Capítulo 6 — Infraestructura crítica y seguridad sectorial: modelo del sistema

Capítulo 6 — Infraestructura crítica y seguridad sectorial: modelo del sistema

Mapa de la lección

Lección 06 publicada. Mapa, ejemplo, EX021.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["6.1 Zonas y conductos"]
  N2["6.2 Qué registrar de cada elemento"]
  N3["6.3 Diferencias entre sectores que importan ante el"]
  N4["6.5 Actividad práctica"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX021"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["6.1 Zonas y conductos"]
  N2["6.2 Qué registrar de cada elemento"]
  N3["6.3 Diferencias entre sectores que importan ante el"]
  N4["6.5 Actividad práctica"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX021"]

[Resultados de aprendizaje y conexión]
    |
    v
[6.1 Zonas y conductos]
    |
    v
[6.2 Qué registrar de cada elemento]
    |
    v
[6.3 Diferencias entre sectores que importan ante el]
    |
    v
[6.5 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX021]

Resultados de aprendizaje y conexión

Al terminar este capítulo debería ser capaz de:

• construir un modelo técnico del sistema de un servicio crítico: activos, zonas, conductos, protocolos, límites de confianza y la consecuencia física que puede causar cada zona;
• usar el vocabulario de zonas y conductos de ISA/IEC 62443 en el nivel de un técnico;
• describir en qué se diferencian técnicamente los servicios de agua, sanitarios y eléctricos: protocolos, tiempos, sistemas de seguridad funcional y quién puede cambiar qué;
• señalar en el modelo dónde se situarán los controles y las detecciones de cada capítulo posterior.

Los capítulos 1–5 fueron los fundamentos generales. A partir de aquí, el curso los aplica a los sectores críticos. El modelo del sistema es el mapa del técnico: sin él, una regla de cortafuegos, una detección o un paso de diagnóstico no tienen nada a lo que referirse.

6.1 Zonas y conductos

La serie ISA/IEC 62443 agrupa los activos con requisitos de seguridad similares en zonas y las rutas de comunicación entre ellas en conductos (ISA/IEC 62443 overview). Las reglas prácticas que aplica un técnico:

• cada activo pertenece exactamente a una zona;
• cada comunicación permitida entre zonas es un conducto declarado, con finalidad, protocolo, sentido y responsable;
• lo que no está declarado no está permitido y, si se observa, es un hallazgo (el Lab 17 y el capítulo 11 lo verifican);
• la protección de una zona debe corresponder a la peor consecuencia física de los activos que contiene.

La forma común de un sistema de supervisión (campo, control, supervisión, DMZ de operaciones, empresa) aparece en NIST SP 800-82 Rev. 3 como arquitectura de ejemplo (SP 800-82 Rev. 3). Úsela como vocabulario, no como plantilla: una instalación real tiene excepciones históricas, y la tarea del modelo es mostrarlas.

6.2 Qué registrar de cada elemento

De cada activo: nombre, dirección, función, zona, responsable, versiones de software y firmware, protocolos que habla, método de gestión y la consecuencia física de su pérdida o de su uso indebido. De cada conducto: zona de origen, zona de destino, protocolo y puerto, sentido de iniciación, finalidad, responsable, punto de aplicación (qué regla de cortafuegos) y punto de supervisión (qué sensor lo ve). De cada límite de confianza: qué lo atraviesa y qué comprobaciones se hacen en él. De eng-ws-15, registre que puede programar las RTU y que su pérdida o su uso indebido tiene consecuencias en toda la zona. Para cada conducto, nombre la regla de cortafuegos que debería aplicarlo y el sensor que debería verlo, para que una verificación posterior sepa dónde mirar. No deje ningún activo sin zona ni ninguna ruta permitida sin responsable del conducto.

6.3 Diferencias entre sectores que importan ante el teclado

• Agua: estaciones muy dispersas con enlaces celulares o de radio; telemetría Modbus o DNP3; largas vidas útiles de los equipos; operadores pequeños con personal limitado. Las consecuencias incluyen la pérdida de presión, los desbordamientos y la dosificación química incorrecta. El aviso de CISA sobre los ataques contra PLC Unitronics expuestos a internet en sistemas de agua recuerda que la exposición más las credenciales por defecto bastan (CISA AA23-335A).
• Electricidad: subestaciones con relés de protección cuyos tiempos se miden en milisegundos; telecontrol DNP3 o IEC 60870-5-104 hacia un centro de control; IEC 61850 dentro de las subestaciones modernas; separación estricta entre las funciones de protección y las de supervisión. Un técnico nunca cambia los ajustes de protección; pertenecen a los ingenieros de protecciones.
• Sanidad: sistemas de gestión del edificio (ventilación, presión en las habitaciones de aislamiento, supervisión de los gases medicinales), redes de dispositivos clínicos y sistemas de TI en un mismo edificio, que a menudo comparten infraestructura; las paradas afectan directamente a los pacientes y los cambios están sujetos a la ingeniería clínica y a las instrucciones de los fabricantes de los dispositivos.

En los tres, los sistemas instrumentados de seguridad y las funciones de protección están diseñados para actuar con independencia del sistema de supervisión. El modelo del técnico los muestra como zonas separadas y nunca encamina tráfico de gestión a través de ellos.

6.4 Ejemplo resuelto: el modelo del KVROC (sintético)

Entre los conductos declarados están: C1 Z2 scada-01 → Z1 tcp/502 sondeos de lectura; C2 Z2 eng-ws-15 → Z1 tcp/502 escrituras durante ventanas aprobadas; C3 Z5 jump-01 → Z2 tcp/22; C4 Z2 hist-02 → servidor de informes de Z6, envío HTTPS del CSV diario. El Lab 2 ya mostró una ruta no declarada: puesto de Z6 → Z1 tcp/502. En el modelo aparece como una línea roja con una pregunta: ¿qué regla la permite y desde cuándo? El capítulo 10 lo responde.

6.5 Actividad práctica

Amplíe el modelo con dos conductos para Z3 (de fep-01 a la estación remota y la ruta de soporte remoto del proveedor) y uno para Z4. Para cada uno, registre la finalidad, el protocolo, el iniciador, el responsable, el punto de aplicación y el punto de supervisión. Señale qué conductos podría aprovechar un único equipo de Z5 comprometido. Para la ruta de soporte remoto del proveedor hacia Z3, registre si termina en el servidor de salto o llega directamente a la estación remota. Para Z4, indique que el KVROC solo tiene acceso de lectura. Enumere después cuáles de esos conductos podría abrir un servidor de salto comprometido en Z5 y qué controles seguirían aplicándose.

6.6 Errores comunes y límites

• Zonas dibujadas por subred IP en lugar de por consecuencia y confianza.
• Conductos sin responsable ni finalidad, que nadie podrá retirar más tarde.
• Omitir la zona de gestión porque es «TI».
• Modelar el sistema de seguridad funcional como un controlador normal.
• Un modelo que nunca se compara con el tráfico observado; el capítulo 11 lo hace.

• Copiar el modelo de zonas de otra instalación sin comprobar cuáles de sus conductos existen realmente en esta.

• Dibujar las zonas solo por subred cuando dos equipos de la misma subred tienen consecuencias distintas.

• Poner una función de seguridad funcional o de protección en la misma zona que los controladores de supervisión corrientes.

Ejercicios — capítulo 6

EX021 — Sitúe los activos. Objetivo: asignar zonas según la consecuencia. Entradas: un router celular en KW-06; la pasarela de soporte remoto del proveedor para SS-3; el servidor de informes; un portátil que usan los ingenieros de Kestrel Water en las estaciones. Pasos: asigne cada uno a una zona (existente o nueva) y justifíquelo. Evidencia esperada: cuatro ubicaciones. Rúbrica: 3 = router en el límite de Z1, con su gestión tratada como privilegio de nivel Z5; pasarela del proveedor en su propia zona de acceso remoto, no en Z3; servidor de informes en Z6; portátil de ingeniería como activo transitorio con sus propios controles (capítulo 16); 2 = una débil; 1 = solo por subred; 0 = nada.

EX022 — Redacte un conducto. Objetivo: declarar una ruta por completo. Entradas: hist-02 debe enviar un CSV diario al servidor corporativo de informes. Pasos: escriba la entrada del conducto con todos sus campos. Evidencia esperada: una entrada completa. Rúbrica: 3 = iniciado desde Z2 hacia fuera (envío, no extracción desde la red corporativa), HTTPS hacia un equipo y un puerto nombrados, finalidad, responsable, regla de aplicación y punto de supervisión nombrados, fecha de revisión; 2 = falta uno; 1 = «permitir hist hacia corporativa»; 0 = nada.

EX023 — Contraste entre sectores. Objetivo: reconocer las diferencias técnicas. Entradas: una propuesta de aplicar el mismo calendario semanal de parches y reinicios a scada-01, al procesador de comunicaciones de SS-3 y al servidor del BMS del hospital. Pasos: explique para cada sector qué debe comprobarse primero. Evidencia esperada: tres párrafos breves. Rúbrica: 3 = agua: redundancia e interrupción del sondeo; red eléctrica: ventanas de telecontrol acordadas con la sala de control de la red, sin efecto sobre la protección; hospital: restricciones de la ingeniería clínica y del fabricante, continuidad de las alarmas de ventilación; 2 = genérico; 1 = acepta un único calendario; 0 = nada.

EX024 — Modelo frente a captura. Objetivo: comparar lo declarado con lo observado. Entradas: la salida del Lab 2 y la lista de conductos de 6.4. Pasos: enumere cada flujo observado que no explique un conducto declarado. Evidencia esperada: lista con motivos. Rúbrica: 3 = las escrituras del puesto corporativo (sin conducto), posiblemente la consulta de identificación del dispositivo si ningún conducto la cubre, las tramas mal formadas desde scada-01 como anomalía que explicar; 2 = solo las escrituras; 1 = no encuentra ninguno; 0 = nada.

Síntesis del capítulo

El modelo del sistema reúne activos, zonas, conductos y consecuencias en un único mapa. Dice lo que debería ocurrir, de modo que cualquier otra cosa se vuelve visible como hallazgo. Los sectores difieren en protocolos, tiempos y en quién puede cambiar qué, y las funciones de seguridad funcional y de protección se mantienen separadas de todo lo que toca un técnico.

Siga estudiando — capítulo 06 de 18

← Capítulo 05 · Índice de capítulos del curso · Capítulo 07 →

Continúe con la siguiente lección escrita.