Composición de la Ciberseguridad del Estado español: ejército, policía y empresas

Directivos del ISMS, Lacra pura

A raíz del Informe SCSI 2012 sobre ciberseguridad, publicado en Junio del año pasado hemos sacado varias conclusiones:
-El Estado está completamente aterrorizado por su vulnerabilidad a las agresiones en el ciberespacio. Reales o no están aterrorizados.

-El Estado no es capaz mantener su propia seguridad y necesita de una gran cantidad de empresas periféricas que la mantengan, compartiendo información sensible con ellas y haciéndolo a su vez más vulnerable.

Publicado 6.5.2013 última edición 18.7.2013

El SCSI es una fundación dedicada a la divulgación y al intercambio de información orgánica y entre empresas. En su primera faceta elabora el informe estudiado, en cuyo primer apartado deja claros los objetivos concernientes a la ciberseguridad del estado y cómo se deben llevarse a cavo:

1.  La seguridad de los Estados ya no está restringida a la defensa de sus fronteras y su soberanía, sino que también debe garantizar el bienestar de sus sociedades frente a los nuevos riesgos.
2.  La globalización fomenta riesgos y amenazas transfronterizos como el terrorismo, la proliferación de armas de destrucción masiva o la ciberdelincuencia, entre otros.
3.  La aparición de actores con ubicación y motivaciones heterogéneas con voluntad de desafiar el Estado de Derecho y el orden internacional, con capacidad de actuar en cualquiera de las dimensiones de la seguridad, dificulta la atribución de responsabilidades ante las agresiones y, por tanto, disminuye la capacidad de respuesta de los Estados agredidos.
Además, este nuevo modelo de seguridad exige la necesidad de identificar anticipadamente los riesgos. En otras palabras, es necesario evolucionar de la actual cultura reactiva a una de prevención y resiliencia.

Traducimos:
1 Intervencionismo transfronterizo: La seguridad debe ejercerse más allá de las fronteras nacionales. Su meta es garantizar  sus privilegios obtenidos mediante explotación y represión lo que ellos llaman "bienestar de su sociedad".
La seguridad ya no es solo física, sino funcional. Todo puede ser susceptible de ser sometido a criterios de seguridad.
2 Exposición de las  excusas que permitirán la intervención: crimen, terrorismo, armas de destrucción masiva... cualquier actividad que  vaya en contra de sus intereses y privilegios vaya será considerada delictiva y aceptado por la población gracias a sus medios de comunicación.
3 Ambigüedad de la definición de enemigo, y a su vez claridad meridiana: "todo lo que desafíe el estado de derecho, sus leyes, y las internacionales". En la declaración se intuye una connivencia entre estados rivales, cuyo único fin es acabar con una resistencia que les haría frente a ambos. Se aplica la definición a todas las capas de la sociedad: Seguridad Integral le llaman. Otros fascismo.
4 Control ubicuo: la necesidad de identificar anticipadamente los riesgos exige el control de todos aquellos elementos susceptibles de desafiar al "Estado de Derecho y el orden internacional". Los indicios apuntan a una monitorización constante, continua y a tiempo real de todas las conexiones: podrán saber lo que hacemos click a click.

El resto del informe es una descripción de la situación en el ciberespacio, amenazas, retos, logros etc. acompañado de  una relación de las actuales estructuras de ciberseguridad:

Organización de la Ciberseguridad del Estado

Las competencias relacionadas con la gestión de la ciberseguridad están repartidas entre un conjunto de organismos e instituciones, que dependen de diferentes ministerios del gobierno central y gobiernos autonómicos. Entre los más relevantes se encuentran: 

INTECO

•  El Instituto Nacional de Tecnologías de la Comunicación (INTECO),dependiente del Ministerio de Industria, Turismo y Comercio, es responsable de gestionar a través de su CERT la defensa del  ciberespacio relacionado con las PYMES españolas y los ciudadanos en su ámbito doméstico.

Tiene doble sede: la primera de oficinas en Avd. José Aguado 41 de León, y la nueva edificación que se comparte entre otras con la sede del Centro Estatal de Tramitación de Denuncias Automatizadas de Tráfico, conocido como Centro Estrada.
Regalo del expresidente Zapatero a la ciudad de León y nido de socialistas, politizado por la Universidad, la alcaldía y a merced de los vaivenes de la política central. Toda una Casa de putas.

MCCD

•  El Mando Conjunto de CiberDefensa de las Fuerzas Armadas (MCCD) se estrenará el próximo 27 de septiembre. Será el principal centro de espionaje del país. Dependiente del Jamed. Con capacidad de sustituir las principales infraestructuras del país. Integrado en la red de Ciberdefensa de la OTAN. 

CNN-CNI

•  El Centro Criptológico Nacional (CCN), dependiente del Centro Nacional de Inteligencia (CNI) que tiene, entre sus misiones, la gestión de la seguridad del ciberespacio dependiente de cualquiera de los tres niveles de las administraciones públicas: estatal, autonómico y local.

CCN-CERT

•  El CCN-CERT (Capacidad de Respuesta ante Incidentes de Seguridad) es el centro de alerta nacional que coopera con todas las administraciones públicas para responder rápidamente a los incidentes de seguridad en su parte del ciberespacio y, además, es el responsable último de la seguridad de la información nacional clasificada.

CNPIC

•  El Centro Nacional para la Protección de las Infraestructuras Críticas (CNPIC),dependiente del Ministerio del Interior se encarga de impulsar, coordinar y supervisar todas las actividades relacionadas con la protección de las infraestructuras críticas españolas. Su objetivo principal  es impulsar y coordinar los mecanismos necesarios para garantizar la seguridad de las infraestructuras que proporcionan los servicios esenciales a la sociedad, fomentando para ello la participación de todos y cada uno de los agentes del sistema en sus correspondientes ámbitos competenciales.

GDT-GC y UID-TIC

•  El Grupo de Delitos Telemáticos de la Guardia Civil y la Unidad de Investigación de la Delincuencia en Tecnologías de la Información de la Policía Nacional,dependientes ambos del Ministerio del Interior son responsables de combatir la delincuencia que se produce en el ciberespacio.

AEPD

•  La Agencia Española de Protección de Datos (AEPD),autoridad de control independiente, responsable de velar por el cumplimiento de la normativa en materia de protección de datos personales. En algunas comunidades autónomas (Madrid, Cataluña y País Vasco) también existen autoridades de protección de datos con competencias específicas sobre ficheros de datos de carácter personal creados o gestionados por las Comunidades Autónomas y por la Administración Local de su ámbito territorial.

Empresas relacionadas con la ciberseguridad del estado: Piratas a la vista!

El actual estado de desarrollo de la TIC hace que el gobierno deba acudir constántemente a las empresas para  satisfacer sus necesidades. En el informe nos encontramos que no se hace ningún tipo de mención a las distintas empresas, no a los organismos públicos, que participan en la estructura de ciberseguridad del país, y sin las cuales el informe queda incompleto, pero hemos acudido a tras fuentes. Son más de 1000.

La industria española relacionada con la ciberseguridad está en pleno proceso de crecimiento y maduración, tal y como refleja el último “Catálogo de empresas y soluciones de seguridad” del INTECO, cifrando en más de 1.000 las empresas españolas que se dedican a la ciberseguridad. En 2009, las principales empresas del sector se agruparon en el Consejo Nacional Consultor sobre Ciber-Seguridad (CNCCS) con el objetivo de fomentar la defensa del ciberespacio, poniéndose a disposición de entidades gubernamentales o privadas para asesorar en materias de ciberseguridad, y potenciar la innovación tecnológica y el crecimiento económico consiguientes. Clubdeinnovación.es

Estas empresas se documentan como empresas proveedoras de servicios. Como se menciona, es el INTECO el ente público encargado de hacer de enlace entre empresa y estado. Trabajan con empresas tan conocidas como Kaspersky, Panda, McAFee o BirDefender. También con Anti Phishing Working Group, FIRST, CyLab, ENISA (agencia europea), Trusted Introducer, Fundación círculo (fundación española especializada en defensa), Foro CSIRT (grupo español de equipos de respuesta), o la misma ISMS de difusión de información, orientada a servicios a empresas. Windows proporcinan entre 90-95% de los sistemas operativos usados en la administración, cobrando a las distintas instituciones por las licencias.

Indra

Ha desarrollado un Centro de Mando y Control Integrado para la gestión y coordinación de los Cuerpos de de Seguridad y Emergencias del Ayuntamiento de Madrid.
En este centro denominado I-CSOC (CyberSecurity Operations Centre), con 500 metros cuadrados y la tecnología más avanzada, donde trabajan 100 personas, Indra quiere convertirse en referente internacional.

Escándalo tras escándalo

El último se produjo cuando se supo que el CFLabs se adjudica el Centro Nacional de Excelencia de Ciberseguridad en 2012. El director de la empresa, Matias Bevilacqua, fue reconocido como el hacker cerebro de la Operación Pitiusa en el cuál se vieron comprometidos entre otros, miembros de: Policía Nacional, Inem, Guardia civil, detectives privados, funcionarios de la administración central y de varias alcaldías. En la 3ª fase de la operación el director de Unilever España.

El informe propone acciones para alcanzar los objetivos de ciberseguridad nacional

- Acción 3. Crear el CERT del Ministerio de Defensa. Se deberá dotar al actual Centro Operativo de Seguridad de las Fuerzas Armadas de los recursos humanos, económicos y técnicos necesarios para propiciar su evolución a CERT.

Incrementando el control militar.

- Acción 13. Participación en los foros multilaterales e internacionales relacionados con la ciberseguridad. España deberá participar de manera activa en todos los foros multilaterales e internacionales donde se aborde la ciberseguridad. (OTAN, UE, ONU, Interpol, Europol, OCDE,…).

Colaborando con las organizciones armadas internacionales.

- Acción 15: Creación de la Plataforma Nacional para la Coordinación y Cooperación Público-Privada en materia de ciberseguridad.

Continuando con el drenaje de fondos públicos hacia el sector privado.

- Acción 23: Creación de un programa de centros académicos de excelencia en materia de ciberseguridad. La colaboración público – privada entre las Administraciones del Estado, el sector privado y la comunidad universitaria deberá permitir designar a un conjunto de universidades nacionales como centros académicos de excelencia donde se impartirá enseñanza en materia de ciberseguridad como parte de los programas estratégicos del Gobierno en esta materia.

Fomentando Universidades como centros de formación de hackers y cantera para las nuevas estructuras represivas.

- Acción 31: Promover y liderar el primer ciberejecicio iberoamericano en 2013. 

Además permitirá afianzar el liderazgo de España en el ámbito del ciberespacio iberoamericano alcanzando acuerdos en materia de ciberseguridad con una gran cantidad de países.

Fomentando el imperialismo rancio y la intervención en las viejas colonias.

Sobre SCSI

SCSI, Spanish CyberSecurity Institute, C/ 24 Castelló, Madrid, elabora un informe bastante acertado pero para nada imparcial mostrando a las clara sus intenciones. Nada tienen que ver con la asistencia al ciudadano y si con desarrollar los planes del gobierno y perpetuar así sus privilegios. 

El Instituto Pertenece al ISMS Forum, "La Asociación Española para el Fomento de la Seguridad de la Información, ISMS Forum Spain, es una organización sin ánimo de lucro fundada en enero de 2007 para promover el desarrollo, conocimiento y cultura de la Seguridad de la Información en España." Formado por empresas y profesionales. Como fundación se ve nutrida por fondos tanto públicos como privados.

Su junta directiva se compone de hackers de primera linea, representantes del poder político, económico y social. Como muestra Gianluca D’Antonio, Presidente y socio fundador de ISMS Forum Spain, es responsable de seguridad del Grupo FCC, miembro del comité asesor de ENISA, agencia europea para la ciberseguridad. Su labor consiste en asesorar y marcar la estrategia de la Agencia. Forma parte del Grupo Permanente de Agentes Involucrados (PSG, Permanent Stakeholders Group), formado por 30 expertos en representación de los sectores de referencia de la actividad de la Agencia: industria y servicios, universidades y centros de investigación, consumidores y ciudadanos. Uno de los miembros del comité  Howard Schmidt, fue coordinador de Ciberseguridad del presidente de Estados Unidos, Barack Obama.

Conclusiones

Las actividades de hackers privados basadas, en la inmediatez y anonimato del ciberespacio, superan con creces las posibilidades actuales del Estado español. El estado necesita y desea empresas que le provean de esta seguridad que le falta, pero muchas de ellas están formadas por grupos criminales que se dedican al tráfico de datos, convirtiendose en verdaderos caballos de troya. CFLabs, Kaspersky o Indra son buenos ejemplos de ello.

Los esfuerzos del estado, lejos de poder hacer frente a todas las amenazas, se centran en la protección de las Infrastructuras Críticas.

El próximo objetivo del Estado es reducir la libertad en la red: primero vetar el acceso a los servicios, entre los que se incluyen la imposición de pagos por servicios. Después tener capacidad de acceso total a la información circulante. A tiempo real. Ya que hasta ahora solo se puede obtener por vía judicial.

Lejos de promover la seguridad las estructuras de ciberseguridad intentan por cualquier medio mantener los privilegios de su clase. Para ello su mejor arma es primero el control y luego la represión de los elementos etiquetados como de riesgo.

La bucólica imagen del hacker enclaustrado en una oscura casa alimentado a base de pizza reseca y manchas en la ropa de hace dos semanas da paso a la realidad: el control y tráfico en la red es un negocio lucrativo que genera nuevos pijos con corbata y engominados que están en total colaboración con las fuerzas físicas de la policía que les protege. Unos apuntan y los otros disparan.

Salud!PHkl/tctca
____________

Para saber más:

Las estructuras de ciberseguridad de los estados al servicio de las empresas
Operación Pitiusa: Policía y CNI involucrados en trama de espionaje masivo