Presentación de PowerPoint

INFRAESTRUCTURA
CRÍTICA CIBERNÉTICA
CN . José William Hernandez Murillo
Jefe de Estado Mayor CCOC
25 Febrero de 2016
www.cgfm.mil.co
INFRAESTRUCTURAS CRÍTICAS
CIBERDEFENSA
Es el empleo de las capacidades militares ante amenazas o actos hostiles de naturaleza
cibernética que afecten la sociedad, la soberanía nacional, la independencia, la integridad
territorial, el orden constitucional y los intereses nacionales. Fuente: Ministerio de Defensa.
CIBERSEGURIDAD
Es el conjunto de recursos, políticas, conceptos de seguridad, salvaguardas de seguridad, directrices,
métodos de gestión del riesgo, acciones, investigación y desarrollo, formación, prácticas idóneas, seguros
y tecnologías que pueden utilizarse buscando la disponibilidad, integridad, autenticación, confidencialidad y
no repudio, con el fin de proteger a los usuarios y los activos de la organización en el ciberespacio.
Fuente: Adaptación definición ITU.
INFRAESTRUCTURA CRÍTICA CIBERNÉTICA
Son las infraestructuras estratégicas soportadas por Tecnologías de Información y Comunicaciones (TIC) o
Tecnologías de Operación (TO), cuyo funcionamiento es indispensable, por lo que su perturbación o destrucción
tendría un grave impacto sobre los servicios esenciales”. Fuente: Ministerio de Defensa.
www.cgfm.mil.co
QUINTO DOMINIO
Espacio
Aire
Ciberespacio
Tierra
Mar
www.cgfm.mil.co
AMENAZAS CIBERNÉTICAS
Características
Origen
Interna
Amenaza
Externa
Fuente: Guía de Estrategia Nacional de Ciberseguridad de la ITU- Origen
Fuente: Guía de Estrategia Nacional de Ciberseguridad de la ITU- Características
Impacto
Fuentes
Ciberterrorismo
Cibercrimen
Ciberguerra
Espionaje Militar
Espionaje Económico y
Político
Fuente: Guía de Estrategia Nacional de Ciberseguridad de la ITU - Fuentes
Fuente: Guía de Estrategia Nacional de Ciberseguridad de la ITU- Impacto
www.cgfm.mil.co
4
INFRAESTRUCTURAS CRÍTICAS
“Los necesarios para el mantenimiento de las funciones sociales básicas , la
salud, la seguridad, el bienestar social y económico de los ciudadanos, o el eficaz
funcionamiento de las Instituciones del Estado y las Administraciones Públicas”.
www.cgfm.mil.co
Infraestructura Crítica
Fuente: http://www.oecd.org/investment/investment-policy/40700392.pdf
www.cgfm.mil.co
Sectores Estratégicos
www.cgfm.mil.co
Estados Unidos
Hay 16 sectores de infraestructura crítica, cuyos activos, sistemas y redes, ya sea físico o virtual, se considera
tan vital para los Estados Unidos de que su incapacitación o destrucción tendría un efecto debilitante sobre la
seguridad , la seguridad económica nacional , la salud pública nacional, la seguridad , o cualquier combinación
de los mismos .
www.cgfm.mil.co
Estados Unidos
Hay 16 sectores de infraestructura crítica, cuyos activos, sistemas y redes, ya sea físico o virtual, se considera
tan vital para los Estados Unidos de que su incapacitación o destrucción tendría un efecto debilitante sobre la
seguridad , la seguridad económica nacional , la salud pública nacional, la seguridad , o cualquier combinación
de los mismos .
www.cgfm.mil.co
Estados Unidos
www.cgfm.mil.co
Canadá
www.cgfm.mil.co
Canadá
www.cgfm.mil.co
Australia
www.cgfm.mil.co
España
Las Infraestructuras Críticas según el Plan Nacional de Protección de
Infraestructuras Críticas se pueden dividir en 12 sectores estratégicos:
1. Centrales y redes de energía
2. Tecnologías de la información y las comunicaciones
3. Sistema Financiero y Tributario (por ejemplo, banca, valores e
inversiones)
4. Sector sanitario
5. Espacio
6. Instalaciones de Investigación
7. Alimentación
8. Agua (embalses, almacenamiento, tratamiento y redes)
9. Transportes (aeropuertos, puertos, instalaciones intermodales,
ferrocarriles y redes de transporte público, sistemas de control del
tráfico)
10. Industria Nuclear
11. Industria Química
12. Administración (servicios básicos, instalaciones, redes de información,
activos, y principales lugares y monumentos nacionales).
www.cgfm.mil.co
GUÍA
INFRAESTRUCTURA
CRÍTICA CIBERNÉTICA
PARA COLOMBIA
MY. Milena Elizabeth Realpe Díaz
Jefe de Prospectiva CCOC
Ing. Samuel Gonzalo Pinzón Barrios
(ECOPETROL)
25 Febrero de 2016
www.cgfm.mil.co
ICC EN COLOMBIA
colCERT
Heterogeneidad
Complejidad
Identificación, priorización y
catalogación de las
infraestructuras críticas.
Interdependencia
Ciberdefensa de las
infraestructuras críticas
Sectores Estratégicos
CCOC
www.cgfm.mil.co
AMENAZAS A LA ICC
CIBERDEFENSA
www.cgfm.mil.co
SABOTAJE
ARMAS
CRIMEN
ESPIONAJE
TERRORISMO
GUERRA
CIBERESPACIO
GRUPO INTERSECTORIAL
www.cgfm.mil.co
Secreto
13 - Sectores Colombia
Gobierno
Agricultura –
Alimentación
Seguridad y
Defensa
ACTIVOS CRÍTICOS
NACIONALES BASADO EN
GESTION DE RIESGOS
Transporte
TIC
Información de Seguridad
y Defensa Nacional
CATÁLOGO INFRAESTRUCTURA
CRITICA CIBERNÉTICA
Junio-2016
Agua
Electricidad
Salud y
Protección
Social
Financiero
Ambiente
Fase I
Fase II
Fase III
Educación
Industria,
Comercio y
Turismo
Minero Energético
www.cgfm.mil.co
2017
Colombia
Gobierno
Seguridad y Defensa
TIC
Electricidad
Financiero
Educación
Minero-Energético
Industria, Comercio
y Turismo
Ambiente
Salud y Protección
Social
Agua
Transporte
Agricultura y
Alimentación
www.cgfm.mil.co
Línea de Tiempo
Consolidación, Catalogación y Priorización por
parte del CCOC
Consolidación
de acuerdo a
formatos por
cada Sector
Entrega
Información a
CCOC
Documento
Sectores
Estratégicos
de Colombia
V1
Documento
Sectores
Estratégicos
de Colombia
V2
Documento
Sectores
Estratégicos
de Colombia
Versión Final
Ene-Abril
Mayo
Junio
Julio
Elaboración, revisión
y aprobación nuevo
CONPES
Firma de
convenios
Catálogo
Nacional ICC
enviado a
UGG-MDN
Catálogo
Nacional ICC
para revisión
Agos
Elaboración, revisión y aprobación Modelo
Nacional de Gestión de Riesgos
www.cgfm.mil.co
Catálogo
Nacional ICC
Versión Final
Notificación
Oficial a
propietarios
de ICC
Sep
Oct
Inicio desarrollo
Planes de
protección y
Defensa
Nov
Dic
Aplicación Modelo Nacional de Gestión de
Riesgos
Documentación ICC
Sectores de Infraestructuras Críticas: Un documento que describe los sectores
estratégicos de Colombia, que cuentan con al menos un servicio esencial que depende
de infraestructura de Tecnología de Información o Comunicaciones o Tecnología de
Operación ara su correcto funcionamiento.
El Catalogo Nacional de Infraestructuras Críticas
La documentación contenida en el Catálogo Nacional de Infraestructuras Estratégicas
(se trata de información completa, actualizada y contrastada sobre la totalidad de las
infraestructuras estratégicas en el territorio nacional, su ubicación, titularidad, servicio
que presta, nivel de seguridad que precisan, etcétera), será calificada como SECRETA,
dada la alta sensibilidad para la seguridad y defensa nacional de la información
contenida en dicho Catálogo.
www.cgfm.mil.co
Guía IICC-CCOC
Basado en:
Framework for Improving Critical
Infrastructure Cybersecurity. NIST.
Febrero 2014.
www.cgfm.mil.co
Guía IICC-CCOC
www.cgfm.mil.co
Diagrama de Conceptos
www.cgfm.mil.co
Diagrama de Conceptos
www.cgfm.mil.co
Actividades de ICC
www.cgfm.mil.co
Servicios Esenciales
www.cgfm.mil.co
Taxonomía
www.cgfm.mil.co
Criterios de Criticidad
www.cgfm.mil.co
CASO PRACTICO
Sector Recursos Minero Energéticos
Ing. Samuel Gonzalo Pinzón Barrios
(ECOPETROL S.A.)
25 Febrero de 2016
www.cgfm.mil.co
Actividades – Paso a Paso
No.
1
Nombre
Identificar los servicios esenciales, según definición
de la sección 4. Glosario.
2
Identificar los sectores y subsectores estratégicos
que soportan los servicios esenciales.
3
Identificar empresas/organizaciones que cuentan
con infraestructura estratégica cibernética basados
en los servicios esenciales para el país.
4
5
Identificar la infraestructura estratégica cibernética
dentro de cada empresa/organización identificada,
que soporta los servicios esenciales.
Aplicar la tabla de variables de criticidad a la
infraestructura estratégica cibernética identificada
en el punto 4, considerando una afectación tal que
impida la prestación del servicio por causa de la
materialización de una amenaza cibernética.
Responsable
Descripción
Cada Sector
Generar el listado de servicios esenciales vs.
sectores/subsectores estratégicos empleando el
formato descrito en la sección 6.2.
Cada Sector
Coordinador del
Sector / Empresas
del Sector
Coordinador del
Sector / Empresas
del Sector
Coordinador del
Sector / Empresas
del Sector
6
Consolidar el listado de infraestructura crítica
cibernética.
CCOC
Mesa Nacional
7
Generar catálogo
cibernética.
CCOC
Mesa Nacional
de
infraestructura
crítica
www.cgfm.mil.co
General el listado de empresas que prestan servicios
esenciales.
Generar el listado de infraestructura estratégica
cibernética, empleando la taxonomía descrita en la
sección 6.3.
Diligenciar el catálogo de infraestructura crítica
cibernética descrito en la sección 6.4, empleando los
criterios horizontales de criticidad descritos en la
sección 6.5.
Analizar y depurar la información enviada por los
sectores y en caso requerido solicitar aclaraciones o
correcciones.
Consolidar la información enviada por los sectores
para generar el catálogo de infraestructura crítica
cibernética del País.
Actividades – Paso a Paso
SERVICIOS ESENCIALES
Sector Estratégico 1
Sector
Subsector
Subsector
SubsectorServicio esencial
Estratégico
Estratégico
Subsector 1.1
Sector 1 de
Catálogo
Infraestructura
Crítica
Sector
2
Cibernética
Sector n
Sector
Estratégico 2
Descripción …
Sector
Estratégico n
2
Justificación
Explicación del por qué es
Empresas del Sector
3
esencial (Máximo 80 palabras)
Subsector 1.2
Subsector 1.3
Subsector 2.1
Subsector 2.2
…
…
Adaptado de: Methodologies for the identification of Critical Information Infrastructure assets and services –
ENISA; Ley 8/2011, de 28 de abril por la que se establecen medidas para la protección de las infraestructuras
críticas y Decreto 704/2011, de 20 de mayo por el que se aprueba el Reglamento de protección de las
infraestructuras críticas en España.
www.cgfm.mil.co
1
Marco Conceptual
SERVICIOS ESENCIALES
Sector Estratégico 1
Subsector
Estratégico
Catálogo de
Infraestructura
Crítica
Cibernética
Subsector
Estratégico
Sector
Estratégico 2
Sector
Estratégico n
2
Empresas del Sector
Infraestructura Estratégica
Infraestructura Estratégica Cibernética
4
In
Adaptado de: Methodologies for the identification of Critical Information Infrastructure assets and services –
ENISA; Ley 8/2011, de 28 de abril por la que se establecen medidas para la protección de las infraestructuras
críticas y Decreto 704/2011, de 20 de mayo por el que se aprueba el Reglamento de protección de las
infraestructuras críticas en España.
www.cgfm.mil.co
1
3
Marco Conceptual
SERVICIOS ESENCIALES
Sector Estratégico 1
Subsector
Estratégico
Sector
Estratégico 2
Subsector
Estratégico
Crítica
Cibernética
Criterios horizontales de criticidad
Impacto socialInfraestructuraImpacto
Estratégica económico PIB de
Catálogo de
un día ó 0.123% del PIB
0,5
%
Población
Nacional
Infraestructura
Anual
250.000 personas
464.619.736,13
In
5
Infraestructura No Crítica
Sector
Estratégico n
2
Empresas del Sector
3
Impacto
medioambiental
4
Infraestructura
Crítica
3 años
Cibernética
Infraestructura Crítica
Adaptado de: Methodologies for the identification of Critical Information Infrastructure assets and services –
ENISA; Ley 8/2011, de 28 de abril por la que se establecen medidas para la protección de las infraestructuras
críticas y Decreto 704/2011, de 20 de mayo por el que se aprueba el Reglamento de protección de las
infraestructuras críticas en España.
www.cgfm.mil.co
1
Marco Conceptual
SERVICIOS ESENCIALES
Sector Estratégico 1
Subsector
Estratégico
Sector
Estratégico n
1
2
Empresas del Sector
Infraestructura Estratégica
Criterios horizontales de criticidad
Catálogo de
Infraestructura
Crítica
Cibernética
Subsector
Estratégico
Sector
Estratégico 2
3
4
Infraestructura
Crítica
Cibernética
In
6
7
5
Infraestructura No Crítica
Infraestructura Crítica
Adaptado de: Methodologies for the identification of Critical Information Infrastructure assets and services –
ENISA; Ley 8/2011, de 28 de abril por la que se establecen medidas para la protección de las infraestructuras
críticas y Decreto 704/2011, de 20 de mayo por el que se aprueba el Reglamento de protección de las
infraestructuras críticas en España.
www.cgfm.mil.co
Caso práctico: Identificación de Infraestructura Crítica
ECOPETROL – Ejemplo ilustrativo
http://www.ecopetrol.com.co/especiales/mapa_infraestructura.htm
www.cgfm.mil.co
Caso práctico: Identificación de Infraestructura Crítica
ECOPETROL – Ejemplo ilustrativo
Sector
Subsector
Empresa
Contacto Principal
Infraestructura
Crítica Cibernética
(Use la taxonomía
de la sección 6.3)
Nombre
Nombre:
Contacto Suplente:
Correo Electrónico:
Correo Electrónico:
Teléfono:
Teléfono:
Subsector
Una afectación tal que impida la prestación del servicio por causa de la
materialización de una amenaza cibernética en la ICC ocasionaría un
impacto:
Social
Descripción general de la ICC.
Incluye: ¿qué soporta?, ubicación
(ciudad)
Incluya el número
estimado de la
población afectada.
…
www.cgfm.mil.co
Económico
Incluya el % estimado
de afectación en el PIB.
Medioambiental
Incluya el número de
años estimado de
recuperación.
Siguientes pasos …
Identificación
de Activos
IT/OT
Activos
Críticos
IT/OT
Verificación /
Mejora
Riesgos
Gestión de
Activos
Catálogo Infraestructura
Crítica Cibernética
Implementación
www.cgfm.mil.co
Acciones de
Tratamiento
GRACIAS
[email protected]
Tel. SOC: 2660247
Celular Servicio: 313313-8413686
www.cgfm.mil.co