La Seguridad TIC es algo de lo que solo nos solemos acordar cuando las cosas van mal.
Cuando todo funciona correctamente, es fácil olvidar que hay toda una organización y un gran equipo de personas que trabajan para que no tengamos problemas.
Por Alfonso Tena Venegas, jefe del Servicio de Planificación Tecnológica, y Eloy R. Sanz Tapia, gabinete de seguridad y Calidad, ambos en la Dirección General de Telecomunicaciones y Sociedad de la Información de la Junta de Andalucía.
Seguridad TIC en la Junta de Andalucía
Andalucía es una Comunidad Autónoma que supera en población a 13 de los 28 países de la actual Unión Europea, encontrándose al mismo nivel que Austria con 8 millones y medio de habitantes.
Este dato nos debe hacer reflexionar sobre la complejidad de la administración andaluza y lo difícil que es prestar unos servicios públicos de calidad a su ciudadanía. Algo que sólo es posible lograr con éxito dotándose de una infraestructura digital que agilice y optimice todos los procesos involucrados.
Sin embargo, a la vez que la tecnología avanza con el objetivo de incrementar el bienestar de la ciudadanía, no podemos obviar que esta misma tecnología puede ser utilizada con fines no lícitos por distintos agentes (hacktivistas, crimen organizado, estados, ciberterrorismo, etc,..).
Frente a ellos estamos en un escenario asimétrico: como defensores debemos construir un muro perfecto, mientras que el atacante sólo necesita encontrarle una pequeña grieta para conseguir sus fines.
La Junta de Andalucía es plenamente consciente de estas amenazas, y el artículo 7 de la Ley 9/2007, de 22 de octubre, de la Administración de la Junta de Andalucía (LAJA) ya considera a la seguridad como uno de los principios básicos en la administración electrónica y la existencia de medidas de seguridad como uno de sus requisitos básicos.
Organización de la seguridad TIC en la Junta de Andalucía
Considerando que la Administración de la Junta de Andalucía se compone de aproximadamente 100 organismos y entidades, todos ellos interconectados mediante la Red Corporativa, resulta necesario establecer una estructura que garantice la coordinación y ejecución de medidas de ciberseguridad de manera homogénea.
Esta coordinación se establece en el Decreto 1/2011, de 11 de enero, por el que se establece la política de seguridad de las tecnologías de la información y comunicaciones de la Junta de Andalucía, modificado por el Decreto 70/2017, de 6 de junio.
En dicho Decreto se establece el Comité de Seguridad TIC de la Junta de Andalucía como el máximo órgano de coordinación en materia de ciberseguridad, teniendo representación en él todas las Consejerías de la Junta de Andalucía.
Para las situaciones de especial criticidad, existe un Grupo de Respuesta a Incidentes que se encargaría de tomar aquellas decisiones urgentes que fueran precisas. Este grupo está formado por aquellos centros directivos que poseen determinadas competencias transversales a toda la Administración de la Junta de Andalucía.
La coordinación en materia de ciberseguridad se completa con los distintos Comités de Seguridad TIC que deben tener todos los organismos y entidades y, a nivel operativo, los correspondientes responsables de seguridad. De forma adicional, las Consejerías, el Servicio Andaluz de Empleo y el Servicio Andaluz de Salud, por su especial relevancia, deben disponer de una Unidad de Seguridad TIC.
Por último, a nivel operativo y de manera transversal a toda la Junta de Andalucía, la Unidad de Seguridad TIC Corporativa presta soporte a toda la estructura anterior.
Otros proyectos y servicios
Dicha Unidad de Seguridad TIC Corporativa es, además, responsable de la dirección de los proyectos y servicios corporativos de seguridad TIC, entre los que destacan la Oficina de Apoyo a la Seguridad TIC, el Plan de Formación, Concienciación y Comunicación y AndalucíaCERT, el centro especializado y orientado a la prevención, detección y respuesta a incidentes y amenazas de seguridad.
La Oficina de Apoyo a la Seguridad TIC presta servicios de asesoramiento (con más de 100 consultas recibidas en 2017 y superando las 200 en 2018), seguimiento de indicadores, auditorías técnicas y prospectiva. Entre otras actividades, realiza anualmente la Encuesta sobre el Estado de la Seguridad TIC en la Junta de Andalucía, analiza la seguridad de sistemas de información seleccionados y evalúa nuevas herramientas y servicios de seguridad.
El Plan de Formación, Concienciación y Comunicación se asegura de que el personal técnico tenga conocimientos actualizados para proteger mejor los activos de la Junta, ayuda a que todos sepan cómo distinguir amenazas a la seguridad y como protegerse de ellas y difunde información y consejos para evitar riesgos.
Por su parte, AndalucíaCERT permanece alerta observando el tráfico que entra y sale de la Red Corporativa, así como otros eventos, para detectar amenazas y coordinar la respuesta si éstas se materializan en forma de incidentes.
Durante el año 2017, AndalucíaCERT gestionó más de 6000 incidentes de seguridad, cifra que va a ser superada en el 2018. Entre los más comunes están las infecciones por malware (recibido habitualmente por correo electrónico), los intentos de phishing (mensajes fraudulentos que buscan obtener información o contraseñas). Pero, como en cualquier organización grande, también se gestionan incidentes más complejos como explotación de vulnerabilidades en servidores o modificación de contenidos.
Planes para un futuro a corto plazo
Todos sabemos que la seguridad no se puede garantizar de manera absoluta, que siempre hay, y habrá, espacio para la mejora. Esta circunstancia hace que el proceso de evaluación y mejora en ciberseguridad deba ser constante, sin olvidar la adaptación a los continuos cambios normativos.
En este sentido, es imprescindible que el Decreto 1/2011 se adapte a la nueva Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, y a otras disposiciones donde la ciberseguridad es parte esencial, como el Real Decreto Ley de Seguridad de las Redes y Sistemas de Información o la Ley por la que se establecen medidas para la protección de las infraestructuras críticas.
Son grandes los retos y amenazas a los que se enfrentan los servicios que se prestan a la ciudadanía por parte de la Junta de Andalucía a través de las infraestructuras digitales. Por ello, también es indispensable disponer del talento necesario para hacer frente a un escenario cada vez más complejo.
Aglutinar a ese grupo de personas con conocimiento y empuje, proporcionarles las herramientas y los servicios que faciliten su trabajo y coordinar los esfuerzos para mejorar la seguridad de la información que tratamos son los principales pasos para afrontar los riesgos del día a día.
Puedes encontrar más artículos sobre Seguridad en el monográfico de nuestro número 3. Y un montón de cosas más en cada uno de nuestros números.
