La Estrategia de Ciberseguridad Nacional, al detalle

http://www.ateneadigital.es/RevistaAtenea/REVISTA/articulos/GestionNoticias_16021_ESP.asp

En un entorno poco favorecedor tras los últimos escándalos del ciber-espionaje aliado, un retraso temporal pronunciado, y un contexto presupuestario austero, el jueves 5 de diciembre, en el Palacio de la Moncloa, el Consejo de Ministros, a instancia del Consejo de Seguridad Nacional, aprobó la Estrategia de Ciberseguridad Nacional (ECN). Dicho texto, cuya génesis se remonta casi dos años atrás en el tiempo, desarrolla el punto correspondiente de la Estrategia de Seguridad Nacional presentada en mayo del presente año, que contemplaba laciberseguridad dentro de sus doce ámbitos de actuación, reflejando futuribles y análisis de situación a partes iguales.

Con dieciocho ciber-estrategias nacionales y una directiva existente en la plaza europea, una creciente expectación ha rodeado la gestación del documento que debía otorgar tanto elreconocimiento estratégico que tiene el ciberespacio para nuestro país como nuestro posicionamiento en este nuevo entorno virtual. Si bien el contexto natal dista de ser el óptimo, igual de ineficaz resultaría la ausencia de una estrategia de ciberseguridad como una alumbrada sobre una situación demasiado generalista, fuera de contexto presupuestario y sin un plan de aterrizaje delimitado por prioridades, plazos e hitos temporales.

Así pues, la estrategia debería agrupar los puntos básicos que sustentan un documento de esta naturaleza:

1. Qué preocupa, identificando claramente qué tipo de ciber-amenazas son las más probables, contextualizadas a la realidad geopolítica española, identificando los nuevos actores y sus motivaciones, mediante el conocimiento detallado de ciber-situación.
2. Quién tiene responsabilidades, delimitando roles y órganos de gestión para la puesta en marcha de la Política de Ciberseguridad Nacional.
3. Cómo se responde a esa preocupación, con líneas de actuación y medidas concretas que marquen una firme determinación política en la consecución de los objetivos marcados.

De esta forma, a través de sus cinco capítulos y 55 páginas, la ECN desarrolla los principios base como el liderazgo nacional y la coordinación de esfuerzos; la responsabilidad compartida; la proporcionalidad, racionalidad y eficacia; y la cooperación internacionalcomo extensión de los principios informadores de la Estrategia de Seguridad Nacional.

A la hora de desarrollar esos conceptos base, al igual que las estrategias de nuestros aliados europeos, la ECN articula ocho líneas de acción:

1. Capacidad de prevención, detección, respuesta y recuperación ante las ciberamenazas, habilitando mecanismos de colaboración interadministrativa que hagan frente a la gran fragmentación de los actores estatales con competencias en ciberseguridad.
2. Seguridad de los Sistemas de Información y Telecomunicaciones que soportan lasAdministraciones Públicas, impulsando el marco normativo ya existente.
3. Seguridad de los Sistemas de Información y Telecomunicaciones que soportan lasInfraestructuras Críticas, implementando el concepto de seguridad integral.
4. Capacidad de investigación y persecución del ciberterrorismo y la ciberdelincuencia, ampliando las capacidades en el ámbito judicial y policial para luchar contra el terrorismo y la delincuencia en el ciberespacio
5. Seguridad y resiliencia de las TIC del sector privado, mediante la adopción de estándares de buenas prácticas.
6. Conocimientos, Competencias e I+D+I, gran parte del éxito de programa de ciberseguridad subyace en dotar una inversión importante en investigación y desarrollo que aumente nuestras capacidades y capacitaciones. Entidades como universidades y centros de investigación ostentan un valor clave que nos permitirá competir a nivel internacional, fijando las bases del conocido triángulo UNIVERSIDAD-GOBIERNO-EMPRESA PRIVADA.
7. Cultura de ciberseguridad, para que las empresas y los ciudadanos actúen de forma segura, protegiendo los valores constitucionales y destacando la importancia de la colaboración.
8. Compromiso internacional, concretando las alianzas internacionales existentes mediante proyectos y programas reales. La proyección exterior es clave para mostrar el interés estratégico del nuevo entorno.

En cuanto al marco de gestión, se ha definido una nueva estructura orgánica con roles y responsabilidades bien definidos (sin duplicidades), que deberían paliar la fragmentación actual, mejorando la eficacia y la eficiencia de las ciber-capacidades nacionales. De esta forma, bajo la dirección del Presidente del Gobierno, se citan tres órganos: uno existente, elConsejo de Seguridad Nacional, y otros dos de nueva creación (que dependerán de éste), el Comité Especializado de Ciberseguridad, de carácter proactivo y cuya función primordial será la implantación de la Política de Seguridad Nacional; y el Comité Especializado de Situación, de carácter reactivo. Ambos comités actuarán de forma complementaria, bajo las directrices del Consejo de Seguridad Nacional, presidido por el Presidente del Gobierno.

Si bien el contenido y la aproximación de la estrategia es el esperado, realizando una comparativa con otras estrategias europeas y a fin de que no quede en un mero ejercicio literario, las ausencias más notorias son: 

1. Contextualización del estado real de cibersituación nacional.
2. Plan de acción detallado, marcando prioridades sobre esas ocho líneas, tareas específicas y un plan de implementación detallado.
3. Impulso económico, determinando qué porcentaje de los Presupuestos Generales del Estado serán asignados para la ejecución de las líneas definidas.
4. Definición de los mecanismos de alto nivel que favorecerán el intercambio de información entre el sector público y privado para hacer frente a los incidentes, favoreciendo el despliegue de un esquema de ciberinteligencia, y respetando los derechos fundamentales del ciudadano.
5. Armonización legislativa, estableciendo los vínculos mínimos que permitan la coexistencia con el resto de estrategias del Estado en cuanto a políticas tecnológicas, económicas, de educación, industria, seguridad y defensa.

A sabiendas de que la puesta en marcha de los órganos anteriores, así como la implantación de la Estrategia, se realizará de forma gradual, mediante la aprobación de nuevas normativas y la adaptación de las actualmente vigentes, tenemos grandes esperanzas en la nueva ECN. Lo importante no es sólo cuándo llegaremos a los objetivos establecidos, sino cómo lo haremos.

AUTOR: Guillem Colom, Director de THIBER