En el artículo de hoy voy a resumir la nueva Estrategia Nacional de Seguridad presentada hoy viernes 31 de Mayo del 2013 por el Gobierno de España, donde centraré la atención en los tres puntos que he considerado mas importante o "claves" de la misma, siempre bajo mi opinión y utilizando el prisma de la Seguridad de la Información.

Introducción

Así comienza la Estrategia Nacional de Seguridad del 2013:

 "La Estrategia de Seguridad Nacional 

es una revisión de la Estrategia 

Española de Seguridad de 2011. Como 

instrumento de su tiempo, refleja los 

riesgos y amenazas que es necesario 

encarar en un mundo que está cambiando 

profunda y constantemente. Se contempla 

el concepto de seguridad de una manera 

amplia y acorde con estas transformaciones 

globales que afectan al Estado y a la vida 

diaria del ciudadano" [ESN 2013]

La nueva ENS (Estrategia Nacional de Seguridad) ha sido dividida en 5 capítulos que son los siguientes:

ENS 2013 - Indice de capítulos

En el capítulo 3 "Riesgos y amenazas para la Seguridad Nacional" hace un recorrido sobre las principales amenazas y riesgo para la seguridad nacional, pero los puntos más interesante, en mi opinión, y utilizando como referencia la seguridad de la información, el capítulo 4 y 5 contienen las "claves" de la estrategia al menos en lo que a Seguridad de la información se refiere.

Por tanto, considero que los puntos más importantes de la nueva estrategia de seguridad nacional #PNS2013 son:

Líneas de actuación estratégicas en #Ciberseguridad:

El objetivo es "Garantizar un uso seguro de las redes y los sistemas de información a través del fortalecimiento de nuestras capacidades de prevención, detección y respuesta a los ciberataques"

A este respecto, las líneas de actuación son:

Líneas de actuación en Ciberdefensa.

1.- Incremento de la capacidad de prevención, detección, investigación y respuesta ante las ciberamenazas con apoyo en un marco jurídico operativo y eficaz. Se mejorarán los procedimientos y se impulsarán los recursos necesarios con especial énfasis en las  Administraciones Públicas, las infraestructuras críticas, las capacidades militares y de defensa y todos aquellos sistemas de interés nacional.

2.- Garantía de la seguridad de los sistemas de información y las redes de comunicaciones e infraestructuras comunes a todas las Administraciones Públicas. Se finalizará la implantación del Esquema Nacional de Seguridad, previsto en la Ley 11/2007, de 22 de junio, mediante el refuerzo de las capacidades de detección y la mejora de la defensa de los sistemas clasificados. Se fortalecerá la seguridad de los sistemas de información y las redes de comunicaciones que soportan las infraestructuras críticas. Se impulsará la normativa sobre protección de infraestructuras críticas con el desarrollo de las capacidades necesarias para la protección de los servicios esenciales.

3.- Mejora de la seguridad y resiliencia de las Tecnologías de la Información y la Comunicación (TIC) en el sector privado a través del uso de las capacidades de los poderes públicos. Se impulsarán y liderarán actuaciones destinadas a reforzar la colaboración público-privada y la seguridad y robustez de las redes, productos y servicios de las TIC empleados por el sector industrial.

4.- Promoción de la capacitación de profesionales en ciberseguridad e impulso a la industria española a través de un Plan de I+D+i.

5.- Implantación de una cultura de ciberseguridad sólida. Se concienciará a los ciudadanos, profesionales y empresas de la importancia de la seguridad de la información y del uso responsable de las nuevas tecnologías y de los servicios de la sociedad del conocimiento. 

6.- Intensificación de la colaboración internacional. Se promoverán los esfuerzos tendentes a conseguir un ciberespacio internacional donde se alineen las iniciativas de todos los países que persiguen un entorno seguro y fiable. En todo momento se salvaguardarán los intereses nacionales.

Lineas de actuación estratégicas en #PIC (Protección de Infraestructuras Críticas) 

El objetivo es "Robustecer las infraestructuras que proporcionan los servicios esenciales para la sociedad".

A este respecto, las líneas de actuación son:

Lineas de actuación en PIC

1.- Responsabilidad compartida y cooperación público-privada. Es imprescindible que tanto las Administraciones Públicas como los operadores privados asuman la responsabilidad correspondiente y trabajen de forma coordinada en la protección de las infraestructuras críticas en todo momento. El Gobierno promoverá la creación de un sistema que comprenda a todos los agentes responsables y facilitará los canales y procedimientos de comunicación seguros, que hagan posible la cooperación mutua y el intercambio de información de interés para todas las partes.

2.-  Planificación escalonada. Se impulsará un sistema de planificación escalonada, que permita identificar, evaluar, prevenir y mitigar los riesgos a los que nos enfrentamos, desde la perspectiva más global y estratégica, hasta aquellos activos que se encuentren bajo la responsabilidad de un operador u organización. Este sistema se abordará a partir de un enfoque integral multirriesgo y homogeneizador.

3.-  Equilibrio y eficiencia. El Gobierno aplicará una metodología homogénea que permitirá concentrar los esfuerzos sobre las áreas más vitales: catalogará las infraestructuras de manera priorizada y permitirá una racionalización en la asignación de recursos.

4.- Resiliencia. Más allá de las medidas que doten a los activos críticos de una mayor seguridad, las políticas en materia de protección de infraestructuras críticas deberán promover las acciones necesarias con el fin de lograr un incremento de la capacidad de los sistemas que les permita seguir operando, pese a estar sometidos a un ataque o incidente, aun cuando sea en un estado degradado o debilitado. En este sentido, se debe contemplar la existencia de sistemas redundantes o aislados y la adecuada dotación de elementos de reposición.

5.- Coordinación. La gestión de crisis a nivel gubernamental organizará todas las tareas, responsabilidades y recursos existentes teniendo en cuenta las infraestructuras críticas como parte integrante en las fases de preparación, respuesta y recuperación. Resulta esencial la existencia de una adecuada coordinación operativa entre las organizaciones responsables de la gestión de riesgos y la gestión de crisis.

6.- Cooperación internacional. Se impulsará el cumplimiento del Programa Europeo de Protección de Infraestructuras Críticas (EPCIP) y de la Directiva Europea 2008/114/CE del Consejo, sobre la Identificación y Designación de Infraestructuras Críticas Europeas y Evaluación de la Necesidad de Mejorar su Protección. Ambos instrumentos se entienden como los mejores medios para lograr la consecución de la cooperación de los países europeos y la protección de nuestros intereses nacionales. De la misma manera, se favorecerá la existencia de canales internacionales de información, alerta temprana y respuesta, así como la participación activa en foros internacionales.

7.- Garantía en la seguridad de las infraestructuras críticas conforme a lo expuesto en el Plan Nacional de Protección de Infraestructuras Críticas (PNPIC). Se dotará a estas instalaciones de sistemas redundantes e independientes de otras tecnologías y operadores, dado que sobre ellas descansa el funcionamiento de los servicios esenciales.

Nuevo Sistema de Seguridad Nacional

Entre otras cosas el nuevo sistema de seguridad nacional establece una nueva estructura: "el consejo de seguridad nacional" que será el encargado de supervisar, realizar el seguimiento y control de las líneas de actuación estratégicas,  así como dictar directrices sobre la política de seguridad nacional, campañas de concienciación y aprobar el informe anual de Seguridad Nacional.

A continuación os dejo el esquema que dar forma al consejo de Seguridad Nacional:

Estructura del Consejo de Seguridad Nacional - ESN 2013

Más información en:
[PDF] Esquema Nacional de Seguridad 2013 - Un Proyecto Compartido
Vía_ http://www.lamoncloa.gob.es

Por definición, un zero-day es una vulnerabilidad existente en el sistema  para la cual no existe contramedida ni temporal (inhibición por alguna técnica como podría ser la detección de un antivirus evitando que actúe) ni definitiva (existencia de parche que corrige la vulnerabilidad y deja de ser explotable para siempre). Por tanto, la existencia de un zero-day es una de las preocupaciones mayores de cualquier administrador de sistemas: ¿qué puede hacer para prevenir amenazas que intentan explotar este tipo de vulnerabilidades?

En la siguiente figura he intentado plasmar los diferentes periodos en los que podríamos dividir el tiempo de vida de una vulnerabilidad, desde que se descubre hasta que deja de ser explotable (si se toman las medidas oportunas, tema que daría para otro artículo).

El primer periodo lo he denominado investigación: intenta reflejar el tiempo invertido para hallar en el software un “agujero” explotable (vulnerabilidad). Aprovecho para informar a los lectores que existe un mercado en el que se compran y se venden vulnerabilidades, tanto por las empresas que ofrecen productos que las “mitigan” como por el cibercrimen que las utiliza para lograr sus objetivos.

El segundo periodo, para mí el más crítico, el verdaderamente desafiante y trascendental, como se ha podido leer estos días acerca de las nuevas armas para la ciberguerra, es aquel en el que la vulnerabilidad sólo es conocida por su descubridor y aquellos que han pagado lo suficiente para tener acceso a ella. Es, literalmente, como tener un espía en tu ejército o un traidor como escolta de tu emperador: una orden y estás muerto. Por eso he elegido la “zona roja”. Se comprueba cada vez más a menudo que este periodo está siendo ampliamente explotado, anchamente extendido y tremendamente cotizado.

Existe un gran debate sobre las formas en las que se debe “hacer pública” una vulnerabilidad. No voy a profundizar en él ahora. Simplemente indicar que si la vulnerabilidad se hace pública en el mismo momento en el que es comunicada al desarrollador del software para que la corrija, se produce un zero-day: el desarrollador ha contado con cero días para poder investigar la solución, elaborar un parche, probarlo y distribuirlo. Sin embargo, a mi juicio, esta situación no es tan grave como la previamente descrita: todos conocemos la existencia de la vulnerabilidad y, si bien no existe aún una solución definitiva, es posible establecer líneas de defensa que imposibiliten que sea explotada.

Como veis el tema da mucho juego y ha de ser considerado en nuestra estrategia de seguridad. De hecho creo que es el pilar que fundamenta toda la industria de seguridad actual. Es necesario conocer este ciclo para ir haciéndonos preguntas, reflexionando sobre posibles respuestas y, así, ir construyendo nuestras diferentes líneas de defensa. Si existen.

He dejado varias preguntas en el aire que retomaré en sucesivas entregas de esta serie. Ahora, me encantaría contar con tus reflexiones.