Capítulo 16 — Recuperación y vuelta a la producción
Mapa de la lección
Lección 16 publicada. Mapa, ejemplo, EX061.
flowchart TD
N0["Resultados de aprendizaje"]
N1["16.1 Orden de la recuperación"]
N2["16.2 Verificación antes de volver a arrancar"]
N3["16.3 Vigilar después"]
N4["16.4 Lecciones aprendidas"]
N5["16.5 Conservación de registros"]
N6["16.6 Comunicar el rearranque"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX061"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["16.1 Orden de la recuperación"]
N2["16.2 Verificación antes de volver a arrancar"]
N3["16.3 Vigilar después"]
N4["16.4 Lecciones aprendidas"]
N5["16.5 Conservación de registros"]
N6["16.6 Comunicar el rearranque"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX061"]
[Resultados de aprendizaje]
|
v
[16.1 Orden de la recuperación]
|
v
[16.2 Verificación antes de volver a arrancar]
|
v
[16.3 Vigilar después]
|
v
[16.4 Lecciones aprendidas]
|
v
[16.5 Conservación de registros]
|
v
[16.6 Comunicar el rearranque]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX061]
Resultados de aprendizaje
Usted podrá (1) describir los pasos para restablecer una línea tras un incidente; (2) verificar los sistemas restaurados antes de volver a arrancar; y (3) explicar por qué las lecciones aprendidas deben cambiar algo.
16.1 Orden de la recuperación
La recuperación la planifican el responsable del incidente, el ingeniero de control y operaciones. Normalmente: confirmar que la causa está contenida, reconstruir los ordenadores afectados a partir de imágenes en buen estado conocido, restaurar los programas de los PLC desde copias verificadas (capítulo 11), cambiar las contraseñas que puedan estar expuestas y, después, probar. En HPFL, HMI-1 se reconstruyó a partir de la imagen del fabricante, los programas de ambos PLC se compararon con copias coincidentes y se cambió la contraseña de administrador. Seguir este orden evita volver a arrancar con un problema aún presente. Cada paso se anota con su hora y la persona que lo hizo.
16.2 Verificación antes de volver a arrancar
Compare los programas restaurados de los PLC con las copias verificadas, compruebe que las pantallas de la HMI muestran valores correctos frente a los indicadores locales, confirme que las reglas del cortafuegos coinciden con la tabla aprobada y haga pasar la línea en vacío por un ciclo de prueba. Calidad da su conformidad antes de que se procese producto. En HPFL el ciclo de prueba funcionó en vacío durante 30 minutos y calidad dio su conformidad a las 11:20, antes de reanudar la producción. Anote cada comprobación y su resultado en el expediente del incidente. Si alguna comprobación falla, la línea no vuelve a arrancar hasta que se entienda la causa. El expediente muestra entonces quién aprobó el rearranque y con qué evidencias.
16.3 Vigilar después
A veces los atacantes vuelven. Durante los días posteriores al rearranque, vigile más de cerca los inicios de sesión, las sesiones remotas y los dispositivos nuevos, y notifique de inmediato cualquier cosa inusual. Acuerde con el supervisor cuánto dura el periodo de vigilancia y quién revisa los registros cada día. En HPFL la reunión de lecciones aprendidas encontró un puerto de escritorio remoto accesible desde internet abierto por un contratista, lo que hace especialmente importante vigilar de cerca las sesiones remotas. Notifique cualquier cosa inusual al responsable del incidente, no solo a su turno. Anote en el expediente del incidente la fecha de fin del periodo de vigilancia para que no caduque sin que nadie lo note.
16.4 Lecciones aprendidas
Una reunión breve en las dos semanas siguientes responde a: qué ocurrió, qué funcionó, qué no y qué cambia. Cada cambio tiene un responsable y una fecha. Una sesión de lecciones aprendidas que no cambia nada ha fracasado. En HPFL la reunión de lecciones aprendidas encargó al responsable de la red cerrar el puerto de escritorio remoto de HMI-1 y hacer una comprobación mensual. Cada acción se sigue hasta que está hecha y se demuestra eficaz, y las actas de la reunión se guardan con el expediente del incidente. Invite a los operadores que estaban de turno; a menudo saben qué funcionó.
16.5 Conservación de registros
Guarde juntos la cronología, las fotografías, las decisiones y los resultados de las pruebas. Sirven para el seguro, los reguladores y la próxima mejora. Guarde los registros juntos en una sola carpeta o ticket, con el acceso limitado a quienes los necesitan. Incluya la primera notificación, sus correcciones, las fotografías y los resultados del ciclo de prueba. Así el siguiente recorrido podrá comprobar si se aplicaron las lecciones. Conserve los registros durante el tiempo que exija la política del emplazamiento y anote quién puede leerlos. Cuando una aseguradora o un regulador haga una pregunta meses después, la respuesta debe salir de estos registros y no de la memoria, que se desvanece rápido.
16.6 Comunicar el rearranque
Explique a cada turno qué ha cambiado: contraseñas nuevas, pantallas que se ven distintas y qué señales inusuales deben notificarse durante el periodo de vigilancia. En HPFL eso supuso decir a cada turno que la contraseña de administrador había cambiado y que debían notificarse las sesiones remotas inesperadas o los dispositivos nuevos. Una nota breve por escrito junto a HMI-1, sin contraseñas, ayuda a quienes se perdieron la sesión informativa. Informe en persona a los dos turnos siguientes si es posible y pídales que confirmen que lo han entendido. Las preguntas que surgen en estas sesiones suelen mostrar dónde debe aclararse el procedimiento, así que anótelas también.
Ejemplo resuelto (HPFL sintética)
Tras el incidente del rescate, HMI-1 se reconstruye a partir de la imagen del fabricante; los programas de ambos PLC se comparan con copias coincidentes y no presentan cambios. Se cambia la contraseña de administrador. Un ciclo de prueba funciona en vacío durante 30 minutos, calidad da su conformidad a las 11:20 y se reanuda la producción. La reunión de lecciones aprendidas descubre que HMI-1 tenía un puerto de escritorio remoto accesible desde internet abierto por un contratista; la acción (cerrarlo y añadir una comprobación mensual) se asigna al responsable de la red.
Caso sintético — HPFL. La recuperación es inventada.
Errores y límites
Restaurar una copia hecha después del compromiso vuelve a cargar el problema; importan las fechas y los hashes verificados. La presión para volver a arrancar rápido es real; el ciclo de prueba no es negociable.
Ejercicios — capítulo 16
- EX061 — Orden de la recuperación. Ordene: ciclo de prueba; reconstruir la HMI; conformidad de calidad; cambiar contraseñas; confirmar la contención. Rúbrica: 3 = contención, reconstrucción, contraseñas, prueba, conformidad; 2 = casi todo; 1 = al azar; 0 = nada.
- EX062 — Comprobaciones de verificación. Nombre tres comprobaciones antes de volver a arrancar la línea. Rúbrica: 3 = programas frente a copia verificada, HMI frente a indicadores, reglas del cortafuegos, ciclo de prueba en vacío; 2 = dos; 1 = una; 0 = nada.
- EX063 — Copia inadecuada. ¿Por qué podría ser un error restaurar una copia del día del incidente? Rúbrica: 3 = puede contener el cambio del atacante; usar una copia verificada anterior al incidente; 2 = parcial; 1 = no hay problema; 0 = nada.
- EX064 — Convertir una lección en acción. Escriba la acción de la reunión de lecciones aprendidas de HPFL con forma de responsable y fecha. Rúbrica: 3 = cerrar el puerto RDP más comprobación mensual, responsable de la red, fecha; 2 = sin responsable o fecha; 1 = «tener cuidado»; 0 = nada.
Síntesis del capítulo
Recupere en orden, verifique antes de volver a arrancar, vigile después y convierta las lecciones en acciones con responsable.
Siga estudiando — capítulo 16 de 18
← Capítulo 15 (borrador) · Índice de capítulos del curso · Capítulo 17 (borrador) →