I Encuentro Internacional CIIP: Taller de gestión de riesgos

Siguiendo la línea de entradas sobre el I Encuentro Internacional CIIP para la Ciberseguridad y Protección de Infraestructuras Críticas, organizado por el CNPIC (Centro Nacional para la Protección de las Infraestructuras Críticas) y realizado en Madrid los días 18 y 19 de febrero, vamos a comentar los resultados del Taller II, “Gestión de Riesgos: identificación y clasificación de riesgos, amenazas y vulnerabilidades”, coordinado por José Antonio Mañas. Más allá de anécdotas, comentarios y discusiones, todos los asistentes al taller coincidimos en plantear, como resumen del trabajo, las siguientes conclusiones:

Muy importantes

• Hay que profundizar más en la seguridad de sistemas de control, electrónica industrial, SCADAs y similar… Con demasiada frecuencia desconocemos los riesgos que introducen en nuestras organizaciones, algo que en el caso de la infraestructura crítica nacional es más que preocupante.
• La comunidad de inteligencia debería “bajar” al mundo real de vez en cuando. Suele haber una importante diferencia entre lo que se plantea desde un centro de seguridad, incluso en ocasiones muy estratégico y poco operativo, y la realidad del día a día en una presa, un banco o un puerto, por poner ejemplos concretos.
• Existen incoherencias entre el deber de transparencia y el deber de secreto que existe en las infraestructuras críticas nacionales, y dichas incoherencias deben ser resueltas. A modo de ejemplo, una central nuclear debe facilitar su análisis de riesgos al ayuntamiento del municipio en el que se encuentra, pero esa obligación… ¿no puede suponer en sí misma un peligro para la seguridad de la central? ¿no debería considerarse secreto dicho análisis? ¡Aclarémonos!
• Se deben gestionar correctamente las expectativas con todos los ciudadanos. La protección de infraestructura crítica nacional está muy en boga, pero ¿hasta qué punto es crítica, importante, muy importante… o una tontería? Sin duda, el grueso de la ciudadanía lo desconoce, y puede llegar a ver esto como un gasto innecesario, y más en estos tiempos.

Importantes

• La seguridad en ICN debe ser tratada de forma integral, cubriendo cualquier posible interconexión y efecto recíproco entre diferentes infraestructuras. Si falla el suministro energético, pueden fallar las telecomunicaciones, y si fallan las telecomunicaciones, fallan los bancos, y si fallan los bancos… ¿quién cubre esos puntos de unión? Y sobre todo… ¿quién paga la seguridad de los mismos?
• Es necesario unificar el análisis de riesgos físicos y lógicos (y yo añado: y de los riesgos humanos, los riesgos reputacionales, los riesgos… seguid leyendo :)
• En ocasiones no queda clara la diferencia entre lo que se recomienda, lo que se impone y lo que se verifica. Lo que me dices… ¿es recomendable, o estoy obligado a cumplirlo? ¿Cómo te lo demuestro?

Finalmente, mi opinión personal es que nos hace falta un “algo” estandarizado para hacer el análisis de riesgos (¿se acuerdan de esta entrada?), y a la hora de enfrentarnos a un análisis global sobre una infraestructura crítica, cada maestrillo tiene su librillo. Vamos, que lo haremos unos mejor y otros peor, pero cada uno de una forma diferente. ¿Por qué digo esto? Muy sencillo: casi al final del taller, lancé una pregunta al foro. Una pregunta muy simple —la más simple— y que, en un proyecto de seguridad global en el que he trabajado, que afecta a infraestructuras críticas y que requería un análisis de riesgos también global me planteé. Viene a ser algo así: si mañana tienes que abordar el análisis de riesgos de una infraestructura crítica… ¿qué metodología utilizarías?

Respuesta (o resumen de respuestas y comentarios): ni idea. La que pueda. La que me sepa. No existe una metodología estándar. Lo haríamos, como se dice en el ámbito del peritaje, “según nuestro leal saber y entender”. Muy bien. Pues, bajo mi punto de vista, hasta que no seamos capaces de dar respuesta a esta pregunta tan simple, mal vamos. A todos nos gusta la convergencia, la seguridad holística, el modelado de amenazas, los perfiles de atacante y blablabla, pero vuelvo a reafirmarme en lo que dije en el post al que he hecho referencia: ¡GOTO, GOTO y más GOTO!.