Conferenc

CIBERSEGURIDAD
Retos y amenazas a la Seguridad Nacional

en el Ciberespacio
LIMA, PER
23 de agosto, 2011
Prof. Luis Joyanes Aguilar

1
LA CIBERGUERRA
(Cyberwar Cyberwarfare)
2
LA CIBERSEGURIDAD EN LA
ESTRATEGIA DE DEFENSA NACIONAL
Las relaciones sociales, econmicas y
culturales dependen, cada vez ms, de
las tecnologas e infraestructuras de la
informacin y comunicacin
(ciberespacio), haciendo necesario
articular un sistema nacional de
seguridad (ciberseguridad) que
gestione los riesgos que amenazan su
funcionamiento.
Luis Joyanes Aguilar
Universidad Pontificia de Salamanca - Pgina 3
Noviiembre 2010
La evolucin de las TIC, han aparecido
riesgos que hacen necesario gestionar su
seguridad. Inicialmente, la ciberseguridad
se ocup de proteger la informacin
(Information Security) de una manera
reactiva, pero posteriormente ha
evolucionado hacia una posicin proactiva
que identifica y gestiona los riesgos que
amenazan el ciberespacio (Information
Assurance).
Noviiembre 2010
La ciberseguridad en el ciberespacio debe
afrontar los riesgos y amenazas conocidos en la
gestin existente en cualquier pas.
un
Se requiere la necesidad de desarrollar
sistema nacional de ciberseguridad
que fomente la integracin de todos los actores e
instrumentos, pblicos o privados, para
aprovechar las oportunidades de las nuevas
tecnologas y hacer frente a los retos que
presentan
Noviiembre 2010
EL CIBERESPACIO
Se puede definir el ciberespacio como el
conjunto de medios y procedimientos
basados en las TIC y configurados para la
prestacin de servicios. El ciberespacio es ya
parte esencial de nuestras sociedades,
economas e, incluso, puede llegar a ser
factor determinante de la evolucin de las
culturas, o quizs de su convergencia. De ah
la importancia de proteger el ciberespacio.
Noviiembre 2010
La ciberseguridad
Antes, la ciberseguridad obedeca a un enfoque de
proteccin de la informacin (Information Security)
donde solamente se trataba de proteger la informacin a
accesos, usos, revelaciones, interrupciones, modificaciones o
destrucciones no permitidas.
En la actualidad, este enfoque est evolucionando hacia la
gestin de riesgos del ciberespacio
(Information Assurance) donde la ciberseguridad
consiste en la aplicacin de un proceso de anlisis y gestin de
los riesgos relacionados con el uso, procesamiento,
almacenamiento y transmisin de informacin o datos y los
sistemas y procesos usados basndose en los estndares
internacionalmente aceptados.
Noviiembre 2010
CIBERGUERRA. The Economist, 3-10
julio 2010
Cyberwar. The thread from de

Internet. Portada de la prestigiosa revista britnica
Cyberwar. Ttulo de la editorial
El informe y la editorial pretendan
destacar que era el momento en que
los pases comienzan a dialogar sobre
el control de sus armas cibernticas
en Internet
BPM Forum 2010. iiR Pgina 8
Madrid, 14 de diciembre de 2010
Estado de riesgo del ciberespacio
El temor a las catastrficas consecuencias de un
hipottico ciber-Katrina o a un ciber-11S ha provocado
que pases como EEUU, Francia, el Reino Unido, Israel y
Corea del Sur, as como la ONU y la OTAN entre otras
organizaciones internacionales, hayan tomado conciencia
de la importancia y necesidad de un ciberespacio seguro
y, por ello, han desarrollado o estn desarrollando marcos
normativos, planes y estrategias especficos para la
defensa del ciberespacio. En definitiva, han tomado la
decisin de gestionar la seguridad del ciberespacio bajo su
responsabilidad de manera sistemtica.

julio 2010
El editorial analiza como a travs de la
historia las nuevas tecnologas han
revolucionado la guerra, a veces
abruptamente, a veces slo gradualmente,
como son los casos del carro de combate,
la plvora, el avin, el radar o la fusin
nuclear, IGUAL HA SUCEDIDO Y EST
SUCEDIENDO CON LAS TECNOLOGAS DE
LA INFORMACIN (TI)
CIBERGUERRA. The Economist
3-10 julio 2010
Las computadoras e Internet han

transformado la economa y dado
grandes ventajas a los ejrcitos
occidentales tales como la capacidad de
enviar aviones controlados
remotamente para capturar inteligencia
o atacar a objetivos

CIBERGUERRA. The Economist
3-10 julio 2010
SIN EMBARGO, dice The Economist
La expansin de la tecnologa digital
tiene sus riesgos al exponer a los
ejrcitos y a la sociedad a los
ciberataques (ataques digitales o
ciberataques).
La amenaza es compleja, en mltiples
aspectos y potencialmente muy
peligrosa.
julio 2010
Al igual que ha sucedido con el control
de las armas convencionales y
nucleares, los pases occidentales
deben comenzar a pensar en el modo
de reducir las amenazas de la
ciberguerra con el objetivo de intentar
evitar los ataques antes de que sea
demasiado tarde o afrontarla con
xito si se realizan

LA CIBERGUERRA EN LOS MEDIOS
DE COMUNICACIN
NOTICIAS DE ACTUALIDAD
El Ejrcito de Brasil y la empresa
espaola de seguridad Panda Security
juntos contra la ciberguerra (El Mundo,
Madrid, 4 de octubre de 2010)
Irn sufre un ataque ciberntico
contra sus instalaciones nucleares (El
Pas, 28 de septiembre de 2010)

DE COMUNICACIN
Israel militariza la cibernetica (La
Vanguardia, 12 de octubre de 2010). En Israel
se cree que el virus Stuxnet que ha
atacado a las instalaciones nucleares
iranes fue introducido por un
especialista extranjero que se limit a
usar una memoria de tipo electrnico
USB que estaba preparado para infectar
la red iran (Henrique CYMERMAN, 2010)
DE COMUNICACIN
Ataques a las pgina web de la SGAE
(Sociedad General de Autores de
Espaa). A mediados de Octubre de
2010, miles de internautas lanzaron
desde sus PCs millones de ataques
contra las webs de la SGAE, el
Ministerio de Cultura y la patronal
discogrfica Promusicae, todas de
Espaa. (El Pas, 20 de octubre de 2010).
DE COMUNICACIN
Ataques a las pgina web de la SGAE (Sociedad
Los
General de Autores de Espaa) 2.
organizadores del ataque fueron el grupo
de ciberactivistas Anonymous que
plantearon el ataque a travs de foros y
redes sociales, dentro de una campaa
internacional contra las corporaciones
que coartan la creatividad y la poltica
de los lobbies de los derechos de autor
DE COMUNICACIN
La Unin Europea prueba sus defensas
en un simulacro de ciberataque.
El 4 de noviembre de 2010 se realiz
el primer ejercicio de simulacin de un
ciberataque llevado a cabo a nivel
paneuropeo con el objetivo de
mejorar la seguridad comunitaria
frente a los ataques de redes
electrnica
DE COMUNICACIN
La Unin Europea prueba sus defensas en
un simulacro de ciberataque.
El ejercicio llamado Cyber Europe 2010
ha sido impulsado por la Comisin
Europea (CE) y pretenda hacer frente a
piratas informticos en un intento
simulado de paralizar en varios estados
miembros de la UE servicios en lnea de
importancia crtica.
DE COMUNICACIN
La Unin Europea prueba sus defensas
en un simulacro de ciberataque.
El ejercicio fue organizado por ENISA
(Agencia Europea de Seguridad de las
Redes y de la Informacin) y el Centro
Comn de la Investigacin (JCR) de la
CE.
El Centro de Control del Ejercicio se
estableci en Atenas
DE COMUNICACIN
Piratean la pgina Web de la Marina
Britnica (El Mundo, la BBC, 8/11/10)
La BBC public la suspensin temporal
de la pgina de Internet de la Marina
Britnica (Royal Navy) despus de
que fuera objeto de un ataque de
piratas informticos, segn el
Ministerio de Defensa britnico.

DE COMUNICACIN
China anuncia la creacin de un
ejrcito azul para la ciberguerra (La
Vanguardia, 29 de mayo de 2011)
El coronel Geng Yansheng, portavoz del Miisterio de
Defensa chino, confirm el mircoles 25 de mayo de
2011, que China ha credo un ejrcito azul y se ha
dotado de una unidad de lite informtica.
Este ejrcito azul se compone de unos
treinta militares seleccionados de la
regin militar de Cantn
DE COMUNICACIN
China anuncia la creacin de un
ejrcito azul para la ciberguerra (La
Vanguardia, 29 de mayo de 2011)
China dispone de una unidad de lite
preparada para la guerra ciberntica.
La seguridad en la red se ha
convertido en un problema
internacional que afecta al mbito
social y al sector electrnico.
DE COMUNICACIN
Ciberespionaje masivo en la ONU,
pases y empresas. (El Pas 3 agosto 2011)
La empresa de seguridad McAfee
anuncia la operacin Shady Rat
informando de lo que ha constituido
un ataque masivo en los ltimos cinco
aos y que ha afectado a 72
organizaciones, incluida la ONU

CIBERESPIONAJE MASIVO EN LA ONU,
pases y empresas. McAfee (3 agosto 2011)
El objetivo de este ciberataque ha sido el
robo masivo de informacin fundamental de
estas organizaciones entre los que figuran
secretos relacionados con la
seguridad nacional, revelacin de
fuentes, bases de datos, correos electrnicos
confidenciales, planes de negocio, depsito de
documentos, contratos legales,
configuraciones Scada y esquemas de
diseo entre datos.
El ataque ha podido suponer uno de los mayores
robos de propiedad intelectual de toda la historia.
La empresa de seguridad quiso dejar claro en el
informe que los cibercriminales no han
buscado informacin financiera como
cuentas bancarias o nmeros de
tarjetas de crdito para robar, sino
informacin referente a infraestructuras
crticas, de la defensa nacional
Entre las victimas de este ciberespionaje, adems
de la ONU, figuran los Gobiernos de EE UU,
Taiwan, Corea del Sur, la India, Vietnam, la
Asociacin de Naciones del Sureste Asitico
(Asean), el Comit Olmpico Internacional, la
Agencia Mundial Antidopaje, adems de
instituciones, compaas de
tecnologa y contratistas del mbito
de la seguridad y defensa

Del total de objetivos atacados, 22
son instituciones gubernamentales,
seis de ellas afiliadas al Gobierno
federal norteamericano; 13
subcontratas militares, con el riesgo
que ello supone para la seguridad
militar estadounidense e internacional

UN ACTO DE GUERRA (El Pas, 4 agosto 2011)
Los ciberataques pueden ser para el
Pentgono, un acto de guerra. Si uno de
ellos pusiera en serio riesgo la seguridad
norteamericana, el Departamento de
Defensa de EE UU tiene autorizacin para
responder, bajo la supervisin del
presidente, con un ataque militar

INNOVACIONES
TECNOLGICAS de
impacto en la
SEGURIDAD DE LA
INFORMACIN
30
INNOVACIONES TECNOLGICAS DE
IMPACTO EN LA SEGURIDAD
Hoy da y los prximos aos, posiblemente lo confirmarn, nos encontramos con la
implantacin creciente del Internet mvil (LTE, 4G) y la
consiguiente proliferacin de dispositivos mviles
(acceso mediante todo tipo de dispositivos, telfonos inteligentes,
tabletas tipo ipad, libros electrnicos, microordenadores netbooks,
ordenadores think (tontos, con poca memoria y capacidad de
proceso conectados a La Nube) videoconsolas, acceso desde todo
tipo de medios de comunicacin, automviles, trenes, aviones,
autobuses, barcos, ), de las tecnologas cloud
computing, la virtualizacin, o el avance imparable
de las redes sociales y de los restantes medios
sociales como blogs, wikis, mashups (de modo
autnomo o integrados en redes sociales).
Universidad San Martn de Porres. Lima (Per)
18 de Agosto 2011 Pgina 31
Todo esto unido a la difusin tambin cada da
mayor de las nuevas tecnologas en torno a la
Geolocalizacin, Realidad Aumentada, la Web
en tiempo real ,Tecnologas Semnticas,
Bsqueda Social, el Internet de las cosas (acceso
a la Red mediante todo tipo de cosas, sensores,
electrodomsticos, herramientas tecnolgicas, etc. )
estn configurando grandes cambios sociales
que afectarn significativamente a la capacidad
de los departamentos de TI para mantener la
SEGURIDAD DE LA RED y de las aplicaciones.
Si nos centramos en las organizaciones y
empresas, la imagen clsica del puesto de
trabajo est variando completamente. Los
trabajadores escribimos en los computadores
porttiles que se llevan a casa, escribimos,
vemos la prensa o consultamos sitios
relacionados con el trabajo en los telfonos
mviles, iPhone, Blackberry, Android, Symbian
de Nokia o Windows Phone , se realizan
llamadas privadas y profesionales desde los
mismos dispositivos anteriores.
TENDENCIAS tecnolgicas de 2011
La nube Cloud Computing
Lo social Social Media,
Computacin social, Web Social (Web 2.0, Redes Sociales,
Blogs, Wikis, Agregadores de contenidos RSS, marcadores
sociales, tagging)
Lo mvil (movilidad): Telfonos

inteligentes (smartphones), tabletas (tablets),
videoconsolas,.. (3D en mviles,
geolocalizacin, realidad aumentada, NFC,
RFID, QR)
NOVEDADES EN CEBIT 2011, Hannover
Cloud Computing en todas partes
Telefona mvil (celular)
Nuevos dispositivos de acceso (Tabletas,
netbooks, telfonos inteligentes, computadores
tontos, )
Internet de las cosas (o de los objetos, Internet of
Things)
Geolocalizacin, Realidad Aumentada, Bsqueda
social
Analtica Social y Web en tiempo real
UNA BREVE SNTESIS de
Tendencias futuras: La Web en tiempo
real, Realidad aumentada, la Web en 3D,

Universidad San Martn de Porres. Lima (Per) 36 36
16 de Agosto 2011
EL FUTURO YA HA LLEGADO. Las
tecnologas del futuro
Las tecnologas de banda ancha y de gran velocidad de
transferencia de datos la proliferacin de dispositivos de
todo tipo con acceso a internet, desde PCs de escritorio
hasta netbooks, telfonos inteligentes, tabletas electrnicas
como iPad o libros electrnicos como los ebooks, etc. y,
naturalmente, todas las tecnologas de la Web 2.0 y la Web
Semntica que han trado la proliferacin y asentamiento de los
Social Media (Medios Sociales) en forma de blogs, wikis,
redes sociales, podcast, mashups, etc. que han facilitado la colaboracin,
participacin e interaccin de los usuarios individuales y de las
organizaciones y empresas, en un ejercicio universal de la
Inteligencia Colectiva de los cientos de millones que
hoy da se conectan a diario a la Web.
La Web en tiempo real (bsqueda de informacin en
redes sociales y microblogs como Facebook o Twitter que
proporcionan datos de acontecimientos de todo tipo que se estn
produciendo en cualquier parte del mundo y en el momento que
realizamos la bsqueda9
Realidad Aumentada. Mezclar la realidad con la
virtualidad de modo que el usuario pueda, p. e., asociar la
fotografa de un monumento a su historia, sus datos tursticos o
econmicos de modo que pueda servir para tomar decisiones
tanto de ocio como para negocios, gestin del conocimiento de
las organizaciones, etc (Ver Googles de Google, Layar,
). Luis Joyanes Aguilar
Geolocalizacin. Gracias a los sistemas GPS
instalados en los telfonos inteligentes y a la
conexin a redes inalmbricas o mviles 3G y las
futuras 4G, se pueden asociar las coordenadas
geogrficas del lugar donde se encuentra el
usuario de un telfono para mostrar en la pantalla
del dispositivo todo tipo de informacin sobre
restaurantes, hoteles, espectculos, etc. de
lugares prximos a la posicin geogrfica incluso
sealando distancias kilomtricas a esos lugares.
GEOLOCALIZACIN Y GEOPOSICIONAMIENTO
GEOLOCALIZACIN, TELEDETECCIN,
Mapas Digitales (Google Maps, Google
Earth, StreetView, Latitude,..)
Servicios de GOOGLE MAPS, Yahoo Map,Microsoft,
Servicios de StreetView (imgenes reales de las calles, plazas, palacios,
campos, mares,) PROBLEMAS DE FALTA DE PRIVACIDAD DE LAS
PERSONAS que caminan en el momento de la filmacin, estn en las
casas, entran o salen, pasean, Servicio de LATITUDE de localizacin y
deteccin de la posicin de las personas a travs de telfonos mviles con
Google Mapas
Gowalla, Foursquare,
Lugares de Android; Places de Facebook,
Luis
--- Joyanes Aguilar
Nuevas tecnologas mviles (penetracin de las redes
4G para ofrecer grandes anchos de banda, versiones de
sistemas operativos ms innovadoras como Chrome, Android,
Blackberry o WebOS, navegadores ms inteligentes, )
Tecnologas NFC (Pago con mvil), QR, Bidi,
Tecnologas semnticas que desarrollarn la Web
Semntica y la pronta llegada de la Web 3.0 como
convergencia con la Web 2.0(los buscadores semnticos que
entendern de un modo ms eficaz las preguntas y
cuestiones planteadas por los usuarios).
HTML en
La estandarizacin y asentamiento del lenguaje
su versin 5 que ya convivir con Flash de
Adobe Luis Joyanes Aguilar
TECNOLOGAS CELULARES (Mviles)
Redes 3G (GPRS), 3,5 G
(HSDPA),3,75G (HSDPA+, HSPA+), 4G
(LTE)
Tecnologas NFC
Tecnologas RFID
Tecnologas Zigbee
Tecnologas Cdigo QR
Tecnologas Cdigo Bidi
Tecnologas semnticas que desarrollarn la Web

Semntica y la pronta llegada de la Web 3.0 como
convergencia con la Web 2.0 (los buscadores semnticos que
entendern de un modo ms eficaz las preguntas y
cuestiones planteadas por los usuarios).
La estandarizacin HTML 5 que ya convivir con

Flash de Adobe

EVOLUCIN DE TECNOLOGAS
MVILES

TECNOLOGAS INALMBRICAS

Nuevas tecnologas mviles (penetracin de las redes
4G para ofrecer grandes anchos de banda, versiones de
sistemas operativos ms innovadoras como Chrome,
Android, Blackberry o WebOS, navegadores ms
inteligentes, ) Tecnologas NFC (Pago con
mvil, telefona de contacto cercano) y
tecnologas QR (Respuesta rpida)
Aplicaciones de QR (libros, peridicos, revistas,
turismo, visitas culturales a museos,
monumentos,)
Aplicaciones de NFC, QR y Realidad Aumentada,
integradas
EL TELFONO MVIL (CELULAR)
con NFC como medio de pago

TELFONO MVIL COMO MEDIO DE PAGO

Cdigo QR (periodicos,
documentos,..)

Los nuevos COMPUTADORES tontos , mejor
sera denominarlos tontos-inteligentes, que
dispondrn de caractersticas tcnicas mnimas, pero cada
vez ms potentes, -al estilo de los actuales netbooks y
tabletas inteligentes como iPad, ebooks, para
conexin a la Nube y en la que realizarn la mayora de
las tarea tanto profesionales como domsticas y
personales.
Los supercomputadores porttiles que tendrn
capacidad de procesar simultneamente numerosas
tareas hoy reservados a supercomputadores de gran
tamao (YA se comercializan laptops de 4 ncleos)
La expansin de la telefona por VozIP
(proliferarn las conexiones telefnicas como Skype, el nuevo
servicio de telefona IP de Gmail de Google anunciado en el
mes de agosto, Jajah adquirida a primeros de ao por
Telefnica, etc)
COMPRA DE SKYPE POR Microsoft. Noticia de la
semana pasada (Google-Motorola)
Bsqueda social (geolocalizadas y personalizadas)
Google Social, Facebook social, LinkedIn
social, Tuenti social
MACHINE TO MACHINE (M2M)
Intercambio de informacin en formato de datos
entre dos puntos remotos, bien a travs de red fija
o mvil sin interaccin humana con caractersticas
especficas en cuanto a trfico y tarjetas SIM e
integradas en la fabricacin de dispositivos
Automatizacin de los procesos de comunicacin
entre mquinas, entre dispositivos mviles
(celulares) y mquinas (Mobile to Machine) y
entre hombres y mquinas (Man to Machine)
En 2011 se prevn ms de 1.500 millones
de dispositivos alrededor del mundo
conectados entre s
INTERNET DE LAS COSAS (OBJETOS)
Cada da aumenta el nmero de
dispositivos de todo tipo que proporcionan
acceso a Internet. Las cosas que
permiten y van a permitir estos accesos ir
aumentando con el tiempo. Ahora ya
tenemos videoconsolas, automviles,
trenes, aviones, sensores, aparatos de
televisin, y pronto el acceso se
realizar desde los electrodomsticos
INTERNET DE LAS COSAS
(OBJETOS)
Un mundo en el que miles de millones de objetos
informarn de su posicin, identidad e historia a
travs de conexiones inalmbricas mediante
tecnologas RFID, bluetooth, sensores inalmbricos,
NFC,
La realizacin del Internet de las cosas , probablemente
requerir cambios dramticos en sistemas, arquitecturas y
comunicaciones, Invisible es la descripcin de las nuevas
tecnologas empotradas Computacin invisible Computacin
penetrante pervasive A medida que avance su penetracin
Producir un CAMBIO SOCIAL, posiblemente,
de tanto impacto y tan poco previsible, como
las actuales tecnologas Web
LA ERA DE LOS
BIG DATA y su impacto
en la
CIBERSEGURIDAD
55
La Era del PetaByte (The Big Data)
INFORMES sobresalientes ms recientes
Wired (Artculo La era

del Petabyte)Julio 2008
El Universo Digital
(EMC/IDC) Mayo 2009
The Economist (Informe
Marzo de 2010)
Pgina 56
18 de Agosto 2011
LA ERA DEL PETABYTE -2- . Wired ,
julio 2008 (www.wired.com)
1TB (250.000 canciones)
20 TB (fotos uploaded a Facebook

cada mes)
120 TB (todos los datos e imgenes recogidos por el telescopio
espacial Hubble) ; 460 TB (todos los datos del tiempo climtico en
EEU compilados por el National Climatic Data Center); 530 TB
(Todos los vdeos de YouTube); 600 TB (base de datos de
genealoga, incluye todos los censos de EEUU 1790-2000)
1 PB (datos procesados por los

servidores de Google cada 75 minutos)
Big Data. Impacto en SEGURIDAD
La informacin del UNIVERSO
DIGITAL* se acerca ya a los 500
Exabytes (en 200)
El conocido como universo digital alberga en la
actualidad cerca de 500 Exabytes, una cifra que
se prev se duplique en 18 meses y una cifra que
supone triplicar los 161.000 millones Gbytes
existentes en 2007 - As lo revela el informe
Universo Digital, elaborado por IDC con la
colaboracin de EMC
Big Data. Impacto en SEGURIDAD
El almacenamiento y la proteccin de esta
informacin es uno de los puntos en los que pone
el acento el informe de IDC. La consultora
estima que en la actualidad alrededor de
un tercio de la informacin residente
en el universo digital exige un nivel
alto de proteccin, pero segn sus
pronsticos este porcentaje se elevar
hasta el 45 por ciento en 2012

El Universo Digital EMC / IDC

El Universo Digital EMC / IDC

2010 Digital Universe
The Big Data Summit 2010
(www.bigdata.summit.com)
El Universo Digital crecer del orden

1,2 Zettabytes (1,2 millones de
petabytes)
2020 Digital Universe crecer 4,4

veces mayor que en 2009
The Economist (Febrero 2010)
Data, data everywhere
A special report on managing information
February 27th 2010
Data, data everywhere
Economist.com/specialreports
All too much. Monstrous amounts of data. Page 3
New rules for big data. Regulators are having to
rethink their brief. Page 12
Handling the cornucopia. The best way to deal with all
that informationis to use machines. But they need
watching. Page 13
http://www.economist.com/specialreports
/displaystory.cfm?story_id=15557421

ESTADO ACTUAL DE LA
SEGURIDAD DE LA
INFORMACIN
Ciberseguridad
65
Las nuevas tecnologas como movilidad, medios sociales y
cloud computing presentan nuevas oportunidades pero
tambin nuevas y grandes vulnerabilidades.
Encuesta de Eurostat considera claves para la seguridad en el
2011, detectar las principales amenazas informticas
Robo de datos
Ataques cibernticos entre pases
Ataques a telfonos mviles
La consultora Ovum recomienda que los CIOs deben pensar en un
enfoque integrado: tecnologa, polticas de seguridad y
personas.
Espaa ocupa la cuarta posicin de la UE
en la proteccin del acceso informtico de
las empresas. La Vanguardia, 9-12-2010
Bruselas (EFECOM). El 63% de las empresas
espaolas utiliza contraseas "robustas" y
dispositivos "slidos" para la identificacin de
usuarios y proteger as sus redes
informticas, lo que las sita en cuarto lugar a nivel de
la Unin Europea, segn datos de 2009 publicados hoy por
Eurostat, la oficina estadstica comunitaria.
Eurostat destaca que nicamente el 12% de las empresas de
la Unin Europea experimentaron problemas de seguridad
informtica en 2009 debido a fallos del hardware o del software.
Espaa ocupa la cuarta posicin de la UE
en la proteccin del acceso informtico de
las empresas. La Vanguardia, 9-12-2010
La estadstica, realizada a comienzos de este ao para
comprobar el nivel de uso corporativo de las nuevas
tecnologas, revela que el 5% de las empresas de
la UE perdieron o vieron modificados sus
archivos por infecciones de virus en el sistema,
aunque Espaa eleva la media europea con un
11%, slo superada por Eslovaquia y Portugal (con un 23% y
un 14%, respectivamente).
Las empresas italianas (66%), irlandesas y eslovenas (64% cada una) son
las que ms utilizan contraseas y programas slidos para autentificar a los
usuarios de forma segura,
EL ESTADO ACTUAL DE LA
CIBERSEGURIDAD DESDE LA PERSPECTIVA
DE ORGANIZACIONES Y EMPRESAS
Cisco, la empresa norteamericana lder en el
mundo de las comunicaciones y cada da ms con
intereses en muchas otras reas como la
seguridad, cloud computing, virtualizacin, en su
informe 2010 Midyear Security analiza
cmo las grandes transformaciones
tecnolgicas, econmicas y demogrficas
la proliferacin de dispositivos mviles conectados
a la Red (telfonos inteligentes, tabletas tipo iPad,
etc.),
Cisco. 2010 Midyear Security
un gran nmero de empresas
En el estudio de Cisco,
consultadas reconocen que sus trabajadores
han otorgado accesos no autorizados a
familiares o amigos, y la mayora no renuncia a
acceder a redes sociales desde su puesto de
trabajo.
Otro dato ilustrativo es el caso omiso de los trabajadores a las
polticas corporativas, cita, p.e., el informe que el 50% de
los usuarios finales ha admitido ignorar las polticas
corporativas que prohben el uso extensivo de redes
sociales, mientras que un 27% reconoce haber
cambiado la configuracin de su equipo para acceder a
aplicaciones no permitidas.
El estudio de Cisco est segmentado por
reas y detalla las posibles soluciones que
ofrece a cada uno de los riesgos y
amenazas para la ciberseguridad y el
comportamiento dentro de las
organizaciones y empresas, especialmente
por parte de sus trabajadores. Una de las
reas de inters lo constituyen las
transformaciones tecnolgicas y
sociales.
Las transformaciones clave ms
importantes en los departamentos de
organizaciones y empresas y que afecta
sensiblemente a la ciberseguridad son: las
redes sociales, la virtualizacin, la
tecnologa cloud computing y la
apuesta creciente por integrar
mltiples dispositivos mviles

Para responder con xito a estas transformaciones, Cisco propone
que las empresas deberan:
Aplicar polticas especficas para cada usuario en el
acceso a las aplicaciones y los datos sobre
sistemas virtualizados.
Establecer lmites estrictos en el acceso a la
informacin crtica para el negocio.
Crear una poltica corporativa oficial de movilidad.
Invertir en herramientas para gestionar y
monitorizar las actividades en la nube.
Proporcionar a los trabajadores guas sobre el uso
de los medios sociales en la oficina.
Los cibercriminales estn aprovechndose de las
innovaciones tecnolgicas para agilizar sus propias
operaciones y obtener rentabilidad. El cibercrimen
ciberntico es un negocio puro y duro.
Nosotros (Cisco) vemos la seguridad desde el
punto de vista de los atacantes, que se
organizan como empresas. No siempre los
fraudes ms llamativos son los ms rentables.
Al revs, suelen serlo, los que requieren menos
inversin.
Declaraciones de Pilar Santamara, Directora de Desarrollo de Negocio y
Cibersegurida de Cisco Mediterrneo, en declaraciones a Manuel G.
Pascual en Cinco Dias, 10 de noviembre de 2010, p. 14
una matriz de
Por esta razn, Cisco ha elaborado
rentabilidad de los virus, de modo que muchos
de los fraudes clsicos, incluso el phishing estn dando paso
a importar cuotas de alta en todo tipo de negocios,
administraciones, etc. donde se roban pequeas cantidades
de dinero cada vez y se requiere poca inversin, este tipo de
fraude requiere ingeniera social (formularios,
llamadas no solicitadas, etc.). La matriz de Cisco
considera muy rentables para el ciberdelincuente el
fraude por clics, el farmacutico y los ataques que se
disfrazan de antivirus, los timos lucrativos,

En cuanto al futuro de las amenazas, el estudio de Cisco resea tambin que
La ingeniera social y la mezcla de

tecnologas por parte de los usuarios
son cada vez ms peligrosas para la
ciberseguridad.
Est cada vez ms al alza los ataques
multivector que combinan diferentes
soportes (correo-e, web, voz, vdeo,..) para
encontrar fisuras.

El estudio de Cisco reconoce que el spam
sigue creciendo exponencialmente, a
pesar del reciente descenso en operaciones
criminales basadas en spam; se espera que
durante 2010 crezca a escala mundial un
30% segn destaca el informe
complementario Cisco Security Intelligence
Operations. Estados Unidos sigue siendo el
pas donde se origina ms spam seguido
por India, Brasil, Rusia y Corea del Sur.

Otros datos de inters para la ciberseguridad que aporta el estudio de
Cisco es la constatacin de que un porcentaje notable de los responsables
los
de seguridad de las 500 empresas consultadas, consideran que
usuarios no autorizados son la principal
amenaza a la seguridad corporativa,
unida a las redes sociales y las nuevas
aplicaciones que tambin se identifican
como amenazas importantes. El informe es
concluyente las brechas de seguridad abiertas
por esta nueva realidad son enormes. Los
hackers lo saben y se aprovechan de ello.
Cisco Connected World Report
A pesar de que el 65% de las empresas espaolas
cuentan con normas de TI sobre el uso de recursos,
el 46% de sus trabajadores las desconoce y el
72% considera que deben mejorarse.
Adems el 43% de los empleados espaoles
reconocen saltarse las polticas TI de sus empresas
porque necesitan utilizar aplicaciones y programas
no permitidos para realizar su trabajo
En nuestro pas, el 38% de los empleados tiene
prohibido utilizar redes sociales y el 31% no puede
acceder a Twitter. As mismo el uso de telfonos
mviles personales est restringido en un 26% de
las empresas.
Cisco Connected World Report
A medida que los profesionales apuestan
cada vez ms por la movilidad, el uso de
mltiples dispositivos y la posibilidad de
acceder a los recursos corporativos en
cualquier momento y lugar, resulta esencial
actualizar las polticas de TI para responder
a estas demandas con la mayor seguridad

Consideraciones sobre el ciberdelincuente
Es necesario afrontar con decisin a la
delincuencia organizada que se manifiesta
esencialmente en: el fraude en el comercio
electrnico, en la banca electrnica, la figura del
Crimen como Servicio (al estilo de los
modelos de servicio en la Computacin en
Nube, Software como Servicio,
Infraestructura como Servicio, etc.), y eso
conduce a vulnerabilidades en LOS PROCESOS
DE NEGOCIOS

Encuesta Mundial de Cisco, 10/12/2010
Un 18% de las empresas espaolas usan
COMPUTACIN en la 'nube'
Una encuesta mundial de Cisco refleja que Brasil,
Alemania e India son los pases donde ms se
emplea esta tecnologa (publicada el 10 de
diciembre de 2010)
Una encuesta mundial de la compaa, realizada por
Insight Express en 13 pases entre profesionales de las
nuevas tecnologas, muestra que el 18% de los
encuestados emplea la nube, un porcentaje idntico en el
caso espaol, aunque un 34% (un 33% en Espaa)
planea sumarse prximamente a ella.
Las principales razones para apostar por la
virtualizacin son: el incremento en agilidad, su
capacidad para optimizar recursos y reducir costes y la
aceleracin en la provisin de aplicaciones. Las
principales barreras para su adopcin son: la
preocupacin por la seguridad
y por la estabilidad, as como la
dificultad para construir procesos
operativos para un entorno
virtualizado y su gestin.
Con respecto a los centros de datos, las
principales prioridades de los responsables tecnolgicos
de las empresas para los prximos tres aos son:
implementar aplicaciones de negocio;
una mejor gestin de los recursos para
alinear capacidad y demanda, mejorar la
flexibilidad de los mismos y reducir los
costes de energa y refrigeracin.

Dominios infectados (estadsticas)
La compaa de seguridad McAfee ha publicado a finales de octubre
de 2010 su ltimo informe sobre los dominios ms peligrosos de la Red. En
este informe ha realizado un anlisis exhaustivo de ms de 27 millones de
sitios Web comprobando si existan amenazas de tipo malware o spam,
afiliaciones sospechosas o pop ups agresivos. McAfee ha utilizado la
tecnologa Trustedforce centrada en la proteccin de datos y que rene ms
de 150 sensores localizados en 120 pases la lista de los 5 dominios ms
peligrosos son:
.com (31,3%)
.info (30.7%)
.vn (Vietnam)
.cm (Camern)
.am (Armenia)
Estudio sobre delitos informticos,
15 de agosto de 2011
El gasto por delitos informticos aumenta un
56% en un ao. Empresas y administraciones tardan
una media de 18 das en resolver los ciberataques
El Segundo estudio sobre el coste anual de los delitos

informticos (Second Annual Cost of Cyber
Crime Study, en el documento original en ingls),
elaborado por el Ponemon Institute, revela que el gasto
derivado de combatir estas infracciones y resolver los problemas
que ocasionan en los sistemas de empresas y administraciones
se ha incrementado un 56% en un ao.
BARRERAS CONTRA LOS PIRATAS
INFORMTICOS
El Pas / The New York Times, 7 de julio de 2011
Segn los expertos, la proliferacin de
telfonos inteligentes, el uso cada vez
ms habitual de Facebook y otras redes
sociales en el lugar de trabajo y el giro
hacia el almacenamiento de datos en
una nube (cloud) informtica brindan
nuevas posibilidades a los
ciberatacantes
INFORMTICOS
Las empresas de seguridad en
Internet, reconocen que los antivirus
tradicionales, pueden no estar a la
altura de los peligros actuales y se
requieren otras medidas (Symantec,
Enrique Salom)
El aumento de programas
malintencionados (malware) crecieron de
modo exponencial en 2010

INFORMTICOS
En la actualidad, los ataques suelen recurrir
a una cara conocida. Es una prctica muy
usada conocida como pesca con lanza, los
piratas envan correos electrnicos que
parecen ser de compaeros de trabajo o
amigos e incluyen archivos adjuntos que
pueden liberar malware, es decir programas
que roban contraseas y otros datos.

INFORMTICOS
Un caso prctico fue el ataque a la
empresa RSA Security de EE UU que
trataba de capturar identificaciones
digitales. El ataque contra el
laboratorio lleg a travs de un
archivo adjunto en un correo
electrnico cuyo asunto dejaba
entrever que provena del
departamento de recursos humanos.
INFORMTICOS
Las nuevas tecnologas de seguridad
deberan proteger contra todas las fuentes
de archivos malintencionados, ya vengan de
anticuados correos electrnicos, de un
mensaje de LinkedIn o de un vnculo
(enlace) de Twitter o Facebook
Las empresas y organizaciones deben
adaptar sus sistemas para protegerse
contra los ataques a travs de telfonos
inteligentes y tabletas

INFORMTICOS
PREVENCIN DE ESOS ATAQUES
INFORMTICOS
Las organizaciones y empresas se
pueden guardar bien de esos ataques
confeccionando listas blancas que
solo permiten acceso a los programas
que figuran en una lista de programas
seguros.
FUENTES DE GOBIERNO TI
Principales modelos de Gobierno TI agrupadas por:

Marcos regulatorios: actos legislativos de control
interno y disposiciones de entes de supervisin y
auditora: Sarbanex-Oxley, Basilea II, HIPAA.
Marcos de referencia: guas de buenas prcticas y
principios y recomendaciones para la aplicacin de las
mismas: COBIT, ITIL, CMMi, etc.
Marcos de certificacin: normas ante las cuales se
puede certificar, ante un ente externo, el cumplimiento de
requisitos impuestos por las normativas legales y locales:
ISO/IEC 20000, 27000, 38500; AS8015

Caractersticas de los estndares
de la Nube
Interoperabilidad
Portabilidad
Integracin
Seguridad
Se necesita asegurar que los controles,
procedimientos y tecnologas correctos se utilizan
para proteger los activos corporativos.
Conjunto de procesos, polticas y mejores prcticas
que aseguran que los controles puestos son los
idneos.
Estndares de seguridad ISO / NIST
(www.iso.org)
Estndares de seguridad de los sistemas de informacin e
interoperabilidad de servicios Web (ISO)
ISO 27001
ISO 27002
ISO 27003
ISO 27004
ISO 27005
ISO 27006
ISO/IEC 17799
Computer Security incident Handling
Guide,Recommendations of the National Institute
of Standards and Technology. NIST SP 800-61
Grupos y organizaciones de
Estndares
Cloud Security Aliance
www.cloudecurityalliance.org (creada en
2008)--- apoyada paor ISACA
Ha publicado: Guidance por Critical
Areas of Focus in Cloud Computing
www.cloudsecurityalliance.org/guidance
NIST (Instituto Nacional de Estndares y
Tecnologas de USA).
www.nist.gov
Organizaciones de Cloud
EuroCloud Europa
www.eurocloud.org
Es una asociacin europea de empresas proveedoras de
SaaS y Cloud Computing formada por una red de
asociaciones locales en los diferentes pases europeos.
Eurocloud Espaa
www.eurocloudspain.org
blog.eurocloudspain.org
Estndares de interoperabiliad
Gestin de identidades (IDM,
Identity Management)
Interoperabilidad. La Nube debe
proporcionar una solucin de IDM que
pueda interoperar directamente con los
sistemas IT y soluciones existentes o
con el mnimo de cambios.


OpenID Google
OAuth Twitter
Facebook Connect Facebook
OpenSocial Google (API)
Friend Connect Google
OpenID y OAuth facilitan la identificacin
en la Red pero requiere implementar
medidas de seguridad
El futuro: Estndar nico
Protocolo hbrido OAuth y OpenID.
Google comienza a utilizar sistemas de
autenticacin segura combinados
Protocolo hbrido combina el login federado
de OpenID con el proceso de autorizacin
de Oauth
La extensin se denomina OpenID Oauth
permite implantar a los desarrolladores
OAuth a travs de una autenticacin inicial
usando OpenID.
AMENAZAS ACTUALES
Y FUTURAS
102
ALGUNAS AMENAZAS (ACTUALES Y
FUTURAS)
La valoracin de las amenazas actuales y futuras es
una parte importante de la evaluacin de las
prioridades a tener en cuenta en las crecientes
medidas de seguridad. Ser preciso tener presente
la prevencin, deteccin, respuesta, mitigacin y
recuperacin junto con la cooperacin
internacional en su caso.
Algunas de las amenazas que se han hecho muy
populares en los ltimos tiempos por las repercusiones e
impacto que han tenido en aquellos lugares y equipos
donde se han producido.

Stuxnet
Es un programa de software daino (malicioso) del
tipo troyano muy avanzado, que aprovecha la
vulnerabilidad MS10-0466 de los sistemas
operativos Windows CC, empleados en los sistemas
SCADA (Supervisory Control and Data
Acquisition) fabricados por Siemens y que se
utiliza en infraestructuras crticas tales como el
control de oleoductos, plataformas petroleras,
centrales elctricas, centrales nucleares y otras
instalaciones industriales con el objetivo de
sabotearlos. Se piensa que una vez dentro de una
planta podra reprogramar las centrifugadoras para
hacerlas fallar sin que se detectara.
Stuxnet
Es un virus muy sofisticado que utiliza
tcnicas de rootkit para instalarse en el
sistema operativo. El troyano queda
camuflado y latente en el equipo infectado
hasta que su autor decide activarlo.
Se detect el mes de junio de 2010 por una
compaa de seguridad informtica de
Bielorrusia, VirusBlokADa que lo descubri
en unos ordenadores pertenecientes a un
cliente en Irn.

DDoS
Los ataques DDoS (Distributed Denial of
Service) son una forma relativamente
sencilla y efectiva de hacer caer a una
Web. Las acciones se pueden realizar de forma voluntaria siguiendo las
instrucciones dadas para iniciar el ataque a una hora sealada en una
convocatoria mediante foros en la Red o utilizando redes de ordenadores
previamente infectados por virus (botnet) de forma que los usuarios ni
siquiera son conscientes de que participan.

DDoS
Los ataques DDoS no siempre tienen
un trasunto ideolgico. Cada vez ms
responden a puras extorsiones. Se
estn trasladando a Internet los
mismos esquemas que empleaba la
mafia en el mundo fsico.

Botnets
Los botnets (robots de la Red) son redes de
ordenadores zombis. Las redes han aumentado de
modo exponencial, segn informes de la Fundacin
Shadowserver y se emplean para realizar ataques,
envos masivos de correo basura y espionaje
contra empresas. Un botnet se crea infectando
ordenadores sin que sus propietarios lo sepan.
Cada mquina reclutada por el virus se pone en
contacto sigilosamente con el cibercriminal a la
espera de sus rdenes.

Zeus
Zeus es un virus de tipo botnet (troyano) que se
propaga por los navegadores, tanto Explorer
como Firefox. El malware recopila informacin
del usuario y contraseas de internet y redes
sociales, utilizndolas para suplantar la
identidad y realizar robo de datos bancarios,
datos de tarjetas de crdito o enviar spam.
Miles de empresas de todo el mundo han cado en esta
pandemia digital. Adems a primeros de noviembre de
2010 se ha detectado que el virus Zeus ha afectado a
dispositivos mviles.

Amenazas futuras
De acuerdo con informe reciente de Cisco ya citado destaquemos
ahora que en opinin de esta multinacional de las comunicaciones
el futuro de las amenazas se centran en dos grandes reas:
Ingeniera social (manipulacin de
formularios, llamadas no solicitadas, mensajes,)
y ataques multivectoriales donde se
combinan diferentes tipos de soporte (correo
electrnico, mensajes en blogs, redes sociales,
wikis,., voz, vdeo, audio, etc.)
Amenazas a las infraestructuras crticas
ORGANISMOS E
INSTITUCIONES CON
COMPETENCIAS EN
CIBERSEGURIDAD
111
GESTIN DE LA CIBERSEGURIDAD
EN ESPAA
Hablar de ciberseguridad en una determinada
nacin requiere plantear, al menos, dos
dimensiones: la proteccin de bienes,
activos, servicios, derechos y libertades
dependientes de la jurisdiccin estatal, y la
responsabilidad compartida con otros
Estados, bilateralmente o a travs de
organismos supranacionales, sobre la
ciberseguridad.
Noviiembre 2010
EN ESPAA
Atendiendo a la primera dimensin del problema, es
preciso identificar cules son los activos
dependientes del ciberespacio en Espaa, qu
regulacin existe, cules son los organismos con
funciones y responsabilidades en la materia y
quines son los participantes. La defensa de
nuestro ciberespacio abarca a todos los activos y
actores imaginables, pero debe centrarse,
fundamentalmente, en la defensa de las
infraestructuras crticas, el tejido empresarial y las
libertades y derechos individuales.
Noviiembre 2010
EN ESPAA
Las infraestructuras crticas de

nuestro pas se encuentran agrupadas en
los siguientes 12 sectores: administracin,
alimentacin, energa, espacio, sistema
financiero y tributario, agua, industria
nuclear, industria qumica, instalaciones de
investigacin, salud, transporte y
tecnologas de la informacin y las
comunicaciones.
Noviiembre 2010
EN ESPAA
En cuanto al tejido empresarial espaol, la gran
mayora de las grandes empresas disponen de una
organizacin interna suficientemente madura que les permite
implementar las actividades y medidas que se enmarcan dentro
de las prcticas de information security e information
assurance. En el caso de las pequeas y medianas empresas y
autnomos (el 99% del total), la falta de recursos econmicos y
humanos impiden la implementacin de ciberseguridad aunque
sus actividades se sustentan, fundamentalmente, en las TIC. El
Gobierno est fomentando el acceso de las empresas y
autnomos espaoles a las TIC y a las buenas prcticas
de la ciberseguridad mediante las lneas de financiacin
del Plan Avanza.
Noviiembre 2010
EN ESPAA
En relacin con los ciudadanos, el ndice de

penetracin de los servicios de la sociedad de la
informacin (correo electrnico, redes sociales,
comercio electrnico) es ya suficientemente alto
como para que cualquiera de los tipos de
amenazas enunciados pueda producir
impactos graves en las libertades y
derechos individuales

Noviiembre 2010
EN ESPAA
El Real Decreto 3/2010, de 8 de enero, por el que se regula
el Esquema Nacional de Seguridad en el
mbito de la Administracin Electrnica
constituye un buen punto de partida, pero,
como su propio nombre indica, cubre
nicamente el sector de las administraciones
pblicas, dejando fuera los otros sectores
relevantes para la gestin de la
ciberseguridad: otras infraestructuras
criticas, las empresas y los ciudadanos. Adems
del citado Real Decreto existen leyes nacionales, europeas e
internacionales que abordan la cuestin de la ciberseguridad.
Noviiembre 2010
ORGANISMOS E INSTITUCIONES ESPAOLAS
CON COMPETENCIAS EN CIBERSEGURIDAD
El Esquema Nacional de Seguridad en el mbito de la Administracin
Electrnica fue regulado en el Real Decreto 2/2010, de 8 de enero, pero
cubre nicamente las administraciones pblicas. Existen otras leyes
nacionales, europeas e internacionales que abordan la seguridad, tales
Ley Orgnica de Proteccin de Datos
como:
(LOPD), la Ley General de las
Telecomunicaciones (LOT) y la Ley de la
Sociedad de la Informacin y Comercio
Electrnico (LSI-CE).
* FOJN ENRIQUE Y SANZ NGEL. Ciberseguridad en Espaa: una propuesta
para su gestin, Anlisis del Real Instituto Elcano, ARI n 101/2010

El Centro Criptolgico Nacional

(CCN), dependiente del Centro
Nacional de Inteligencia (CNI) que
tiene, entre sus misiones, la gestin de la
seguridad del ciberespacio dependiente de
cualquiera de los tres niveles de las
administraciones pblicas: estatal,
autonmico y local.

El CCN-CERT es el Centro de alerta

nacional que coopera con todas las
administraciones pblicas para responder a
los incidentes de seguridad en el
ciberespacio y vela tambin por la
seguridad de la informacin nacional
clasificada

El Centro Nacional para la Proteccin de las Infraestructuras
Crticas (CNPIC) que depende del Ministerio del Interior.
El Instituto Nacional de Tecnologas de la Comunicacin
(INTECO) encargado de velar por la ciberseguridad de las
PYMES y los ciudadanos en el mbito domstico.
El Grupo de Delitos Telemticos de la Guardia Civil y la
Unidad de Investigacin de la Delincuencia en
Tecnologas de la Informacin de la Polica Nacional,
responsables de combatir la ciberdelincuencia.
La Agencia Espaola de Proteccin de
Datos y Agencias de Proteccin de Datos de la Comunidad de Madrid y
de la Generalitat de Catalua.
Organismos de Seguridad en Empresas
Las principales empresas espaolas del sector de la
seguridad informtica crearon, el ao 2009,
el
Consejo Nacional Consultor sobre
Ciber-Seguridad (CNCCS) con el
objetivo de fomentar la defensa del
ciberespacio y colaborar con las entidades
pblicas y privadas. Este organismo respaldado por la
iniciativa privada, facilita normativas, asesoramiento, a las
empresas y en particular a sus departamentos de Seguridad
Informtica.

Organismos europeos
Agencia europea ENISA (European
Network Information Security
Agency) creada en 2004. Asesora a la
Comisin y a los estados miembros en
temas de seguridad y productos
informticas. Su ltima iniciativa Cyber
Europe 2010 .
Programa para la proteccin de
Infraestructuras Crticas (PEPIC)
Organismos de Seguridad Europeos
AGENDA DIGITAL EUROPEA. Contempla
toda la poltica europea de Tecnologas de
la Informacin. Aprobada en Granada,
ESPAA (Marzo 2011) y puesta en marcha
en Junio 2011.
Contempla la proteccin a Europa de
ciberataques e interrupciones a gran escala
Una poltica general para luchar contra la
ciberdelincuencia
OTAN
La OTAN ha creado el Nuevo
Concepto Estratgico y ha
creado una poltica de
ciberdefensa.
Dispone de un Centro de
Excelencia en Ciberdefensa en
Tallin (ESTONIA)
ESTADOS UNIDOS
El actual Gobierno de Estados Unidos ha
creado al principio de su mandato una
INICIATIVA EN CIBERSEGURIDAD
www.whitehouse.gov/sites/default/files7cybersecurity.pdf
El Cibercomando de Estados Unidos
(USCYBERCOM) es un comando subunificado bajo el mando
del Comando Estratgico de Estados Unidos creado por el
Secretario de Defensa de Estados Unidos Robert Gates el 23
de Junio de 2009. El comando est dirigido por el Director
General de la Agencia de Seguridad Nacional, Keith B.
Alexander. El comando asumir la responsabilidad de diversas
agencias ya existentes
ARGENTINA crea Programa Nacional
de Infraestructuras Crticas de
Informacin y Ciberseguridad
Resolucin 580/2011, agosto 2011

Artculo 1 Crase, en el mbito de la OFICINA NACIONAL DE
TECNOLOGIAS DE INFORMACION de la SUBSECRETARIA DE
TECNOLOGIAS DE GESTION de la SECRETARIA DE GABINETE de la
JEFATURA DE GABINETE DE MINISTROS, el PROGRAMA
NACIONAL DE INFRAESTRUCTURAS CRITICAS
DE INFORMACION Y CIBERSEGURIDAD.
Administracin de Identidades
Digitales y Accesos
El acceso autorizado a la informacin en todo momento,
desde cualquier lugar, tanto para empleados como para
clientes y proveedores se ha transformado en un
requerimiento esencial para el negocio.
Una Metodologa de Administracin de
Identidades y Accesos debe presentar un enfoque de
negocios que combine el conocimiento de las mejores prcticas
y experiencia sobre los procesos y los controles necesarios para
la gestin de seguridad, administracin de proyectos
informticos y conocimiento tcnico de las distintas soluciones
tecnolgicas provistas por los proveedores de software
incluyendo su posible integracin con sistemas cloud
Administracin de la Seguridad
En el ambiente de negocios actual, implementar
respuestas contra las ltimas amenazas tcnicas
no siempre resuelve necesariamente las fallas en el
enfoque general de gestin de seguridad y
privacidad.
En este sentido, las organizaciones necesitan
implementar y mantener UN ESQUEMA INTEGRAL
DE ADMINISTRACIN DE LOS RIESGOS DE
SEGURIDAD Y PRIVACIDAD, ALINEANDO LOS
RECURSOS HUMANOS, PROCESOS Y DIVERSOS
ELEMENTOS DE LA TECNOLOGA, para poder
sobrevivir en un mercado tan competitivo, y
alcanzando niveles adecuados de seguridad.
Administracin de la Seguridad
Se requiere un programa integral de
administracin de la seguridad abarcando las
siguientes reas:
Gobierno y Estrategia
Estndares internacionales (por ej. ISO
27000, CobiT) y especficos de industrias
Administracin de riesgos y cumplimiento
de leyes y regulaciones
Capacitacin y Concienciacin
Aseguramiento efectivo
Mtricas e Indicadores
Administracin de Vulnerabilidades
Con ambientes de procesamiento de
informacin cada vez ms complejos e
interdependientes, las amenazas y
vulnerabilidades son cada vez ms difciles
de identificar y tratar de forma efectiva, y
mucho ms an de demostrar a quienes lo
soliciten (reguladores, auditores) que se
cuenta con medidas adecuadas para su
gestin.

Muchas organizaciones han aprendido de los hechos que la
implementacin de firewalls perimetrales, software de antivirus, sistemas
de deteccin y prevencin de intrusos, y programas peridicos de
evaluacin de vulnerabilidades, no resultan suficientes para combatir las
exposiciones de seguridad en todas las dimensiones asociadas a este tipo
de riesgos.
Las consultoras plantean desarrollar soluciones efectivas que
abarcan una combinacin de procesos,
personas y tecnologa, que permitan, de forma
integrada, identificar, evaluar y administrar
los riesgos relacionados con vulnerabilidades
de los sistemas de informacin, como parte
del enfoque del da a da de las operaciones.
Algunas consideraciones en el Plan de
Vulnerabilidades podra ser:
Evaluar el estado actual
Definir los requerimientos y seleccionar
herramientas y soluciones para su gestin continua
Disear y optimizar su proceso de administracin
de vulnerabilidades y controles, incluyendo:
identificacin de amenazas, anlisis de riesgo,
remediacin y reporte
Realizar investigacin y anlisis forense de
incidentes de seguridad
Ejecutar pruebas ante ataque y penetracin
sobre redes y aplicaciones (Cyber Europe 2010)
Privacidad y Proteccin de Datos
La privacidad y proteccin de datos constituye un

desafo creciente, y es objeto actual de desarrollo
de legislacin y regulaciones especficas. La
normativa sobre medidas tcnicas de seguridad a
implementar para el tratamiento y conservacin de
datos personales establecen requerimientos
especficos que las empresas y organizaciones
deben atender.

Privacidad y Proteccin de Datos
Factores clave que permitan a una organizacin reducir las
exposiciones a riesgos relacionados con la privacidad y proteccin de
datos personales deben incluir, al menos, las siguientes reas:
Estrategia de Privacidad y Proteccin de Datos
Inventario y clasificacin de datos personales
Polticas y Procedimientos
Comprensin, cumplimiento y administracin de leyes y
regulaciones a nivel nacional e internacional
Capacitacin y Concienciacin
Transferencia de datos hacia terceros y a otros pases
Retencin y destruccin de datos personales
Inclusin de controles de privacidad en proyectos de sistemas y
tecnologa

Alineamiento de ITIL V3, COBIT 4,1
ISO/IEC 27001-2
Norma ISO/IEC 27002. Un cdigo de
mejores prcticas en materia de sistemas
de gestin de seguridad de la informacin.
En esencia, un conjunto de controles de
seguridad.
Norma ISO/IEC 27001. Una especificacin

estndar para un sistema de gestin de
seguridad de la informacin

PRINCIPIOS RECTORES DE LA NORMA
ISO/IEC 27002:2005
Mediciones basadas en los requisitos legales
Mejores prcticas mencionadas en la norma
Factores crticos de xito
Necesidad de un nuevo marco de trabajo
para el desarrollo de un Sistema de Gestin
de la Seguridad de la Informacin
---------------
RESUMEN EJECUTIVO DE Alineamiento de ITIL V3, COBIT
4,1 ISO/IEC 27002. Un reporte para gestin del ITGI y la
OGC. IT Governance Institute y OGC.

LA INTIMIDAD EN LARED
Los gobiernos, las corporaciones, los buscadores, los
sistemas operativos, aplicaciones,.. han dificultado la
reputacin digital, a saber, la informacin de sujetos,
compaas e instituciones

* FOJN ENRIQUE Y SANZ NGEL.
Ciberseguridad en Espaa: una
propuesta para su gestin, Anlisis
del Real Instituto Elcano, ARI n 101/2010
Propuestas para la gestin espaola de la ciberseguridad

Espaa, a pesar de los esfuerzos
realizados, no dispone an de una
capacidad slida que permita realizar
una direccin y gestin eficaces y
eficientes de nuestra ciberseguridad.
propuesta para su gestin ARI n 101/2010
El gobierno de Espaa debe identificar

la seguridad de su ciberespacio como
un objetivo estratgico de la Seguridad
Nacional, puesto que la materializacin
de una amenaza sobre nuestro
ciberespacio puede afectar muy
negativamente al desarrollo social,
econmico y cultural de nuestro pas.
Se debe elaborar una Estrategia
Nacional de Ciberseguridad de la que
emane un marco normativo especfico
que regule el ciberespacio y su
seguridad. La reciente publicacin del Real
Decreto 3/2010, por el que se regula el
Esquema Nacional de Seguridad en el mbito
de la Administracin Electrnica, es un buen
punto de partida, pero ser necesario adecuar
y hacer cumplir la legislacin vigente.
La direccin de la ciberseguridad debe realizarse de
manera centralizada. Como corolario del principio
anterior, el Estado debe crear un organismo con la
misin de dirigir la ciberseguridad nacional,
coordinando a las entidades pblicas y privadas
implicadas.
El gobierno debe fomentar y reforzar la cooperacin
internacional en materia de ciberseguridad. Las
alianzas multinacionales y bilaterales en materia de
ciberseguridad son indispensables

Las administraciones del Estado se
debern promover una cultura de la
ciber-responsabilidad, basada en la
concienciacin y formacin continua
en ciberseguridad. Para ello, los
planes de estudio de las enseanzas
primaria, secundaria y universitaria
deberan incluir en sus currculos
materias relacionadas con el uso
responsable del ciberespacio.
DECLOGO DE LA CIBERSEGURIDAD
Cuadernos de Estrategia, n 149 del IEEE
del M de Defensa de Espaa, coordinado por prof.sor Luis
Joyanes
() Establecer una plataforma espaola

de ciberseguridad y la posibilidad de crear
un Centro Espaol de Ciberseguridad
dependiente de una Direccin nica que
acte de modo centralizado y alineada con
las estrategias europeas emanadas de la
Agenda Digital Europea ()
Agenda Digital Europea
La Comisin Europea declara en su accin
clave 7 de la Agenda Digital Europea:
Presentar medidas, incluyendo iniicativas
legislativas, para combatir los ciberataques
contra los sistemas de informacin .
Establecer una plataforma eurOpea de la
ciberdelincuencia a ms tardar en 2012 y
Examinar a ms tardar en 2011, la
posibilidad de crear un centro europeo de la
ciberdelincuencia

CONCLUSIN FINAL DE CIBERSEGURIDAD.
Cuaderno de Estrategia n 149, enero 2011
Entendemos que el Gobierno de la
Nacin, como por otra parte, ya lo
est haciendo, deber seguir
liderando las estrategias en
ciberseguridad e iniciar una
concienciacin y una campaa de
educacin para promover dicha
ciberseguridad.

MUCHAS GRACIAS
Portal tecnolgico y de conocimiento
(Ed.McGraw-Hill)
www.mhe.es/joyanes
www.joyanes.es
joyanes@gmail.com luis.joyanes@upsam.net
El gora de Latinoamrica
gissic.wordpress.com
Simposium SISOFT : www.sisoft2010.org
www,sisoft2011.org
UNIVERSIDAD PONTIFICIA DE SALAMANCA
Comentarios y preguntas
GRACIAS
www.mhe.es/joyanes
(PORTAL DE CONOCIMIENTO Y TECNOLOGA
de McGraw-Hill)
www.sisoft2010.org
gissic.wordpress.com
luis.joyanes@upsam.net
joyanes@gmail.com
Tno: 34-91-5141700
Facultad de Informtica
Universidad Pontificia de Salamanca campus Madrid
www.upsam.com
BIBLIOGRAFA
CARR, Jeffrey. Cyber Warfare. Sebastopol, USA: OReilly,
2010.
CLARKE, Richard y KNAKE, Robert K. Cyber War: The Next
Threat to National Security and What to Do About It. New
York: Harper Collins, 2010.
FOJN ENRIQUE Y SANZ NGEL. Ciberseguridad en Espaa:
una propuesta para su gestin, Anlisis del Real Instituto
Elcano, ARI N 101/2010
KRUTZ, Ronald y DEAN Vines, Russell. Cloud Security. A
Comprehensive Guide to Secure Cloud Computing.
Indianapolis: Wiley, 2010.

BIBLIOGRAFA
LIBICKI, Martin C. Cyberdeterrence and Cyberwar. Santa
Mnica: RAND Corporation, 2009.
LYNS III, William J, Foreign Affairs, vol. 89, n 5,
septiembre/octubre de 2010, pp. 97

ANEXOS
Bibliografa
Referencias Web
ISO/IEC 17799 (ahora renombrada como ISO 27002,
www.iso.org/ISO/iso_catalogue/catalogue_tc/
catalogue_detail. Htm?csnumber = 50297): Un conjunto
de controles de seguridad (un cdigo de prctica).
ISO/IEC 27001
(www.iso.org/iso/iso_catalogue/catalogue_tc/catalogue_d
etail.htm?csnumber=42103,anteriormente, BS77992)
Una especificacin estndar para un sistema de gestin
de seguridad de informacin (SGSI).
Innovaciones tecnolgicas de impacto en BPM
SISTEMA DE GESTIN DE
SEGURIDAD DE LA INFORMACIN
Los principios rectores en la norma ISO/IEC 27002:2005
son los puntos de partida para la implementacin de
seguridad de la informacin. Se basan en cualquiera de los
requisitos legales o en las mejores prcticas generalmente
aceptadas. Las mediciones basadas en los requisitos legales
son:
La proteccin y la no divulgacin de datos
personales.
Proteccin de la informacin interna.
Proteccin de los derechos de propiedad
intelectual.
Las mejores prcticas mencionadas en la norma incluyen:
La poltica de seguridad de la
informacin.
Asignacin de la responsabilidad de
seguridad de la informacin.
Escalamiento de problemas.
Gestin de la continuidad del negocio.

Cuando se implementa un sistema de gestin de seguridad
de la informacin, se deben considerar varios factores
crticos de xito:
La poltica de seguridad, sus objetivos y actividades
deberan reflejar los objetivos de negocio.
La implementacin debera considerar los aspectos
culturales de la organizacin.
Se requiere un abierto apoyo y el compromiso de la alta
direccin.
Se requiere un conocimiento exhaustivo de los requisitos
de seguridad, evaluacin del riesgo y gestin
del riesgo.
El marketing efectivo de la seguridad debe dirigirse a
todo el personal, incluidos los miembros de la
direccin.
La poltica de seguridad y las medidas de seguridad
deben ser comunicadas a terceros contratados.
Los usuarios deben ser capacitados en forma adecuada.
Se debera disponer de un sistema integral y balanceado
para la medicin del desempeo, que apoye la
mejora continua de suministro de informacin.

presentar un marco de trabajo para el desarrollo de un
Sistema de Gestin de Seguridad de Informacin
especfico para la empresa, que debera consistir de al
menos los siguientes componentes:
La poltica de seguridad.
Organizacin para la seguridad.
Clasificacin de activos y su control.
Seguridad del personal.
Seguridad fsica y ambiental.
Comunicaciones y gestin de operaciones

Comunicaciones y gestin de operaciones.
Control de acceso.
Adquisicin, desarrollo y mantenimiento
de sistemas.
Gestin de la continuidad del negocio.
Cumplimiento (Compliance)

Metodologa de implantacin de S. de la I.
Implementar la tecnologa de seguridad que realmente requiere el
negocio para una adecuada gestin de riesgos y al menos en las
siguientes reas.
Consolidacin y aplicacin homognea de
polticas de seguridad
Automatizacin de controles
Seguridad de Redes y Segmentacin en Zonas
Seguridad de Sistemas Operativos y Bases de
Datos
Seguridad Fsica, incluyendo seguridad de los
centros de datos
Monitoreo de Seguridad y Reportes
Disponibilidad
SISTEMA DE GESTIN DE SEGURIDAD DE
LA INFORMACIN (SGSI)
proporciona una
La adopcin de un SGSI
adecuada gestin de la informacin
generada por los procesos de negocio,
de tal modo que cada proceso tenga disponible la
informacin necesaria en cada momento y con las
caractersticas requeridas.
Se requiere un modelo que defina, controle y
asegure el cumplimiento de los requisitos legales
Tener en cuenta los requisitos de seguridad
expresados por los clientes y las medidas
implantadas para asegurar su cumplimiento.
NECESIDAD DE IMPLANTACIN DE UN SGSI*
Mercados cada vez ms exigentes. Disponer
de certificados ISO 27001, ISO 27002.
Requisito indispensable en muchas contrataciones
Conformidad con recursos legales.
Exigencia de niveles de seguridad de la
informacin por parte de las
Administraciones pblicas y gobiernos que,
en muchas ocasiones, quedan resumidos en la
existencia de un SGSI conforme a las normas ISO
27001 y 27002.
* J. J. BALLESTEROS, Data. Ti, noviembre 2010, pp. 54-
55
Breve recordatorio de consejos de
seguridad en procesos simples
(especialmente para PYMES)
Precaucin en el uso de memorias USB (encriptacin y
software de proteccin de punto final endpoint, rastreo de archivos,
notificacin por correo electrnico, etc, p. e. caso de memorias
Verbatim). Rastrear y gestionar los movimientos de los
USB, restringir el acceso a puertos USB con el fin de evitar
que se copie informacin en sus unidades conectadas
Prevencin de fugas de datos
Integrar proteccin del cliente
Control de dispositivos
Utilizar contraseas eficaces y cambios regulares
No conectarse a redes wifi no seguras
.

Conferenc

Hochgeladen von

Dokumentinformationen

Originaltitel

Copyright

Verfügbare Formate

Dieses Dokument teilen

Dokument teilen oder einbetten

Freigabeoptionen

Stufen Sie dieses Dokument als nützlich ein?

Sind diese Inhalte unangemessen?

Copyright:

Verfügbare Formate

Conferenc

Hochgeladen von

Copyright:

Verfügbare Formate

CIBERSEGURIDAD

Retos y amenazas a la Seguridad Nacional

Prof. Luis Joyanes Aguilar

Prof. Luis Joyanes Aguilar

Cyberwar. The thread from de

Luis Joyanes Aguilar

Las computadoras e Internet han

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Prof. Luis Joyanes Aguilar

Lo mvil (movilidad): Telfonos

Luis Joyanes Aguilar

Tecnologas semnticas que desarrollarn la Web

La estandarizacin HTML 5 que ya convivir con

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Wired (Artculo La era

20 TB (fotos uploaded a Facebook

1 PB (datos procesados por los

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

El Universo Digital crecer del orden

2020 Digital Universe crecer 4,4

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

La ingeniera social y la mezcla de

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

El Segundo estudio sobre el coste anual de los delitos

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Principales modelos de Gobierno TI agrupadas por:

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Prof. Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Luis Joyanes Aguilar

Las infraestructuras crticas de

En relacin con los ciudadanos, el ndice de

Luis Joyanes Aguilar

Luis Joyanes Aguilar

El Centro Criptolgico Nacional