Primero las personas y el proceso

En una respuesta a incidentes de oficina el orden suele ser contener, erradicar y recuperar. En una planta hay algo por delante de todo eso: que nadie se lastime y que el proceso esté en un estado seguro. Después va la continuidad de la operación, luego la evidencia y, al final, el costo de lo que se perdió. Esa jerarquía no es una opinión: las normas de seguridad funcional de la industria de proceso, como la IEC 61511, parten de que las funciones de seguridad deben seguir actuando pase lo que pase con la red, y la guía NIST SP 800-82 Rev. 3 sobre seguridad de OT pide integrar la respuesta a incidentes con las operaciones de la planta.

Por eso la primera pregunta de un analista de seguridad OT no es «qué le pasó al equipo», sino «¿está la planta en un estado seguro ahora mismo, y quién puede confirmarlo?». La respuesta la tiene la sala de control. Hasta que operaciones diga que sí, cualquier medida sobre un equipo de proceso es una apuesta con la seguridad de otros.

Muchas plantas con sustancias peligrosas tienen, además del control normal, un sistema instrumentado de seguridad (SIS): un equipo independiente, con sus propios sensores y relés, que lleva el proceso a un estado seguro por su cuenta cuando algo se sale de rango. Su valor está justo en que no depende del control normal ni de la red de planta. Si un atacante o un error confunde al controlador del proceso, esa última barrera sigue en pie.

Eso cambia lo que haces durante un incidente. Ese equipo no se escanea, no se reinicia, no se le conecta una herramienta ni se le inhibe una función: cualquier cambio sobre él pasa por seguridad funcional y se hace con el proceso fuera de peligro. Abre la tabla equipos y mira la columna que dice quién puede tocar cada equipo.

No todos los equipos de la planta tienen el mismo margen. Unos pueden estar horas fuera sin que el proceso se resienta; otros, apenas unos minutos antes de que algo se degrade. Conocer ese margen antes del incidente es lo que permite ordenar las decisiones: lo que tolera poco no se detiene ni se aísla sin acuerdo previo con operaciones, y lo que tolera mucho se puede sacrificar primero si hace falta.

La columna tolera_parada_min de la tabla equipos lo da en minutos, medido por la propia planta. Para el sistema de seguridad no aplica porque no se detiene. Compara los demás.

Imagina que el peor caso ocurre: quien está en la red de planta consigue dar órdenes a los controladores de proceso. ¿Qué protege entonces a las personas de la sala de máquinas? Lo que no depende de esa red. Abre la tabla funciones_de_seguridad y mira dónde corre cada función y si necesita la red de planta para actuar.

La respuesta honesta tiene un matiz: eso es así mientras el sistema de seguridad siga realmente separado. Si en la evidencia aparece que ese sistema es alcanzable desde la red de planta, o que alguien intentó llegar a él, deja de ser una barrera independiente y pasa a ser la primera prioridad del incidente, con seguridad funcional y operaciones juntos.