Capítulo 16 — Documentación técnica y seguridad física

Capítulo 16 — Documentación técnica y seguridad física

Mapa de la lección

Lección 16 publicada. Mapa, ejemplo, EX052.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["16.1 Los documentos de los que es responsable un téc"]
  N2["16.2 La seguridad física es lo primero y corresponde"]
  N3["16.3 Dispositivos y soportes transitorios"]
  N4["16.4 Secretos e información sensible"]
  N5["16.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX052"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["16.1 Los documentos de los que es responsable un téc"]
  N2["16.2 La seguridad física es lo primero y corresponde"]
  N3["16.3 Dispositivos y soportes transitorios"]
  N4["16.4 Secretos e información sensible"]
  N5["16.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX052"]

[Resultados de aprendizaje y conexión]
    |
    v
[16.1 Los documentos de los que es responsable un téc]
    |
    v
[16.2 La seguridad física es lo primero y corresponde]
    |
    v
[16.3 Dispositivos y soportes transitorios]
    |
    v
[16.4 Secretos e información sensible]
    |
    v
[16.6 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX052]

Resultados de aprendizaje y conexión

Al terminar este capítulo debería ser capaz de:

• redactar documentos técnicos que otro técnico pueda ejecutar con seguridad: instrucciones de trabajo, registros de diagnóstico, registros de cambio y registros de la configuración tal como se construyó;
• integrar la seguridad física y del proceso en el trabajo técnico: permisos, aislamiento, la autoridad de operaciones y las condiciones de parada;
• controlar los dispositivos transitorios (portátiles y soportes extraíbles que se llevan a las instalaciones) para que no transporten malware ni datos entre zonas;
• mantener los secretos fuera de los documentos.

Los capítulos 1–15 produjeron hallazgos, cambios y evidencia. Este capítulo trata de los documentos que hacen que ese trabajo sea repetible y seguro, y de las reglas de seguridad física que prevalecen sobre cualquier plan técnico.

16.1 Los documentos de los que es responsable un técnico

Redacte los pasos como acciones en imperativo con un resultado observable: «Ejecute sshd -T | grep -i passwordauthentication; se espera passwordauthentication no». Un paso sin resultado esperado no puede comprobarse, y un documento que no puede comprobarse se irá alejando de la realidad.

16.2 La seguridad física es lo primero y corresponde a operaciones

En una planta de agua, una subestación o una sala de máquinas de un hospital, las personas responsables del proceso físico tienen autoridad sobre él. El trabajo de un técnico allí empieza con su permiso y se detiene a petición suya. Reglas prácticas:

• Permisos y aislamiento: el trabajo en los equipos del proceso o cerca de ellos sigue los procedimientos de permiso de trabajo y de aislamiento de la instalación; una tarea de seguridad no le exime.
• Los sistemas de protección y de seguridad funcional nunca se tocan en un trabajo de ciberseguridad: relés de protección de una subestación, sistemas instrumentados de seguridad, alarmas de gases medicinales.
• Informe antes de actuar: la sala de control sabe cuándo empieza, qué está haciendo y cuándo termina.
• Las condiciones de parada se escriben en toda instrucción de trabajo (capítulo 5) y se respetan de inmediato.

NIST SP 800-82 Rev. 3 trata la relación entre la seguridad de la TO y la seguridad funcional (SP 800-82 Rev. 3); el Cyber Assessment Framework del NCSC del Reino Unido considera que el conocimiento que tiene el operador de sus funciones esenciales es un fundamento de la seguridad (NCSC CAF).

16.3 Dispositivos y soportes transitorios

Un portátil que visita las estaciones, el centro de control y la oficina corporativa es un puente a través de todas las zonas. Controles que puede aplicar un técnico:

• portátiles de ingeniería dedicados que nunca se unen a la red corporativa ni a internet;
• una imagen de referencia conocida y correcta, actualizada y analizada en un punto controlado antes de cada visita a una instalación;
• soportes extraíbles solo de un conjunto controlado, analizados antes de su uso, con un registro de dónde ha estado cada uno;
• ningún dispositivo personal en las redes de control;
• un registro de cada conexión hecha en una instalación (qué puerto, qué dispositivo, cuándo).

Los objetivos de rendimiento de CISA incluyen controles sobre los soportes extraíbles y sobre la configuración de los dispositivos (CISA CPGs).

16.4 Secretos e información sensible

Los documentos no deben contener contraseñas, claves privadas, tokens de API ni códigos de un solo uso. Escriba «credencial de la entrada de la bóveda kw-rtu-eng» en lugar de la credencial. Los diagramas de red, los mapas de registros y las exportaciones de cortafuegos de infraestructuras críticas son sensibles: guárdelos con control de acceso, compártalos según la necesidad de conocer y elimínelos de las incidencias que van a los proveedores. Este libro imprime algunos valores falsos solo porque son falsos.

El nombre de la entrada de la bóveda puede figurar sin riesgo en una incidencia de cambio, porque indica a un ingeniero autorizado dónde buscar sin revelar nada que un tercero pueda aprovechar. Los mapas de registros y las exportaciones de cortafuegos reales merecen el mismo cuidado que las credenciales, ya que juntos describen cómo puede cambiarse una estación y desde dónde.

16.5 Ejemplo resuelto: una instrucción de trabajo (sintético)

WI-KW-07 — Exportar la configuración de la RTU de KW-04 para la línea base de derivas. Condiciones previas: registro de cambio CHG-2219 aprobado; sala de control de Kestrel Water informada; portátil de ingeniería ENG-L3 analizado hoy (anotado en el registro de soportes). Pasos: (1) a las 10:00 hora local, llame a la sala de control; anote el nombre del operador. (2) En ENG-L3, abra la herramienta del fabricante en modo de solo lectura; resultado esperado: la barra de estado muestra «Online — read only». (3) Exporte la configuración a KW04-20261013.cfg; resultado esperado: tamaño del archivo entre 40 y 60 kB. (4) Ejecute sha256sum KW04-20261013.cfg; anote el resumen en CHG-2219. (5) Desconéctese; informe a la sala de control. Condiciones de parada: cualquier alarma en KW-04; la herramienta pide pasar a «online edit»; petición del operador. Reversión: no hace falta (solo lectura), pero si se sospecha alguna escritura, informe de inmediato a operaciones y abra un incidente. Evidencia: archivo, resumen, horas de las llamadas.

16.6 Actividad práctica

Redacte una instrucción de trabajo para el cambio del router de KW-04 de EX052, que incluya la conservación, el cambio, las pruebas positivas y negativas, la reversión y las condiciones de parada. Pida a otra persona que la lea y que enumere cada paso en el que tendría que adivinar. Incluya la conservación de la configuración del router antes del cambio, pruebas positivas y negativas después, los pasos de reversión y condiciones de parada que incluyan cualquier alarma de KW-04. Pida a un colega que marque cada paso en el que tendría que adivinar; esos pasos necesitan un resultado esperado o una captura de pantalla de la herramienta del fabricante. Guarde la copia revisada con el registro de cambio.

16.7 Errores comunes y límites

• Pasos sin resultados esperados.
• Documentos que contienen credenciales o se comparten demasiado.
• Tratar una visita a una instalación como una tarea de TI y saltarse el permiso o la llamada a la sala de control.
• Un portátil para todo.

• Documentación redactada después del trabajo, de memoria.

• Dejar fuera del procedimiento de la instalación la reversión de un cambio de regla de fw-01, de modo que un cambio fallido no tiene una vuelta atrás probada.

• Poner credenciales o exportaciones completas del cortafuegos en una incidencia de amplia difusión.
• Saltarse el permiso o la llamada a la sala de control porque la tarea parece TI corriente.
• Usar un mismo portátil para el trabajo corporativo, el del centro de control y el de las instalaciones.
• Redactar el documento de memoria después del trabajo.

Ejercicios — capítulo 16

EX061 — Repare una instrucción de trabajo. Objetivo: hacer ejecutables los pasos. Entradas: «Inicie sesión en la RTU (contraseña Kestrel2024!) y revise los ajustes. Corrija lo que esté mal. Avise a operaciones al terminar». Pasos: enumere los defectos y reescríbala. Evidencia esperada: lista de defectos e instrucción reescrita. Rúbrica: 3 = elimina la credencial (y recomienda rotarla, puesto que se ha escrito), añade condiciones previas, modo de solo lectura, resultados esperados, condiciones de parada, informa antes a operaciones, sustituye «corrija lo que esté mal» por un registro de cambio; 2 = la mayoría; 1 = cosmético; 0 = nada.

EX062 — Política de dispositivos transitorios. Objetivo: controlar un puente entre zonas. Entradas: un ingeniero usa el mismo portátil para el correo y para el trabajo en las estaciones. Pasos: redacte una política técnica breve y el plan de transición. Evidencia esperada: política y plan. Rúbrica: 3 = portátiles de ingeniería dedicados con una imagen controlada, sin uso corporativo ni de internet, comprobación previa a la visita, conjunto y registro de soportes, registro de conexiones; una transición que conserve los archivos de proyecto del portátil actual tras analizarlos; 2 = política sin transición; 1 = «tenga cuidado»; 0 = nada.

EX063 — Límites de seguridad física. Objetivo: reconocer lo que está fuera de los límites. Entradas: durante una visita a una subestación, encuentra un relé de protección con una contraseña web por defecto. Pasos: indique lo que hace y lo que no hace, y cómo lo registra. Evidencia esperada: procedimiento breve. Rúbrica: 3 = no iniciar sesión ni cambiarla; registrar la observación (dispositivo, hora, cómo se advirtió); comunicarlo al ingeniero de protecciones de Kestrel Grid y a la responsable de seguridad del KVROC; los ingenieros de protecciones deciden y actúan; hallazgo sensible tratado según la necesidad de conocer; 2 = acciones correctas, registro débil; 1 = cambia la contraseña; 0 = nada.

EX064 — Registro de la configuración tal como se construyó. Objetivo: documentar la realidad. Entradas: fw-01 tras la corrección de EX038 y hist-02 tras CHG-2207. Pasos: redacte un borrador del registro con versiones, resúmenes (se admiten marcadores), desviaciones y aprobaciones. Evidencia esperada: registro de una página. Rúbrica: 3 = indica la configuración real, incluye los resúmenes y dónde se guardan, enumera las desviaciones abiertas (REQ-3/4 antes de la corrección) con sus aprobaciones o incidencias, fechado y firmado; 2 = sin desviaciones; 1 = copia el diseño; 0 = nada.

Síntesis del capítulo

Los buenos documentos técnicos son ejecutables y comprobables: pasos numerados con resultados esperados, condiciones de parada, reversión y evidencia. La seguridad física y la autoridad de operaciones prevalecen sobre todo plan técnico; los sistemas de protección y de seguridad funcional quedan fuera de los límites. Los portátiles y los soportes que se desplazan entre zonas necesitan sus propios controles, y los secretos nunca deben figurar en los documentos.

Siga estudiando — capítulo 16 de 18

← Capítulo 15 · Índice de capítulos del curso · Capítulo 17 →

Continúe con la siguiente lección escrita.