En el artículo de hoy voy a resumir la nueva Estrategia Nacional de Seguridad presentada hoy viernes 31 de Mayo del 2013 por el Gobierno de España, donde centraré la atención en los tres puntos que he considerado mas importante o "claves" de la misma, siempre bajo mi opinión y utilizando el prisma de la Seguridad de la Información.

Introducción

Así comienza la Estrategia Nacional de Seguridad del 2013:

 "La Estrategia de Seguridad Nacional 

es una revisión de la Estrategia 

Española de Seguridad de 2011. Como 

instrumento de su tiempo, refleja los 

riesgos y amenazas que es necesario 

encarar en un mundo que está cambiando 

profunda y constantemente. Se contempla 

el concepto de seguridad de una manera 

amplia y acorde con estas transformaciones 

globales que afectan al Estado y a la vida 

diaria del ciudadano" [ESN 2013]

La nueva ENS (Estrategia Nacional de Seguridad) ha sido dividida en 5 capítulos que son los siguientes:

ENS 2013 - Indice de capítulos

En el capítulo 3 "Riesgos y amenazas para la Seguridad Nacional" hace un recorrido sobre las principales amenazas y riesgo para la seguridad nacional, pero los puntos más interesante, en mi opinión, y utilizando como referencia la seguridad de la información, el capítulo 4 y 5 contienen las "claves" de la estrategia al menos en lo que a Seguridad de la información se refiere.

Por tanto, considero que los puntos más importantes de la nueva estrategia de seguridad nacional #PNS2013 son:

Líneas de actuación estratégicas en #Ciberseguridad:

El objetivo es "Garantizar un uso seguro de las redes y los sistemas de información a través del fortalecimiento de nuestras capacidades de prevención, detección y respuesta a los ciberataques"

A este respecto, las líneas de actuación son:

Líneas de actuación en Ciberdefensa.

1.- Incremento de la capacidad de prevención, detección, investigación y respuesta ante las ciberamenazas con apoyo en un marco jurídico operativo y eficaz. Se mejorarán los procedimientos y se impulsarán los recursos necesarios con especial énfasis en las  Administraciones Públicas, las infraestructuras críticas, las capacidades militares y de defensa y todos aquellos sistemas de interés nacional.

2.- Garantía de la seguridad de los sistemas de información y las redes de comunicaciones e infraestructuras comunes a todas las Administraciones Públicas. Se finalizará la implantación del Esquema Nacional de Seguridad, previsto en la Ley 11/2007, de 22 de junio, mediante el refuerzo de las capacidades de detección y la mejora de la defensa de los sistemas clasificados. Se fortalecerá la seguridad de los sistemas de información y las redes de comunicaciones que soportan las infraestructuras críticas. Se impulsará la normativa sobre protección de infraestructuras críticas con el desarrollo de las capacidades necesarias para la protección de los servicios esenciales.

3.- Mejora de la seguridad y resiliencia de las Tecnologías de la Información y la Comunicación (TIC) en el sector privado a través del uso de las capacidades de los poderes públicos. Se impulsarán y liderarán actuaciones destinadas a reforzar la colaboración público-privada y la seguridad y robustez de las redes, productos y servicios de las TIC empleados por el sector industrial.

4.- Promoción de la capacitación de profesionales en ciberseguridad e impulso a la industria española a través de un Plan de I+D+i.

5.- Implantación de una cultura de ciberseguridad sólida. Se concienciará a los ciudadanos, profesionales y empresas de la importancia de la seguridad de la información y del uso responsable de las nuevas tecnologías y de los servicios de la sociedad del conocimiento. 

6.- Intensificación de la colaboración internacional. Se promoverán los esfuerzos tendentes a conseguir un ciberespacio internacional donde se alineen las iniciativas de todos los países que persiguen un entorno seguro y fiable. En todo momento se salvaguardarán los intereses nacionales.

Lineas de actuación estratégicas en #PIC (Protección de Infraestructuras Críticas) 

El objetivo es "Robustecer las infraestructuras que proporcionan los servicios esenciales para la sociedad".

A este respecto, las líneas de actuación son:

Lineas de actuación en PIC

1.- Responsabilidad compartida y cooperación público-privada. Es imprescindible que tanto las Administraciones Públicas como los operadores privados asuman la responsabilidad correspondiente y trabajen de forma coordinada en la protección de las infraestructuras críticas en todo momento. El Gobierno promoverá la creación de un sistema que comprenda a todos los agentes responsables y facilitará los canales y procedimientos de comunicación seguros, que hagan posible la cooperación mutua y el intercambio de información de interés para todas las partes.

2.-  Planificación escalonada. Se impulsará un sistema de planificación escalonada, que permita identificar, evaluar, prevenir y mitigar los riesgos a los que nos enfrentamos, desde la perspectiva más global y estratégica, hasta aquellos activos que se encuentren bajo la responsabilidad de un operador u organización. Este sistema se abordará a partir de un enfoque integral multirriesgo y homogeneizador.

3.-  Equilibrio y eficiencia. El Gobierno aplicará una metodología homogénea que permitirá concentrar los esfuerzos sobre las áreas más vitales: catalogará las infraestructuras de manera priorizada y permitirá una racionalización en la asignación de recursos.

4.- Resiliencia. Más allá de las medidas que doten a los activos críticos de una mayor seguridad, las políticas en materia de protección de infraestructuras críticas deberán promover las acciones necesarias con el fin de lograr un incremento de la capacidad de los sistemas que les permita seguir operando, pese a estar sometidos a un ataque o incidente, aun cuando sea en un estado degradado o debilitado. En este sentido, se debe contemplar la existencia de sistemas redundantes o aislados y la adecuada dotación de elementos de reposición.

5.- Coordinación. La gestión de crisis a nivel gubernamental organizará todas las tareas, responsabilidades y recursos existentes teniendo en cuenta las infraestructuras críticas como parte integrante en las fases de preparación, respuesta y recuperación. Resulta esencial la existencia de una adecuada coordinación operativa entre las organizaciones responsables de la gestión de riesgos y la gestión de crisis.

6.- Cooperación internacional. Se impulsará el cumplimiento del Programa Europeo de Protección de Infraestructuras Críticas (EPCIP) y de la Directiva Europea 2008/114/CE del Consejo, sobre la Identificación y Designación de Infraestructuras Críticas Europeas y Evaluación de la Necesidad de Mejorar su Protección. Ambos instrumentos se entienden como los mejores medios para lograr la consecución de la cooperación de los países europeos y la protección de nuestros intereses nacionales. De la misma manera, se favorecerá la existencia de canales internacionales de información, alerta temprana y respuesta, así como la participación activa en foros internacionales.

7.- Garantía en la seguridad de las infraestructuras críticas conforme a lo expuesto en el Plan Nacional de Protección de Infraestructuras Críticas (PNPIC). Se dotará a estas instalaciones de sistemas redundantes e independientes de otras tecnologías y operadores, dado que sobre ellas descansa el funcionamiento de los servicios esenciales.

Nuevo Sistema de Seguridad Nacional

Entre otras cosas el nuevo sistema de seguridad nacional establece una nueva estructura: "el consejo de seguridad nacional" que será el encargado de supervisar, realizar el seguimiento y control de las líneas de actuación estratégicas,  así como dictar directrices sobre la política de seguridad nacional, campañas de concienciación y aprobar el informe anual de Seguridad Nacional.

A continuación os dejo el esquema que dar forma al consejo de Seguridad Nacional:

Estructura del Consejo de Seguridad Nacional - ESN 2013

Más información en:
[PDF] Esquema Nacional de Seguridad 2013 - Un Proyecto Compartido
Vía_ http://www.lamoncloa.gob.es

Hace unos días inauguramos la sección "Take it Away", y prometimos sacar el mismo artículo en la versión Web. Y precisamente, eso es lo que vamos a hacer.

En la actualidad con la practica totalidad de los sistemas conectados a Internet, la utilización de la banda ancha, se ha convertido en algo fundamental a la hora de desarrollar tu negocio. Es por ello, que todas las empresa, sean grandes o pequeñas, están de algo forma supeditadas a las comunicaciones por Internet, y por tanto, expuestas a las mismas amenazas.

A continuación, se describen diez consejos de Seguridad de la Información destinados a ser aplicados en pequeñas y medianas empresas (PYMES):

                                                                                                                                
         !NOVEDAD ! Si lo prefieres puedes descargar la versión PDF, aquí.                       
                                                                                                                                

#1 - Capacitación de los empleados en los principios de la Seguridad de la Información: 

Esto no es otra cosas, que establecer unos principios básicos de seguridad, de forma que los empleados y/o trabajadores de tu empresa, tenga conocimiento básico en seguridad, estableciendo pequeños seminarios de seguridad obligatorios, así como un pequeña política de seguridad, que establezca la necesidad de utilizar claves (password) seguros, regule la utilización de Internet en el trabajo, y describa como proteger y y manejar la información en el entorno laboral.

#2 - Protección de los Sistemas de cyberataques: 

Una vez establecida una política de seguridad acorde con el tamaño de la empresa, así como el tipo de información que maneja, el siguiente paso es "asegurar" los Sistemas mediante la configuración segura e instalación de software de seguridad, es decir, mantener actualizados todos los sistemas operativos y las aplicaciones más utilizadas; configurar de forma segura los sistema y servicios expuestos a Internet (página web, etc). Además, instalar en los equipos de escritorio software de seguridad y protección como por ejemplo: Exploitshield y Antivirus actualizados.

#3 - Disponer de medidas de Seguridad Perímetral:

Aunque parezca una cuestión trivial, la mayoría de las PYMES que se conectan a Internet, no disponen de este tipo de protección, en la mayoría de los casos se limitan a conectarse a Internet a través del router que proporciona su servicio de ADSL, sin realizar ninguna configuración adicional. Estos router que instalan las compañías de ADSL. Estos routers suelen venir configurados con reglas genéricas y muy permisivas, además, a esto hay que sumarle que el software que incluyen estos equipos no siempre es la mejor solución de seguridad.

Es por ello, que conviene analizar la necesidad de protección de la empresa, en función de la información que maneja. No obstante, es conveniente analizar el tipo de dispositivo, y en caso, de no necesitar medidas de seguridad perimetrales adiciones, configurar adecuadamente el mismo. Pero siempre será más aconsejable adquirir una solución de seguridad perimetral adicional.

Y si tus empleados suelen trabajar desde casa, esta solución deberá de ser capaz de soportar conexiones remotas seguras (VPN). No obstante, si la practica habitual de tus empleados es trabajar en casa, sería recomendable, incluir en la política de seguridad de la empresa, algunas directrices a cumplir, como por ejemplo: que los empleados tengan protección perimetral, antivirus y sistema operativo actualizado, que se conecten con la empresa a través de VPN, y no conecten dispositivos USB del trabajo en el ordenador de casa, entre otras medidas.

#4 - Regulación del uso de los dispositivos móviles:

Si para realizar su trabajo, los empleados se conectan a Internet a través del móvil y manejan información sensible en dichos dispositivos, es practica común incluir estos dispositivos en la política de seguridad así como en el Manual de Procedimientos de Seguridad de la empresa. Incluso si estos dispositivos son personales utilizados en el trabajo. Algunas de las acciones a tomar, proteger con password el acceso al dispositivo, cifrar la memoria del teléfono e instalar software de protección frete a elementos Malware.

Dependiendo del tipo de información que se maneje en la empresa, se deberá incluso plantear prohibir la introducción de móviles personales a las instalaciones de la empresa, lo que obligará a la empresa a proveer de móviles a sus empleados, sobre todo aquellos que lo necesiten para el desempeño de su trabajo.

En el caso de los portátiles  se aconseja aplicarse medidas de seguridad similares a los equipos de escritorio, a lo que habría que añadir: cifrar el disco duro y protegido con password de arranque.

#5 - Copias de Seguridad de los datos:

No son pocas las veces que hemos hablado sobre la necesidad de realizar copias de Seguridad de la información que manejamos. Por tanto es importante mantener a salvo todos los datos relevantes para el desempeño del trabajo, incluyendo la información almacenada en los equipos de escritorio de los trabajadores. Para ello, es conveniente añadir en la política de seguridad, la política de copia de seguridad (frecuencia, tipo de copia, tipos de archivos, etc) y establecer un procedimiento automático o manual que describa como realizar la copia de seguridad correspondiente.

Por ejemplo, se pueden programar tareas en los equipos de escritorio, para que realicen copias de seguridad de los datos, en cada arranque del sistema. Esto es una de las cosas que debe de incluirse en el Manual de Procedimientos de Seguridad, la complejidad de ésta dependerá del tamaño e información que maneje la empresa.

#6 - Medidas de protección físicas: control de accesos

Establecer medidas de control para prevenir el acceso no autorizado de personas a los equipos de trabajo, así como el acceso no autorizado a la red de la empresa por equipos y/o dispositivos ajenos a la misma.

Como medida de protección, se aconseja que los ordenadores portátiles se encuentren con medidas de protección frente a robo cuando estos se encuentren desatendidos. Además, se recomienda que los equipos se bloqueen automáticamente con contraseñas fuertes cuando no se estén utilizando.

#7 - Configuración segura de las Redes Wireless

Si se desea utilizar redes inalámbricas, es conveniente proteger y asegurar la red, utilizando cifrado fuerte (WP2 + AES) y medidas de autenticación seguras, siempre que sea posible. Es por ello que conviene, establecer una política de rotación de contraseñas de la red inalámbrica, así como separar ésta de la red interna mediante cortafuegos.

Si se desea acceder a la red interna desde la red inalámbrica, se aconseja utilizar conexiones VPN, para evitar el robo de datos, incluso si se encuentra dentro de las instalaciones de la empresa. Por supuesto, este tipo de medidas dependerán del tipo de información que se maneja, y del análisis de riesgo correspondiente.

#8 - Pago por Internet

Si se utiliza frecuentemente el pago de proveedores mediante tarjetas de crédito,  es conveniente asegurarnos de utilizar un sistema adecuado, protección frente a fraude y conexiones seguras (SSL) con el banco. Además, es aconsejable realizar las comunicaciones con el banco, siempre, desde el mismo ordenador que sea utilizado en exclusiva (en la medida de lo posible) para dicho uso, y adecuadamente protegido.

#9 - Establecer limitaciones de uso a los empleados 

Es decir, autorizar a cada empleado el acceso a la información que necesita para desempeñar su trabajo, es lo que se conoce como segregación de funciones, es decir, crear roles y grupos para controlar el nivel de uso y autorización. De forma que el Administrador WEB no debería de poder acceder a la información económica/financiera de la empresa.

De la misma forma, se debe de poder restringir a los empleados para que no puedan instalar software no autorizado en los equipos de trabajo. Evitando de esta forma, que se pueda instalar software malicioso por equivocación o accidente.

#10 - Política de Contraseñas

Por ultimo, y no menos importante, es prestar especial atención a las contraseñas utilizadas por los empleados. Incluir por tanto, una política de contraseñas que establezca, la frecuencia de rotación, el número de caracteres, el tipo de caracteres admitidos, el número de repeticiones de la contraseña, etc

En muchas ocasiones, una contraseña robusta es la clave para proteger la información, de accesos no autorizados.

Incluso, se deberá de estudiar la posibilidad de introducir mecanismo seguros de autenticación, como tarjetas inteligentes con certificados digitales, y incluso establecer un doble factor de autenticación.

FIN

Estos son algunos mis consejos de Seguridad para PYMES, basados en los que la FCC Americana propone para pequeñas empresas.

Un Saludo.

REFERENCIAS:

[1] Ten Cibersecurity Tips for Small Bussinesses.

Vía: Twitter.