Capítulo 15 — Notificar un incidente y primeras acciones | Técnico Seguridad de OT, IoT y sistemas ciberfísicos

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 15 publicada. Mapa, ejemplo, EX057.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["15.1 Primeros pasos"]
  N2["15.2 Una buena primera notificación"]
  N3["15.3 Preservar la evidencia"]
  N4["15.4 Comunicación"]
  N5["15.5 Obligaciones de notificación"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX057"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["15.1 Primeros pasos"]
  N2["15.2 Una buena primera notificación"]
  N3["15.3 Preservar la evidencia"]
  N4["15.4 Comunicación"]
  N5["15.5 Obligaciones de notificación"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX057"]

[Resultados de aprendizaje]
    |
    v
[15.1 Primeros pasos]
    |
    v
[15.2 Una buena primera notificación]
    |
    v
[15.3 Preservar la evidencia]
    |
    v
[15.4 Comunicación]
    |
    v
[15.5 Obligaciones de notificación]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX057]

Resultados de aprendizaje

Usted podrá (1) seguir los pasos de primera respuesta de HPFL; (2) redactar una primera notificación clara; y (3) explicar por qué la evidencia se preserva antes de empezar la recuperación.

15.1 Primeros pasos

Ponga a salvo a las personas: el supervisor decide si detener o aislar la parte afectada de la línea siguiendo los procedimientos habituales. Después llame al contacto para incidentes que figura en la hoja del emplazamiento. Anote lo que ve a medida que avanza. No intente eliminar el malware ni restaurar sistemas usted mismo. En HPFL el supervisor de noche pasó la línea a control local desde el panel y detuvo la envolvedora antes de que ocurriera nada más. Después Tomás fotografió la pantalla y llamó al contacto para incidentes. Seguir los pasos en orden mantiene a salvo a las personas y deja intacta la evidencia.

15.2 Una buena primera notificación

Responde a: qué advirtió, dónde, cuándo, qué dispositivos, qué está haciendo ahora la línea, qué se ha hecho hasta el momento y a quién ha avisado. Los hechos breves valen más que las teorías largas. NIST SP 800-82r3 subraya que la respuesta a incidentes de TO debe planificarse con operaciones, porque las acciones tomadas con pánico pueden dañar el proceso. En HPFL la notificación de Tomás cabía en una frase por punto y se envió en pocos minutos. Las correcciones posteriores se añadieron por escrito, sin modificar la primera notificación. Guarde una copia de cada notificación que envíe, con la hora.

15.3 Preservar la evidencia

Fotografíe las pantallas, lleve una cronología escrita y deje los dispositivos como están salvo que la seguridad exija lo contrario. Si hay que aislar un dispositivo, lo hace el ingeniero con un método planificado (por ejemplo, desactivando un puerto del conmutador) y anota exactamente cuándo. Mantenga la cronología escrita en el orden en que ocurrieron los hechos, con horas tomadas de una sola referencia, como su reloj, y anote cualquier diferencia de reloj conocida entre dispositivos. Las fotografías deben mostrar juntos el nombre del dispositivo y la pantalla. Guarde las fotografías junto con la cronología en un solo lugar.

15.4 Comunicación

Use la lista de contactos del emplazamiento. No publique nada sobre el incidente en redes sociales ni en grupos de chat. No contacte con proveedores ni autoridades por su cuenta salvo que se lo pida el responsable del incidente. En HPFL el responsable del incidente decide quién habla con proveedores, clientes y autoridades. Evite especular con los compañeros sobre la causa, porque los rumores se extienden rápido en la planta. Si alguien de fuera le pregunta por el incidente, remítalo al responsable del incidente. Use los teléfonos de la hoja del emplazamiento, no números guardados a título personal, porque esos se mantienen al día.

15.5 Obligaciones de notificación

Algunos sectores y países exigen notificar a los reguladores o a CISA en plazos fijados; de eso se encarga el responsable del incidente, pero es su cronología la que lo hace posible. En HPFL la cronología de Tomás, con sus horas y fotografías, dio al responsable del incidente lo necesario para cualquier notificación obligatoria. Manténgala exacta y completa, y transmita las correcciones al responsable por escrito en cuanto las detecte. Las horas son lo que más importa: cuándo se advirtió el evento, cuándo se notificó y cuándo se detuvo la línea. Anótelas en el momento en lugar de reconstruirlas después.

Ejemplo resuelto (HPFL sintética)

A las 03:10, HMI-1 muestra un mensaje de rescate. Tomás avisa al supervisor de noche, que pasa la línea a control local desde el panel y detiene la envolvedora. Tomás fotografía la pantalla y llama al contacto para incidentes a las 03:14. Su notificación dice: «03:10 pantalla de rescate en HMI-1; línea en control local, envolvedora detenida a las 03:12; no se han visto otras pantallas afectadas; no se ha desconectado nada; supervisor informado».

Caso sintético — HPFL. El incidente es inventado.

Errores y límites

Las listas de contactos se quedan desactualizadas; revíselas cada trimestre. Una primera notificación puede ser errónea; corríjala por escrito en lugar de borrarla.

Ejercicios — capítulo 15

EX057 — Ordenar los pasos. Ordene: llamar al contacto para incidentes; el supervisor pone la línea en condiciones seguras; fotografiar la pantalla; restaurar la HMI.
Mostrar criterios de evaluación
Rúbrica: 3 = seguridad, fotografía, llamada; la restauración, después y a cargo de los responsables; 2 = casi todo bien; 1 = restaurar primero; 0 = nada.
EX058 — Mejorar una notificación. Reescriba «la HMI está hackeada, seguramente son rusos» como una primera notificación basada en hechos.
Mostrar criterios de evaluación
Rúbrica: 3 = hora, dispositivo, observación, estado de la línea, acciones, a quién se avisó; sin especulación; 2 = parcial; 1 = sigue especulando; 0 = nada.
EX059 — Desconectar. Un compañero quiere desconectar de inmediato el cable de red de HMI-1. ¿Qué le dice?
Mostrar criterios de evaluación
Rúbrica: 3 = aislar solo a través del supervisor o el ingeniero, de forma planificada y registrada; seguridad y evidencia; 2 = esperar; 1 = hacerlo; 0 = nada.
EX060 — Quién notifica. ¿Quién decide si se notifica a los reguladores o a CISA?
Mostrar criterios de evaluación
Rúbrica: 3 = el responsable del incidente o la dirección; el técnico aporta la cronología; 2 = solo el responsable; 1 = el técnico solo; 0 = nada.

Síntesis del capítulo

Primero la seguridad; después, hechos registrados, evidencia preservada y llamada a las personas adecuadas; la recuperación viene luego.

Siga estudiando — capítulo 15 de 18

← Capítulo 14 (borrador) · Índice de capítulos del curso · Capítulo 16 (borrador) →