Capítulo 18 — Infraestructura crítica y seguridad sectorial: controles
Mapa de la lección
Lección 18 publicada. Mapa, ejemplo, EX052.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["18.1 Del escenario al conjunto de controles"]
N2["18.2 Los catálogos como listas de comprobación de la"]
N3["18.3 Cualidades de la implementación"]
N4["18.4 Un control que es un proceso: el ciclo de vida"]
N5["18.5 Evidencia de que un control funciona"]
N6["18.7 Actividad práctica: manual de operación para la"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX052"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["18.1 Del escenario al conjunto de controles"]
N2["18.2 Los catálogos como listas de comprobación de la"]
N3["18.3 Cualidades de la implementación"]
N4["18.4 Un control que es un proceso: el ciclo de vida"]
N5["18.5 Evidencia de que un control funciona"]
N6["18.7 Actividad práctica: manual de operación para la"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX052"]
[Resultados de aprendizaje y conexión]
|
v
[18.1 Del escenario al conjunto de controles]
|
v
[18.2 Los catálogos como listas de comprobación de la]
|
v
[18.3 Cualidades de la implementación]
|
v
[18.4 Un control que es un proceso: el ciclo de vida]
|
v
[18.5 Evidencia de que un control funciona]
|
v
[18.7 Actividad práctica: manual de operación para la]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX052]
Resultados de aprendizaje y conexión
Al terminar este capítulo, usted debería ser capaz de:
- seleccionar controles para un escenario asignando la causa y el camino a las funciones de prevenir, detectar y recuperar;
- implementar un control de modo que tenga responsable, documentación, posibilidad de prueba y monitorización;
- usar un catálogo de controles como NIST SP 800-53 para comprobar la exhaustividad sin copiarlo entero;
- gestionar el ciclo de vida de una clave como ejemplo de control que es un proceso, no un ajuste.
El capítulo 5 presentó las fichas de control; el capítulo 13 produjo escenarios. Este capítulo los conecta: qué controles necesita LANTERN, cómo implementar cada uno para que siga siendo eficaz y cómo demostrar que lo es.
18.1 Del escenario al conjunto de controles
Para cada escenario principal, recorra su camino paso a paso y pregúntese en cada paso: ¿qué podría impedir este paso, qué lo detectaría y qué permitiría recuperarse de él? Para R2 (una credencial de proveedor robada que se usa para cambiar el punto de consigna de dosificación de PS-07, capítulo 13), los pasos son: credencial robada → se usa para iniciar sesión → alcanza el sistema de control → cambia el punto de consigna → cambia la calidad del agua. Los controles se asocian a cada paso: MFA resistente al phishing y habilitación limitada en el tiempo (impedir el uso); registro de sesiones y alertas ante inicios de sesión del proveedor fuera de una ventana aprobada (detectar); límites de los puntos de consigna diseñados en el PLC (impedir el daño); alerta de telemetría de LANTERN cuando el cloro sale de su banda (detectar el efecto); procedimiento de dosificación manual y muestreo de la calidad del agua (recuperar). La defensa en profundidad (capítulo 8) es el resultado de hacer este recorrido con honestidad.
18.2 Los catálogos como listas de comprobación de la exhaustividad
Los catálogos de controles (NIST SP 800-53 Rev. 5 es el más completo, NIST SP 800-53) describen los controles por familias: control de acceso, auditoría y rendición de cuentas, gestión de la configuración, planificación de contingencias, respuesta a incidentes, protección de sistemas y comunicaciones, y otras. Use un catálogo después del recorrido del escenario para preguntarse «¿hemos olvidado alguna familia?», no como una lista que haya que implantar entera. En TO, contraste los controles del catálogo con las restricciones operativas descritas en NIST SP 800-82, que ofrece orientación específica para TO y una superposición (overlay) para SP 800-53 (NIST SP 800-82 Rev. 3).
18.3 Cualidades de la implementación
Es habitual un control que existe el primer día y es ineficaz el día noventa. Implemente cada control con cinco cualidades:
- Con responsable: un rol que lo mantiene y responde de él.
- Documentado: una ficha de control (capítulo 5) que diga qué hace, dónde y cómo falla.
- Configurado como código cuando sea posible, para que su estado deseado esté bajo control de versiones y la deriva pueda detectarse (capítulo 22).
- Comprobable: una forma segura de demostrar que funciona, ejecutada de forma programada (capítulo 23).
- Monitorizado: una señal cuando deja de funcionar: un latido, un recuento, una comprobación de salud.
18.4 Un control que es un proceso: el ciclo de vida de las claves
Las claves HMAC de LANTERN (capítulo 15) muestran por qué algunos controles son procesos. Cada clave de estación debe generarse con una fuente aleatoria criptográficamente segura; distribuirse a la pasarela de la estación y al retransmisor por una vía protegida; almacenarse donde solo pueda leerla el servicio previsto; rotarse de forma programada y cuando se marche personal con acceso; revocarse cuando se retire una estación o una clave pueda haber quedado expuesta; y registrarse: qué versión de clave está activa y dónde, sin registrar la propia clave. Una clave que nunca se ha rotado es una clave cuya exposición no detectaría. La rotación debe ensayarse: si las estaciones y el retransmisor discrepan sobre la clave activa, todos los mensajes fallan en la comprobación del MAC y la estación queda en silencio.
18.5 Evidencia de que un control funciona
La evidencia difiere según el tipo de control. Para un control de configuración (SSH vinculado a la interfaz de gestión), la evidencia es el resultado de la comprobación de deriva y un intento de conexión, en una prueba, desde una dirección permitida y otra no permitida. Para un control detectivo, la evidencia es un evento de prueba que produjo una alerta en un tiempo medido. Para un control de proceso (revisión de accesos, rotación de claves), la evidencia es el registro fechado de la última ejecución y sus hallazgos. Para un control de recuperación, la evidencia es una restauración cronometrada. «Configurado» no es evidencia de que funcione.
18.6 Ejemplo resuelto: fichas de control para R2 (sintético)
| Control | Función | Responsable | Evidencia de que funciona | Monitorizado mediante |
|---|---|---|---|---|
| Cuenta de proveedor limitada en el tiempo, MFA | Prevenir | FSTS Security | Registro de habilitación; caducidad probada cada mes | Alerta ante inicio de sesión del proveedor fuera de la ventana |
| Registro de las sesiones del proveedor | Detectar | FSTS Security | Muestra de sesiones revisada cada semana | Alerta si se detiene el servicio de grabación |
| Límites del punto de consigna de dosificación en el PLC | Impedir el daño | Ingeniería de Agua | Registro de la prueba de ingeniería; valor releído en la visita a la instalación | Comparación con la línea base aprobada de puntos de consigna |
| Alerta de telemetría de cloro fuera de banda | Detectar el efecto | Monitorización de FSTS | Una lectura de prueba inyectada generó la alerta en 2 min | Latido de la regla (capítulo 19) |
| Procedimiento de dosificación manual y muestreo | Recuperar | Operaciones de Agua | Registro de un ejercicio en los últimos 12 meses | Calendario de ejercicios |
18.7 Actividad práctica: manual de operación para la rotación de claves
Redacte un manual de operación para la rotación de la clave de una estación: preparación (nueva clave generada y almacenada, retransmisor configurado para aceptar la antigua y la nueva durante un breve solapamiento), conmutación en la pasarela de la estación, verificación (mensajes aceptados con la nueva versión de clave; fallos de MAC contados), eliminación de la clave antigua y reversión. Indique la duración del solapamiento y por qué. Para PS-07, cuya clave de pasarela estaba en una tarjeta extraíble dentro de un armario sin cerrar, la rotación ya no es un mantenimiento rutinario: es la respuesta a un hallazgo físico. Un solapamiento de unas pocas horas, suficiente para confirmar mensajes aceptados con la nueva versión de clave, mantiene a la estación informando durante la conmutación.
18.8 Errores frecuentes y límites
- Seleccionar controles de un catálogo sin recorrer un escenario, lo que produce muchos controles y huecos entre ellos.
- Controles sin responsable, o cuyo responsable es una persona y no un rol.
- Tratar «configurado» como «eficaz».
- Rotación de claves nunca ensayada, por lo que se evita.
- Retirar un control compensatorio cuando la corrección está programada en lugar de verificada.
Las fichas de R2 evitan estos errores: cada control tiene un rol responsable y evidencia, y la prueba de la alerta de cloro generó una alerta en 2 minutos.
La rotación de claves de PS-07 se evitó durante años por el cuarto motivo.
Ejercicios — capítulo 18
EX052 — Recorra un escenario. Objetivo: construir un conjunto de controles a partir de un camino. Entradas: R3 del capítulo 13 (el disco del retransmisor se llena; se pierde telemetría). Restricciones: al menos un control por paso y por función. Pasos: (1) escriba el camino en pasos; (2) asocie controles de prevención, detección y recuperación; (3) nombre la evidencia de cada uno. Evidencia esperada: tabla. Rúbrica: 3 = pasos como crecimiento → umbral → fallo de escritura → mensajes perdidos, con controles como la aplicación de la conservación, la previsión de capacidad y una alarma con plazo de antelación (capítulo 1), la alarma de disco y la alerta por recuento de rechazos o pérdidas, el almacenamiento en las estaciones y la subida de la acumulación; evidencia especificada; 2 = falta una función; 1 = un solo control; 0 = nada.
EX053 — Comprobación con el catálogo. Objetivo: usar un catálogo para comprobar la exhaustividad. Entradas: las fichas de control de R2 del capítulo 18 («Ejemplo resuelto: fichas de control para R2») y la lista de familias de controles de SP 800-53 Rev. 5. Restricciones: cite las familias por su identificador. Pasos: (1) asigne cada ficha a una familia; (2) nombre una familia relevante para R2 que no tenga ficha; (3) proponga una ficha para ella. Evidencia esperada: tabla con cita. Rúbrica: 3 = asignaciones razonables (por ejemplo, AC, AU, CM/SI, IR o CP) y una familia ausente creíble, como la seguridad del personal para el personal del proveedor, la gestión de riesgos de la cadena de suministro (SR) para la propia seguridad del proveedor o la respuesta a incidentes (IR) para un incidente de dosificación, con una ficha concreta; 2 = asignación correcta, familia ausente débil; 1 = sin cita; 0 = nada.
EX054 — Duración del solapamiento. Objetivo: razonar sobre la rotación de claves. Entradas: las estaciones almacenan hasta 24 horas; los mensajes acumulados se sellan con la clave activa en el momento en que se crearon. Restricciones: el retransmisor debería aceptar el menor número de claves posible durante el menor tiempo posible. Pasos: (1) indique durante cuánto tiempo debe seguir aceptando el retransmisor la clave antigua después de la conmutación; (2) explique cómo sabe el retransmisor qué clave probar. Evidencia esperada: párrafo. Rúbrica: 3 = clave antigua aceptada al menos durante el periodo de almacenamiento de 24 h (más un margen) porque los mensajes acumulados llevan MAC con la clave antigua; los mensajes llevan un identificador de versión de clave dentro del cuerpo autenticado o junto a él para que el retransmisor seleccione la clave en lugar de probarlas todas; después se elimina la clave antigua y se verifica la eliminación; 2 = solapamiento correcto, selección vaga; 1 = sin solapamiento; 0 = nada.
Síntesis del capítulo
Seleccione los controles recorriendo el camino de cada escenario y asociando a sus pasos controles de prevención, detección y recuperación; use los catálogos para comprobar la exhaustividad. Implemente cada control con responsable, documentado, configurado como código cuando sea posible, comprobable y monitorizado. Algunos controles son procesos (el ciclo de vida de las claves es el ejemplo más claro) y deben ensayarse. «Configurado» nunca es lo mismo que «funciona».
Siga estudiando — capítulo 18 de 30
← Capítulo 17 · Índice de capítulos del curso · Capítulo 19 →
Continúe con la siguiente lección escrita.