Lista de Verificación de Preparación para Auditorías de Energía y Servicios Públicos

Gestión de Cambios + Preparación para la Gestión del Conocimiento

Las organizaciones de energía y servicios públicos operan en entornos donde cada cambio es importante. Ya sea que el cambio afecte a los sistemas de TI, la infraestructura de OT, los sistemas cibernéticos BES, los controles de acceso, los procedimientos o el conocimiento operativo, la preparación para la auditoría depende de poder demostrar que se siguió el proceso correcto.

Esta lista de verificación está diseñada para ayudar a los equipos a evaluar rápidamente si sus prácticas actuales de gestión de cambios y gestión del conocimiento están listas para una revisión de auditoría, especialmente en entornos influenciados por los requisitos NERC CIP.

Utilice esto como una verificación rápida de preparación para saber si usted y su equipo están preparados o si todavía se aferran a los esfuerzos manuales.

‍

Identificación y Categorización de Activos

La infraestructura crítica, los sistemas cibernéticos BES, los activos cibernéticos BES y los sistemas de soporte están claramente identificados y categorizados.

La categorización de activos considera todos los recursos de generación, incluidos los DER y la generación conectada a la distribución, al determinar las clasificaciones de impacto del Centro de Control.

La segmentación física y lógica entre la generación BES y no BES está documentada y revisada.

Los activos no se evalúan incorrectamente como un único Centro de Control cuando la segmentación o la responsabilidad operativa deberían evaluarse por separado.

Los registros de activos están conectados a cambios relacionados, incidentes, procedimientos, propietarios, ubicaciones y evidencia de cumplimiento.

‍

Documentación de Solicitudes de Cambio

Cada solicitud de cambio incluye el sistema afectado, el activo, la ubicación, el propietario y la razón comercial.

Los cambios se categorizan por tipo: estándar, normal, de emergencia, de alto riesgo, de TI, de OT o relacionados con el cumplimiento.

Los cambios que involucran sistemas cibernéticos BES, infraestructura de OT, controles de acceso, servicios en la nube o sistemas regulados se señalan claramente.

Los detalles de implementación requeridos, los planes de prueba, los pasos de reversión y las notas de validación se registran antes de la aprobación.

El historial de cambios se registra digitalmente en lugar de solo a través de correos electrónicos, hojas de cálculo, documentos compartidos o traspasos informales.

‍

Controles de Aprobación y Gobernanza

Los flujos de trabajo de aprobación se basan en el riesgo, la criticidad del activo, la relevancia del cumplimiento y el tipo de cambio.

Los cambios de alto riesgo o regulados requieren una revisión documentada antes de su implementación.

Los cambios de emergencia incluyen una justificación, aprobación acelerada y revisión posterior a la implementación.

Las aprobaciones incluyen marcas de tiempo, identidad del aprobador, historial de decisiones y contexto de apoyo.

La misma persona solicita, aprueba, implementa y valida un cambio de alto riesgo sin supervisión.

‍

Supervisión de Terceros, Proveedores y Cadena de Suministro

Los términos contractuales exigen que los proveedores de servicios externos cumplan con las Normas de Fiabilidad NERC aplicables.

Las tareas de cumplimiento de terceros están respaldadas por evidencia documentada como registros, marcas de tiempo, aprobaciones, capturas de pantalla o registros de finalización.

Los cambios realizados por proveedores, las actualizaciones de firewall, las pruebas PACS, las revisiones de vulnerabilidades o las tareas técnicas son verificados por el equipo interno.

Se documentan los requisitos de personal, infraestructura y ubicación de datos de terceros, incluidos los controles compensatorios para geografía, acceso o residencia de datos.

Los planes de Gestión de Riesgos de la Cadena de Suministro incluyen a los proveedores existentes, las funciones externalizadas y los proveedores de servicios en la nube, no solo la incorporación de nuevos proveedores.

‍

Evaluación de Vulnerabilidades y Validación Técnica

Las evaluaciones de vulnerabilidad y las pruebas técnicas se documentan para los sistemas aplicables.

Los equipos internos participan en el análisis y la priorización de los resultados técnicos, incluidos los hallazgos de escaneos de vulnerabilidades.

Los hallazgos técnicos se priorizan en función de la tolerancia al riesgo organizacional, la criticidad de los activos y el impacto operativo.

Las acciones de remediación se vinculan a los registros de cambios, los responsables, las fechas límite y la evidencia de finalización.

Los resultados técnicos proporcionados por el proveedor son revisados, aceptados y documentados por la entidad interna responsable.

‍

Pruebas, Validación y Reversión

Los requisitos de prueba se documentan antes de que se aprueben los cambios.

Los resultados de las pruebas o la evidencia de validación se adjuntan al registro de cambios.

Se requieren planes de reversión para cambios de alto riesgo, con impacto en TO, con impacto en la nube o sensibles al cumplimiento normativo.

La validación posterior al cambio se documenta después de la implementación.

Los cambios fallidos o parcialmente exitosos se revisan y se vinculan a acciones correctivas.

‍

Preparación para la Gestión del Conocimiento

Los equipos saben qué procedimientos, runbooks, políticas y artículos de conocimiento son la fuente autorizada.

El conocimiento crítico se revisa, se controla por versiones y se actualiza según un cronograma definido.

El conocimiento obsoleto, duplicado o conflictivo se marca antes de ser utilizado.

El conocimiento sensible operativo, de proveedores, de la nube o de cumplimiento tiene el acceso controlado por rol o responsabilidad.

Los artículos de conocimiento se pueden vincular a registros de cambios, incidentes, activos, proveedores y evidencia de auditoría.

‍

Evidencia de Auditoría e Informes

La evidencia de auditoría se captura durante todo el proceso de cambio, no se reconstruye a posteriori.

Registros de cambios incluyen detalles de la solicitud, aprobaciones, revisión de riesgos, notas de implementación, evidencia de pruebas, planes de reversión y resultados de validación.

La evidencia se puede filtrar por activo, fecha, tipo de cambio, aprobador, proveedor, unidad de negocio o categoría de cumplimiento.

Los informes pueden mostrar si se siguió el proceso requerido para cambios normales, de emergencia, de terceros y de alto riesgo.

Los paquetes de auditoría se pueden generar sin extraer evidencia de múltiples sistemas desconectados.

‍

Mejora Operativa

Los cambios fallidos, los cambios de emergencia, los problemas con proveedores y los incidentes repetidos se revisan en busca de deficiencias en el proceso.

Las lecciones aprendidas se convierten en procedimientos actualizados o artículos de conocimiento.

Las soluciones provisionales manuales se revisan y se reducen o eliminan con el tiempo.

Las brechas de conocimiento se identifican a partir de incidentes, fallos en los cambios, traspasos de proveedores y hallazgos de auditoría.

La dirección puede ver tendencias en el éxito de los cambios, cambios de emergencia, riesgos relacionados con proveedores, excepciones de auditoría y brechas de conocimiento.

‍

Puntuación Final = 0%

Puntuación de Preparación = 0%

Puntuación de Preparación Parcial = 0%

Puntuación de Brecha/Desconocido = 0%

‍

Qué puede indicar su puntuación

‍

Mayormente preparado

Su organización probablemente tiene un sólido control de procesos y puede generar evidencia de auditoría con mínima interrupción.

‍

Muchas respuestas "parcialmente preparadas"

Su proceso puede existir, pero es probable que dependa de un seguimiento manual, herramientas desconectadas o el esfuerzo individual. Estas áreas pueden generar fricción en la auditoría, incluso cuando el trabajo se realiza correctamente.

‍

Varias lagunas o incógnitas

Su organización puede estar expuesta a retrasos en la auditoría, evidencia incompleta, control de cambios inconsistente o problemas de fiabilidad del conocimiento.

Si un auditor preguntara mañana, ¿podría su equipo demostrar rápidamente:

• ¿Quién solicitó el cambio?

• ¿Por qué era necesario?

• ¿Qué sistemas o activos se vieron afectados?

• ¿Quién lo aprobó?

• ¿Qué riesgo se revisó?

• ¿Qué conocimiento o procedimiento se siguió?

• ¿Cómo se probó?

• ¿Funcionó?

• ¿Dónde reside la evidencia? Si la respuesta requiere buscar en correos electrónicos, hojas de cálculo, unidades compartidas, capturas de pantalla y conocimiento tácito, su proceso podría estar trabajando más de lo necesario.

‍

¿Listo para reducir el caos en las auditorías?

Descubra cómo los flujos de trabajo conectados de cambio y conocimiento pueden facilitar la captura, gestión y prueba de la evidencia de cumplimiento.

Programar una revisión de preparación

‍