Capítulo 11 — Infraestructura crítica y seguridad sectorial: activos y contexto

Capítulo 11 — Infraestructura crítica y seguridad sectorial: activos y contexto

Mapa de la lección

Lección 11 publicada. Mapa, ejemplo, EX031.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["11.1 Qué registrar y por qué"]
  N2["11.2 Las fuentes y sus puntos ciegos"]
  N3["11.3 Descubrimiento seguro en redes operativas"]
  N4["11.4 Conciliación"]
  N5["11.5 Activos sin soporte"]
  N6["11.7 Actividad práctica: conciliación de tres fuente"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX031"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["11.1 Qué registrar y por qué"]
  N2["11.2 Las fuentes y sus puntos ciegos"]
  N3["11.3 Descubrimiento seguro en redes operativas"]
  N4["11.4 Conciliación"]
  N5["11.5 Activos sin soporte"]
  N6["11.7 Actividad práctica: conciliación de tres fuente"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX031"]

[Resultados de aprendizaje y conexión]
    |
    v
[11.1 Qué registrar y por qué]
    |
    v
[11.2 Las fuentes y sus puntos ciegos]
    |
    v
[11.3 Descubrimiento seguro en redes operativas]
    |
    v
[11.4 Conciliación]
    |
    v
[11.5 Activos sin soporte]
    |
    v
[11.7 Actividad práctica: conciliación de tres fuente]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX031]

Resultados de aprendizaje y conexión

Al terminar este capítulo, usted debería ser capaz de:

• construir y mantener un inventario de activos para un servicio mixto de TI/TO a partir de varias fuentes;
• registrar para cada activo su responsable, función, criticidad, ubicación, versión de software o firmware, estado del soporte y dependencias;
• usar métodos de descubrimiento pasivos, seguros para las redes operativas;
• conciliar fuentes que discrepan y tratar la discrepancia como un hallazgo.

El capítulo 4 mostró cómo modelar un inventario. Este capítulo trata de llenarlo con veracidad. Los objetivos intersectoriales de desempeño de CISA incluyen mantener un inventario de activos, también de los activos de TO (CISA CPGs); no puede proteger, parchear ni monitorizar lo que no ha registrado.

11.1 Qué registrar y por qué

11.2 Las fuentes y sus puntos ciegos

Ninguna fuente es completa por sí sola. Los registros de compras y contratos saben qué se compró, pero no a dónde fue. Los registros de gestión de la configuración o de ingeniería conocen el diseño, pero pueden ir por detrás de la realidad. La observación de la red (tablas de los conmutadores, registros de flujo, un sensor pasivo) ve lo que habla, pero no lo que está en silencio. Los reconocimientos en la instalación ven lo que está físicamente presente, pero son caros y poco frecuentes. Los portales de los proveedores conocen las versiones de firmware de lo que soportan. Combine al menos dos fuentes y registre qué fuente dijo qué. PS-09 muestra por qué: solo los registros de flujo sabían que la estación se había quedado en silencio.

11.3 Descubrimiento seguro en redes operativas

El escaneo activo (enviar sondas a todas las direcciones) es rutinario en las redes de oficina y arriesgado en las redes de control: algunos controladores antiguos y dispositivos embebidos pueden comportarse mal o reiniciarse cuando se les sondea de forma inesperada. La guía de TO del NIST aconseja prudencia con el escaneo activo en entornos de TO y da preferencia a los métodos pasivos o a un trabajo activo cuidadosamente planificado y coordinado (NIST SP 800-82 Rev. 3). Para un implementador, la regla es: en la zona de estaciones, use fuentes pasivas (registros de flujo, tablas de los conmutadores, las exportaciones de configuración de los propios controladores realizadas por sus ingenieros), salvo que se haya acordado un método activo con operaciones, se haya probado en un equipo de repuesto y se haya programado.

11.4 Conciliación

Cuando las fuentes discrepan, la discrepancia es información. Un activo que figura en los registros de compras pero nunca se ha visto en la red puede estar en un armario, o conectado en algún lugar inesperado. Una dirección vista en los flujos pero ausente de todos los registros es un dispositivo desconocido. Una versión de firmware que difiere entre el registro de ingeniería y el portal del proveedor significa que uno de los dos es erróneo; y si lo es el registro de ingeniería, puede que se haya aplicado una corrección, o no, sin documentarla. Siga cada discrepancia como una incidencia con responsable hasta que se resuelva.

11.5 Activos sin soporte

Los servicios críticos suelen mantener equipos en funcionamiento después de que termine el soporte del proveedor, porque sustituirlos exige inversión, cortes y nueva certificación. El inventario debe hacerlo visible, con un plan de controles compensatorios para cada activo sin soporte: segmentación más estricta, listas de permitidos más rigurosas, monitorización adicional, repuestos y una fecha de sustitución a cargo de alguien con presupuesto. La RTU Kell R2 de PS-09, sin soporte desde el 2025-12-31 y todavía de criticidad 1, es el caso de Fallowmere. Su plan nombraría la entrada de la lista de permitidos del retransmisor y el conducto como los controles reforzados, la regla C como monitorización adicional, una RTU de repuesto en poder de Agua y una fecha de sustitución a cargo de Operaciones de Agua, que gestiona el presupuesto de inversión.

11.6 Ejemplo resuelto: conciliar PS-09 (sintético)

Tres fuentes describen la estación de bombeo PS-09. El registro de compras incluye una RTU Kell R2 comprada en 2017. El registro de ingeniería indica el firmware 1.1 y el responsable "Water Ops". Los registros de flujo muestran a 10.20.0.13 comunicándose con el retransmisor hasta hace tres semanas, y nada desde entonces (la estación en silencio del capítulo 2). El inventario (capítulo 4) no tiene responsable para PS09-RTU y registra que el soporte del proveedor terminó el 2025-12-31. Usted registra cuatro discrepancias: falta el responsable en el inventario, pero figura en el registro de ingeniería (corrija el registro, después de confirmarlo con Water Ops); soporte terminado (necesita un plan de controles compensatorios); estación en silencio (problema operativo, planteado a Operaciones de Agua el mismo día); y firmware no verificado de forma independiente (pida al ingeniero de Agua que exporte la configuración de la RTU en la próxima visita a la instalación; capítulo 28).

11.7 Actividad práctica: conciliación de tres fuentes

Con el inventario del Lab 4 y los flujos del Lab 2, enumere cada activo o dirección que aparece en una fuente pero no en la otra, y cada atributo que difiere. Para cada uno, escriba la siguiente acción y el responsable. No sondee ningún dispositivo para resolver una discrepancia; pregunte al responsable. Cuente con que la RTU de PS-09 en 10.20.0.13 aparezca en ambas fuentes, pero con discrepancias: presente en el inventario, en silencio en los flujos. Cuente también con que los flujos del Lab 2 muestren direcciones que faltan en el inventario, como la estación de trabajo corporativa 10.40.3.7; registre su responsable como una pregunta para Ingeniería de Agua, no como una suposición.

11.8 Errores frecuentes y límites

• Tratar una sola fuente como el inventario.
• Hacer escaneos activos en redes de control «solo para asegurarse».
• Registrar a una persona como responsable en lugar de una función.
• Registrar el firmware una vez y no volver a verificarlo nunca.
• Enumerar los activos sin soporte sin controles compensatorios ni responsable de la sustitución.
• Ocultar las discrepancias para que el inventario parezca completo.

Un inventario es un modelo de la realidad, siempre algo desactualizado. Su calidad se mide por lo reciente que es la verificación de cada registro y por la rapidez con que se cierran las discrepancias. El módem celular de PS-07, descubierto solo mediante una visita a la instalación, es el argumento contra fiarse de una sola fuente.

Ejercicios — capítulo 11

EX031 — Concilie. Objetivo: encontrar discrepancias entre fuentes. Entradas: el inventario del Lab 4 y los flujos del Lab 2. Restricciones: solo las zonas de estaciones, del retransmisor y corporativa. Pasos: (1) enumere las direcciones de los flujos sin registro en el inventario (suponga que el inventario asigna PS04-PLC a 10.20.0.11, PS07-PLC a 10.20.0.12, PS09-RTU a 10.20.0.13, RLY-01 a 10.30.0.5 y HIST-01 a 10.40.8.20); (2) enumere los activos del inventario en esas zonas que nunca se vieron en los flujos; (3) indique una acción y un responsable para cada uno. Evidencia esperada: tabla. Rúbrica: 3 = 10.40.3.7 (estación de trabajo corporativa, ausente del extracto) identificada como no registrada y como origen del Modbus no declarado; SW-STN-04 no vista (lo esperable en un conmutador; explíquelo); PS09-RTU en silencio; acciones con responsable; 2 = parcial; 1 = solo una lista; 0 = nada.

EX032 — Controles compensatorios. Objetivo: planificar para un activo sin soporte. Entradas: PS09-RTU, criticidad 1, soporte del proveedor terminado, presupuesto de sustitución disponible dentro de 14 meses. Restricciones: controles que FSTS y Agua pueden implementar sin correcciones del proveedor. Pasos: enumere cuatro controles compensatorios con evidencia para cada uno, y el responsable de la sustitución. Evidencia esperada: tabla. Rúbrica: 3 = conducto restringido solo al retransmisor y verificado, validación y cuarentena por rango en el retransmisor, alertas de silencio de estación y de valor inverosímil, unidad de repuesto o procedimiento manual probado, copia de seguridad de la configuración; sustitución a cargo de una función de Agua, con fecha; 2 = tres; 1 = «vigilarlo»; 0 = nada.

EX033 — Plan de descubrimiento. Objetivo: planificar un descubrimiento seguro. Entradas: Operaciones de Agua quiere una lista completa de los dispositivos de las 14 estaciones en tres meses. Restricciones: ningún escaneo activo sin acuerdo; como máximo dos visitas a instalaciones por semana. Pasos: (1) enumere las fuentes pasivas que usará primero; (2) indique cuándo estaría justificado un método activo y cómo lo haría seguro; (3) dé un calendario. Evidencia esperada: plan de una página. Rúbrica: 3 = primero las fuentes pasivas (flujos, tablas de los conmutadores, exportaciones de ingeniería, registros de compras); método activo solo con acuerdo de operaciones, probado en un repuesto, con limitación de ritmo, dentro de una ventana y con alguien en la instalación; calendario realista; 2 = plan sólido pero vago en cuanto a seguridad; 1 = «escanear la subred»; 0 = nada.

Síntesis del capítulo

Un inventario registra, para cada activo, qué es, dónde está, quién es su responsable, qué ejecuta, si tiene soporte, de qué depende y cuándo se verificó todo ello por última vez. Constrúyalo a partir de varias fuentes, haga el descubrimiento de forma segura en las redes de control, trate las discrepancias entre fuentes como hallazgos y dé a cada activo sin soporte controles compensatorios y un responsable de su sustitución.

Siga estudiando — capítulo 11 de 30

← Capítulo 10 · Índice de capítulos del curso · Capítulo 12 →

Continúe con la siguiente lección escrita.