Seguridad y seguridad operacional, la prioridad de la disponibilidad

La seguridad operacional se apoya en capas independientes de protección: una válvula mecánica, un disparo por exceso de velocidad, un operador con un mando local, un sistema instrumentado de seguridad. Se diseñan para que, si falla una, otra actúe, y para que ningún fallo común las tire todas a la vez. La seguridad de la información añade una pregunta: ¿puede alguien, con mala intención o por error, alterar o desactivar esas capas?

Las dos se complementan, pero pueden chocar. Un control que retrasa un mando de emergencia, o una capa de protección que depende de la misma red que se quiere filtrar, mejora un aspecto y empeora el otro. Por eso la decisión sobre un control en una planta se toma junto con operaciones y queda escrita.

El análisis de peligros de la central fija cuántos segundos tiene el operador para ejecutar cada acción antes de que la situación empeore. Un control de seguridad que añade un retraso mayor que ese tiempo máximo no es un control más: es un riesgo nuevo para la planta. Para detectarlo se cruza la acción afectada de cada control con la tabla de tiempos máximos.

Abre controles_propuestos y acciones_del_operador, y compara el retraso de cada control con el tiempo máximo de su acción.

La independencia de las capas de protección se pierde cuando todas dependen del mismo elemento. Si la única barrera frente a un peligro es un programa en un controlador alcanzable por la red, un fallo o una alteración de ese controlador deja el peligro sin ninguna defensa. La tabla peligros dice de qué depende la barrera de cada escenario.

Un control de seguridad que alguien despliega en la planta sin que operaciones lo haya revisado pasa por encima de la regla de oro de la seguridad operacional: quien conoce el proceso decide. Contar los controles pendientes de esa revisión es el primer paso del plan de aprobación.

Si TI dice que un control es necesario y operaciones dice que retrasa una acción de emergencia, la decisión no se resuelve por jerarquía de áreas ni por quién tiene más prisa. El tratamiento correcto busca una alternativa que cumpla ambos fines, la decide quien es dueño del proceso y la deja por escrito.