Esta semana ha sido noticia la aprobación de la Estrategia de Seguridad Nacional 2013 la cual constituye la articulación fundamental de la Seguridad Nacional como Política de Estado, esto es, contiene directrices con el fin de reasignar todos los recursos disponibles del Estado de manera eficiente para la preservación de la Seguridad Nacional.
Si ya en la versión del 2011 el ciberespacio cobraba importancia como un nuevo ámbito en el que nuestro país se enfrenta ante amenazas y riesgos:
En la nueva versión se plantea la ciberseguridad como uno de los principales ámbitos de actuación de dicha Estrategia.
En el tercer capítulo de la Estrategia, “Los riesgos y amenazas para la Seguridad Nacional”, se describen los riesgos y amenazas que afectan a la Seguridad Nacional, y entre otros aparecen las ciberamenazas, el espionaje (este riesgo no era considerado como tal en la versión de 2011), la proliferación de armas de destrucción masiva, o la vulnerabilidad de las infraestructuras críticas y los servicios esenciales. También se contemplan otros factores potenciadores como la generalización del uso nocivo de las nuevas tecnologías que, sin ser en sí mismos un riesgo o una amenaza pueden desencadenarlos.
En el cuarto capítulo se definen unas “Líneas de acción estratégicas” -dentro de doce ámbitos de actuación- que enmarcan las actuaciones concretas necesarias para la preservación de la Seguridad Nacional. Para el sector de la Seguridad de la Información podrían ser destacables los siguientes ámbitos y sus líneas de acción:
Ciberseguridad
Dentro de las líneas de acción se destaca lo siguiente:
- Incremento de la capacidad de prevención, detección, investigación y respuesta ante las ciberamenazas con apoyo en un marco jurídico. Impulso de los recursos necesarios.
- Fortalecimiento de la seguridad de los sistemas de la información y las redes de comunicaciones que soportan las infraestructuras críticas. Se impulsará la normativa sobre protección de infraestructuras críticas con el desarrollo de las capacidades necesarias para la protección de los servicios esenciales.
- Se impulsarán y liderarán actuaciones destinadas a reforzar la colaboración público-privada.
- Promoción de la capacitación de profesionales en ciberseguridad e impulso a la industria española a través de un Plan de I+D+i.
No proliferación de armas de destrucción masiva
Me llama la atención una de sus líneas de acción “Se adoptarán medidas preventivas de vigilancia en relación con el uso de la red”.
Contrainteligencia
Se pretende, entre otros, garantizar la disposición de los medios técnicos necesarios para contrarrestar esta amenaza.
Protección de Infraestructuras Críticas
Comentar que, en cuanto a líneas de acción llamativas, el que se dotará a estas instalaciones de sistemas redundantes e independientes de otras tecnologías y operadores.
CIBERATAQUES. CONTEXTUALIZACIÓN
Quizá se pueda entender un poco más esta Estrategia en el ámbito de la ciberespacio contextualizando un poco de manera histórica la implicación que tienen los ciberataques en la Seguridad Nacional. Recordemos que existen precedentes de cómo un país puede sufrir serios daños ante un ciberataque o cómo puede utilizarse en un acto de terrorismo. En el año 1985, un grupo terrorista denominado Middle Core Faction atacó el sistema que controlaba los ferrocarriles de alta velocidad en Japón, cortando primero el suministro eléctrico y los cables de control informatizados del ferrocarril y luego interceptando e interfiriendo las radiocomunicaciones de la policía para ralentizar su capacidad de respuesta. Nadie resultó herido pero este ataque afectó a 6,5 millones de usuarios y tuvo un coste económico de unos seis millones de dólares.
En la década de los 90, los ciberataques cobran mayor importancia y comienzan a usarse como una fuente más de ataque en diversos conflictos bélicos como la Guerra del Golfo, la Guerra entre Serbia y Croacia o la Guerra de Kosovo con diversos objetivos: robo de información estratégica, protesta o manipulación de la información. A partir del año 2000 y en especial en la segunda mitad de la década, este tipo de ataques se incrementan marcando importantes hitos. En 2008, Georgia sufre diversos ataques de DDoS contra sitios gubernamentales e Irán en 2010 recibe varios ciberataques que afectan a muchas de sus centrales nucleares.
Posteriormente, Canadá en 2011 detectó que se habían producido intrusiones en bases de información del Gobierno que contenían datos altamente confidenciales y durante 2012 países como Irán, Israel, Palestina, Siria o Sudán han visto como eran objetivo de un ataque dirigido diseñado para la recopilación y robo de información estratégica, y que hacía uso de una de las herramientas de ciberataque más sofisticadas descubiertas hasta la fecha: Flame. Durante este 2013, se descubre la operación “Red October”, diseñada para robar información de las instituciones gubernamentales de distintos países (entre ellos España), “APT1”, grupo militar del ejército chino encargada de ciberinteligencia a nivel mundial y la reciente operación de ciberespionaje que ha saltado a la palestra “NetTraveler” en la que España se encuentra entre los 10 países más afectados.
Es evidente que con el descubrimiento de malware avanzado capaz de manipular maquinaria industrial y la existencia de los ataques dirigidos (campañas de APT) contra objetivos críticos para la seguridad nacional, ha quedado demostrado que la posibilidad de que un ataque cibernético cause catástrofes o altere el funcionamiento normal de un país, es un riesgo presente. Un análisis interesante sobre las implicaciones en la seguridad nacional por parte de los ataques dirigidos, los orígenes,objetivos y las consecuencias de los mismos puede encontrarse en el estudio que recientemente publicó CSIRT-cv junto con INTECO-CERT y en el que participó el equipo de S2 Grupo que trabaja en CSIRT-cv, “Detección de APTs” y del que ya hablamos en este post.
Pero no solo la manipulación directa a infraestructuras críticas por parte de atacantes puede poner en jaque la seguridad de un país; el robo de determinada información sensible (sobre material armamentístico, patentes o tecnologías críticas, plantas nucleares, relativo a comunicaciones, estrategias gubernamentales, etc.) también puede poner en entredicho asuntos concernientes a la seguridad nacional. A día de hoy el ciberespionaje es un arma muy poderosa para desestabilizar la defensa de un Estado.
En el ámbito empresarial, hace unos años que el espionaje industrial a través de Internet está en auge y se ha consolidado como una práctica común; el robo de información valiosa para las empresas supone no sólo una pérdida económica importante causada por el robo de la propiedad intelectual y por el desembolso de dinero realizado para la remediación, sino porque también puede proporcionar ventajas a la competencia o provocar un daño reputacional, en algunos casos irreparable.
La manipulación del sistema financiero de un país también puede afectar de manera muy crítica a la estabilidad de un Estado. En la actualidad, no es descabellado pensar que a través de ataques cibernéticos, un grupo terrorista o país enemigo, sea capaz de detener, alterar o manipular el sistema financiero de un país. Es un hecho constatado que la economía tiene una gran dependencia de los sistemas informáticos y la infraestructura tecnológica de un país, por lo que la solidez y el progreso económico del país dependerá en parte de la seguridad de nuestro ciberespacio.
Fuentes:
- Estrategia de Seguridad Nacional 2013: http://www.lamoncloa.gob.es/NR/rdonlyres/5A600DAD-CFEF-45C1-84F0-DF5B06684E26/0/EstrategiaSeguridad_3105.pdf
- Detección de APTs: http://www.csirtcv.gva.es/sites/all/files/downloads/Detecci%C3%B3n_APT.pdf
Lecturas interesantes:
- El Gobierno aprueba controles preventivos ante la ciberguerra: http://politica.elpais.com/politica/2013/05/31/actualidad/1370027040_282333.html
- Cinco escenarios de ciberguerra en el nuevo orden mundial:
http://www.eldiario.es/turing/escenarios-ciberguerra-nuevo-orden-mundial_0_129837338.html
Vaya chasco… con la de revuelo que han montado pensaba que el contenido de la estrategia sería más concreto con sus atribuciones, decretos, artículos y demás.
De momento no deja de ser una declaración de intenciones de muy muy muy alto nivel, que está bien que lo tengan, pero “la miga” está aun por llegar.
¡Esperaremos impacientes!