Capítulo 3 — Infraestructura crítica y seguridad sectorial: sistemas, datos y dependencias

Capítulo 3 — Infraestructura crítica y seguridad sectorial: sistemas, datos y dependencias

Mapa de la lección

Lección 03 publicada. Mapa, ejemplo, EX027.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["3.1 Las cinco partes de un servicio"]
  N2["3.2 Una mirada sencilla a la tecnología operativa"]
  N3["3.3 Los datos y lo que podría salir mal"]
  N4["3.4 Dependencias"]
  N5["3.5 Proveedores y acceso remoto"]
  N6["Visual 3 — dependencias del centro de salud sintétic"]
  N7["3.7 Actividad práctica"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX027"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["3.1 Las cinco partes de un servicio"]
  N2["3.2 Una mirada sencilla a la tecnología operativa"]
  N3["3.3 Los datos y lo que podría salir mal"]
  N4["3.4 Dependencias"]
  N5["3.5 Proveedores y acceso remoto"]
  N6["Visual 3 — dependencias del centro de salud sintétic"]
  N7["3.7 Actividad práctica"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX027"]

[Resultados de aprendizaje y conexión]
    |
    v
[3.1 Las cinco partes de un servicio]
    |
    v
[3.2 Una mirada sencilla a la tecnología operativa]
    |
    v
[3.3 Los datos y lo que podría salir mal]
    |
    v
[3.4 Dependencias]
    |
    v
[3.5 Proveedores y acceso remoto]
    |
    v
[Visual 3 — dependencias del centro de salud sintétic]
    |
    v
[3.7 Actividad práctica]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX027]

Resultados de aprendizaje y conexión

Al terminar este capítulo será capaz de:

• describir las cinco partes de un servicio esencial: personas, TI, tecnología operativa, datos y proveedores;
• explicar con palabras sencillas qué hacen los sensores, los controladores, las pantallas de operador y el SCADA, y en qué se diferencia la TO de la informática de oficina;
• nombrar los principales tipos de datos de un sector y el daño que cada uno podría causar si se pierde, se modifica o se filtra;
• distinguir las dependencias aguas arriba, aguas abajo y compartidas;
• detectar un punto único de fallo y una alternativa manual en una descripción sencilla.

El capítulo 2 fijó sus límites. Aquí aprenderá a ver un servicio con claridad desde fuera, lo que prepara el laboratorio guiado del capítulo 4.

3.1 Las cinco partes de un servicio

Los problemas de seguridad pueden empezar en cualquiera de estas partes. Muchos empiezan por las personas (un correo convincente) o por los proveedores (una cuenta de acceso remoto), no por una tecnología ingeniosa.

3.2 Una mirada sencilla a la tecnología operativa

No necesita configurar la TO para entenderla. Una imagen simplificada de una estación de bombeo de agua:

• Los sensores miden cosas: el nivel de agua de un depósito, la presión en una tubería, la concentración de cloro.
• Los actuadores hacen cosas: arrancar una bomba, abrir una válvula, añadir un producto químico.
• Un controlador —a menudo un PLC (autómata programable), un pequeño ordenador robusto— lee los sensores y acciona los actuadores mediante reglas sencillas («si el depósito está por debajo del 30 %, arrancar la bomba 2»).
• Una HMI (interfaz hombre-máquina) es la pantalla del operador, que muestra niveles y alarmas y le permite cambiar configuraciones.
• El SCADA (supervisión, control y adquisición de datos) es el sistema más amplio que reúne en una sala de control las lecturas de muchas instalaciones.

La guía del NIST sobre seguridad de la TO describe estos componentes y por qué la TO se diferencia de la TI (NIST SP 800-82 Rev. 3). Para un recién llegado importan tres diferencias:

Por eso el capítulo 2 prohibía «solo comprobar»: los dispositivos de TO pueden ser antiguos y sensibles, y lo que controlan es real.

3.3 Los datos y lo que podría salir mal

Fíjese en la columna central para los datos operativos: una lectura errónea puede ser más peligrosa que una robada, porque las personas toman decisiones basándose en ella.

3.4 Dependencias

Ningún servicio está aislado. Una dependencia es algo que un servicio necesita para funcionar.

• Las dependencias aguas arriba son lo que necesita su servicio: electricidad, agua, teléfono, internet, personal, suministros.
• Los dependientes aguas abajo son quienes necesitan su servicio: pacientes, hogares, otros servicios.
• Las dependencias compartidas las usan muchos servicios a la vez: una red telefónica, un depósito de combustible, un proveedor de software. Su fallo golpea a muchos servicios a la vez.

Un punto único de fallo es algo cuya pérdida detiene el servicio porque no hay alternativa. Un respaldo (un generador, una segunda línea de internet) o una alternativa manual (listas de citas en papel, operadores que leen los indicadores a mano) reduce el impacto. Pero un respaldo solo es tan bueno como sus propias dependencias: un generador diésel necesita entregas de combustible, que a su vez necesitan carreteras y conductores. El laboratorio del capítulo 4 lo hace visible.

3.5 Proveedores y acceso remoto

Muchos servicios esenciales permiten que los proveedores se conecten en remoto para mantener el software y los equipos. Es útil, y también es una puerta. La guía de la CISA para los dueños de TO incluye, entre las mitigaciones principales, reducir la exposición a internet, cambiar las contraseñas por defecto y proteger el acceso remoto (CISA, Primary Mitigations to Reduce Cyber Threats to Operational Technology). Los objetivos de rendimiento en ciberseguridad intersectoriales de la CISA (Cross-Sector Cybersecurity Performance Goals) establecen también prácticas básicas aplicables a todos los sectores, como la autenticación multifactor y el inventario de activos (CISA CPGs). Como recién llegado no gestionará estas cuentas, pero debe reconocer el riesgo cuando oiga «el proveedor entra cuando quiere con una contraseña compartida».

El ataque de ransomware de 2021 contra una empresa de oleoductos estadounidense, descrito por la CISA y el FBI en su aviso, es también una lección sobre dependencias: un ataque contra los sistemas informáticos de gestión afectó al funcionamiento de un suministro de combustible del que dependían muchos otros aguas abajo (CISA AA21-131A).

3.6 Ejemplo resuelto: ¿de qué depende el centro de salud? (sintético)

H. Novak pide a Sam que enumere, para una reunión de personal, lo que necesita el centro para abrir sus puertas. Sam repasa una mañana normal y escribe:

Sam señala tres preguntas, no conclusiones: ¿es LinkNet un punto único de fallo? ¿Hay una alternativa en papel para MedBook? ¿Quién más conoce la alarma del frigorífico? Estas preguntas van a H. Novak, la persona dueña, que decide qué cambiar, si es que hay que cambiar algo.

Visual 3 — dependencias del centro de salud (sintético)

flowchart LR
    P[Red eléctrica] --> C[Centro de salud]
    G[Generador diésel] -. respaldo solo de electricidad .-> C
    F[Entrega de combustible] --> G
    N[Teléfono e internet LinkNet] --> C
    W[Agua limpia] --> C
    M[Agenda MedBook] --> C
    S[Personal del centro] --> C
    C --> T[Pacientes y farmacia]

Alternativa textual: electricidad, LinkNet, agua, MedBook y personal alimentan el centro de salud, que atiende a pacientes y a la farmacia. El generador solo respalda la electricidad y necesita combustible. Los respaldos de las demás dependencias siguen sin confirmarse; el dibujo no demuestra que un centro real fallaría del mismo modo.

3.7 Actividad práctica

Elija un servicio esencial público cercano (o la planta de Larkfield Water descrita antes). Usando solo información pública y sentido común, dibuje un esquema sencillo de dependencias: el servicio en el centro, las dependencias aguas arriba a la izquierda y los dependientes aguas abajo a la derecha. Rodee con un círculo todo lo compartido, marque con una estrella cualquier posible punto único de fallo y escriba una pregunta que haría al dueño. No contacte con el servicio ni lo sondee. Compare su esquema con la tabla de dependencias del centro de Sam: ¿se acordó de las personas y los proveedores, además de la electricidad y el agua? Si eligió Larkfield Water, su esquema debería mostrar el centro de salud y los hogares aguas abajo y tratar LinkNet como compartida. Formule su pregunta al dueño de modo que pueda responderse con un sí o un no.

3.8 Errores comunes y límites

• Pensar solo en los ordenadores y olvidar a las personas, los proveedores y los edificios.
• Tratar la TO como la informática de oficina («basta con reiniciarlo»).
• Enumerar las dependencias aguas arriba, pero olvidar a las personas perjudicadas aguas abajo.
• Dar por hecho que un respaldo funciona sin preguntar de qué depende él.
• Presentar suposiciones como hechos; en este capítulo, una lista de dependencias es un conjunto de preguntas para el dueño.
• Olvidar que una persona puede ser un punto único de fallo, como la única persona de enfermería que conoce la alarma del frigorífico del centro.
• Contactar por su cuenta con un proveedor o una empresa de servicios para comprobar una dependencia, en lugar de trasladar la pregunta al dueño.
• Límites: las arquitecturas reales de TO son mucho más variadas que la imagen sencilla de 3.2.

Ejercicios — capítulo 3

EX027 — Cinco partes. Objetivo: clasificar las partes de un servicio. Insumos: (a) el controlador del frigorífico de vacunas del centro; (b) MedBook; (c) la persona de enfermería que conoce la alarma del frigorífico; (d) las recetas; (e) LinkNet. Pasos: asignar cada uno a personas, TI, TO, datos o proveedores. Evidencia esperada: cinco asignaciones. Rúbrica: 3 = a TO, b TI (y un proveedor), c personas, d datos, e proveedor; 2 = cuatro; 1 = dos o tres; 0 = menos.

EX028 — Componentes de TO. Objetivo: explicar con palabras sencillas los términos de TO. Insumos: sensor, actuador, PLC, HMI, SCADA. Pasos: dar para cada uno una definición sencilla de una línea y un ejemplo de una estación de agua. Evidencia esperada: cinco líneas. Rúbrica: 3 = todos correctos con ejemplos; 2 = cuatro; 1 = dos o tres; 0 = menos.

EX029 — TI frente a TO. Objetivo: comparar. Insumos: la sección 3.2. Pasos: dar dos diferencias y decir por qué cada una importa para la seguridad. Evidencia esperada: dos pares. Rúbrica: 3 = dos diferencias correctas (continuidad, consecuencia física, vida útil) con sus implicaciones de seguridad (los cambios requieren planificación, el daño puede ser físico, los dispositivos antiguos pueden carecer de protecciones); 2 = diferencias sin implicaciones; 1 = una; 0 = ninguna.

EX030 — Lectura errónea. Objetivo: ver el riesgo de integridad en la TO. Insumos: la HMI de una estación de agua muestra el depósito lleno al 80 %, pero en realidad está al 10 %. Pasos: describir lo que podría hacer el operador y la posible consecuencia. Evidencia esperada: dos o tres frases. Rúbrica: 3 = el operador no arranca las bombas, el depósito se vacía y se pierde presión o suministro para los clientes, incluido el centro de salud; señala que una comprobación manual lo revelaría; 2 = consecuencia sin la acción del operador; 1 = vago; 0 = nada.

EX031 — Daños a los datos. Objetivo: aplicar la visión de confidencialidad, integridad y disponibilidad a los datos. Insumos: «registros de recetas». Pasos: describir un daño si se filtran, otro si se modifican y otro si no están disponibles. Evidencia esperada: tres daños. Rúbrica: 3 = daño a la privacidad/obligación legal; medicamento o dosis equivocados; los pacientes no pueden recibir sus medicamentos; 2 = dos; 1 = uno; 0 = nada.

EX032 — Aguas arriba, aguas abajo, compartida. Objetivo: clasificar dependencias. Insumos: para Larkfield Water: (a) Larkfield Power; (b) los hogares; (c) el proveedor de productos químicos; (d) el centro de salud; (e) LinkNet, que también usan el centro y el banco. Pasos: clasificar cada uno. Evidencia esperada: cinco respuestas. Rúbrica: 3 = a aguas arriba (compartida), b aguas abajo, c aguas arriba, d aguas abajo, e aguas arriba y compartida; 2 = cuatro; 1 = dos o tres; 0 = menos.

EX033 — Punto único de fallo. Objetivo: detectarlo. Insumos: la tabla de 3.6. Pasos: nombrar el elemento con más probabilidad de ser un punto único de fallo y explicarlo. Evidencia esperada: respuesta y motivo. Rúbrica: 3 = LinkNet: no tiene respaldo conocido y su pérdida deja a la vez sin MedBook, teléfono y pagos; se presenta como pregunta por confirmar; 2 = elemento correcto sin cautela; 1 = elige un elemento con respaldo; 0 = nada.

EX034 — El respaldo del respaldo. Objetivo: seguir las dependencias de un respaldo. Insumos: el generador del centro con combustible para dos horas. Pasos: enumerar de qué depende el generador en un corte de 24 horas. Evidencia esperada: la lista. Rúbrica: 3 = entrega de combustible, que necesita carreteras, un proveedor y conductores, además de alguien que sepa ponerlo en marcha y probarlo; 2 = solo el combustible; 1 = «de nada»; 0 = nada.

EX035 — Alternativa manual. Objetivo: reconocer las alternativas. Insumos: la dependencia de MedBook. Pasos: proponer una alternativa manual y una condición para que funcione. Evidencia esperada: alternativa y condición. Rúbrica: 3 = una lista de citas impresa a diario (o un formulario de citas en papel) que esté al día, se guarde de forma segura y que el personal sepa usar; 2 = alternativa sin condición; 1 = «arreglar MedBook»; 0 = nada.

EX036 — La puerta del proveedor. Objetivo: reconocer el riesgo del acceso remoto. Insumos: D. Brandt dice: «el proveedor de las bombas entra desde casa cuando quiere; todo el mundo usa la misma contraseña». Pasos: escribir una frase de riesgo y nombrar dos prácticas básicas de la guía de la CISA citada que tengan relación con ella. Evidencia esperada: la frase y dos prácticas. Rúbrica: 3 = frase de causa, evento y consecuencia sobre el control no autorizado de las bombas; prácticas como proteger el acceso remoto, la autenticación multifactor, cambiar las contraseñas por defecto o compartidas y limitar la exposición a internet; 2 = la frase y una práctica; 1 = solo la práctica; 0 = nada.

EX037 — La lección del oleoducto. Objetivo: extraer una lección sobre dependencias. Insumos: CISA AA21-131A. Pasos: explicar en dos frases por qué un ataque contra los sistemas de gestión de una empresa importó a muchos otros. Evidencia esperada: dos frases. Rúbrica: 3 = el suministro de combustible del oleoducto es una dependencia compartida aguas arriba para muchos usuarios aguas abajo, así que la perturbación se extendió más allá de la víctima; 2 = solo menciona la perturbación; 1 = solo detalles técnicos; 0 = nada.

EX038 — Preguntas, no conclusiones. Objetivo: comunicar la incertidumbre. Insumos: las tres preguntas de Sam en 3.6. Pasos: reescribir una como un mensaje breve a H. Novak, señalando lo que se sabe y lo que se supone. Evidencia esperada: el mensaje. Rúbrica: 3 = educado, ceñido a los hechos, separa lo que se sabe (no figura ninguna línea de respaldo) de lo que se supone (que no existe) y pide al dueño que decida; 2 = buen mensaje sin separar lo sabido de lo supuesto; 1 = presenta una suposición como hecho; 0 = nada.

Síntesis del capítulo

Un servicio esencial son personas, TI, tecnología operativa, datos y proveedores que trabajan juntos. La TO mide y controla el mundo físico, debe funcionar sin interrupción y puede causar daños físicos cuando falla, por lo que una lectura errónea puede ser peor que una robada. Los servicios dependen de otros aguas arriba, sirven a personas aguas abajo y comparten dependencias entre sí; los puntos únicos de fallo y los respaldos que tienen sus propias dependencias son donde se esconden los problemas. La lista de dependencias de un recién llegado es un conjunto de buenas preguntas para el dueño.

Siga estudiando — capítulo 03 de 04

← Capítulo 02 · Índice de capítulos del curso · Capítulo 04 →

Continúe con la siguiente lección escrita.