Escenario 07 / 10 · NIST SP 800-61 REV. 3

Anomalía en controlador de agua

Una planta municipal de agua observa un cambio de consigna de dosificación distinto de la orden de trabajo aprobada.

Escenario ficticio para estudiar; no describe personas ni sistemas reales.

Límite de seguridad y autoridad

Priorice la seguridad de operadores y público; no escanee, reinicie ni aísle controladores sin una decisión autorizada de seguridad del proceso.

01 / 05

Preparación

GV · ID · PR

Una planta municipal de agua observa un cambio de consigna de dosificación distinto de la orden de trabajo aprobada.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Sable Equipo de evidencias	Preparó la ruta de evidencia	Nombró fuentes de solo lectura y responsables para: La pantalla de control y un indicador local discrepan; la ruta de red afectada también lleva otras funciones de seguridad.	La primera alerta necesita origen y hora verificables.
Tamar Equipo de servicio	Ensayó la continuidad segura	Probó de forma aislada una versión de: Vuelva al control automático solo tras comprobar sensores, actuadores y consignas aprobadas en una prueba delimitada.	Una recuperación precipitada puede agravar el impacto.
Umber Equipo de decisiones	Definió autoridad y escalamiento	Asignó responsables y condiciones de aprobación para: Priorice la seguridad de operadores y público; no escanee, reinicie ni aísle controladores sin una decisión autorizada de seguridad del proceso.	Seguridad, privacidad y comunicación requieren decisiones responsables.

02 / 05

Detección y análisis

La pantalla de control y un indicador local discrepan; la ruta de red afectada también lleva otras funciones de seguridad.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Sable Equipo de evidencias	Evaluó la señal	Conservó origen, hora UTC y comprobación independiente de: La pantalla de control y un indicador local discrepan; la ruta de red afectada también lleva otras funciones de seguridad.	Una alerta es una pista, no prueba de causa o alcance.
Tamar Equipo de servicio	Midió el impacto en usuarios	Comparó el servicio real con la línea base: Una planta municipal de agua observa un cambio de consigna de dosificación distinto de la orden de trabajo aprobada.	Las alertas técnicas solas no demuestran impacto operativo.
Umber Equipo de decisiones	Abrió un caso delimitado	Registró hechos confirmados, incógnitas, responsable y próxima revisión.	Los equipos se coordinan sin exagerar la evidencia.

03 / 05

Respuesta y contención

Priorice la seguridad de operadores y público; no escanee, reinicie ni aísle controladores sin una decisión autorizada de seguridad del proceso.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Sable Equipo de evidencias	Conservó y delimitó evidencia	Guardó los registros originales y definió una ruta limitada para: El operador verifica lecturas físicas seguras y activa el procedimiento manual aprobado; conserve registros de control solo para lectura.	La contención no debe destruir la base de la revisión posterior.
Tamar Equipo de servicio	Aplicó el control aprobado	Ejecutó: El operador verifica lecturas físicas seguras y activa el procedimiento manual aprobado; conserve registros de control solo para lectura.	Un cambio reversible y aprobado reduce daños sin ampliar el alcance.
Umber Equipo de decisiones	Autorizó y comunicó	Registró aprobador, personas afectadas y límite: Priorice la seguridad de operadores y público; no escanee, reinicie ni aísle controladores sin una decisión autorizada de seguridad del proceso.	Las acciones exigen autoridad clara y aviso proporcional.

04 / 05

Recuperación

Vuelva al control automático solo tras comprobar sensores, actuadores y consignas aprobadas en una prueba delimitada.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Sable Equipo de evidencias	Comprobó la persistencia	Comparó nueva telemetría con: Las mediciones independientes coinciden con el rango aprobado y los operadores firman el retorno controlado.	Un servicio aparentemente sano todavía puede estar comprometido.
Tamar Equipo de servicio	Restauró por etapas	Ejecutó: Vuelva al control automático solo tras comprobar sensores, actuadores y consignas aprobadas en una prueba delimitada.	El retorno gradual prueba dependencias antes de ampliar el acceso.
Umber Equipo de decisiones	Aceptó el resultado operativo	Pidió aprobación del responsable solo después de: Las mediciones independientes coinciden con el rango aprobado y los operadores firman el retorno controlado.	Recuperar es una decisión de servicio, no solo un panel verde.

05 / 05

Mejora

ID.IM

Ensayar una contingencia manual segura y documentar discrepancias entre control y lecturas de campo.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Sable Equipo de evidencias	Convirtió incertidumbre en prueba	Documentó la laguna de evidencia y propuso: Ensayar una contingencia manual segura y documentar discrepancias entre control y lecturas de campo.	Una lección requiere una comprobación futura medible.
Tamar Equipo de servicio	Ensayó el control modificado	Asignó responsable y fecha para probar: Ensayar una contingencia manual segura y documentar discrepancias entre control y lecturas de campo.	Una tarea no probada no es una mejora verificada.
Umber Equipo de decisiones	Cerró el registro de decisiones	Aprobó recursos, siguió al responsable y comprobó el nuevo control.	El aprendizaje debe alimentar Gobernar, Identificar y Proteger.

Criterio de aceptación de la recuperación

Las mediciones independientes coinciden con el rango aprobado y los operadores firman el retorno controlado.

Mejora que debe verificarse

Ensayar una contingencia manual segura y documentar discrepancias entre control y lecturas de campo.