Qué aporta cada marco

Un marco es un texto de referencia que dice qué hacer para proteger algo. En tecnología de operación (OT) pesan dos. La serie IEC 62443, que en el mundo industrial se publica también como ISA/IEC 62443, es un conjunto de normas escrito por y para quien posee, integra y fabrica sistemas de control: fija requisitos que una organización o un producto puede someter a evaluación y, en muchos casos, certificar. La guía SP 800-82 de NIST es otra cosa: una guía de orientación sobre cómo asegurar OT, con un catálogo de controles ya ajustado a este mundo, pensada para que quien opera y protege la planta decida con criterio. No se certifica una planta contra ella.

Importa porque cambia lo que se puede prometer. Con una norma evaluable se puede acordar con un cliente "este producto cumple tal parte"; con una guía se dice "seguimos esta orientación y estas son nuestras decisiones". Ninguna de las dos sustituye la seguridad funcional de la planta: las dos parten de que el proceso no puede ponerse en riesgo. Es también lo que las separa de los marcos pensados solo para TI: la guía de NIST lo dice con todas las letras al comparar OT con TI, donde el riesgo de una medida mal puesta es físico y de continuidad, y no solo de datos.

IEC 62443 no es un documento sino una serie de partes numeradas. Se agrupan en cuatro familias. La general trae los conceptos y el vocabulario. Las de políticas y procedimientos hablan de cómo se organiza la seguridad: el programa de quien opera la planta, el del proveedor que presta servicios, la gestión de parches. Las de sistema tratan la evaluación de riesgos del diseño y los requisitos de un sistema completo. Las de componente miran el producto: cómo se desarrolla y qué capacidades técnicas de seguridad ofrece cada equipo.

Cada parte se identifica por un número doble, como 2-1 o 3-3, y cada una tiene su propia edición, de modo que dos partes de la misma serie pueden ser de años distintos. Citarlas bien significa dar la parte y su edición, no solo "62443".

Abre la ficha partes_62443 de la biblioteca y busca la que corresponde al producto.

Una norma cambia: se revisa y sale una edición nueva que sustituye a la anterior. Quien cita una parte de 2013 como si fuera la última puede estar hablando de requisitos que ya se reescribieron. Por eso, al entregar un informe, se escribe la edición junto a la parte, y se comprueba contra la fuente oficial de la organización que la publica antes de afirmarla.

En la biblioteca de Tinajero la ficha trae la edición de cada parte. Una de ellas, la que describe el programa de seguridad que debe tener quien opera la planta, es de las más recientes de la serie.

Los textos de NIST pasan por revisiones. Una revisión se publica final, y después puede abrirse la siguiente para comentarios del público antes de convertirse en la vigente. Mientras tanto, la anterior sigue siendo la que se aplica. Es un error frecuente citar el texto más nuevo que se encuentra en la web sin mirar en qué estado está.

La biblioteca de Tinajero tiene dos revisiones de la guía de OT. Una de ellas todavía no es la versión final.

Con lo anterior ya se puede responder a la petición de la dirección sin inventar. La guía final vigente es la que se cita como referencia de la planta; el texto en revisión se menciona, si acaso, como lo que viene, con su etiqueta, y nunca como requisito. Y se dice con claridad que el catálogo de controles que acompaña a la guía se apoya en otro documento de NIST, SP 800-53, cuya revisión también consta en la ficha.