Академический Документы
Профессиональный Документы
Культура Документы
Composici n
5/10/09
13:19
Pgina 3
Seguridad Nacional
y Ciberdefensa
5/10/09
13:21
Pgina 4
Edita:
Fundacin Rogelio Segovia para el
Desarrollo de las Telecomunicaciones
Ciudad Universitaria, s/n
28040-Madrid
Imprime:
Icono Imagen Grfica, S.A.
7/10/09
08:52
Pgina 5
ndice
1-.
2-.
3-.
4-.
5-.
Antecedentes
Introduccin
Objeto y alcance
Resumen ejecutivo
4.1-. Francia
4.2-. Estados Unidos
4.3-. Reino Unido
4.4-. Alemania
4.5-. Espaa
4.6-. Noruega
4.7-. Unin Europea
4.8-. OTAN
4.9-. Iniciativas en materia de ciberejrcitos
4.9.1-. China
4.9.2-. India
4.9.3-. Irn
4.9.4-. Pakistn
4.9.5-. Rusia
Conclusiones
Anexo A
1-. Francia
1.1-.
1.2-.
1.3-.
1.4-.
13
19
25
27
39
45
46
Contexto
Legislacin, planes y estrategias
Organizacin y responsabilidades
Ciberdefensa
1.4.1-. Defensa y Seguridad Nacional,
el Libro Blanco 2008.
2-.
Estados Unidos
52
2.1-. Contexto
2.2-. Legislacin, planes y estrategias
2.3-. Organizacin y responsabilidades
2.3.1-. rea Civil
2.3.2-. rea Militar
2.4-. Ciberdefensa
2.4.1-. Estrategia para la Seguridad del Territorio Nacional
2.4.2-. Plan de Proteccin de Infraestructuras Nacionales
2.4.3-. Estrategia Nacional para la Seguridad del Ciberespacio
2.4.4-. Estrategia de Defensa Nacional
2.4.5-. Capacidades en Ciberdefensa del Departamento de
Defensa
2.5-. Financiacin
18/9/09
13:07
Pgina 6
Reino Unido
3.1-. Contexto
78
3.2-. Legislacin, planes y estrategias
3.3-. Organizacin y responsabilidades
3.4-. Ciberdefensa
3.4.1-. Estrategia Nacional de Seguridad (2008)
3.4.2-. Proteccin de Infraestructuras Nacionales
3.4.3-. Estrategia Nacional de Seguridad de la Informacin
3.4.4-. Programa Tcnico de Seguridad de la Informacin (ATP)
3.4.5-. Manual contra el Cibercrimen
(The future of netcrime now)
Alemania
4.1-. Contexto
4.2-. Legislacin, planes y estrategias
4.3-. Organizacin y responsabilidades
4.4-. Ciberdefensa
4.4.1-. Proteccin de Infraestructuras Crticas
4.4.2-. Plan Nacional para la Proteccin de
89
Infraestructuras de Informacin
5-.
6-.
Espaa
5.1-.
5.2-.
5.3-.
5.4-.
Contexto
Legislacin, planes y estrategias
Organizacin y responsabilidades
Ciberdefensa
5.4.1-. Estrategia de Seguridad Nacional
5.4.2-. Proteccin de Infraestructuras Crticas
5.4.3-. Esfuerzos en Ciberdefensa
5.4.4-. CCN
5.4.5-. Inteco
5.4.6-. CCD COE
Noruega
6.1-. Contexto
6.2-. Legislacin, planes y estrategias
6.3-. Organizacin y responsabilidades
6.3.1-. Agencias Pblicas
93
100
7/10/09
08:55
Pgina 7
7-.
8-.
Unin Europea
7.1-. Contexto
7.2-. Legislacin, planes y estrategias
7.3-. Organizacin y responsabilidades
7.4-. Ciberdefensa
7.4.1-. Proteccin de Infraestructuras Crticas
7.4.2-. Esfuerzos especficos en Ciberdefensa
106
OTAN
8.1-.
8.2-.
8.3-.
8.4-.
Contexto
119
Legislacin, planes y estrategias
Organizacin y responsabilidades
Ciberdefensa
8.4.1-. Proteccin contra el Terrorismo y Otras Amenazas
8.4.2-. Proteccin de Infraestructuras Crticas
8.4.3-. Poltica de Ciberdefensa
8.5-. Financiacin
9-.
18/9/09
13:07
Pgina 8
Anexo B
Glosario de trminos
147
Anexo C
Noticias de prensa sobre ciberdefensa
151
Anexo D
Documentacin consultada
1-. Portales Web
2-. Documentos, informes y presentaciones
163
5/10/09
13:34
Pgina 9
NDICE DE FIGURAS
Figura 1
Relacin entre el coste y el efecto en la disponibilidad [96]
Figura 2
Nuevos riesgos y vulnerabilidades [96]
Figura 3
Actores y Componentes de la Seguridad Nacional
Figura 4
Estrategia para la Seguridad/Defensa Nacional
Figura 5
Esquema Genrico del Sector Energtico [97]
Figura 6
Ciberdefensa como parte de la Seguridad Nacional
Figura 7
Factores a considerar en la Estrategia de Ciberdefensa
Figura 8
Ciberdefensa como parte de la Seguridad Nacional [97]
17
20
21
22
23
23
41
42
Anexo A:
Figura 9
Estructura del Consejo de Defensa y Seguridad Nacional [76]
Figura 10
Organigrama del DHS [ 1]
Figura 11
Sistema de Respuesta de la Seguridad del Ciberespacio [89]
Figura 12
Evolucin del Presupuesto del DHS en los aos 2004-2009
Figura 13
Medidas contra el cibercrimen [102]
Figura 14
Estructura y organizacin en Alemania [107]
Figura 15
Estructura del CCD COE de la OTAN [56]
Figura 16
Estructura de ENISA [40]
Figura 17
Estructura de Ciberdefensa de la OTAN
47
55
64
71
85
90
100
108
121
4/11/09
13:24
Pgina 10
10/11/09
12:53
Pgina 11
Prlogo
Cuanto mayor es el ndice de desarrollo de una sociedad, mayor dependencia tiene de los sistemas de informacin y comunicaciones. Cualquier
intrusin, manipulacin, sabotaje o interrupcin de dichos sistemas o de las
redes de infraestructura que usan de soporte, puede afectar al funcionamiento de los mismos, y sus efectos pueden llegar a ser sufridos por millones de personas.
En los conflictos tradicionales normales existen fronteras y lmites, mientras que en el ciberespacio no. Para realizar un ciberataque no es necesario
desplazarse, moverse o tener que pasar una frontera. Esta es una de las
principales caractersticas de este tipo de fenmeno. El ciberespacio es un
ambiente nico, sin fronteras geogrficas, annimo, asimtrico y puede ser
fcilmente clandestino.
El grado de conocimiento que necesita un atacante para realizar una
agresin a los sistemas de informacin ha decrecido a lo largo del tiempo
debido al espectacular aumento de la calidad, cantidad y disponibilidad de
herramientas ofensivas. Actualmente, es relativamente fcil encontrar en
Internet multitud de herramientas de hacking que se intercambian en los
diferentes foros dedicados a esta materia.
Todo ello conforma un escenario de nuevos riesgos para el que es necesario que los distintos gobiernos desarrollen planes o estrategias, y se contemple la ciberdefensa como un riesgo al que es preciso hacer frente para
la mejora de la seguridad nacional.
La OTAN ha definido la ciberdefensa como "la aplicacin de medidas de
seguridad para proteger las infraestructuras de los sistemas de informacin
y comunicaciones frente a los ciberataques" (MC0571 - NATO Cyber Defence
Concept).
La forma de defenderse de estos ataques es compleja, dado que influyen
factores muy diversos. Uno de ellos es el hecho de que muchos de los objetivos susceptibles de ser atacados se encuentran en manos de empresas privadas, por lo que su seguridad depende en gran medida de las acciones que
toman stas para salvaguardar sus sistemas, debiendo asumir unos costes
que en ocasiones no son asumidos y as se concreta el riesgo. Otro factor
importante es la falta de conciencia en seguridad en algunas partes de la
sociedad, lo que dificulta tomar medidas eficaces, medidas que, en todo
caso, debera coordinar la Administracin.
La Ciberdefensa es, por tanto un mbito de la Seguridad Nacional en el que
los estados debern tomar determinadas medidas, que debern ejecutarse en
coordinacin con los sectores pblico y privado, ser compatibles con los dere-
6/11/09
13:05
Pgina 12
18/9/09
13:15
Pgina 13
1-. Antecedentes
18/9/09
13:15
Pgina 14
Tambin buscan dirigirse a los que les ayudan, y sobre todo a los
1 A lo largo del presente documento se emplearn diferentes trminos para refe-
7/10/09
09:05
Pgina 15
Antecedentes
En ltimo lugar, Weiman identifica a un tercer pblico que interesa a los terroristas: sus enemigos. Ya que uno de sus objetivos es causar miedo, los terroristas incluyen no slo a los gobiernos sino tambin
a los ciudadanos, con el objetivo de desmoralizarlos, amedrentarlos y
presionarlos para cambiar su conducta. No se puede separar el ciberterrorismo de la guerra psicolgica. Uno de los mejores ejemplos fue la
publicacin en Internet de los asesinatos de civiles occidentales en la
guerra de Irak.
Como ejemplo a nivel nacional, podemos citar que en octubre de 2007
la Guardia Civil desarticul, en la provincia de Burgos, una red de presuntos islamistas que, desde Internet, se dedicaban a adoctrinar para la
Yihad en escenarios internacionales.
2-. Otra posibilidad que ofrece Internet es lo que se conoce como
minera de datos, es decir, la capacidad de obtener informacin sobre
objetivos sin necesidad de romper ningn sistema. Por ejemplo, Google
Earth permite a cualquier persona con una conexin normal obtener
fotos de satlite de las principales ciudades del mundo y, en unos pocos
segundos, obtener las coordenadas exactas de instalaciones qumicas o
de reactores nucleares. Donald Rumsfeld, Secretario de Defensa de los
Estados Unidos, lleg a cifrar en el 80% la informacin que los terroristas podan obtener de Internet sobre sus objetivos.
3-. Otro uso son las comunicaciones seguras entre los terroristas,
empleando incluso programas gratuitos. Son un verdadero quebradero
de cabeza para las fuerzas de seguridad, pues permiten conspirar a los
terroristas sin necesidad de reunirse para ello. Pueden organizar una reunin virtual mientras estn esparcidos por el mundo. Poco despus del
11-S, el FBI reconoci que el terrorista ms buscado del mundo utilizaba la esteganografa (ocultacin de mensajes en archivos de audio o
vdeo) para ponerse en contacto con miembros de su Red.
4-. Por ltimo, pero no menos importante, es que Internet se ha convertido en una nueva forma de financiacin para los terroristas, a travs
del fraude electrnico: estafa nigeriana o el phishing puro y duro son
ejemplos de ello. Timoty Thomas, analista de la Armada de los Estados
Unidos, ya document hace aos cmo fuerzas antiterroristas francesas
concluyeron que muchos intentos de organizacin de atentados islamistas estaban financiados con fraude de tarjetas de crdito.
Un ejemplo claro de lo comentado es el portal http://www.aqsatube.
com/, creado por Hams para sus vdeos. La temtica de los clips que se
publican son en su mayora "producciones audiovisuales islmicas y de la
Yihad", vdeos en los que se glorifica la guerra santa islmica o se mues15
18/9/09
13:15
Pgina 16
18/9/09
13:15
Pgina 17
Antecedentes
popular, la realidad es que la magnitud de la ofensiva, el nivel de coordinacin y la sofisticacin fueron demasiado grandes, lo que hace dudar
de que fueran llevados a cabo por hackers independientes.
17
18/9/09
13:15
Pgina 18
18/9/09
13:25
Pgina 19
2-. Introduccin
18/9/09
13:25
Pgina 20
La diversificacin de actores (o activos que son potenciales objetivos) dentro de la Seguridad y la Defensa:
o Organizaciones pblicas, tanto civiles como militares.
o Organizaciones privadas.
o Ciudadanos.
18/9/09
13:25
Pgina 21
Introduccin
Esta nueva definicin de Seguridad y Defensa, a la que deben contribuir los diversos actores que se pueden ver afectados, es decir, las organizaciones pblicas, las organizaciones privadas y los ciudadanos, se
basa en tres pilares:
18/9/09
13:25
Pgina 22
Una vez mostrado este escenario cabe preguntarse cmo encajan las
naciones dentro de este planteamiento la denominada Ciberdefensa o
Ciberseguridad3?
Como hemos comentado con anterioridad, las TIC se han convertido
en un conjunto de herramientas de progreso utilizadas en todos los
mbitos y sectores (ej. TIC del Sector Energtico para el control de la
Produccin y Gestin Interna de las compaas, TIC de los Ministerios de
Defensa para la gestin de la Informacin, etc.) y ha aumentado la
dependencia que actualmente tiene de ellas el mundo desarrollado.
Incluso se han convertido en un arma que puede ser utilizada contra las
citadas organizaciones (ej. Uso de las TIC para cometer fraude, para
anular o destruir los sistemas informticos de otras organizaciones, etc.,
como puede observarse en las noticias de prensa incluidas en el Anexo
C). La siguiente figura ilustra el esquema genrico del sector energtico,
en el que se puede ver su dependencia de las TIC.
3 A lo largo del estudio se utilizarn ambos trminos de forma indistinta.
22
18/9/09
13:25
Pgina 23
Introduccin
Por lo tanto, partiendo de esta premisa no es de extraar que los distintos gobiernos hayan desarrollado o estn desarrollando tambin, dentro de las estrategias/planes citados con anterioridad o como planes especficos, aquellos relacionados con la CIBERDEFENSA como parte esencial
de los esfuerzos realizados para la mejora de la Seguridad Nacional a travs de la proteccin de las propias TIC (ver siguiente figura).
18/9/09
13:25
Pgina 24
18/9/09
13:26
Pgina 25
18/9/09
13:26
Pgina 26
Francia
Estados Unidos de Amrica
Reino Unido
Alemania
Espaa
Noruega
Unin Europea
OTAN
26
China
India
Irn
Pakistn
Rusia
18/9/09
13:29
Pgina 27
5/10/09
14:26
Pgina 28
4.1. Francia
Durante las ltimas dcadas, Francia ha desarrollado una serie de
Libros Blancos sobre la Seguridad y Defensa Nacional en los que se resuma la estrategia que ha seguido en este campo. La ltima actualizacin
ha sido durante el ao 2008, y en ella se referencia la necesidad de proteccin que tienen las Infraestructuras Crticas del pas y se hace eco de
la amenaza que supone la posibilidad de Ciberataques para este tipo de
infraestructuras.
El Libro Blanco del 2008 presenta cinco funciones estratgicas, que las
Fuerzas de Defensa y Seguridad de Francia deben dominar y que son: el
conocimiento y la previsin, la prevencin, la disuasin, la proteccin, y
la respuesta. En tres de ellas, parte de las acciones a llevar a cabo estn
relacionadas con la Ciberdefensa y son:
El conocimiento y la previsin
En esta funcin, la estrategia aboga por la mejora de las
capacidades tcnicas de las agencias de inteligencia, al mismo
ritmo de desarrollo que las TIC.
La prevencin
En esta funcin, la estrategia determina que se debe adquirir una
capacidad de defensa informtica activa, en profundidad, combinando
la proteccin intrnseca de los sistemas, la vigilancia permanente de
redes sensibles y la respuesta rpida en caso de ataque.
La respuesta
La estrategia plantea un nuevo concepto, que encaja plenamente
dentro de lo que son actividades propias de Ciberdefensa,
denominado Lucha Informtica Ofensiva (LIO) y que parte del
principio que para saber defenderse, es necesario tambin saber
atacar. Para poder lograr esta capacidad, el gobierno debe invertir en
los siguientes ejes principales:
o Definicin, por el Estado Mayor, de un marco de uso que cubra
especficamente el conjunto de acciones relevantes de la lucha
informtica;
o El desarrollo de herramientas especializadas
(laboratorios tcnico-operativos, redes de ataque, etc.);
o La formulacin de una doctrina de empleo de las capacidades de
LIO (planificacin, realizacin y evaluacin de las operaciones);
o Puesta en marcha de una formacin adaptada, y regularmente
actualizada, para personal identificado y recogido, bajo una
lgica de negocio, dentro de clulas de especialistas.
El Libro Blanco del 2008 ha continuado los esfuerzos realizados previamente, relacionados con la Ciberdefensa, que ya se especificaban en
28
18/9/09
13:29
Pgina 29
Resumen Ejecutivo
El establecimiento y reordenacin de las Responsabilidades relativas a la Seguridad Nacional, con la creacin del Ministerio de Seguridad
del Territorio Nacional (Department of Homeland Security, DHS), entre
las cuales se encuentran tambin las relacionadas con la Ciberdefensa.
18/9/09
13:29
Pgina 30
18/9/09
13:29
Pgina 31
Resumen Ejecutivo
18/9/09
13:29
Pgina 32
Dentro de la seguridad de la informacin de las TIC, el MoD utiliza, al igual que el DoD en EE.UU., el concepto de la Defensa de Redes
de Ordenadores en donde incluye:
o Sistemas de Deteccin de Intrusos.
o Sensores.
o Proteccin de Intrusiones.
o Anlisis e Integracin de Eventos de Seguridad.
o Reaccin y Respuesta.
o Proteccin contra Virus, Gusanos y Malware.
o Gestin de Parches de Seguridad.
o Prevencin de Denegaciones de Servicio.
32
18/9/09
13:29
Pgina 33
Resumen Ejecutivo
4.4. Alemania
Aunque Alemania no haya sufrido durante los ltimos aos ningn
ataque terrorista de la gravedad de los cometidos en otros pases como
Estados Unidos, Espaa o Reino Unido, su condicin de importante potencia a nivel mundial hace que, durante los ltimos aos, el Gobierno
haya trabajado en la mejora de la seguridad de su pas.
Del conjunto de esfuerzos, a nivel de Ciberdefensa, los ms destacados son los relacionados con la Proteccin de Infraestructuras Crticas y
ms concretamente las de Informacin, mediante el Plan Nacional para
la Proteccin de Infraestructuras de Informacin (NPIIP). El gobierno alemn es consciente de la importancia de estas infraestructuras, basta con
extraer tres prrafos del epgrafe introductorio del citado Plan, para determinar su nivel de relevancia:
Hoy en da, como las carreteras, el agua, o el suministro elctrico, las
infraestructuras de la informacin son parte de la infraestructura nacional, sin la cual la vida pblica y privada se detendra
Debido a que la sociedad actual depende ampliamente de las tecnologas de la informacin (TI), esto conlleva la irrupcin de nuevas amenazas desconocidas en el pasado. Debido al carcter global de las redes,
los incidentes de seguridad de las TI que les afecten pueden ocasionar
interrupciones o fallos permanentes en la infraestructura de informacin
del pas.
Hoy en da la seguridad interna del pas es inseparable de la seguridad de las infraestructuras de informacin crticas; su proteccin es una
prioridad clave en la poltica de seguridad nacional. Por esta razn se ha
desarrollado el Plan Nacional para la Proteccin de Infraestructuras de
Informacin. Su desarrollo ayudar a fortalecer la defensa de las infraestructuras de informacin de Alemania frente a las amenazas globales.
En el NPIIP se han establecido 3 objetivos estratgicos:
A.
B.
C.
4.5. Espaa
A raz de los atentados de Madrid, en marzo de 2004, la Comisin
Europea adopt la Comunicacin sobre proteccin de las infraestructuras crticas sobre la que Espaa, en mayo de 2007, aprob el Plan
33
18/9/09
13:29
Pgina 34
Nacional de Proteccin de las Infraestructuras Crticas y cre posteriormente el Centro Nacional de Proteccin de Infraestructuras Crticas
(CNPIC).
En cuanto a los esfuerzos realizados por el pas, especficamente en
Ciberdefensa, los ms destacados son la labor realizada por el CCN para
incrementar la Seguridad de la Informacin en la Administracin pblica,
y la participacin del Ministerio de Defensa como miembro del Centro de
Excelencia de Ciberdefensa Cooperativa (CCD COE) de la OTAN, ubicado
en Estonia.
Finalmente, hay que notar que Espaa es uno de los pocos pases de
la UE que a finales de 2008 todava no haban informado a la misma
sobre el grado de aplicacin de la normativa comunitaria, aprobada en el
ao 2005, sobre ataques contra los sistemas de informacin.
4.6. Noruega
Desde principios del ao 2000, en Noruega llevaron a cabo el ejercicio de identificar las vulnerabilidades existentes dentro del pas para su
sociedad. A partir de este trabajo, llegaron a la conclusin que tanto las
Infraestructuras Crticas, como las TIC en general, eran dos focos especficos que suponan una amenaza para su poblacin.
Fruto de estas conclusiones, en el pas se desarrollaron las siguientes
estrategias relativas a la Ciberdefensa:
34
18/9/09
13:29
Pgina 35
Resumen Ejecutivo
4.8. OTAN
Los principales esfuerzos realizados por la OTAN en Ciberdefensa
son los siguientes:
7/10/09
09:09
Pgina 36
5/10/09
14:29
Pgina 37
Resumen Ejecutivo
4.9.3. Irn
Los expertos de seguridad nacional de EE.UU. han incluido
a Irn en una lista de naciones que cuentan con elementos de entrenamiento de la poblacin en ciberguerra. En los ltimos tiempos, el gobierno iran ha dado prioridad econmica y poltica a mejorar el aspecto tecnolgico en su sector de defensa. Esto se ha visto reflejado en dos formas principalmente: primero, las fuerzas armadas y las universidades
tcnicas han unido esfuerzos para la creacin de cibercentros de I+D y
entrenamiento personal en TI; en segundo lugar, Tehern est buscando
activamente comprar asistencia tcnica y entrenamiento en TI tanto en
Rusia como en India. Se cree que Irn est aumentando sus recursos en
armas poco convencionales y el sector de las TIC para ganar influencia
en Asia Central.
4.9.4. Pakistn
Actividades de hacking bien documentadas en Pakistn y
posibles lazos entre la comunidad hacker y los servicios de inteligencia
paquistanes hacen pensar que Pakistn cuenta con capacidad para realizar ciberataques. Sin embargo, las evidencias publicadas no certifican
la magnitud de estas capacidades; es posible que el gobierno de Pakistn
haya realizado slo una pequea inversin en su programa de ciberguerra. Las evidencias disponibles sugieren que el principal objetivo de la
ofensiva paquistan es India, su rival en la disputa de Cachemira. Pakistn ha desarrollado una industria TIC, buenos programadores y un gobierno que quiere equipararse a la India por Cachemira, lo que hace pensar que tengan un programa de ciberguerra.
4.9.5. Rusia
Las fuerzas armadas rusas, colaborando con expertos en
el sector TIC y la comunidad acadmica han desarrollado una doctrina
robusta de ciberguerra. Sus autores han revelado discusiones y debates
en relacin con la poltica oficial en Mosc. Ciber Armamento, por ejemplo, armas basadas en cdigo de programacin, reciben una atencin
principal en la doctrina oficial de ciberguerra. Incidentes como los ataques sufridos en Estonia y en Georgia, no hacen ms que confirmar estas
teoras.
37
18/9/09
13:29
Pgina 38
5/10/09
14:30
Pgina 39
5-. Conclusiones
18/9/09
13:31
Pgina 40
Debera contemplar la necesidad de unas capacidades que permitan la previsin, la prevencin, la disuasin, la proteccin y la reaccin
cuando sea necesaria; es decir, no debe limitarse a aspectos defensivos
sino que debe incluir tambin capacidades ofensivas.
18/9/09
13:31
Pgina 41
Conclusiones
Respecto a la Ciberdefensa, resaltar que el Ciberespacio se ha convertido en un nuevo campo de batalla (a nivel civil y militar). Por ello, est
ganando peso en la actualidad a pasos agigantados, y tendr una mayor
relevancia en el futuro cercano para todas las Naciones (en los ltimos
tiempos multitud de noticias sobre ataques en el ciberespacio han sido
publicadas por la prensa; algunos ejemplos han sido recogidos en el
Anexo C).
Los Ciberataques se estn convirtiendo en un arma barata, silenciosa y fcil de enmascarar para cualquier organizacin con intereses
hostiles, y puede tener efectos desastrosos en aquellos pases u organizaciones que los sufren.
Es importante tener en cuenta que la Ciberdefensa no debe ser una
actividad aislada en s misma, sino que debera estar incluida, o contemplarse desde las siguientes perspectivas:
18/9/09
13:31
Pgina 42
EE.UU, tanto a nivel Civil como Militar, ya ha desarrollado estrategias y planes, ha definido organizaciones y responsabilidades, y posee
gran avance a nivel tecnolgico (todos estos esfuerzos han supuesto y
supondrn importantes inversiones econmicas).
18/9/09
13:31
Pgina 43
Conclusiones
El Reino Unido, aunque a nivel Civil no haya desarrollado una poltica especfica de Ciberdefensa, s ha definido su Estrategia Nacional de
Seguridad de Informacin y un Programa para su implementacin.
43
18/9/09
13:31
Pgina 44
5/10/09
14:32
Pgina 45
Anexo A
Detalle de las actividades
de ciberdefensa
21/9/09
08:29
Pgina 46
1. Francia
1.1. Contexto
Identifica como nuevas vulnerabilidades para el territorio, y los ciudadanos europeos, los ataques contra los sistemas de informacin.
21/9/09
08:29
Pgina 47
Anexo A
Durante los ltimos aos, junto a los libros blancos Francia ha desarrollado un Plan de Mejora de la Seguridad de los Sistemas de Informacin del
Estado (Plan de Renforcement de la Scurit des Systmes d Information
de ltat, PRSSI), concebido para llevarse a cabo durante el periodo entre
el 2004 y el 2007.
La aplicacin de la nueva estrategia de seguridad nacional y ciberdefensa definida en el ltimo Libro Blanco del 2008, ha supuesto la reorganizacin de las responsabilidades, tanto a nivel de Seguridad Nacional, como
a nivel de Ciberdefensa. El organigrama que aplica tras la aprobacin del
citado Libro Blanco es el siguiente:
5/10/09
14:33
Pgina 48
1.4. Ciberdefensa
1.4.1. Defensa y Seguridad Nacional.
El Libro Blanco (2008)
Debido a su reciente divulgacin, se prestar especial
atencin dentro del estudio a este Libro Blanco centrando el anlisis en
rea de Ciberdefensa.
A diferencia de los Libros Blancos precedentes (1972 y 1994), que se
centraban nicamente en la defensa, el Libro Blanco de 2008 cubre a la
vez los campos de la defensa y la seguridad. Por otro lado, se instaura
un proceso de seguimiento de las orientaciones del Libro Blanco, a nivel
gubernamental. Dicho proceso incluye, con una periodicidad anual:
5/10/09
14:33
Pgina 49
Anexo A
1.
2.
3.
4.
5.
El conocimiento y la previsin
La prevencin
La disuasin
La proteccin
La respuesta
Del conjunto de estas estrategias, las que se encuentran ms ntimamente relacionadas con la Ciberdefensa se resumen a continuacin:
A) El conocimiento y la previsin.
El fortalecimiento sistemtico de los recursos de inteligencia estar
sujeto a una planificacin general, la cual ser ejecutada de acuerdo con
cuatro lneas:
21/9/09
08:29
Pgina 50
Definicin, por el Estado Mayor, de un marco de uso que cubra especficamente el conjunto de acciones relevantes de la lucha informtica;
Cuatro objetivos
Asegurar los medios de transmisin de las altas autoridades.
Asegurar los sistemas de informacin de las administraciones.
Establecer las capacidades operativas de respuesta a los ataques
informticos previstos en los planes.
Incluir la poltica francesa de seguridad de los sistemas de informacin en el marco de la poltica francesa de seguridad dentro de
la Unin Europea.
21/9/09
08:29
Pgina 51
Anexo A
F3:
F4:
La falta de capacidad en muchos ministerios y la dificultad de responder con precisin a todas las preguntas llev a proponer una solucin en
dos etapas.
La primera de ellas, la de construir en tres aos una base slida para
responder a un primer nivel de objetivos. Sobre esta base, era posible
evaluar con mayor exactitud los recursos necesarios en la segunda fase,
a medio plazo, logrando una mejor seguridad y el desarrollo sostenible
de los sistemas de informacin del Estado.
Para conseguir el fortalecimiento en la seguridad de la informacin,
fundamentalmente de cara al terrorismo, Francia necesitaba orientar y
organizar correctamente los esfuerzos en I+D. Esta tarea se planteaba
hacerla en 3 partes:
Promoviendo programas de investigacin en las reas tecnolgicas donde se prev mayor desarrollo.
21/9/09
08:29
Pgina 52
Monitorizacin de las telecomunicaciones: interceptar conversaciones de voz y reconocer al hablante, el idioma que emplea y transcribir la conversacin automticamente.
2. Estados Unidos
2.1. Contexto
21/9/09
08:29
Pgina 53
Anexo A
no son nuevos, ya que este pas contaba previamente con dos sistemas, Echelon y Carnivore, que aprovechan las TIC dentro del mbito de la inteligencia y el espionaje:
La Directiva Presidencial de Seguridad del Territorio Nacional (Homeland Security Presidencial Directive 1, HSPD-1), del 29 de octubre de
2001 y que supuso la creacin del HSC.
Como base para todo lo relacionado con la Proteccin de Infraestructuras Crticas, la legislacin ms destacable es:
o La Critical Infrastructure Information (CII) Act of 2002, en la
que se especifica qu tipo de informacin es clasificada como CII:
aquella informacin sensible sobre infraestructuras crticas (critical infrastructures, CI) o bienes fundamentales (key resources,
KR) cuyo conocimiento por partes no autorizadas podra poner en
peligro la seguridad y el buen funcionamiento de la Nacin.
53
5/10/09
14:39
Pgina 54
Por otro lado, las polticas y estrategias relacionadas con la Ciberdefensa ms destacables son las que se enumeran a continuacin:
5/10/09
14:43
Pgina 55
Anexo A
5/10/09
14:44
Pgina 56
Junto a las reas descritas con anterioridad, es importante puntualizar que el Servicio Secreto, a parte de proteger al Presidente y a
otros altos cargos, investigar las falsificaciones y otros crmenes financieros, se encarga tambin de investigar los ciberataques ejecutados a
las infraestructuras financieras, bancarias y de telecomunicaciones.
2.3.2. rea Militar
En el mbito del DoD, existen diversos grupos y organizaciones relacionados con la Ciberdefensa que son, principalmente, los
siguientes:
Estructura de Mando Conjunta para la Ciberguerra (Joint Command Structure for Cyberwarfare).
21/9/09
08:29
Pgina 57
Anexo A
7/10/09
09:24
Pgina 58
2.3.2.4. Centro de cibercrimen del Departamento de Defensa. El Centro de Cibercrimen del DoD (DoD Cyber
Crime Centre, DC3) establece los estndares para:
2.4. Ciberdefensa
Estrategia Nacional para Combatir el Terrorismo (National Strategy for Combating Terrorism) del ao 2006.
7/10/09
09:25
Pgina 59
Anexo A
En resumen, la Estrategia establece un sustrato para organizar los esfuerzos de la nacin y priorizar el trabajo a realizar, y para ello en el
documento se describen los Objetivos Estratgicos, las Amenazas y Vulnerabilidades y las reas Crticas de Actuacin.
2.4.1.1. Objetivos estratgicos. La Estrategia identifica tres objetivos ordenados de mayor a menor prioridad que son:
Inteligencia y Advertencia.
Contraterrorismo Interior.
21/9/09
08:29
Pgina 60
mente dependientes de las TIC porque estas posibilitan el funcionamiento de servicios esenciales de la nacin. Por otro lado, la proliferacin de
las TIC aunque mejora la productividad y la eficiencia tambin incrementa el riesgo de ciberataques contra la nacin, si la ciberseguridad no es
abordada e integrada de forma apropiada.
Para poder abordar los ciberriesgos, el NIPP incluye las responsabilidades del sector de las Tecnologas de Informacin (TI), entre la lista de
infraestructuras crticas se encuentra el sector de las TI, as como un
apartado relativo a la Ciberseguridad Cruzada entre los Sectores.
2.4.2.1. TI TIC?. Inicialmente, cualquier persona se podra preguntar por qu el NIPP focaliza la gestin de los ciberriesgos en el Sector de las TI y no incluye tambin al Sector de las
Comunicaciones. La respuesta a esta pregunta se puede obtener revisando las funciones crticas que han sido asignadas al sector de las TI:
Lneas Inalmbricas.
Satlites.
21/9/09
08:29
Pgina 61
Anexo A
US-CERT
Coordina la defensa y la respuesta ante los ciberataques a lo largo
de la nacin, y opera como aglutinador para la comparticin de informacin entre las organizaciones federales, estatales y locales.
2.4.2.3. Ciberseguridad cruzada entre los sectores. La ciberseguridad cruzada entre sectores es un esfuerzo colaborativo entre la Divisin de Ciberseguridad Nacional, Agencias Especificas
del Sector y otras organizaciones de seguridad para mejorar la ciberdefensa de las infraestructuras crticas, facilitando actividades de reduccin
de los riesgos. La citada Divisin proporciona guas a todos los sectores
para la mitigacin de riesgos y el desarrollo de unas medidas de proteccin apropiadas y efectivas.
Adems de los esfuerzos de todas las agencias, en el plan se puntualiza que la ciberseguridad concierne a todos los individuos debido a la
dependencia de stos de las TIC, incluida Internet. Todo el mundo juega
un papel significativo en la gestin de la seguridad de sus ordenadores
personales y en la prevencin de ataques contra las infraestructuras crticas (la mayora de los ataques masivos por Internet se llevan a cabo a
travs de miles, e incluso millones de ordenadores, de usuarios que han
sido infectados y son controlados por el atacante), por lo cual el DHS rea61
7/10/09
09:26
Pgina 62
21/9/09
08:29
Pgina 63
Anexo A
Coordinarse con otras agencias del gobierno federal para proporcionar informacin especfica de alerta y consejo a las autoridades estatales y locales, al sector privado y al pblico en general.
La legislacin que autoriza al DHS a crear el Sistema de Respuesta de
Seguridad del Ciberespacio Nacional, tambin establece la figura de un
delegado de privacidad, encargado de garantizar que cualquier mecanismo del Sistema de Respuesta cumpla con su misin respetando la
libertad civil y la privacidad. Esta figura, consulta peridicamente a abogados, expertos de la industria y al pblico en general, para tener diferentes opiniones en temas de privacidad, de manera que se adopten soluciones que protejan este derecho a la vez que mejoran la seguridad.
Por parte del Gobierno, el desarrollo del Sistema de Respuesta no
requiere de un costoso programa federal, dado que la aportacin al mismo
viene por parte de numerosas agencias gubernamentales. La sinergia que
resulta de la integracin de los recursos de todas ellas, ayudar a construir
la base para el citado Sistema.
La Estrategia determina que las redes del sector privado (ms extensas
que las del sector pblico) deben ser las primeras en detectar posibles ataques que repercutan en la Nacin. Por esto, los ISACs (Information Sharing
and Analysis Centers) tienen una creciente importancia en el Sistema de
Respuesta, ya que tienen una visin privilegiada de su propia industria, y
proporcionan el anlisis necesario para apoyar los esfuerzos nacionales.
Un ISAC es, tpicamente, un mecanismo de un sector industrial
encargado de reunir, analizar y transmitir (tanto a los mismos miembros
del sector, como a las autoridades) informacin de seguridad especfica
de ese sector, adems de articular y promulgar mejores prcticas. Los
ISAC son designados por los distintos sectores para cumplir sus necesidades, y financiados por sus propios Socios, mientras que el DHS trabaja junto a ellos para asegurar que la informacin de amenazas se recibe con la suficiente antelacin para planificar los esfuerzos de contingencia.
63
21/9/09
08:29
Pgina 64
Las etapas que se siguen en el Sistema de Respuesta son las mostradas en la siguiente figura:
1. Anlisis: Proporciona los medios necesarios para desarrollar anlisis estratgicos y tcticos de ciberataques y evaluaciones de vulnerabilidades.
El anlisis tctico examina los factores asociados con incidentes bajo
investigacin o con vulnerabilidades especficas e identificadas para generar indicaciones y alertas.
El anlisis estratgico va ms all de los incidentes especficos y considera conjuntos ms amplios de incidentes que podran suponer amenazas, de potencial importancia, a nivel nacional.
Las evaluaciones de vulnerabilidades son revisiones detalladas de
cibersistemas y sus componentes fsicos, para identificar y estudiar sus
debilidades. Estas evaluaciones son una parte integral del ciclo de inteligencia de la seguridad del ciberespacio y permiten predecir las consecuencias de posibles ciberataques. El DHS promueve el desarrollo de
fuertes capacidades de anlisis en estas reas.
2. Alerta: Dentro de la etapa de alerta, se consideran dos aspectos
fundamentales.
En primer lugar, el DHS fomenta, dentro del sector privado, el desarrollo de la capacidad de compartir una visin resumida de la salud del ciberespacio. Motivado por ello, el DHS crear un punto de contacto para la
interaccin del gobierno federal y otros socios, para todo lo referente a
64
21/9/09
08:29
Pgina 65
Anexo A
21/9/09
08:29
Pgina 66
5/10/09
14:47
Pgina 67
Anexo A
Del total de objetivos, dos de ellos destacan por su vinculacin con los
esfuerzos realizados en el rea de Ciberdefensa:
Riesgos
Riesgos
Riesgos
Riesgos
Operacionales.
de los Desafos Futuros.
en la Gestin de la Fuerza.
Institucionales.
7/10/09
09:27
Pgina 68
21/9/09
08:29
Pgina 69
Anexo A
21/9/09
08:29
Pgina 70
parece preparar la batalla a travs de la inteligencia, vigilancia, reconocimiento y actividades de planificacin. Todas estas actividades, conllevan recoleccin de datos para la inteligencia, y en el caso de las IO, se
llevan a cabo normalmente a travs de herramientas de red que penetran en los sistemas adversarios para obtener informacin sobre vulnerabilidades de los sistemas, o para hacer copias no autorizadas de ficheros importantes. Las herramientas utilizadas para ERO son similares a
aquellas utilizadas para los ataques informticos, pero configuradas para
recabar informacin en vez de para interrumpir o alterar un sistema.
Ataques de Redes de Ordenadores (ARO)
Los ARO se definen como los mecanismos que pretenden interrumpir,
alterar o destruir la informacin que reside en los ordenadores, y en las
redes de ordenadores, de los enemigos. Como caracterstica distintiva,
los ARO normalmente utilizan un flujo de datos como arma para ejecutar el ataque. Por ejemplo, el envo de un flujo de datos a travs de la
red para dar instrucciones a un controlador para cortar la alimentacin
elctrica se considera un ARO, mientras que enviar una seal de alto voltaje a travs del cable elctrico para crear un cortocircuito en el suministro elctrico se considera Guerra Electrnica.
Tal como se vio en el epgrafe 2.3.2.2 de este anexo, dentro del DoD,
el Joint Functional Component Command for Network Warfare (JFCCNW) y el Joint Information Operations Warfare Command (JIOWC) son
los responsables para el desarrollo de los Ataques a las redes de
Ordenadores.
Las capacidades exactas de estas dos organizaciones estn clasificadas
y los oficiales del DoD nunca han admitido haber lanzado ciberataques contra los enemigos, sin embargo muchos oficiales de seguridad de la informacin creen que se podran destruir redes y penetrar en ordenadores enemigos para robar o manipular datos, y tumbar sistemas de mando y control.
Estos oficiales tambin creen que las citadas organizaciones estn conformadas por personal de la CIA, de la Agencia Nacional de Seguridad (National Security Agency, NSA), el FBI, las ramas militares y civiles e incluso
por representantes militares de las Naciones Aliadas.
Finalmente, cabe destacar que en febrero del 2003 la Administracin de
Bush anunci una gua a nivel nacional para determinar cundo y cmo
pueden los EE.UU. lanzar ataques contra las redes de ordenadores de
adversarios extranjeros. La gua, que est clasificada, se conoce como la
Directiva Presidencial 16 de Seguridad Nacional y tiene el objetivo de clarificar las circunstancias bajo las cuales los ataques informticos son justificados, y de determinar quien tiene la autoridad de lanzar tales ataques.
2.4.5.5. El DOD y las infraestructuras crticas
de EE.UU. El DoD conoce que, debido a que un porcentaje importante
del comercio de EE.UU. se realiza a travs de Internet, los sistemas del
DoD deben desarrollar la capacidad de protegerlo adecuadamente.
70
21/9/09
08:29
Pgina 71
Anexo A
En la actualidad, para asistir a las redes de telecomunicaciones comerciales, los sistemas de comunicacin por satlite y otros sistemas de
infraestructuras crticas civiles, el DoD contrat al Instituto de Ingeniera
de Software de Carnegie Mellon (Carnegie Mellons Software Engineering
Institute) para dirigir el Equipo de Respuesta de Incidentes Informticos
(CERT-CC), mientras que el DHS, en sociedad con operadores de la industria privada, dirige una organizacin paralela llamada US-CERT.
Ambas organizaciones estn encargadas de monitorizar las tendencias
del cdigo malicioso y cibercrimen, enviando alertas sobre amenazas
para los sistemas de informacin, y proporcionando pautas para la recuperacin despus de un ataque.
2.5. Financiacin
En el aspecto econmico, el DHS cuenta en 2008 con un presupuesto de 47.000 millones de dlares, lo que supone un incremento del
6,8% con respecto al ejercicio fiscal anterior. Esto se produce a pesar de
que el incremento del PIB est previsto en un 1,9%.
En la Figura 2-3 se muestra la evolucin del presupuesto del DHS
entre los aos 2004 y 2009 (en este ltimo caso, es el presupuesto solicitado al Congreso). En dicho periodo, el presupuesto siempre ha aumentado, en algunos casos muy por encima del incremento del PIB. Tal fue
el caso en los aos 2004-2005, cuando el incremento fue del 11%, y en
los dos ltimos aos, en los que el presupuesto ha crecido una cantidad
en torno al 8-9%.
Figura 12. Evolucin del presupuesto del DHS en los aos 2004-2009.
Por otro lado, cabe destacar que dentro del presupuesto del DHS para
el 2009, la Junta Directiva para la Seguridad Nacional y Programas (rea
71
5/10/09
14:49
Pgina 72
21/9/09
08:29
Pgina 73
Anexo A
El objetivo de esta revisin era evaluar las fortalezas y debilidades existentes, desarrollar planes y coordinar el Congreso y el sector privado.
De cualquier forma, no se espera que se abandonen los planes principales que se estn llevando a cabo. Entre aquellos empezados en la etapa
de la administracin de Bush se encuentra la iniciativa True Internet
Connection, que busca reducir el nmero de gateways en Internet y la del
Departamento de Seguridad Nacional de actualizar Einstein, el sistema
federal de monitorizacin de red.
Con la orden de Barack Obama de revisar la estrategia en Ciberdefensa
Norteamericana, se abre la posibilidad a un cambio radical de la aproximacin a la seguridad ciberntica.
Actualmente hay un gran nmero de agentes involucrados en la proteccin del pas de ataques sobre la red, entre ellos el Ministerio de Seguridad
Nacional, el Consejo de Seguridad Nacional y varias ramas dentro del
campo militar. Esta estructura se pretende simplificar con la revisin anunciada el da 9 de febrero por la Casa Blanca.
John Brennan, asistente de Obama en temas de antiterrorismo y seguridad del territorio, afirmaba que La seguridad nacional y la salud de la economa de los Estados Unidos depende de la seguridad, estabilidad e integridad del ciberespacio de la nacin, tanto en el sector pblico como en el privado. El presidente est profundamente convencido de que seremos capaces de proteger las ciberestructuras crticas de la nacin sin violar las leyes
y asegurando los derechos de privacidad y las libertades civiles.
La encargada de supervisar esta revisin fue Melissa Hathaway, quien,
de forma temporal, asumi el cargo de Director Senior del Ciberespacio,
hasta la finalizacin de los trabajos a finales de abril. Era para entonces
cuando estaba previsto que se le presenten las recomendaciones al
Presidente con el fin de establecer una organizacin que encargada de los
asuntos relacionados con las infraestructuras y capacidades globales de la
informacin y las comunicaciones.
Se pretenda realizar una valoracin precisa de cuales son las medidas
que se estn tomando as como el anlisis de planes de futuro en materia
de ciberdefensa. Todo esto se consideraba ya un indicativo claro de la concienciacin de la Casa Blanca en relacin a la ciberdefensa.
La seguridad on line es una preocupacin creciente para muchos gobiernos alrededor del mundo, sobre todo a medida que las infraestructuras crticas, como comunicaciones, finanzas y transporte dependen cada vez ms
de Internet para funcionar.
El director de la Inteligencia Nacional, Mike McConnell, ya se ha referido a
esto: Si alguien entrase en nuestros sistemas tratando de destruir registros
bancarios o de impedir la distribucin de energa elctrica o el mal funcionamiento de la red de transportes, tendra un efecto debilitador para el pas.
Otro signo del nivel de concienciacin de EE.UU. con respecto a la ciberseguridad son las declaraciones del vicepresidente Joe Biden en las que se
refiri a las ciberamenazas como la mayor amenaza en la actualidad.
73
5/10/09
14:51
Pgina 74
21/9/09
08:29
Pgina 75
Anexo A
ciales como las privadas que los hackers asaltan. El mandatario indic
que la persona designada para el puesto responder ante el Consejo de
Seguridad Nacional y ante el Consejo Econmico Nacional, en reconocimiento del papel que la informtica desempea tanto en defensa del pas
como en la economa.
Obama afirm que el nuevo coordinador tendr acceso a l con regularidad, igual que el coordinador para amenazas nucleares y convencionales.
Ante el anuncio de mayor control y la intencin de nombrar un sheriff
que vigile el ciberespacio, Obama quiso tranquilizar a aquellos que puedan ver el fantasma de la injerencia gubernamental sobrevolar sobre su
privacidad y declar que el nuevo sistema federal de vigilancia no recortar la libertad en la Red ni "dictar cmo las redes de las empresas privadas deben disear sus sistemas de defensa". Se trata de luchar contra
el robo de informacin bancaria, controlar los servicios bsicos que ahora
se gestionan a travs de Internet y evitar la suplantacin de la identidad
personal en la Red. Otro de los graves asuntos a los que el nuevo zar
deber dar una respuesta es el de la piratera, que hasta ahora ha asumido con un discreto xito el FBI. Las prdidas estimadas a causa del
robo de datos y propiedad intelectual en 2008 suponen hasta un billn
de dlares (720.000 millones de euros).
Tambin afirm que Estados Unidos necesita impartir la educacin
requerida -desde los colegios- para mantenerse a la par de la tecnologa
y atraer y retener una fuerza laboral que maneje los conocimientos cibernticos. Obama reclam una nueva campaa educativa a fin de alertar al
pblico de los desafos y amenazas relacionadas con la ciberseguridad.
Entre las medidas que adoptar la Casa Blanca para mejorar la seguridad ciberntica, el presidente anunci un aumento de la cooperacin
con los aliados. Para ello ser necesario conseguir que los pases aliados
sean afines en una serie de asuntos, como los baremos tcnicos y normas legales aceptables sobre jurisdiccin territorial, responsabilidad y
soberana, y uso de la fuerza para luchar contra el cibercrimen. Con iniciativas internacionales de este tipo, el Gobierno de EE.UU. espera que la
comunidad internacional comience un debate sobre cmo perseguir a los
cibercriminales y establezca un marco legal para juzgarles y castigarles.
Desde la Casa Blanca tambin se quiso hacer un llamamiento para que
la nacin no se quede atrs en la carrera de la seguridad informtica, un
campo en el que pases como India o China han hecho avances en los ltimos aos. Los cinco pilares sobre los que se basarn las principales
acciones a llevar a cabo son:
5/10/09
14:52
Pgina 76
A pesar de que el presidente no entr en detalles en cuanto a expandir el rol de los mandos militares en ciberoperaciones defensivas y ofensivas, desde el Pentgono se afirm que se espera tambin que Obama
firme una orden clasificada por la que se crear un nuevo mando militar
contra la ciberguerra, algo que demuestra la preocupacin de EE.UU. por
el nmero creciente de ordenadores en su arsenal de armas, as como su
inters por desarrollar estrategias para su uso como elemento de disuasin o junto a las armas convencionales, en una amplia variedad de posibles conflictos futuros.
La creacin de un cibercomando especializado en guerra electrnica es
un paso importante, aunque cualquier caso no queda an claro quien va
a liderar posibles ofensivas en el ciberespacio, si la NSA o el mismo
Pentgono.
Sin embargo, la revisin de las polticas de Obama no especifica como
se van a llevar acciones de forma prctica para alcanzar los objetivos
propuestos y no apunta nada sobre como resolver los conflictos entre el
Pentgono, la NSA, el departamento de Seguridad Nacional y otras agencias por conseguir el liderazgo en ciberoperaciones defensivas y ofensivas.
A pesar de que la mayora de las opiniones son positivas con respecto a estas iniciativas, tambin se han vertido algunas crticas.
Principalmente estas vienen originadas porque no se han aclarado
totalmente las funciones, responsabilidades y poder de la figura del
ciberzar.
2.6.3. Ms datos
El nmero de incidentes en redes tanto del gobierno como de redes privadas de los que se inform al Computer Emergency
Readiness Team del Departamento de Seguridad del Territorio prcticamente se dobl con respecto al ao anterior, pasando de unos
37.000 a 72.000.
Se espera que los presupuestos del gobierno de EE.UU. en securizar redes militares, de inteligencia y de otras agencias se incremente
un 44%, hasta ms de 10.700 millones de dlares en 2013, desde los
7.400 millones de dlares de este ao. Los presupuestos crecern
entre un 7 y un 8 por ciento cada ao, a un ritmo superior al de las
tecnologas de la informacin, cuyo ritmo fue del 4 por ciento al ao
durante los ltimos cinco aos.
Michael Chertoff, secretario de seguridad del territorio, declaraba,
el 18 de diciembre: Se necesita tener un plan desarrollado para una
cibercrisis. Si las redes de comunicaciones del gobierno de EE.UU. son
atacadas por un grupo terrorista o un gobierno extranjero, Michael
Chertoff se pregunta: Se considerara un acto de guerra? Cmo se
debe responder? A da de hoy no tenemos an una estrategia de este
tipo.
76
5/10/09
14:53
Pgina 77
Anexo A
Apuntalar la fortaleza en ciberseguridad: Declarar la ciberinfraestructura un activo estratgico y nombrar un asesor nacional en
ciberseguridad, quien informar directamente al presidente y ser responsable de coordinar las esfuerzos de la agencia federal y el desarrollo
de una directiva nacional de seguridad.
Proteger las infraestructuras que mantiene segura la economa nacional: Trabajar con el sector privado para establecer nuevos
estndares para ciberseguridad y resistencia fsica.
Resolucin de estndares para securizar los datos personales y requerimiento a las compaas privadas de revelar las brechas
en datos de informacin personal: Desarrollando estndares para proteger los derechos de los individuos en la era de la informacin.
2.6.5. El Pentgono
La amenaza de un nuevo tipo de terrorismo ha obligado al Pentgono a dotarse de un comando digital. En lnea con la nueva
estrategia del presidente Barack Obama de reforzar la proteccin de las
redes informticas de EE.UU., el Ejrcito estadounidense ha decidido
disear una unidad operativa que asuma las tareas de ataque y defensa
en la Red, creando el primer cibercomando de la historia militar del pas.
El Departamento de Defensa de EE.UU. recibi, slo en 2008, 360
millones de intentos annimos de intrusin en sus redes. Un grupo de
ciberterroristas chinos tuvo un acceso casi total al programa Joint Strike
Fighter, el ms caro de la historia militar de Estados Unidos. Lograron
copiar miles de gigas de informacin sobre la construccin de una nueva
generacin de aviones militares. En otros episodios separados, un grupo
77
21/9/09
08:29
Pgina 78
3. Reino Unido
3.1. Contexto
Los ataques terroristas de Londres del 7 de julio de 2005, a diferencia de los que ocurrieron en Estados Unidos, no puede decirse que supusieran un cambio radical en la poltica interna de defensa, ya que anteriormente el terrorismo y la seguridad nacional ya haban sido tratados
(probablemente debido a la existencia del IRA). Sin embargo, no cabe
78
21/9/09
08:29
Pgina 79
Anexo A
Manual contra el Cibercrimen denominado El futuro del cibercrimen ahora (The future of netcrime now), publicado en el ao 2004.
21/9/09
08:29
Pgina 80
5/10/09
14:55
Pgina 81
Anexo A
3.4. Ciberdefensa
3.4.1. Estrategia Nacional de Seguridad (2008)
La Estrategia Nacional de Seguridad no determina exactamente ni objetivos, ni medidas de aplicacin relacionadas con la Ciberdefensa, pero en los apartados dedicados a tendencias globales recalca la
importancia de gestionar los riesgos de ciberataques dentro de las TIC, por
la alta dependencia que tienen de ellas tanto la sociedad, como la economa. Por otro lado, la Estrategia determina que Internet es parte de la
infraestructura crtica nacional y que puede ser tanto un objetivo, como
un medio para naciones hostiles, terroristas y criminales.
3.4.2. Proteccin de Infraestructuras Nacionales
La proteccin de las infraestructuras crticas es responsabilidad del Centro para la Proteccin de las Infraestructuras Nacionales
(Centre for the Protection of National Infrastructure, CPNI). El CPNI se
form como resultado de la fusin del Centro de Coordinacin de Seguridad de las Infraestructuras (NISCC) y del Centro Nacional de Asesoramiento en Seguridad (NSAC), el cul era una parte del MI5.
81
21/9/09
08:29
Pgina 82
Publicacin de informacin de ayuda en seguridad para organizaciones y empresas que no formen parte de las infraestructuras nacionales. Dicha informacin incluye consejos antiterroristas y para la prevencin del crimen.
El CPNI trabaja a varios niveles para proteger la infraestructura nacional de los ataques (los expertos del Centro producen un conjunto de
publicaciones actualizadas, focalizadas en la mitigacin del riesgo al que
estn expuestos los operadores de las infraestructuras nacionales), lleva
a cabo sus propios programas de desarrollo e investigacin, y trabaja con
varios socios para mejorar las capacidades futuras. El trabajo del CPNI
est dividido en varias parcelas:
Asesoramiento del Equipo Combinado de Respuesta ante
Incidentes de Seguridad (Combined Security Incident Response
Team Advisory)
El servicio es bsicamente un CERT (Computer Emergency Response
Team) que recibe, revisa y responde a los incidentes de seguridad en los
equipos informatizados, proporcionando asesoramiento relacionado con la
actividad de cara a la gestin de este tipo de incidentes.
Publicaciones Generales de Seguridad Preventiva
El CPNI publica un conjunto de documentos diseados para pro82
7/10/09
09:30
Pgina 83
Anexo A
5/10/09
14:56
Pgina 84
Los resultados que persigue el Programa son, por un lado, capacitar al gobierno para poder utilizar las TIC ms punteras para soportar
su negocio, y por el otro, mantener la confidencialidad, integridad y disponibilidad de la informacin.
84
5/10/09
14:57
Pgina 85
Anexo A
5/10/09
21:24
Pgina 86
Las destinadas a aumentar el esfuerzo para lograr ms seguridad: disear las aplicaciones teniendo en cuenta la seguridad; aumentar
la prioridad de la seguridad en TIC; aumentar la concienciacin del usuario en seguridad; eliminar los medios que facilitan o promueven actividades ilegales en la red.
Las destinadas a reducir la recompensa que obtiene el criminal: analizar qu recompensas obtiene el criminal; garantizar la puesta
en marcha de planes de continuidad basados en los riesgos.
Las destinadas a eliminar los motivos de los ataques: campaas de informacin y de promocin de la navegacin segura y legal por
Internet, informando a los usuarios de las consecuencias de actos comunes pero ilegales (piratera, acceso no autorizado a sistemas, etc.);
aumentar los consejos al usuario por parte de los operadores; comunicar la poltica de seguridad de las TIC a los miembros de la plantilla en
las organizaciones; promover el estndar de seguridad ISO 17799; facilitar los medios (herramientas y software gratuitos, etc.) para aumentar
la seguridad de los usuarios de servicios gubernamentales a travs de
Internet.
3.4.6. Otras iniciativas civiles en ciberdefensa
Como se coment con anterioridad, en el Reino
Unido existe un amplio conjunto de organizaciones gubernamentales que
realizan funciones relacionadas con la Ciberdefensa y que complementan
los planes y estrategias enumerados con anterioridad. Los siguientes epgrafes resumen brevemente el cometido de estas organizaciones.
3.4.6.1. Esfuerzos del CESG. El CESG protege y
promueve los intereses de Reino Unido proporcionando consejo y asistencia relativos a la seguridad de las comunicaciones y la informacin
electrnica. Esta organizacin proporciona polticas de seguridad de la
informacin, as como los servicios y asistencia al Gobierno, y otros
clientes, que necesitan para proteger sus servicios de informacin crticos.
En concreto, las actividades del CESG se pueden resumir en los
siguientes grupos:
86
21/9/09
08:29
Pgina 87
Anexo A
Asistencia Tcnica:
Promocin del desarrollo de los estndares internacionales apropiados, y los marcos regulatorios a travs del Comit de Direccin del
ENISA, del cual el BERR es miembro.
7/10/09
09:36
Pgina 88
21/9/09
08:29
Pgina 89
Anexo A
4. Alemania
4.1. Contexto
Aunque Alemania no haya sufrido durante los ltimos aos ningn ataque terrorista significativo, su condicin de importante potencia
a nivel mundial hace que al igual que en otros pases, durante los ltimos aos, el gobierno haya trabajado en la mejora de la seguridad de su
pas. Por ello, los hechos ms relevantes relacionados con la Seguridad
Nacional y la Ciberdefensa que destacamos dentro de Alemania, o que
han afectado al pas, son los siguientes:
Plan Nacional para la Proteccin de Infraestructuras de Informacin (National Plan for Information Infrastructure Protection, NPIIP)
del ao 2005.
21/9/09
08:29
Pgina 90
La Oficina Federal de Seguridad de la Informacin (BSI): esta oficina tiene un papel primordial en la proteccin de las infraestructuras crticas. Trata todas las reas relacionadas con la seguridad del ciberespacio (se detallan a continuacin) y toma acciones preventivas, analizando
las tecnologas de la informacin y desarrollando las medidas de proteccin adecuadas:
o Internet: anlisis, conceptos, asesoramiento a otras agencias.
o Gestiona el grupo de respuesta de emergencia (computer emergency response team, CERT) y el centro de virus informticos.
o Aspectos de seguridad en red y criptografa, PKI, biometra.
o Proteccin de Infraestructuras crticas.
Dentro del propio BSI, cabe destacar el CERT-Bund que es el CERT
central de todas las agencias federales. Este Centro coordina a los CERTs
individuales que pudieran tener las propias agencias, y advierte y acon90
5/10/09
21:24
Pgina 91
Anexo A
4.4. Ciberdefensa
4.4.1. Proteccin de infraestructuras crticas
El ejercicio que ha realizado Alemania relacionado con la
proteccin de sus infraestructuras crticas se ha basado principalmente
en tres pilares. El primero de ellos, relacionado con la identificacin de
las infraestructuras crticas, como son los siguientes sectores:
Transporte y trfico
Energa
Materiales peligrosos
Telecomunicaciones y tecnologas de la informacin
Finanzas
Servicios
Administracin pblica y sistema de justicia
Otros: medios de comunicacin, edificios simblicos,
centros de investigacin.
91
5/10/09
21:24
Pgina 92
Una vez identificadas las infraestructuras a proteger, el gobierno alemn lleva a cabo una estrategia de proteccin exhaustiva que incluye los
siguientes elementos:
1-. Medidas preventivas a todos los niveles.
2-. Mejorar la capacidad de deteccin temprana y respuesta rpida,
tanto para controlar el posible dao como para encontrar a quin
lo haya causado.
3-. Limitar los efectos de los ataques exitosos lo mximo posible.
4-. Asegurar que los sistemas afectados continan funcionando a un nivel mnimo o que su tiempo de recuperacin sea lo ms breve posible.
Para poder llevar a cabo la estrategia de proteccin, se ha procedido
al desarrollo de los otros dos pilares de actuacin:
21/9/09
08:29
Pgina 93
Anexo A
5-.
6-.
7-.
8-.
9-.
10-.
11-.
12-.
13-.
5. Espaa
5.1. Contexto
21/9/09
08:29
Pgina 94
94
21/9/09
08:29
Pgina 95
Anexo A
5/10/09
21:24
Pgina 96
5.4. Ciberdefensa
5.4.1. Estrategia de Seguridad Nacional
En Espaa, en Octubre de 2008, an no se ha desarrollado
ninguna estrategia genrica de seguridad nacional, aunque su necesidad ha
sido identificada segn han anunciado destacados miembros del gobierno:
Posteriormente, el 30 de junio de 2008, en su primera comparecencia ante la Comisin de Defensa, la ministra de Defensa, Carme Chacn, tambin manifest su deseo de elaborar una Estrategia Integral de
Seguridad y Defensa para hacer frente a los nuevos desafos de la seguridad bajo los efectos de la globalizacin.
5.4.2. Proteccin de infraestructuras crticas
A raz de los atentados de Madrid en marzo de 2004, la
Comisin Europea adopt la Comunicacin sobre proteccin de las
infraestructuras crticas, que contiene propuestas para mejorar la prevencin, preparacin y respuesta de Europa frente a atentados terroristas que la amenacen. En la misma lnea planteada a nivel comunitario,
el 7 de mayo de 2007 el Secretario de Estado de Seguridad aprob el
Plan Nacional de Proteccin de las Infraestructuras Crticas.
Una vez aprobado dicho Plan, el Acuerdo firmado en noviembre de
2007 en el Consejo de Ministros recoge los siguientes aspectos:
La documentacin contenida en el Catlogo Nacional de Infraestructuras Estratgicas (se trata de informacin completa, actualizada y
contrastada sobre la totalidad de las infraestructuras estratgicas en el
territorio nacional, su ubicacin, titularidad, servicio que presta, nivel de
96
5/10/09
21:24
Pgina 97
Anexo A
seguridad que precisan, etc.), ser calificada como secreto, dada la alta
sensibilidad para la seguridad nacional de la informacin contenida en
dicho Catlogo.
5/10/09
21:24
Pgina 98
5.4.4. CCN
El CCN lleva a cabo las siguientes tareas relacionadas con
la seguridad de la informacin:
Elaborar y difundir normas, instrucciones, guas y recomendaciones para garantizar la seguridad de los sistemas de las tecnologas de la
informacin y las comunicaciones de la Administracin. Las acciones derivadas del desarrollo de esta funcin sern proporcionales a los riesgos
a los que est sometida la informacin procesada, almacenada o transmitida por los Sistemas.
Establecer las necesarias relaciones y firmar los acuerdos pertinentes con organizaciones similares de otros pases.
Gestin de incidentes de seguridad a travs del CCN-CERT, servicio puesto en funcionamiento a principios de 2007 como CERT gubernamental espaol y que est presente en los principales foros internacionales en los que se comparte objetivos, ideas e informacin sobre la
seguridad de forma global.
5.4.5. INTECO
El INTECO desarrolla los siguientes proyectos en el mbito de la seguridad tecnolgica orientados a prestar servicio a ciudadanos
y PyMEs:
5/10/09
21:24
Pgina 99
Anexo A
Formacin y concienciacin.
Investigacin y desarrollo.
Consulta.
99
5/10/09
21:24
Pgina 100
5.4.6.1. Estructura y organizacin. La estructura del CCD COE se puede ver en la figura siguiente. Como puede apreciarse, Espaa colabora aportando el jefe de la rama de entrenamiento y
personal especializado.
6. Noruega
6.1. Contexto
21/9/09
08:29
Pgina 101
Anexo A
cabe destacar tambin que la Comisin puso gran nfasis en las TIC
como foco de vulnerabilidad para la sociedad en general.
Por otro lado, y previamente al establecimiento de la Comisin, en
1998 el Comit del Secretario de Estado para las TIC, form un subcomit con el objetivo de informar sobre el estado de las vulnerabilidades
de las TIC de Noruega. Posteriormente, y en relacin con el mismo tema,
se puso en marcha en 1999 el proyecto denominado Proyecto de
Vulnerabilidades TIC formado por un grupo interdepartamental encargado por el Ministerio de Comercio e Industria y que colabor con la
Comisin de Una Sociedad Vulnerable.
En el Proyecto de Vulnerabilidades TIC, las autoridades responsables
de cada sector evaluaron los riesgos, uniendo estos a las funciones especficas del sector. Como resultado, el proyecto desemboc en la publicacin de la Estrategia Nacional de Seguridad de la Informacin en el ao
2003.
Cdigo Penal, prrafo 145b (relacionado con la difusin no autorizada de cdigos secretos (ej. Contraseas) que permite el acceso a la
totalidad o parcialidad de los ordenadores).
La Estrategia Nacional para la Seguridad de la Informacin (National Strategy for Information Security) del ao 2003.
Las Guas Nacionales para Fortalecer la Seguridad de la Informacin 2007-2010 (National Guidelines to Strengthen Information Security 2007-2010).
101
5/10/09
21:24
Pgina 102
5/10/09
21:24
Pgina 103
Anexo A
6.4. Ciberdefensa
6.4.1. Estrategia Nacional para la
Seguridad de la Informacin
El Ministerio de Comercio e Industria public esta estrategia para la seguridad de las TIC de Noruega en junio de 2003. Propona
varias iniciativas para la mejora de la seguridad, basadas en las Guas
OECD para la Seguridad de la Informacin y las Redes. La Estrategia
103
5/10/09
21:24
Pgina 104
englobaba todos los aspectos de la seguridad de las TIC y las actividades diarias del gobierno para la seguridad de las infraestructuras crticas
dependientes de las TIC.
La implementacin de las medidas de la Estrategia tuvo lugar entre los
aos 2003 y 2006, llevndose a cabo la mayora del trabajo dentro de
cada sector, principalmente por las agencias y las empresas. La prioridad
era la de asegurar las infraestructuras crticas TIC en la sociedad, y se
fortaleci para ello la organizacin del trabajo cruzado entre los sectores.
Finalmente, como resultado se obtuvo tambin una clarificacin sobre
las responsabilidades ministeriales relacionadas con la coordinacin
nacional a nivel de advertencia, asesoramiento y asistencia.
6.4.2. Gua nacional para fortalecer la
seguridad de la informacin 2007-2010
Despus de lanzar su Estrategia Nacional para la Seguridad de la Informacin en el 2003, en Noruega destacan el desarrollo de
cuatro aspectos tecnolgicos relacionados con los usuarios que se han
producido en los ltimos aos:
Incremento de la dependencia de la sociedad en las TIC (y en particular de Internet). La sociedad se ha vuelto vulnerable, incluso a breves interrupciones en los sistemas y las redes. El crecimiento de esta vulnerabilidad es, en parte, un resultado del incremento de la complejidad
de sistemas y redes.
Los beneficios financieros siguen siendo la motivacin ms importante para los atacantes aunque el robo de informacin confidencial se est
viendo incrementado. Se estn dando seales claras de la profesionalizacin de las actividades criminales. Actualmente existe un mercado ilegal de
comercializacin de herramientas para cometer violaciones de seguridad.
21/9/09
08:29
Pgina 105
Anexo A
21/9/09
08:29
Pgina 106
8-. Los Ministerios deben promover la I+D, la formacin y el desarrollo de competencias dentro de la seguridad de la informacin.
9-. Acuerdo coordinado entre los sectores para la gestin de la identidad y la firma electrnica.
10-. Debe desarrollarse la colaboracin internacional para la seguridad de la informacin de los Ministerios.
7. Unin Europea
7.1. Contexto
El conjunto de conflictos y actividades terroristas acaecidos durante los ltimos aos, tanto en el marco de la Unin Europea, como a nivel
internacional, as como la rpida proliferacin de las redes de comunicacin
de datos y su utilizacin por parte de delincuentes y terroristas, ha conllevado el desarrollo de reglamentacin, as como de la puesta en marcha de programas y la creacin de estructuras para proteger a la Unin Europea de los
riesgos existentes. En cuanto a los hechos ms relevantes relacionados con
la Seguridad Nacional (en este caso la Defensa de Europa) y la Ciberdefensa
caben destacar:
Junio de 1999: En el Consejo Europeo de Colonia se produce el lanzamiento del proyecto de desarrollo de una Poltica Europea de Seguridad y
Defensa (PESD).
21/9/09
08:29
Pgina 107
Anexo A
Poltica Europea de Seguridad y Defensa (PESD), cuyo texto bsico es la declaracin del Consejo Europeo de Colonia en junio de 1999.
Conjunto de medidas tendentes a reforzar la prevencin, la preparacin y la respuesta de la Unin ante ataques terroristas contra infraestructuras crticas.
Programa europeo para la proteccin de infraestructuras crticas, cuyo proyecto se aprob en diciembre de 2004.
8/10/09
07:44
Pgina 108
5/10/09
21:24
Pgina 109
Anexo A
7.4. Ciberdefensa
La UE ha desarrollado tres pilares en lo referente a la Seguridad
que son las siguientes polticas y estrategias:
Preservar la paz y fortalecer la seguridad internacional, en concordancia con los principios de la Carta de Naciones Unidas.
21/9/09
08:29
Pgina 110
1-. Definiciones
o Infraestructura Crtica
Infraestructura crtica incluye aquellos recursos fsicos, servicios,
infraestructuras de tecnologas de la informacin, redes y activos cuya
destruccin o interrupcin podra tener un serio impacto en la salud,
seguridad o bienestar econmico de los ciudadanos, o en el funcionamiento eficaz de los gobiernos. Hay tres grupos de activos de infraestructuras, de los cuales uno de ellos est compuesto por los activos pblicos
y privados y sus redes fsicas y lgicas (ciberredes y/o ciberespacio)
interdependientes.
o Servicio Esencial
Aquellos servicios bsicos como el agua, gas, electricidad etc.
junto con otros como los sistemas elctricos, los sistemas de control
medioambiental o las redes de comunicaciones que si son interrumpidos
ponen en riesgo la seguridad y confianza pblica, amenazan la seguridad
econmica o impiden la continuidad del gobierno de los Estados miembro o sus servicios.
o Infraestructura de Informacin Crtica
Sistemas TIC que son infraestructuras crticas en si, o que son
esenciales para la operacin de infraestructuras crticas (telecomunicaciones, ordenadores/software, Internet, satlites etc.).
2-. Sectores
El segundo sector crtico identificado es el Sector de la Informacin,
Comunicacin, Tecnologas, TIC y sus productos o servicios como son:
o Proteccin de las redes y sistemas de informacin
o Sistemas SCADA
o Internet
o Provisin de telecomunicaciones fijas
o Provisin de telecomunicaciones mviles
o Comunicacin por radio y navegacin
o Comunicacin por satlite
o Multidifusin
Una vez identificada la clara vinculacin entre Ciberdefensa y
Proteccin de Infraestructuras Crticas, el trabajo llevado a cabo en la UE
parte en el Consejo Europeo de junio de 2004, que solicit a la Comisin
y al Alto Representante que prepararan una estrategia global para proteger las citadas infraestructuras. En respuesta a dicha peticin, la
Comisin public, el 22 de octubre de 2004, la Comunicacin sobre proteccin de las infraestructuras crticas en la lucha contra el terrorismo,
que constaba de varias partes:
1-. Descripcin de la amenaza.
2-. Definicin de que se entiende por Infraestructura Crtica y enumeracin de las que tienen tal consideracin.
110
21/9/09
08:29
Pgina 111
Anexo A
3-. Descripcin de los avances en la proteccin de las infraestructuras crticas a nivel comunitario.
4-. Establecimiento del marco de mejora de la proteccin mediante el
Desarrollo de un Programa Europeo para la Proteccin de Infraestructuras Crticas (PEPIC).
5-. La determinacin de los objetivos del PEPIC y aspectos relativos
a la implementacin del Programa.
6-. La determinacin de los indicadores de xito del PEPIC
Una vez publicada la Comunicacin, los esfuerzos realizados relativos
a la proteccin de infraestructuras crticas ha sido los siguientes:
1-. Aceptacin del proyecto de la Comisin sobre un Programa
Europeo para la Proteccin de las Infraestructuras Crticas (PEPIC) y una
Red de Alerta en relacin con las Infraestructuras Crticas (CIWIN), en el
Consejo Europeo de 16 y 17 de diciembre de 2004.
2-. Elaboracin del programa PEPIC a lo largo de 2005. El 17 de
noviembre de 2005, la Comisin adopt el Libro Verde sobre un
Programa Europeo para la Proteccin de Infraestructuras Crticas (cuyo
objetivo es el de recabar puntos de vista en torno a las posibles opciones para el PEPIC).
3-. El 12 de diciembre de 2006 la Comisin present una Propuesta
de Directiva del Consejo sobre la identificacin y designacin de las
infraestructuras crticas europeas y la evaluacin de la necesidad de
mejorar su proteccin (COM (2006) 787 final). El mismo da, la Comisin
adopt tambin una Comunicacin sobre un Programa Europeo para la
Proteccin de Infraestructuras Crticas (COM (2006) 786 final).
4-. A lo largo del ao 2007 se defini en un conjunto de reas, bajo
las cuales los proyectos podan ser financiados, que eran las siguientes:
Mejora de las medidas de proteccin de infraestructuras crticas.
Vulnerabilidades y resistencia de las infraestructuras crticas,
incluyendo el desarrollo de metodologas.
o Estrategias de mitigacin de riesgos y evaluaciones de
amenazas para las infraestructuras crticas.
o Desarrollo de planes de contingencia.
o Desarrollo de estndares comunes de seguridad e innovacin de
tecnologas para la proteccin de infraestructuras crticas.
o Proyectos multinacionales (con la involucracin de al menos
dos pases).
o
o
21/9/09
08:29
Pgina 112
21/9/09
08:29
Pgina 113
Anexo A
21/9/09
08:29
Pgina 114
Anexo I:
Compuesto por la lista de sectores y subsectores.
Anexo II:
Puntos que debe incluir el procedimiento Plan de
Seguridad del Operador (PSO).
Anexo III:
Paso para la aplicacin del Procedimiento para la
identificacin por los Estados miembro de infraestructuras
crticas.
Finalmente cabe puntualizar, que al no estar an publicada la
Directiva, esta es susceptible de recibir cambios.
114
5/10/09
21:24
Pgina 115
Anexo A
21/9/09
08:29
Pgina 116
explotar los instrumentos reguladores existentes. Estos debates se organizarn a travs de conferencias y seminarios.
ASOCIACIN
En la Comunicacin se determina que la comprensin clara de la naturaleza de los retos es una condicin indispensable para la elaboracin de
una poltica eficaz, y que para ello conviene disponer de datos estadsticos y econmicos fiables actualizados. As pues, la Comisin concret
que pedira al ENISA:
Que desarrolle una asociacin de confianza con los Estados miembro y las partes interesadas con el fin de elaborar un marco adecuado
para la recogida de datos.
Que examine la viabilidad de un sistema europeo de comunicacin de informacin y alerta que permita responder eficazmente a las amenazas. Este sistema incluira un portal multilinge de la UE destinado a proporcionar informacin especfica sobre amenazas, riesgos y alertas.
Paralelamente, la Comisin haca un llamamiento a los Estados miembro, al sector privado y a los investigadores, a establecer una asociacin
para garantizar la disponibilidad de datos sobre el sector de la seguridad
de las tecnologas de la informacin y las comunicaciones.
RESPONSABILIZACIN
La Comunicacin define que la responsabilizacin de las partes interesadas es un requisito previo para sensibilizarlas an ms sobre las necesidades y los riesgos en materia de seguridad, a fin de promover la seguridad de las redes y de la informacin. sta es la razn por la que se invita a los Estados miembro, en particular, a:
Promover, en colaboracin con ENISA, campaas de sensibilizacin sobre los beneficios asociados a la adopcin de tecnologas eficaces,
buenas prcticas y un comportamiento responsable en relacin con la
seguridad.
Aprovecharse del despliegue de servicios de administracin electrnica para fomentar las buenas prcticas de seguridad.
Fomentar la diversidad, la apertura, la interoperabilidad, la facilidad de uso y la competencia como elementos clave para impulsar la
116
21/9/09
08:29
Pgina 117
Anexo A
seguridad y estimular el despliegue de productos y servicios que mejoren la seguridad, a fin de combatir la sustraccin de la identidad y otros
ataques contra la vida privada.
Difundir las buenas prcticas en materia de seguridad para operadores de redes, proveedores de servicios y Pymes.
Elaborar sistemas para la certificacin de la seguridad de productos, procesos y servicios que sean asequibles y respondan a las necesidades especficas de la UE.
Implicar al sector de los seguros en la elaboracin de herramientas y mtodos de gestin del riesgo.
7.4.2.2. Seguridad de las redes y de la informacin: propuesta para un enfoque poltico europeo. El Consejo Europeo
de Estocolmo de los das 23 y 24 de marzo de 2001 concluy que "el
Consejo, en concierto con la Comisin, pondra en marcha una amplia estrategia en materia de seguridad de las redes electrnicas, que previera medidas prcticas de aplicacin. Esta estrategia deba estar preparada para el
Consejo Europeo de Gotemburgo de junio de 2001". La Comunicacin,
COM(2001)298, fue la respuesta de la Comisin Europea a dicha peticin
y se divide en dos partes diferenciadas:
1-. Anlisis de los problemas de seguridad de las redes y de la informacin, en el que resume el conjunto de amenazas en materia de seguridad, agrupndolas en:
o Interceptacin de las comunicaciones.
o Acceso no autorizado a ordenadores y redes de ordenadores.
o Diversos ataques a las redes.
o Ejecucin de programas malintencionados que modifican
o destruyen datos.
o Robo de identidad.
o Accidentes no provocados.
2-. Conjunto de medidas propuestas que conforman el enfoque poltico europeo relacionado con el mbito de la seguridad de las redes y de
la informacin. Las medidas propuestas son las siguientes:
o Concienciacin: Lanzamiento de una campaa de informacin
y educacin pblica y fomento de las mejores prcticas.
o Un sistema europeo de alerta e informacin: Fortalecimiento por parte de los Estados miembro de sus equipos de respuesta a
emergencias informticas (CERT) y mejora de la coordinacin entre los
mismos.
o Apoyo tecnolgico: Apoyo a la investigacin y al desarrollo
en materia de seguridad (6 y 7 Programa Marco) y relacin con una
117
21/9/09
08:29
Pgina 118
21/9/09
08:29
Pgina 119
Anexo A
8. OTAN
8.1. Contexto
Los hechos ms relevantes relativos a la Ciberdefensa en la OTAN
son los que se enumeran a continuacin:
21/9/09
08:29
Pgina 120
21/9/09
08:29
Pgina 121
Anexo A
21/9/09
08:29
Pgina 122
8.4. Ciberdefensa
8.4.1. Proteccin contra el terrorismo
y otras amenazas
Las diversas naturalezas que se esconden tras el terrorismo (religioso, independentista, mafioso, etc.) hacen que la OTAN se
encuentre involucrada en numerosas iniciativas de diverso carcter:
Poltico
Operacional
Conceptual
Militar
Tecnolgico
En todas las iniciativas, la OTAN trabaja conjuntamente con otros
socios y organizaciones con el objeto de lograr una amplia cooperacin
en la lucha contra el terrorismo.
El Programa de Defensa Contra el Terrorismo de la OTAN est focalizado en el desarrollo de tecnologa que permita la lucha eficiente contra
122
21/9/09
08:29
Pgina 123
Anexo A
el mismo, tanto para la proteccin de las tropas como de los civiles contra los ataques terroristas.
El trabajo del programa est dividido en once reas, donde la tecnologa puede ser de vital importancia (los proyectos estn siendo liderados por pases de la OTAN, a ttulo individual, o grupos de la Conferencia
de Directores de Armamento Nacional, CNAD). Del conjunto de reas
destaca una de ellas por su relacin con el concepto de Ciberdefensa:
En la actualidad, se est estudiando cual ser el grado real de involucracin de la OTAN, a la vez que un conjunto de programas prcticos
dentro de la Alianza y con los Socios de la OTAN se est desarrollando a
travs de talleres y proyectos de investigacin.
123
21/9/09
08:29
Pgina 124
21/9/09
08:29
Pgina 125
Anexo A
tivo y el adversario (implementacin del concepto de defensa en profundidad) as como verificaciones de su correcto funcionamiento como
auditoras de seguridad, test de intrusin, etc.
Deteccin, Respuesta y Mitigacin
Dentro de la ciberdefensa, es de vital importancia:
o La identificacin en tiempo real, o casi real, de la actividad anmala en las redes;
o La identificacin y aplicacin de las medidas necesarias para el
aislamiento, con el fin de mitigar las consecuencias;
o Alertar a los usuarios apropiados y
o Obtener un conocimiento sostenido de la situacin.
Recuperacin y Realimentacin
En el ltimo de los requerimientos, la Poltica determina la importancia de la capacidad para reestablecer el funcionamiento normal de los
sistemas y analizar los eventos acaecidos con el fin de mejorar los mecanismos de ciberdefensa implantados.
8.4.3.3. Mecanismos. En cuanto a los mecanismos aplicables en ciberdefensa, la poltica cita la necesidad de:
Un Mecanismo de Consulta
Establecimiento de un mecanismo de consulta para mejorar el conocimiento de la situacin, actuar ante un ciberataque por parte de los responsables apropiados, y capacitar para asistir a los aliados con una respuesta inmediata y efectiva.
La responsabilidad de desarrollar esta capacidad recae sobre el NC3
Board en coordinacin con el NATO Security Comit (NSC) y otros comits relevantes. El mecanismo ser incluido en el Manual de Respuesta
ante Crisis de la OTAN (NATO Crisis Response System Manual)
Un Canal de Comunicaciones
Establecer un canal de comunicaciones entre los Aliados para asegurar el intercambio de informacin, clasificada y sin clasificar, relativa a las
ciberamenazas, y a los ataques e incidentes.
8.4.3.4. Capacidades. Las capacidades de la OTAN
en ciberdefensa estn focalizadas principalmente en los siguientes rganos:
El NCIRC constituye el principal instrumento tcnico que proporciona soporte a los Aliados frente a los ciberataques. Por esta razn la
Poltica dictamina que debe estar entrenado, equipado y organizado adecuadamente para poder llevar a cabo esta tarea (tendr prioridad en la
recepcin de los recursos requeridos).
El NCIRC debe coordinarse con el Comit de Planificacin de Comunicaciones Civiles (Civil Communications Planning Committee, CCPC) para soportar el equipo de accin rpida. Por otro lado, el NCIRC ser capaz de
reaccionar y comunicarse con los NCIRC equivalentes que son propios de
las Naciones.
125
5/10/09
21:24
Pgina 126
Aparte del NCIRC, el CCD COE proporcionar soporte y experiencia a la OTAN y las Naciones segn se determina en los acuerdos de su
programa de trabajo.
8.5. Financiacin
El programa para la Capacitacin del NCIRC tiene un coste estimado de 8 millones de euros.
21/9/09
08:29
Pgina 127
Anexo A
pueden imponerse. Este tipo de pases encuentran en este tipo de ataques, lanzados desde dentro o desde fuera de nuestras fronteras, una
opcin asimtrica de ataque y defensa en una crisis armada. Hacan
crebles as las palabras de un general chino sin identificar, que aseguraba que eran capaces de hacer que los centros de mando y control del
enemigo queden inutilizables modificando sus sistemas. Podemos hacer
que el enemigo tome decisiones incorrectas enviando informacin falsa.
Podemos dominar el sistema bancario del enemigo e incluso su completo orden social.
En julio de 2004, Jiang Zemin, Presidente de la Comisin Militar
Central hizo una llamada a las fuerzas militares para equiparse con tecnologas de la informacin para prepararse para una posible ciberguerra.
El desarrollo de una estrategia militar china en el campo de la ciber guerra puede situarse a comienzo de la dcada de 1990. Tras concluir la
Guerra del Golfo, en 1991, el gobierno chino y el PLA comenzaron a analizar la victoria de EE.UU. Las fuerzas americanas y de la coalicin utilizaron operaciones coordinadas a travs de medios electrnicos con el fin
de derrotar al ejrcito iraqu. Los primeros lanzamientos de misiles por
parte de EE.UU. tenan por objetivo destruir las capacidades de mando y
control, as como los radares. Tanto China como otras potencias mundiales, vieron la victoria combinando mtodos tradicionales y tecnologas de
la informacin como una revolucin (RMA, Revolution in Military Affairs).
A raz de los documentos e informes publicados por China en materia
de ciberguerra, se aprecian dos principales lneas de actuacin. En primer lugar, una estrategia en ciberataques, equiparndola a las estrategias convencionales. En segundo lugar, el desarrollo de capacidades en
ciberguerra se convierte en un objetivo nacional ms por ser un camino
efectivo y relativamente barato en operaciones contra algn adversario.
Los comienzos del programa de investigacin
En una de sus primeras publicaciones, Shen Weiguang, escribi:
Aquellos que toman parte en un ciberataque no son todos soldados.
Cualquiera que sepa informtica puede convertirse en un luchador en la
red. Hay que pensar en la posibilidad de carros de combate no gubernamentales que pueden tomar la decisin de entrar en el conflicto; no slo
hay que buscar la movilizacin de la gente joven, tambin industrias
relacionadas con las tecnologas de la informacin sern las primeras en
ser movilizadas y formar parte de la guerra,
Shen, actualmente un reconocido experto en materia de ciberguerra
defini el concepto de la batalla desde el hogar, en la que China conducira un tipo de guerra diferente con ordenadores (Peoples War). La
evolucin desde una estrategia para este tipo de guerra hasta la adopcin de tecnologas de la informacin para derrotar a enemigos superiores, se puede ver como un componente integral de un plan de China para
llegar a ser un lder a nivel mundial, sin tener que invertir grandes can127
21/9/09
08:29
Pgina 128
21/9/09
08:29
Pgina 129
Anexo A
5/10/09
21:24
Pgina 130
5/10/09
21:24
Pgina 131
Anexo A
9.2. India
9.2.1. Introduccin
India ha experimentado, y sigue hacindolo, ciberataques
de gran variedad de formas. El 7 de junio de 1998, por ejemplo, un grupo
antinuclear, Milw0rm, hacke la red del Bhaba Atomic Research Center
(BARC) para protestar contra las pruebas nucleares. En el mismo perodo, grupos hacker paquistanes, como Death to India, Kill India, Dr.
Nuker o G-Force Pakistan, hicieron circular instrucciones para lanzar
ciberataques a ordenadores de la India. Desde 2001, se fueron intensificando los ataques entre los dos pases, destacando los defacements en
webs de ambos pases.
Como consecuencia, los ciberataques suponen ms que un reto terico para el desafo del da a da en la agenda de la seguridad nacional del
gobierno. En respuesta a estos ataques, los lderes de las fuerzas armadas del pas detectaron la necesidad de un cambio y comenzaron a colaborar con compaas privadas con el fin de crear una fuerza militar enfocada en las nuevas tecnologas.
A finales de la dcada de 1990, desde Nueva Delhi se realiz una revisin de la postura a adoptar dentro del marco de lo que se llam la
Revolucin en Aspectos Militares (RMA, Revolution in Military Affairs), llevada a cabo por la aplicacin de tecnologas digitales en armas de precisin y
comunicaciones instantneas. En el informe de 2001, Retos para la Gestin
de la Seguridad Nacional, los lderes polticos daban especial importancia a
los asuntos relacionados con la ciberdefensa y el ciberataque.
La transformacin pretendida por la India en la doctrina militar estratgica y operacional complement los cambios en la economa en tecnologas de la informacin que haba empezado a comienzos de los 90. A
finales de dicha dcada, los fabricantes indios trabajaban junto con
empresas estadounidenses, ya que ofrecan mano de obra bien entrenada y barata.
131
5/10/09
21:24
Pgina 132
21/9/09
08:29
Pgina 133
Anexo A
5/10/09
21:24
Pgina 134
para integrar las tecnologas de la informacin al sector militar. Los servicios armados han desarrollado planes que conllevan requerimientos a
largo plazo para adquirir nuevas tecnologas y tambin los recursos
humanos necesarios para este fin.
Por ltimo, cabe destacar la colaboracin establecida entre Rusia e India
en investigacin informtica. Estos dos pases tomaron medidas para fortalecer lazos tradicionales en el campo de la defensa y armamento militares. Ejemplos de este hecho, son las colaboraciones entre el Departamento
de Ciencia y Tecnologa de Nueva Delhi y la Academia de las Ciencias de
Rusia, o entre el Centro de Desarrollo de Alta Computacin de India y el
Instituto de Diseo Asistido por Ordenador de Rusia.
9.2.3. Conclusiones
Las fuerzas armadas de la India han establecido una doctrina para abarcar de una forma ms directa temas de ataque y defensa
en ciberguerra, lo que ha impulsado los esfuerzos del pas en investigacin TIC y desarrollo de software. Dentro de esta doctrina, se han llevado a cabo algunos pasos, como la creacin de la Universidad Nacional de
Defensa, siendo uno de sus enfoques el software informtico y el establecer una nueva agencia de inteligencia y vigilancia electrnica.
Desde Nueva Delhi se busca de forma activa cooperacin militar con
otros pases como Rusia o Israel en materias tcnicas y cientficas, pases con conocidas cibercapacidades.
9.3. Irn
9.3.1. Introduccin
Las tecnologas de la informacin y comunicaciones (TIC)
en la cultura civil iran son complejas. El gobierno, consciente de la
importancia de este sector y las consecuencias asociadas con Internet,
est determinado a que Irn no se ver excluido de la economa global
de las TIC. La poblacin, por lo general culta, consciente de los desarrollos y tendencias a travs de contactos externos, clama por tener acceso a estas tecnologas. Irn cuenta con una infraestructura telefnica
antigua y obsoleta. Por otra parte, elementos conservadores del rgimen
religioso piensan que el acceso a la informacin sin control, llevar consigo levantamientos y tensiones sociales.
Los servicios de telecomunicaciones y de Internet en Irn normalmente son considerados rudimentarios comparados con los de otros pases
de la regin del Golfo Prsico. Algunos analistas atribuyen el no considerar su potencial a contradicciones internas polticas y religiosas.
Informes de la CIA sealaban que en 2004 Irn contaba con unos
5000 servidores frente a los 15.900 de Arabia Saud o los 56.280 de
Emiratos rabes. En cuanto al nmero de PCs, en 2003, segn la Unin
Internacional de Telecomunicaciones (ITU), el ndice de penetracin en
134
5/10/09
21:24
Pgina 135
Anexo A
Irn era del 7.5% frente al 13.67% de Arabia Saud o el 12% en Emiratos
rabes.
A pesar de estos datos, en los ltimos aos el gobierno ha realizado
esfuerzos para ponerse al da en el sector de las TIC. En particular, el
sector de defensa ha dado una importancia primordial a tener recursos
humanos y financieros dedicados a la investigacin y desarrollo en guerra electrnica y sus campos relacionados.
Irn est decidido a superar la propia percepcin de inferioridad militar y tecnolgica. Para conseguir esto, en los ltimos aos, desde el
gobierno se estn dando pasos para una transformacin tanto en su poltica exterior como en su doctrina de seguridad y en la adquisicin de
armamento sofisticado. Tehern est invirtiendo en la compra de sistemas avanzados para guerra convencional y tambin en investigacin y
desarrollo de tecnologa digital y tecnologas de la informacin relacionadas con el sector militar. Con esto, Irn busca el evitar el aislamiento econmico y tecnolgico, lo que tirara al traste las expectativas de alcanzar
la fuerza necesaria para convertirse en una referencia poltica en Asia
Central. Con este fin, desde el gobierno se han establecido lazos con
vecinos como Rusia e India.
9.3.2. Evolucin en capacidad para la ciberguerra
En 2004, en EE.UU. se incluy a Irn dentro de la lista de
pases capaces de llevar a cabo ciberataques contra sus intereses. Desde
la CIA se asegura que Irn ya cuenta con recursos humanos entrenados
en ciberguerra, aunque se sealaba que pareca poco probable que se
intentase atacar algn objetivo militar y no tanto que sus objetivos fuesen del sector privado.
Ya desde la dcada de los 90, cuando Irn reconoci su inferioridad
manifiesta con respecto a otros pases en lo relativo a ciberguerra, se
procedi a reestructurar las prioridades en defensa y a incrementar los
esfuerzos en I+D nacional. En 1999, desde el Consejo Nacional de
Inteligencia de EE.UU. se sealaba que Irn e Irak eran ejemplos de
estados que tendern a explorar la utilidad de las tecnologas de la
informacin en operaciones asimtricas. Para contrarrestar las capacidades militares de EE.UU. estos estados buscarn formas de explotar nuestras vulnerabilidades, incluyendo el empleo de ciberguerras y ciberterrorismo.
En 2002, Irn contaba con unos 250 ISPs, la mayora de los cuales
pertenecan al gobierno o a agencias del estado. Los pocos ISPs que operaban de manera independiente proporcionaban acceso a unos precios
que prcticamente limitaban el uso de Internet a usuarios en unas esferas muy reducidas.
Los terminales pblicos disponibles permitieron la aparicin de una
nueva sub-cultura en las principales ciudades, como Tehern. La proliferacin de cibercafs, unido a intentos del gobierno para filtrar determi135
21/9/09
08:29
Pgina 136
nados contenidos y el control del acceso pblico ha promovido una mentalidad hacker.
Como ya se ha sealado, desde el gobierno durante los ltimos aos,
se ha dado una alta prioridad a la modernizacin militar. Se ha dedicado
para ello una parte significativo de los beneficios logrados con el negocio
del petrleo en I+D en relacin con armas de destruccin masiva, armas
avanzadas en el campo tradicional y diversas tecnologas en guerra electrnica.
Esfuerzos en investigacin
A raz de la Guerra del Golfo, en 1991, Irn se dio cuenta del valor de
las tecnologas de la informacin para fines militares y se tomaron decisiones para asegurar la digitalizacin de sus fuerzas armadas. Desde
hace ya ms de 10 aos, en el Armys Officer Training College se incluyen asignaturas como software de ordenadores.
El Ministro de Defensa iran, Ali Shamkhani, ya sealaba en el ao 2000
que Irn confa en el potencial de su hardware y software nacional para
la seguridad nacional. Posteriormente, el Ministro sealaba la importancia
de la inversin en TIC para mejorar las capacidades en defensa militar. En
febrero de 2003, anunci la creacin de un complejo Universitario para
atraer personal para asegurar la mejora continua en el sector de defensa
y su modernizacin. La Universidad Malek Ashtar, en Shahinshar, es conocida como la Universidad de las Ciencias y la Tecnologa, est relacionada
con diversas actividades en I+D en sectores como el aeroespacial, biotecnologa gentica y tecnologas de la informacin y comunicaciones.
Adems, Tehern busca activamente contactos econmicos y militares
con productores de tecnologa ms all de las fronteras del estado. Se
dice, por ejemplo, que la eleccin de Vladimir Putin en mayo de 2000,
signific el comienzo de una nueva era en las relaciones entre Rusia e
Irn. Desde entonces, en Irn se han realizado movimientos significativos en torno a la adquisicin de tecnologas de defensa rusas. Tambin
se han llegado a acuerdos con India, un pas volcado con las tecnologas
de la informacin para uso civil y militar. Estos acuerdos buscan el cooperar con Irn en tecnologas de la informacin, entrenamiento y asuntos terroristas.
Ante las dificultades para enviar gente a adquirir conocimientos a
EE.UU., la estrategia gir en torno a: establecer centros de educacin
e investigacin nacionales, identificar aliados para compartir conocimientos en tecnologa, intercambio de estudiantes e I+D colaborativa.
De acuerdo con una evaluacin acadmica publicada en Tehern despus de la visita del Ministro de Defensa Sergeyev, los objetivos de
Rusia eran:
-. Utilizar Irn para frenar la expansin de la OTAN por Asia Central.
-. Frustrar las ambiciones de competidores regionales, como Turqua.
136
5/10/09
21:24
Pgina 137
Anexo A
5/10/09
21:24
Pgina 138
9.4. Pakistn
9.4.1. Introduccin
Actividades de hacking bien documentadas en Pakistn y
lazos entre la comunidad hacker y los servicios de inteligencia paquistanes hacen pensar que Pakistn cuenta con capacidad para llevar a cabo
ciberataques. Sin embargo, no se han encontrado documentacin pblica que determine la naturaleza exacta de esta capacidad, es posible que
el gobierno de Pakistn slo haya realizado una inversin mnima en su
programa de ciberguerra. Las evidencias encontradas hacen suponer que
el principal objetivo de esta capacidad ofensiva es India. Pakistn ha
desarrollado la industra TIC, cuenta con programadores informticos
expertos y el hecho de que una de las principales preocupaciones del
gobierno sea la seguridad en Cachemira y equipararse a la India puede
suponer un entorno susceptible de sufrir una ciberguerra.
Desde 1947, ao de la independencia de Pakistn frente a India, las
tensiones entre ambos pases no han disminuido. El principal foco de
conflictos se ha llevado a cabo sobre Cachemira, un rea disputada al
este de Pakistn y al norte de India. Ambos pases reclaman el territorio.
El resultado del conflicto armado llev consigo pocos progresos en torno
a una resolucin de la disputa de dicho territorio.
En el conflicto de Cachemira, el ciberespacio se ha convertido en un
nuevo frente. Tanto Pakistn como India controlan servidores en Internet
que esparcen propaganda on-line con su situacin en el conflicto. Mensajes
del estilo: India, tu gente son perdedores... esto es un aviso a la poblacin India para dejar libre Cachemira y deje de soar con ella fueron colgados despus de un ataque sobre www.zeetv.com (pgina propiedad del
magnate Indio Subhas Chandra), son tpicos de las intenciones polticas de
una ciberguerra entre ambos pases. A pesar de que desde Pakistn se niegue que se estn financiando estos esfuerzos, Islamabad proporciona
apoyo diplomtico a los luchadores por la libertad de Cachemira y existen rumores de contactos entre los servicios de inteligencia y la comunidad hacker pakistanes.
El problema de un programa potente de ciberguerra pakistan es
doble. En primer lugar, podra desencadenar efectos desestabilizadores
en la regin del sur de Asia, con ataques a la infraestructura TIC y negocios civiles, as como ciberintrusiones a operaciones secretas nucleares y
otras relacionadas con la seguridad. El dao causado a sitios web de
India, por ejemplo, ha sido considerable. En 2002, alrededor del 90% de
las empresas de India con presencia on line detectaron una brecha de
seguridad, de ellas, el 80% informaron de prdidas econmicas debido a
este tipo de incidentes.
Un segundo problema potencial es que aquel de una carrera de ciberarmamento a mayor escala en el subcontinente. El Servicio de
Inteligencia y Seguridad de Canad ha identificado la ciberguerra entre
138
5/10/09
21:24
Pgina 139
Anexo A
5/10/09
21:24
Pgina 140
5/10/09
21:24
Pgina 141
Anexo A
9.5. Rusia
9.5.1. Introduccin
Los servicios militares rusos, junto con expertos del sector
TIC y de la comunidad acadmica, han desarrollado un programa robusto de ciberguerra. El armamento de informacin (information weaponry), armas basadas en cdigo de programacin, recibe una atencin
especial en esta doctrina de ciberguerra.
El colapso de la Unin Sovitica en 1991 llev a una crisis econmica y
una significativa fuga de cerebros, vindose afectadas varias industrias de
Rusia y los crculos acadmicos. A pesar de esto, el Servicio de Seguridad
Federal (FSB, Federal Security Service), la Agencia Federal para las Comunicaciones y la Informacin del Gobierno (FAPSI, Federal Agency for
Government Communications and Information) y el sector de la alta tecnologa de Rusia no se deben subestimar ya que han contado con el potencial
suficiente para el desarrollo de un programa de ciberguerra. Se cree que
ambos, FAPSI y FSB, sucesores de los rganos de la KGB, cuentan con
potentes programas de adquisicin de informacin, lo que ha conducido a
crecientes suspicacias sobre posibles intentos de espionaje.
El Departamento de Defensa (DoD, Department of Defense) de EE.UU.
permanece desconfiado ante la amenaza que supone la comunidad hacker rusa. Existe documentacin de que esta comunidad hacker en 1999
consigui comprometer dos millones de ordenadores del DoD, en lo que
el Pentgono calific como una campaa de espionaje electrnico ruso.
Fue denominada la Operation Moonlight Maze.
Los esfuerzos del gobierno por reconstruir la obsoleta infraestructura
ha trado consigo un incremento en la confianza y el resurgimiento de la
economa rusa. Evaluando la situacin del pas en materia de ciberguerra, el conflicto checheno es de especial importancia, ya que ha forzado
a los servicios de inteligencia rusos a hacer frente a los tcnicos expertos chechenos. Sergei Pokrovsky, el editor de la revista rusa Khaker, confirm que el FSB da empleo a hackers tanto para espionaje internacional
como nacional. Hace ya aos que existen evidencias de la activa capacidad rusa en materia de ciberguerra. Algunos ejemplos fueron las acciones llevadas a cabo por hackers patrocinados por el gobierno contra
Chechenia, o el desarrollo de conceptos doctrinales relevantes, que vienen a confirmar los esfuerzos en investigacin en ciberguerra.
9.5.2. Acciones llevadas a cabo por Rusia
A pesar de que los servicios militares y de inteligencia han
sufrido importantes recortes de presupuesto en los ltimos aos y de las
crisis sufridas por Rusia, que llevaron a su restructuracin econmica,
sus operaciones de comunicaciones y los esfuerzos en investigacin en
ciberguerra han sido siempre significativos y han supuesto una amenaza
considerable para la seguridad informtica.
141
21/9/09
08:29
Pgina 142
La informacin pblica apunta a Rusia como una nacin cuya capacidad en ciberguerra es, junto con la de EE.UU., la ms desarrollada de
entre las naciones tcnicamente desarrolladas. De acuerdo con anlisis
realizados por EE.UU., Rusia es un ejemplo de nacin altamente involucrada en el desarrollo de su propia capacidad en ciberguerra. Los servicios de inteligencia de EE.UU. consideran que desde Mosc se han destinado importantes fondos para investigacin en esta materia.
Analistas del gobierno de EE.UU. tambin creen que el ejrcito ruso es el
que encabeza el desarrollo del programa en ciberguerra y que los servicios
de inteligencia estn involucrados con la investigacin y la utilizacin de
estas tecnologas. Desde la CIA, ya en el ao 2000 se sealaba que uno de
los objetivos de estos programas podran tener fines ofensivos. Fuentes
militares rusas sealaron entonces que no exista ninguna evidencia que
relacionase el programa de ciberguerra con ningn ataque.
En Rusia, ya en 1996, en el Duma Subcommittee for Information
Security, se trataron temas de seguridad de la informacin y defensa en
materia de ciberguerra. Entonces se sospechaba que equipos de telecomunicaciones recientemente comprados a EE.UU. podran contener
dispositivos en su interior capaces de causar daos irreparables en los
sistemas de telecomunicaciones rusos cuando fuesen activados desde
algn lugar remoto. Como consecuencia, la seguridad de la informacin
en Rusia se convirti en una prioridad, y se aumentaron los esfuerzos
para securizar su ciberespacio.
Parece, por tanto, que el programa oficial de ciberguerra de Rusia
surge del miedo a la superioridad de EE.UU en el mundo ciber. La
posesin de una capacidad avanzada en el sector TIC por parte del
ejrcito de EE.UU. y de sus servicios de inteligencia aparentemente origin el miedo en Mosc de perder una ciberguerra entre las dos naciones. En 2001, el general Vladislav Sherstyuk, ayudante del secretario
del Consejo de Seguridad, dijo que la aparicin de un rea nueva de
confrontacin en sistemas de informacin era capaz de provocar el
comienzo de una carrera armamentstica. El desarrollo de virus informticos, a diferencia de los misiles nucleares, no requieren de expertos que se puedan encontrar ms all de la poblacin civil.
El sector tecnolgico ruso y la comunidad acadmica, junto con el
ejrcito, comenzaron as con el desarrollo del programa de ciberguerra ms potente junto con el de EE.UU. Desde Rusia se reconoce que
la guerra de la informacin requiere medidas ofensivas y defensivas
para que el programa tenga xito. El hecho de que la ciberguerra proporcione nuevos medios para afectar a la poblacin civil y militar hace
que cambien los principios, tcticas y condiciones de la guerra tradicional.
Las armas software reciben una gran atencin en el programa de
ciberguerra ruso. El desarrollo y uso de este tipo de armas requiere una
planificacin a largo plazo, experiencia tcnica e inteligencia sobre
142
21/9/09
08:29
Pgina 143
Anexo A
objetivos; con todo lo cual cuentan los servicios secretos rusos como
FAPSI o FSB. La lista de armas incluye virus (que causen la prdida de
datos), troyanos, programas capaces de modificar cdigos a travs de
acceso remoto, y destruccin de infraestructuras crticas de forma
remota.
Durante la fase de investigacin de la Operation Moonlight Maze,
Michael Vatis, entonces cabeza del Centro de Proteccin de Infraestructuras Nacionales (NIPC) atribuy los ataques a Rusia. Vatis reconoci
que se haba robado informacin clasificada aunque importante sobre
asuntos de investigacin en defensa y tecnologa. Tambin dijo que las
intrusiones se haban producido en el DoD, otras agencias federales y
redes del sector privado.
En la misma poca, el senador de EE.UU. Robert Bennett tambin
afirmaba que la Operation Moonlight Maze certificaba el hecho de que
las amenazas en el ciberespacio eran reales y aseguraba que los ataques provenan de la Academia Rusa de las Ciencias. El FBI, por su
parte, intent determinar si dicha Academia era la responsable; el anlisis de las trazas y un anlisis forense inicial revelaron que las intrusiones tenan como origen lneas telefnicas rusas. Entre las empresas
afectadas se encontraba Meganet Corp. una empresa privada dedicada
a desarrollar software de cifrado.
En un incidente posiblemente relacionado y ocurrido en febrero de
1999, una impresora Hewlett Packard del Navys Space and Naval
Warfare Systems Command Center (Spawar), en San Diego, fue programada para enviar copias de los documentos impresos a una localizacin remota en Rusia. Spawar proporciona seguridad electrnica a
algunas agencias federales de EE.UU.
Las defensas para la seguridad de la informacin para contrarrestar
ciberataques tambin han sido un foco del complejo militar-industrial
existente en Rusia. El gobierno de la Federacin Rusa cre una directiva en marzo de 2000 ordenando a las empresas rusas a proporcionar
nuevas medidas de seguridad de la informacin as como medidas operativas de seguridad para usar en sistemas operativos americanos
(UNIX y Windows) por el ejrcito ruso.
El conflicto Checheno
Un anlisis de la guerra de la informacin entre los ejrcitos rusos y
chechenos desde la segunda mitad de 1999 hasta el 2000 indica que el
ejrcito ruso y sus servicios de inteligencia cuentan con capacidades de
ciberguerra. En el primer conflicto (19941996), Chechenia tuvo ms
puntos a favor en las relaciones pblicas, ya que el gobierno ruso neg
el acceso a los medios de comunicacin en muchas de sus acciones
militares. Por otra parte, en Chechenia la presencia de la prensa fue
bienvenida, viendo en ella la oportunidad para dar a conocer su mensaje y haciendo que se viese su punto de vista. Al comienzo del segun143
21/9/09
08:29
Pgina 144
5/10/09
21:24
Pgina 145
Anexo A
otro estado en un intento de vencerle en esas condiciones. En este sentido es posible forzar al enemigo a rendirse sin utilizar las armas tradicionales.
El programa de ciberguerra ruso tambin describe el momento ptimo para realizar el ataque. Previamente a este primer golpe, todos los
objetivos deben ser identificados (incluyendo los sistemas de informacin enemigos), se debe negar el acceso enemigo a la informacin, la
circulacin monetaria y de crdito debe ser interrumpida y la poblacin
debe ser sometida a masivas operaciones psicolgicas, incluyendo desinformacin. Esto debe ser llevado a cabo con una planificacin previa
y mediante inversiones a largo plazo para reconocer y penetrar en sistemas enemigos.
Oficialmente, el gobierno ruso tiene una postura no intervencionista
en relacin con la aplicacin de la ciberguerra. El antiguo Ministro de
Defensa Ivanov, fue preguntado en 2001 por si se haban tomado
medidas para crear una unidad capaz de lanzar ataques a travs de
redes de ordenadores, la respuesta fue de algn modo circular y evasiva, donde lleg a decir que la postura fundamental de Rusia es
observar los principios de la no aplicacin de la fuerza, la no intervencin en asuntos internos, el respeto de los derechos y libertades humanos, y el no permitir que los logros en la esfera de las ciencias de la
informacin y las telecomunicaciones se utilicen para fines que vulneren la Carta de las Naciones Unidas.
Al ser preguntado por el programa Echelon, el sistema de satlites
SIGINT de la Agencia de Seguridad Nacional, Ivanov dijo que FAPSI,
el Ministerio de Defensa, el FSB, la Comisin Tcnica del Estado y otras
autoridades ejecutivas estaban dando pasos orientados a aumentar el
nivel de proteccin de la informacin que es transmitida. De estas afirmaciones se puede deducir que Rusia tiene al menos concienciacin de
una capacidad en ciberdefensa.
9.5.3. Conclusiones
Gran parte de la investigacin inicial y del desarrollo de
capacidades en ciberguerra en Rusia fue debido a lo que el gobierno
ruso consider un desarrollo agresivo por parte de EE.UU. de un programa de guerra de la informacin. A pesar de que las relaciones entre
Washington y Mosc han mejorado desde el fin de la Guerra Fra, algunas tensiones permanecen sobre el aparente estado de calma.
Es evidente que Rusia cuenta con capacidad ofensiva en materia de
ciberguerra desde el conflicto con Chechenia. Acontecimientos ocurridos durante los ltimos aos, como los ciberataques sobre Estonia en
2007, Georgia en 2008 o Kyrgyzstan en 2009, no hacen ms que confirmar este hecho.
145
21/9/09
08:29
Pgina 146
18/9/09
13:35
Pgina 147
Anexo B
Glosario de trminos
18/9/09
13:35
Pgina 148
18/9/09
13:35
Pgina 149
Anexo B
GLOSARIO DE TRMINOS
Ciberdefensa
Concepto que engloba todas las actividades ofensivas y defensivas en
las que se utilizan como medio aquellos relacionados con las infraestructuras TIC (Ej. Redes de ordenadores, ordenadores, programas informticos, etc.), y cuyo campo de batalla es el Ciberespacio. Las actividades de desarrollo de la ciberdefensa van encaminadas hacia la capacitacin de los gobiernos y naciones en la denominada Ciberguerra.
Ciberseguridad
Sinnimo del termino Ciberdefensa. Normalmente el trmino Ciberdefensa se suele utilizar en el mbito militar, y el termino Ciberseguridad
en el mbito civil, aunque en el presente estudio se han utilizado indistintamente ambos trminos.
Ciberespacio
Conjunto de redes de comunicaciones y ordenadores existentes a nivel
mundial que se encuentran interconectados directa o indirectamente entre
s. En ocasiones, este trmino se suele acotar y centrar en Internet, pero
durante el estudio el trmino se ha utilizado en el sentido ms amplio.
Ciberguerra
Lucha armada (en este caso las armas son las TIC) entre dos o ms
naciones o entre bandos de una misma nacin, en la que se utiliza el
Ciberespacio como campo de batalla.
Guerra de Informacin
Parcela de la guerra relacionada con la informacin. Normalmente las
actividades en este mbito se refieren a aquellas en las que la informacin se trata como un arma ofensiva o defensiva ya sea por su conocimiento, por su manipulacin, etc.
Operaciones de Informacin
Concepto utilizado por los EE.UU. para definir las actividades relacionadas con la Guerra de Informacin.
Ciberincidente
Incidente relacionado con la seguridad de las TIC que se produce en
el Ciberespacio. Este trmino engloba aspectos como los ataques a sistemas TIC, el fraude electrnico, el robo de identidad, el abuso del
Ciberespacio, etc.
Cibersistema
Sistema o conjunto de sistemas dentro del Ciberespacio.
149
18/9/09
13:35
Pgina 150
18/9/09
13:35
Pgina 151
Anexo C
Noticias de prensa
sobre ciberdefensa
18/9/09
13:35
Pgina 152
18/9/09
13:35
Pgina 153
Anexo C
18/9/09
13:35
Pgina 154
lidad en la que los hackers exigen dinero a cambio de desencriptar la informacin. El director general en Espaa de Panda Security, Jorge Gil, ha
precisado que este aumento de la delincuencia informtica se ha producido durante el "boom" econmico de los ltimos aos y se ha agudizado desde el inicio de la crisis econmica. Gil, que ha ofrecido en rueda
de prensa los resultados de una encuesta corporativa sobre el uso de
antivirus en las pymes, ha explicado que una de las novedades detectadas en el ltimo ao corresponde a los ciberrescates, consistentes en
atacar el sistema informtico de una empresa por parte de un hacker
quien despus exige, va e-mail, el pago de una cantidad de dinero a
cambio de desencriptar la informacin.
La generacin de virus informticos ha pasado de ser de 40 al da en
2003 a 300.000 al da en 2008, llegando hasta los 21 millones de virus,
pese a lo cual el 6% de las pymes de Catalua no consideran necesario
contar con un sistema de seguridad informtico. El director de Panda
Security ha informado que la colaboracin con la Polica es estrecha, pero
ha advertido de la enorme dificultad que supone localizar a los ciberdelincuentes y ha sealado a las mafias rusas y chinas, a las que los hackers venden los virus, como los principales responsables de los ciber-rescates.
Como resultado de estos ataques, el 11% de las pymes catalanas
debieron parar su produccin en algn momento en 2008, mientras que
un 30% sufrieron prdidas de datos y el 50% constat un descenso de
la productividad. A pesar de ello, el 50% de las pymes catalanas encuestadas aducen el elevado coste econmico de los sistemas de seguridad
como la razn para no contar con ellos. As, el 46% de las pymes catalanas invierten menos de 300 euros al ao en mejorar la seguridad de
sus equipos informticos, cuyos ataques tienen su origen en un 41% a
travs de correo comercial no deseado, mientras que slo el 11% de las
infecciones son debidas a descargas de Internet .
La seguridad en las infraestructuras crticas debe mejorar.
Fecha de publicacin: Martes, 12 de mayo de 2009.
Fuente de la noticia: Threat Post, 23-04-2009.
18/9/09
13:35
Pgina 155
Anexo C
"Lo que pasa es que a veces se toman atajos para interconectar estas
redes y esto genera problemas", declar Marcus Sachs, ex asesor de
seguridad de la Casa Blanca y actual director ejecutivo de la poltica de
asuntos gubernamentales y seguridad nacional de Verizon. "La gente
evita las redes privadas para utilizar las redes de estas empresas de servicios pblicos
Este problema de interconectividad tambin afecta a dispositivos no
informticos conectados a estas redes, como puedan ser los dispositivos
mdicos.
"Hemos descubierto que algunos dispositivos de los hospitales como
mquinas de resonancia magntica y monitores cardiacos han sido infectados por el Conficker", declar Sachs.
Ciberespas entran a la red nacional elctrica de EE.UU.
Fecha de publicacin: Lunes, 13 de abril de 2009.
Fuente de la noticia: Eco Diario, 13-04-2009.
18/9/09
13:35
Pgina 156
18/9/09
13:35
Pgina 157
Anexo C
18/9/09
13:35
Pgina 158
18/9/09
13:35
Pgina 159
Anexo C
Un fallo en el sistema informtico de los planes de vuelo en EE.UU. afect el pasado martes a sus principales aeropuertos, originando importantes
retrasos. La mayor parte del trfico areo de los principales aeropuertos de
Estados Unidos volvi a la normalidad tras los importantes retrasos sufridos.
El problema tuvo su origen en un fallo en el sistema informtico de clasificacin de los planes de vuelo, segn ha declarado la Administracin Federal
Area estadounidense.
La portavoz de la institucin, Kathleen Bergen, afirm que no se haban
producido problemas respecto a la seguridad de los aviones, ya que los pilotos no haban perdido comunicacin con los oficiales en tierra. Bergen situ
la causa de los retrasos en un fallo del sistema que gestiona la informacin
de los vuelos en las instalaciones de Hampton, en el Estado de Georgia,
desde donde se transmiten dichos datos al otro centro de gestin de planes
de vuelo en EE.UU, situado en Salt Lake City, capital del Estado de Utah".
La guerra de Rusia contra Georgia, tambin ciberntica
Fecha de publicacin: Mircoles, 13 de agosto de 2008
Fuente de la noticia: www.Vnunet.com 11-08-2008.
18/9/09
13:35
Pgina 160
18/9/09
13:35
Pgina 161
Anexo C
Los sistemas de ministerios, bancos, medios de comunicacin e incluso el parlamento sufren intentos de intrusin atribuidos a Rusia.
El diario britnico The Guardian asegura hoy que la Organizacin del
161
18/9/09
13:35
Pgina 162
Tratado del Atlntico Norte va a enviar a expertos en seguridad informtica a Estonia para que refuercen las medidas de seguridad de los sistemas informticos de Estonia. Tal y como se recogi en este portal del
CCN-CERT (13-05-2007) y segn el diario, varias organizaciones pblicas e incluso medios de comunicacin sufren desde hace tres semanas
una oleada de ataques desde el extranjero, que las autoridades del pas
del Bltico atribuyen a Rusia.
162
5/10/09
21:44
Pgina 163
Anexo D
Documentacin consultada
5/10/09
21:44
Pgina 164
1. Portales web
[1]
Department of Homeland Security (EE.UU.), http://www.dhs.gov/
[Consultado 09 de septiembre de 2009]
[2]
Federal Ministry of the Interior (Alemania), http://www.bmi.bund.de
[Consultado 09 de septiembre de 2009]
[3]
Federal Office for Information Security (Alemania)
http://www.bsi.bund.de [Consultado 09 de septiembre de 2009]
[4]
European Commission, http://ec.europa.eu/
[Consultado 09 de septiembre de 2009]
[5]
El Derecho de la Unin Europea, http://eur-lex.europa.eu
[Consultado 09 de septiembre de 2009]
[6]
Monitoring the state and civil liberties in Europe.
http://www.statewatch.org/
[Consultado 09 de septiembre de 2009]
[7]
The Act Transformation Networking Portal (NATO)
http://transnet.act.nato.int
[Consultado 11 de noviembre de 2008]
[8]
North Atlantic Treaty Organization (NATO). http://www.nato.int/
[Consultado 09 de septiembre de 2009]
[9]
NATO Information Assurance. http://www.infosec.nato.int/
[Consultado 09 de septiembre de 2009]
[10]
Internet Contract-Soft, http://www.onnet.es/decision.htm
[Consultado 11 de noviembre de 2008]
[11]
NATO Counter-Terrorism Technology Development Programme
http://nc3a.info/nctdp/
[Consultado 09 de septiembre de 2009]
[12] Consejo de la Unin Europea, http://www.consilium.europa.eu
[Consultado 09 de septiembre de 2009]
[13]
The Europeans Comisin Delegation to New Zealand http://
esvc000950. wic024u.server-web.com/newzealand/eu_guide/cfsp.htm
[Consultado 09 de septiembre de 2009]
164
5/10/09
21:44
Pgina 165
Anexo D
[14]
Ministere Des Affaires trangres Et Europpennes (Francia)
http://www.diplomatie.gouv.fr
[Consultado 09 de septiembre de 2009]
[15]
National Cyber Security Alliance, http://www.staysafeonline.org/
[Consultado 09 de septiembre de 2009]
[16]
El Portal de la Unin Europea, http://europa.eu
[Consultado 09 de septiembre de 2009]
[17]
Cabinet Office (Reino Unido), http://www.cabinetoffice.gov.uk
[Consultado 09 de septiembre de 2009]
[18]
International Telecommunication Union Cybersecurity Gateway
http://www.itu.int/cybersecurity/gateway/index.html [Consultado 09 de
septiembre de 2009]
[19]
Norwegian National Security Authority (Noruega)
http://www.nsm.stat.no
[Consultado 09 de septiembre de 2009]
[20]
The White House (EE.UU.), http://www.whitehouse.gov
[Consultado 09 de septiembre de 2009]
[21]
Cybercrime Law, http://www.cybercrimelaw.net/laws/survey.html
[Consultado 09 de septiembre de 2009]
[22]
United States Strategic Command, http://www.stratcom.mil
[Consultado 09 de septiembre de 2009]
[23]
Center for Defence Information,
http://www.cdi.org/terrorism/cyberdefense-pr.cfm
[Consultado 09 de septiembre de 2009]
[24]
Cyberspace and Information Operations Study Center (EE.UU.)
http://www.au.af.mil/info-ops/cyberspace.htm
[Consultado 09 de septiembre de 2009]
[25]
Air Force Cyber Command (EE.UU.), http://www.afcyber.af.mil/
[Consultado 11 de noviembre de 2008]
[26]
The Information Warfare Site, http://www.iwar.org.uk/
[Consultado 09 de septiembre de 2009]
165
7/10/09
09:47
Pgina 166
[27]
Security Park, The leading news portal for securiryt professionals
http://www.securitypark.co.uk/article.asp
[Consultado 09 de septiembre de 2009]
[28]
Warning, Advice and Reporting Point (Reino Unido)
http://www.warp.gov.uk/
[Consultado 09 de septiembre de 2009]
[29]
Institute for the advance Study of Information Warfare
http://www.psycom.net/iwar.1.html
[Consultado 09 de septiembre de 2009]
[30]
CERT del Centro Criptolgico Nacional (Espaa)
https://www.ccn-cert.cni.es
[Consultado 09 de septiembre de 2009]
[31]
Peridico Pblico, http://www.publico.es
[Consultado 09 de septiembre de 2009]
[32]
Grupo de Delitos Telemticos, Unidad Central Operativa de la Guardia
Civil (Espaa), https://www.gdt.guardiacivil.es
[Consultado 11 de noviembre de 2008]
[33]
Cuerpo Nacional de Polica (Espaa),
http://www.policia.es/bit/index.htm
[Consultado 09 de septiembre de 2009]
[34]
Divisin de Computer Forensic de Recovery Labs,
http://delitosinformaticos.info/delitos_informaticos/legislacion.html
[Consultado 09 de septiembre de 2009]
[35]
Instituto Nacional de Tecnologas de la Informacin, INTECO, (Espaa)
http://www.inteco.es
[Consultado 09 de septiembre de 2009]
[36]
Centro de Alerta Temprana sobre Virus y Seguridad Informtica (Espaa)
http://alerta-antivirus.inteco.es/portada/index.php
[Consultado 09 de septiembre de 2009]
[37]
Ministry of Defence (Reino Unido)
http://www.mod.uk/DefenceInternet/home
[Consultado 09 de septiembre de 2009]
166
5/10/09
21:44
Pgina 167
Anexo D
[38]
Department of Defence (EE.UU.), http://www.defenselink.mil/
[Consultado 09 de septiembre de 2009]
[39]
Ministerio de Economa y Hacienda (Espaa), http://www.meh.es/
[Consultado 09 de septiembre de 2009]
[40]
European Network and Information Security Agency
http://www.enisa.europa.eu/
[Consultado 09 de septiembre de 2009]
[41]
Information for the Government and Ministries (Noruega)
http://www.regjeringen.no/en.html?id=4
[Consultado 09 de septiembre de 2009]
[42]
Premier Ministre Portail du Gouvernement (Francia)
http://www.premier-ministre.gouv.fr
[Consultado 09 de septiembre de 2009]
[43]
Prsidence de la Rpublique (Francia)
http://www.elysee.fr
[Consultado 09 de septiembre de 2009]
[44]
La Documentation franais, http://lesrapports.ladocumentationfrancaise.fr
[Consultado 09 de septiembre de 2009]
[45]
Serveur Thmatique sur la scurit des systmes dinformation (Francia)
http://www.ssi.gouv.fr
[Consultado 09 de septiembre de 2009]
[46]
Federal Emergency Management Agency (EE.UU.)
http://www.fema.gov
[Consultado 09 de septiembre de 2009]
[47]
United States Computer Emergency ReadinessTeam (EE.UU.)
http://www.uscert.gov
[Consultado 09 de septiembre de 2009]
[48]
Federation of American Scientist, http://www.fas.org
[Consultado 09 de septiembre de 2009]
[49]
Development Concepts Doctrine Center Strategic Trends (Reino Unido)
http://www.dcdc-strategictrends.org.uk
[Consultado 09 de septiembre de 2009]
167
18/9/09
13:36
Pgina 168
[50]
Defence Research Suppliers Information Portal (Reino Unido)
http://www.science.mod.uk
[Consultado 09 de septiembre de 2009]
[51]
Home Office (Reino Unido), http://www.homeoffice.gov.uk/
[Consultado 09 de septiembre de 2009]
[52]
Office for Security and Counter Terrorism (Reino Unido)
http://security.homeoffice.gov.uk/
[Consultado 09 de septiembre de 2009]
[53]
Organisation for Economic Co-operation and Development
http://www.oecd.org
[Consultado 09 de septiembre de 2009]
[54]
Reprsentation permanente de la France auprs de lUnion Europenne
(Francia) http://www.rpfrance.eu/spip.php?rubrique2
[Consultado 09 de septiembre de 2009]
[55]
Consejo Superior de Administracin Electrnica (Espaa)
http://www.csi.map.es/
[Consultado 09 de septiembre de 2009]
[56]
Cooperative Cyber Defence Centre of Excellence (NATO)
http://sivak.mil.ee/k5/index.html
[Consultado 11 de noviembre de 2008]
[57]
Asociacin Arbil, http://www.arbil.org/103jclh.htm
[Consultado 09 de septiembre de 2009]
[58]
Blog de Ciberterrorismo, http://cyberterrorism.blogspot.com/
[Consultado 09 de septiembre de 2009]
[59]
Blog de Wordpress, http://vorzheva.wordpress.com/2007/10/30/ cyberwarfare-la-guerra-electronica/
[Consultado 09 de septiembre de 2009]
[60]
Pgina de la Ciudad de Chajari, http://www.paginasdechajari.com.ar/
delitos-informaticos.html
[Consultado 09 de septiembre de 2009]
[61]
Government Communications Headquarters (Reino Unido)
http://www.gchq.gov.uk/
[Consultado 11 de noviembre de 2008]
168
5/10/09
21:44
Pgina 169
Anexo D
[62]
Grupo de Estudios Estratgicos, http://www.gees.org/articulo/4637/8 y
http://www.libertaddigital.com:6681/opiniones/opinion_43432.html
[Consultados 09 de septiembre 2009]
[63]
Serious Organised Crime Agency (Reino Unido)
http://www.soca.gov.uk/
[Consultado 09 de septiembre de 2009]
[64]
Joint Task Force - Global Network Operations
http://www.stratcom.mil/fact_sheets/fact_jtf_gno.html
[Consultado 11 de noviembre de 2008]
[65]
Noticia era Obama: http://www.observer.com/2008/politics/obamaadds-cyber-security-national-defense-plan
[Consultado 09 de septiembre de 2009]
[66]
Noticia era Obama: http://www.defensedaily.com/sectors/homeland_
defense/Obama-Orders-Cyber-Security-Review_5653.html
[Consultado 09 de septiembre de 2009]
[67]
Noticia era Obama: http://www.guardian.co.uk/technology/2009/feb/
10/obama-review-cyber-security
[Consultado 09 de septiembre de 2009]
[68]
Noticia era Obama: http://www.whitehouse.gov/blog/09/03/02/Cyberreview-underway/
[Consultado 09 de septiembre de 2009]
[69]
Noticia era Obama: http://www.fcw.com/Articles/2009/02/23/Obamacyber-review.aspx
[Consultado 09 de septiembre de 2009]
[70]
Actuaciones en EE.UU. en ciberdefensa:
http://www.bloomberg.com/apps/news?pid=20601103&sid=an2_Z6u1JPGw
[Consultado 09 de septiembre de 2009]
[71]
Acciones en EE.UU. a llevar a cabo:
http://www.whitehouse.gov/agenda/homeland_security/
[Consultado 09 de septiembre de 2009]
[72]
Resultados del informe solicitado por Obama:
h t t p : / / w w w. e l m u n d o. e s / e l m u n d o / 2 0 0 9 / 0 5 / 2 9 / n ave g a n t e /
1243589528.html
[Consultado 09 de septiembre de 2009]
169
18/9/09
13:36
Pgina 170
[73]
Resultados del informe solicitado por Obama:
http://www.nytimes.com/2009/05/29/us/politics/29cyber.html?_r=1&hp
[Consultado 09 de septiembre de 2009]
[74]
Resultados del informe solicitado por Obama:
http://www.elpais.com/articulo/internacional/Obama/declara/guerra/cib
ercrimen/elpepiint/ 20090530elpepiint_1/Tes
[Consultado 09 de septiembre de 2009]
[75]
Reacciones a las iniciativas propuestas:
http://lastwatchdog.com/obama-inserts-white-house-leadership-rolesecure-internet/ [Consultado 09 de septiembre de 2009]
18/9/09
13:36
Pgina 171
Anexo D
Fuente: http://www.ladocumentationfrancaise.fr).
[Consultado 09 de septiembre de 2009]
[81]
Plan de Renforcement de la Securite des Systemes dInformation de
Ltat (Documento Plan de Mejora de la Seguridad de los Sistemas de
Informacin del Estado, Marzo de 2004. Fuente: www.ssi.gouv.fr).
[Consultado 09 de septiembre de 2009]
[82]
State Information System Security Reinforcement Plan (Versin en
ingles del Plan de Mejora de la Seguridad de los Sistemas de
Informacin del Estado,. Marzo de 2004. Fuente: www.ssi.gouv.fr).
[Consultado 09 de septiembre de 2009]
Estados Unidos de Amrica
[83]
National Response Framework brochure (Folleto Marco de Respuesta
Nacional. Enero de 2008. Fuente: http://www.fema.gov).
[Consultado 09 de septiembre de 2009]
[84]
National Response Framework FactSheet (Hoja Informativa Marco de
Respuesta Nacional. Fuente: http://www.fema.gov).
[Consultado 09 de septiembre de 2009]
[85]
The National Security Strategy of the United States of America
(Documento Estrategia de Seguridad Nacional de Estados Unidos de
America . Ao 2002 y actualizacin en el ao 2006. Fuente: http://
www.whitehouse.gov).
[Consultado 09 de septiembre de 2009]
[86]
The National Strategy for Combating Terrorism (Documento Estrategia
Nacional para Combatir el Terrorismo. Septiembre de 2006. Fuente:
http://www.whitehouse.gov).
[Consultado 09 de septiembre de 2009]
[87]
The National Strategy for Homeland Security (Documento Estrategia
para la Seguridad del Territorio Nacional. Ao 2002 y actualizacin en el
ao 2007. Fuente: http://www.dhs.gov).
[Consultado 09 de septiembre de 2009]
[88]
The National Strategy for The Physical Protection of Critical
Infrastructures and Key Assets (Documento Estrategia Nacional para la
Proteccin Fsica de las Infraestructuras Crticas y los Activos Claves.
171
18/9/09
13:36
Pgina 172
18/9/09
13:36
Pgina 173
Anexo D
[97]
Energy Critical Infrastructure and Key Resources Sector-Specific Plan
(Documento: Plan Especfico del Sector de la Energa de Infraestructuras y Recursos Crticos. Mayo de 2007.
Fuente: http://www.dhs.gov/xprevprot/programs/gc_1179866197607.shtm).
[Consultado 09 de septiembre de 2009]
Reino Unido
[98]
DCDC Global Strategic Trends Programme 2007-2036 (Documento El
Programa 2007-2036 de Tendencias Estratgicas Globales del Centro de
Doctrina, Conceptos y Desarrollo. Enero de 2007.
Fuente: http://www.dcdc-strategictrends.org.uk).
[Consultado 09 de septiembre de 2009]
[99]
Defence Technology Strategy (Documento Estrategia Tecnolgica de
Defensa. Diseado y Producido por el Ministerio de Defensa de Reino
Unido. Octubre de 2006. Fuente: http://www.science.mod.uk).
[Consultado 09 de septiembre de 2009]
[100]
The Home Office Strategy 200811
(Documento Estrategia del Ministerio del Interior 2008-2011.
Fuente: http://www.homeoffice.gov.uk/).
[Consultado 09 de septiembre de 2009]
[101]
The National Security Strategy of the United Kingdom (Documento
Estrategia Nacional de Seguridad de Reino Unido. Marzo de 2008.
Fuente: http://www.cabinetoffice.gov.uk).
[Consultado 09 de septiembre de 2009]
[102]
The Future of Netcrime Now (Informe Online 62/04 del Ministerio del
Interior, El Futuro del Cibercrimen ahora. Diciembre de 2004. Autor:
Sheridan Morris. Fuente: http://www.homeoffice.gov.uk).
[Consultado 09 de septiembre de 2009]
[103]
The United Kingdom Security & Counter-Terrorism Science & Innovation
Strategy (Documento Estrategia de Innovacin y Ciencia de la
Seguridad y Contraterrorismo del Reino Unido. Ao 2007. Fuente:
http://security.homeoffice.gov.uk).
[Consultado 09 de septiembre de 2009]
[104]
A National Information Assurance Strategy (Documento Estrategia
Nacional de Seguridad de la Informacin. Ao 2003 y actualizacin en el
173
18/9/09
13:36
Pgina 174
174
18/9/09
13:36
Pgina 175
Anexo D
[112]
Hoja de ruta para una Estrategia de Seguridad Nacional Espaola
(Informe del 22/09/ de septiembre de 2008 del rea de Defensa y
Seguridad del Real Instituto Elcano. Autor: Flix Arteaga. Cdigo: ARI N
112/2008).
Noruega
[113]
National Guidelines on Information Security 2007-2010 (Guas
Nacionales para Fortalecer la Seguridad de la Informacin 2007-2010.
Diciembre 2007. Fuente: http://nsm.stat.no/Om-NSM/ Samarbeids partnere/KIS/Global-meny/Et-annet-valg/).
[Consultado 09 de septiembre de 2009]
[114]
OECD Studies in Risk Management, Norway Information Security
(Documento Estudios de Gestin de Riesgos de la Organizacin para la
Cooperacin Econmica y Desarrollo, Seguridad de la Informacin en
Noruega. Ao 2006. Fuente: http://www.oecd.org).
[Consultado 09 de septiembre de 2009]
[115]
An Information Society for All (Informe Una Sociedad de la
Informacin para todos. Report No. 17 (20062007) para el Parlamento
de Noruega, Storting. Fuente: http://www.regjeringen.no).
[Consultado 09 de septiembre de 2009]
Unin Europea
[116]
Libro Verde sobre un Programa Europeo para la Proteccin de
Infraestructuras Crticas (Documento presentado por la Comisin de las
Comunidades Europeas en Bruselas el 17/11/ de septiembre de 2005.
Cdigo: COM (2005) 576 final. Fuente: http://eur-lex.europa.eu/
LexUriServ/site/es/com/2005/com2005_0576es01.pdf).
[Consultado 09 de septiembre de 2009]
[117]
Directiva del Consejo sobre la identificacin y designacin de las infraestructuras crticas europeas y la evaluacin de la necesidad de mejorar su
proteccin (Documento presentado por la Comisin de las Comunidades
Europeas en Bruselas el 12/12/ de Diciembre de 2006.
Cdigo: COM(2006) 787 final. Fuente: http://eur-lex.europa.eu/
LexUriServ/site/en/com/2006/com2006_0787en01.pdf).
[Consultado 09 de septiembre de 2009]
175
9/10/09
12:10
Pgina 176
[118]
Estrategia Europea de Seguridad (Documento presentado en Bruselas
el 12 /12/de diciembre de 2003. Fuente: http://europa.eu/ legislation
_summaries/justice_freedom_security/fight_against_terrorism/r00004_
es.htm).
[Consultado 09 de septiembre de 2009]
[119]
The European Union Counter-Terrorism Strategy (Documento presentado
en Bruselas el 30/11/ de noviembre de 2005. Cdigo: 14469/4/05 Rev 4.
Fuente: http://ec.europa.eu/justice_home/fsj/terrorism/strategies/
fsj_terrorism_strategies_counter_en.htm).
[Consultado 09 de septiembre de 2009]
[120]
EU Plan of Action on Combating Terrorism (Documento presentado en
Bruselas el 29/11/ de noviembre de 2004. Cdigo: 14330/1/04. Fuente:
http://www.statewatch.org/news/2004/nov/terr-action-plan-14330rev1.pdf).
[Consultado 09 de septiembre de 2009]
[121]
La Unin Europea y la Lucha Contra el Terrorismo (Folleto informativo
publicado en Bruselas el 14 /05/de mayo de 2007. Fuente: http://www.
consilium.europa.eu/uedocs/cmsUpload/FactsheetfightagainstterrorismE
Srev1.pdf). )
[Consultado 09 de septiembre de 2009]
[122]
Guide to the European Security and Defence Policy (ESDP) (Gua escrita en el ao 2005 por la Delegacin Francesa para el Comit de
Seguridad y Poltica de la UE. ltima actualizacin en Noviembre de
2006. Fuente: http://www.rpfrance.eu/IMG/Guide_PESD_EN.pdf).
[Consultado 09 de septiembre de 2009]
[123]
Seguridad de las redes y de la informacin: Propuesta para un enfoque
poltico europeo (Documento presentado por la Comisin de las
Comunidades Europeas en Bruselas el 6/6/200106 de junio de 2001.
Cdigo: COM(2001)298 final. Fuente: http://www.csi.map.es/ csi/pdf/
com2001_0298es01.pdf).
[Consultado 09 de septiembre de 2009]
Ciberejrcitos
[124]
CYBER WARFARE an anlisis of the means and motivations of selected
Nation States Institute for Securitty Technology Studies at Darmouth
College. Charles Billo, Welton Chang. 2004.
176
5/10/09
21:44
Pgina 177
Anexo D
[125]
How China will use cyber warfare to leapfrog in military competitiveness Jason Fritz. Culture Mandala, Vol. 8, No.1 Octubre de 2008.
[126]
Russia / Georgia Cyber War Findings and Analysis Project Grey
Goose: Phase I Report October Octubre de 2008.
Otros
[127]
International CIIP Handbook 2006 (Libro Internacional sobre la
Proteccin de Infraestructuras de Informacin Criticas 2006. ISBN: 3905696-07-X . Editor: Center for Security Studies, ETH Zurich. Autores:
Isabelle Abele-Wigert y Myriam Dunn. Fuente: http://www.crn.
ethz.ch/publications/crn_team/detail.cfm?id=16651).
[Consultado 09 de septiembre de 2009]
177
18/9/09
13:36
Pgina 178
18/9/09
13:36
Pgina 179
Composici n