Quién decide detener

El analista de seguridad OT sabe qué cuenta se usó, por dónde entró el tráfico y qué evidencia hay. No sabe cuánto tarda en estabilizarse un túnel de congelación, qué pasa con la presión si se para un compresor ni si hay alguien dentro de la sala. Eso lo saben el jefe de turno y el ingeniero de procesos. La división es sencilla: seguridad informa del riesgo y recomienda; operaciones decide lo que mueve el proceso.

Esa división se escribe antes, en el procedimiento de emergencia. Abre la tabla roles: cada rol tiene lo que decide, lo que explícitamente no decide y a quién escala. Fíjate en que el analista de seguridad OT sí decide cosas, pero todas sobre cuentas, reglas y evidencia, nunca sobre el modo del proceso.

No todas las decisiones exigen la misma firma. Revocar una cuenta o cerrar una sesión no toca el proceso y lo puede hacer el analista de seguridad en el acto. Pasar un equipo a manual ya cambia el modo de operación y lo autoriza el jefe de turno, con un aviso previo. Detener un equipo mayor cambia lo que la planta produce y lo que pierde, y sube un escalón más.

La tabla decisiones_posibles pone las cinco que se barajaron en el incidente, de menor a mayor efecto, con el efecto sobre el proceso, quién autoriza y los minutos de aviso previo que operaciones necesita. Léela y responde.

Con el incidente en marcha, la presión de «hacer algo» es enorme, y es cuando se toman las decisiones que luego cuesta explicar. El registro de decisiones es la herramienta contra eso: cada acción lleva la hora, quién la tomó y quién la autorizó. Una fila en la que quien tomó la decisión y quien la autorizó coinciden está bien si es un analista actuando sobre una cuenta; una fila en la que nadie autorizó es una señal que hay que explicar.

Abre registro_de_decisiones y busca la acción sin autorización. Anota su identificador para el informe, no para señalar a nadie: lo que importa es qué costó y cómo se evita la próxima vez.

A las tres de la madrugada el jefe de turno puede estar en la caldera con el teléfono en el cargador. La tentación es decidir por él. La respuesta correcta es doble: se sigue la cadena de escalamiento que el procedimiento escribió (el rol «a quién escala» de la tabla roles), y mientras tanto se hacen solo las medidas que son del propio analista y no tocan el proceso, como las dos primeras de decisiones_posibles.

Nada de eso es lentitud. Es la manera de que el incidente no se convierta en un segundo incidente causado por la respuesta, y de que el informe posterior pueda decir quién decidió cada cosa y con qué información.