"Aquello que no te mata... debería hacerte más fuerte" ;)

Resumen Semanal desde Twitter (2012-06-17)

17 June 2012

Powered by Twitter Tools

No Comments » | Posted in Uncategorized | del.icio.us |


Resumen Semanal desde Twitter (2012-06-10)

10 June 2012

Powered by Twitter Tools

No Comments » | Posted in Uncategorized | del.icio.us |


Resumen Semanal desde Twitter (2012-06-03)

3 June 2012

Powered by Twitter Tools

No Comments » | Posted in Uncategorized | del.icio.us |


Resumen Semanal desde Twitter (2012-05-27)

27 May 2012

  • Madrugando en lunes abriendo el aeropuerto de Asturias. Primero reuniones en Madrid, por la tarde vuelo a Bruselas #
  • Will you be attending #SMI2G @ Brussels this week? I will. Let me know in order to share some experiences #
  • As interesting as usual @paulsparrows: 1-15 May Cyber Attacks Statistics http://t.co/vGCH5f0H #Infosec #Cyberwar #Cybercrime #
  • Working in my "Today's ICS Security Landscape" article and accompanying figure… Discussion about requirements, relationships and actors… #
  • @a_zielstra: New generation of medical implants vulnerable to hackers http://t.co/DIFnGX0Q #
  • I've just arrived to Brussels. See you tomorrow at #SMI2G event. #
  • Very interesting doc! @christiaancolen: The Digital Watermarking Techniques Applied to Smart Grid Security http://t.co/HY7ubtTL #
  • Oops! @Anon_Bree: Thinking of adding #SCADA #039;s to the target list when #LulzTeam kicks off #CerialHackingSpr33 at the start of the summer. #
  • You should watch it… @floorter: SCADA forensics http://t.co/w6SfDUIV @ntisec @okoeroo #
  • Acabo de publicar "Panorama Actual de la Ciberseguridad Industrial: Los Amigos se Escogen, la Familia No": http://t.co/LkG56v8W #
  • ¿Aún no conoces ciberseguridad.es? Es una iniciativa de unos cuantos amigos en la que iremos publicando artículos de interés. Visítanos! #
  • Lot of networking and good opportunities for collaborating at #SMI2G event in Brussels #
  • Congrats @chrisblask !! Good team! @amarshall_ASI: Former DHS Director Sean Paul McGurk Joins ICS ISAC http://t.co/YAEfmznC #
  • +1000 @DivisionSeven: Protecting SCADA Systems with Air Gaps is a Myth http://t.co/izep9ZTW #
  • @SecureEB: #security ICS-CERT: From the Trenches – A Tabletop Exercise http://t.co/pCMCgWWx #infosec #
  • Worth reading @PatrickCMiller: Isolated Systems Need Love Too http://t.co/aiw3ESew #
  • Absolutely!! +1000 @mortman: Everyone in InfoSec should spend time embedded in Engineering and Operations #
  • Thx! @PatrickCMiller: Presentations available – ICSJWG 2012 Spring Conference in Savannah, Georgia, USA -May 7-10, 2012 http://t.co/7PHT066x #
  • Very interesting chronicle @NESCOtweet: NESCOBOT: Project Basecamp: Tempest in a Teapot #NESCOTweet http://t.co/nI9dgVa5 #
  • Reviewing the 40 pages general specification for their PLCs of a big international engineering company: no security at all! #
  • Getting up early in the morning in Brussels. Now Madrid and later Asturias. Week of no sleeping and lot of work and traveling #
  • Next September I'll be in Qatar presenting my vision of the ICS Security Arena and chairing an interesting event for Energy & Utilities #
  • "Data Privacy and Smart Meters Fact Sheet": http://t.co/JJ9y7hun via @sgsblog #
  • Enhorabuena amigo!! #cafependiente on 😉 RT @daboblog: 10 años de http://t.co/C03rmiej. El principio de todo… http://t.co/XzAXR4in #
  • @daboblog Claro que sí! Tengo unas semanitas movidas. Julio será más tranquilo (espero ;)) in reply to daboblog #
  • Qué importante es conocer la historia de una organización, su cultura e idiosincrasia, para entender su situación en Ciberseguridad… #
  • Suena realmente interesante! RT @PilarJerico: Un día de mucho aprendizaje trabajando en el perfil de liderazgo del oficial del Estado Mayor #
  • En Junio 2 alumnos de la Univ. de Oviedo pasarán a formar parte del área de Ciberseguridad de Intermark Tecnologías… (1/2) #
  • …asistirán al Curso Cibseg. Industrial y se formarán con nosotros unos meses camino a su incorporación oficial #solopuedequedar1 (2/2) #
  • Alba, Aarón, sois bienvenidos desde ya y esperamos que tanto vosotros como nosotros nos divirtamos mucho los próximos meses!! #AporEllo ! #
  • Worth reading! RT @pcs_roadmap_nl: ICS-CERT has released ICS-TIP-12-146-01-"Cyber Intrusion Mitigation Strategies" http://t.co/Eq5zYaGY #
  • Increasing awareness… RT @automation_com: Schneider Electric holds Upstream Oil & Gas SCADA Roadshow http://t.co/LDLuufwm #
  • @mmMonterrubio Gracias Manuel. Eso lo solucionamos cuando quieras 😉 en un par de semanas si te apetece in reply to mmMonterrubio #
  • Maravilloso fin de semana disfrutando en familia de mis dos hijas 🙂 #TrabajarParaVivir no #VivirParaTrabajar #

Powered by Twitter Tools

No Comments » | Posted in Uncategorized | del.icio.us |


Panorama Actual de la Ciberseguridad Industrial: Los Amigos se Escogen, la Familia No

21 May 2012

[Nota: He publicado este artículo originalmente en el site www.ciberseguridad.es en el que también colaboro. No dejes de visitarlo periódicamente puesto que unos cuantos colegas y amigos y yo iremos publicando semanalmente contenidos de interés sobre Ciberseguridad]

 

Muchos somos los que dedicamos buena parte de nuestra vida profesional (y posiblemente de la personal) a intentar mejorar el nivel de protección de las infraestructuras industriales (y entre ellas las Infraestructuras Críticas), y muchos somos los que en ocasiones nos vemos frustrados al encontrarnos con una aparente falta de comprensión de los riesgos asumidos o la ausencia casi total de preocupación a nivel directivo de la necesidad de incorporar los requisitos mínimos de Ciberseguridad en aspectos tan variopintos en su dimensión como pequeños dispositivos industriales, arquitecturas de redes de control o proyectos de gran envergadura de infraestructuras transnacionales, especialmente a este lado del Atlántico.

¿Cuál es la causa de este aparente retraso en la conciencia situacional en lo que a Ciberseguridad Industrial se refiere? ¿Dónde podemos incidir par intentar promover cambios necesarios? En este artículo, presentaremos lo que a nuestro juicio representa el panorama actual de la Ciberseguridad Industrial hoy, describiendo los principales actores, sus relaciones y cómo éstas inciden o pueden incidir como desencadenadores de los cambios necesarios hacia una protección adecuada de nuestras instalaciones industriales, en lo que a su Ciberseguridad se refiere.

Los Actores

Comencemos pues, presentando los actores de esta representación en la que, curiosamente, nadie parece querer ser protagonista (al menos por el momento):

  • El Negocio, el Mercado, los Clientes. Debemos comenzar obviamente por aquellos que rigen los principios de nuestras organizaciones y que suponen el principal fin y objetivo de las mismas. Toda actividad desarrollada por una organización tendrá su origen típicamente en una necesidad o requerimiento (explícito o implícito) de sus clientes, usuarios de sus productos o servicios, del conjunto de los mismos, el mercado objetivo. En una organización podrán existir actividades complementarias no asociadas directamente con esos requerimientos,  llamémosles funcionales, del negocio, pero estas actividades complementarias estarán al fin, total y claramente ligadas a la mejora de la eficiencia, eficacia y calidad de los servicios finales prestados al negocio. Clientes finales, mercado o negocio de una empresa energética, por ejemplo, serán sus usuarios (residenciales y corporativos), el mercado existente y sus competidores, etc.
  • Las Organizaciones Industriales, las Infraestructuras Críticas. Son los generadores de los servicios a los clientes, al negocio, al mercado. Podríamos aquí diferenciar entre propietarios y operadores de infraestructuras, pero por sencillez, nos limitaremos a identificarlos como los propietarios de las infraestructuras industriales necesarias para la elaboración o transformación de los productos o servicios necesarios para cubrir las necesidades de su mercado objetivo. Estas organizaciones podrán contar con diversos procesos industriales que supondrán el núcleo de su negocio, y que vendrán apoyados por una serie de procesos corporativos de soporte necesarios para poder ejecutar esos procesos, llamemos primarios. Organizaciones Industriales podrían ser una empresa eléctrica, una planta de generación o una subestación eléctrica, dependiendo del nivel en que queramos manejarnos, pero también lo serían una acería, una empresa de tratamiento de aguas o una terminal portuaria de descarga de mineral, por ejemplo. Cabe hacer especial mención aquí a las llamadas Infraestructuras Críticas, que no son otras que aquellas identificadas a nivel nacional o transnacional como esenciales para mantener el modo de vida de la economía y ciudadanos de un país en condiciones normales.
  • Las Ingenierías, los Integradores. Las organizaciones industriales o las infraestructuras críticas son especialistas y tienen el conocimiento más alto de su proceso industrial, pero no tienen por qué ser (y habitualmente no lo son) especialistas en la construcción, implantación y puesta en marcha de las infraestructuras necesarias para le ejecución de ese proceso (y aún siéndolo, desde luego no es uno de sus procesos primarios). Por ello cuando una organización industrial necesita construir una nueva planta de tratamiento, generación o fabricación de productos o servicios,  encarga esta labor a organizaciones especialistas en estas actividades: son las ingenierías, habitualmente cuando se trata de una instalación o infraestructura de gran tamaño, y/o los integradores cuando se trata de algo más acotado. Estas ingenierías e integradores son los mayores conocedores de los requerimientos necesarios para la puesta en marcha de un proceso o instalación industrial. Este conocimiento, junto con la capacidad de ejecutar de forma excelente los proyectos, supone su valor diferencial en el mercado ante sus clientes y sus competidores y en muchas ocasiones se consigue a lo largo del tiempo en base a la participación en numerosos proyectos similares y el alto conocimiento de los requerimientos (funcionales y no funcionales) transmitidos por los grandes conocedores del proceso primario, las organizaciones industriales, ya comentadas, y por sus propios expertos especialistas en ese proceso. Podríamos considerar una ingeniería o integrador a aquella organización con un conocimiento muy avanzado de un proceso industrial y de los requerimientos y actividades a todos los niveles para la construcción de forma excelente de una infraestructura que le de soporte, integrando distintas disciplinas, expertos, organizaciones, metodologías y tecnologías.
  • Los Fabricantes. Son las organizaciones y compañías responsables de la fabricación y soporte de las tecnologías, productos y dispositivos, industriales y no industriales, necesarios para la construcción y operación de un proceso industrial. Existen fabricantes de nicho dedicados exclusivamente a la fabricación y provisión de un determinado dispositivo industrial para un determinado proceso, y otros mucho más “generalistas” (podríamos hablar incluso, “de amplio espectro”), no en su aproximación, sino en su alcance, que cuentan con productos en muy distintos sectores y niveles del ámbito industrial. Aquí podríamos identificar al fabricante de una determinada tecnología de Smart Meters (contadores ingeligentes), de una determinada RTU o al fabricante especialista en un determinado proceso      industrial de transformación que ofrece una solución llave en mano desde los niveles más bajos de instrumentación y automatización a los más altos de seguimiento y control de la producción, etc. Existen también fabricantes no exclusivos del ámbito industrial, cuyos productos y soluciones son empleados en las instalaciones industriales. Podríamos identificar aquí por ejemplo los fabricantes del ámbito de las Tecnologías de la Información y las Comunicaciones, tanto en la parte de hardware como en la de software, que sirven como base para el desarrollo de soluciones de control industrial más elaboradas (por cierto, cada días más presentes en cualquier organización y proceso industrial).
  • Los Gobiernos y Entes Reguladores. Son organismos típicamente públicos, nacionales o transnacionales, que definen y marcan las “reglas de operación” (podríamos llamar “reglas del juego”) a las que deben sujetarse de forma obligatoria, típicamente y en primer lugar, las organizaciones industriales, pero también el mercado objetivo de esas organizaciones industriales y en último término, el resto de actores involucrados en el mismo (como fabricantes y en menos medida al menos directamente, ingenierías o integradores). Estas reglas de operación incluirán habitualmente aspectos funcionales, económicos, comerciales, de competencia, etc. pero en ocasiones podrán incluir también aspectos no funcionales (como medidas de protección, etc.). Podemos considerar Entes Reguladores o Gobiernos, el propio gobierno nacional de un país, pero también organismos dependientes del mismo, como Comisiones Nacionales de Energía, organismos reguladores sectoriales o por el contrario, organizaciones transnacionales como por ejemplo, la Comisión Europea. Debemos enfatizar aquí nuevamente que las “reglas de operación” que emiten o definen estas entidades son de obligado cumplimiento para los actores involucrados y su no cumplimiento pueden suponer sanciones de gran impacto para la organización industrial o directamente la imposibilidad de operación en un determinado mercado o país.
  • Las Asociaciones y Sociedades Sectoriales o Generales creadoras e impulsoras de Buenas Prácticas, los Organismos de Estandarización y las Consultoras de Procesos Complementarios a los Industriales (como aquellas pertenecientes al ámbito TIC y de la Ciberseguridad). Podemos encuadrar en este grupo más general todas aquellas organizaciones que definen y crean metodologías, guías de buenas prácticas, estándares y aproximaciones a aspectos críticos y necesarios para la construcción, ejecución, operación y/o soporte de los procesos industriales primarios, pero que no suponen en sí requerimientos funcionales de los mismos. Este tipo de organizaciones (con o sin ánimo de lucro) realizan una labor de difusión y evangelización para la mejora sistémica de los procesos industriales, haciendo especial hincapié en aquellos procesos de soporte que suponen su mayor especialización. Mencionaríamos aquí Sociedades y Asociaciones  que soportan estándares y metodologías de implantación y operación de programas de ciberseguridad industrial por      ejemplo, o compañías que ofrecen servicios en ámbitos innovadores (o no tanto), como la Ciberseguridad Industrial o la Protección de      Infraestructuras Críticas. Existe una diferencia importante que debemos destacar en este punto, y es que las aproximaciones, buenas prácticas, estándares, etc. defendidas por estas organizaciones son de adopción voluntaria, al contrario que los requerimientos o regulaciones publicadas por los Gobiernos y Entes Reguladores, que son de obligado cumplimiento.

Presentados ya de forma general todos los actores (si bien podríamos haber realizado una clasificación con mucha mayor  granularidad pero que, en el punto en que nos encontramos en el panorama de la Ciberseguridad Industrial hoy, aun no aportaría demasiado al lector), llega el momento de esbozar las relaciones existentes entre los mismos que creemos que pueden ser determinantes para la evolución del panorama que estamos describiendo en este artículo. Por razones de espacio nos limitaremos a las relaciones de “establecimiento de requerimientos” entre los actores, si bien existen relaciones adicionales comerciales, políticas, regionales, etc. que también influirán, sin duda, en el discurrir de este paisaje que estamos tratando de describir.

Panorama Actual Ciberseguridad Industrial

¿Por qué las relaciones de “establecimiento de requerimientos” son tan importantes?

Se venía diciendo tradicionalmente que “el papel lo soporta todo”, aunque en tiempos más recientes esto se ha convertido en que “las presentaciones electrónicas lo soportan todo” (por no hacer publicidad a un conocido software ofimático de presentaciones ;)). No podemos estar más de acuerdo con esta afirmación. Podemos escudriñar la red en búsqueda de aproximaciones y metodologías para incrementar el nivel de concienciación en ciberseguridad de una organización y encontraremos no pocos resultados, muchos de ellos de gran interés. Si hacemos lo mismo con análisis y resultados de los impactos sociales, económicos, etc. de los altos niveles riesgo en organizaciones industriales e infraestructuras críticas, seremos capaces de construir un dossier muy completo. Pero la información va más allá, y ahora ya podemos pasarnos horas leyendo de lo inminente de la posibilidad de una ciberguerra, de cómo los primeros objetivos serían estas organizaciones industriales e infraestructuras críticas y en cómo las principales naciones del mundo están “moviendo ficha” con la creación de cuerpos de operaciones (defensivas y ofensivas) en el ciberespacio y la aprobación de estrategias nacionales de ciberseguridad (que en algunos casos hacen referencia explícita al ámbito industrial).

¿Por qué existiendo esta cantidad ingente de argumentos y recursos sobre el tema hoy en día aún no estamos viendo cambios significativos en el panorama de la ciberseguridad industrial y en la actitud de los actores implicados de forma general en nuestro país o en toda Europa?

La respuesta es sencilla y compleja a la vez: porque los principales dinamizadores y “desencadenadores” de actividades para las organizaciones industriales e infraestructuras críticas (los clientes, el negocio, los entes reguladores y gobiernos) aún no tienen de forma general una conciencia situacional (situational awareness) en lo que a la Ciberseguridad Industrial se refiere y por tanto, no existe una exigencia hacia las organizaciones industriales (desde el negocio o desde el ente regulador) de la inclusión de la Ciberseguridad Industrial, de la protección de estos entornos, como un requisito ineludible en cualquier infraestructura.

Y es que la exigencia de la inclusión de requisitos de ciberseguridad en todos los niveles de la organización industrial, desde la Infraestructura Global, la organización, los procesos, pasando por la tecnología y llegando hasta el último dispositivo industrial, es algo totalmente necesario, pero no ocurrirá si esa cadena de relaciones (de establecimiento de requerimientos) no comienza con un primer eslabón.

La Cadena de Establecimiento de Requerimientos de Ciberseguridad Industrial

En la figura que acompaña a este artículo, hemos querido reflejar gráficamente las relaciones (y dependencias) de establecimiento de requerimientos de Ciberseguridad (representadas con fechas de colores), que existen en el panorama actual. Intentaremos realizar una descripción somera a continuación que permita al lector realizar inicialmente su propio análisis de las causas de la situación actual y posibles iniciativas para solventarla, si bien en próximas entregas iremos compartiendo distintas iniciativas que creemos interesantes.

Probablemente lo primero que llama la atención en la figura es que existe un actor, las Asociaciones y Sociedades Sectoriales, etc. que no son origen ni destino de ninguna relación. Esto es debido a que estos actores son los principales agentes activos de la difusión, mejora de la concienciación y formación del resto de actores del panorama, pero esta relación no se basa en los requerimientos o la obligatoriedad, sino en la influencia. Eso es lo que intentan representar los círculos concéntricos semejando una onda que se extiende: la influencia que estos actores, Asociaciones, Sociedades Sectoriales impulsoras de Buenas Prácticas, Organismos de Estandarización, Consultoras TIC y de Ciberseguridad, tienen y pueden lograr en el resto de actores. Su influencia en la conciencia situacional del resto de actores en este ámbito, puede ser determinante para establecer el primer eslabón de la cadena.

Si ahora nos fijamos en el caso opuesto, es decir, cuál es el actor qué más relaciones de dependencia tiene, aquel que puede tener mayores requerimientos de Ciberseguridad, veremos claramente que son los Fabricantes. ¿Cuál es la causa de tal exigencia? Son el último eslabón de la cadena y el más cercano al campo. Las Organizaciones Industriales pueden y deben establecer requerimientos de ciberseguridad a los fabricantes de todos los elementos que forman su infraestructura, ya que deben asegurar la protección individual de cada elemento, pero además también pueden y deben establecer requerimientos de seguridad de la infraestructura global, del proceso industrial automatizado que se compone de esos elementos. Para ello definirán requerimientos adicionales al otro actor implicado: las Ingenierías e Integradores.  Es evidente que estas nuevas exigencias a las Ingenierías e Integradores se trasformarán y trasladarán de forma inmediata como nuevos requerimientos desde las Ingenierías a los Fabricantes.

Si el marco teórico es tan claro y obvio, ¿por qué los Fabricantes aún no están incluyendo o no han incluido aún los requisitos mínimos de ciberseguridad en sus productos? Porque aquí no estamos tratando otras relaciones existentes entre todos estos actores: las comerciales. Si un fabricante incorpora nuevos requisitos a sus productos, eso cambiará sus procesos de diseño y producción, probablemente los propios sistemas deban cambiarse, deberá incorporar materiales de mayor calidad y por tanto el coste final del dispositivo unitario se habrá incrementado.

El mismo razonamiento podemos aplicarlo a los servicios  y proyectos ofrecidos por las Ingenierías e Integradores: la formación de su personal o contratación o subcontratación de terceras partes, la modificación de sus procesos de diseño y ejecución, etc. tendrán un coste que, inicialmente, repercutirán a su cliente, las Organizaciones Industriales y, ¿cuál será el primer resultado percibido por esas Organizaciones? El incremento inmediato de sus proyectos de construcción, implantación, operación y mantenimiento de los procesos principales para su negocio, lo que lógicamente podría (o  debería) tener su traslación al actor principal: el Negocio, el Mercado y los Clientes.

Este incremento de coste, en un mercado de competencia y sin la adecuada conciencia situacional de la Ciberseguridad en el Negocio, el Mercado y los Clientes (para nosotros, el actor principal sin lugar a dudas), posicionaría teóricamente a esa organización en desventaja con sus competidores, que aún sin incorporar esos requisitos necesarios (pero que el Mercado aún no valora), estaría ofreciendo aparentemente los mismos servicios a un importe menor.

He aquí la razón por la que este escenario teórico no está ocurriendo en la realidad: las Organizaciones Industriales, salvo algunas excepciones con una conciencia situacional elevada, aún no están estableciendo esos requerimientos a sus
proveedores: ingenierías, integradores y fabricantes, y por tanto ninguno de estos dos actores (de forma general) están incluyendo proactivamente las medidas de ciberseguridad mínimas necesarias en sus productos y servicios.

¿Qué tiene que ocurrir para que comiencen a establecerse esos requerimientos de Ciberseguridad Industrial?

Nuevamente, si revisamos la figura en detalle (imprescindible para un seguimiento adecuado de la lectura de este artículo :)), veremos que todo pasa porque a las Organizaciones Industriales les sean establecidos requerimientos de ciberseguridad por alguno de los dos actores desencadenantes (o por ambos): el Negocio, el Mercado, los Clientes finales y los Gobiernos y/o Entes Reguladores.

Servirá con que el Negocio establezca estos requisitos como una necesidad (flecha roja en la figura), para que la cadena de requerimientos se establezca hasta el último eslabón, con la diferencia en este caso que los costes habrán sido analizados e incluidos desde la misma concepción del servicio y habrán sido analizadas medidas compensadoras en caso de existir incrementos de coste hacia los Clientes Finales, tales como obtención de recursos adicionales (subvenciones, ayudas, etc.), incentivación del consumo de determinados servicios o cualquier otra medida que pueda equilibrar las cuentas de resultados tras introducir estos nuevos parámetros y costes.

Estamos llegando ya al origen (a uno de los orígenes) de la cuestión que estamos tratando: ¿Cómo conseguir que el Negocio establezca esos requerimientos de Ciberseguridad en sus servicios? La única forma, desde nuestro punto de vista, es el incremento de la conciencia situacional en lo que a la Ciberseguridad se refiere, entendiendo ahora Ciberseguridad como un concepto más amplio que incluye la privacidad, intimidad, protección de infraestructuras y servicios esenciales, etc. (no es el lugar aquí para definir la Ciberseguridad como concepto, ya que alguno de nuestros compañeros lo hará próximamente).

Del mismo modo que cada vez más los ciudadanos, los clientes finales, el negocio, no concibe un servicio que no garantice su privacidad, derecho a la intimidad, etc., con una conciencia situacional adecuada, no concebirá tampoco un servicio que ponga en riesgo todos esos puntos, y otros de mayor impacto, como su seguridad como ciudadano, la continuidad de su servicio, etc. o en un plano más amplio, incluso la seguridad de su nación.

Finalmente, nos queda por analizar otro de los actores importantes y el que tiene más relaciones como origen de establecimiento de requisitos: el Gobierno o Ente Regulador. Sin lugar a dudas es éste el otro principal dinamizador y “desencadenador” de los requisitos de Ciberseguridad Industrial, y lo es por tres razones evidentes:

  1. Es el que mayor influencia ejerce ante el resto de los actores del panorama (incluyendo el Mercado, el Negocio, las Organizaciones Industriales, los Fabricantes…).
  2. Esta influencia se puede  materializar en realidad en la obligatoriedad del cumplimiento de  regulaciones en esa línea que establezcan esas medidas y requisitos básicos de Ciberseguridad Industrial que tanto un servicio público, esencial, crítico, como una infraestructuras industrial (si es crítica aún más), o un determinado producto homologado o certificado para su funcionamiento en el país, debe cumplir.
  3. La falta de protección adecuada de todos esos actores, sus infraestructuras, productos y servicios pueden tener un impacto global mucho mayor que los distintos impactos individuales que puedan analizarse debido a las especiales características de este tipo de infraestructuras, y a la interdependencia funcional y a veces regional, que muchas pueden tener.

Todo ello hace que bajo nuestro punto de vista, el Gobierno o Ente Regulador debe desempeñar un papel y rol clave en la construcción de esta cadena de valor, estableciendo una serie de líneas base o mínimos que cualquier servicio, producto o infraestructura de los distintos actores deba cumplir para su normal operación en un determinado territorio o nación.

Como comentábamos al principio de este punto, los requerimientos de ciberseguridad definidos por alguno de estos dos actores principales (el Negocio, el Mercado, los Clientes finales y los Gobiernos y/o Entes Reguladores) o por ambos, sería suficiente para que ese escenario teórico que presentábamos se materialice en la realidad y la protección de nuestros entornos industriales cuente con los niveles que su criticidad en realidad requieren.

Conclusiones

Durante todo este artículo hemos estado hablando de actores, relaciones, escenarios, panoramas, etc. aunque el título del mismo hacía referencia a la familia y los amigos. Habitualmente los conceptos se recuerdan y asimilan mejor cuando se establecen analogías con situaciones, ubicaciones o experiencias cercanas a la persona. Por ello, nos gustaría finalizar el artículo realizando una analogía con una situación que con total probabilidad, al lector le resulte familiar.

El panorama presentado aquí, como ya se ha indicado, no supondría problema alguno si desde su origen se hubiese concebido con todas sus características en la creación y elección de los distintos actores, en las características de las distintas relaciones existentes entre los mismos, etc. Sin embargo, no se parte de una hoja en blanco en la que dibujar los elementos que nos gusten y nos encajen y en la que establecer las relaciones que más nos gusten o convengan, como podemos hacer con nuestros amigos, con nuestras amistades, seleccionando aquellos más afines y con un trato más fácil y estableciendo las relaciones óptimas entre nosotros.

El panorama actual de la Ciberseguridad Industrial es una familia, y como tal no podemos escogerla, nos ha venido dada. Cada miembro de la familia tiene sus características, idiosincrasias, relaciones existentes (oficiales y extraoficiales) y el secreto está en la convivencia, comprensión y la complementariedad y suma de fuerzas en pro de un objetivo común (en este caso la mejora general de la Ciberseguridad y Protección de nuestras Infraestructuras Industriales y sus servicios asociados).

Sin embargo en todo familia hace falta un patriarca o matriarca que, en momentos de conflicto o discusión, establezca unas reglas que todos deben seguir de forma obligatoria, al menos hasta que los miembros de la familia tenga la suficiente madurez.

Tal puede ser ahora el escenario de la Ciberseguridad Industrial: contamos con actores adolescentes, otros niños y probablemente algún bebé que requieren para su entendimiento del consejo (o reprimenda) de un adulto si no se quiere que los problemas familiares trasciendan a niveles no aceptables para una convivencia.

Dejamos al lector la entretenida actividad de ubicación de cada uno de los actores en el nivel de “madurez familiar” que crea que le corresponde, así como las posibles iniciativas para mejorar esa conciencia situacional que promueva el entendimiento familiar y confiamos, por nuestro propio bien, que de aquí a un tiempo podamos estar en disposición de decir algo así como “somos familia, y sin embargo amigos” 🙂

No Comments » | Posted in Ciberseguridad Industrial, Continuidad de Negocio, Documentos, Infraestructuras Críticas, Mercado, Normativas, Profesion, Sociedad, Tecnologias | del.icio.us |


Resumen Semanal desde Twitter (2012-05-20)

20 May 2012

Powered by Twitter Tools

No Comments » | Posted in Uncategorized | del.icio.us |


Resumen Semanal desde Twitter (2012-05-13)

13 May 2012

Powered by Twitter Tools

No Comments » | Posted in Uncategorized | del.icio.us |


Resumen Semanal desde Twitter (2012-05-06)

6 May 2012

Powered by Twitter Tools

No Comments » | Posted in Uncategorized | del.icio.us |


Resumen Semanal desde Twitter (2012-04-29)

29 April 2012

  • Good summary @aramosf: The following is a breakdown and list of webinars and lectures by topic and grouping: http://t.co/R1bE018y #
  • Even in a country where Internet access is not available, ICS Security is an important issue. Good opportunity to include Sec-by-design #
  • I wrote about it years ago… @ZeroDayLab:TV-based botnets? DDoS attacks on your fridge?More plausible than you think: http://t.co/qNms0C9q #
  • Abierta la Inscripción para los Cursos de Ciberseguridad Industrial y Protección de Infraestructuras Críticas de Gijón y Madrid de Junio!! #
  • Cursos Ciberseg. Industrial Gijón (12 al 14 Junio) y Madrid (20 al 22 Junio). Inscripción aquí: http://t.co/vLfh5ShF Reserva tu plaza ya! #
  • Cursos Ciberseg. Industrial: en esta convocatoria se entrega como parte del curso Disco Duro Externo de 500Gb cargado de material #
  • Gracias Mariano, a ver si podemos orgnizar alguno próximamente por ahí… te animarías?RT @mmdelrio: @InfosecManBlog mucha suerte con eso! #
  • Mmm @Jason_Healey: Iran oil ministry hit: Viper "virus…attempted to delete data on oil ministry servers" #cyber #Iran http://t.co/avYaMN2V #
  • RT @Cybercrime_IE: Govt’s cyber security plan ready for activation (EN) | Hindustan Times http://t.co/92SId9B3 #
  • Arriving to Madrid for some interesting meetings today. Tomorrow, time to fly to London for the SCADA & Smart Grid Cyber Security Summit #
  • Very interesting but too far from here 🙁 @suffert: 11th Annual National SCADA conference http://t.co/zDpA1yo4 #
  • Human factor in the industrial arena… @InfosecIsland: ICS-CERT: Social Engineering and SCADA Security http://t.co/2BHIuY6W #
  • Worth reading @a_zielstra: Eye on Security: Integrating Physical and Cyber Security http://t.co/5xJotA9k #
  • @ACPYourChannel Yo voy al SCADA Security Summit, aunque es posible que pase por infosec el jueves por la mañana. Estamos en contacto ok? in reply to ACPYourChannel #
  • Ready, steady,…go! @digitalbond: Ruggedcom Backdoor Revealed – Fragile http://t.co/m7bHQnCS this couldn't wait for the Friday News & Notes #
  • @a_zielstra I'll see you this week in London 😉 in reply to a_zielstra #
  • PLC: Is PLC a Dirty Word Now?: http://t.co/A8btiyZF #
  • +1000 @ChrisPoulin: Hacks move from organizations to humans. I've been talking about this for years. http://t.co/irJZxMee #
  • It's cloudy, raining and cold in London. It's like I haven't left my loved Asturias in the north of Spain 😉 See you here these days… #
  • "Why SCADA firewalls need to be Stateful (part 2 of 3)" http://t.co/ZfUrm1pL via @tofinosecurity #
  • A little bit late, but finally, I am at the SCADA & Smart Grid Cyber Security Summit in London #
  • "Some companies don't know the assets they have in the field" <- I strongly agree #
  • Althought the problem of SCADA vulnerabilities is technical, the solution needs a multidisciplinary approach. Solution is NOT only technical #
  • Nice to meet in person with my colleagues @DaveMarcus and @ElyoenaiEM #
  • Nuno Pereira from EdP, presenting the TClouds Project: A Smart Grid in TClouds…. #
  • Really good! RT @_joviann_: ICS-CERT: What does a Cyber Attack Feel Like? http://t.co/z78Clj5I #security #
  • For your (and our) own safety & security, from now on, please build security into your ICSystems from day one,rather than as an afterthought #
  • "It's important that your ICS Security strategy fits your organization business objectives" <- Absolutely!! #
  • Interesting… RT @mikko: "Hackers Wanted" – Documentary film from 2008: http://t.co/18BwxPns [video, 1h 26m 36s] #
  • Good speakers… RT @NESCOtweet: NESCO Webinar: How Secure is the Smart Grid http://t.co/d9VIK62E #EnergySec #nCircle #SmartGrid #
  • 300 millons smart meters!!! Security??? @PikeResearch: China’s Smart Grid Spearhead: China intends to install over… http://t.co/aSqQCT7F #
  • Next time take me into account 😉 @a_zielstra: One can really enjoy oneself with a guitar on the boat after a few wines 😉 #London #
  • Empezamos a recibir inscripciones para el Curso de Ciberseguridad Industrial y Prot. de Infraestructuras Criticas. No te quedes sin plaza! #
  • In the beginning of day 2 of SCADA & Smart Grid Cyber Security Summit in London talking about the subversion in communication channels #
  • Regarding value of data managed & their security,evolution is needed across all existing and new stakeholder roles in the energy value chain #
  • Igor Nai presenting an interesting approach about Critical State Based Intrusion Detection Technique for SCADA Systems. I like it. #
  • "No SCADA Systems were hurt in the preparation of this presentation", good starting point from @DaveMarcus (McAfee) 😉 #
  • @JuanDispal Cuidado con las celebraciones!! ;)) Somos muy dados a celebrar comiendo y bebiendo X-D (jabalí, miel, venera… :)) in reply to JuanDispal #
  • @DaveMarcus talking about OSINT, Shodan, Pastebin and mentioning @ntisec (allways present) 😉 Good presentation #
  • Wow! RT @EADSpress: #EADS Cassidian announce the creation of “Cassidian #CyberSecurity : http://t.co/VIboNMRe #
  • @proyectapc @JuanDispal De mi boca solo saldrán elogios de Boal (aunque sea Gijonudo ;)) Nos vemos en El Prado un día de estos ;)) in reply to proyectapc #
  • "Secure Information Management is key to Renewable Energy Sector success" <- I strongly agree #
  • @proyectapc @juandispal El siguiente fin de semana estaré por ahí, así que ya nos hablamos (este estoy en Londres :-P) 🙂 in reply to proyectapc #
  • "The key to competitive advantage in today's market is Integration, enabling various plant entities, …" 1/2 #
  • "…departments, and personnel to work as one flexible, collaborative team" 2/2 #
  • @DaveMarcus The same. Hope to see you soon (in Spain? ;)) in reply to DaveMarcus #
  • Good ICS Security workshop this afternoon with @erijo08. Good content, good presentation and good speaker. Congrats! #
  • My pleasure Luis! Repetiremos!! @luisparrondo: A great London evening with a friend: #priceless @InfosecManBlog mil gracias 😉 #
  • I have my flight this afternoon. Meanwhile what better than a walk in Camden? #SaturdayRainingMorning #
  • Worth reading… @achillean: I did a quick Q&A on Shodan over at the Cyveillance blog: http://t.co/V2FjsyvW #
  • Better late than never. Just landed @ Asturias airport. Dónde están esas sidras? 😉 #

Powered by Twitter Tools

No Comments » | Posted in Uncategorized | del.icio.us |


Resumen Semanal desde Twitter (2012-04-22)

22 April 2012

  • Finally, after some weeks in other continent without Internet access, I'm here again 🙂 Let me some time to get he rhythm 😉 #

Powered by Twitter Tools

No Comments » | Posted in Uncategorized | del.icio.us |


« Previous Page — Next Page »
Top Of Page

Últimos "tweets" en InfoSecManBlog

Últimas entradas

Archivos

  • June 2013
  • May 2013
  • April 2013
  • March 2013
  • February 2013
  • January 2013
  • December 2012
  • November 2012
  • October 2012
  • September 2012
  • August 2012
  • July 2012
  • June 2012
  • May 2012
  • April 2012
  • March 2012
  • February 2012
  • January 2012
  • December 2011
  • November 2011
  • October 2011
  • September 2011
  • August 2011
  • July 2011
  • June 2011
  • December 2010
  • November 2010
  • October 2010
  • September 2010
  • July 2010
  • June 2010
  • April 2010
  • March 2010
  • May 2009
  • April 2009
  • March 2009
  • February 2009
  • January 2009
  • October 2008
  • September 2008
  • August 2008
  • July 2008
  • May 2008
  • April 2008
  • February 2008
  • January 2008
  • December 2007
  • November 2007
  • October 2007
  • September 2007
  • July 2007
  • June 2007
  • May 2007
  • April 2007
  • March 2007

    • Categorías

    Rss Feed

    Copyright © Samuel Linares