Medir y auditar un programa de seguridad OT

Un indicador sirve si, cuando mejora, la planta está mejor protegida y si no se puede inflar sin cambiar la realidad. En OT importa además que no empuje a hacer lo que el proceso no tolera: un indicador de «parches instalados» puede premiar un parche aplicado fuera de la parada. Para el comité, los mejores indicadores miden cobertura de lo que se gobierna: activos con dueño y zona, zonas medidas, conductos con control, cambios evaluados.

Un indicador es la forma de ver si la gestión del programa avanza o se estanca, y por eso importa tanto que su fórmula no se mueva sin avisar.

Un inventario completo es la base de todo el programa, pero se puede declarar completo sin que lo sea. Una sonda pasiva de red solo escucha: lista los equipos que hablan por la red sin enviarles nada, y por eso es una forma segura de contrastar el inventario con la realidad. La cobertura se calcula con el número de activos vistos que sí están en el inventario, dividido por el total de activos vistos, y no con el tamaño del inventario.

Abre cobertura_del_inventario y calcula el porcentaje.

Un indicador que salta de 40% a 88% en un trimestre merece una pregunta antes que un aplauso. A veces la mejora es real; a veces lo que cambió es el denominador, y el número sube porque se mide una cosa más pequeña. Para comparar trimestres, la fórmula debe ser la misma, y cuando cambia, debe decirse y explicarse con ambas cifras a la vista.

Abre indicadores y compara formula_t1 con formula_t2.

Cerrar un hallazgo es una afirmación que se sostiene con evidencia: un acta, una captura, un informe de prueba. Un estado «Cerrado» sin nada detrás es una opinión. En la auditoría anterior hubo hallazgos con evidencia de cierre y uno al que le falta; el auditor no lo da por cerrado: lo reabre o pide la evidencia.

Auditar una planta en servicio tiene una restricción que no tiene la oficina: una prueba activa puede detener el proceso. Por eso el método se fija antes y por escrito, y se apoya en evidencia que ya existe o que se puede leer sin tocar los equipos: configuraciones exportadas por el equipo de la central, registros, actas, entrevistas con los operadores y recorridos acompañados.