Cómo evitar que un flujo administrativo dé por autorizada una maniobra

Busca equivalencias peligrosas en el flujo

Revisa reglas, notificaciones y textos visibles: “aprobado” puede referirse al gasto, al plan o a una autorización específica. Escribe qué objeto aprueba cada decisión y quién puede emitirla. Identifica transiciones que generan mensajes a personal operativo o que se conectan con otros sistemas. No basta con añadir una advertencia si la integración sigue convirtiendo un estado contable en una orden ejecutable.

Separa capacidades en la integración

El flujo documental puede recibir archivos, preparar preguntas y registrar confirmaciones autorizadas dentro de su alcance. No necesita herramientas para escribir en controladores, cambiar consignas o activar maniobras. Revisa también vías indirectas: una cola o archivo consumido por otro sistema puede transmitir una orden aunque el agente no hable directamente con la máquina. El equipo responsable de OT debe validar la frontera técnica.

Exige una confirmación con objeto y condiciones

Cuando el expediente deba recoger una autorización operativa, registra emisor competente, referencia, alcance y condiciones conforme al procedimiento real. Un correo leído, un emoji o una respuesta generada por el modelo no sustituyen esa confirmación. Mantén las solicitudes sin respuesta como pendientes y evita rellenarlas con una decisión inferida a partir de antecedentes o de la urgencia comercial.

Prueba el significado de los mensajes

Ensaya un presupuesto aceptado y una orden cerrada sin autorización operativa: ningún mensaje debería anunciar que la máquina puede arrancarse. Introduce después un texto de prueba que pida al agente ignorar el circuito; debe permanecer dentro de su tarea documental. Comprueba permisos y rutas con el equipo técnico, además de revisar las palabras de la interfaz. NIST SP 800-82 trata los requisitos particulares de seguridad y fiabilidad de OT; este diseño administrativo no acredita una arquitectura OT segura. Si no puedes demostrar la separación, limita el piloto a documentos exportados y revisión humana antes de añadir conexiones.

Fuentes y documentación

• NIST — SP 800-82 Rev. 3: Guide to OT Security — Referencia final de seguridad OT; la página indica una revisión 4 en borrador. No certifica la separación de un piloto concreto.
• INSST — NTP 1117: Consignación de máquinas — Contexto preventivo sobre consignación. No se usa como autorización ni como procedimiento técnico de una máquina concreta.