Continuando con la serie de centros de seguridad que comenzamos la semana pasada, en esta entrada vamos a introducir el “concepto” de ISAC. Éste surgió a partir de la preocupación por la seguridad nacional del gobierno estadounidense, que tuvo como reflejo una directiva presidencial por parte del presidente Bill Clinton el 20 de mayo de 1998, por la que instaba a todas las entidades privadas que formaban parte de la infraestructura crítica de la nación a compartir información sobre amenazas, vulnerabilidades, incidentes y soluciones y respuestas dentro de estos sectores críticos. En esta misma directiva se define ISAC como Information Sharing and Analysis Center.
Entre los sectores que se definen como infraestructura crítica podemos revisar el porcentaje de entidades adscritas al ISAC frente a las existentes, dato que refleja la implantación que tiene el ISAC dentro de cada sector:
- Sector eléctrico (100%).
- Transporte público (95%).
- Telecomunicaciones (95%).
- Sector financiero (90%).
- Sector químico (90%).
- Sector energético (85%).
- Agua (85%).
- Sector IT (70%).
- Transporte carretera (60%).
- Sector sanitario (reciente creación).
Debido a esta directiva, los diferentes sectores han ido conformando sus respectivos centros de compartición de información y centros de análisis, intercambiando no sólo información dentro del propio sector, sino con otros sectores igualmente afectados por los temas tratados. Las características necesarias para la existencia de estos centros son:
- CONFIANZA en la organización con la que se comparte y analiza la información. La información compartida puede ser sensible para una organización particular, por lo tanto se debe salvaguardar esta información con los niveles de acceso adecuados, y mecanismos de privacidad y anonimicidad de la información.
- CONFIANZA en las relaciones extra-sectoriales. No sólo debe existir plena confianza en los organismos del mismo sector, sino también con los otros sectores con los que se interacciona.
- IMPORTANCIA del conocimiento experto del sector. Es necesario disponer del conocimiento específico y experto del sector, ya que sólo de esta manera se tendrá la capacidad de proteger las infraestructuras básicas para la nación.
- Debe de considerar TODAS las amenazas, ya sean físicas o lógicas.
- Gestión de la pertenencia al ISAC. Se debe analizar qué organizaciones pueden estar vetadas a participar en el centro, y mantener las relaciones adecuadas con estas organizaciones.
- Gestión de alertas de proveedores y planes de respuesta. Se deben gestionar las alertas y los planes de acción por parte de los proveedores de tecnología del sector.
- Alcance internacional. El centro debe contemplar las relaciones internacionales existentes.
Desde 1998 hasta hoy en día la definición de ISAC ha ido evolucionando, manteniéndose vigente en la actualidad la siguiente:
Como una evolución natural de los ISAC éstos se han agrupado, creando el ISAC Council, que facilita el tratamiento de asuntos comunes y las relaciones entre los diferentes sectores. Dentro de los ISAC norteamericanos, el Financial Services ISAC es uno de los más destacados, tal y como se puede comprobar al analizar sus cifras globales: dos congresos anuales, más de 1800 miembros asociados y un elevado nivel de colaboración de los mismos. Hablaremos en profundidad de este centro en otra entrada.
