%3Aquality(100)&w=640&q=75){kind=logo}
El día en que todo se tuerce: un director, un turno, un incidente que nadie ha denunciado todavía
Todo lo que en las directrices se denomina «medida de mitigación» llega a la planta en forma de llamada telefónica a alguien que quizá no conteste.
27 de agosto de 2026
·Blog
·Jay Goodman
%3Aquality(100)&w=3840&q=75)
Este informe sintetizado se ha elaborado a partir de avisos publicados, informes de análisis posterior a los incidentes y conversaciones con operadores de sistemas de este tamaño. No se describe ninguna empresa de servicios públicos en concreto. El narrador dirige un sistema de abastecimiento de agua que da servicio a unas 25 000 personas, cuenta con once empleados, un servicio de TI subcontratado a dos horas de distancia, un sistema SCADA gestionado por un integrador y no tiene turno de noche.
La primera llamada llegó a las 9:40 de un martes por la mañana. Nuestro integrador estaba en el sistema de registro de datos realizando una tarea rutinaria y detectó tráfico saliente procedente de un segmento que no debería comunicarse con nada. No era su tráfico. No era su ventana de mantenimiento. No podían explicarlo, así que iban a consultar los registros y volver a llamarme.
Seminario web bajo demanda: Lo que CI Fortify no dice sobre las comunicaciones
Esa llamada duró seis minutos. Me pasé los veinte siguientes buscando explicaciones lógicas, porque eso es lo que se hace. La actualización del firmware del mes pasado. La conexión de retorno móvil del nuevo sensor de presión. Un portátil de un proveedor que alguien se olvidó de desconectar de la red en abril.
A las 10:35, nuestra asociación estatal nos reenvió una notificación. Los sistemas que utilizaban un determinado producto de acceso remoto conectado a Internet figuraban en una lista de objetivos, y estas eran las instrucciones. Nosotros utilizamos ese producto. Lo compramos en 2021 para que el integrador pudiera resolver los problemas por la noche sin tener que conducir tres horas de ida y otras tres de vuelta.
Ninguna de las dos cosas demostraba nada. Juntas, implicaban que no podía llevar a cabo la jornada con normalidad, pero tampoco podía declarar que se tratara de un incidente. Nuestro plan de respuesta ante emergencias establece un umbral para una intrusión confirmada. No contempla el caso de dos elementos que podrían no significar nada.
Las llamadas que hay que hacer antes de poder calificarlo como un incidente
Primero, el integrador. ¿Qué ves realmente? ¿Qué puedes descartar? ¿Cuándo puede acudir alguien al lugar? El jueves, según dijeron, a menos que elevemos el asunto.
Entonces contratamos servicios de TI. Nuestro proveedor de servicios gestionados (MSP) es bueno. Además, está a dos horas de distancia. El contrato cubre el horario laboral, y el técnico que conoce nuestro entorno estaba atendiendo a otro cliente. Se abrió un ticket. Así que ahora la frase «posible acceso no autorizado a la red de control» figura en un sistema de tickets que no administro, con notificaciones que se envían a direcciones de correo electrónico de mi dominio.
A continuación, el operador de guardia. No cambies nada, anota todo lo que se mueva y llámame si un valor de consigna varía por sí solo.
Luego, la alcaldesa, antes de comer, porque si esto se convierte en un asunto público, la primera vez que se entere no puede ser a través de un periodista. Me preguntó si el agua era segura. Le dije que sí, y que lo sabía por los residuos que estábamos midiendo manualmente, en lugar de por el sistema que normalmente los registra.
En algún momento empecé a escribir la situación para el integrador y me quedé con el cursor parpadeando. Cada frase que estaba a punto de escribir describía un punto débil de mi planta, y la cuenta que estaba utilizando se autenticaba en el mismo directorio que la máquina que nos preocupaba. Compartimos nuestro servidor con el ayuntamiento. No tenía motivos para pensar que alguien lo estuviera leyendo, pero tampoco había forma de demostrar que nadie lo hiciera. Así que, en su lugar, llamé por teléfono y mantuve la misma conversación otras cuatro veces por voz; a las 14:00 ya tenía una idea clara en mi cabeza, sin haber escrito ni una sola línea en ningún sitio.
La decisión y lo que realmente cuesta
El plan del jueves se convirtió en la decisión del martes por la tarde. Desactivar el acceso remoto, desconectar el segmento y operar manualmente hasta que el integrador pueda volver a configurarlo a partir de algo que sepamos que está en buen estado.
Sobre el papel son tres pasos. En la gestión de personal, la situación es la siguiente: la dosificación de productos químicos se realiza a mano, los residuos se registran cada dos horas por alguien certificado para ello, y tengo tres personas que cumplen los requisitos. Una de ellas estaba en la graduación de su hija en otro estado. Al no haber turno de noche, alguien tiene que cubrir el horario de las 23:00 a las 7:00, lo que implica llamar a la gente a casa, luego llamar a sus cónyuges y, finalmente, conducir hasta una vivienda porque el teléfono estaba apagado.
La aplicación que suelo utilizar para organizar la cobertura funciona en la red que acababa de desconectar. La lista de llamadas impresa que había en la pared, junto a la estación de trabajo SCADA, tenía catorce meses de antigüedad y dos de los números ya no estaban operativos.
Las operaciones manuales son más una cadena de custodia que un procedimiento. Quienquiera que entre a las 11 tiene que saber cuál fue la última lectura, qué hemos cambiado y cómo era la situación normal antes del martes. Eso es una conversación, y se repitió seis veces durante los cuatro días siguientes, todas ellas a través del móvil personal de alguien.
Salir al mercado antes de saber nada
La agencia principal tenía que recibir mis informes, y el plazo para presentarlos no espera a que tengas una visión técnica completa. Mi primer informe consistió, en su mayor parte, en una lista de aspectos que no pude confirmar: tráfico saliente inexplicable; una exposición que coincidía con una notificación; un segmento desconectado; operaciones manuales en marcha; ninguna prueba de manipulación del proceso, ni tampoco ninguna que lo descartara.
El Estado preguntó quién se encargaba del análisis forense. Respondí que el integrador y nuestro MSP, y me di cuenta de cómo sonaba eso justo en el momento en que lo dije.
La oficina local del FBI se mostró profesional y quería los artefactos, pero estos se encontraban en la red en cuestión. También aprendí que «¿se lo contamos al público?» no es una cuestión técnica, y que la conversación sale mucho mejor si hay un abogado municipal al otro lado del teléfono.
El regreso
Nueve días, de principio a fin. El integrador reinstaló los equipos afectados a partir de imágenes que se sabía que funcionaban correctamente; terminamos el proceso manual un domingo por la tarde, y la última decisión resultó ser precisamente aquella para la que nadie escribe un procedimiento. En algún momento tuve que volver a confiar en un sensor.
Nada genera un certificado que diga que todo está en orden. Lo que obtienes es un grupo de personas que te dicen lo que han comprobado, y tu propio criterio para decidir si eso ha sido suficiente. Di el visto bueno un domingo porque las lecturas manuales se habían mantenido estables durante nueve días y dos personas cuyo trabajo conozco me dijeron que la reconstrucción era sólida. Esa es la versión sincera.
La parte que viene después y de la que nadie te avisa
Luego vino el papeleo, y fue muy riguroso. El Estado quería un cronograma. La junta quería saber cuándo se informó al administrador municipal y quién autorizó las operaciones manuales. Nuestra aseguradora quería fechas y duraciones. Lo único que tenía era un registro de llamadas de mi teléfono personal, un bloc de notas y un hilo de mensajes de grupo de la segunda noche que prefería no entregar a nadie.
Los recuerdos no son un registro. Los canales en los que improvisas son los que se espera que aporten pruebas seis semanas más tarde.
Todas las medidas de mitigación de la lista de directrices del sector estaban en marcha esa semana. Desde mi punto de vista, ninguna de ellas parecía una medida de mitigación. Se presentaban como llamadas que tenía que hacer a personas que quizá no contestaran, a través de canales de los que no estaba seguro, antes de saber lo suficiente como para pronunciar en voz alta la palabra «incidente». Las directrices están redactadas para el momento posterior a la declaración. Lo difícil fueron las once horas previas a ella.
Lecturas relacionadas:
El día en que todo se tuerce: un director, un turno, un incidente que nadie ha denunciado todavía
Todo lo que en las directrices se denomina «medida de mitigación» llega a la planta en forma de llamada telefónica a alguien que quizá no conteste.
27 de agosto de 2026
·Blog
·Jay Goodman
Este informe sintetizado se ha elaborado a partir de avisos publicados, informes de análisis posterior a los incidentes y conversaciones con operadores de sistemas de este tamaño. No se describe ninguna empresa de servicios públicos en concreto. El narrador dirige un sistema de abastecimiento de agua que da servicio a unas 25 000 personas, cuenta con once empleados, un servicio de TI subcontratado a dos horas de distancia, un sistema SCADA gestionado por un integrador y no tiene turno de noche.
La primera llamada llegó a las 9:40 de un martes por la mañana. Nuestro integrador estaba en el sistema de registro de datos realizando una tarea rutinaria y detectó tráfico saliente procedente de un segmento que no debería comunicarse con nada. No era su tráfico. No era su ventana de mantenimiento. No podían explicarlo, así que iban a consultar los registros y volver a llamarme.
Seminario web bajo demanda: Lo que CI Fortify no dice sobre las comunicaciones
Esa llamada duró seis minutos. Me pasé los veinte siguientes buscando explicaciones lógicas, porque eso es lo que se hace. La actualización del firmware del mes pasado. La conexión de retorno móvil del nuevo sensor de presión. Un portátil de un proveedor que alguien se olvidó de desconectar de la red en abril.
A las 10:35, nuestra asociación estatal nos reenvió una notificación. Los sistemas que utilizaban un determinado producto de acceso remoto conectado a Internet figuraban en una lista de objetivos, y estas eran las instrucciones. Nosotros utilizamos ese producto. Lo compramos en 2021 para que el integrador pudiera resolver los problemas por la noche sin tener que conducir tres horas de ida y otras tres de vuelta.
Ninguna de las dos cosas demostraba nada. Juntas, implicaban que no podía llevar a cabo la jornada con normalidad, pero tampoco podía declarar que se tratara de un incidente. Nuestro plan de respuesta ante emergencias establece un umbral para una intrusión confirmada. No contempla el caso de dos elementos que podrían no significar nada.
Las llamadas que hay que hacer antes de poder calificarlo como un incidente
Primero, el integrador. ¿Qué ves realmente? ¿Qué puedes descartar? ¿Cuándo puede acudir alguien al lugar? El jueves, según dijeron, a menos que elevemos el asunto.
Entonces contratamos servicios de TI. Nuestro proveedor de servicios gestionados (MSP) es bueno. Además, está a dos horas de distancia. El contrato cubre el horario laboral, y el técnico que conoce nuestro entorno estaba atendiendo a otro cliente. Se abrió un ticket. Así que ahora la frase «posible acceso no autorizado a la red de control» figura en un sistema de tickets que no administro, con notificaciones que se envían a direcciones de correo electrónico de mi dominio.
A continuación, el operador de guardia. No cambies nada, anota todo lo que se mueva y llámame si un valor de consigna varía por sí solo.
Luego, la alcaldesa, antes de comer, porque si esto se convierte en un asunto público, la primera vez que se entere no puede ser a través de un periodista. Me preguntó si el agua era segura. Le dije que sí, y que lo sabía por los residuos que estábamos midiendo manualmente, en lugar de por el sistema que normalmente los registra.
En algún momento empecé a escribir la situación para el integrador y me quedé con el cursor parpadeando. Cada frase que estaba a punto de escribir describía un punto débil de mi planta, y la cuenta que estaba utilizando se autenticaba en el mismo directorio que la máquina que nos preocupaba. Compartimos nuestro servidor con el ayuntamiento. No tenía motivos para pensar que alguien lo estuviera leyendo, pero tampoco había forma de demostrar que nadie lo hiciera. Así que, en su lugar, llamé por teléfono y mantuve la misma conversación otras cuatro veces por voz; a las 14:00 ya tenía una idea clara en mi cabeza, sin haber escrito ni una sola línea en ningún sitio.
La decisión y lo que realmente cuesta
El plan del jueves se convirtió en la decisión del martes por la tarde. Desactivar el acceso remoto, desconectar el segmento y operar manualmente hasta que el integrador pueda volver a configurarlo a partir de algo que sepamos que está en buen estado.
Sobre el papel son tres pasos. En la gestión de personal, la situación es la siguiente: la dosificación de productos químicos se realiza a mano, los residuos se registran cada dos horas por alguien certificado para ello, y tengo tres personas que cumplen los requisitos. Una de ellas estaba en la graduación de su hija en otro estado. Al no haber turno de noche, alguien tiene que cubrir el horario de las 23:00 a las 7:00, lo que implica llamar a la gente a casa, luego llamar a sus cónyuges y, finalmente, conducir hasta una vivienda porque el teléfono estaba apagado.
La aplicación que suelo utilizar para organizar la cobertura funciona en la red que acababa de desconectar. La lista de llamadas impresa que había en la pared, junto a la estación de trabajo SCADA, tenía catorce meses de antigüedad y dos de los números ya no estaban operativos.
Las operaciones manuales son más una cadena de custodia que un procedimiento. Quienquiera que entre a las 11 tiene que saber cuál fue la última lectura, qué hemos cambiado y cómo era la situación normal antes del martes. Eso es una conversación, y se repitió seis veces durante los cuatro días siguientes, todas ellas a través del móvil personal de alguien.
Salir al mercado antes de saber nada
La agencia principal tenía que recibir mis informes, y el plazo para presentarlos no espera a que tengas una visión técnica completa. Mi primer informe consistió, en su mayor parte, en una lista de aspectos que no pude confirmar: tráfico saliente inexplicable; una exposición que coincidía con una notificación; un segmento desconectado; operaciones manuales en marcha; ninguna prueba de manipulación del proceso, ni tampoco ninguna que lo descartara.
El Estado preguntó quién se encargaba del análisis forense. Respondí que el integrador y nuestro MSP, y me di cuenta de cómo sonaba eso justo en el momento en que lo dije.
La oficina local del FBI se mostró profesional y quería los artefactos, pero estos se encontraban en la red en cuestión. También aprendí que «¿se lo contamos al público?» no es una cuestión técnica, y que la conversación sale mucho mejor si hay un abogado municipal al otro lado del teléfono.
El regreso
Nueve días, de principio a fin. El integrador reinstaló los equipos afectados a partir de imágenes que se sabía que funcionaban correctamente; terminamos el proceso manual un domingo por la tarde, y la última decisión resultó ser precisamente aquella para la que nadie escribe un procedimiento. En algún momento tuve que volver a confiar en un sensor.
Nada genera un certificado que diga que todo está en orden. Lo que obtienes es un grupo de personas que te dicen lo que han comprobado, y tu propio criterio para decidir si eso ha sido suficiente. Di el visto bueno un domingo porque las lecturas manuales se habían mantenido estables durante nueve días y dos personas cuyo trabajo conozco me dijeron que la reconstrucción era sólida. Esa es la versión sincera.
La parte que viene después y de la que nadie te avisa
Luego vino el papeleo, y fue muy riguroso. El Estado quería un cronograma. La junta quería saber cuándo se informó al administrador municipal y quién autorizó las operaciones manuales. Nuestra aseguradora quería fechas y duraciones. Lo único que tenía era un registro de llamadas de mi teléfono personal, un bloc de notas y un hilo de mensajes de grupo de la segunda noche que prefería no entregar a nadie.
Los recuerdos no son un registro. Los canales en los que improvisas son los que se espera que aporten pruebas seis semanas más tarde.
Todas las medidas de mitigación de la lista de directrices del sector estaban en marcha esa semana. Desde mi punto de vista, ninguna de ellas parecía una medida de mitigación. Se presentaban como llamadas que tenía que hacer a personas que quizá no contestaran, a través de canales de los que no estaba seguro, antes de saber lo suficiente como para pronunciar en voz alta la palabra «incidente». Las directrices están redactadas para el momento posterior a la declaración. Lo difícil fueron las once horas previas a ella.
Lecturas relacionadas:
%3Aquality(100)&w=3840&q=75)