Capítulo 4 — Hábitos seguros, nociones de respuesta y próximos pasos
Mapa de la lección
Lección 04 publicada. Mapa, ejemplo, EX039.
flowchart TD
N0["Resultados de aprendizaje"]
N1["4.1 Hábitos cotidianos"]
N2["4.2 Responder a un incidente"]
N3["4.3 Actualizaciones y dispositivos"]
N4["4.5 Próximos pasos"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX039"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["4.1 Hábitos cotidianos"]
N2["4.2 Responder a un incidente"]
N3["4.3 Actualizaciones y dispositivos"]
N4["4.5 Próximos pasos"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX039"]
[Resultados de aprendizaje]
|
v
[4.1 Hábitos cotidianos]
|
v
[4.2 Responder a un incidente]
|
v
[4.3 Actualizaciones y dispositivos]
|
v
[4.5 Próximos pasos]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX039]
Resultados de aprendizaje
Usted podrá (1) practicar los hábitos cotidianos que protegen una instalación de TO; (2) esbozar los primeros pasos de una respuesta a incidentes; (3) explicar los límites de seguridad física y legales del trabajo de seguridad; y (4) planificar su próximo curso.
4.1 Hábitos cotidianos
Use solo memorias USB entregadas por la planta y analizadas antes de usarlas. Nunca conecte dispositivos desconocidos a los equipos de la planta. Bloquee la pantalla. Mantenga las contraseñas fuera de la vista y fuera del chat. Notifique con rapidez la pérdida de tarjetas de acceso y portátiles. No instale software en los ordenadores de la planta. Estos hábitos bloquean las vías más comunes por las que entran el malware y los intrusos. Cada hábito cierra una vía sencilla. Una memoria USB encontrada puede llevar malware directamente más allá de todos los cortafuegos; una pantalla desbloqueada en la sala de control permite a cualquiera enviar órdenes en su nombre; una contraseña compartida en un chat puede leerse mucho después de terminar la conversación. Estas pequeñas normas importan sobre todo en instalaciones como Elmstead, por donde pasan muchos visitantes y contratistas.
4.2 Responder a un incidente
NIST SP 800-82r3 insiste en planificar la respuesta junto con operaciones. En Elmstead los pasos son: poner a salvo a las personas y los equipos siguiendo los procedimientos de la planta; llamar a la ingeniera de guardia; anotar lo que ve; conservar la evidencia; dejar que la ingeniera y el responsable del incidente decidan la contención, como desconectar el portal del fabricante o poner la batería en un estado de reposo seguro; restaurar a partir de copias de seguridad verificadas; aprender y mejorar.
El papel de una persona en prácticas en esta lista corresponde sobre todo a los cuatro primeros pasos. La contención y la restauración son decisiones de quienes entienden cómo reaccionarán SC-1, los inversores y la batería, y pueden acordarlas con el operador de la red si hace falta. Elmstead tiene los pasos en una ficha en la sala de control para que nadie tenga que recordarlos bajo presión.
4.3 Actualizaciones y dispositivos
Los fabricantes publican correcciones de firmware; el propietario las aplica en momentos planificados tras comprobar la compatibilidad. Para los dispositivos nuevos, haga a los proveedores preguntas basadas en ETSI EN 303 645 y NIST IR 8259: contraseñas únicas, una política de divulgación de vulnerabilidades, un periodo de actualizaciones y comunicación cifrada. Las respuestas deben figurar en el inventario junto al dispositivo. Una cámara sin periodo de actualizaciones, o un controlador cuyo fabricante no dice cómo notificar una debilidad, es un riesgo que el propietario debe conocer antes de comprar y no después de instalar. Siempre que sea posible, las actualizaciones de firmware se prueban primero en una unidad, con una forma de volver a la versión anterior.
4.4 Límites
Nunca pruebe, escanee ni inicie sesión en sistemas que no esté autorizado a usar. Nunca eluda los sistemas de seguridad física, como la detección de incendios o la protección de las baterías. Nunca comparta código de explotación ni instrucciones de ataque. El aprendizaje se hace con simuladores y equipos de laboratorio. Estar en la planta no cambia estos límites. Una persona en prácticas que vea una página de inicio de sesión expuesta, o a la que un técnico amable del fabricante le dé una contraseña, sigue sin tener autorización para usarla. Lo correcto es notificar lo encontrado a la ingeniera. La autorización la concede el propietario, por escrito, para una tarea definida.
4.5 Próximos pasos
El siguiente curso de este plan de estudios trata la infraestructura crítica y la seguridad sectorial. Los cursos más largos de esta área profundizan en redes, protocolos, supervisión y diseño. Lleve un registro de los ejercicios completados. Antes de seguir, vuelva al caso de Elmstead y compruebe que puede explicar con sus propias palabras cada uno de sus sucesos: la lista de inversores, las zonas, la orden de las 14:00 y el simulacro de la cámara. Anote en qué ejercicios obtuvo menos de tres y vuelva a esos capítulos. Los cursos más largos de esta área se apoyan precisamente en estos fundamentos.
Ejemplo resuelto (Elmstead sintético)
Durante un simulacro, Jonah encuentra una cámara que muestra una pantalla de inicio de sesión desconocida. Sigue la ficha de la pared de la sala de control: avisa a la ingeniera de guardia, fotografía la pantalla, anota la hora y no toca nada. La ingeniera aísla la zona de cámaras en su cortafuegos; la zona de control sigue funcionando. En la revisión posterior, Jonah propone añadir a la ficha el número de soporte del fabricante de las cámaras.
Caso sintético — Elmstead. El simulacro es inventado.
Errores y límites
Estos hábitos reducen el riesgo, pero no pueden eliminarlo. Los procedimientos varían según la planta; siga las normas locales.
Ejercicios — capítulo 4
- EX039 — Lista de hábitos. Enumere cuatro hábitos cotidianos que protegen Elmstead. Rúbrica: 3 = cuatro hábitos correctos; 2 = tres; 1 = uno; 0 = nada.
- EX040 — Memoria encontrada. Alguien ha dejado una memoria USB en el escritorio de SC-1. ¿Qué hace usted? Rúbrica: 3 = no conectarla; entregarla a la ingeniera o a seguridad; anotar dónde se encontró; 2 = entregarla; 1 = revisarla; 0 = conectarla.
- EX041 — Orden de la respuesta. Ordene: conservar la evidencia; poner a salvo; restaurar; llamar a guardia; aprender. Rúbrica: 3 = poner a salvo, llamar, conservar, restaurar, aprender; 2 = casi todo; 1 = al azar; 0 = nada.
- EX042 — Elección de la contención. Nombre una acción de contención que podría tomar la ingeniera en Elmstead. Rúbrica: 3 = desconectar el portal, aislar una zona o poner la batería en reposo seguro, con el motivo; 2 = solo la acción; 1 = borrar registros; 0 = nada.
- EX043 — Preguntas al proveedor. Escriba dos preguntas para el proveedor de un nuevo monitor de baterías. Rúbrica: 3 = dos preguntas basadas en las configuraciones de referencia (contraseñas únicas, divulgación, actualizaciones, cifrado); 2 = una; 1 = el precio; 0 = nada.
- EX044 — Momento del firmware. ¿Por qué el firmware se aplica en momentos planificados y no de inmediato? Rúbrica: 3 = requiere comprobar la compatibilidad y una parada segura; riesgo de interrupción; 2 = parcial; 1 = sin motivo; 0 = nada.
- EX045 — Entorno de práctica. ¿Dónde debe practicar Jonah el uso de protocolos industriales? Rúbrica: 3 = simulador o equipos de laboratorio, no la planta en funcionamiento; 2 = parcial; 1 = en la planta, de noche; 0 = nada.
- EX046 — Eludir la seguridad física. Un compañero propone desactivar la protección de las baterías para «probar» una alarma. ¿Qué responde? Rúbrica: 3 = negarse; los sistemas de seguridad física no se tocan; escalarlo; 2 = negarse; 1 = aceptar con cuidado; 0 = aceptar.
- EX047 — Lección del simulacro. ¿Qué mejora propuso Jonah tras el simulacro, y por qué ayuda? Rúbrica: 3 = añadir a la ficha el número de soporte del fabricante; llamada correcta más rápida; 2 = solo la mejora; 1 = vago; 0 = nada.
- EX048 — Efecto del aislamiento. ¿Por qué pudo seguir funcionando la zona de control cuando se aisló la zona de cámaras? Rúbrica: 3 = zonas separadas; las cámaras no son necesarias para el control; 2 = parcial; 1 = se detuvo; 0 = nada.
- EX049 — Compartir código de explotación. ¿Por qué este curso se niega a compartir código de explotación? Rúbrica: 3 = doble uso; podría dañar instalaciones reales; el objetivo de aprendizaje es la defensa; 2 = parcial; 1 = sin motivo; 0 = nada.
- EX050 — Siguiente curso. ¿Qué trata el siguiente curso del plan de estudios? Rúbrica: 3 = infraestructura crítica y seguridad sectorial (curso 023); 2 = vago; 1 = incorrecto; 0 = nada.
Síntesis del capítulo
Los buenos hábitos, una respuesta ensayada, el respeto de los límites de seguridad física y legales y el estudio continuado protegen las instalaciones de TO.
Siga estudiando — capítulo 04 de 04
← Capítulo 03 (borrador) · Índice de capítulos del curso · Resultados resueltos ↓ · Siguiente curso a través del índice de capítulos →