TATAKI

El Plan de seguridad de la información en Cataluña es una iniciativa de la Generalitat de Cataluña orientada al desarrollo de una estrategia global de seguridad de la información en el ámbito nacional y a la búsqueda de herramientas de concienciación de los ciudadanos en cuanto a las amenazas y vulnerabilidades de la seguridad en Internet.

La misión del Plan es garantizar una sociedad de la información segura en Cataluña, con la ayuda del Centre de Seguretat de la Informació de Catalunya (CESICAT), como herramienta para la ejecución de las políticas públicas en seguridad TIC, y la generación de un tejido empresarial de soporte, aplicaciones y servicios de seguridad TIC que sea referente nacional e internacional.

El Plan (que puede consultarse aquí) se estructura alrededor de cuatro líneas estratégicas principales:

• Estableciendo una estrategia nacional de seguridad en las TIC  centrada en la concienciación del ciudadano en cuanto a las amenazas y vulnerabilidades de la seguridad en Internet.
• Apoyando a la protección de las infraestructuras críticas de telecomunicaciones (e.g. redes de comunicaciones electrónicas, centros de procesamiento de datos de las administraciones públicas, …), mediante actuaciones de análisis y apoyo dirigidas a los servicios TIC públicos, las redes de los servicios de emergencias y de protección civil y los servicios privados que les dan soporte.
• Haciendo promoción de un tejido empresarial sólido en seguridad TIC, que complemente la actuación pública en esta materia y potencie el sector TIC catalán. Se quiere crear una red de pymes para la prestación de servicios de seguridad y respuesta a incidentes.
• Incrementando la confianza y protección de la ciudadanía en la sociedad de la información, con especial atención a los colectivos con mayores riesgos, como los niños y los jóvenes. La voluntad es participar activamente en apoyo de la lucha contra todas las formas de delincuencia informática de forma coordinada con los agentes competentes.

Para la consecución de los objetivos del Plan, la Secretaria de Telecomunicacions i Societat de la Informació (STSI) ha impulsado la creación del CESICAT, que debe responsabilizarse del establecimiento y seguimiento de los programas de actuación correspondientes, bajo la dirección estratégica de la Direcció General de la Societat de la Informació, el apoyo del Centre de Telecomunicacions i Tecnologies de la Informació (CTTI), y con la participación directa en el Centro de los gobiernos locales de Cataluña, del sector privado y de la sociedad civil.

Hace unos días se publicó el “2009 Data Breach Investigations Report” a cargo del “Verizon Business RISK team”. Según este informe, 2008 será recordado probablemente como un año turbulento para las empresas y los consumidores desde el punto de vista de la seguridad de la información, ya que, a las noticias relativas a los problemas económicos globales, se le suman algunas de las mayores violaciones de datos de la historia.



A continuación se presentan algunos de los aspectos que destaca el informe.

¿Quién está detrás de los incidentes de seguridad?

Siguiendo con la tendencia del 2008, la mayor parte (74%) tienen su origen en fuentes externas, mientras que el 20% provienen exclusivamente del personal interno de la organización. En el 32% de los casos, los propios partners de negocio estaban implicados en los incidentes. Y en el 91% de los casos, detrás del incidente se hallaba alguna organización con fines delictivos.

¿Cómo ocurren los incidentes?

En los casos más graves el atacante aprovechó un error de la víctima (67% de los casos), se introdujo en su red (64% de los casos) e instaló malware para recoger datos (38% de los casos). Algunas de las vulnerabilidades más relevantes a que hace referencia el estudio incluyen: SQL injection a través de las aplicaciones Web, acceso no autorizado mediante credenciales por defecto usadas para el acceso remoto de terceros, privilegios de usuario mal utilizados, etc.

¿Qué tienen en común?

Sólo el 17% de los ataques se consideran de un nivel de dificultad alto, si bien corresponden al 95% del volumen de información comprometida. Esto parece indicar que, aunque los atacantes prefieren los objetivos fáciles, una buena motivación les permite atacar con éxito objetivos difíciles. Por otra parte, casi todos los incidentes tuvieron lugar en el entorno on-line (servicios y aplicaciones Web, servidores, redes, …). El 69% de los ataques fueron descubiertos por terceras partes, lo que seguramente conllevó perjuicios de imagen. Y el 87% de los ataques podrían haberse evitado con sencillos controles.