OT.8

Playbook de respuesta — Extracción de recetas y parámetros de PLC

Área OT · Entornos industriales ICS/SCADA (propuesta TTPSEC) — Efecto: Robo de datos de procesos

PICERL / NIST SP 800-61

Clasificación preliminar y orientativa. No constituye una decisión jurídica ni reemplaza la evaluación del encargado de ciberseguridad. Reporte oficial en portal.anci.gob.cl.

Técnicas MITRE asociadas

T0882 Theft of Operational Information · MITRE ATT&CK ICS · confianza media

Fases de respuesta

P · PreparaciónAntes del incidente: controles y visibilidad

Implementar de forma preventiva: DLP
Implementar de forma preventiva: control de exportación
Implementar de forma preventiva: monitoreo de red
Implementar de forma preventiva: cifrado de datos sensibles
Implementar de forma preventiva: clasificación de información
Alinear los controles de base del incidente — ISO 13.2, ISO 9.1, CIS CIS 13, CIS CIS 3
Asegurar que la telemetría requerida esté activa y llegando al SIEM (ver mapa de visibilidad)

I · Detección y análisisIdentificar y dimensionar el ataque

Descargas de configuración/recetas de PLC. Fuente: IDS OT, DLP.
Confirmar el alcance: sistemas, cuentas, datos y segmentos afectados
Desplegar y ejecutar las reglas del Códice de Detección de este incidente (Sigma, YARA, Suricata)

C · ContenciónLimitar el impacto de inmediato

Aislar el segmento OT afectado SIN detener el proceso sin evaluar la seguridad física
Coordinar con ingeniería de planta antes de cualquier acción de control
Pasar a control manual seguro si el proceso lo permite

E · ErradicaciónEliminar la causa raíz

Verificar y restaurar el firmware/lógica del controlador desde una copia autorizada
Eliminar el acceso del atacante a la red industrial
Reforzar mitigación: Cifrado, control de exportación, clasificación y monitoreo de red OT.

R · RecuperaciónVolver a operación normal de forma segura

Validar el proceso en condiciones seguras antes de volver a modo automático
Confirmar la integridad de PLC, HMI e historiadores
Confirmar que la telemetría y las detecciones vuelven a la normalidad

L · Lecciones aprendidasCerrar el ciclo y mejorar

Documentar causa raíz y línea de tiempo del incidente
Actualizar controles ISO/CIS/NIST para cerrar las brechas detectadas — ISO 13.2, ISO 9.1, CIS CIS 13
Crear o mejorar reglas de detección en el Códice para eliminar puntos ciegos

Obligaciones de reporte — Ley 21.663

3 horasAlerta temprana
1 díaActualización — OIV con servicio esencial afectado (OIV con servicio esencial afectado)
3 díasSegunda notificación (actualización)
7 díasPlan de acción — OIV (OIV)
15 díasInforme final

Controles de referencia

ISO/IEC 27002: 13.2 Transferencia de información; 9.1 Requisitos de negocio
CIS Controls v8.1: CIS 13 Protección de datos; CIS 3 Protección de datos

PLAYBOOK ANCI by TTPSEC · playbook.ttpsec.cl · Recurso independiente y educativo; no constituye una plataforma oficial de la ANCI.
Fuentes: Ley 21.663 (art. 9) · Resolución Exenta N.º 7/2025 · Reglamento de Reporte (Decreto 295/2024) · MITRE ATT&CK / ATLAS. Revisión 2026-07.