Qué se puede y qué no se puede apagar

Para cada equipo, la contención en OT se decide con tres preguntas: qué hace en el proceso, qué pasa si se detiene o se aísla, y quién tiene la autoridad para autorizarlo. La tercera es la que más se olvida: el analista de seguridad no es dueño del proceso.

Las respuestas se escriben antes del incidente, en una tabla de decisiones. En la crisis se consulta, no se improvisa.

Algunas medidas casi no tienen efecto en el proceso. El acceso remoto de un tercero es el ejemplo típico: quitarlo deja sin acceso al proveedor, no al agua. Aun así, conviene avisar a operaciones antes y anotar la hora.

Si algún día hay que reiniciar la planta, cada controlador y cada pantalla tienen su orden y su tiempo. Sumar esos tiempos es parte de la decisión: reiniciar «un momento» puede significar horas sin supervisión.

La secuencia de la planta viene con los minutos de cada paso.

Llega una alerta que apunta al controlador de la dosificación de cloro. El impulso de TI es aislarlo. La tabla de decisiones dice que ese equipo no se apaga ni se reinicia y que lo decide el jefe de planta, y que el sistema de seguridad ni se toca.

Lo que sí se puede hacer es avisar, mantener el proceso, observar sin escribir en el equipo y reunir evidencia por vías que no lo alteren.