Designar a un CISO y a un CISO alterno dedicados como empleados sénior de planta, ciudadanos o residentes indios, con título en ingeniería y más de 15 años de experiencia en el sector eléctrico o de TI. Con una permanencia mínima de 3 años, limitados exclusivamente a la ciberseguridad, y cuyos datos de contacto se publiquen de forma pública y se notifiquen al CSIRT-Power.

Establezca un ISD interno basado en India, no un centro de soporte técnico subcontratado, integrado por personal certificado que brinda monitoreo las 24 horas del día, los 7 días de la semana, e integrado con su flujo de trabajo de respuesta a incidentes y detección de red de OT.

Los sistemas de control deben estar separados físicamente de la TI corporativa y de internet. Cualquier conexión lógica requiere la aprobación de la junta directiva, cortafuegos ESP y el despliegue de pasarelas unidireccionales; los datos fluyen en una sola dirección, hacia afuera, nunca hacia adentro.

Mantenga un Registro de Activos Cibernéticos completo y continuamente actualizado que abarque cada componente PLC, RTU, HMI y SCADA —mapeado por nivel de criticidad, de modo que nada que no esté mapeado o documentado se pase por alto en una auditoría.

Se requiere una auditoría exhaustiva con una agencia acreditada por CERT-In en un ciclo de 9 a 15 meses. Cualquier hallazgo Crítico o Alto debe remediarse dentro de un SLA de 1 mes, respaldado por evidencia documentada en lugar de una declaración de intenciones.

Los OEM deben proporcionar una Lista de Materiales (BOM), enviar parches firmados digitalmente y superar una evaluación formal de riesgos de proveedores, con anexos contractuales que cubran la divulgación de la BOM y acuerdos de confidencialidad (NDA) antes de que puedan interactuar con su infraestructura.

Reporte los incidentes al CSIRT-Power y al CERT-In dentro de las 6 horas siguientes a su detección. Si se clasifica como sabotaje cibernético, el plazo se reduce a 24 horas para los sistemas críticos, debiéndose conservar la evidencia durante todo el ciclo de auditoría.

Sin excepciones para sistemas heredados: el equipo de control más antiguo está dentro del alcance desde el primer día. Todos los datos operativos sensibles, sistemas en la nube y registros históricos deben residir estrictamente dentro de la India, cifrados, con controles de compensación documentados, no supuestos.