Capítulo 18 — Seguridad de TO, IoT y sistemas ciberfísicos: controles

Mapa de la lección

Lección 18 publicada. Mapa, ejemplo, EX052.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["18.1 Asignar controles a escenarios"]
  N2["18.2 Efectos en las operaciones"]
  N3["18.3 Controles compensatorios"]
  N4["18.4 Registrar los controles"]
  N5["18.5 Priorizar con un presupuesto limitado"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX052"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["18.1 Asignar controles a escenarios"]
  N2["18.2 Efectos en las operaciones"]
  N3["18.3 Controles compensatorios"]
  N4["18.4 Registrar los controles"]
  N5["18.5 Priorizar con un presupuesto limitado"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX052"]

[Resultados de aprendizaje]
    |
    v
[18.1 Asignar controles a escenarios]
    |
    v
[18.2 Efectos en las operaciones]
    |
    v
[18.3 Controles compensatorios]
    |
    v
[18.4 Registrar los controles]
    |
    v
[18.5 Priorizar con un presupuesto limitado]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX052]

Resultados de aprendizaje

Usted será capaz de (1) seleccionar controles para los escenarios principales de NCS; (2) asignarlos a los requisitos fundamentales de IEC 62443-3-3; (3) comprobar el efecto de cada control en las operaciones; y (4) planificar controles compensatorios cuando los dispositivos no pueden corregirse.

18.1 Asignar controles a escenarios

Escenario 1 (uso indebido de la herramienta remota de la empresa contratista): sustituir la herramienta siempre activa por sesiones supervisadas a través de un servidor de salto (FR 1, identificación y autenticación; FR 5, flujo de datos restringido) y grabar las sesiones (FR 6, respuesta oportuna a los eventos). Escenario 2 (un ransomware de la oficina llega a HMI-C): eliminar la regla 9 (FR 5), aplicar una lista de aplicaciones permitidas en HMI-C (FR 3, integridad del sistema) y mantener copias de seguridad fuera de línea (FR 7, disponibilidad de los recursos).

La primera entrada del registro de Priya es C-04, sesiones supervisadas de la empresa contratista, vinculada solo al escenario 1: no hace nada contra los escenarios del ransomware de la oficina ni de la cámara, que necesitan sus propios controles. Su prueba, un intento de sesión sin aprobación que debe rechazarse, es lo bastante concreta como para que el responsable de instalaciones la repita sin ella.

18.2 Efectos en las operaciones

Pregunte de cada control: ¿qué ocurre en un mal día? Las sesiones supervisadas significan que la empresa contratista espera la aprobación a las 3 de la madrugada; NCS necesita una persona aprobadora de guardia. La lista de aplicaciones permitidas puede bloquear una herramienta de diagnóstico de emergencia; mantenga un proceso de excepciones documentado y supervisado. NCS respondió a la primera pregunta con un turno rotativo de aprobadores de guardia, que más tarde pasó a la primera página del paquete para las visitas de la empresa contratista. Cuando la operadora de noche probó la primera versión del paquete, no encontró en ninguna parte el número del aprobador, así que el turno rotativo se convirtió en la línea más importante del paquete. Para la lista de aplicaciones permitidas, el proceso de excepciones nombra a quién puede aprobar una herramienta de emergencia y cómo se registra y se revisa después su uso.

18.3 Controles compensatorios

El enlace de radio de los registradores de temperatura no está cifrado y no puede cambiarse (capítulo 16). Compensación: comparar los datos de los registradores con las sondas de los PLC (detectar la falsificación); alertar ante cambios bruscos en escalón; preguntar al proveedor por modelos cifrados en la próxima compra. PLC-R2 no puede autenticar a los clientes Modbus; se compensa permitiendo que solo HMI-C y HIST lleguen a él. El miniestudio de Priya del capítulo 24 pone a prueba el primer control compensatorio: en cuatro semanas sintéticas con diez falsificaciones inyectadas, la comparación de dos sondas señaló las diez en menos de 10 minutos. La alerta propia de la nube no señaló ninguna, porque los valores falsificados se mantenían dentro del rango.

18.4 Registrar los controles

Un registro de controles enumera control, escenario, requisito fundamental, responsable, método de prueba y fecha de la última prueba. Los controles no probados figuran como «supuestos». El registro de Priya recoge C-04, sesiones supervisadas de la empresa contratista, como probado el 2026-04-02 y superado. La eliminación de la regla 9 figura con su prueba, un intento de conexión de OFFICE-7 a PLC-R2:502 que se espera rechazado. La lista de aplicaciones permitidas en HMI-C figura como «supuesta» hasta que se despliegue la política probada por el proveedor y se registre un ejecutable de prueba bloqueado. La etiqueta «supuesto» mantiene honesto el registro: la dirección puede ver que el plan tiene más controles que evidencia. El capítulo 23 convierte la mayoría de las entradas supuestas en probadas, y una de ellas falla su primera prueba.

Ejemplo resuelto (NCS sintética)

Fila del registro de Priya: «C-04 Sesiones supervisadas de la empresa contratista a través del servidor de salto; escenario 1; FR 1/FR 5/FR 6; responsable: responsable de instalaciones; prueba: intentar una sesión sin aprobación, se espera el rechazo; última prueba 2026-04-02, superada».

Caso sintético — Northgate Cold Storage. Las entradas del registro son inventadas.

18.5 Priorizar con un presupuesto limitado

NCS no puede comprarlo todo a la vez. Priya ordena los controles según cuántos escenarios reduce cada uno y lo barato que es: eliminar la regla 9 cuesta una ventana de mantenimiento y reduce dos escenarios, así que va primero; la lista de aplicaciones permitidas necesita pruebas del proveedor y va segunda; sustituir los registradores por modelos cifrados espera al ciclo normal de renovación, con la comprobación compensatoria por comparación en funcionamiento mientras tanto. El orden se ve en la evaluación de Priya seis meses después: la regla 9 eliminada, las sesiones supervisadas probadas, los certificados automatizados y los registradores todavía sin sustituir.

Errores y límites

Asignar controles a requisitos fundamentales muestra la cobertura, no la suficiencia. Un control que se elude «temporalmente» durante meses no es un control.

Ejercicios — capítulo 18

• EX052 — Asignar la lista de aplicaciones permitidas. ¿Qué requisito fundamental respalda la lista de aplicaciones permitidas en la HMI?
  Mostrar criterios de evaluación

  Rúbrica: 3 = FR 3, integridad del sistema, con su razón; 2 = solo el FR; 1 = FR 4; 0 = nada.
• EX053 — La comprobación del mal día. Describa el efecto de las sesiones supervisadas en un mal día y su mitigación.
  Mostrar criterios de evaluación

  Rúbrica: 3 = retraso nocturno; aprobador de guardia; 2 = uno; 1 = vago; 0 = nada.
• EX054 — Compensar en PLC-R2. Enumere dos controles compensatorios para la falta de autenticación de PLC-R2.
  Mostrar criterios de evaluación

  Rúbrica: 3 = restringir los orígenes a HMI-C/HIST; supervisar las escrituras desde otros equipos; 2 = uno; 1 = «añadir una contraseña»; 0 = nada.

Síntesis del capítulo

Los controles se eligen para los escenarios, se contrastan con los días malos, se compensan donde los dispositivos no pueden cambiar y se registran con sus pruebas.

Siga estudiando — capítulo 18 de 30

← Capítulo 17 (borrador) · Índice de capítulos del curso · Capítulo 19 (borrador) →