La otra protección: la de infraestructuras críticas
CIBERÁGORA.Marcos Gomez HidalgoSubdirector de ProgramasInteco
En el 2004 el Consejo Europeo aprobó el Programa Europeo de Protección de Infraestructuras Críticas. A partir de éste, España puso en marcha el Plan Nacional de Protección de Infraestructuras, decidiéndose la creación en el 2007 del Centro Nacional para la Protección de las Infraestructuras Críticas (CNPIC), dependiente de la Secretaría de Estado de Seguridad del Ministerio del Interior, como organismo responsable de la dirección, coordinación y supervisión de la protección de infraestructuras críticas nacionales.
La entrada en vigor de la Directiva 2008/114 del Consejo de la Unión Europea sobre la identificación y designación de Infraestructuras Críticas Europeas y la evaluación de la necesidad de mejorar su protección constituye un gran paso en la cooperación en esta materia. Establece que la responsabilidad principal y última de proteger las infraestructuras críticas corresponde a los Estados miembros y a los operadores de las mismas, y determina unas actuaciones que deben incorporarse a las legislaciones nacionales.
En el 2011 han sido publicados la Ley y el Real Decreto de Protección de Infraestructuras Críticas como nuevas herramientas legislativas que ayudarán a aumentar el nivel de seguridad de los servicios esenciales, las infraestructuras críticas y la cadena de operación de dichas infraestructuras.
La CE y la Agenda Digital Europea consideran la protección de las infraestructuras críticas como elemento clave en el mantenimiento del estado de bienestar y la protección de la sociedad debido a la enorme dependencia que la sociedad tiene de las TIC y al aumento de las posibilidades de los ciberdelincuentes y los ciberterroristas de atacar y afectar dichas infraestructuras.
A cargo del CNPIC se encuentra el Catálogo Nacional de Infraestructuras Estratégicas, que agrupa a más de 3.500 infraestructuras críticas de 12 sectores estratégicos: energía, las TIC, sistema financiero y tributario, sanidad, espacio, instalaciones de investigación, alimentación, agua, transportes, industria nuclear, industria química y administración pública.
Durante el 2010 y 2011 se han concentrado los esfuerzos analizar la dependencia que estos sectores tienen de las redes y los sistemas de información, y la componente de seguridad lógica o ciberseguridad que les atañe. Preocupan los ciberataques y ciberamenazas de tipo deliberado, que normalmente provienen del ciberterrorismo. Aún se tienen presentes los ataques a Estonia en el 2007, Lituania o Georgia en el 2008, o los más recientes a centrales nucleares de Irán en 2011, a través del virus Stuxnet, http://cert.inteco.es/virusDetail/Actualidad/Actualidad_Virus/Detalle_Virus/Stuxnet_A).
Estos ataques desataron una gran preocupación y alarma en el seno de la OTAN y la UE, y provocaron la creación en Tallín, Estonia, del Centro de Excelencia de la OTAN para la Ciberdefensa, donde se diseñan estrategias de defensa para todos los países de la Alianza.
El CNPIC creó en el 2010 un grupo de trabajo de cooperación público-privada, GIPIC o Grupo de Trabajo Informal de Protección de las Infraestructuras Críticas, formado por empresas privadas del ámbito de la seguridad de la información y también empresas públicas como Inteco. El rol que ha ejercido Inteco en este GIPIC ha sido el de tercero de confianza para el CNPIC, como apoyo de un organismo del ámbito de la administración y sin intereses comerciales y que pudiera ayudar al CNPIC en la elaboración de los documentos de guías de contenidos mínimos de los Planes de Seguridad del Operador y los Planes de Protección Específica del Operador, como documentos clave para articular el RD de Protección de IICC. Dichos documentos han sido publicados (www.cnpic.es) en septiembre.
En el 2011 se cerró con la realización de los primeros ciberejercicios combinados de la UE con EE. UU. (Homeland Security) para el simulacro de defensa ante incidentes de seguridad en la Red contra infraestructuras críticas, CyberAtlantics, celebrados el 3 y 4 de noviembre con participación de Inteco a través de su Inteco-CERT.
Para Inteco, el 2011 ha sido un año muy activo en materia de protección de las infraestructuras críticas, año que se cierra con la colaboración en la elaboración de nuevas herramientas legislativas, nuevos instrumentos de protección, la realización de simulacros para conocer la salud de nuestras redes y sistemas y la sensación de que aún en períodos tan difíciles como el actual, lo más importante es la fuerza de voluntad para ayudar en una labor estratégica, ineludible, necesaria y con tremendo futuro.