La evidencia que se puede tomar y la que no

Sobre un equipo de oficina el orden clásico es tomar primero lo más volátil. En una planta se suma una pregunta: ¿tomar esto toca el proceso? La copia pasiva del tráfico, el registro del cortafuegos, el del salto y el historiador se leen sin tocar nada. Pero muchos rotan: pasadas unas horas, el dato más antiguo se sobrescribe. Es evidencia barata y perecedera.

Otras fuentes, como el programa de un controlador, el disco de la estación de ingeniería o la memoria de la pantalla de sala, no rotan. Pero sacarlas exige conectar una herramienta a un equipo en marcha o sacarlo de servicio. Es evidencia cara y estable. La consecuencia práctica es clara: lo que se pierde solo y no cuesta nada se asegura primero; lo caro se planifica con operaciones.

La tabla fuentes_de_evidencia pone las siete fuentes con si tocan el proceso, quién debe estar presente y cuánto tiempo se conservan.

Leer el programa de un controlador parece inocente: es solo leer. Pero para hacerlo hay que conectar la estación de ingeniería al controlador mientras gobierna el proceso, y esa conexión puede alterar el equipo o ralentizar su ciclo. Por eso se hace una vez, con quien entiende el proceso al lado, en un momento acordado, y con la comparación contra la copia de oro lista para validar lo que se lea.

Mira en la tabla la columna quien_debe_estar. Una de las fuentes exige a un rol concreto que valide que la conexión a un controlador en marcha es segura. Es justo lo que no se decide desde la consola de seguridad.

Aunque la evidencia sea ficticia en esta sala, el método es el real. Se copia sin modificar el original, se anota quién lo copió, desde dónde, a qué hora y con qué herramienta, y se calcula una suma de verificación de la copia para poder demostrar luego que no cambió. Todo el análisis se hace sobre la copia. El original se guarda tal cual, o se deja donde estaba si es un registro que sigue en uso.

En OT hay una diferencia más: las copias de lo que viene de la planta viajan por canales aprobados y se guardan fuera de la red de planta, nunca de vuelta a un equipo de proceso. Y cada toma que implique al proceso lleva el nombre de quien lo autorizó.

Los registros que rotan se comportan como una ventana móvil: cada dato dura un número de horas desde que se generó y luego se sobrescribe. Eso permite una cuenta útil para priorizar: la primera huella del incidente en cada registro se perderá a la hora del primer evento más las horas de conservación. Esa hora marca el plazo hasta el cual hay que haber copiado ese registro.

La tabla incidente da la hora del primer evento. Con ella y las horas de conservación del registro del cortafuegos de la zona intermedia, calcula a qué hora se pierde su primera huella. Escribe la hora en formato HH:MM.