Nuevo Informe de Buenas Prácticas sobre el Perfil de Cumplimiento en la Declaración de Aplicabilidad en el ENS

• Ciberseguridad
• Comunicados CCN-CERT
• Buenas prácticas

• El documento BP/14 se encuentra en la parte pública del portal del CCN-CERT.
• El informe incluye el procedimiento para definir la declaración de aplicabilidad, la categorización de un sistema, la determinación de los niveles de seguridad por dimensión, de la categoría y de las medidas de aplicación, ejemplos y el perfil de cumplimiento.
• Al final de la publicación se puede consultar un decálogo de recomendaciones a tener en cuenta para determinar una Declaración de Aplicabilidad en el ámbito del Esquema Nacional de Seguridad.

El CERT del Centro Criptológico Nacional (CCN-CERT) ha publicado un nuevo Informe de Buenas Prácticas en la parte pública de su portal. El documento CCN-CERT BP/14 tiene por objetivo explicar el procedimiento para definir la declaración de aplicabilidad en el Esquema Nacional de Seguridad (ENS).

El informe incluye la determinación de la categoría de un sistema (Básica, Media o Alta), la cual se basa en la valoración del impacto que tendría sobre la organización un incidente que afectara a la seguridad de la información o de los sistemas. Asimismo, el documento contempla la determinación de los niveles de seguridad en función de la dimensión.

Otro de los puntos principales es el relativo a la determinación de las medidas de aplicación, necesarias para lograr el cumplimiento de los principios básicos y requisitos mínimos establecidos en el ENS. En este sentido, el Anexo II del Real Decreto 3/2010 recoge la correspondencia entre los niveles de seguridad exigidos en cada dimensión y las medidas de seguridad aplicables.

El informe finaliza con una serie de ejemplos, un apartado dedicado al perfil de cumplimiento, conformado este por un conjunto de medidas de seguridad y su implementación concreta resultado de un análisis de riesgos, así como un decálogo de recomendaciones.

CCN-CERT (05/07/2019)

• CCN-CERT BP/14 Declaración de Aplicacibilidad ENS
• CCN-CERT BP/14 Declaración de Aplicacibilidad ENS Anexos

Abierto el plazo de presentación de propuestas para las XIII Jornadas STIC CCN-CERT

• Evento,
• XIII Jornadas CCNCERT

• Los interesados en participar en el CFP tienen hasta el 7 de octubre para remitir su propuesta.
• En su decimotercera edición y bajo el lema “Comunidad y Confianza. Bases de nuestra Ciberseguridad”, las Jornadas STIC del Centro Criptológico Nacional tendrán lugar los días 11 y 12 de diciembre, en Madrid.
• El evento, entre otros temas, abordará las nuevas amenazas y ataques, ciberespionaje, vulnerabilidades, blockchain, el Esquema Nacional de Seguridad, inteligencia artificial y gestión de crisis.

El CCN-CERT, del Centro Criptológico Nacional (CCN) ha abierto el plazo para la recepción de propuestas de contribución (Call For Papers) a sus XIII Jornadas STIC, cuyo lema este año es “Comunidad y Confianza. Bases de nuestra Ciberseguridad”. El evento tendrá lugar los días 11 y 12 de diciembre, en Madrid (Kinépolis-Ciudad de la Imagen).

La fecha límite para la recepción de propuestas es el 7 de octubre y estas deberán ajustarse a la siguiente temática:

• Nuevas amenazas y ataques
• Ciberespionaje, Amenazas Persistentes Avanzadas (APT) y ataques dirigidos
• Vulnerabilidades
• Detección de malware en equipos cliente
• Blockchain
• Estrategia Nacional de Ciberseguridad
• Cumplimiento Normativo (ENS, Directiva NIS, RGPD, etc.)
• Iniciativas de empresas/organismos para mejorar la capacidad de vigilancia (sistemas corporativos y sistemas de control industrial)
• Casos de éxito: gestión de un ciberataque, implantación de soluciones CCN-CERT, etc.
• Herramientas de ataque y defensa en ciberseguridad
• Machine learning/deep learning aplicado a ciberseguridad
• Innovación tecnológica en ciberseguridad
• Intercambio de Información (modelos de compartición)
• Gestión de Crisis
• Operaciones militares en el ciberespacio
• Redes Operacionales
• Ataque y defensa en sistemas de control industrial
• Gestión de ciberinteligencia

CCN-CERT (04/07/2019)

XIII Jornadas STIC

Actualización de ROCÍO, solución de auditoría de seguridad sobre configuraciones de equipos de comunicaciones

• Comunicados CCN-CERT
• ROCIO

• La solución, desarrollada por el CCN, agiliza el proceso de auditoría de seguridad sobre configuraciones de equipos de comunicaciones: enrutadores y conmutadores Cisco, cortafuegos Fortigate y ahora también conmutadores Aruba y Allied Telesis.
• El alcance de la solución se ampliará a otros fabricantes y equipos de red.
• El análisis del cumplimiento está basado en las normas de seguridad recogidas en las Guías CCN-STIC 641, 643A, 644, 647C y 650.

El Centro Criptológico Nacional ha actualizado la solución ROCÍO, disponible en el portal del CCN-CERT, con el objetivo de facilitar la configuración de los dispositivos de red, enrutadores y conmutadores de Cisco, Aruba y Allied Telesus, así como de los cortafuegos Fortigate, Gracias a ROCÍO, se automatizan las tareas básicas de auditoría, permitiendo que los responsables de seguridad puedan comprobar, de un modo rápido, si su dispositivo está configurado adecuadamente.

El análisis del cumplimiento está basado en las normas de seguridad recogidas en las Guías CCN-STIC. En concreto, en las guías CCN-STIC-641 Seguridad en Routers Cisco, CCN-STIC-643A Seguridad en Equipos de Comunicaciones. Allied Telesis con sistema operativo AW+, CCN-STIC-644 Seguridad en equipos de comunicaciones Switches Cisco, CCN-STIC-647C Seguridad en conmutadores HPE Aruba y CCN-STIC-650 Seguridad en cortafuegos Fortigate. En estos documentos se explica y se ofrece una serie de pautas para conseguir una configuración segura de los equipos de comunicaciones.

Todo ello, basado en la comprobación de una serie de reglas, desarrolladas por el CCN, sobre la configuración y los resultados de ejecutar ciertos comandos en las consolas de los equipos (unas reglas que se actualizan periódicamente conforme los propios fabricantes desarrollan sus sistemas operativos y crean nuevas funcionalidades).

La solución se proporciona como una interfaz web en la que se permite almacenar configuraciones, seleccionar distintos paquetes de reglas y generar informes de cumplimiento.

Para acceder al servicio se requiere instalar un certificado de seguridad en el navegador, que debe solicitarse en el correo de contacto rocio@ccn-cert.cni.es, indicando nombre, teléfono de contacto y organismo solicitante.

ROCÍO es una más de las soluciones propias de auditoría del Centro Criptológico Nacional que, junto con ANA (Automatización y Normalización de Auditorias), PILAR (Análisis y Gestión de Riesgos), CLARA (Auditoría de Cumplimiento ENS/STIC en Sistemas Windows) e INES (Informe de Estado de Seguridad en el ENS), busca facilitar el análisis de equipos y sistemas a todos los responsables de seguridad.

CCN-CERT (03/07/2019)