Centro Criptológico Nacional: quince años fortaleciendo la ciberseguridad en España

• El CCN mantiene un compromiso constante, desde hace 15 años, con la protección y defensa del ciberespacio español.
• Su contribución ha sido fundamental para el desarrollo de la Estrategia de Ciberseguridad Nacional, la implantación del Esquema Nacional de Seguridad (ENS), la creación del CERT Gubernamental, la gestión de los ciberataques al sector público y empresas y organizaciones de interés estratégico, así como la formación del personal experto, la aplicación de políticas y procedimientos y el empleo y promoción de productos y tecnologías de seguridad.
• El desarrollo del Centro de Operaciones de Seguridad de la Administración General del Estado (SOC de la AGE) y la implantación de SOC virtuales para las entidades locales, principales retos para este año.

“La sociedad española demanda unos servicios de inteligencia eficaces, especializados y modernos, capaces de afrontar los nuevos retos del actual escenario nacional e internacional”. Así comienza el Real Decreto 421/2004, de 12 de marzo, por el que se regula el Centro Criptológico Nacional (CCN), adscrito al Centro Nacional de Inteligencia (CNI) y que hoy cumple 15 años.

Desde su creación, el CCN ha ido adecuándose a una realidad cambiante, potenciando las acciones de prevención, detección y respuesta a los ciberataques. Así, en el año 2006 se creó el CCN-CERT o Capacidad de Respuesta a Incidentes de Seguridad con responsabilidad en ciberataques sobre sistemas clasificados y sobre sistemas del sector público y de empresas y organizaciones de interés estratégico para el país (durante 2018 gestionó 38.192 incidentes de seguridad, de los cuales un 4,44% fueron de una peligrosidad muy alta o crítica).

En este mismo sentido, en 2019, se constituyó Centro de Operaciones de Ciberseguridad paa la Administración General del Estado (SOC AGE) y durante este año se lanzarán los SOC virtuales paa las entidades locales.

Importante ha sido y es también, el papel del CCN en el desarrollo, implantación y seguimiento del Esquema Nacional de Seguridad (ENS), tanto en el sector público como en las empresas que proporcionan servicios al mismo; en la formación del personal a través de los Cursos STIC; y en la difusión de normas, instrucciones, guías y recomendaciones (cuenta con más de 330 documentos en este sentido) sobre múltiples aspectos de seguridad.

Asimismo, el CCN constituye el Organismo de Certificación de la seguridad de los productos y sistemas utilizados en su ámbito y tiene la potestad de valorar y acreditar la capacidad de los productos de cifra y de los sistemas que incluyan medios de cifra, para procesar, almacenar o transmitir información de forma segura y velar por el cumplimiento de la normativa relativa a la protección de la información clasificada.

Por último, su Departamento de Productos y Tecnologías, PYTEC, desarrolla un Catálogo de Productos STIC en el que se ofrece un listado actualizado de productos de seguridad TIC con unas garantías contrastadas por el propio CCN.

El trabajo realizado durante estos quince años ha sido prolijo, pero aún son mayores los retos a los que se enfrenta en su día a día para garantizar un ciberespacio más seguro y confiable. Para dar respuesta a este desafío, que precisa de la implicación de todos (sector público, empresas y ciudadanos), el Centro Criptológico Nacional seguirá orientando todos sus esfuerzos, energías y recursos para continuar fortaleciendo la ciberseguridad en España.

CCN-CERT (12/03/2019)

Conseguir talento en ciberseguridad, el gran reto de las organizaciones

• Ciberseguridad
• mujer

• La participación de la mujer es clave para poder cubrir la demanda del sector
• El sector laboral de la ciberseguridad es uno de los más demandados. A pesar de ello, sigue suponiendo un reto para las empresas y el sector público conseguir profesionales cualificados en esta materia.
• Solo el 11% de los profesionales en ciberseguridad son mujeres. No obstante, cada vez es mayor el número de referentes femeninos en este ámbito.

El sector  de la ciberseguridad crecerá hasta alcanzar los 152.000 millones de euros en 2020,  según el informe publicado por Society for Human Resources Management. Con ello, también incrementará la demanda de empleo hasta situarse en los seis (6) millones de puestos de trabajo en todo el mundo para este año 2019.

Con este escenario como telón de fondo, es una realidad que formarse en ciberseguridad puede ser una salida profesional con garantías de empleabilidad. Más si cabe en Europa, dónde se estima que en el año 2022 el sector creará 350.000 empleos más que trabajadores capaces de realizar estas tareas, según se muestra en Global Information Security Workforce Study.

El desempleo en el sector de la ciberseguridad se sitúa en el 1% y crece a un ritmo vertiginoso, muy por encima de los cambios en el tratamiento y análisis de datos y en el Internet de las Cosas (IoT). Pero la demanda y la oferta no crecen al mismo ritmo, y la falta de formación y de perfiles específicos empieza a ser un problema: se necesitan perfiles de administradores de seguridad de red, administradores de sistemas de seguridad, analistas senior de seguridad, arquitectos de seguridad, arquitectos de sistemas de seguridad IT, consultores sénior de seguridad y hacking ético o especialistas en seguridad de la información, entre otros, tal y como ha identificado el Observatorio de Ocupaciones de 2018 desarrollado por el Servicio Público de Empleo Estatal (SEPE).

El papel de la mujer en el sector

El porcentaje de mujeres que trabaja en ciberseguridad es extremadamente bajo y se sitúa en el 11%, tal y como muestra el informe publicado por Women in Cybersecurity. No obstante, cada vez es mayor el número de referentes femeninos en el ámbito de la ciberseguridad, que contribuyen a garantizar el éxito de la industria y de sus organizaciones.  

En las XII Jornadas de la Capacidad de Respuesta a Incidentes del CCN (CCN-CERT), la sala ATENEA-Rooted, creada en honor a la plataforma de desafíos de seguridad del mismo nombre, contó con un  módulo técnico de apertura en el que participaron algunas de las mejores expertas en ciberseguridad.

La relación entre Ciberseguridad y ciberinteligencia es cada vez más patente y, en el entorno actual, la generación de inteligencia tiene cada vez un componente ciber más palpable. En este nuevo contexto, el sector debe adecuarse para poder garantizar el éxito y para ello debe aportar valor añadido a la hora de enfrentarse a nuevos retos.

CCN-CERT (07-03-2019)

Actualizada la Guía sobre taxonomía de referencia para productos de Seguridad TIC

• La Guía CCN-STIC 140 está disponible en la parte pública del portal del CCN-CERT.
• El objetivo de este documento es establecer una taxonomía para la clasificación de productos de Seguridad TIC en torno a diversas categorías y familias, identificando su ámbito y alcance con el objeto de servir como base para la clasificación de productos incluidos en el apartado de Productos Cualificados del CPSTIC, de referencia en el sector público.
• Anexos sobre Diodo de datos, VPN-IPSec, VPN-SSL, Herramientas para la firma electrónica, Dispositivos móviles y Plataformas de confianza, son algunas de las actualizaciones que se han realizado.

El CCN-CERT ha actualizado la Guía CCN-STIC 140. Taxonomía de referencia para productos de Seguridad TIC para el manejo de Información Clasificada. El documento pretende servir como base a la hora de establecer una taxonomía para la clasificación de productos de Seguridad en las Tecnologías de Información y la Comunicación (TIC) que forman parte activa del sistema TIC, y desarrollan su actividad en el contexto operacional de éste, implementando funcionalidades que permiten incrementar el nivel de seguridad del sistema en alguna de sus dimensiones (disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad).

La guía cuenta con la actualización de varios anexos, disponibles también en la parte pública, sobre los siguientes temas: Diodo de datos (D7 RFS-COM.DIO) y Dispositivos móviles (1 RFS-SER.MOV). Además, se han publicado nuevos anexos, como el de VPN-IPSec (D8.A RFS-COM.VPN.IPSec.), VPN-SSL (D8.B RFS-COM.VPN.SSL), Herramientas para la firma electrónica (E5 RFS-INF.FIR.) y Plataformas de confianza (F6 RFS-SER.PLA.).

Para incluir un producto en el catálogo, el CCN tiene en cuenta una serie de criterios como la clasificación de la información que puede manejar (Difusión Limitada, Confidencial, Reservado, Secreto), las características de seguridad del producto, la categoría del sistema de información en el que puede emplearse −según lo definido en el Esquema Nacional de Seguridad (alta, media, básica)−, las certificaciones aportadas o el entorno donde se vaya a emplear, entre otras cuestiones. En función de esta información, se determinan las pruebas o evaluaciones que deberá superar el producto de seguridad TIC correspondiente.

La guía recoge seis categorías (Control de Acceso, Seguridad en la Explotación, Monitorización de la Seguridad, Protección de las Comunicaciones, Protección de las Información y Soportes de Información, Protección de equipos y servicios) y 36 familias, como sistemas operativos, herramientas anti-spam, tarjetas inteligentes, dispositivos biométricos o sistemas Honeypot.

CCN-CERT (06/03/2019)

Guía CCN-STIC 140. Taxonomía de referencia para productos de Seguridad TIC / Anexos