Servicios esenciales, ordenar el trabajo por lo que no puede parar

En un entorno de oficina, el analista piensa en equipos: este servidor, esta estación. En una empresa de energía conviene pensar en servicios: la distribución a los hospitales, el bombeo de agua, el alumbrado. Un servicio esencial es el que, al interrumpirse, deja sin energía a personas que no pueden esperar o a otros servicios que dependen de él.

Esto cambia la pregunta. Ya no es «¿qué tan grave es esta vulnerabilidad?», sino «¿qué servicio sostiene este equipo y cuánto aguanta ese servicio sin él?». La gravedad técnica sigue contando, pero se lee dentro de ese contexto.

El corte tolerable es el número de minutos que un servicio puede estar parado antes de causar daño. Cuanto menor es, más sensible es el servicio y más cuidado exige cualquier cosa que lo toque: un escaneo, un parche, una prueba. Ese número no lo decide el equipo de seguridad: lo da operaciones o el regulador, y se registra junto al servicio.

Abre servicios.csv y compara la última columna.

Un mismo equipo puede servir a varios servicios a la vez: una estación de operación que ve todas las subestaciones, una pasarela de datos que conecta varias plantas. Esos equipos concentran el riesgo. Una vulnerabilidad en uno de ellos importa más que la misma vulnerabilidad en un equipo que sirve a uno solo, aunque la puntuación sea idéntica.

En activos.csv, la columna sirve_a lista los servicios separados por «|». Cuenta cuántos tiene cada activo.

Para explicar el riesgo a un comité, el número que se entiende es el de personas. La regla del equipo es sencilla: los usuarios afectados por un activo son la suma de los usuarios de los servicios a los que sirve, cada servicio una sola vez. Un servicio de apoyo, como el telecontrol, puede tener cero usuarios propios y aun así ser lo que permite operar los demás.

Calcula con activos.csv y servicios.csv los usuarios que dependen del controlador de la Subestación Sur, mlp-plc02.

Hay un hallazgo de gravedad alta en un equipo que sirve al suministro de hospitales y otro de gravedad crítica en el sistema de facturación. El equipo solo puede atender uno hoy. La puntuación sola diría que el crítico va primero; el servicio dice otra cosa, porque la facturación tolera un día parada y los hospitales, minutos.

Aun así, el contexto no sustituye al resto del análisis: también cuentan la exposición real del equipo y si hay un control que reduzca el daño.