el 14 de agosto de 2003, una gran cantidad de infraestructuras críticas dejaron de funcionar en Estados Unidos y parte de Canadá. La carencia de suministros básicos de agua, electricidad, teléfono, etc… afectaron a 50 millones de personas, algunas de las cuales quedaron varadas en aeropuertos o encerradas en el metro o en ascensores. La versión oficial fueron unos árboles que se habían caído sobre unas líneas de electricidad pero se barajó una teoría diferente: Blaster, como causa o como suma a la causa. Tres días antes, el 11 de agosto de 2003, el gusano Blaster fue lanzado a Internet y su propagación fue increible como ya había ocurrido anteriormente con otro malware. Blaster infectó cientos de miles de ordenadores causando daños valorados en billones de dólares con una expansión similar a la que ya produjo el gusano “Code red”.

Expansión del gusano "Code red"

Según Mikko Hypönen, de F-Secure lo que reportaban los operadores era que las pantallas se quedaban congeladas, que es uno de los efectos de blaster.

Expertos de todo el mundo han estudiado durante años las repercusiones de la conexión a Internet de las Infraestructuras críticas pero recientemente el panorama de las amenazas contra este tipo de infraestructuras ha pasado de ser generalista a convertirse en dirigido. Stuxnet se presentó en Junio de este mismo año pudiendo transmitirse por cualquier cosa que pueda montarse como una unidad en un sistema operativo Windows, pen drives, teléfonos, cualquier cosa. Una vez en el PC, se esconde mediante un rootkit y busca dispersarse por la red a base de romper password débiles de redes compartidas, pero lo que hizo saltar todas las alarmas fue el objetivo para el que fue diseñado stuxnet. Este gusano esta diseñado para, una vez dentro del PC, si este está conectado a un autómata programable Siemens Simatic modificar ciertos parámetros, en caso de no encontrarlo no tendrá ningún efecto, salvo la obvia propagación si le es posible. Dado que un autómata programable puede haber sido programado para diferentes funciones, es posible que aún disponiendo de uno tipo Siemens Simatic, stuxnet no llegara a provocar ningún daño. El cambio en los parámetros es muy específico lo que hace pensar en que los diseñadores buscaban un entorno muy concreto. El tipo de entorno que está buscando se desconoce, así como si ya lo ha localizado o no, pero la amenaza sigue ahí, como espada de damocles, pendiendo sobre aquellas infraestructuras críticas que puedan verse afectadas.

Siemens Simatic

Todo esto además de otros muchos detalles sobre struxnet ponen de relevancia la necesidad de un plan de protección de las infraestructuras críticas, una coordinación y un seguimiento periódico de la diligencia en al gestión de la seguridad de dichas infraestructuras críticas.

Diferentes paises han tratado de dar respuesta a esta amenaza. El presidente Clinton estableció en 1996 la Comisión del Presidente sobre la Protección de la Infraestructura Crítica (PCCIP), con objeto de estudiar las infraestructuras críticas que constituyen los sistemas de apoyo vitales de Estados Unidos, determinar vulnerabilidades y proponer una estrategia para protegerlas. A esta han seguido muchas más iniciativas siempre con la base de una perspectiva holística de la seguridad. A su vez, el 20 de octubre de 2004, la Comisión Europea adoptó una Comunicación sobre protección de las infraestructuras críticas en la lucha contra el terrorismo, que contiene propuestas para mejorar la prevención, preparación y respuesta de Europa frente a atentados terroristas. Con posterioridad, en diciembre de 2004, el Consejo aprobó el PEPIC (Programa europeo de protección de infraestructuras críticas). La entrada en vigor de la Directiva 2008/114 del Consejo de la Unión Europea, de 8 de diciembre de 2008, sobre la identificación y designación de Infraestructuras Críticas Europeas y la evaluación de la necesidad de mejorar su protección, transmitió a los países miembro la responsabilidad de velar por la seguridad de sus infraestructuras críticas. Con objeto de dar cumplimiento a esta directiva se encuentra en redacción el proyecto de real decreto de protección de infraestructuras críticas (que espero poder analizar cuando entre en vigor).

Experiencias pasadas con la LOPD y el ENS (habría que darle más tiempo pero soy bastante pesimista al respecto) nos hacen ver que si no existe un mínimo de requisitos exigibles a las administraciones públicas o al sector privado, que sea auditado, para el que exista un régimen sancionador y lo más importante, que se dispongan los mecanismos de control con los recursos humanos adecuados y suficientes (tanto en número como en capacitación), un BOE sigue siendo papel mojado. El porcentaje de cumplimiento de la LOPD se situa entorno al 20% en PYMES y hablamos de una ley cuya entrada en vigor se produjo en 1999, 11 años atrás, las comparaciones son odiosas, pero también lo es repetir errores.

A quien corresponda; para lo que no hay condena y no se persigue no se cumple. Si nos estamos planteando un plan de protección de infraestructuras críticas, que se definan cuáles son las consecuencias de su incumplimiento, de una actuación no diligente, cuál debe ser la formación mínima de quienes ostenten los diferentes cargos y que se constituyan organismos encargados de supervisar el cumplimiento de todos los deberes y responsabilidades trasladados a los responsables de la seguridad en cada infraestructura crítica. Y lo más importante, que no sólo se definan, que se asignen los recursos humanos necesarios y si señores, que se haga, porque esto puede no ser una fuga de datos personales, puede ser una fuga mucho más peligrosa.

Saludos.

Hola de nuevo,

En la sección “A Fondo” disponéis de un artículo de 21 páginas en formato PDF con todo el contenido de la serie de post CVSS + ISO 27001. Con este documento doy por inaugurada la sección, esperemos que sean muchos más y sobre todo, que sean de vuetro interés.

Enlace directo al Artículo: CVSS + ISO 27001

Salu2!