19 julio 2012


A finales del pasado mes de Junio el Instituto Español de Ciberseguridad – Spanish Cyber Security Institute, en adelante SCSI (iniciativa del ISMS Forum Spain), publicó su primer estudio titulado “Ciberseguridad nacional, un compromiso detodos”. Este estudio realiza un análisis y diagnóstico del estado actual de la ciberseguridad en España, argumentando por qué es necesaria una Estrategia Nacional de Ciberseguridad y exponiendo cuales deben ser sus funciones, habilitadores, objetivos a corto-medio plazo y las acciones más relevantes para alcanzar estos objetivos. 


En el presente artículo nos centraremos en explicar por qué es necesaria una Estrategia Nacional de Ciberseguridad en España. 

Durante el último lustro, muchos de los países de nuestro entorno geopolítico han reconocido la importancia estratégica de disponer de un ciberespacio seguro para garantizar la prosperidad económica, social y cultural de los diferentes Estados. La Estrategia Nacional de Ciberseguridad debe transmitir esta importancia estratégica, pero además, debe servir de guía para los responsables de la dirección, control y gestión de la ciberseguridad nacional, así como para sus beneficiarios, y servir como instrumento de disuasión para sus potenciales transgresores. 

La Estrategia Nacional de Ciberseguridad debe dar respuesta a las siguientes cuestiones:
  1. ¿Qué preocupa? (Riesgos y amenazas)

    La novedad, diversidad y heterogeneidad de los riesgos y amenazas relacionados con el ciberespacio hacen indispensable un conocimiento de ciber-situación fiable y actualizada que proporcione a los responsables de la ciberseguridad nacional el conocimiento necesario para su dirección, control y gestión. 

  2. ¿Quién se preocupa? (Responsables)

    La  seguridad del ciberespacio nacional es responsabilidad del Gobierno. Presidencia del Gobierno debe asumir el liderazgo de la ciberseguridad nacional. Para ello, deberá crear un sistema nacional de ciberseguridad, es decir, el conjunto  de órganos, organismos y procedimientos que permitan  la  dirección, control y gestión de la seguridad de nuestro ciberespacio.

  3. ¿Cómo se responde a esa preocupación? (Políticas)

    El Gobierno de España deberá mostrar una determinación política para hacer frente a los riesgos y amenazas cibernéticos y, por ello, deberá fijar unos objetivos y  priorizarlos.

    Del mismo modo, la creación del sistema nacional de ciberseguridad permitirá reducir el riesgo asociado a que cada ministerio y agencia decidan sus líneas de actuación sin tener en cuenta las de los demás y, como resultado, que los gobiernos luego se vean obligados a hacer un esfuerzo de coordinación adicional que se podría haber evitado si se hubieran dado orientaciones adecuadas desde un comienzo. Las principales políticas deben ir dirigidas a fomentar: La resiliencia de nuestro ciberespacio, la colaboración público – privada, la educación y concienciación, la I+D+i  y la colaboración internacional.
La construcción del sistema nacional de ciberseguridad deberá realizarse a partir de los habilitadores de la ciberseguridad, que dividimos en habilitadores principales, aquellos que permitirán construir el sistema nacional de ciberseguridad, y habilitadores secundarios, aquellos que permitirán hacer funcionar el sistema en conjunción con los primarios.

Los habilitadores principales son:

  • Liderazgo del Estado. El Estado tiene la obligación de legislar y actuar para proteger, o hacer que se protejan, los servicios que se prestan en el ciberespacio y que permiten a los ciudadanos, sus organizaciones y empresas, desarrollarse en los ámbitos social, cultural y económico, entre otros. Cumplir con tal obligación implica el ejercicio del liderazgo para la definición de políticas, estrategias y normativa jurídica en materia de ciberseguridad, además de crear los instrumentos organizativos que permitan su aplicación. Corresponde a la Presidencia del Gobierno asumir este liderazgo.
  • Estructura Organizativa. El Estado debe crear una estructura organizativa que permita  la dirección, control y  gestión de la ciberseguridad nacional.
  • Marco legislativo. Será necesario desarrollar un marco legislativo que de soporte a la ciberseguridad nacional, que resulte eficaz y a la vez tenga en cuenta los derechos fundamentales y libertades públicas del estado de derecho.  Cuanto menos dispersas sean las normas que formen parte de ese marco legislativo, el nivel de seguridad jurídica  será mayor.
  • Metodología. El carácter novedoso del ciberespacio y la complejidad de su seguridad, hacen necesario desarrollar una metodología de trabajo que proporcione un mejor entendimiento sobre la importancia estratégica del ciberespacio así como de su estado de riesgo. Esta metodología deberá proporcionar: un lenguaje común, unos fundamentos teóricos homogeneizados y unos procedimientos en los que se describa el modo de proceder en materia de ciberseguridad.
  • Tecnología. La tecnología es el fundamento del ciberespacio. El conocimiento y adaptación a la continua  evolución tecnológica y técnica resultan  fundamentales para mejorar la resiliencia y seguridad de nuestro ciberespacio.

Los habilitadores secundarios son:

  • Estado de Ciber-situación. El conocimiento de la ciber-situación debe proporcionar el conocimiento inmediato del ciberespacio propio, el del resto de naciones, y el de cualquier otro de interés, así como el conocimiento del estado y disponibilidad de las capacidades operativas  que son necesarias para el planeamiento, dirección y gestión de las operaciones necesarias para la seguridad del ciberespacio.
  • Compartición de información. Se deben articular un conjunto de mecanismos que permita a los diferentes actores de la ciberseguridad nacional compartir información de manera eficiente y eficaz. Además, la compartición de información ayudará a conseguir un conocimiento de ciber-situación fiable y actualizado, mejorará  la disponibilidad y resiliencia de los activos de la ciberseguridad nacional,       permitirá  gestionar de modo eficaz y eficiente  las crisis cibernéticas y, en otro contexto, permitirá optimizar la inversión económica en materia de ciberseguridad, racionalizando el uso de recursos, humanos y técnicos.
  • Concienciación y educación. La sociedad española debe conocer el alcance y la complejidad de la ciberseguridad nacional,  así como tomar conciencia de los riesgos individuales (privacidad e intimidad) y colectivos (seguridad nacional, prosperidad económica, social y cultural) a los que está  expuesta si se hace un uso irresponsable del ciberespacio.
  • Comunicación Estratégica. Es necesario elaborar una política de comunicación estratégica sobre los asuntos de la ciberseguridad nacional y las situaciones de crisis cibernéticas, así como impulsar el debate parlamentario y social en la revisión y aprobación de las estrategias,      promover la comunicación público-privada y entre las administraciones, difundir alertas y recomendaciones a la población.
  • Colaboración Público-Privada. El Gobierno de España no dispone, por sí mismo, de las capacidades necesarias para garantizar la seguridad del ciberespacio nacional y, por tanto, deberá contar con el sector privado, entre otros, para alcanzar un nivel de seguridad acorde a un estado de riesgo conocido y controlado. Es responsabilidad del Gobierno de España crear y fomentar un marco de colaboración público–privado.
  • I+D+i. La fuerte componente tecnológica del ciberespacio y la ciberseguridad, obliga a fomentar la competitividad y la  I+D+i en el sector público y privado nacional. Para ello el Gobierno de España deberá desarrollar un conjunto de políticas que tengan como objetivo que las empresas nacionales puedan comercializar sus productos y servicios, que  el Estado mantenga un estado tecnológico avanzado y, lo que resulta más importante, que disponga de unos “socios” ágiles para responder a la dinámica evolución de las TIC.
  • Cooperación Internacional. El carácter global del ciberespacio hace necesario mantener alianzas, no solo con nuestros aliados, sino con el resto de países que se encuentran más allá de nuestro ámbito geopolítico.
En definitiva, España, a pesar de los grandes esfuerzos realizados, no dispone aún de una capacidad sólida que permita realizar una dirección, control y gestión eficaces y eficientes de nuestra ciberseguridad. La Estrategia Nacional de Ciberseguridad debe ser el instrumento que posibilite disponer de unas capacidades de ciberseguridad acordes a las necesidades que el estado del riesgo del ciberespacio demande en cada momento.



------------------------

Articulo cortesía de @EFOJONC y @infosecmanblog, miembros del SCSI

12 comments :

PICKSTUCK dijo...

Socios tecnologicos agiles? Esa es la idea, pero me temo que seguiremos haciendo lo de siempre, comprar fuera.

Román Ramírez dijo...

A mí todo este tema me parece muy bien, y veo muy interesante lo que comentáis. PERO me parece vergonzoso el estado de la seguridad en infraestructuras críticas y, sobre todo, me parece alarmante la tibieza con la que todo el mundo se toma que multitud de elementos inseguros sean perfectamente visibles desde Internet (no hay más que darse un paseo por Shodan buscando fabricantes concretos).


Lo que veo en la estrategia nacional de ciberseguridad es mucho "chow, chow", mucha gente que quiere figurar en comités y mucha pasta que quieren sangrar empresas proveedoras... pero acción inmediata y urgente CERO.


Y hablando como ciudadano, pues qué queréis que os diga, me ASUSTA pensar que haya tanta charla y tanta falsa preocupación con el "terrorismo" y luego esté todo tan expuesto.


Es incongruente decir a la vez "la terrible amenaza terrorista" y "es demasiado costoso solucionar los problemas de seguridad en infraestructuras heredadas y desplegadas".


O no hay amenaza terrorista/militar/... alguna o, si la hay, lo estamos haciendo tremendamente MAL.


En Securmática cité el informe REINA con las cifras que se invierten en temas de TI (unas cifras absolutamente descomunales) y no veo yo esas inversiones en defender a los ciudadanos de GRAVES (GRAVÍSIMAS) consecuencias en caso de que un idiota/malvado/terrorista se ponga a jugar con un panel SCADA de vete tú a saber qué...


En resumen, más chow chow y más impuestos desperdiciados en que se lleven dinero empresas que, parece, que luego no hacen nada; obviamente, será necesario que la líen parda y mueran trescientas personas para que alguien se ponga las pilas...

Román Ramírez dijo...

Sí, o vender en prensa lo "bien que se hace todo" y salir en las pertinentes fotos, pero hacer, lo que se dice hacer esos "socios tecnológicos ágiles"...

PICKSTUCK dijo...

De acuerdo con Román en el fondo de lo
que expone. Yo he leído el informe del articulo hace unos días y hay medidas
concretas que fomentaran lo que tu pides, o eso creo pensar...... Lo difícil es
que los que mandan en este país se den cuenta de que esto es realmente
importante... si no lo entienden estamos jodidos todos. Creéis que los que
deciden en nuestro país piensan en estas cosas? Me inclino a un NO rotundo.
Luego no me extraña que haya que buscarse la vida fuera de este país y vaya
como va.

PICKSTUCK dijo...

Me parece buena idea crear un sistema de socios tecnologicos, pero no los de siempre...ya sabes... Joder, me parece atinado el concepto socio tecnologico agil!

Fede dijo...

Me parece un artículo muy completo que expone claramente las líneas que debería seguir este y cualquier gobierno sobre como enfrentarnos a los problemas que van surguiendo en el mundo de la ciberseguridad. Ójala tomaran nota las instituciones públicas, aunque estando la cosa como está, jodido lo veo.

Román Ramírez dijo...

Mientras tanto en Estados Unidos...
http://packetstormsecurity.org/news/view/21262/Senators-Call-For-Probe-Of-Electrical-Grid-Cybersecurity.html


Y yo me tengo que comer comentarios de que "soy un radical" porque creo que estas cosas hay que auditarlas y sancionar a degüello...

Puchi dijo...

Román, he perdido 1 hora en leer el documento y me ha gustado. Joder, es la primera vez que veo proponer medidas concretas. Pero no creo que hagan anda.....

FLICKMAN dijo...

Esto de los habilitadores es curioso..cumplimos alguno?????

Jorge Sandoval dijo...

debo reconocer que al ppio pense en un documento chow chow como dices tú. Fíjate si me aburría ayer que me lo leí a la hora de la siesta y me parecio interesante sobre todo el análisis del estado actual y el diagnóstico, por primera vez algo cr´tico y luego las medidas. En definitva si tienes 1 horita echale un ojo! Por cierto, que narices estan haciendo desde la adminsitración?

Samuel Linares dijo...

Solo por aclararlo, por si existiese alguna duda: tanto el articulo como el informe son totalmente independientes y no representan ninguna postura oficial.

Como comentáis algunos en vuestras aportaciones, hemos intentado realizar un estudio y análisis del estado actual, diagnostico y unas recomendaciones con acciones concretas que, llevadas acabo, cambiarían notablemente nuestra situación en lo que a la protección de nuestro ciberespacio e infraestructuras criticas se refiere.

Ahora habrá que ver finalmente cual es la aproximación y recursos asignados a este tema. De ello tambien dependerá nuestra mejora en el posicionamiento socioeconómico, o eso creo yo...

Gracias por vuestros comentarios!

SL

@EFOJONC dijo...

Buenas Tardes Román,
Estoy de acuerdo con el fondo de lo que planteas en tu post. El problema reside en que estos temas deberían tener un caracter nacional por su importancia estratégica y ser el estado quien lidere la ciberseguridad. Suena fácil pero es muy difícil crear un sistema nacional de ciberseguridad. En nuestro estudio, como apunta Samuel, hemos expuestos nuestras ideas desde la independencia y creo que somos razonablemente criticos con el estado actual de seguridad de nuestrro ciberespacio que dista mucho de unn estado de riesgo conocido y controlado.
La estrategia de ciberseguridad debe disponer de orden y concierto apostando por retener, motivar y premiar a los grandisímos profesionales que desarrollaís vuestra actividad en España.
De todas formas, en el ultimo punto del estudio hemos enumerado un conjunto de acciones concretas a desarrollar hasta 2015 y no seguir divergiendo en esta materia.
Un Saludo