Plan nacional de ciberseguridad

Tras la creación por Interior este verano de la Comisión Nacional para la Protección de las Infraestructuras Críticas, la aprobación de los Planes Estratégicos Sectoriales (PES) de los sectores estratégicos eléctrico, gasístico, nuclear, petrolero y financiero, y la designación en los mismos de los primeros 37 Operadores Críticos (OC), se ha iniciado el cumplimiento efectivo de la legislación sobre protección de infraestructuras críticas (PIC). Los siguientes sectores estratégicos en los que está previsto que se designen OC serán los de Agua, Transportes y TIC. Este último ha quedado para la segunda hornada porque se consideró que hasta que no estuviera fijado el esquema de los organismos nacionales con competencias en ciberseguridad, era preferible dejar el asunto en modo de espera.

José de la Peña Múñoz
Director
Esta dirección electrónica esta protegida contra spambots. Es necesario activar Javascript para visualizarla

Parece que el esquema ya está anudado, como bien puede deducirse del contenido del Informe Anual de Seguridad Nacional (IASN) correspondiente a 2013, preparado por el Departamento de Seguridad Nacional, aprobado por el Consejo de Seguridad Nacional y presentado el 15 de julio del presente ante la Comisión Constitucional del Congreso por el Director del Gabinete del Presidente del Gobierno, Jorge Moragas. En dicho informe se dedica un capítulo a la Ciberseguridad, y entre otros puntos, se identifican las tres amenazas principales (ciberespionaje, ciberterrorismo y ciberdelincuencia) y se indican las estructuras de ciberseguridad creadas, incluidos los Cert nacionales. Al respecto se indica que el CERT de Seguridad e Industria tendrá como marco de actuación la PIC y el sector privado en general.

Desarrollo

La rueda se va moviendo. Y la puesta en marcha del Sistema PIC se espera que proporcione un fuerte impulso a la ciberseguridad, que hoy es la pata menos desarrollada de la protección integrada, y por donde las nuevas amenazas arrecian.

Sin embargo, tenemos todavía una asignatura pendiente para hacer las cosas con fundamento; a saber: el desarrollo de la ECSN, que requiere la puesta en marcha de un plan, por ejemplo uno que se llame plan nacional de ciberseguridad. Según se cuenta, tal pieza está ya preparada y lista para aprobarse en una reunión del Consejo Nacional de Ciberseguridad, que bien podría celebrarse en octubre. Sería una gran noticia que, por añadidura, ayudaría a que la ciberseguridad tuviera un peso razonable en los Presupuestos Generales del Estado de 2015.

No me negará el lector que, ya sea en el entorno de actividad público o en el privado, los responsables de cualquier área de acción suelen tener un plan, a ser posible con nombre de plan. La cosa no es muy original; pero sí útil. En el esperado de ciberseguridad hay muchas materias que podrían contemplarse, entre otras iniciativas de ciberseguridad sectorial, más allá de la PIC. En ellas las empresas privadas y públicas (usuarias y proveedoras), las autoridades de control y supervisión y los organismos específicos de ciberseguridad podrían vertebrar la ciberprotección organizando ejercicios periódicos y preparando el camino para dar el salto a la intersectorialidad y, finalmente, a la organización de maniobras sectoriales e intersectoriales de protección integrada (ciber+física).

Documento en PDF