Seguritecnia 396

22 SEGURITECNIA Abril 2013 Ciberseguridad e Infraestructuras Críticas considera crítico o alto el riesgo que co- rren sus sistemas y un 33 por ciento sos- pecha que han recibido ataques de ci- berseguridad. En opinión del director de Inteco, se hace necesaria una respuesta desde un punto de vista estratégico, normativo y operativo. En la vertiente estratégica, la Agencia Europea de Seguridad de la In- formación y Redes (ENISA) ha cumplido un papel determinante mediante la defi- nición de modelos –como las recomen- daciones para desplegar una estrategia de ciberseguridad– que serán adopta- dos paulatinamente por todos los países miembros. En segundo lugar, el plano normativo tiene en la Ley PIC su refe- rente actual. Sin embargo, sería en el ám- bito operativo donde existe mayor dis- tancia por recorrer: “La cooperación es una necesidad; no es una opción. A na- die le gusta compartir información so- bre ataques, pero es esencial para ge- nerar espacios para el debate”, añadió Escalante. Es en este punto donde se entiende como esencial la labor de un centro de respuesta: “Un CERT aúna la prevención y alerta temprana, ofrece respuesta y soporte para minimizar el impacto de un ataque y actúa como coordinador en las labores que precisan compartir información (obedeciendo a los principios de confidencialidad), fo- menta la concienciación y promociona los ciberejercicios”. En esta línea, el responsable de Inteco subrayó que un CERT para IC no susti- tuye las tareas de seguridad del opera- dor, sino que funciona como un com- plemento, un apoyo que se sirve de su capacidad y experiencia. Además de su contribución a la concienciación (forma- ción y capacitación incluidas) y de la pro- tección de las IC, tras el convenio firmado entre SES y SETSI, Manuel Escalante apro- vechó la ocasión para recordar algunos de los logros del Inteco-CERT, que ya es- tán teniendo eco en la sociedad, como la prevención y mitigación de botnets , la lu- cha contra la pornografía infantil y la de- tección de evidencias de ciberdelitos. Fi- nalmente, Escalante recordó que para al- canzar estos objetivos es indispensable la colaboración con las FCSE. S mismo, el CNPIC también ha impulsado la colaboración entre los CERT y apuesta decididamente por el intercambio de in- formación, como demuestra el convenio marco firmado entre la Secretaría de Es- tado de Seguridad y la SETSI. Las funciones de un CERT Llegó el turno para Manuel Escalante, di- rector general de Inteco, quien a diferen- cia de lo que expresó Fernando Sánchez, puso de manifiesto que, a pesar de que en España somos conscientes de nues- tras vulnerabilidades, tenemos por de- lante mucho por hacer, ya que otros paí- ses nos llevan ventaja (10 miembros de la Unión Europea -UE- ya cuentan con Es- trategia Nacional de Ciberseguridad). “Las IC poseen un patrimonio tecno- lógico que puede marcar la diferencia frente a la competencia y mantenerlo a salvo puede ser vital –apuntó–. El cre- cimiento de las amenazas persistentes avanzadas (APT, por sus siglas en inglés) ha aumentado un 80 por ciento en dos años”. La complejidad de estos ataques, cada vez más personalizados, es propor- cional al aumento del riesgo de caída de un portal web, cuya disponibilidad es crí- tica para el negocio. “¿Cómo abordamos este problema?”, interpeló el experto. Según datos del estudio “ SCADA and Process Security Survey ” de SANS Institute esgrimidos por Manuel Escalante, el 70 por ciento de las empresas encuestadas una maraña que se aprovecha para ha- cer el mal por parte de delincuentes co- munes, hacktivistas , terroristas o incluso los propios Estados, algunos de ellos in- volucrados en espionaje político, indus- trial, sabotaje, etc. “Como sociedad, tene- mos carencia de conocimiento y nuestro deber es concienciar sobre los proble- mas a los directivos para que entiendan que este problema hay que abordarlo de forma coordinada”. Como es sabido, la convergencia ha convertido a Internet en objetivo priori- tario de ataque sobre las IC, como han demostrado las distintas vulneraciones a sistemas SCADA, que puede ocasionar daños físicos en instalaciones industria- les, como ya consiguió Stuxnet, que neu- tralizó las turbinas de enriquecimiento de uranio en la base iraní de Natanz. Según Fernando Sánchez, Stuxnet ha sido el causante de 90.000 infecciones, dejando en evidencia al 54 por ciento de los sistemas SCADA, unos hechos que no dejan a nadie indiferente. Para el director del CNPIC, el riesgo cibernético es una amenaza real sobre las IC, que se agu- diza ante la falta de coordinación. Este centro inició desde sus orígenes actuaciones serias y comprometidas en materia de regulación (con un papel ac- tivo en la Estrategia Española de Seguri- dad -EES- y la publicación de la Ley PIC), favoreciendo la divulgación de están- dares y el desarrollo de simulacros. Asi- Manuel Escalante, director de Inteco, hizo hincapié en la necesidad de compar- tir información sobre incidentes. Fernando Sánchez, director del CNPIC, abordó la necesidad de reforzar la protección de los sistemas SCADA.