no admite MFA para el acceso local de ingeniería. Pasos: redactar la excepción. Evidencia esperada: registro de la excepción. Rúbrica: 3 = control y sistema, motivo, medidas compensatorias (ninguna ruta remota, control de acceso físico, supervisión de cambios), autoridad que acepta acorde con la consecuencia, caducidad, plan de eliminación; 2 = sin caducidad; 1 = «no es posible»; 0 = nada.

EX035 — Informe del aseguramiento. Objetivo: comunicar la verificación con honestidad. Insumos: la tabla del ejemplo resuelto. Pasos: escribir tres líneas para la dirección, una por control. Evidencia esperada: tres líneas. Rúbrica: 3 = cada una indica el nivel de aseguramiento alcanzado, la laguna o el resultado, el dueño y la fecha; evita «eficaz» sin evidencia; 2 = faltan fechas; 1 = «controles eficaces»; 0 = nada.

Síntesis del capítulo

Un control es algo que un responsable puede asumir: objetivo, dueño, funcionamiento, evidencia y señal de fallo. El aseguramiento sube de declarado a documentado, observado y probado; aspire al nivel probado en los controles que protegen frente a las peores consecuencias. Verifique de forma proporcionada a través de tres líneas, autorice las pruebas como cualquier otro trabajo y mantenga las excepciones con dueño, compensadas y limitadas en el tiempo.