OpenCyber Academy
Profesional · Capítulo 8 · Español
Código del curso: OCA-046Capítulo 08: OCA-046-C008

Capítulo 8 — Infraestructura crítica y seguridad sectorial: análisis supervisado de un caso

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 08 publicada. Mapa, ejemplo, EX036.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["8.1 Por qué los proveedores importan tanto aquí"]
  N2["8.2 El ciclo de vida del proveedor"]
  N3["8.3 La revisión del acceso"]
  N4["8.4 Caso resuelto: la revisión de mayo sintético"]
  N5["8.5 Requisitos para contratos e incorporación"]
  N6["8.6 Presentación supervisada"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX036"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["8.1 Por qué los proveedores importan tanto aquí"]
  N2["8.2 El ciclo de vida del proveedor"]
  N3["8.3 La revisión del acceso"]
  N4["8.4 Caso resuelto: la revisión de mayo sintético"]
  N5["8.5 Requisitos para contratos e incorporación"]
  N6["8.6 Presentación supervisada"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX036"]

[Resultados de aprendizaje y conexión]
    |
    v
[8.1 Por qué los proveedores importan tanto aquí]
    |
    v
[8.2 El ciclo de vida del proveedor]
    |
    v
[8.3 La revisión del acceso]
    |
    v
[8.4 Caso resuelto: la revisión de mayo sintético]
    |
    v
[8.5 Requisitos para contratos e incorporación]
    |
    v
[8.6 Presentación supervisada]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX036]

Resultados de aprendizaje y conexión

Al terminar este capítulo debería ser capaz de:

Este es el primer caso supervisado del libro. Reúne el riesgo (capítulo 4), las funciones (capítulo 6) y la verificación de controles (capítulo 7).

8.1 Por qué los proveedores importan tanto aquí

Los servicios esenciales dependen de los proveedores para los equipos, el software, el mantenimiento y la supervisión. El acceso remoto de los proveedores es cómodo (un experto en bombas puede resolver un problema de noche a 200 kilómetros de distancia) y es también una vía de compromiso recurrente. Las orientaciones de la CISA sobre mitigaciones principales para la TO incluyen entre sus prioridades reducir la exposición y proteger el acceso remoto (CISA, Primary Mitigations to Reduce Cyber Threats to Operational Technology). Las orientaciones del NIST sobre la cadena de suministro tratan a los proveedores como parte del riesgo de la organización y recomiendan integrar la gestión del riesgo de la cadena de suministro en la gobernanza y en las adquisiciones (NIST SP 800-161 Rev. 1). La NIS2 incluye la seguridad de la cadena de suministro entre las medidas de gestión de riesgos que deben adoptar las entidades (Directive (EU) 2022/2555, Article 21).

8.2 El ciclo de vida del proveedor

La gobernanza de un proveedor con acceso sigue un ciclo de vida:

  1. Seleccionar: preguntas de seguridad en la compra, proporcionadas al acceso solicitado.
  2. Contratar: obligaciones de seguridad: personas con nombre, MFA, notificación de incidentes y de salidas de personal, derecho de revisión, tratamiento de los datos, apoyo a su respuesta a incidentes.
  3. Incorporar: cuentas creadas por persona nombrada, acceso mínimo, proceso de aprobación de las sesiones (capítulo 6).
  4. Operar: sesiones aprobadas, registradas y revisadas; revisiones periódicas del acceso.
  5. Cambiar: personal nuevo, sistemas nuevos, fusiones: nueva revisión.
  6. Salir: cuentas eliminadas, datos devueltos o destruidos, confirmación registrada.

La mayoría de los problemas reales están en las juntas: un contrato que terminó pero cuya cuenta sobrevivió; un ingeniero que dejó al proveedor pero cuya contraseña no lo hizo.

8.3 La revisión del acceso

Una revisión del acceso periódica concilia tres fuentes: la lista de cuentas (lo que existe), el registro de contratos (lo que debería existir) y los registros de sesiones (lo que se usa). Hallazgos típicos y respuestas proporcionadas:

Tabla de la lección; desplázate para ver todas las columnas →

Hallazgo Por qué importa Respuesta proporcionada
Cuenta de un contrato terminado Nadie rinde cuentas de su uso Desactivarla ya; confirmarlo con el proveedor
Sin uso durante más de 90 días Exposición innecesaria Desactivarla; reactivarla a petición mediante el proceso
Cuenta compartida o sin nombre Las acciones no pueden atribuirse Sustituirla por cuentas nominativas; mientras tanto, restringirla
Sin MFA Basta la contraseña para acceder Corregirlo o registrar una excepción limitada en el tiempo
Uso muy por encima de lo esperado Puede ser un proyecto legítimo, un mal uso o un compromiso Preguntar al proveedor y al dueño interno; revisar los registros de sesiones antes de concluir

La última fila exige cuidado. Un volumen inusual es una pregunta, no una acusación.

8.4 Caso resuelto: la revisión de mayo (sintético)

Tras las lagunas de control del capítulo 7, la coordinadora realiza la primera revisión del acceso de proveedores el 4 de mayo de 2026, con una autorización de A. Mensah que permite exportar en modo de solo lectura la lista de cuentas y el registro de sesiones de la pasarela. El Lab 8 reproduce la conciliación. Lab 8 (guárdelo como lab08.py y ejecútelo con python3 lab08.py):

# Lab 8 - third-party remote-access review (offline, standard library only; all data synthetic)
import datetime as dt
TODAY = dt.date(2026, 5, 4)
# account, supplier, named person, MFA, contract end, last session, sessions in 90 days
ACCOUNTS = [
    ("v-hydro1",  "HydroLogic Ltd",  "P. Novak",  True,  "2027-03-31", "2026-04-28", 6),
    ("v-hydro2",  "HydroLogic Ltd",  "",          True,  "2027-03-31", "2026-04-30", 11),
    ("v-scadaco", "ScadaCo",         "M. Ilic",   False, "2026-12-31", "2026-03-15", 2),
    ("v-pumps",   "Vale Pumps",      "D. Ruiz",   True,  "2025-11-30", "2026-02-10", 1),
    ("v-meter",   "MeterWorks",      "K. Sato",   True,  "2026-09-30", "2025-10-02", 0),
    ("v-integr",  "Northgate Integration", "S. Brandt", True, "2026-08-31", "2026-05-01", 19),
]
SESSIONS_EXPECTED = {"HydroLogic Ltd": 8, "ScadaCo": 4, "Vale Pumps": 2, "MeterWorks": 2, "Northgate Integration": 4}
for acct, sup, person, mfa, end, last, n90 in ACCOUNTS:
    f = []
    if not person: f.append("shared/unnamed account")
    if not mfa: f.append("no MFA")
    if dt.date.fromisoformat(end) < TODAY: f.append("contract ended - disable")
    if (TODAY - dt.date.fromisoformat(last)).days > 90: f.append("unused >90 days - disable")
    if n90 > 2 * SESSIONS_EXPECTED[sup]: f.append(f"{n90} sessions vs ~{SESSIONS_EXPECTED[sup]} expected - ask why")
    print(f"{acct:10s} {sup:22s} {'OK' if not f else '; '.join(f)}")

Salida esperada (Python 3.13.5):

v-hydro1   HydroLogic Ltd         OK
v-hydro2   HydroLogic Ltd         shared/unnamed account
v-scadaco  ScadaCo                no MFA
v-pumps    Vale Pumps             contract ended - disable
v-meter    MeterWorks             unused >90 days - disable
v-integr   Northgate Integration  19 sessions vs ~4 expected - ask why

El análisis de la coordinadora, etiquetado:

El caso muestra la disciplina de la coordinadora: actuar con rapidez ante los fallos claros de gobernanza, preguntar antes de acusar, escalar por la vía adecuada la actividad que sigue sin explicación y registrar lo que se supone.

8.5 Requisitos para contratos e incorporación

A partir del caso, la coordinadora redacta cláusulas estándar para los nuevos contratos de proveedores con acceso remoto: solo personas con nombre; MFA; sesiones solo a través de la pasarela de la empresa, aprobadas por sesión o por ventana programada; el proveedor notificará a la empresa en las 24 horas siguientes la salida de un empleado y, con prontitud, cualquier incidente de seguridad que pueda afectar a la empresa; registros de trabajo disponibles a petición; cooperación en la respuesta a incidentes; borrado de los datos de la empresa al terminar el contrato, confirmado por escrito. La ISA/IEC 62443 incluye requisitos para proveedores de servicios e integradores que pueden orientar esas cláusulas (ISA/IEC 62443 overview). La redacción jurídica corresponde a su equipo jurídico; su trabajo es especificar el resultado de seguridad.

8.6 Presentación supervisada

Presente el caso a su supervisor (aquí, E. Varga) en cinco partes: qué se revisó y con qué autoridad; los hallazgos, con evidencia; las decisiones ya tomadas y quién las tomó; las decisiones que se solicitan al supervisor (presupuesto para la MFA del lado de ScadaCo, aprobación de las cláusulas contractuales); y las preguntas abiertas, con responsables y fechas. Mantenga cada parte breve y etiquetada, para que el supervisor pueda interrumpirle en cualquier momento y aun así saber qué está decidido y qué se pide. En la revisión de mayo, las dos sesiones de Northgate sin explicar van en las preguntas abiertas con su responsable, no en los hallazgos. Lleve como adjuntos la salida del Lab 8 y la autorización, y diga con claridad lo que se supuso, como que la exportación de la pasarela estaba completa. Termine repitiendo las decisiones solicitadas y la fecha para la que se necesitan.

8.7 Errores comunes y límites

Ejercicios — capítulo 8

EX036 — Lea el Lab 8. Objetivo: interpretar los resultados de la revisión. Insumos: la salida del Lab 8. Pasos: para cada cuenta, indicar el hallazgo, el riesgo y la respuesta proporcionada con su responsable. Evidencia esperada: seis filas. Rúbrica: 3 = coincide con 8.4, incluida la contención con v-integr y una alternativa para v-scadaco; 2 = acciones correctas, pero acusatorio con v-integr; 1 = lo desactiva todo; 0 = nada.

EX037 — Amplíe la revisión. Objetivo: añadir una fuente. Insumos: el Lab 8. Pasos: añadir por cuenta una fecha de «última confirmación del personal» y señalar las cuentas cuyo proveedor no haya confirmado su lista de personal en 180 días; mostrar la salida. Evidencia esperada: código y salida. Rúbrica: 3 = campo añadido en todas las filas con valores de prueba que activan y que no activan la regla, salida mostrada, explica por qué importa la confirmación del personal (salidas); 2 = sin explicación; 1 = solo la regla; 0 = nada.

EX038 — Redacte cláusulas contractuales. Objetivo: especificar las obligaciones del proveedor. Insumos: 8.5. Pasos: escribir cinco cláusulas comprobables en lenguaje llano. Evidencia esperada: las cláusulas. Rúbrica: 3 = cada cláusula tiene una obligación medible y una forma de verificarla (por ejemplo, aviso de salida de personal en 24 horas, verificado en la revisión trimestral); 2 = no comprobables; 1 = «el proveedor será seguro»; 0 = nada.

EX039 — Gestione las dos sesiones nocturnas. Objetivo: escalar adecuadamente la actividad sin explicar. Insumos: 8.4. Pasos: escribir el mensaje a la responsable de seguridad y la decisión que necesita. Evidencia esperada: el mensaje. Rúbrica: 3 = hechos con horas en UTC y fuente, lo que se sabe (17 de 19 explicadas), lo que no, solicitud de revisión de los registros de sesiones por la vía de escalado, indicación de no alertar todavía al proveedor, tratamiento sensible (TLP:RED o AMBER+STRICT), hora de la próxima comprobación; 2 = sin indicaciones de tratamiento; 1 = «por favor, investigue a Northgate»; 0 = nada.

EX040 — Presente el caso. Objetivo: presentación supervisada. Insumos: 8.6. Pasos: escribir la sesión informativa de cinco partes en menos de 300 palabras. Evidencia esperada: la sesión informativa. Rúbrica: 3 = las cinco partes, decisiones solicitadas de forma explícita, incertidumbre etiquetada, ninguna acusación sin fundamento; 2 = faltan las decisiones solicitadas; 1 = solo una narración; 0 = nada.

Síntesis del capítulo

El acceso de proveedores se gobierna a lo largo de un ciclo de vida (seleccionar, contratar, incorporar, operar, cambiar, salir) y la mayoría de los fallos están en las juntas. Una revisión del acceso concilia cuentas, contratos y sesiones; responda de forma proporcionada, trate las anomalías como preguntas y escale por la vía adecuada lo que siga sin explicación. Convierta las lecciones en requisitos contractuales comprobables y presente los casos con las decisiones solicitadas y la incertidumbre etiquetada.

Respuestas desarrolladas

EX036. v-hydro1: sin hallazgo; se mantiene. v-hydro2: cuenta sin nombre, acciones no atribuibles; sustituirla por una cuenta nominativa en 14 días, con sesiones supervisadas mientras tanto (A. Mensah). v-scadaco: sin MFA, basta la contraseña para acceder; ScadaCo debe activarla en 30 días o se registra una excepción con medidas compensatorias; mantener una alternativa supervisada para el soporte urgente (A. Mensah). v-pumps: contrato terminado; desactivarla ya y confirmarlo con Vale Pumps. v-meter: sin uso > 90 días; desactivarla; reactivarla a petición. v-integr: 19 frente a ~4 sesiones; preguntar a J. Tan y a Northgate; un proyecto explica 17; escalar las dos sesiones nocturnas sin explicar a la responsable de seguridad. Ninguna acusación.

EX037. Añadir un campo staff_confirmed (fecha en que el proveedor confirmó por última vez su lista de personas con acceso), por ejemplo "2026-04-01" para HydroLogic y "2025-09-15" para Northgate. Regla: if (TODAY - dt.date.fromisoformat(conf)).days > 180: f.append("staff list unconfirmed >180 days"). La salida muestra entonces el indicador en v-integr y no en v-hydro1. Importa porque las salidas de personal de los proveedores son una vía habitual por la que credenciales válidas sobreviven a sus dueños.

EX038. (1) Solo pueden acceder las personas con nombre que figuran en el anexo A; los cambios se notifican por escrito antes del acceso (verificado en cada revisión trimestral). (2) Toda sesión remota usa la pasarela de la empresa con autenticación multifactor (verificado a partir de la configuración y los registros de la pasarela). (3) El proveedor notifica a la empresa en 24 horas cuando una persona de la lista se marcha o pierde un dispositivo usado para el acceso (verificado mediante la confirmación trimestral de la lista de personal). (4) El proveedor entrega los registros de trabajo de cualquier sesión en los 2 días laborables siguientes a la solicitud (verificado por muestreo). (5) Al terminar el contrato, el proveedor confirma por escrito en 14 días que se han borrado los datos de la empresa (verificado mediante el registro en la biblioteca).

EX039. «TLP:AMBER+STRICT. L.: la revisión del acceso de proveedores encontró 19 sesiones de Northgate en 90 días. J. Tan y el registro de trabajo de Northgate explican 17 (puesta en servicio de la telemetría de KW-11, aprobada en marzo). Dos siguen sin explicar: el 12 y el 19 de abril, ambas iniciadas a las 02:00 hora local (01:00 UTC); origen y destino en la exportación de la pasarela adjunta. Desconocido: quién se conectó y qué se hizo. Te pido que revises los registros de sesiones por la vía de escalado de incidentes y me indiques si conviene restringir la cuenta. Por favor, no contactes con Northgate hasta que lo hayas decidido. Vuelvo a consultarte a las 16:00».

EX040. (1) Revisado: las seis cuentas de proveedores de la pasarela de acceso remoto, 4 de mayo, exportación de solo lectura autorizada por A. Mensah. (2) Hallazgos: una cuenta sin nombre, una sin MFA, una de un contrato terminado, una sin uso, una con un volumen inusual (evidencia adjunta). (3) Decidido por A. Mensah: dos cuentas desactivadas; sustitución nominativa en 14 días. (4) Se le solicita: aprobar cláusulas contractuales estándar para las renovaciones; aprobar presupuesto para la MFA de ScadaCo si no pueden financiarla; confirmar revisiones mensuales. (5) Abierto: dos sesiones nocturnas de Northgate sin explicar, en manos de la responsable de seguridad, actualización el viernes; supuesto de que la pasarela es la única ruta de acceso, comparación con el cortafuegos antes de junio (J. Tan).