Capítulo 11 — Respuesta a incidentes en los sistemas del edificio de un hospital
Mapa de la lección
Lección 11 publicada. Mapa, ejemplo, EX051.
flowchart TD
N0["Resultados de aprendizaje"]
N1["11.1 Planificar con antelación"]
N2["11.2 Detectar y evaluar"]
N3["11.3 Contener"]
N4["11.4 Evidencia y recuperación"]
N5["11.5 Comunicación"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX051"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["11.1 Planificar con antelación"]
N2["11.2 Detectar y evaluar"]
N3["11.3 Contener"]
N4["11.4 Evidencia y recuperación"]
N5["11.5 Comunicación"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX051"]
[Resultados de aprendizaje]
|
v
[11.1 Planificar con antelación]
|
v
[11.2 Detectar y evaluar]
|
v
[11.3 Contener]
|
v
[11.4 Evidencia y recuperación]
|
v
[11.5 Comunicación]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX051]
Resultados de aprendizaje
Usted podrá (1) adaptar los pasos de respuesta a incidentes a los sistemas del edificio; (2) decidir cuándo aislar el BMS; y (3) coordinarse con los equipos clínicos, de mantenimiento y de informática.
11.1 Planificar con antelación
NIST SP 800-82r3 insiste en preparar la respuesta a incidentes de TO junto con el personal de operación. En un hospital eso significa que mantenimiento, los responsables clínicos de guardia del centro, el equipo de seguridad informática y los contratistas acuerdan de antemano quién dirige, cuál es la alternativa manual de cada sistema y cómo localizar a los contratistas de noche. Ponga el acuerdo por escrito en un plan breve con números de teléfono, la alternativa de cada sistema crítico y quién puede ordenar el aislamiento. Ensáyelo al menos una vez con mantenimiento y un contratista, quizá un fin de semana tranquilo. El primer incidente es el peor momento para descubrir que el contratista de la enfriadora no tiene contacto nocturno.
11.2 Detectar y evaluar
Una alarma, un punto de consigna fuera de ventana o una nota de rescate en BMS-WS ponen en marcha el proceso. La primera pregunta es clínica: ¿hay ahora alguna zona insegura? El responsable clínico de guardia y mantenimiento deciden las medidas de protección inmediatas, como trasladar una sesión quirúrgica o pasar a alarmas de oxígeno en botellas vigiladas por el personal. Solo cuando el panorama clínico está claro empieza la evaluación de seguridad: qué está afectado, cómo empezó y si se está extendiendo. En Millbrook, la primera llamada la noche del rescate fue a mantenimiento, que confirmó que los quirófanos estaban vacíos y las plantas con normalidad antes de que actuara el equipo de redes.
11.3 Contener
Si no se puede confiar en el BMS, los controladores normalmente pueden seguir ejecutando sus últimos horarios programados sin el servidor. Aislar la zona del BMS en su cortafuegos detiene nuevas órdenes remotas mientras las instalaciones siguen funcionando localmente. El personal de mantenimiento recorre las salas de máquinas y comprueba a mano los valores críticos. Antes de aislar, compruebe cómo se comporta cada controlador crítico sin el servidor, porque algunos vuelven a valores por defecto distintos del funcionamiento normal. En Millbrook los conductos se bloquearon a las 22:55 y los controladores siguieron con sus horarios, mientras los ingenieros de mantenimiento hacían rondas cada hora. Anote la hora de cada paso de contención para el registro del incidente.
11.4 Evidencia y recuperación
Conserve los registros y las imágenes antes de reconstruir; restaure BMS-WS y el servidor a partir de copias de seguridad verificadas; compare cada punto crítico con las lecturas locales; vuelva a conectar los conductos de uno en uno. Acuerde de antemano dónde se guardará la evidencia y quién la tomará, para que la reconstrucción no se retrase. En Millbrook el responsable del incidente hizo copiar al almacén de evidencias la imagen del disco de BMS-WS y el extracto del registro del cortafuegos de 22:00 a 23:00 antes de que empezara la reconstrucción. Conserve la evidencia hasta que el responsable del incidente decida que ya no es necesaria. Registre cada paso y su hora.
11.5 Comunicación
El responsable del incidente informa a la dirección del hospital, que decide sobre la notificación externa. Los analistas no se ponen en contacto por su cuenta con la prensa ni con los reguladores. Los analistas apoyan al responsable del incidente aportando hechos claros con horas y fuentes. Deben evitar mensajes informales a compañeros o contratistas que puedan difundir información inexacta. Si un regulador o un periodista se pone en contacto directamente con un analista, este traslada la petición al responsable del incidente sin hacer comentarios. Guarde una copia de cada actualización enviada, con su hora, para que el registro del incidente muestre qué se dijo y cuándo.
Ejemplo resuelto (Millbrook sintético)
A las 22:40 BMS-WS muestra un mensaje de rescate. Mantenimiento confirma que los quirófanos están vacíos y las plantas con normalidad. El equipo de redes bloquea los conductos de la zona del BMS a las 22:55; los controladores siguen con sus horarios. Los ingenieros de mantenimiento hacen rondas cada hora. A la mañana siguiente BMS-WS se reconstruye a partir de una imagen verificada, se comprueba el servidor y los conductos quedan restaurados a las 14:00, tras comprobar los puntos.
Caso sintético — Millbrook. El incidente es inventado.
Errores y límites
Algunos controladores pasan a valores seguros por defecto que difieren del funcionamiento normal; conózcalos antes de aislar. La supervisión mediante rondas no puede durar indefinidamente; planifique el personal.
Ejercicios — capítulo 11
- EX051 — Primera pregunta. ¿Cuál es la primera pregunta cuando BMS-WS muestra un mensaje de rescate, y quién la responde? Rúbrica: 3 = ¿hay alguna zona clínica insegura?; responsable clínico de guardia y mantenimiento; 2 = solo la pregunta; 1 = una pregunta informática; 0 = nada.
- EX052 — Por qué el aislamiento es aceptable. Explique por qué bloquear los conductos de la zona del BMS no detuvo la ventilación. Rúbrica: 3 = los controladores ejecutan horarios locales sin el servidor; 2 = parcial; 1 = sí la detuvo; 0 = nada.
- EX053 — Supervisión manual. ¿Qué sustituye a la supervisión del BMS mientras está aislado? Rúbrica: 3 = rondas de mantenimiento leyendo los valores locales, comprobación de alarmas por el personal; 2 = parcial; 1 = vago; 0 = nada.
- EX054 — Reconexión. Describa cómo se restauran los conductos tras la recuperación. Rúbrica: 3 = de uno en uno, comparando los puntos con las lecturas locales; 2 = parcial; 1 = todos a la vez; 0 = nada.
- EX055 — Valores seguros por defecto. ¿Por qué debe conocer Aisha el comportamiento a prueba de fallos de los controladores antes de recomendar el aislamiento? Rúbrica: 3 = algunos valores por defecto cambian el funcionamiento (p. ej., ventiladores parados o al máximo) y podrían afectar a los pacientes; 2 = parcial; 1 = no hace falta; 0 = nada.
Síntesis del capítulo
La seguridad clínica va primero, el control local mantiene las instalaciones, el aislamiento detiene el daño remoto y la evidencia precede a la recuperación.
Siga estudiando — capítulo 11 de 12
← Capítulo 10 (borrador) · Índice de capítulos del curso · Capítulo 12 (borrador) →