De un requisito a una decisión

El catálogo SP 800-53 de NIST está escrito para sistemas de información en general. La guía de OT, en su apéndice F, lo toma como base y lo ajusta: marca qué controles se añaden o se acotan para tecnología de operación y explica, control por control, qué cambia en una planta. El resultado se llama plantilla OT, y está pensado como punto de partida para escoger controles según el impacto del sistema, no como una lista cerrada.

Lo importante es lo que se espera de quien la usa: si un control no puede aplicarse tal cual, porque afectaría al rendimiento, a la seguridad o a la fiabilidad, se adapta, y se debe dar una razón completa de cómo el control compensatorio elegido logra una capacidad equivalente. Adaptar con razones es parte del método, no una excepción vergonzosa.

Un registro de decisiones sirve para algo concreto: ver, de un vistazo, qué requisito se tradujo en qué decisión y si, cuando la decisión fue aplazar o no hacer algo, se dejó una medida que compense. Aplazar con una compensación documentada es una decisión de ingeniería. Aplazar sin ella es una deuda que nadie ha firmado.

En el registro de Tinajero hay una decisión de ese segundo tipo.

El requisito de corregir fallos choca con la realidad de una planta. El fabricante debe validar el parche antes de que se aplique a un controlador, y la autoclave solo se detiene en la ventana de mantenimiento. Mientras tanto, la guía espera compensaciones: limitar la exposición del equipo, restringir los servicios vulnerables, y tener lista la respuesta si el fallo se explotara. Para poder explicarlo a la dirección hace falta saber cuánto tiempo estuvo abierta la brecha.

Calcula los días entre el día en que el fabricante publicó el parche PA-07 y el día de la ventana de mantenimiento en que se aplicará.

El control de vigilancia de vulnerabilidades pide saber qué fallos tiene el sistema. En TI se resuelve con un barrido activo. En una planta, un barrido puede detener un controlador frágil, así que la guía de OT acepta otras vías: la vigilancia pasiva y la inspección manual para mantener el inventario al día, y el cruce de ese inventario con las listas públicas de vulnerabilidades conocidas. Si hace falta un barrido activo, se programa en una parada prevista o sobre una réplica del sistema.

La decisión de Tinajero para este control sigue ese camino, y es coherente con el método de toda la ruta: leer y escuchar antes que preguntar.

Hay un límite que ninguna adaptación cruza. La guía lo dice sin rodeos: cualquier medida de seguridad que perjudique la seguridad funcional es inaceptable. Si un requisito, aplicado al pie de la letra, obligara a reiniciar un controlador de seguridad, o a bloquear una señal que protege a las personas, la respuesta no es cumplirlo ni ignorarlo: es llevarlo a quien responde del proceso y de la seguridad funcional, y buscar por escrito otra forma de lograr su intención.