Capítulo 1 — Infraestructura crítica y seguridad sectorial: fundamentos y decisiones

Mapa de la lección

Lección 01 publicada. Mapa, ejemplo, EX001.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["1.1 Qué hace que un servicio sea «crítico»"]
  N2["1.2 Primero, la consecuencia"]
  N3["1.3 Tres incidentes públicos, en breve"]
  N4["1.4 Escribir una frase de riesgo"]
  N5["Visual 1 — de la frase de riesgo a la decisión"]
  N6["1.5 Las tres decisiones del recién llegado"]
  N7["1.7 Actividad práctica"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX001"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["1.1 Qué hace que un servicio sea «crítico»"]
  N2["1.2 Primero, la consecuencia"]
  N3["1.3 Tres incidentes públicos, en breve"]
  N4["1.4 Escribir una frase de riesgo"]
  N5["Visual 1 — de la frase de riesgo a la decisión"]
  N6["1.5 Las tres decisiones del recién llegado"]
  N7["1.7 Actividad práctica"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX001"]

[Resultados de aprendizaje y conexión]
    |
    v
[1.1 Qué hace que un servicio sea «crítico»]
    |
    v
[1.2 Primero, la consecuencia]
    |
    v
[1.3 Tres incidentes públicos, en breve]
    |
    v
[1.4 Escribir una frase de riesgo]
    |
    v
[Visual 1 — de la frase de riesgo a la decisión]
    |
    v
[1.5 Las tres decisiones del recién llegado]
    |
    v
[1.7 Actividad práctica]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX001]

Resultados de aprendizaje y conexión

Al terminar este capítulo será capaz de:

• explicar con sus propias palabras qué son las infraestructuras críticas y los servicios esenciales, y nombrar varios sectores;
• explicar por qué, en estos servicios, la seguridad de las personas y la disponibilidad suelen ir antes que la confidencialidad;
• describir, a grandes rasgos, tres incidentes públicos y lo que enseña cada uno;
• escribir una frase de riesgo clara con una causa, un evento y una consecuencia;
• elegir con sensatez entre las tres decisiones a las que se enfrenta todo recién llegado: darse cuenta, comunicarlo o dejarlo en manos del dueño.

El capítulo se apoya en la alfabetización digital cotidiana. Prepara el capítulo 2, que fija los límites de lo que puede hacer con esa comprensión.

1.1 Qué hace que un servicio sea «crítico»

La mayoría de las personas solo se encuentran con las infraestructuras críticas cuando dejan de funcionar: el grifo se seca, se va la luz, el datáfono dice «denegada», el autobús no llega. Las infraestructuras críticas son el conjunto de sistemas, activos y servicios cuya perturbación dañaría gravemente la seguridad, la salud, la economía o el orden público de una sociedad. Un servicio esencial es una de las cosas que esas infraestructuras prestan a las personas: agua limpia, electricidad, atención de urgencias, pagos, transporte.

Los gobiernos enumeran estos sectores para poder planificar en torno a ellos. Estados Unidos, por ejemplo, reconoce dieciséis sectores de infraestructura crítica, entre ellos la energía, el agua y las aguas residuales, la sanidad y la salud pública, el transporte, los servicios financieros, las comunicaciones y los servicios de emergencia (CISA, Critical Infrastructure Sectors). La Directiva NIS2 de la Unión Europea impone obligaciones a las entidades «esenciales» e «importantes» de sectores como la energía, el transporte, la banca, la sanidad, el agua potable y la infraestructura digital (Directive (EU) 2022/2555). Las listas difieren entre países, pero la idea es la misma: algunos servicios importan tanto que su fallo es un problema de todos.

Una segunda idea útil es la función en lugar de la organización. La CISA describe un conjunto de funciones críticas nacionales (como «suministrar agua» o «prestar atención médica») agrupadas bajo cuatro verbos: conectar, distribuir, gestionar y suministrar (CISA, National Critical Functions Set). Pensar en funciones ayuda a un recién llegado a hacer la pregunta adecuada: no «¿qué posee mi empleador?», sino «¿qué hace mi lugar de trabajo por las personas y qué les ocurre si deja de hacerlo?».

1.2 Primero, la consecuencia

En una oficina corriente, la preocupación clásica es que roben información. En un servicio esencial, la primera preocupación suele ser que se dañe a las personas o que el servicio se detenga. Un orden de preocupación útil para este curso es:

Tabla de la lección; desplázate para ver todas las columnas →

Este es un orden para pensar en el daño, no una regla según la cual la confidencialidad no importa. Una filtración de historias clínicas es grave y puede acarrear obligaciones legales de informar con rapidez a las personas afectadas. Lo importante es que un recién llegado que solo piense en contraseñas y datos pasará por alto los riesgos que más importan en estos sectores. El NIST Cybersecurity Framework 2.0, una guía de alto nivel de uso extendido, organiza los resultados de seguridad en seis funciones (Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar) precisamente porque mantener un servicio en marcha y restablecerlo importa tanto como mantener los datos en secreto (NIST CSF 2.0).

1.3 Tres incidentes públicos, en breve

No necesita detalles técnicos para aprender de hechos reales. Lea usted mismo cada fuente; los resúmenes siguientes se quedan al nivel que publicaron sus autores.

• La electricidad en Ucrania, diciembre de 2015. La CISA informa de que los atacantes causaron cortes de electricidad que afectaron a unos 225.000 clientes, accionando interruptores a distancia y dificultando la recuperación; las empresas restablecieron el suministro pasando a operación manual (CISA IR-ALERT-H-16-056-01). Lección: los ataques a los ordenadores pueden alcanzar el mundo físico, y las personas capaces de hacer funcionar las cosas a mano forman parte de la resiliencia.
• WannaCry y el NHS de Inglaterra, mayo de 2017. La National Audit Office del Reino Unido concluyó que el ransomware perturbó al menos a un tercio de los trusts del NHS en Inglaterra y provocó la cancelación de miles de citas y operaciones (NAO, Investigation: WannaCry cyber attack and the NHS). Lección: un malware corriente de TI se convierte en un problema de disponibilidad sanitaria; lo sufren los pacientes, no solo los ordenadores.
• Instalaciones de agua, 2023. La CISA y otras agencias asociadas informaron de que unos actores comprometieron controladores industriales expuestos a internet en varias instalaciones de agua y aguas residuales de Estados Unidos, probablemente usando contraseñas predeterminadas (CISA AA23-335A). Lección: debilidades simples (un dispositivo accesible desde internet con la contraseña de fábrica) pueden bastar.

1.4 Escribir una frase de riesgo

«Ransomware» es una palabra, no un riesgo. Un riesgo es algo que podría ocurrir y que importaría. Una frase de riesgo clara tiene tres partes:

Como (causa o debilidad), podría ocurrir (algo) (evento), lo que llevaría a (consecuencia para las personas o el servicio).

Ejemplo (sintético): «Como los PC de citas del centro de salud comparten una contraseña escrita en una nota adhesiva, alguien que pase junto al mostrador podría iniciar sesión y cambiar o borrar citas, lo que llevaría a que los pacientes se quedaran sin atención y el personal perdiera una mañana en reconstruir la lista».

Las buenas frases de riesgo nombran una consecuencia real (personas, tiempo, servicio), no solo «pérdida de datos». También dejan claro quién debería ser dueño del problema: aquí, la gerencia del centro, no la persona que se dio cuenta.

Visual 1 — de la frase de riesgo a la decisión

flowchart LR
    A[Causa o debilidad] --> B[Evento posible]
    B --> C[Consecuencia para personas o servicio]
    C --> D[Responsable recibe el aviso]
    D --> E[Respuesta autorizada]

Alternativa textual: describa la causa, el posible evento y el daño a las personas o al servicio. Informe de esa cadena al responsable, quien decide la respuesta autorizada. Sam no realiza el cambio solo por haber detectado el riesgo.

1.5 Las tres decisiones del recién llegado

Como principiante no se espera que arregle la seguridad. Se espera que se dé cuenta, que lo comunique por el canal adecuado y que deje la corrección en manos del dueño. Ante algo que parece ir mal, pregúntese:

1. ¿Hay alguien en peligro ahora? Si es así, siga primero el procedimiento de seguridad o de emergencia; la ciberseguridad va después.
2. ¿Necesita saberlo alguien? Si podría afectar al servicio, a las personas o a datos privados, comuníquelo hoy a su supervisor o por el canal establecido.
3. ¿Me corresponde cambiarlo? Casi siempre, no. Describa lo que vio; no lo «compruebe un momento» ni lo «arregle un momento».

1.6 Ejemplo resuelto: la primera semana de Sam (sintético)

Sam Reyes empieza en la recepción del Larkfield Community Clinic. En la primera semana, Sam se fija en cuatro cosas:

Tabla de la lección; desplázate para ver todas las columnas →

Sam escribe una frase de riesgo para (b): «Como el personal está recibiendo correos falsos de MedBook muy convincentes, alguien podría introducir su contraseña en una página falsa, lo que llevaría a que un extraño bloqueara o cambiara las citas y el centro no pudiera atender a los pacientes durante horas». Sam marca un supuesto: «Supuesto: los inicios de sesión de MedBook no están protegidos por un segundo factor; no lo sé».

Fíjese en lo que Sam no hizo: investigar, probar el enlace, reiniciar el PC o tocar nada de Larkfield Water. Cada decisión es pequeña, pero juntas son exactamente lo que aporta un recién llegado.

1.7 Actividad práctica

Elija un servicio esencial que use (su empresa de agua, el hospital local, la compañía de autobuses o su banco). En no más de una página, escriba: la función que presta a las personas; quién resultaría perjudicado primero si se detuviera durante un día; una frase de riesgo con causa, evento y consecuencia; y una cosa que esté suponiendo. Manténgalo en términos generales: use solo información pública y no sondee el servicio de ninguna manera. Intercambie las páginas con un compañero que haya elegido un servicio distinto y revisen la frase de riesgo del otro: ¿nombra una causa, un evento y una consecuencia para las personas? Después comparen a quién dijeron que perjudicaría primero. Un hospital y una compañía de autobuses dan respuestas muy distintas, que es justamente la razón de pensar en funciones.

1.8 Errores comunes y límites

• Pensar que la seguridad solo trata de contraseñas y datos. En los servicios esenciales, empiece por la seguridad de las personas y la continuidad.
• Escribir los riesgos como palabras sueltas («hackers», «virus») en lugar de como frases a partir de las cuales alguien pueda actuar.
• Intentar arreglar las cosas usted mismo. Su trabajo a este nivel es darse cuenta y comunicarlo.
• Tomar el resumen de un incidente como la historia completa. Los informes públicos son incompletos a propósito.

• Este capítulo simplifica: las organizaciones reales usan métodos formales de riesgo, y las leyes sobre los servicios críticos difieren entre países.

• Dar por hecho que quien detectó un problema debe ser su dueño. Sam se fijó en la contraseña de la nota adhesiva, pero es la gerencia del centro quien decide qué hacer al respecto.

• Olvidar marcar los supuestos. La nota de Sam de que los inicios de sesión de MedBook podrían carecer de segundo factor está etiquetada como desconocida, no afirmada como un hecho.

Ejercicios — capítulo 1

EX001 — Identifique los servicios esenciales. Objetivo: reconocer los servicios esenciales. Insumos: una lista: agua potable, un cine, un servicio de urgencias hospitalario, una red de pagos con tarjeta, una tienda de ropa, una red eléctrica regional, una red de autobuses urbanos, un servidor de videojuegos. Pasos: marcar cada uno como esencial o no y dar una razón de una línea. Evidencia esperada: ocho marcas con razones. Rúbrica: 3 = agua, urgencias, pagos, red eléctrica y autobuses marcados como esenciales con razones basadas en el daño, los demás no, con una nota de que «esencial» depende del contexto; 2 = marcas correctas, razones débiles; 1 = varios errores; 0 = nada.

EX002 — Asocie con el sector. Objetivo: relacionar servicios con sectores. Insumos: los cinco servicios esenciales de EX001. Pasos: nombrar el sector al que pertenece cada uno usando la lista de sectores de la CISA. Evidencia esperada: cinco parejas. Rúbrica: 3 = todas correctas (agua y aguas residuales; sanidad y salud pública; servicios financieros; energía; sistemas de transporte); 2 = cuatro correctas; 1 = dos o tres; 0 = menos.

EX003 — La función, no la organización. Objetivo: pensar en funciones. Insumos: Larkfield Community Clinic, Larkfield Water, Larkfield Bus. Pasos: escribir como una expresión verbal la función que cada uno presta a las personas. Evidencia esperada: tres expresiones. Rúbrica: 3 = «prestar atención médica / dispensar medicamentos», «suministrar agua limpia», «transportar a las personas» o equivalentes, cada una centrada en las personas; 2 = una describe la organización; 1 = enumera edificios o software; 0 = nada.

EX004 — Orden de preocupación. Objetivo: aplicar primero la consecuencia. Insumos: (a) se copian las direcciones de los pacientes; (b) se cambia sin aprobación una dosis del tratamiento del agua; (c) el sistema de citas del centro de salud no está disponible durante una mañana; (d) una pantalla de una bomba muestra «en marcha» cuando la bomba se ha parado. Pasos: ordenarlos de más a menos preocupante y justificar cada uno. Evidencia esperada: clasificación con razones. Rúbrica: 3 = (b) primero (seguridad de las personas), después (c) o (d) con un razonamiento sobre continuidad frente a fiabilidad, (a) último por daño inmediato pero señalado como grave desde el punto de vista legal; 2 = solo el primero correcto; 1 = (a) primero sin razonamiento; 0 = nada.

EX005 — ¿Por qué no «primero los datos»? Objetivo: explicar el cambio de prioridad. Insumos: la sección 1.2. Pasos: en tres o cuatro frases, explicar a un amigo por qué los servicios esenciales piensan en la seguridad de las personas y la disponibilidad antes que en la confidencialidad. Evidencia esperada: párrafo breve. Rúbrica: 3 = menciona el daño físico, que las personas dependen de la continuidad y que la confidencialidad sigue importando; 2 = dos de ellos; 1 = uno; 0 = nada.

EX006 — Lección de un incidente: Ucrania 2015. Objetivo: extraer una lección de una fuente pública. Insumos: CISA IR-ALERT-H-16-056-01. Pasos: leer el resumen y escribir el número de clientes afectados, cómo se restableció la electricidad y una lección para un recién llegado. Evidencia esperada: tres respuestas breves. Rúbrica: 3 = unos 225.000 clientes, operación manual, una lección sobre la consecuencia física o la alternativa manual; 2 = dos correctas; 1 = una; 0 = nada.

EX007 — Lección de un incidente: WannaCry y el NHS. Objetivo: relacionar el malware de TI con el daño al servicio. Insumos: el resumen del informe de la NAO. Pasos: escribir quién resultó perjudicado y cómo, en dos frases, sin términos técnicos. Evidencia esperada: dos frases. Rúbrica: 3 = pacientes perjudicados por citas y operaciones canceladas y trusts perturbados, planteado como disponibilidad; 2 = menciona la perturbación sin las personas; 1 = solo «se cifraron los ordenadores»; 0 = nada.

EX008 — Lección de un incidente: controladores de agua. Objetivo: reconocer debilidades simples. Insumos: CISA AA23-335A. Pasos: nombrar las dos condiciones simples que hicieron posible el compromiso y decir por qué cada una es una lección de nivel principiante. Evidencia esperada: dos condiciones con razones. Rúbrica: 3 = exposición a internet y contraseñas predeterminadas, cada una explicada como un fallo de higiene cotidiana; 2 = ambas nombradas, sin razones; 1 = una; 0 = nada.

EX009 — Reescriba tres riesgos. Objetivo: escribir frases de riesgo. Insumos: las palabras «phishing», «ordenador viejo» y «puerta abierta», situadas en el centro de salud de Larkfield. Pasos: reescribir cada una como «Como…, podría ocurrir…, lo que llevaría a…». Evidencia esperada: tres frases. Rúbrica: 3 = cada una tiene causa, evento y una consecuencia para las personas o el servicio; 2 = a una le falta la consecuencia; 1 = siguen siendo genéricas; 0 = nada.

EX010 — Encuentre al dueño. Objetivo: ver que los riesgos tienen dueño. Insumos: sus tres frases de EX009 y la lista de personas de Larkfield. Pasos: nombrar quién debería ser dueño de cada riesgo y por qué no es Sam. Evidencia esperada: tres dueños con razones. Rúbrica: 3 = la gerencia o la dirección del centro para los procesos y las instalaciones, el técnico de TI contratado para el ordenador (con la gerencia decidiendo), razones basadas en la autoridad; 2 = dueños sin razones; 1 = se nombra a Sam como dueño; 0 = nada.

EX011 — Tres decisiones. Objetivo: aplicar darse cuenta / comunicar / dejarlo al dueño. Insumos: un colega dice: «la alarma de la nevera de las vacunas pitó toda la noche, pero la apagué». Pasos: recorrer las tres preguntas de la sección 1.5. Evidencia esperada: tres respuestas breves. Rúbrica: 3 = reconoce primero un posible problema de seguridad del paciente, lo comunica hoy a la gerencia del centro, no ajusta la nevera ni la alarma; 2 = lo comunica, pero no ve el aspecto de seguridad; 1 = intenta arreglarlo; 0 = nada.

EX012 — Saber frente a suponer. Objetivo: separar los hechos de los supuestos. Insumos: la frase de riesgo de Sam para (b) en 1.6. Pasos: enumerar dos hechos que Sam conoce y dos cosas que Sam supone. Evidencia esperada: cuatro elementos. Rúbrica: 3 = hechos: llegaron correos falsos, piden contraseñas; supuestos: no hay segundo factor, que el correo es falso y no un aviso real de MedBook (o similar); 2 = tres correctos; 1 = los mezcla; 0 = nada.

EX013 — No es su sistema. Objetivo: respetar los límites fuera de su lugar de trabajo. Insumos: el punto (d) de 1.6. Pasos: escribir el mensaje que Sam podría enviar a esa amistad. Evidencia esperada: dos o tres frases. Rúbrica: 3 = anima a la amistad a decírselo a su supervisor o a su contacto de seguridad, no pide detalles ni contraseñas, no sugiere probar la herramienta; 2 = anima a comunicarlo, pero pide detalles; 1 = sugiere comprobarlo; 0 = nada.

Síntesis del capítulo

Las infraestructuras críticas prestan funciones de las que las personas no pueden prescindir, y su seguridad se juzga por la consecuencia: primero la seguridad de las personas, después la continuidad, la fiabilidad y la confidencialidad. Los incidentes reales muestran que los problemas informáticos llegan a los pacientes, a los hogares y a las calles, y que a menudo bastan debilidades simples. Las herramientas de un recién llegado son una frase de riesgo clara, una marca honesta en lo que se supone y tres decisiones: darse cuenta, comunicarlo y dejar la corrección en manos del dueño.