Capítulo 10 — Infraestructura crítica y seguridad sectorial: orientación

Capítulo 10 — Infraestructura crítica y seguridad sectorial: orientación

Mapa de la lección

Lección 10 publicada. Mapa, ejemplo, EX028.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["10.1 Qué hace que un servicio sea crítico"]
  N2["10.2 En qué se diferencian los sectores"]
  N3["10.3 Dependencias e interdependencias"]
  N4["10.4 Las obligaciones del operador y su parte en ell"]
  N5["10.6 Actividad práctica: tabla de consecuencias y pl"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX028"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["10.1 Qué hace que un servicio sea crítico"]
  N2["10.2 En qué se diferencian los sectores"]
  N3["10.3 Dependencias e interdependencias"]
  N4["10.4 Las obligaciones del operador y su parte en ell"]
  N5["10.6 Actividad práctica: tabla de consecuencias y pl"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX028"]

[Resultados de aprendizaje y conexión]
    |
    v
[10.1 Qué hace que un servicio sea crítico]
    |
    v
[10.2 En qué se diferencian los sectores]
    |
    v
[10.3 Dependencias e interdependencias]
    |
    v
[10.4 Las obligaciones del operador y su parte en ell]
    |
    v
[10.6 Actividad práctica: tabla de consecuencias y pl]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX028]

Resultados de aprendizaje y conexión

Al terminar este capítulo, usted debería ser capaz de:

• explicar qué hace que un servicio sea crítico: la consecuencia de su pérdida para las personas, para otros servicios y para la sociedad;
• describir en qué se diferencian el agua, la salud, la energía, el transporte y las finanzas en lo que protegen, en la rapidez con que llega el daño y en quién los regula;
• identificar las dependencias e interdependencias que convierten un fallo local en uno regional;
• situar su propio trabajo como implementador dentro de las obligaciones que asume un operador.

Los capítulos 1 a 9 construyeron capacidades generales. A partir de aquí, el libro las aplica específicamente a los servicios críticos. Este capítulo es de orientación: la forma del campo, lo suficiente para entender por qué un tecnólogo de FSTS debe pensar de manera distinta en una estación de bombeo, un hospital y unas cocheras de autobuses aunque los servidores se parezcan.

10.1 Qué hace que un servicio sea crítico

Un servicio es crítico cuando su interrupción dañaría gravemente la salud, la seguridad, la protección, la actividad económica o el funcionamiento de la sociedad. Los gobiernos lo formalizan de maneras distintas. Estados Unidos describe funciones críticas nacionales (funciones tan vitales que su interrupción tendría un efecto debilitante) en lugar de limitarse a listas de sectores (CISA National Critical Functions). La Directiva NIS2 de la Unión Europea establece obligaciones de gestión de riesgos de ciberseguridad y de notificación para entidades de sectores de alta criticidad (Directive (EU) 2022/2555), y la Directiva CER aborda la resiliencia física y, en sentido amplio, de las entidades críticas (Directive (EU) 2022/2557). Estos textos cambian; compruebe la versión vigente y cómo la aplica su jurisdicción. Este libro no ofrece asesoramiento jurídico.

Para un implementador, el significado práctico es más sencillo: la unidad de daño son las personas y el tiempo, no solo los registros de datos o el dinero. «41.000 personas sin información fiable sobre el agua durante seis horas» es el tipo de afirmación que debería orientar las prioridades.

10.2 En qué se diferencian los sectores

Las diferencias cambian las decisiones de implementación. Un parche en la pasarela de las bombas de infusión de un hospital necesita la conformidad de ingeniería clínica; un cambio de cortafuegos en una estación de bombeo puede necesitar una visita a la instalación y una ventana de corte; un quiosco de las cocheras normalmente puede reconstruirse el mismo día. Tratarlos todos con un único proceso de cambios de TI o bien ralentiza los cambios seguros, o bien precipita los peligrosos.

10.3 Dependencias e interdependencias

Los servicios críticos dependen unos de otros: el agua necesita electricidad para las bombas y telecomunicaciones para la telemetría; los hospitales necesitan agua, electricidad y telecomunicaciones; todos dependen de un número reducido de proveedores. El artículo clásico de Rinaldi y sus colegas clasifica las interdependencias en físicas, cibernéticas, geográficas y lógicas (Rinaldi, Peerenboom and Kelly, 2001). En FSTS, la interdependencia más importante es organizativa: el mismo equipo reducido, el mismo servidor de salto y los mismos proveedores atienden a los tres operadores. Una sola cuenta de administrador de FSTS comprometida alcanza a la vez el agua, la salud y el transporte.

10.4 Las obligaciones del operador y su parte en ellas

Los operadores de servicios esenciales suelen asumir obligaciones de gestionar el riesgo cibernético, notificar los incidentes significativos en plazos establecidos, mantener planes de continuidad y cooperar con las autoridades. Marcos como el Cyber Assessment Framework del NCSC del Reino Unido las expresan como resultados que deben alcanzarse (NCSC CAF); los objetivos intersectoriales de desempeño en ciberseguridad de CISA ofrecen una base de prácticas (CISA CPGs). Un implementador rara vez es titular de estas obligaciones, pero produce la mayor parte de la evidencia que las respalda: listas de activos, revisiones de accesos, registros, resultados de pruebas, cronologías de incidentes. Si esa evidencia llega tarde o es errónea, la notificación del operador llega tarde o es errónea.

10.5 Ejemplo resuelto: un fallo, tres clientes (sintético)

A las 02:10 falla un disco del servidor de salto de FSTS. Operaciones de Agua pierde la administración remota de los retransmisores, pero conserva la telemetría (los retransmisores siguen funcionando). Los ingenieros clínicos del hospital no pueden acceder a la pasarela de las bombas de infusión para cargar una actualización de la biblioteca de fármacos programada para las 06:00. Las cocheras no pueden enviar un cambio de horarios a los quioscos. El mismo fallo tiene tres consecuencias distintas con tres plazos distintos. El tecnólogo de guardia que lo reconoce llama primero a Ingeniería Clínica, porque la actualización de las 06:00 tiene una finalidad de seguridad del paciente, aunque Agua sea el cliente más grande.

10.6 Actividad práctica: tabla de consecuencias y plazos

Para cada cliente de Fallowmere, enumere tres sistemas gestionados por FSTS. Para cada sistema, escriba: qué pierden las personas si se detiene, con qué rapidez esa pérdida se vuelve dañina, quién decide la acción de emergencia y de qué otro sistema depende. Guarde esta tabla; el capítulo 11 la convierte en un inventario con dependencias. Para Fallowmere Community Hospital, una fila podría decir: pasarela de las bombas de infusión; pérdida, no pueden cargarse las actualizaciones de la biblioteca de fármacos; dañina en cuestión de horas si se pierde una actualización programada como la de las 06:00; decide Ingeniería Clínica; depende del servidor de salto de FSTS. Esa fila es la razón por la que, en el ejemplo resuelto, el fallo del servidor de salto se escaló al hospital antes que a Agua.

10.7 Errores frecuentes y límites

• Tratar todos los sistemas que gestiona un equipo de TI como si tuvieran la misma consecuencia.
• Medir el daño solo en datos o en dinero.
• Ignorar como dependencias a las personas, las herramientas y los proveedores compartidos.
• Citar la normativa de memoria; su alcance y sus plazos cambian y difieren según la jurisdicción.
• Suponer que el implementador no tiene ningún papel en las obligaciones del operador.

El fallo del servidor de salto muestra juntos el primer y el tercer error: un único equipo compartido de FSTS tuvo tres consecuencias con tres plazos.

Medir el daño solo en dinero habría situado a Agua en primer lugar aquella noche, por ser el cliente más grande, y habría pasado por alto la actualización de la biblioteca de fármacos de las 06:00.

Ejercicios — capítulo 10

EX028 — La consecuencia en personas y tiempo. Objetivo: expresar el daño en unidades de servicio. Entradas: el escenario del capítulo 10 («Ejemplo resuelto: un fallo, tres clientes»). Restricciones: solo cifras sintéticas; indique los supuestos. Pasos: para cada cliente, escriba una frase del tipo «N personas pierden X durante T, lo que se vuelve dañino al cabo de D porque…». Evidencia esperada: tres frases con supuestos. Rúbrica: 3 = tres afirmaciones concretas, verosímiles y con los supuestos señalados, que muestran plazos distintos e identifican el plazo de seguridad del paciente del hospital como el más temprano; 2 = una genérica; 1 = todo en dinero; 0 = nada.

EX029 — Mapa de dependencias compartidas. Objetivo: encontrar las interdependencias que crea un servicio compartido. Entradas: FSTS gestiona un servidor de salto, un SIEM, un directorio de identidades y un sistema de copias de seguridad para los tres clientes; Kell suministra las RTU de agua, y BayTel transporta la telemetría del agua y la conexión a internet del hospital. Restricciones: use los cuatro tipos de Rinaldi. Pasos: (1) clasifique cada dependencia; (2) nombre el fallo único de efecto más amplio; (3) proponga un cambio para reducirlo. Evidencia esperada: tabla y párrafo. Rúbrica: 3 = los sistemas compartidos de FSTS como cibernéticos/lógicos, BayTel como operador común cibernético/físico, el personal como lógico; el compromiso del directorio de identidades o del servidor de salto identificado como el más amplio; un cambio práctico como niveles privilegiados por cliente o un segundo camino de operador para la telemetría; 2 = clasificación débil; 1 = solo una lista; 0 = nada.

EX030 — La evidencia que usted debe. Objetivo: conectar el trabajo diario con las obligaciones del operador. Entradas: los CPG de CISA o el CAF del NCSC (elija uno; cite la versión que leyó). Restricciones: tres resultados u objetivos. Pasos: para cada uno, nombre la evidencia que produce un tecnólogo de FSTS, con qué frecuencia y dónde se guarda. Evidencia esperada: tabla con la cita. Rúbrica: 3 = tres resultados u objetivos citados correctamente (por ejemplo, inventario de activos, MFA, recogida de registros), cada uno con evidencia concreta producida con regularidad; 2 = evidencia vaga; 1 = sin cita; 0 = nada.

Síntesis del capítulo

Un servicio es crítico por lo que su pérdida causa a las personas, medido en personas y tiempo. Los sectores se diferencian en lo que protegen primero y en la rapidez con que llega el daño, así que el mismo fallo técnico necesita respuestas distintas. Los servicios compartidos como FSTS crean interdependencias a través de las personas, las herramientas y los proveedores. Los operadores asumen las obligaciones legales; los implementadores producen la mayor parte de la evidencia que muestra que se cumplen.

Siga estudiando — capítulo 10 de 30

← Capítulo 09 · Índice de capítulos del curso · Capítulo 11 →

Continúe con la siguiente lección escrita.