# data[].attributes.headline
México, tiene poca capacidad de Resiliencia.

# data[].attributes.subject
México, tiene poca capacidad de Resiliencia.

# data[].attributes.body
México, no tiene un Estrategia Nacional de Ciberseguridad, se ha basado en la de la Unión Europea

# data[].attributes.body
De acuerdo a una
entrevista de Erik de Pablos
Especialista en ciberseguridad
Español
Existen 3 puntos importantes
en una estrategia de ciberseguridad
para los estados:
a) Tener un buen mapa de riesgos y amenazas.
Tanto de ataques actuales y adelantarse a ataques futuros.
b) Mejorar la infraestructura de las redes tanto las publicas pero también las corporativas.
Crear políticas de ciberseguridad de control de acceso, firewall y respuesta a amenazas.
c) Profesionalizar al personal, para que estén siempre atentos a posibles amenazas y que tengan un mejor nivel de respuesta.

El objetivo de estas políticas, es consolidar la Resiliencia de un Estado.

# data[].attributes.attachment_link.description
We and our partners use cookies to personalize your experience, to show you ads based on your interests, and for measurement and analytics purposes. By using our website and our services, you agree to our use of cookies as described in our Cookie Policy.

# data[].attributes.headline
Breve descripción de "infraestructura crítica"

# data[].attributes.subject
Breve descripción de "infraestructura crítica"

# data[].attributes.attachment_link.readable_text
La infraestructura crítica son todos aquellos elementos o servicios básicos cuyo funcionamiento es indispensable, esencial ; es decir, no pueden ser sustituidos y que no permiten soluciones alternativas, los cuales proporcionan servicios fundamentales para la población, y cuya perturbación o destrucción tienen un grave impacto en el normal desarrollo de la vida social de un país.

Por regla general, la infraestructura crítica se materializa en los servicios públicos de un país, como salud, transporte, la administración política, las tecnologías de comunicación y de información, los servicios financieros, y de manera particular, los sistemas de agua potable y electricidad.

En otras palabras, el bienestar de la población está intrínsecamente vinculado al acceso permanente y de manera expedita a dichos servicios fundamentales, sin los cuales, la integridad física de la vida humana y de los bienes materiales que le están asociados queda puesta en riesgo.

Y más aún, la confianza sociopolítica de la población en las autoridades se instala, pudiendo sentar las bases para un quiebre y disolución del tejido social.

Ya sean empresas del sector publico o privado indudablemente que los sistemas IACS (Industrial Automation Control Systems ), forman una parte vital de las infraestructuras criticas y por este motivo que ISA (Industrial Society of Automation ), ha desarrollado la norma ISA 99 para ser aplicada en todas las áreas industriales.

Depende de cada país y de sus organismos dedicados a la seguridad, definir su Política de CiberDefensa y definir cuales serán sus prioridades.

# data[].attributes.attachment_link.description
La infraestructura crítica son todos aquellos elementos o servicios básicos cuyo funcionamiento es indispensable, esencial ; es decir, no pueden ser sustituidos y que no permiten soluciones alternativas, los cuales proporcionan servicios fundamentales para la población, y cuya perturbación o destrucción tienen un grave impacto en el normal desarrollo de la vida social de un país.

# data[].attributes.body
Repasamos los ataques más dañinos que han sufrido empresas energéticas y organismos públicos.

# data[].attributes.attachment_link.readable_text
Durante muchos años, los expertos avisaron de que el verdadero peligro de la ciberdelincuencia iba a estar en el territorio de las infraestructuras críticas. Y en los últimos meses hemos podido ser todos testigos de que las advertencias iban en serio. En poco tiempo hemos visto como un ransomware obligaba a cerrar una importante red de oleoductos en Estados Unidos, lo que ponía en entredicho el abastecimiento energético en buena parte del país.

También un ataque de este estilo llevó a la paralización de la actividad en el Servicio Público de Empleo Estatal (SEPE)a principios de marzo, afectando a las gestiones de millones de ciudadanos de este país. Y, por si no fuera poco, también las cruciales campañas de vacunación y el desarrollo de antídotos contra la Covid-19 han sufrido ataques informáticos.

Por no hablar de las constantes brechas de seguridad de grandes corporaciones, como la sufrida recientemente por Facebook, que ha dejado al descubierto datos de cientos de millones de cuentas en todo el mundo. O el espionaje a organismos públicos de Estados Unidos a través de un software de SolarWinds, un proveedor tecnológico de ese propio país, y que supone el mayor hito desde la Guerra Fría. En estas páginas hacemos un repaso por los ataques más relevantes de los últimos meses:

La tubería más importante de EEUU

Este ciberataque trascendió al mundo tecnológico y se coló en noticiarios de televisión y primeras páginas de medios de todo el mundo. El pasado viernes 9 de mayo se conocía que el principal operador estadounidense de oleoductos, Colonial Pipeline, cerraba toda su red después de sufrir un ciberataque de ransomware, con el que los piratas informáticos (en principio el grupo criminal DarkSide) exigían un rescate por el desbloqueo de los sistemas.

Por las tuberías de Colonial pasa la mitad del petróleo de la costa este. La firma abastece de crudo, desde Houston, a grandes ciudades y aeropuertos del este y del sur de Estados Unidos, incluida la región metropolitana de Nueva York. El incidente provocó problemas de suministro, pero también amenazó con elevar los precios de la gasolina. DarkSide es una red criminal que se sitúa en el este de Europa y que, en pocas horas, se hizo con 100 gigabytes de información sensible de la compañía.

"Esto es lo más cerca que se puede llegar a la yugular de la infraestructura en los Estados Unidos. No es una tubería importante. Es la tubería", comentó Amy Myers Jaffe, profesora y experta en política climática. Al cabo de unos días, Colonial pudo restablecer su actividad, pero, eso sí, tras pagar a DarkSide una cantidad cercana a cinco millones de dólares, según algunos medios.

Parálisis en el SEPE

A principios de marzo, millones de personas en España sufrían el parón del Servicio Público de Empleo Estatal (SEPE) por un ciberataque. El organismo encargado, entre otras cosas, de tramitar las prestaciones por desempleo y los ERTE sufrió una injerencia que le obligó a interrumpir sus servicios electrónicos y los trámites presenciales en las más de 700 oficinas que tiene por toda España.

Oficinas centrales de SEPE.

Según algunos medios y expertos, el culpable del problema fue el ransomware Ruyk, aunque en este caso no se ha sabido que haya habido petición de rescate. Ryuk es un código malicioso de origen ruso surgido en 2018 que suele emplearse para infectar objetivos muy específicos. Sólo al cabo de dos semanas el SEPE empezó a recuperar la normalidad. Pero, como consecuencia del ataque, más de 150.000 demandas de prestación se han tenido como retrasar, según el sindicato CCOO.

Brecha millonaria en The Phone House

Un ransomware también puso en la picota a la cadena de tiendas de telefonía The Phone House a mediados de abril. Concretamente el 17 de ese mes The Phone House hizo pública la noticia de que estaba sufriendo la filtración de datos de millones de clientes españoles. En la dark web, los responsables del ransomware Babuk habían publicado un mensaje diciendo que tenían información privada de más de tres millones de clientes (y empleados) de la cadena. Y amenazaban con difundirla. The Phone House optó por no pagar, pero vio como finalmente los criminales filtraban datos de algo más de cinco millones de clientes, como direcciones de correo electrónico, nombres, números de teléfono, direcciones físicas o fechas de nacimiento.

Las vacunas y el Gobierno de Corea del Norte

Con la crisis de la Covid-19, las vacunas han estado en el centro de la atención mundial desde hace un año. Y no sólo por motivos sanitarios, sino también tecnológicos. En febrero, cuando en los países occidentales se ponían en marcha las campañas de vacunación masiva, Corea del Norte fue acusada por la otra Corea, la del Sur, de intentar hackear la investigación de Pfizer con el fin de obtener datos del desarrollo de esta vacuna, que es la más fiable al día de hoy. Por supuesto, el gobierno norcoreano lo negó. De todas formas, no es el primer episodio de ciberguerra que tiene como protagonista a las vacunas. En diciembre pasado, IBM notificó una campaña de phishing, supuestamente promovida por algún estado, y dirigida a obtener relación con la cadena de frío que se requiere para el transporte y la logística de las vacunas.

SolarWinds supone un antes y un después

Este ataque silencioso sufrido por la empresa tejana SolarWinds, y que salió a la luz en diciembre, supuso un gran revuelo y todavía colea. Y es que inauguraba una modalidad de amenaza en que el origen del ataque no está en un malware externo, sino en las propias herramientas de seguridad y gestión informática que empresas y gobiernos adquieren para defenderse y operar. En este caso, el producto viciado era Orion IT, una solución de gestión de redes y sistemas presente en unos 33.000 clientes del sector público y privado, sobre todo estadounidense.

Oficinas centrales de SolarWinds.

Como siempre, el espionaje ruso fue señalado como origen del ataque. Algunos expertos lo han calificado como "el mayor truco desde hace años" o la mayor intrusión desde la Guerra Fría. El ataque, que también ha afectado al código fuente de programas de Microsoft, ha movilizado a la administración de Joe Biden, que planea presentar una hoja de ruta para la ciberdefensa nacional y evitar que robos de información silenciosos y continuados, como el de SolarWinds, o la paralización de infraestructuras críticas, como la de la red de oleoductos de Colonial Pipeline, se vuelvan habituales.

Brecha gigantesca en Facebook

La de Facebook es una de las últimas grandes brechas de información corporativa que han trascendido a la opinión pública. A principios de abril se conocía una filtración de datos en la red social que afectaba a 533 millones de usuarios en todo el mundo, aproximadamente una cuarta parte de los que tiene la empresa de Mark Zuckerberg. En España, hasta 11 millones de cuentas estaban expuestas, con datos personales de número de teléfono, nombres, fechas de nacimiento o direcciones de correo electrónico. Los expertos han advertido de que brechas de este tipo desencadenarán ataques de smishing, una variante del phishing que usa mensajes de texto o sms, que en principio son menos sospechosos para los usuarios que los correos electrónicos.

# data[].attributes.attachment_link.title
Los 6 ciberataques más dañinos de los últimos meses

# data[].attributes.attachment_link.description
Durante muchos años, los expertos avisaron de que el verdadero peligro de la ciberdelincuencia iba a estar en el territorio de las infraestructuras críticas. Y en los últimos meses hemos podido ser todos testigos de que las advertencias iban en serio.

# data[].attributes.attachment_link.readable_text
El Plan Nacional de Protección de Infraestructuras Críticas las define como: "Aquellas instalaciones, redes, servicios y equipos físicos y de tecnología de la información cuya interrupción o destrucción tendría un impacto mayor en la salud, la seguridad o el bienestar económico de los ciudadanos o en el eficaz funcionamiento de las instituciones del Estado y de las Administraciones Públicas". Esta definición ya fue establecida por la Directiva europea: 2008/114/CE del 8 de diciembre de 2008, subrayando sobre la importancia de "la identificación y designación de infraestructuras críticas europeas y la evaluación de la necesidad de mejorar su protección".

Son infraestructuras críticas las siguientes: Administración (servicios básicos, instalaciones, redes de información, y principales activos y monumentos del patrimonio nacional); Instalaciones del Espacio; Industria Química y Nuclear (producción, almacenamiento y transporte de mercancías peligrosas, materiales químicos, biológicos, radiológicos, etc.); Agua (embalses, almacenamiento, tratamiento y redes); Centrales y Redes de energía (producción y distribución); Tecnologías de la Información y las Comunicaciones (TIC); Salud (sector e infraestructura sanitaria); Transportes (aeropuertos, puertos, instalaciones intermodales, ferrocarriles y redes de transporte público, sistemas de control del tráfico, etc.); Alimentación (producción, almacenamiento y distribución); y Sistema Financiero y Tributario (entidades bancarias, información, valores e inversiones).

Un ataque masivo y coordinado a alguno o varios de estos sectores establece una condición importante y crítica para una nación, pues se pone en juego la estabilidad de la misma y la confianza de la ciudadanía en el Estado para enfrentarse a estas amenazas. En este sentido, el concepto de seguridad tradicional se transforma para dar paso a una nueva función del Estado que es la defensa de su soberanía en el espacio digital y la protección de los derechos de sus ciberciudadanos frente a las amenazas emergentes en el escenario de una vida más digital y gobernada por la información.

Por este motivo, por la importancia de su preservación, existe un creciente interés a nivel mundial por desarrollar sistemas de seguridad efectivos que garanticen su continuidad. Pero mientras se sigue apostando por la seguridad física de estos activos, un tipo de amenaza aparece cada vez con más fuerza: los ciberataques, como una irrupción generalizada en Internet junto con el creciente desarrollo de las tecnologías de la información y la comunicación que ha contribuido al aumento exponencial de las amenazas virtuales intangibles, aunque no por ello menos peligrosas.

Consecuentemente, en relación con lo anterior, cuando hablamos de ciberseguridad, necesariamente debemos considerar las acciones básicas que desarrolla una nación para proteger de manera coherente, sistemática y sistémica los activos de información crítica, distribuidos en toda su infraestructura y cómo ellos impactan en las operaciones del Estado.
Y ¿qué es ciberseguridad? "La ciberseguridad es el conjunto de herramientas, políticas, conceptos de seguridad, salvaguardas de seguridad, directrices, métodos de gestión de riesgos, acciones, formación, prácticas idóneas, seguros y tecnologías que pueden utilizarse para proteger los activos de la organización y los usuarios en el ciber entorno".
En este sentido, en línea con los conceptos de ciberdefensa y ciberseguridad, se han venido desarrollando reflexiones académicas y de la industria relacionadas con algunas amenazas como son el ciberterrorismo y cibercrimen, dos amenazas emergentes en una sociedad digital que inquietan cada vez más a los ciudadanos, quienes, hoy por hoy, se sienten vulnerables frente a la materialización de las mismas y sus efectos reales sobre la confianza en el Estado y sus instituciones.

Si bien la ciberdefensa como la ciberseguridad, son temas de estudio e investigación actual tanto en la industria, la docencia o el Gobierno, es claro que requieren atención inmediata con acciones definidas que permitan comunicar a los potenciales agresores que estamos preparados para enfrentar el reto de un ataque informático coordinado y hacer respetar nuestra soberanía digital.

Por otro lado, definir y desarrollar su misión y visión es fundamental. Misión, para coordinar las acciones necesarias para la protección de las infraestructuras críticas del Estado, frente a emergencias de ciberataques que atenten o comprometan la Seguridad. Visión, como promotora del desarrollo de una cultura de ciberseguridad en los organismos y entes del Estado y las entidades gestoras de las infraestructuras críticas nacionales, enfocada a la protección del ciberespacio, adoptando y promoviendo el desarrollo de estrategias coordinadas de ciberseguridad para contribuir a la seguridad de la nación ante amenazas internas y externas materializadas a través del uso de tecnologías de la información y comunicaciones.

Con todo ello, el eslabón más débil de la cadena de seguridad es el ser humano. Los individuos involucrados en los diferentes procesos, procedimientos de gestión y operación de una Infraestructura Crítica deben estar concienciados y capacitados con la importancia y necesidad de que dicha infraestructura sea segura, basando su sensibilización en los distintos niveles de responsabilidad y funciones.
1. Amenazas, Vulnerabilidades y Riesgos
A continuación, veamos qué entendemos como Amenaza, Vulnerabilidad y Riesgo, principalmente:

Amenazas: Se definen como "aquellos elementos que son peligrosos al hombre y que están causados por fuerzas extrañas o no extrañas a él".

Vulnerabilidades: Podríamos definirlas como el "conjunto de condiciones y procesos que se generan por efecto de factores físicos, tecnológicos, sociales, económicos y ambientales que aumentan la posibilidad de que una persona, comunidad o instalación pueda ser susceptible de sufrir daños humanos y materiales frente al impacto de los peligros o amenazas". La magnitud de estos daños estará asociada con el grado de vulnerabilidad. Una forma resumida de definir también la vulnerabilidad puede ser la probabilidad de que, debido a la intensidad del evento y a la fragilidad de los elementos expuestos, ocurran daños en la economía, la vida humana y el ambiente.

Este enfoque hacia la vulnerabilidad contempla factores físicos, sociales, políticos, tecnológicos, ideológicos, institucionales, culturales y educativos que, a su vez, se relacionan dentro de la propia realidad de la vulnerabilidad.

Riesgos: Podemos definir que es "la probabilidad de que una amenaza se convierta en un desastre, con graves consecuencias económicas, sociales y ambientales". Los riesgos corresponden a un valor relativo probable de pérdidas de toda índole en un sitio específico vulnerable a una amenaza en particular, en el momento de la materialización de ésta y durante todo el período de recuperación y reconstrucción que le sigue. En este sentido existen distintos niveles de riesgo: Riesgo aceptable, razonable o factible.

Consecuentemente, para la protección de las infraestructuras críticas, hay que desarrollar en profundidad los criterios para la evaluación de las amenazas por causas de la naturaleza, riesgos tecnológicos, antisociales y delictivos, e incluso, sociales y laborales. Todo ello, sin olvidar que "infraestructuras críticas son aquellas cuyo funcionamiento resulta indispensable y no permite soluciones alternativas, por lo que su destrucción o alteración tendría un grave impacto a consecuencia de estos tipos de riesgos y sus magnitudes o consecuencias"
2. Programa Europeo para la Protección de Infraestructuras Críticas
Es objetivo prioritario que la Unión Europea debe concentrarse en la protección de las infraestructuras con dimensión transnacional. Así se desarrolla un Programa Europeo para la Protección de las Infraestructuras Críticas (PEPIC), con el fin de definir las mismas, analizar sus vulnerabilidades y su interdependencia, así como presentar soluciones que prevengan y protejan ante todo tipo de peligros. Dicho programa debe ayudar a las empresas a integrar las variables de la amenaza y sus consecuencias en sus evaluaciones del riesgo. Las Fuerzas y Cuerpos de Seguridad y de Protección Civil de los Estados miembros también deberían integrar el PEPIC en sus tareas de planificación e información.

Pero, la realidad es que aumentan los ciberataques a las infraestructuras críticas. Transportes, telecomunicaciones y empresas energéticas, son los principales objetivos del cibercrimen.

Un estudio realizado por McAfee, empresa de soluciones de seguridad en red, entre 600 directores de ciberseguridad en compañías con infraestructuras críticas de todo el mundo, muestra que más de la mitad (54%) ha experimentado ataques a gran escala, donde, la media del coste de la inactividad en los mayores incidentes ha sido de 6,3 millones de dólares al día.

Por otra parte, un informe titulado: "En el punto de mira: las infraestructuras críticas en la era de la ciberguerra", realizado por el Centro de Estudios Estratégicos e Internacionales (CSIS), afirma que el riesgo de sufrir un ciberataque está aumentando. A pesar de los avances en materia de legislación y regulación, más de un tercio de los directores de TI (37%) cree que la vulnerabilidad de su sector ha aumentado en los últimos 12 meses, y dos quintas partes espera un incidente de seguridad el próximo año. Sólo el 20 por ciento piensa que está a salvo de importantes ciberataques en los próximos cinco años.

En cualquier caso, un tercio de los encuestados cree que su sector no está preparado para hacer frente a los ataques o infiltraciones de adversarios de alto nivel. En este sentido, Arabia Saudí, India y México emergen como aquellos países menos seguros. El 60 por ciento de los encuestados cree que es representativo que gobiernos extranjeros se hayan visto involucrados, en el pasado, en infiltraciones a infraestructuras. Como países que poseen la mayor amenaza a infraestructuras críticas, encabezan la lista Estados Unidos (36%) y China (33%).

Por otro lado, un estudio reciente alerta de la vulnerabilidad de las infraestructuras de Internet. Científicos suizos han hecho público un informe que demuestra la fragilidad de las principales conexiones troncales de Internet a la acción de los delincuentes informáticos. Los daños físicos a la red podrían acarrear problemas tan serios como un mal mantenimiento de sus funciones. Al menos esto es lo que se deduce del estudio firmado por científicos del Laboratorio de Análisis de Seguridad del Instituto Federal Suizo de Tecnología de Zurich (ETH), publicado en la revista International Journal of Critical Infrastructure. El equipo de investigación sugiere que el daño físico a los puntos clave de las redes de comunicación puede dar lugar a una cadena de fracasos y graves alteraciones de sus funciones debido a la interdependencia entre las diferentes infraestructuras fundamentales de Internet.

En este orden de cosas, también sirva como ejemplo el dato facilitado por el Washington Post hace ya dos años, en el que se daba a conocer que "cientos de veces al día" diversos hackers intentaban acceder a la red de la Constellation Energy Group, entidad británica con clientes en todo el país. También lo dijo la revista Forbes en agosto de 2007, en boca de un hacker estadounidense: el testimonio del atacante ponía en evidencia la fragilidad de las infraestructuras críticas de EEUU, al demostrar la facilidad con la que él mismo había accedido a los sistemas de una estación de control nuclear. Recientemente también hemos visto esto en Irán.

Es por ello fundamental que se tomen medidas en la línea de desplegar una estrategia de seguridad que cuente con múltiples filtros de protección. Un plan completo de seguridad integral.

Respecto a los potenciales ataques terroristas por Internet, ¿por qué de repente parece que estas infraestructuras pueden ser consideradas más vulnerables? Existen dos razones: la primera es el aumento de la amenaza de ataques terroristas incluso desde el interior del propio país; y la segunda, la interconexión de los sistemas de control de las infraestructuras críticas a través de Internet.

Así mismo, el enfoque de la gestión de riesgos no debe ser la confidencialidad o la integridad de la información, sino la tolerancia a fallos, con el objetivo de evitar consecuencias impredecibles, especialmente, la pérdida de vidas humanas.

Mantener el correcto funcionamiento de las infraestructuras críticas es un tema sensible y complejo. Nuestra sociedad está altamente concienciada y, por tanto, muy vulnerable ante eventualidades que impiden el correcto funcionamiento de determinados servicios. Por ello, sea bienvenida una ley que busca prevenir la disfunción de servicios básicos y hacer disponer de planes de contingencia que pongan en marcha y coordinen medios paliativos en el caso en que se produzca un incidente.

Por otro lado, se ha demostrado que las amenazas que pueden hacer peligrar el correcto funcionamiento de infraestructuras críticas van más allá de las que afectan a la seguridad física (esencialmente protección contra atentados u otras formas de intrusión).

En este sentido, es de rabiosa actualidad el caso producido por el caos aeroportuario recientemente originado por la posición de los controladores aéreos en España, donde un pequeño colectivo fue capaz de poner en jaque al país afectando a más de medio millón de personas, obligó al Gobierno español a declarar el estado de alarma y causó perjuicios inmensos a los ciudadanos y a la economía.

Por ello, son también muy importantes las amenazas potenciales que pueden provocar otros riesgos como errores, procesos inadecuados, averías, ciberinseguridad, etc. Riesgos que deben cubrirse mediante procedimientos de seguridad lógica y con sistemas de gestión que garanticen la continuidad de la actividad.

Notables son igualmente las Consecuencias de la exposición de los sistemas de infraestructuras críticas a potenciales ataques de Internet derivadas de nuevos riesgos (conexiones wireless, mantenimiento remoto por terceros, etc.) Eventos recientes sobre fuga de información, las noticias de atacantes informáticos doblegando protocolos y tecnologías de seguridad y los fallos de seguridad que se han presentado tanto en el sector público como en el sector privado, son argumentos suficientes para evidenciar que estamos ante nuevos retos en nuestros habituales escenarios de riesgos y amenazas, donde la información se convierte en un arma estratégica y táctica, que cuestiona la gobernabilidad de una organización o la de una nación.
3. Seguridad Integral y Convergencia
La gravedad del incremento de riesgos cibernéticos ha suscitado una oleada de reacciones, en las que las autoridades han ejercido muchas veces de director de orquesta, coordinando las actividades entre el sector público y el privado, puesto que la realidad indica que, muchas de las infraestructuras críticas de una nación se encuentran en manos de operadores que, desconocen por sí solos, en mayor o menor grado, cuál es la mejor manera de identificar, diseñar y ejecutar las mejores estrategias en materia de ciberseguridad.

Una de las claves para llevar a cabo estas acciones -además de la necesaria coordinación entre instituciones y empresas- es la disposición de la información exhaustiva y actualizada sobre las nuevas amenazas que desafían la integridad de las infraestructuras críticas. Para ello son necesarios el diálogo, la asociación y la colaboración entre entidades y empresas especializadas y dedicadas, ya sea a nivel nacional como internacional, así como participación de especialistas y expertos en la materia.

En este sentido, hay que recordar que, precisamente una de las más importantes organizaciones internacionales, la Agencia Europea de Seguridad de las Redes y de la Información (ENISA), alertó, con motivo de la presentación de su Informe General 2007, sobre la necesidad de unir esfuerzos en materia de ciberseguridad para evitar un "eventual 11S digital". En forma más precisa, destacó que una de las medidas con mayor éxito para hacer frente a los delitos cibernéticos es la creación de CERTs.

Un CERT, como es sabido, está constituido por un equipo de expertos muy cualificados cuyo objetivo es asumir y centralizar los planes directores de las empresas y entidades en materia de seguridad.

El primero apareció a finales de los 80, en EEUU, y aunque sus siglas en inglés -Computer Emergency Response Team- lo definan como un equipo de respuesta ante incidentes de seguridad, un CERT desempeña en la actualidad todas las funciones requeridas para implementar un servicio integral de seguridad.

El éxito de estas estructuras y las recomendaciones internacionales de organismos vinculados con la seguridad de las redes de telecomunicaciones, han hecho que la implantación de CERTs se haya multiplicado por cinco en la última década, y sólo en 2007 se registraban más de 70 centros en todo el mundo.

Por lo que se refiere a la gestión de la seguridad, hay que recordar que no es posible proteger todas las infraestructuras contra las distintas amenazas, ni siquiera ante la amenaza de atentados terroristas. Sin embargo, mediante técnicas de gestión de riesgos se puede focalizar la atención en los puntos de máximo riesgo permanente o prioritario.

En relación con la gestión de la ciberseguridad, conviene destacar también que es un proceso deliberado de análisis de los riesgos y amenazas, y de decisión y ejecución de acciones, con objeto de reducir el riesgo a un nivel definido y aceptable, a un coste razonable, teniendo en cuenta, igualmente, las vulnerabilidades del sistema y actividad.

En consecuencia, se acuña el término de ciberseguridad como esa connotación sistémica y sistemática que deben desarrollar los Gobiernos para ampliar ahora sus responsabilidades de Estado, en el contexto de la protección de personas y patrimonios en sus fronteras nacionales electrónicas o digitales. Un concepto estratégico de los Gobiernos en el que hemos de ratificar que se requiere la comprensión y abordaje de las distintas variables, principalmente, las vulnerabilidades de las infraestructuras críticas de la nación, las garantías y derechos de los ciudadanos en el mundo online, la renovación de la Administración de Justicia en el entorno digital y la evolución de la inseguridad de la información en el contexto tecnológico y operacional.

Por tanto, al hablar de ciberseguridad, hemos de hablar de la convergencia con la interconexión de los sistemas internos, la interdependencia con sistemas externos y la consolidación hacia estándares abiertos (IP). En este sentido, es absolutamente necesaria la convergencia de las seguridades que, aunque tradicionalmente se ha separado la seguridad física clásica de la seguridad lógica de las TIC, en el contexto actual no es posible trabajar con aproximaciones estancas.

Una infraestructura crítica puede presentar vulnerabilidades frente a amenazas físicas y lógicas, no pudiendo considerar las salvaguardas de uno y otro tipo dentro de planes separados. Aunque las seguridades se clasifiquen como físicas o lógicas, la amplitud del concepto de infraestructura crítica, y la multiplicidad de sectores afectados, exige la necesidad de afrontar su protección desde un punto de vista integral y multidisciplinar.

Igualmente, también hay que integrar en un Plan Director todas las seguridades puesto que, actualmente, los operadores de infraestructuras críticas han de seguir muchos planes de seguridad: estratégicos sectoriales, seguridad integral, seguridad del operador, protección de específicos, emergencia, continuidad de negocio, autoprotección, seguridad industrial, etcétera.

Y todo ello, sin olvidar la dependencia que hay entre sectores en caso de un incidente, que implica la necesidad de coordinar e interrelacionar la respuesta de diferentes operadores ante los incidentes.

Por otro lado, y como tenemos que pensar en global, aunque actuar en local, en cuanto al avance en la protección de las infraestructuras críticas en la Unión Europea, como complemento a las medidas adoptadas a escala nacional, la Unión ha adoptado una serie de medidas legislativas que establecen normas mínimas de protección de las infraestructuras en el marco de sus políticas. Se trata, principalmente, del transporte, las comunicaciones, la energía, la salud y seguridad en el trabajo y la salud pública.

Un importante paso fue la creación de entidades como la Agencia Europea de Seguridad de las Redes y de la Información (ENISA) en materia de seguridad de las comunicaciones. Además, en sectores como la seguridad aérea y marítima, donde se han creado servicios de inspección para supervisar la aplicación de la legislación de seguridad en los estados miembros.

Por otro lado, es preciso crear lo antes posible una nueva red de información sobre alertas en infraestructuras críticas que agrupe a los especialistas de los Estados miembros de la UE en materia de protección de infraestructuras críticas. Esta red de alertas podría ayudar a la Comisión a elaborar los distintos programas de seguridad para: asegurar grados adecuados y uniformes para la protección de las infraestructuras críticas, minimizar los fallos y proponer a toda la Unión mecanismos rápidos y consensuados programas de actuación rápida.

En este sentido, cabe destacar que, frecuentemente, a la hora de determinar cuál debe ser la protección de las infraestructuras críticas, se contemplan medidas para neutralizar las amenazas exteriores mediante controles de accesos, cámaras y otras medidas de vigilancia, previsión de atentados, control policial, etc. Sin embargo, son muy frecuentes y menos ponderadas en sus efectos las que provienen de una actuación desde el interior, bien por acción, por error u omisión, tal y como viene ocurriendo en estos últimos tiempos.

No obstante, y sin ánimo de ser exhaustivo, hemos de considerar que el sector y mercado de las seguridades presenta múltiples medios y medidas de prevención y protección de aplicación a las infraestructuras críticas, en general, y a su ciberseguridad, en particular como: Pasarelas de Integración para intercambio de información y coordinación con organismos del estado y otros propietarios de infraestructuras críticas; Protección de la Información mediante cifrado de datos y de comunicaciones; Sistemas de Seguridad TIC, protección y gestión de identidades; Inteligencia Competitiva, análisis de fraude y filtraciones; Vigilancia Tecnológica, etcétera.
4. Proyecto Multidisciplinar
Por todo ello, se han de plantear políticas y regulaciones orientadas hacia los retos y demandas de cada entorno, diferenciando las necesidades del gobierno, de la industria y de los usuarios.

Necesidades del gobierno como: crear conciencia sobre la importancia de la seguridad en todos los sectores del Estado, confianza de que se tienen suficientes medidas y prácticas para proteger las redes públicas. y suficiente información para permitir la respuesta en situaciones de emergencia.

Necesidades de la industria para: ofrecer seguridad para los sistemas y en los servicios, dar garantías y satisfacción al cliente, y ofrecer confianza al inversor y rentabilidad.

Necesidades del usuario para: tener confianza en los medios de información y comunicación, disponer de seguridad y privacidad de su información, mantener costes asequibles, y conectividad adecuada siempre.

Todo ello, con un carácter y objetivo multidisciplinar, con acciones encaminadas a: Incrementar la sinergia entre todas las partes interesadas como entes de vigilancia y control, entes de políticas y regulación, empresas y usuarios; impulsar el desarrollo de normas compatibles a nivel global; concienciar sobre las vulnerabilidades para proveer protección en forma independiente sobre las amenazas que están constantemente cambiando y pueden ser desconocidas, fomentar la investigación y el desarrollo a través de la academia; colaborar con la industria en el análisis de resultados y en la identificación de soluciones; incentivar la necesidad de conocer los requisitos de los usuarios y de poner a su disposición información detallada en relación con el uso seguro de equipos y servicios; diseñar capacitación especializada en temas prioritarios; fomentar la consistencia a nivel internacional en la clasificación de datos para mejorar el flujo de información; estimular el desarrollo de regulación adecuada; promover la mayor seguridad de la infraestructura interna y externa por parte de los operadores; continuar con la difusión sobre cuestiones de ciberseguridad y la evaluación de mejores prácticas para el establecimiento de estrategias nacionales.

Por tanto, en este contexto, los ejercicios sobre riesgos y controles propios de las empresas para establecer y analizar los activos de información críticos, han dejado de ser "algo que hacen los de seguridad" para transformarse día con día en una disciplina que adopta la organización para hacer de su gestión de la información una ventaja clave y competitiva frente a su entorno de negocio. Por ello, la figura opcional de la seguridad de la información comienza a desvanecerse y a tomar una relevancia estratégica, ahora en un escenario donde la información es la protagonista, para generar, proponer y desarrollar posiciones privilegiadas de personas, empresas y naciones.
5. Legislación y normativa. Antecedentes
De forma especial, el Consejo Europeo de 17 y 18 de junio del año 2004 pidió a la Comisión correspondiente que elaborase una estrategia global para una mayor protección de las infraestructuras críticas. En respuesta a dicha petición la Comisión publicó, el 22 de octubre de 2004, una Comunicación que describe las acciones que la Comisión adopta actualmente para proteger las infraestructuras críticas y propone medidas adicionales para consolidar los instrumentos existentes.

Así el proyecto de la Comisión de proponer un Programa Europeo para la Protección de las Infraestructuras Críticas (PEPIC) y una Red de Alerta en relación con las Infraestructuras Críticas (CIWIN) fue finalmente aceptado en el Consejo Europeo de 16 y 17 de diciembre de 2004, tanto en las conclusiones del Consejo relativas a la prevención, preparación y respuesta ante ataques terroristas, como en el programa de solidaridad que el Consejo aprobó el 2 de diciembre de 2004.

Como principal prioridad, el 15 de septiembre de 2005 fue aprobada la Decisión C/2005/3179 sobre financiación de un proyecto piloto relativo a acciones preparatorias para reforzar la lucha contra el terrorismo, puesto que el riesgo de ataques terroristas catastróficos contra infraestructuras críticas se considera en aumento y, como las consecuencias de un ataque contra los sistemas industriales de control de las infraestructuras críticas podrían ser muy variadas, aunque se da por supuesto que un ciberataque podría no causar víctimas, pero provocaría la pérdida de servicios de infraestructura vitales.

Por todo ello, los estados miembros deberán, por tanto, determinar sus respectivas infraestructuras críticas, según una fórmula armonizada a escala de la UE, conjuntamente con los organismos o personas responsables de su seguridad.

Por último, España en el año 2007 creó el plan para proteger las principales infraestructuras críticas (más de 3.500) de los sectores de las telecomunicaciones, energía, transportes, agua y sanidad, principalmente. De su coordinación se encarga el Centro Nacional de Protección de Infraestructuras Críticas (CNPIC).
6. Ley española
El pasado 5 de noviembre de 2010, el Consejo de Ministros aprobaba el proyecto de Ley de Protección de Infraestructuras Críticas. Seguía, de esta forma, las disposiciones de la Directiva Comunitaria del año 2008 de identificación y designación de infraestructuras críticas europeas y evaluación de la necesidad de mejorar sus protecciones.

Finalmente, el día 28 de abril de 2011, se aprueba por las Cortes Generales españolas la Ley 8/2011, por la que se establecen medidas para la protección de las infraestructuras críticas.

La Ley consta de 18 Artículos, estructurados en 3 Títulos. El Título I se destina a las definiciones de los términos acuñados por la Directiva 2008/114/CE, así como a establecer las cuestiones relativas al ámbito de aplicación y objeto. El Título II se dedica a regular los órganos e instrumentos de planificación que se integran en el Sistema de Protección de las Infraestructuras Críticas. El Título III establece, finalmente, las medidas de protección y los procedimientos que deben derivar de la aplicación de dicha norma. Asimismo, la Ley consta de cuatro Disposiciones Adicionales y cinco Disposiciones Finales.

Una ley donde, desde el punto de vista de la ciberseguridad, cabe destacar en su prólogo algunas referencias de importancia como:
"Dentro de las prioridades estratégicas de la seguridad nacional se encuentran las infraestructuras, que están expuestas a una serie de amenazas. Para su protección se hace imprescindible, por un lado, catalogar el conjunto de aquéllas que prestan servicios esenciales a nuestra sociedad y, por otro, diseñar un planeamiento que contenga medidas de prevención y protección eficaces contra las posibles amenazas hacia tales infraestructuras, tanto en el plano de la seguridad física como en el de la seguridad de las tecnologías de la información y las comunicaciones"...
Subrayando igualmente que:
"Estas infraestructuras críticas dependen cada vez más de las tecnologías de la información, tanto para su gestión como para su vinculación con otros sistemas, para lo cual se basan, principalmente, en medios de información y de comunicación de carácter público y abierto"...

"En consecuencia, y dada la complejidad de la materia, su incidencia sobre la seguridad de las personas y sobre el funcionamiento de las estructuras básicas nacionales e internacionales, y en cumplimiento de lo estipulado por la Directiva 2008/114/CE, se hace preciso elaborar una norma cuyo objeto es, por un lado, regular la protección de las infraestructuras críticas contra ataques deliberados de todo tipo (tanto de carácter físico como cibernético) y, por otro lado, la definición de un sistema organizativo de protección de dichas infraestructuras que aglutine a las Administraciones Públicas y entidades privadas afectadas. Como pieza básica de este sistema, la Ley crea el Centro Nacional para la Protección de las Infraestructuras Críticas como órgano de asistencia al Secretario de Estado de Seguridad en la ejecución de las funciones que se le encomiendan a éste como órgano responsable del sistema"...

El objetivo básico de la Ley y su desarrollo reglamentario no es otro que asegurar que se ponen en marcha los planes de seguridad y otras medidas, con el fin de que aquellas infraestructuras consideradas estratégicas no queden paralizadas. Se entiende como críticas aquellas instalaciones, redes, sistemas y sistemas físicos cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su interrupción o destrucción tendría un gran impacto en la salud, la seguridad, el bienestar económico de los ciudadanos o en el eficaz funcionamiento de las instituciones del Estado y de las Administraciones Públicas.
7. Conclusiones
A modo de resumen, cabría destacar la importancia de consolidar una Estrategia de Ciberseguridad Nacional con los objetivos principales de: Establecer una línea de defensa contra todas las amenazas actuales con el fin de mejorar el intercambio de información de alertas, vulnerabilidades, amenazas y eventos que se detecten en las redes de la Administración que permitan actuar rápidamente; defenderse contra todo el espectro de amenazas, mejorando las capacidades de contrainteligencia e incrementar la seguridad de las tecnologías y sistemas desde su fase de diseño; fortalecer el entorno futuro de ciberseguridad, mediante acciones de formación en seguridad de sistemas de las Tecnologías de Información y Comunicaciones (TIC); coordinar y dirigir los esfuerzos de investigación promocionados por todas las Administraciones; definir estrategias que disuadan la actividad amenazante en el ciberespacio.

Para ello, habría que establecer una estrategia específica de ciberseguridad para: Reducir el riesgo de uso del ciberespacio para minimizar la amenaza, disminuyendo la motivación y capacidad del atacante y reducir las vulnerabilidades de los sistemas; aprovechar las oportunidades en el ciberespacio para la obtención de inteligencia de los actores de la amenaza y actuar contra ellos; facilitar la toma de decisiones, mejorando el conocimiento y la concienciación, así como las capacidades técnicas y humanas.

En este sentido y, para desarrollar y consolidar el Esquema Nacional de Seguridad, se debería de priorizar sobre un Plan de Acciones en línea para: Reforzar la realización de auditorías que verifiquen el estado de las seguridades; elaborar un programa de concienciación y formación para crear cultura de seguridad en el desarrollo y el uso de sistemas TIC; mejorar las capacidades de los organismos responsables y coordinadores; Priorizar sobre la gestión de redes con criterios comunes y conexiones fiables a Internet mediante un eficaz despliegue de Sistemas de Alerta Temprana; establecer mecanismos de respuesta y realizar ejercicios para verificar esta capacidad; impulsar el empleo de nuevas configuraciones de seguridad como base de un programa de reducción de amenazas y vulnerabilidades; promover el uso de normativa de seguridad para la certificación y acreditación de seguridad de los sistemas TIC; y fomentar la cooperación nacional e internacional con grupos multidisciplinares de expertos en materia de seguridad, en general, y ciberseguridad, en particular.

Manuel Sánchez Gómez-Merelo©
Consultor Internacional de Seguridad
Director para Europa de la World Security Federation (WSF)

# data[].attributes.attachment_link.description
¿Qué es una infraestructura crítica? El Plan Nacional de Protección de Infraestructuras Críticas las define como: "Aquellas instalaciones, redes, servicios y equipos físicos y de tecnología de la información cuya interrupción o destrucción tendría un impacto mayor en la salud, la seguridad o el bienestar económico de los ciudadanos o en el eficaz funcionamiento de...

# data[].attributes.attachment_link.title
LA INFRAESTRUCTURA CRÍTICA, qué son y cómo proteger estos recursos esenciales para la sociedad

# data[].attributes.attachment_caption
CIBERAMENAZAS, INFRAESTRUCTURA CRITICA Y EMPLEADOS POCO CAPACITADOS: UNA MEZCLA DEMOLEDORA.

# data[].attributes.attachment_link.readable_text
Las ciberamenazas están a la orden del día y su impacto en la sociedad cada vez es más significativo y los Estados no quedan exentos de ser víctimas, prueba de ello se ve reflejados en los portales de noticias a lo largo del año. A principio de este año (2019) se veía en el documento Estrategia Nacional de Inteligencia de los Estados Unidos de Norteamérica (USA) una advertencia sobre que "las amenazas cibernéticas supondrán un riesgo creciente para la salud pública, la seguridad y la prosperidad, ya que las tecnologías de la información se integran en infraestructura crítica, redes nacionales vitales y dispositivos de consumo", siendo un poco más traumático el Director de Inteligencia Nacional de USA, Daniel Coats, lo expresó en forma aún más sucinta: "Las luces de advertencia parpadean en rojo".

Las instalaciones de Infraestructura Crítica ya sean centrales eléctricas, ferrocarriles nacionales y sistemas subterráneos locales u otras formas de transporte público, son cada vez más objeto de ataques. Los ataques cibernéticos podrían cortar el suministro de electricidad a hospitales, hogares, escuelas y fábricas. Dependemos tanto del suministro eficiente de electricidad que su pérdida también acarrearía importantes implicaciones para otros servicios vitales. Una serie de incidentes en los últimos años demuestran no solo que la amenaza es tangible, sino también que en más de una ocasión hemos escapado de sus consecuencias como dirían los chicos del barrio "raspando", es decir de pura suerte.

Los titulares diarios destacan los últimos ataques de ransomware, violaciones de datos y nuevas técnicas de phishing, sacando a la luz una epidemia que ha resultado en daños financieros, operativos y de reputación para empresas, gobiernos y el público en general. Sin irnos muy lejos en el tiempo, hace pocos días atrás se cnfirmó un ciberataque en la Planta de Energía Nuclear Kudankulam en Tamil Nadu, India.

Hoy en día, los ataques cibernéticos ponen en riesgo mucho más que solo nuestros datos personales: los actores de amenazas han aumentado la regularidad con la que se dirigen a la infraestructura que respalda los sistemas de misión crítica, como redes eléctricas, servicios de agua, sistemas de salud, instalaciones nucleares y servicios de emergencia.

Un informe del Instituto Ponemon reveló un aumento constante de los ataques cibernéticos contra la infraestructura crítica, afirmando que "los ataques destinados a Estados/Naciones son especialmente preocupantes en el sector porque generalmente son llevados a cabo por ciberdelincuentes altamente capacitados, bien financiados y son dirigido a infraestructura crítica".

Durante el mes de Septiembre del 2019, E&E News informó sobre el primer ataque cibernético a la red eléctrica de USA, según lo identificado por North American Electric Reliability Corp. En contraste, otros sectores de infraestructura críticos como los servicios de salud y financieros han sufrido las consecuencias de los ataques cibernéticos durante más de una década, ya que la información de identificación personal que se busca regularmente puede generar millones en la Deep Web, además de los muchos beneficios asociados con el robo de propiedad intelectual.

Cuando el mundo sostuvo la respiración 3 veces

Como vimos recientemente el ciberataque en la India, también los hubo en el resto del globo, ciertamente estos ciberataques no solo se dan en plantas eléctricas, pero vale la pena referirlos ya que tienden a ser los que mas percibe la sociedad, sin dejar de lado los ciberataques que se dan en Aeropuertos, Puertos , etc. Así que acá dejo los 3 ciberataques mas significativos en Plantas generadoras de Energía.

El ataque de 2010 a la Planta Nuclear de Irán en Natanz ocupa un lugar especial en los libros de historia. El llamado Malware STUXNET que hizo su primera aparición pública en ese momento, logrando detener la planta nuclear. Stuxnet fue diseñado para dañar los motores comúnmente utilizados en las centrífugas de enriquecimiento de uranio al enviarlos a girar fuera de control, logrando dejar fuera de servicio temporalmente a unas 1000 centrifugadoras.

Cinco años después, en diciembre de 2015, Ucrania experimentó un asalto sin precedentes en su red eléctrica. El ataque provocó cortes de energía generalizados. Los hackers se infiltraron en 3 compañías de energía y cerraron la generación de energía temporalmente en 3 regiones de Ucrania. Dejó a casi 1/4 de millón de personas sin electricidad durante hasta 6 horas en pleno invierno. Los atacantes utilizaron el Malware BlackEnergy3 para cerrar las 3 subestaciones. Se cree que el malware se entregó en correos electrónicos haciendo uso de Phishing,donde estaba oculto en archivos adjuntos falsos de Microsoft Office.

El más relevante y cercano en el tiempo tuvo lugar en 2017. Los atacantes se hicieron con el control remoto de una estación de trabajo utilizando un nuevo tipo de malware, denominado Triton, para hacerse cargo del Sistema Instrumental de Seguridad (SIS) de la planta. Nuevamente, el malware se configuró específicamente para sistemas de control industrial, también conocidos como Tecnología Operativa (OT por sus siglas en inglés).

Los investigadores creen que fue un acto de sabotaje destinado a provocar una explosión al deshabilitar los sistemas de seguridad diseñados para prevenir accidentes industriales catastróficos. Los ataques anteriores se han centrado en destruir datos o cerrar plantas de energía. Según algunos informes, solo un error de codificación impidió que esto sucediera. La evidencia apunta a otro ataque de phishing o spear phishing.

Ciber Seguridad de Infraestructura Crítica hoy

Como podemos ver y hemos referido en varias oportunidades, la Ciber Seguridad no es desconocida para los sectores de la Infraestructura Crítica y ciertamente para las Naciones mucho menos. En respuesta a la integración de los sistemas de tecnología de la información con los sistemas de tecnología operativa y el surgimiento de la Internet Industrial de las Cosas, en USA surgió un mayor enfoque en la mitigación de riesgos y el cumplimiento regulatorio tanto en el sector de la industria como del Gobierno Federal. Al mismo tiempo, salió a la luz un nuevo desafío: simplemente no hay suficientes trabajadores de Ciber Seguridad para cubrir la cantidad de empleos disponibles.

Para limitar el riesgo, la mayoría de las Organizaciones de Infraestructura Crítica brindan cierto nivel de capacitación en concientización de seguridad en toda la empresa, pero a menudo se limita a información muy básica, como ser ¿cómo identificar e informar un correo electrónico de phishing?. Por lo general, no se brinda capacitación avanzada a los empelados comunes, y muchas áreas tangenciales pero afines de la Infraestructura Crítica nunca reciben información adecuada sobre cómo manejar las amenazas cibernéticas sospechosas.

En un mundo globalizado y de la inmediatez total, este es un problema grave, donde las vulnerabilidades y los ataques cibernéticos pueden provenir de cualquier lugar en cualquier momento, incluido un trabajador remoto, un contratista, un dispositivo o incluso la tecnología que emplea un termostato inteligente.

Esta no es la primera vez que en un artículo mío aparecen juntas las palabras ciberamenazas e Infraestructura Crítica, pero lo cierto es que nunca está demás dar un poco de perspectiva al tema, no hay que desaprovechar la oportunidad que algún decisor lo lea y pueda cambiar algo. La gran mayoría de empresas de Infraestructura Crítica (IC) monitorean remotamente el estado y la ubicación de trenes, autobuses y camiones; pueden ajustar el flujo de petróleo crudo y gas natural a través de tuberías de forma remota; el consumo de agua y electricidad se puede controlar y cambiar desde una ubicación centralizada y los dispositivos médicos se pueden controlar desde medio mundo de distancia. Estas comodidades reducen los costos, aumentan la eficiencia y en general hacen que nuestras vidas sean más fáciles (¿será así?), pero a medida que la cantidad de sistemas interconectados continúa aumentando, también lo hace la superficie de ataque. Como resultado, más empleados en un ecosistema de IC son una amenaza, lo sepan o no, o quieran saberlo o no, no hay más ciego que el que no quiere ver.

Capacitación: ¡¡al infinito y más allá!!

Las empresas de IC no deberían seguir basando su capacitación a los empleados basándose en las campañas de concientización de seguridad cibernética pensando que su tecnología y sus equipos de seguridad son suficientes para mantener el control, creer que dar unas cartillas sobre lo que es el Phishing, no genera un buen presagio. En cambio, todos los empleados deben comenzar a comprender que cualquier interacción con la tecnología puede desempeñar un papel en un ciberataque. Esto representa un cambio tanto en la cultura como en la estrategia, que nunca es fácil de implementar a pesar de su necesidad.

En última instancia, las empresas de IC deben comenzar a enseñar a cada empleado y partes interesadas, sin importar el rol que ejecuta dentro de la misma, que el papel que desempeña en cuanto a la protección de la IC es vital, es una construcción global. El imponer tácticas de miedo es asegurar un fracaso, solo a través de compartir el conocimiento y la comprensión de cómo funcionan los ciberataques y cómo manejarlos, nos garantiza estar marchando por un buen camino.

No solo los Chief Information Security Officer´s (CISO), sino las máximas autoridades como los Chief Executive Officer´s (CEO) de las empresas de IC deben considerar algunos de los siguientes aspectos o guías:

Capacitación Práctica : Vale más capacitar en casos prácticos y simulados a los empleados en Protección de Infraestructuras Críticas (CIP por sus siglas en inglés) que llenarlos con solo teorías y conceptos difíciles de visualizar y recordar.

Establecer los incentivos correctos : la gestión del desempeño, la capacitación, los procesos, los procedimientos y otros sistemas para arraigar la mentalidad y los cambios culturales necesarios en lugar del temor por no cumplir las normas.

Capacitación orientada : capacitar en tecnologías y procesos que son valiosos para hacer que la IC sea más fuerte y resistente.

Liderar con el ejemplo : hacer que todos los Gerentes y Líderes en IC tomen cursos de capacitación en CIP para profundizar en la ciberseguridad de la IC y comprender cómo comunicar esa información a todos los involucrados.

La protección de la IC contra los ataques cibernéticos es un problema de dos partes. Debemos establecer mejores protecciones, protocolos de seguridad más avanzados y mejores planes de respuesta a incidentes, pero eso comienza con un mejor conocimiento de ciberseguridad en toda la fuerza laboral afectada a la IC. En última instancia, debemos cambiar la forma en que todos en el ecosistema de IC piensan sobre la ciberseguridad. El éxito de la protección de la Infraestructura Crítica depende de los pasos tomados por la fuerza laboral para mitigar los riesgos, y eso comienza con el conocimiento y la comprensión de los matices que conforman la Ciber Seguridad del CIP. En el mundo de hoy, no puede permitirse el lujo de no capacitar a todas las partes interesadas del CIP en Ciber Seguridad.

No dejen de visitar mi web y leer mas sobre estos temas: www.uliseskandiko.com

# data[].attributes.attachment_link.title
CIBERAMENAZAS, INFRAESTRUCTURA CRITICA Y EMPLEADOS POCO CAPACITADOS: UNA MEZCLA DEMOLEDORA @Uliman73

# data[].attributes.attachment_link.description
Las ciberamenazas están a la orden del día y su impacto en la sociedad cada vez es más significativo y los Estados no quedan exentos de ser víctimas, prueba de ello se ve reflejados en los portales de noticias a lo largo del año.

# data[].attributes.attachment_link.readable_text
Mikel Rufián Albarrán Director global de Ciberseguridad & Inteligencia Bidaidea

Retos de ciberinteligencia y colaboración público-privada

Los actores estatales han focalizado sus operaciones en el ciberespacio. Se ha evidenciado un incremento de ataques e instrumentalización de otros actores por parte de los Estados dirigido a explotar vulnerabilidades de los sistemas de información de las infraestructuras críticas en tres ámbitos principales, entre otros objetivos: la ciberguerra (híbrida), el ciberespionaje y las operaciones de influencia. Sin embargo, aunque pueda parecer sorprendente, la mayoría de las acciones no son nuevas.

Frecuentemente, el objetivo de tales ataques es obtener información sobre el grado de implantación de las medidas de seguridad integral de las organizaciones, al objeto de poseer datos suficientes que les permita planificar ataques futuros. Esta actividad se ha detectado, especialmente, contra objetivos europeos.

El ciberespacio constituye un escenario táctico, estratégico y operativo diferente de los espacios terrestre, marítimo, aéreo y exterior, que ha sido calificado en la doctrina como uno de los Global Commons. De hecho, su importancia y del avance tecnológico ha supuesto un cambio sustancial en las relaciones entre ciudadanos, empresas, administraciones públicas, infraestructuras críticas, etc., así como un impulso del desarrollo de las sociedades actuales.

Garantizar la seguridad en el ciberespacio se ha convertido en un objetivo prioritario en las agendas de la mayoría de los Gobiernos, ya que en ocasiones puede llegar a afectar a la seguridad nacional. Es un entorno complejo resultante de la interacción entre las personas, el software y los servicios en Internet por medio de dispositivos tecnológicos (TIC) conectados a redes, las cuales no existen en ningún tipo de forma física.

Así, desde hace unos años, los tres ámbitos principales y términos ciberguerra (amenazas híbridas, guerra híbrida), ciberespionaje y operaciones de influencia ( fake news, posverdad, desinformación, etc.) se han venido incorporando al universo y al diálogo de la ciberseguridad sin que, en ocasiones, se hayan usado adecuadamente, confundiendo unos con otros o simplemente otorgándoles un nombre y unas características muy alejadas de la realidad. Definiremos con mayor formalidad cada uno de los elementos en estudio.

Ciberguerra (híbrida)

Las unidades militares dedicadas al dominio cíber están presentes en la mayor parte de los ejércitos de países desarrollados dada la importancia de este dominio de conflicto −junto a tierra, mar, aire y espacio− y la necesidad de proteger ciudadanos, empresas y organismos públicos.

La ciberguerra puede ser entendida como una agresión promovida por un Estado y dirigida a dañar gravemente las capacidades de otro para imponerle la aceptación de un objetivo propio o, simplemente, para sustraer información, cortar o destruir sus sistemas de comunicación o alterar sus bases de datos. Es decir, lo que habitualmente hemos entendido como guerra, pero con la diferencia de que el medio empleado no sería la violencia física, sino un ataque a través del ciberespacio.

Las características de la ciberguerra serían: complejidad, asimetría, objetivos limitados, corta duración, menos daños físicos para los soldados, mayor espacio de combate y menor densidad de tropas, transparencia, lucha intensa por la superioridad de la información, aumento de la integración, mayores exigencias impuestas a los comandantes, nuevos aspectos de la concentración de fuerzas, reacción rápida e igualdad de devastación que una guerra convencional.

Los objetivos de este tipo de guerra son:

Dañar un sistema o entidad hasta el punto en que ya no puede funcionar ni ser restaurado a una condición útil sin que lo reconstruyan por completo.

Interrumpir o romper el flujo de la información.

Destruir físicamente la información del adversario.

Reducir la efectividad o eficiencia de los sistemas de comunicación del adversario y sus capacidades de recolección de información.

Impedir al adversario acceder y utilizar los sistemas y servicios críticos.

Engañar a los adversarios.

Lograr acceder a los sistemas del enemigo y robarles información.

Proteger sus sistemas y restaurar los sistemas atacados.

Responder rápidamente a los ataques o invasiones del adversario.

Las denominadas amenazas híbridas son acciones coordinadas y sincronizadas −con origen habitualmente, pero no solo, en los servicios de inteligencia de los agentes de las amenazas− que atacan deliberadamente vulnerabilidades sistémicas de los Estados y sus instituciones a través de una amplia gama de medios y en distintos sectores objetivo (políticos, económicos, militares, sociales, informativos, infraestructuras y legales) utilizando el ciberespacio como la herramienta más versátil y adecuada para sus propósitos.

En general, las amenazas híbridas han venido persiguiendo, entre otros objetivos:

Erosionar la confianza de los ciudadanos en sus instituciones.

Generar desconfianza en el sistema democrático.

Socavar la cohesión social o los modelos sociales de los Estados, de las comunidades políticas (como la Unión Europea) o de las organizaciones internacionales (la OTAN, por ejemplo).

Fragilizar el sistema de gobierno de sus víctimas.

Convencer de la decadencia de un sistema (tanto a la población de la víctima como a su propia población).

¡Sigue leyendo!

¿Quieres leer el artículo completo?

Leer Completo

Contenido seleccionado de la revista digital

# data[].attributes.attachment_link.title
Infraestructuras críticas: actores estatales como agentes de las amenazas

# data[].attributes.attachment_link.description
Retos de ciberinteligencia y colaboración público-privada Los actores estatales han focalizado sus operaciones en el ciberespacio. Se ha evidenciado un incremento de ataques e instrumentalización de otros actores por parte de los Estados dirigido a explotar vulnerabilidades de los sistemas de información de las infraestructuras críticas en tres ámbitos principales, entre otros objetivos: la ciberguerra (híbrida), el ciberespionaje y las operaciones de influencia.