GUERRA CIBERNÉTICA: ASPECTOS ORGANIZATIVOS

Grupo de Trabajo nº 3 XXXIII CURSO DE DEFENSA NACIONAL

Presidente: GB. D. Ramón Prieto Osés Miembros: D. Alejandro Hernández Mosquera D. Alfonso Candón Adán Dña. Ana Murillo Tapia Dña. Carmen Quesada Alcalá D. Nicolás Enríquez González D. Joaquín Calderón Moreno

Abril de 2013

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

GRUPO DE TRABAJO Nº3 GUERRA CIBERNÉTICA: ASPECTOS ORGANIZATIVOS 1. INTRODUCCIÓN Después de haber definido la ciberseguridad y sus aspectos económicos, así como el ciberespacio y su empleo en la guerra asimétrica, definiremos la guerra cibernética o ciberguerra y sus aspectos organizativos. Habida cuenta de los avances que se han producido en España en cuanto a ciberdefensa y su desarrollo organizativo, enfocaremos el presente estudio al desarrollo de la capacidad nacional de ciberdefensa militar, que por mantener dentro de la capacidad de ciberdefensa, la de poder hacerlo con alguna acción de réplica, pudiera ser estudiado como aspecto de la ciberguerra aunque sea de manera impropia y por ceñirnos al título del estudio. Lo que empezó siendo un simple reto intelectual y un desafío para jóvenes informáticos, una especie de gamberrada con tintes de desafío intelectual y técnico, pasó a convertirse en objeto de pequeñas trampas y estafas. La gran proliferación de la informática en la administración pública, las empresas, banca e industria, sus conexiones a través de líneas telefónicas y, posteriormente, el desarrollo de internet, animó a la violación de medidas de seguridad informática para obtener información de inteligencia gubernamental, industrial, económica y científica para, rápidamente, en el plazo de pocos años, ser objeto de ataques con el fin de ocasionar daños. Hoy en el ciberespacio aparecen también hackers patrocinados por los estados. Los ciberataques han pasado a invadir todos los sectores de la actividad individual y colectiva de nuestra sociedad. La razón principal de la proliferación es que, en el ciberespacio, atacar una red es más fácil que defenderla, por la enorme desproporción entre el esfuerzo necesario para un ataque cibernético, amparado en el anonimato, con la ventaja para el atacante de elegir el momento y el objetivo, y el necesario para la protección de los sistemas. Nos enfrentamos a amenazas reales que ponen en peligro nuestros sistemas físicos incluyendo nuestros sistemas militares y, en definitiva, todas nuestras infraestructuras críticas. El incremento del interés por las tecnologías de la información ha llevado a una cada vez mayor implicación de las industrias dedicadas a estas tecnologías en todo tipo de actividades y procesos. Desde la banca, la gestión de redes eléctricas y ferrocarriles, hasta los sistemas de mando, control e información militar, todas basan sus actividades en programas informáticos, que han de estar dotados del máximo nivel de inviolabilidad.

1   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

La ciberdefensa es un nuevo dominio de guerra, prueba de ello es que más de 140 países, entre ellos España, están ya desarrollando sus capacidades. Estamos ante un problema del estado, que implica a las Fuerzas Armadas, a las Fuerzas y Cuerpos de Seguridad del Estado y a los sectores estratégicos. El problema fundamental para la Defensa es el cambio que las nuevas tecnologías han producido. Si en el pasado era suficiente con aprovecharse de las nuevas capacidades de los sistemas de información y del ciberespacio para mejorar la eficacia operacional de las Fuerzas Armadas, ahora es necesario poder combatir, y ganar, en el ciberespacio. La Defensa requiere asegurar las capacidades en el ciberespacio para poder garantizar la efectividad en las operaciones tradicionales. Se ha dicho del ciberespacio que es el campo de batalla del futuro. Este cambio obliga a modificar los conceptos y doctrinas que se aplican a la confrontación clásica, que deben ser adaptados a las exigencias de un escenario virtual. Este proceso adaptativo debe ser el punto de partida para la definición sólida y la creación ordenada de una capacidad de Ciberdefensa. La protección y la defensa del ciberespacio se ha convertido en uno de los retos fundamentales para las Fuerzas Armadas de la mayoría de los países, de ahí la necesidad de disponer de unas Fuerzas Armadas adaptadas a un entorno con continuos avance tecnológicos y dentro de un presupuesto cada vez más restrictivo. El riesgo omnipresente de ataques desde el ciberespacio, hace prever que en los futuros conflictos, las primeras acciones tengan lugar en el ciberespacio. Para abordar con éxito esta problemática, ya se ha avanzado significativamente en concienciación y organización. Ya en 2011 se produjo la promulgación de la Visión del JEMAD de la Ciberdefensa militar, en la que se definen las implicaciones en el uso del ciberespacio derivadas del concepto de la estrategia militar. En marzo de 2013 se ha firmado un convenio de colaboración entre el Instituto de Tecnologías de la Comunicación (INTECO), dependiente del Ministerio de Industria, y el Centro Nacional de Protección de Infraestructuras Críticas (CNPIC), del Ministerio del Interior, para actuar de forma coordinada ante ataques cibernéticos a este tipo de infraestructuras. Gracias a este acuerdo, se ha creado el primer Equipo de Respuesta ante Emergencias Informáticas (CERT) especializado en infraestructuras críticas, de las que el 80% son empresas privadas. A nivel estatal, el Centro Criptológico Nacional, encuadrado en el CNI, es el responsable de gestionar la seguridad del ciberespacio en cualquiera de los tres niveles de la Administración, y dispone de un Equipo de Respuesta ante Emergencias Informáticas (CERT), pero queda por desarrollar cómo se va a

2   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

llevar a cabo la seguridad nacional en el ciberespacio. La Vicepresidencia del Gobierno ha anunciado la inminente publicación de la Estrategia Nacional de Ciberseguridad que será el documento que marcará la pauta en la integración de las estrategias sectoriales. El aspecto organizativo resultará una de las claves para la definición e implantación de un buen sistema de ciberdefensa y la coordinación de esfuerzos, capacidades, responsabilidades y objetivos, deberá ser el eje fundamental sobre el que gire el todo. La OTAN y la Unión Europea están en plena transformación de sus capacidades de ciberdefensa. La OTAN ha aprobado durante el año 2011, una nueva política y un plan de acción de ciberdefensa; y la Unión Europea aprobó en 2009 el "concepto de operaciones en red en operaciones militares lideradas por la Unión Europea". En febrero de 2013, la Comisión Europea ha publicado una estrategia de ciberseguridad que representa la visión de conjunto de la UE sobre cómo prevenir y resolver mejor las perturbaciones de la red y los ciberataques. El ciberespacio es un espacio mundial común, y desde esa perspectiva necesita una respuesta global. Por esa razón, la cooperación internacional con gobiernos aliados y organizaciones de ámbito supranacional es esencial. 2. DEFINICIÓN DE ELEMENTOS CLAVE Ciberamenaza: Amenaza a los sistemas y servicios presentes en el ciberespacio o alcanzables a través de éste. Ciberarma: Software o hardware especialmente diseñado para realizar ciberataques. Ciberataque: Uso del ciberespacio para atacar a los sistemas y servicios presentes en el mismo o alcanzables a través de aquel. El atacante busca acceder sin autorización a información, o alterar o impedir el funcionamiento de los servicios. Ciberespacio: Espacio virtual mundial que interconecta sistemas de información, dispositivos móviles y sistemas de control industrial. Está soportado por todo tipo de comunicaciones tales como internet y redes de telefonía móvil. La interconexión proporciona acceso en línea a información y servicios. Ciberoperaciones: Operaciones militares conducidas en el ciberespacio. Ciberseguridad: Conjunto de actuaciones orientadas a hacer más seguras las redes y sistemas de información que constituyen el ciberespacio; detectando y enfrentándose a intrusiones; detectando, reaccionando y recuperándose de incidentes; y preservando la confidencialidad, disponibilidad e integridad de la información.

3   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

Ciberguerra: El uso de capacidades basadas en la red de un estado, para interrumpir, denegar, degradar, manipular o destruir información residente en ordenadores y redes de ordenadores, o los propios ordenadores y las redes de otro estado. En la Orden Ministerial 10/2013, de 19 de febrero, por la que se crea el Mando Conjunto de Ciberdefensa de las Fuerzas Armadas, se parte de una serie de definiciones, que componen el marco conceptual en el seno del cual se va a desarrollar el establecimiento de dicho Mando Conjunto. En efecto, el Mando Conjunto de Ciberdefensa español se va a mover en un contexto conceptual, que no se aleja del establecido en otros ámbitos, como el de los Estados Unidos. Así, se calca la definición de Ciberespacio, entendiendo por tal el “Dominio global y dinámico compuesto por infraestructuras de tecnología de la información —incluyendo internet—, redes de telecomunicaciones y sistemas de información” 1 . Sin embargo, hemos de tener en cuenta que no existe consenso entre los Estados sobre cómo se tiene que aplicar el Derecho Internacional a la guerra que tiene lugar en el ciberespacio. Conviene saber que la definición adoptada en España, a similitud de las definiciones contempladas en otros países, parten de un presupuesto básico. De esta manera, Ciberespacio no es un lugar físico, sino que se trata de un término amplio que se utiliza para referirse al espacio creado por la confluencia de redes de telecomunicaciones, sistemas de información y redes de telecomunicaciones 2 . En el caso de los Estados Unidos, tan sólo se define Ciberespacio y Ciberguerra, mientras que, en el supuesto de España, y en relación con la creación de dicho Mando Conjunto, también contamos con las definiciones de Ciberataque, Ciberseguridad y Ciberdefensa Militar. Se trata de una opción por una definición terminológica precisa, que dota a la creación del Mando Conjunto de un contexto conceptual muy claro, y menos ambiguo que el proporcionado por otros ordenamientos, como el ya mencionado, el estadounidense. Según la Orden Ministerial, Ciberataque es la “Acción producida en el ciberespacio que compromete la disponibilidad, integridad y confidencialidad de la información mediante el acceso no autorizado, la modificación, degradación o destrucción de los sistemas de información y telecomunicaciones o las infraestructuras que los soportan”. Es una definición clásica, que responde a la experiencia de ataques ya producidos,                                                              1

  JOINT CHIEFS OF STAFF, JOINT PUBLICATION 1-02, DEP’T OF DEF. DICT. OF MILITARY & ASSOC’D TERMS, at 141 (12 Apr. 2001).

2

  WINGFIELD, Th. C. The Law of Information Conflict: National Security Law in Cyberspace, Aegis Research Corp, 2000.

 

4   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

como el de Estonia, en abril de 2007 3 . No podemos olvidar, en este sentido, que un ataque de estas características sería considerado un ataque a efectos del ejercicio de la legítima defensa individual colectiva, tal y como establece el art.51 de la Carta de las Naciones Unidas. En consecuencia, la definición del Ciberataque también era un punto básico para el establecimiento del Mando Conjunto en España, puesto que en sus funciones también va a figurar la reacción ante ataques de estas características, por lo que éstos habrían de estar definidos de un modo concreto. Por otra parte, Ciberseguridad se define como el “Conjunto de actividades dirigidas a proteger el ciberespacio contra el uso indebido del mismo, defendiendo su infraestructura tecnológica, los servicios que prestan y la información que manejan.”. Esta definición parte de un presupuesto como es el uso correcto del ciberespacio y las posibles consecuencias de un uso indebido del mismo, lo que ha de encuadrar las actividades del Mando Conjunto. Finalmente, siguiendo la Orden Ministerial, Ciberdefensa militar es el “Conjunto de recursos, actividades, tácticas, técnicas y procedimientos para preservar la seguridad de los sistemas de mando y control de las Fuerzas Armadas y la información que manejan, así como permitir la explotación y respuesta sobre los sistemas necesarios, para garantizar el libre acceso al ciberespacio de interés militar y permitir el desarrollo eficaz de las operaciones militares y el uso eficiente de los recursos.” Esta última definición está en íntima conexión con la creación del Mando Conjunto y sienta las bases de sus funciones, que se concretan en la preservación de la seguridad en relación con la información y sus sistemas de las Fuerzas Armadas y en el uso adecuado y eficaz del ciberespacio con fines militares. 3. CIBERDEFENSA Y CIBERGUERRA La ciberguerra no se encuentra en la punta de la pirámide de la escalada de un conflicto. La ciberguerra, en su forma de ciberespionaje, tendrá lugar desde las primeras fases del proceso. En su forma de ciberataque dependerá de las tácticas que se adopten en el planeamiento conjunto de las operaciones, si bien normalmente será anterior y/o simultánea a la fase de conflicto. Un ciberconflicto se puede originar de una forma aislada, sin necesidad de que haya una mayor escalada de violencia.                                                              3

 RYAN, J., “Growing Dangers: Emerging and Developing Security Threats”, NATO Review, Winter 2007, disponible en: http//www.nato.int/docu/review/2007/issue4/English/analysis2.html.  

5   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

Comparando los conflictos habidos en los últimos años en lo que ha existido ciberguerra, con los totales del último siglo, se llega a la conclusión de que los conflictos han sido y siguen siendo los mismos a lo largo de la Historia, y lo único que han variado han sido los escenarios en los que se llevaron a cabo. Aparte de sutilezas conceptuales de lo que para unos o para otros constituyen los instrumentos de poder, con lo que sí parece existir acuerdo es que son las herramientas de las que disponen los Estados para influir y/o presionar a otros estados con el objeto de conseguir sus intereses y objetivos nacionales. De todos los instrumentos de poder solo uno incide directamente en el mundo físico: el militar. Todos los demás presentan la dicotomía de mostrar una parte cognitiva, lo que le da valor, y otra física, meramente circunstancial. La parte cognitiva representa el valor del significado que tiene un acuerdo diplomático, un embargo económico o una noticia; la parte física es su mera representación en un soporte (documento, cinta, archivo, etc.). Sin embargo, es sobre esta última en la que incide hoy día el ciberespacio. Lo que se roba, lo que se altera o lo que se interceptan en el ciberespacio son los datos que conforman esos archivos o las transmisiones que los mueven. Este hecho es capaz de alterar la parte cognitiva, por lo que su seguridad ha adquirido tanta importancia como su contenido. El mundo físico tiene, por tanto, una gran trascendencia sobre los instrumentos de poder de una nación, ya sea por incidencia directa (el militar) o circunstancial (diplomático, económico y de información). Este mundo físico tiene su reflejo en los escenarios de conflicto. El ciberespacio no es ni una misión ni una operación. Es un escenario estratégico, operacional y táctico. Internet es la interconexión mundial de redes de datos. El lugar físico que ocupan estas redes es el ciberespacio. En Internet existen multitud de servicios. Los más conocidos son la web y el correo electrónico, pero también presta otros muchos como la transmisión de ficheros, el acceso remoto, chats, mensajería instantánea, telefonía, televisión, etc. El rápido progreso tecnológico permitió el aumento de las capacidades de los equipos informáticos y de comunicaciones y la facilidad, comodidad y rapidez con la que se accedía a la información fue incrementando la fiabilidad del sistema y la confianza de los usuarios en él, por lo que administraciones, empresas y usuarios volcaron todos sus viejos ficheros y conocimientos en servidores de archivos gestionados por sistemas de información conectados en red. Mientras que la industria ha progresado desarrollando sus sistemas poniendo mayor énfasis en su robustez y su interoperabilidad, se ha ido

6   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

dejando un poco de lado el tema de la seguridad, probablemente guiados por el principio de primar la operatividad sobre la seguridad. A partir de este error surgieron las vulnerabilidades físicas y lógicas, en sistemas operativos, también en aplicaciones y protocolos de comunicaciones. Aprovechando estas vulnerabilidades, aparecieron como un juego los primeros virus de los que pronto se descubrió su gran potencial maligno, que se convirtieron en las armas del ciberespacio. Los beneficios que esta explotación podría proporcionar a determinados sectores, grupos o mafias, impulsaron definitivamente su I+D. Apareció la ciberdelincuencia, los ciberataques, el ciberespionaje, el ceberterrorismo y, lógicamente, la ciberdefensa. Sin embargo, la capacidad de las naciones para defender sus redes y sistemas siempre quedará por detrás de la habilidad del enemigo para aprovecharse de sus puntos débiles. Siempre existirán vulnerabilidades susceptibles de ser descubiertas por expertos y siempre se superarán las medidas de seguridad que se impongan para intentar evitar intrusiones. En un entorno eminentemente ofensivo, una mentalidad basada en la mera acción defensiva no tiene futuro. Nos encontramos en un nuevo escenario físico, desarrollado de manera vertiginosa en los últimos 30 años y en el que apenas e ha puesto cuidado en la seguridad, del que nuestra sociedad se ha hecho totalmente dependiente y en el que han surgido importantes amenazas que explotan los fallos de su rápido diseño para obtener pingües beneficios, lo que pone en riesgo nuestro bienestar. Hace falta, por tanto, una fuerza capaz de operar en este nuevo entorno que proteja a la nación de las crecientes amenazas. Para el Departamento de Defensa de Estados Unidos, el ciberespacio se ha convertido en un campo de operaciones de igual entidad que la tierra, el mar, el aire o el espacio y por tanto susceptible de ser escenario tanto de maniobras defensivas como ofensivas, lo que podría incluir ataques preventivos y represalias. Pero para el nuevo escenario artificial no se habían creado fuerzas específicas hasta ahora. Los enfrentamientos que ya se están produciendo en él, las exigen. La necesidad se impone y ante nuevas necesidades se requieren nuevos medios. Las fuerzas del ciberespacio deberán disponer de capacidades ofensivas y defensivas y su objetivo será permitir el libre uso del ciberespacio a los ciudadanos de cada nación e impedirlo, si fuera necesario, a sus enemigos. Para conseguir este objetivo, las fuerzas deberán estar especializadas, ser permanentes y tener dedicación exclusiva a la ciberdefensa. Esto sólo se consigue con fuerzas conjuntas con adiestramiento conjunto desde el inicio o mejor aún, con fuerzas independientes de los actuales ejércitos. La complejidad del entorno y su rápida evolución no permiten otra opción.

7   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

IMPLEMENTACIÓN DE LA CIBERDEFENSA Abordaremos a continuación la descripción de las principales formas de implantación, que están llevando a cabo en las naciones y organismos internacionales de nuestro entorno, para el despliegue operativo de las capacidades de Ciberdefensa. Capacidad de respuestas ante incidentes informáticos. Seguramente la más ampliamente usada a nivel internacional es CERT (Computer Emergency Response Team) o Equipo de Respuesta de Emergencias Informáticas, ya que fue la primera en aparecer a finales de los años ochenta, tras el ataque del gusano Morris, que se propagó rápidamente por todo el mundo, infectando una gran cantidad de sistemas. La OTAN también se compromete a desplegar una capacidad similar a un CERT, a raíz de las decisiones tomadas en las cumbres de Praga (2002) y Estambul (2004), pero en este caso la denomina CIRC (Computer Incident Response Capability) de la OTAN o NCIRC (NATO Computer Incident Response Capability), que podríamos traducir como Capacidad de Respuesta ante Incidentes Informáticos de la Alianza. Ciberequipo Rojo La misión de un “Ciberequipo Rojo” sería la de evaluar la eficacia general de las medidas de seguridad de los sistemas de información y comunicaciones operativos, que apoyan el cumplimiento de la misión, a través de la ejecución controlada y sin previo aviso de ciberataques verosímiles, demostrando a las partes interesadas, y en especial a los responsables en la toma de decisiones, el posible impacto negativo en la misión, mejorando la capacidad del equipo de seguridad de detectar y responder a dichos ataques. Su papel es el de un ciberequipo enemigo que ataca nuestros sistemas para evaluar la capacidad defensiva, a la manera de los Equipos Rojos en el planeamiento de los Estados Mayores convencionales. Ciberejército Cada vez con más frecuencia, y en mayor número de países, ha ido surgiendo la opinión de que el crecimiento y la sofisticada evolución de la ciberamenaza hacen necesario enfrentarla con medidas más activas, que busquen no sólo prevenir, detectar, reaccionar y recuperar las infraestructuras propias, sino neutralizar la ciberamenaza desde su origen, implementando los aspectos de explotación y ataque de las capacidades de ciberdefensa. Surgen así los conceptos de ciberguerra y ciberejército, así como las reglas de enfrentamiento que permitan a éstos pasar al ataque. De esta forma podemos encontrar numerosas iniciativas en diferentes países, para crear y estructurar un cibermando militar.

8   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

Seguramente sea el Mando de Ciberdefensa (USCYBERCOM) de Estados Unidos el que disponga de un cuerpo doctrinal más avanzado y conceptualmente elaborado, además de ser el que con mayor transparencia informa del avance en la implementación de sus capacidades. Analicemos, por tanto, el ciberejército norteamericano como forma de describir las características genéricas que cualquier otra nación implementa, implementará, o pretenderá implementar dentro de sus posibilidades, para sus respectivos ciberejércitos. En junio de 2009 el secretario de Defensa norteamericano ordenó establecer el Mando de Ciberdefensa estadounidense (USCYBERCOM) con la misión de planificar, coordinar, integrar, sincronizar y llevar a cabo actividades para: ¾ Dirigir las operaciones y la defensa de las redes de información específicas del Departamento de Defensa. ¾ Preparar y, cuando así se indique, llevar a cabo todo el espectro de las posibles operaciones militares en el ciberespacio, con el objetivo de facilitar las acciones en todos los ámbitos. ¾ Garantizar libertad de acción de Estados Unidos y sus aliados en el ciberespacio, y negar la misma a sus adversarios. Dependiente de la Agencia Nacional de Seguridad (NSA) y dirigido en la actualidad por el jefe de ésta, el general de cuatro estrellas Keith Alexander, el USCYBERCOM alcanzó la capacidad final operativa en octubre de 2010. A pesar de los recortes a los que se enfrentará el Pentágono en la próxima década, la financiación de esta unidad parece estar asegurada, dado el creciente papel que está ganando y que aumentará en el futuro, reforzado con un plan que contempla el incremento de la plantilla actual, formada por unos 1.000 efectivos, hasta una cifra que puede ser cercana a los 4.000 efectivos, de los que el 80% serán militares y el resto civiles. En mayo del pasado año, el jefe de Estado Mayor Conjunto presidió unas reuniones en las que se debatió la posibilidad de desligar al Mando de la Agencia Nacional de Seguridad para darle una identidad propia, que le colocaría al nivel de los Mandos de Combate Unificado del Pentágono. Esta decisión pondría la amenaza cibernética al mismo nivel que las amenazas a las que se enfrentan los ochos mandos actuales y potenciaría el carácter ofensivo del Mando de Ciberdefensa. Es la confirmación que falta para concluir que en el ciberespacio se librarán las guerras del futuro. El USCYBERCOM es el medio por el que se consigue centralizar el mando de las operaciones en el ciberespacio, fortaleciendo e integrando las capacidades del Departamento de Defensa en el ciberespacio, ya que reúne todas las cibercapacidades existentes, creando una sinergia que no existía hasta ese momento. De esta forma, el USCYBERCOM se compone de las ciberunidades de los diferentes servicios que componen las Fuerzas Armadas estadounidenses, en concreto:

9   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

1 Cibermando del Ejército 2 Cibermando de la Fuerza Aérea 3 Cibermando de la Flota 4 Cibermando de la Infantería de Marina Por otro lado, desde hace tiempo se viene revisando la Doctrina Militar estadounidense, en sus diferentes componentes, para adecuarla a los nuevos retos que suponen las operaciones militares en el ciberespacio, intentando definir las capacidades que deben prepararse para afrontarlas. Así, el Ejército de Estados Unidos establece, en su Plan de Capacidad de los años 2016-2028 para el concepto de Operaciones en el Ciberespacio, que éstas se componen de: • Comprensión de la Cibersituación • Operaciones de la Red Cibernética • Ciberguerra • Soporte Cibernético Ciberguerra es el componente de las Ciberoperaciones que extiende el poder cibernético más allá de los límites de la Defensa del ámbito cibernético propio, para detectar, detener, denegar y derrotar a los adversarios. Las capacidades de la Ciberguerra tienen como objetivos las redes de telecomunicaciones y los ordenadores, así como los procesadores y controladores integrados en equipos, sistemas e infraestructuras. 4. DESARROLLO DE LA GUERRA CIBERNÉTICA 4.1. DOCTRINA DIFERENCIA ENTRE CIBERSEGURIDAD Y CIBERDEFENSA Hoy, el ciberespacio y sus redes asociadas se han convertido en un elemento esencial del que dependen infraestructuras, transportes, comercio, desarrollo económico, etc., además de un número cada vez mayor de servicios públicos. Su carácter crítico y su escasa regulación lo hace cada vez más vulnerable a múltiples amenazas y ha puesto el foco de atención prioritario sobre los aspectos ligados a la seguridad y la defensa, así como el derecho a la privacidad de sus usuarios. Estas amenazas, así como la utilización cada vez más frecuente de ataques a los sistemas de mando y control militar en operaciones, han dado lugar a dos conceptos diferenciados; ciberseguridad y ciberdefensa. La Estrategia Española de Seguridad señala que “la ciberseguridad no es un mero aspecto técnicos de la seguridad sino un eje fundamental de nuestra sociedad y sistema económico”. Dada la cada vez mayor importancia de los sistemas informáticos en la economía, la estabilidad y

10   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

prosperidad económica del país dependerá, en buena medida, de la seguridad de nuestro ciberespacio. A lo largo de los textos legales se adivina la idea de la necesidad de proteger el ciberespacio de determinados riesgos y amenazas en beneficio de su seguridad y confiabilidad, es, por tanto, un enfoque reactivo dirigido a la protección de la información que, progresivamente, está evolucionando hacia la aplicación de un proceso de análisis y gestión de los riesgos relacionados con su uso, lo que representa una posición más proactiva en el ámbito de la ciberseguridad. La ciberdefensa, como capacidad militar, proviene del incremento en el uso del ciberespacio para el desarrollo de operaciones militares. Es, por tanto, un nuevo dominio en el ámbito militar relacionado especialmente con los sistemas de mando y control. De acuerdo con la definición del apartado 2., la ciberdefensa militar es un concepto ligado al principio de libertad de acción y que, al contrario de la ciberseguridad, pretende actuar de forma activa sobre los sistemas de información adversarios. La enorme capacidad de crecimiento y evolución de la amenaza, la escalada de sus efectos o la extensión y amplitud de su impacto añadidos al anonimato que proporciona, convierten esta capacidad en un recurso rentable ante la asimetría de fuerzas en el actual campo de batalla. CAPACIDADES QUE REQUIEREN NUESTRA FUERZAS ARMADAS PARA GARANTIZAR LA CIBERDEFENSA MILITAR. El ciberespacio no es solamente propiedad de los estados sino también de la empresa privada y de la sociedad civil, de ahí que no sirvan los instrumentos clásicos para combatir los riesgos que conlleva su utilización. En la actualidad, todos los países de nuestro entorno están desarrollando estrategias, doctrina y estructuras que les garanticen superioridad en el empleo del ciberespacio en operaciones militares. La escasa regulación de este dominio hace vital el intercambio de información en tiempo oportuno de los diferentes centros de respuesta de la administración, de la empresa privada y de los mandos militares responsables de la ciberdefensa. Con este propósito, el proyecto de Estrategia de Ciberseguridad Española pretende crear un órgano supervisor de las actividades de ciberseguridad adscrito al Ministerio de la Presidencia, el Consejo de Ciberseguridad, constituido por los representantes de los organismos con competencia en esta materia. El organismo de coordinación nacional sería el Centro Nacional de Ciberseguridad que, entre sus misiones, tendrá la de articular un sistema de intercambio de información y comunicación de incidentes

11   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

entre los diferentes centros de respuesta, entre ellos los dependientes del Ministerio de Defensa. Entre los diferentes centros de respuesta dependientes de este organismo destacan, dentro del Ministerio de Defensa, el Centro de Operaciones de Seguridad de la Información (COSDEF), cuyos cometidos veremos en el subapartado 4.2. La Instrucción 96/2011, que regula sus actividades, no incluye acciones ofensivas en operaciones militares que en España corresponden a la cadena operativa (JEMAD). En España y en el área de ciberdefensa corresponde al JEMAD la dirección, planificación y coordinación de la capacidad de ciberdefensa para los sistemas de comunicaciones e información de las Fuerzas Armadas y la ejecución de las capacidades de explotación y respuesta. Recientemente, se ha creado bajo su autoridad el Mando Conjunto de Ciberdefensa, que dirigirá y coordinará las actividades de los tres ejércitos en este ámbito y cuyos cometidos veremos en el subapartado 4.2. El valor añadido de este Mando Conjunto descansa no sólo en detectar y reaccionar ante las amenazas cibernéticas al estilo de los centros de respuesta distribuidos por todo el territorio nacional sino en la capacidad de disuasión que le proporcionan las acciones ofensivas propias de ciberguerra. Es decir, explotar las oportunidades que ofrece el ciberespacio de forma proactiva. La Directiva de Defensa Nacional de 2012 define la disuasión como la voluntad de hacer frente a las amenazas como resultado de disponer de unas capacidades y de la determinación de usarlas si fuera necesario. Con la creación de este Mando, las Fuerzas Armadas pretenden, por una parte centralizar todas las acciones en este ámbito, participando en la estructura que le proporciona la próxima Estrategia de Ciberseguridad, así como planear y ejecutar acciones en las redes y sistemas de telecomunicaciones del adversario. Es por tanto un elemento integrado en la capacidad de disuasión de nuestras Fuerzas Armadas y su desarrollo orgánico debe partir no solo de mantener la libertad de acción de nuestros sistemas sino de la voluntad de dañar las del adversario. La capacidad de respuesta de los sistemas de respuesta que disponga esta estructura para ejercer dicha disuasión, está, a día de hoy, lastrada por la dificultad de trazar el origen de los ciberataques. Es por ello fundamental que la Estrategia de Ciberseguridad defina los términos en los que los elementos de su estructura compartirán información y recursos y la forma en la que estos se conectarán con las redes de nuestros socios y aliados, especialmente en las organizaciones internacionales de defensa a las que pertenecemos.

12   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

4.2. ESTRUCTURA DE LA ORGANIZACIÓN 4 PLAN DE ACCIÓN PARA LA OBTENCIÓN DE LA CAPACIDAD DE CIBERDEFENSA MILITAR El Ciberespacio es un nuevo dominio que junto a los tradicionales, terrestre, marítimo, aéreo y espacio exterior, conforma el nuevo escenario en el que se desarrollan las operaciones militares. Las Fuerzas Armadas deben estar organizadas, adiestradas y equipadas para cumplir sus misiones en este nuevo entorno y para ello, deben disponer de una Capacidad de Ciberdefensa que las haga eficaces en operaciones que se desarrollen en el Ciberespacio, la cual se obtendrá mediante la implementación de un plan de acción que, de forma sinérgica y gradual, permita dotar a las Fuerzas Armadas de los recursos precisos. En esa línea, en julio de 2012 el JEMAD aprobó el "Plan de Acción para la Obtención de la Capacidad de Ciberdefensa Militar". Este se configura como un documento vivo para adaptarse a la naturaleza dinámica del ciberespacio y a la evolución de las tecnologías de la información. Para lograr la mayor eficiencia, el plan persigue la sinergia mediante la coordinación de los esfuerzos entre el ámbito conjunto (EMAD), el ámbito corporativo (DIGENIN), y los ámbitos específicos (Ejércitos y Armada), así como mediante el aprovechamiento de las estructuras existentes. Su implementación incremental y modular permitirá reaccionar a los cambios que se produzcan durante su desarrollo, como ha sido la creación del Mando Conjunto de Ciberdefensa de las Fuerzas Armadas, que no contemplaba el plan de acción, como organización, aunque sí sus capacidades. MANDO CONJUNTO DE CIBERDEFENSA DE LAS FUERZAS ARMADAS (MCCD) La Directiva de Defensa Nacional de 2012 establece que el Ministerio de Defensa participe en el impulso de una gestión integral de la ciberseguridad, en el marco de los principios que se establezcan al efecto en la Estrategia de Ciberseguridad Nacional. A tal efecto mediante Orden Ministerial 10/2013 de 19 de febrero se crea dentro del Estado Mayor de la Defensa integrado en la estructura operativa de las Fuerzas Armadas el Mando Conjunto de Ciberdefensa. Su ámbito de actuación son las redes y los sistemas de información y telecomunicaciones de las fuerzas armadas, así como aquellas otras redes y sistemas que específicamente se le encomienden y afecten a la Defensa Nacional.                                                              4

 Anexo 1: OBTENCIÓN DE LA CAPACIDAD DE CIBERDEFENSA 

13   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

Su misión es el planeamiento y la ejecución de las acciones relativas a la ciberdefensa militar en las redes y sistemas de la información y telecomunicaciones de las Fuerzas Armadas u otros que pudiera tener encomendados así como contribuir a la respuesta adecuada en el ciberespacio ante amenazas o agresiones que puedan afectar a la Defensa Nacional. Entre sus cometidos figura el ejercer la respuesta oportuna, legítima y proporcionada en el ciberespacio ante amenazas o agresiones que puedan afectar a la defensa nacional. Deberá cooperar con los centros nacionales de respuesta a incidentes de seguridad de la información -CNI +INTECO- , de acuerdo con lo que determinen las estrategias y políticas nacionales de ciberseguridad en vigor. También deberá cooperar con los centros nacionales de respuesta a incidentes de seguridad de la información, de acuerdo con lo que determinen las estrategias y políticas nacionales de 'ciberseguridad' en vigor. Según la mencionada normativa el conjunto de tecnologías, redes, ordenadores e infraestructuras forma parte de un nuevo dominio denominado ciberespacio que constituye una parte esencial para el funcionamiento de los países, el bienestar de los ciudadanos y la seguridad nacional. El MCCD ejercerá la representación del Ministerio de Defensa en materia de ciberdefensa militar en el ámbito nacional e internacional y dirigirá y coordinará la actividad que en esta materia realicen los Ejércitos. Además, se encargará de definir dirigir y coordinar la concienciación, la formación y el adiestramiento especializado en materia de ciberdefensa. Este dominio plantea un nuevo escenario de posibilidades pero también de vulnerabilidades y amenazas que lo hacen muy atractivo para determinados actores, que aprovechándose de las mismas, quieran infligir un daño a la sociedad mediante la realización de ciberataques. Los cometidos que llevará a cabo el MCCD, según establece la OM, se descomponen hasta en 23 actividades diferentes, incluido el mando 5 . Dichas actividades se agrupan funcionalmente en áreas de actividad. Dichas áreas se agrupan en áreas funcionales de mayor nivel que constituyen las diferentes secciones del Mando 6 . El ejercicio de dichas actividades y su agrupación funcional determina el número de efectivos necesarios para su ejecución 7 . COSDEF                                                              5

 Anexo 1Figura 2.   Anexo 1Figura 3.  7  Anexo 1Figura 4 y Figura 5.  6

14   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

Un Centro de Operaciones de Seguridad de la Información ( COS) es una organización que tiene por finalidad afrontar la amenaza cibernética sobre la seguridad de la información mediante dos funciones : - detectar - coordinar la respuesta operativa a los incidentes de seguridad que se puedan producir así como proporcionar una mejor comprensión del problema cibernético a través de la divulgación de las amenazas informáticas. Los ataques de la ciberdelincuencia son cada vez más numerosos y críticos. En los últimos años se ha producido un incremento de incidentes tales como las intrusiones a páginas web con el fin de robar información, la detección de nuevas familias de malware, la introducción de código dañino en los de sistemas industriales etc… En este sentido un COS constituye una buena solución para desarrollar de forma coherente todas las acciones orientadas a afrontar las amenazas en el ciberespacio. En España el Ministerio de Defensa dispone del COSDEF (Centro de Operaciones de Seguridad de la Información) creado por la Instrucción 96/2011 de 16 de diciembre del Secretario de Estado de Defensa, que tiene por misión gestionar las actividades de carácter proactivo, reactivo y de detección, relacionadas con la seguridad de la información y ciberdefensa en los sistemas de información y telecomunicaciones corporativos. Se encuentra encuadrado en el Área de Seguridad de la Información de la Subdirección General de Tecnologías de la Información y Comunicaciones y se estructura en cuatro células: - Célula de Prevención - Célula de Detección y Operación - Célula de Reacción - Célula de Soporte El conjunto de cometidos proactivos que lleva a cabo el COSDEF está orientado a analizar las amenazas que pueden materializarse en los sistemas de información y telecomunicaciones, a detectar las vulnerabilidades en dichos sistemas y a promover la implantación de medidas de seguridad de carácter preventivo. El conjunto de cometidos de detección está dirigido a dos aspectos fundamentales la monitorización de los sistemas de información y telecomunicaciones buscando signos de intrusiones y otras actividades anómalas y la gestión e inspección de los registros de actividad de los sistemas de inspección de los sistemas de información y de telecomunicaciones. Entre los cometidos de gestión fomenta la colaboración con otros organismos tanto del Ministerio de Defensa como ajenos al mismo.

15   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

Para abordar los cometidos de reacción cuenta con un conjunto organizado de medios humanos, materiales y procedimientos, con capacidad de llevar a cabo tanto actividades de gestión de incidentes como de efectuar análisis forense. Fomenta la colaboración con otros organismos tanto del Ministerio de Defensa como ajenos al mismo y desarrolla y distribuye informes periódicos sobre el estado de seguridad de la información del Ministerio de Defensa. El Mando Conjunto de Ciberdefensa mantendrá la coordinación con el COSDEF. 5. ASPECTOS LEGALES DE LA CIBERGUERRA Atendiendo al “Tallinn Manual on the International Law Applicable to Cyber Warfare”, escrito a instancias del NATO Cooperative Cyber Defence Centre of Excellence, sito en Tallin, Estonia, por expertos en derecho internacional, el concepto y marco jurídico de la ciberguerra es no es todo lo novísimo que esperaríamos. De hecho, se delimita en los mismos parámetros y términos que lleva marcando la legislación internacional en la materia desde, al menos, la creación de la Sociedad de Naciones. El documento, se ocupa de definir el concepto de ciberguerra, las legítimas razones que un Estado tiene para entrar en ella, y el modo ajustado a derecho de comportarse en la misma, hace especialmente evidente su continuismo en las definiciones de uso de la fuerza 8 , legalidad y legitimidad en el uso de la fuerza, amenaza, legítima defensa, necesidad y proporcionalidad. En definitiva, la verdadera novedad sobre la ciberguerra es el nuevo espacio estratégico. Su marco legal, las reglas de juego que la OTAN sugiere adoptar, son muy cercanas, prácticamente idénticas a las que se adoptarían si el escenario del conflicto fuera el aire, o el mar. Ahora bien, todo marco jurídico requiere de un compromiso ético multinacional, si bien nos encontramos todavía, en este ámbito, lejos de cualquier semblanza del Imperio de la Ley. LOS ASPECTOS ORGANIZATIVOS DE LA CIBERDEFENSA Y EL DERECHO INTERNACIONAL PÚBLICO La Ciberdefensa y sus aspectos organizativos están en conexión con varios ámbitos del Derecho Internacional Público, el Derecho que regula el uso de la fuerza, el Derecho Internacional Humanitario y el Derecho de la Guerra. A este respecto, se ha de tener en cuenta que, al crear el Mando Conjunto de Ciberdefensa en España, se han de contemplar dichas normas del Derecho Internacional Público. En particular, el art.2.4 de la Carta de la                                                              8

 “Una ciberoperación tendrá la consideración de uso de la fuerza cuando su escala y efectos sean comparables a los de operaciones convencionales que pudieran recibir dicha consideración”, Regla 11 del Manual, P.48 

16   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

ONU, que prohíbe el uso de la fuerza en las relaciones internacionales; el art. 51 del mismo tratado, que establece la definición y requisitos para el ejercicio de la legítima defensa, individual o colectiva; la Resolución 3314 (XXIV) de la Asamblea General de la ONU, que define la agresión. En el ámbito más específico del Derecho de la Guerra y del Derecho Internacional Humanitario, habremos de prestar atención al Reglamento de la Haya, los Convenios de Ginebra y sus Protocolos Adicionales, así como a los principios generales del Derecho de la Guerra y las Normas Consuetudinarias. En particular, en el ejercicio de la Ciberdefensa, se han de tomar en consideración los principios relativos a: la necesidad militar, distinción, proporcionalidad, sufrimiento innecesario, perfidia y neutralidad. INCIDENCIA DE LA LEGALIDAD INTERNACIONAL EN LA CIBERGUERRA Nada en la legalidad internacional prohíbe de forma explícita las operaciones de ciberguerra; sin embargo, seguramente existen limitaciones legales respecto a su aplicación. Además, las operaciones de ciberguerra tienen la capacidad de constituir un uso de la fuerza o una violación de las leyes de guerra. Las operaciones de ciberguerra ofrecen una gran variedad de métodos para impactar en la capacidad del adversario para conducir la guerra. Pueden permitir a un estado infiltrar la red de un adversario, obtener archivos, diseminar desinformación o introducir debilidades en los sistemas de un adversario. Las operaciones de ciberguerra pueden también hacer posible que un estado tome el control de la red de un adversario con el propósito de deshabilitarla temporal o permanentemente o afectar la infraestructura que aquella apoya. Además las operaciones de ciberguerra tienen la capacidad de privar a un adversario de la infraestructura esencial de apoyo a las acciones militares, tales como los satélites de comunicación. Una ventaja de las operaciones de ciberguerra es que, con frecuencia, alcanzarán los resultados deseados con menores daños colaterales que la guerra tradicional, tales como, deshabilitar una red eléctrica accediendo a su red informática en lugar de bombardear la planta de energía. A pesar del hecho de que las operaciones de ciberguerra tienen la capacidad de limitar los daños colaterales durante períodos de hostilidades, presentan algunos riesgos a los estados que puedan emplear tal tipo de guerra. Un ejemplo sería la potencial escalada de hostilidades menores en el estallido de un conflicto. Por ejemplo, un estado A que ha recibido evidencias específicas que establecen que el estado B estuvo detrás de los ataques de denegación de servicio (DoS) contra el gobierno del estado A, declara los hechos como de uso ilícito de la fuerza y ordena llevar a cabo una campaña de bombardeo aéreo contra las instalaciones de comunicaciones del estado B, fuente del ataque. El estado B puede a su vez 17   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

declarar las acciones del estado A como acciones de guerra y lanzar misiles contra el estado A. ¿Quién es el culpable en este escenario? ¿Alguno realmente violó la legalidad internacional? Uno de los mayores retos de la ley es mantenerse actualizada al ritmo del avance de la tecnología. La comunidad internacional se ha esforzado a menudo para poner en práctica normas de conducta oportunas con relación al avance del armamento. En el pasado, cuando emergían nuevas tecnologías, en un esfuerzo por evitar la guerra o minimizar el sufrimiento humano cuando se producían conflictos, los estados redactaban normas que tenían como resultado, por ejemplo, tratados que restringían las armas biológicas, químicas o láser. En marzo de 2006, Nikolai Kuryanovich, un miembro de la Duma rusa, señaló en una carta a un grupo hacker ultranacionalista conocido como “La Unión Eslava” que, “en el futuro más cercano muchos conflictos no tendrán lugar en el campo de batalla en terreno abierto, sino más bien en los espacios de internet, combatidos con la ayuda de soldados de la información…” Creemos que el futuro, que el Sr. Kuryanovich plantea, es el momento actual, y que ahora es el momento para que los estados determinen lo que está y no está permitido en la legalidad internacional en relación con las operaciones de ciberguerra. El fracaso en que esto se haga ahora, puede tener como resultado una normativa excesivamente restrictiva y reaccionaria como respuesta a un ciberataque tipo Pearl Harbour, en lugar de un enfoque bien meditado proactivo y estructurado. 6. CONCLUSIONES Tras el análisis realizado, podemos extraer las siguientes conclusiones: − La ciberdefensa sería el subconjunto más operativo de las capacidades de ciberseguridad, lo que parece lógico y coherente si pensamos que en el mundo físico la defensa es la parte más operativa de las capacidades que desarrollan las naciones para garantizar la Seguridad Nacional. − La mayoría de los cuerpos de doctrina militar clasifican las capacidades de ciberdefensa en tres tipos: las de defensa, centradas en la prevención, detección, reacción y recuperación frente a ataques; las de explotación, que permiten la recopilación de información sobre potenciales adversarios; y las de respuesta, que incluyen las medidas y acciones a tomar ante amenazas o ataques. − Una capacidad de respuesta a incidentes informáticos implementa fundamentalmente capacidad de defensa, dentro de la estrategia de ciberdefensa de una nación y organismo internacional, buscando garantizar la prevención, detección, reacción y recuperación frente a ataques, intrusiones, interrupciones u otras acciones hostiles deliberadas.

18   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

− Un “Ciberequipo Rojo” también implementa la capacidad de defensa, dentro de la ciberdefensa, puesto que al centrar su actividad únicamente en los sistemas propios, se excluyen por definición las actividades de explotación y respuesta. De todas formas, no debemos confundirlo con una CIRC, ya que es una capacidad complementaria y potenciadora de ésta, y cuyo adiestramiento y forma de operar está más próximo al de un ciberejército, diferenciándose de éste fundamentalmente en su doctrina y en los objetivos de su misión. − Debido a la creciente sofisticación de la ciberamenaza, cada vez en más países se está imponiendo la opinión de que es necesario hacerle frente con medidas más activas, que busquen no sólo prevenir, detectar, reaccionar y recuperarse ante un ataque, sino neutralizar la ciberamenaza desde su origen, desarrollando las capacidades de un ciberejército, así como las reglas de enfrentamiento que permitan a éstos pasar al ataque. − Tras analizar los diferentes modelos, compromisos y alcances, no excluyentes unos de otros, a la hora de implementar una adecuada capacidad de ciberdefensa, podemos deducir que en general ésta busca dar respuesta a dos aspectos o misiones diferenciados: − Por un lado, la protección de las TIC de la Defensa, sobre las que se apoya la capacidad operativa militar en el mundo físico tradicional. Estas capacidades suelen ser las primeras en implementarse en forma de CIRC-CERT. − Por otro, implementar una capacidad militar en el ciberespacio, para garantizar la defensa de los intereses nacionales en ese nuevo ámbito. Que se suele implementar partiendo de las anteriores y cuya máxima expresión serían los ciberejércitos. 7. PROPUESTA DE FUTURO Lo que define una estrategia son sus objetivos y sus líneas de acción y, como en toda guerra, puede ser ofensiva o defensiva. Una estrategia ofensiva será la que tenga por objetivos la información y los sistemas del adversario que protegen las infraestructuras críticas. Las líneas de acción serán los distintos empleos de las ciberarmas para anularlos. Por el contrario, una ciberestrategia defensiva tendrá por objeto la información y los sistemas propios, y las líneas de acción estarán enfocadas a la conservación de los sistemas propios, lo que redunda en la protección de las infraestructuras críticas. No obstante lo anterior, las estrategia ofensiva requiere estar preparado para defenderse de un ciberataque sofisticado. Tendremos que fortalecer la capacidad de prevención y respuesta ante incidentes informáticos, pues en general las naciones aisladamente no

19   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

tienen capacidad técnica ni jurídica para enfrentarse a ciberataques masivos, por lo tanto solo se puede abordar el problema desde la cooperación internacional. Uno de los problemas y elementos clave a considerar, es la legalidad internacional; cómo habrá que legislar para que los estados se comprometan a controlar dentro de sus fronteras a los hackers que puedan atacar a otros estados. De esta forma, se podría circunscribir más las responsabilidades estatales y podría constituir un elemento de disuasión al no poder eludir éstos su responsabilidad. Se evitaría que los estados pudieran alentar, tolerar e incluso, subcontratar a grupos de hackers para que lleven a cabo ciberataques en la línea de los intereses del estado. La ciberseguridad se garantiza con información, conocimientos, procedimientos y buenas prácticas, que serán más efectivos si son compartidos. A nivel nacional, la ciberseguridad es un Asunto de Estado, que requiere la coordinación y contribución de múltiples actores. En el caso particular de la Defensa, se debe abrir un proceso que identifique los escenarios, objetivos estratégicos y grandes líneas de acción que desemboquen en una capacidad de Ciberdefensa en el medio/largo plazo, en línea y coordinación con la Estrategia Nacional de Ciberseguridad, con una estrecha relación con el CNI, las Fuerzas y Cuerpos de Seguridad del Estado y demás actores claves del sistema. Los escenarios deben considerar la prevención, la detección, la respuesta flexible, y garantizar la recuperación de los sistemas, y todo ello, cubriendo todos los posibles focos de vulnerabilidad ante las amenazas. La estimación de estos escenarios y de los Planes de Contingencia, son clave dentro de la fase de definición de la capacidad de Ciberdefensa. En esta reflexión, no se pueden dejar de lado aspectos específicos del mundo de la defensa, como la capacidad de disuasión o de ciberataque, pues cualquier sistema basado únicamente en la protección pasiva estará, por definición, expuesto a la debilidad que representa el intento continuado de su vulneración. Es necesario, por tanto, organizar convenientemente la capacidad de conducir ciberataques, para asegurar la superioridad en el enfrentamiento y la percepción de fortaleza y voluntad de acción suficientes sobre los que gira el concepto de Disuasión. No podemos, ni debemos, infravalorar la dificultad de implantar una capacidad de este tipo, ya que es una tarea compleja tanto desde el punto de vista tecnológico, como organizativo y de coordinación interagencias. Sin embargo, si la inversión en la fase inicial es moderada y compatible con el escenario presupuestario actual, no debemos perder de vista que, por otra parte, la inversión total en ciberdefensa resulta cuanto menos simbólica si se

20   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL 

la compara con las pérdidas que su ausencia puede ocasionar al conjunto de la nación. Pero, si queremos construir una capacidad de disuasión creíble, debemos disponer de la capacidad de ciberataque; para ello, en un futuro no muy lejano, debemos disponer de ciberarmas. La pregunta, entonces es: ¿cuánto cuesta una ciberarma? Resulta casi imposible establecer un coste exacto para el desarrollo de una ciberarma, que depende de muchas variables, pero disponemos de una estimación válida y realista, proporcionada por el famoso hacker norteamericano Charlie Miller 9 . Miller presentó un proyecto hipotético de un par de años de duración que requeriría un número aproximado de 592 profesionales, que abarcarían una gran variedad de especialidades, desde analistas de vulnerabilidades hasta gestores. El estudio demuestra que el desarrollo de una ciberarma necesita de especialistas altamente cualificados que trabajen en una organización rígidamente jerarquizada con una disponibilidad de equipamiento ilimitada. La simulación reveló un gasto de 45.9 millones de dólares en salarios anuales (con un salario anual medio de 77.534 dólares) y 3 millones de dólares en equipo. A pesar de que la cantidad total podría parecer excesiva, si se compara con el coste de un arma convencional, en realidad resulta barato. Por este motivo, muchos gobiernos están formando ciberunidades dedicadas al desarrollo de nuevas tecnologías ofensivas. Madrid, 4 de Abril de 2013

                                                            

9

 “How to build a cyber army to attack the U.S.”       Anexo 2 Figura 6 

21   

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

OBTENCIÓN DE LA CAPACIDAD DE CIBERDEFENSA 1. INTRODUCCIÓN El Jefe del Estado Mayor de la Defensa aprobó, el 28 de enero de 2011, la "Visión de la Ciberdefensa Militar" [Ref. a], en la que se orienta la definición, desarrollo y empleo de las capacidades militares nacionales necesarias que permitan garantizar la eficacia en el uso del ciberespacio en las operaciones militares. Posteriormente el JEMAD aprobó, el 28 de julio de 2011, el "Concepto de Ciberdefensa Militar" [Ref. b], en el que se exponen los principios, objetivos y retos de la ciberdefensa en el ámbito militar. Así mismo, se define la terminología, se realiza una evaluación de la capacidad, se presentan las funciones y responsabilidades en esta área, y se ordena la elaboración de un "plan de acción para la obtención de la capacidad de Ciberdefensa Militar". Actualmente, la mayoría de las naciones desarrolladas y organizaciones internacionales relacionadas con la seguridad y la defensa consideran los ciberataques como una amenaza creciente y, en consecuencia, están desarrollando estrategias de seguridad que conllevan una importante transformación de las estructuras militares de ciberseguridad. El plan de acción se configura como un documento vivo para adaptarse a la naturaleza dinámica del ciberespacio y a la evolución de las tecnologías de la información. Para lograr la mayor eficiencia, el plan persigue la sinergia mediante la coordinación de los esfuerzos entre el ámbito conjunto (EMAD), el ámbito corporativo (DIGENIN), y los ámbitos específicos (Ejércitos y Armada), así como el aprovechamiento de las estructuras existentes. Su implementación incremental y modular permitirá reaccionar a los cambios que se produzcan durante su desarrollo, como ha sido la creación del Mando Conjunto de Ciberdefensa de las Fuerzas Armadas, que no contemplaba el plan de acción, como organización, aunque sí sus capacidades. 2. OBJETO El objeto del plan de acción es identificar las acciones necesarias para la obtención de una capacidad de Ciberdefensa Militar que cumpla con los siguientes objetivos especificados en el concepto de Ciberdefensa Militar: 1) Garantizar el libre acceso al ciberespacio, como situación necesaria para el desarrollo de las operaciones previstas en las misiones asignadas a las Fuerzas Armadas. 2) Establecer un ámbito de operación seguro en el ciberespacio, para garantizar la confidencialidad, disponibilidad e integridad de la información almacenada, transmitida o en proceso en los sistemas CIS y la disponibilidad e integridad de los propios sistemas. 3) Obtener y mantener la superioridad local en el ciberespacio, durante las operaciones.

   

 A‐1 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

4) Garantizar la operación de las redes y servicios críticos de los sistemas militares, así como de los propios sistemas en un ambiente degradado debido a incidentes, accidentes o ataques. 5) Obtener, analizar y explotar la información de los potenciales adversarios en el ciberespacio. 6) Ejercer la respuesta necesaria, legítima y proporcionada a acciones no autorizadas. 3. ÁMBITO Lo establecido en el plan de acción es de aplicación a todos los sistemas de comunicaciones e información de las Fuerzas Armadas, que incluyen: a. Sistemas de mando y control. b. Sistemas de comunicaciones e información nacionales de los niveles estratégico, operacional y táctico. c. Sistemas de combate y control de plataformas. d. De forma subsidiaria, todos los sistemas de las organizaciones internacionales de seguridad y defensa a las que España pertenece (OTAN, UE, etc.) en cuanto a sus directrices de empleo nacional. 4. DESARROLLO DE LA CIBERDEFENSA MILITAR La Ciberdefensa Militar consta básicamente de tres capacidades diferenciadas, que cubren respectivamente aspectos defensivos, de explotación y de respuesta. La obtención de estas capacidades permite cumplir los objetivos de la Ciberdefensa Militar mencionados en el apartado 2. 4.1.

Capacidad de Defensa

La "Capacidad de Defensa" es el conjunto de sistemas, infraestructuras, personal y medios de apoyo logístico, asentados sobre unos principios y procedimientos doctrinales para la ejecución y mantenimiento de acciones y actividades orientadas a la protección de los sistemas de información y comunicaciones, y la información que manejan, frente a ciberataques y su recuperación en caso de fallo o inutilización, parcial o total. Incluye actividades de anticipación, prevención, monitorización, análisis, detección, resistencia y recuperación frente a intrusiones, perturbaciones, interrupciones o cualquier acción no autorizada que comprometa la información y los sistemas propios. 4.2.

Capacidad de Explotación

La "Capacidad de Explotación" es el conjunto de sistemas, infraestructuras, personal y medios de apoyo logístico, asentados sobre unos principios y procedimientos doctrinales para la ejecución y mantenimiento de acciones y actividades orientadas a la obtención de información sobre las capacidades cibernéticas de defensa, explotación y respuesta de potenciales adversarios y agentes hostiles.

   

 A‐2 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

Incluye actividades de recopilación, análisis, valoración y explotación de información. 4.3.

Capacidad de Respuesta

La "Capacidad de Respuesta" es el conjunto de sistemas, infraestructuras, personal y medios de apoyo logístico asentados sobre unos principios y procedimientos doctrinales para la ejecución y mantenimiento de acciones y actividades orientadas a la realización de ciberataques como defensa frente a amenazas y ataques. Incluye actividades de perturbación, denegación de uso, degradación o destrucción de información, servicios o sistemas de información y comunicaciones de potenciales adversarios y agentes hostiles. 5. ORGANIZACiÓN DE LA CIBERDEFENSA MILITAR La organización de la Ciberdefensa Militar (Organización CDM) abarca todo el ámbito de las Fuerzas Armadas y debe dar cumplimiento a las responsabilidades del Jefe de Estado Mayor de la Defensa y de los Jefes de Estado Mayor de los Ejércitos y la Armada, que se establecen en el "Concepto de Ciberdefensa Militar" y que a continuación se expresan: En el ámbito de la Ciberdefensa Militar, corresponde al Jefe de Estado Mayor de la Defensa: − La dirección, planificación y coordinación de la obtención de la capacidad de ciberdefensa militar. − La dirección, planificación, coordinación y ejecución de la misma en los sistemas conjuntos. − La ejecución de las actividades de explotación y respuesta. − La elaboración de la Doctrina Conjunta de Ciberdefensa Militar. − La representación militar nacional, en este campo, ante organizaciones − internacionales de seguridad y defensa. Los Jefes de Estado Mayor de los Ejércitos y la Armada serán responsables de: − La dirección, planificación, coordinación y ejecución de la capacidad de ciberdefensa en sus sistemas específicos, de acuerdo con las directrices del JEMAD. − La adaptación de la formación, preparación y adiestramiento de la fuerza para el desarrollo de los cometidos de ciberdefensa que le sean encomendados, de acuerdo con las directrices del JEMAD. − La elaboración de la doctrina específica de Ciberdefensa en sus ámbitos. La organización de la Ciberdefensa Militar (Organización CDM) comprende los recursos humanos, materiales, así como los procedimientos necesarios para dirigir, planificar, gestionar, coordinar, asesorar, ejecutar, mantener y supervisar las acciones y actividades de defensa, explotación y respuesta en el ciberespacio para cubrir los objetivos del concepto del JEMAD: libre acceso, seguridad, superioridad local, operación en modo degradado, explotación de la información y respuesta adecuada. La organización de la Ciberdefensa Militar se establece, dentro de las Fuerzas Armadas, como una estructura de tres niveles: dirección, gestión y ejecución.    

 A‐3 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

5.1.

Dirección

La dirección de la Ciberdefensa Militar corresponde al Jefe de Estado Mayor de la Defensa (JEMAD), como máximo responsable de la ciberdefensa en el ámbito de las Fuerzas Armadas, auxiliado por: a. El Comité INFOSEC de la COMCISFAS. b. El Grupo de Trabajo Permanente de Ciberdefensa Militar (GTCDM). El JEMAD dispone del comité INFOSEC de la COMCISFAS como órgano consultivo y asesor, de alto nivel, en materia de Ciberdefensa Militar. El Comité INFOSEC dispondrá de un grupo de trabajo permanente de Ciberdefensa Militar como apoyo para la gestión de las actividades que se deriven de las decisiones adoptadas por él. Este grupo de trabajo se compondrá por personal de las Fuerzas Armadas experto en ciberdefensa y materias relacionadas. Se estudiará la normativa correspondiente al Comité INFOSEC para adaptarlo a los principios, objetivos y retos de la Ciberdefensa Militar establecidos en el concepto de Ciberdefensa Militar y en el plan de acción. 5.1.1. Comité INFOSEC de la COMCISFAS Es el órgano de trabajo de la COMCISFAS en materia de seguridad de la información de los sistemas de información y telecomunicaciones (Seguridad CIS). La ciberdefensa se considera un área de seguridad incluida en el ámbito de la seguridad CIS y por tanto, el Comité INFOSEC es el órgano de que dispone la COMCISFAS para desarrollar la consulta y asesoramiento al JEMAD en materia de Ciberdefensa Militar. Se actualizarán las “normas para el funcionamiento del Comité INFOSEC de COMCISFAS” para adaptarse a las singularidades de la ciberdefensa y, en concreto, a las acciones derivadas del “Concepto de Ciberdefensa Militar” y de este Plan de Acción. 5.1.2. Grupo de Trabajo Permanente de Ciberdefensa Militar (GTCDM) Se establecerá un grupo de trabajo permanente, dependiente del Comité INFOSEC, cuyos cometidos son: a. Asesorar al Comité INFOSEC sobre el desarrollo de normas y procedimientos de Ciberdefensa Militar. b. Supervisar la ejecución del Plan de Acción. c. Coordinar las necesidades de medios de ciberdefensa del EMAD, los Ejércitos y la Armada. d. Apoyar al Comité INFOSEC en otros asuntos de Ciberdefensa Militar. 5.2.

   

Gestión

 A‐4 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

En la gestión de la Ciberdefensa Militar se realizan las funciones de planeamiento, supervisión, asesoramiento y coordinación interna, nacional e internacional. Para realizar la gestión de la Ciberdefensa Militar la organización dispondrá de: a. La Sección de Seguridad de la Información CIS de la División CIS del EMACON (Sección SEGINFO CIS) que gestionará la Ciberdefensa Militar en el ámbito conjunto. b. Un Área de Ciberdefensa Militar en cada uno de los Ejércitos que gestionará la Ciberdefensa Militar en el ámbito específico. c. El programa “Information Assurance” (Programa lA) Los Ejércitos y la Armada, dispondrán de una unidad de ciberdefensa para llevar a cabo los cometidos encomendados en el “Concepto de Ciberdefensa Militar” que coordinará con la Sección SEGINFO CIS de la División CIS del EMACON. El programa “Information Assurance” se encargará de la obtención de los recursos que requiere la Ciberdefensa Militar en el ámbito conjunto. 5.2.1. Sección de Seguridad de la Información CIS (Sec. SEGINFO CIS) Es la responsable de la gestión de la ciberdefensa de los sistemas conjuntos y de la supervisión, asesoramiento y coordinación nacional e internacional de la Ciberdefensa Militar. Sus cometidos son: a. Estudiar la organización de la Ciberdefensa Militar y de otras organizaciones nacionales e internacionales y realizar las propuestas de posibles cambios y mejoras. b. Fortalecer las capacidades de la Ciberdefensa Militar a través de: − La coordinación con organismos nacionales: Ejércitos y Armada, Órgano Central del MINISDEF, CNI, CNPIC, FCSE, etc. − La coordinación con organismos internacionales: OTAN, UE, OSCE, CCDCOE, etc. − Propuestas y asesoramiento sobre acuerdos bilaterales con otros países. c. Estudiar y promover la incorporación de la capacidad de Ciberdefensa Militar en el proceso de Planeamiento Militar del JEMAD. d. Estudiar la adecuación de la Ciberdefensa Militar a lo establecido en el marco de la ciberdefensa nacional e internacional. e. Ejercer la representación nacional en los foros internacionales sobre Ciberdefensa Militar. f. Apoyar en la elaboración, revisión y actualización de la doctrina en materia de Ciberdefensa Militar. g. Elaborar, revisar y actualizar los planes de concienciación, formación y adiestramiento en Ciberdefensa Militar, de acuerdo con las directrices del responsable del ámbito corporativo. h. Gestionar y difundir, la información y el conocimiento sobre Ciberdefensa Militar. i. Definir las Necesidades Operativas y los Requisitos de Estado Mayor relativos a la Ciberdefensa Militar.

   

 A‐5 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

j.

Todas aquellas otras misiones que le sean encomendadas por el Jefe de la División CIS.

5.2.2. Áreas de Ciberdefensa de los Ejércitos y la Armada Son las responsables de la gestión y supervisión de la ciberdefensa de sus sistemas específicos. Se encuadrarán orgánicamente en la estructura de sus respectivos Ejércitos. Sus cometidos son: a. Estudiar la organización de la Ciberdefensa Militar de su Ejército y realizar las propuestas de posibles cambios y mejoras. b. Fortalecer la capacidad e la Ciberdefensa Militar en sus sistemas específicos a través de la coordinación con la Seco SEGINFO CIS del EMAD. c. Estudiar y promover la incorporación de la capacidad de ciberdefensa de su Ejército en el proceso de Planeamiento Militar. d. Estudiar y proponer las acciones necesarias para la adecuación de la Ciberdefensa Militar de sus sistemas específicos a las directrices del JEMAD. e. Elaborar, revisar y actualizar los planes de concienciación, formación y adiestramiento en Ciberdefensa Militar específicos de su Ejército, de acuerdo con las directrices del responsable del ámbito corporativo. f. Gestionar y difundir la información y el conocimiento de Ciberdefensa Militar dentro de su Ejército. g. Elaborar la doctrina específica de ciberdefensa en sus ámbitos. 5.2.3. Programa “Information Assurance” (Programa lA) El Jefe de Programa lA es el responsable de dirigir las tareas de impulso, coordinación, gestión y seguimiento de obtención de los recursos que necesita la organización de Ciberdefensa Militar en el ámbito conjunto, y especialmente el CERT-FAS. Dependerá orgánicamente de JEPREMAD y funcionalmente del Director General de Infraestructura. El Jefe de Programa contará con una Oficina de Programa, y su correspondiente Director Técnico, para apoyo en la realización de sus cometidos. El Jefe de Programa y el Director Técnico tendrán los cometidos que se asignan en la “Instrucción 67/2011, de 15 de septiembre, del Secretario de Estado de Defensa, por la que se regula el Proceso de Obtención de Recursos Materiales”. 5.3.

Ejecución

En este nivel se realizan las funciones de operación y supervisión técnica, cuya organización dispondrá de: a. El CERT-FAS. b. Unidad de Inspección y Análisis de Vulnerabilidades (UIAV).

   

 A‐6 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

c. Las células de defensa de los Ejércitos y la Armada (a discreción de los Jefes de Estado Mayor de los Ejércitos y la Armada). d. La célula de explotación del CIFAS. e. La célula de coordinación de ciberdefensa del MOPS. La ejecución de la Ciberdefensa Militar se llevará a cabo por una unidad con capacidad de defensa, respuesta y explotación, denominada CERT-FAS, que dependerá orgánicamente de la Jefatura de Sistemas del EMAD (JESEMAD) y funcionalmente de la División CIS del EMACON (DIVCIS) a través de la Sección SEGINFO CIS. La Unidad de Inspección y Análisis de Vulnerabilidades (UIAV), dispone de capacidad para evaluar, verificar, analizar y valorar la seguridad de los sistemas conjuntos. Los Ejércitos y la Armada, podrán disponer de una célula con “Capacidad de Defensa”, para realizar la ejecución técnica de las misiones establecidas en el “Concepto de Ciberdefensa”, que coordinará su acción con el CERT-FAS y del cual recibirán directrices técnicas. El Centro de Inteligencia de las Fuerzas Armadas dispondrá de una célula con “Capacidad de Explotación” que recibirá apoyo y directrices técnicas del CERTFAS. Cuando las operaciones lo demanden, el Mando de Operaciones del JEMAD dispondrá de una célula de coordinación de ciberdefensa. 5.3.1. CERT-FAS Es el responsable de la ejecución y supervisión de la “Capacidad de Defensa”, “Capacidad de Explotación” y “Capacidad de Respuesta” de la ciberdefensa en los sistemas conjuntos. Dependerá orgánicamente de JESEMAD y funcionalmente del Jefe de la División CIS a través del Jefe de la Sección SEGINFO CIS. Sus cometidos son: a. Gestionar los incidentes de seguridad informáticos. b. Obtener, analizar, valorar, centralizar, almacenar y difundir información técnica sobre amenazas existentes y potenciales, vulnerabilidades e incidentes de seguridad CIS. c. Prestar apoyo técnico a las células de defensa de los Ejércitos y la Armada, a la célula de explotación del CIFAS y, en su caso, a la célula de coordinación del MOPS. d. Determinar los niveles de alerta. e. Investigar y analizar el impacto, método y origen de los ciberataques y otros incidentes de seguridad CIS. f. Implementar y gestionar entornos y escenarios para la ejecución de formación y adiestramiento de la ciberdefensa (ciberejercicios, prácticas, cursos de formación “online”, etc.). g. Elaborar, publicar y mantener guías y manuales técnicos. h. Coordinar, colaborar e intercambiar información técnica con otras unidades y organismos análogos. 5.3.2. Unidad de Inspección y Análisis de Vulnerabilidades

   

 A‐7 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

Es la responsable de inspeccionar, analizar, comprobar y valorar la seguridad de los sistemas conjuntos. Dependerá orgánicamente de JESEMAD. Sus cometidos son: a. Evaluar y valorar la seguridad de los sistemas de información y telecomunicaciones conjuntos mediante la inspección detallada de todos sus componentes: documentación de seguridad, personal, instalaciones, hardware y software. b. Apoyar a la acreditación de los sistemas de información y telecomunicaciones conjuntos 5.3.3. Células de Defensa de los Ejércitos y la Armada Son las responsables de la ejecución y supervisión de la “Capacidad de Defensa” en sus sistemas específicos. Se encuadrarán orgánicamente en la estructura de sus respectivos Ejércitos. Sus cometidos son: a. Gestionar los incidentes de seguridad informáticos. b. Obtener, analizar, valorar, centralizar, almacenar difundir información técnica sobre amenazas existentes y potenciales, así como vulnerabilidades e incidentes de seguridad CIS. c. Elaborar, publicar y mantener guías y manuales técnicos. d. Coordinar, colaborar e intercambiar información técnica con el CERTFAS. Todas o algunas de las misiones de las Células de Defensa de los Ejércitos y la Armada podrán ser delegadas o transferidas al CERT-FAS. 5.3.4. Célula de Explotación del CIFAS Es la responsable de la obtención de información sobre la capacidad de ciberdefensa de potenciales adversarios y agentes hostiles. Dependerá orgánicamente de DICIFAS y funcionalmente del CERT-FAS. Sus cometidos son: a. Obtener, analizar, valorar, centralizar, almacenar y difundir información sobre amenazas, vulnerabilidades CIS, tendencias y capacidades de ciberdefensa de potenciales adversarios y agentes hostiles. b. Intercambiar información con el CERT-FAS. 5.3.5. Célula de Coordinación de Ciberdefensa del MOPS Cuando las operaciones lo demanden, el CMOPS podrá establecer una célula para la coordinación y sincronización de las actividades en materia seguridad de sistemas de información y telecomunicaciones en zona de operaciones. Dependerá orgánicamente de CMOPS y funcionalmente del CERT-FAS. Sus cometidos serán: a. Establecer relaciones de coordinación con el CERT-FAS. b. Centralizar y almacenar información sobre amenazas, vulnerabilidades y capacidad de ciberdefensa de adversarios y agentes hostiles en zona de operaciones, y difundirla al CERT-FAS y a la Célula de Explotación del CIFAS. c. Intercambiar información con aliados en zona de operaciones.    

 A‐8 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

5.4.

ESQUEMA DE LA ORGANIZACiÓN DE LA CIBERDEFENSA MILITAR

En la figura que a continuación se muestra, se especifican los componentes de la organización de Ciberdefensa Militar agrupados por niveles (dirección, gestión y ejecución), así como las relaciones orgánicas, funcionales y de coordinación.

Leyenda:

Figura 1

6. IMPLEMENTACiÓN DE LA CIBERDEFENSA MILITAR La capacidad de Ciberdefensa Militar se obtendrá a través de un proceso continuo e incremental en tres fases: inicial, intermedia y final. 6.1.

Capacidad Inicial de Ciberdefensa Militar

Se considerará alcanzada la capacidad inicial cuando: a. Se haya establecido la estructura de dirección y gestión de la organización CDM en el EMAD, los Ejércitos y la Armada. b. Se haya establecido el núcleo inicial del CERT-FAS con las capacidades de:

   

 A‐9 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

− Monitorización de redes y sistemas conjuntos. − Inspección y análisis de vulnerabilidades de redes propias. − Detección, resistencia y recuperación. c. Se disponga de la capacidad para la ejecución de la concienciación, formación y adiestramiento en Ciberdefensa Militar, de acuerdo con el programa establecido. d. Los sistemas de las Fuerzas Armadas que manejan información clasificada estén acreditados o hayan iniciado el proceso de acreditación. e. Se disponga de normativa de alto nivel; así como normas y guías relativas a la "Capacidad de Defensa". 6.2.

Capacidad Intermedia de Ciberdefensa Militar

Se considerará alcanzada la capacidad intermedia cuando se disponga de la capacidad inicial y, además: a. Se hayan establecido las Células de Defensa de los Ejércitos y la Armada, o bien, sus funciones sean asumidas por el CERT-FAS. b. Se haya establecido la célula de explotación del CIFAS y disponga de capacidad de recopilación I análisis, valoración y explotación de información. c. El CERT-FAS disponga de capacidad de: − Monitorización integral de las redes de las Fuerzas Armadas, conjuntas y específicas. − Explotación. − Análisis y visualización de la situación de la Ciberdefensa Militar. d. Se disponga de un plan de contingencia para garantizar el funcionamiento de los servicios críticos. e. El 75% de los sistemas del JEMAD que manejan información clasificada estén acreditados. f. Se disponga de normas y guías relativas a la "Capacidad de Explotación", directrices para la selección y retención de expertos y un glosario sobre terminología de Ciberdefensa Militar. 6.3.

Capacidad Final de Ciberdefensa Militar

Se considerará alcanzada la capacidad final cuando se disponga de la capacidad intermedia y, además: a. El CERT-FAS disponga de capacidad de respuesta, prevención, anticipación y análisis forense. b. Se disponga de la capacidad para la gestión del conocimiento de la Ciberdefensa Militar. c. Se esté en disposición de ejecutar el plan de contingencia. d. Todos los sistemas del JEMAD que manejan información clasificada estén acreditados. e. Se disponga de normas y guías relativas a la "Capacidad de Respuesta". f. Se disponga de recursos para modelado y simulación. g. Se esté en disposición de establecer la célula de coordinación de ciberdefensa del MOPS.

   

 A‐10 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

7. MANDO CONJUNTO DE CIBERDEFENSA DE LAS FUERZAS ARMADAS (MCCD) El Plan de Acción para la Obtención de la Capacidad de Ciberdefensa, del JEMAD, determina que la obtención de dicha capacidad se obtendrá de forma sinérgica y gradual, dotándola de los recursos precisos de material, instalaciones, personal, adiestramiento, doctrina y organización (MIRADO). La Ciberdefensa militar consta básicamente de tres capacidades diferenciadas: defensa, explotación y respuesta. Esta última permitirá la realización de ciberataques como defensa ante amenazas y ataques. La capacidad de ciberdefensa se obtendrá a través de un proceso continuo e incremental en tres fases: inicial intermedia y final. Con el objeto de potenciar el Plan de Acción del JEMAD, de manera que se haga de la forma más eficiente, el Ministro de Defensa ordena, en noviembre de 2012, la creación de un Mando Conjunto de Ciberdefensa de las Fuerzas Armadas (MCCD), dependiente del JEMAD, que proporcione una unidad militar altamente especializada, capaz de desarrollar y alcanzar las capacidades de Ciberdefensa descritas. La creación del Mando se ha materializado mediante la OM 10/2013, de 19 de febrero, y su misión será dirigir y coordinar las acciones de las FAS en el ámbito de los sistemas de información y telecomunicaciones, como contribución a la ciberseguridad nacional, no limitándose a la protección de los sistemas de utilización puramente militar, y en el marco de los principios que se establezcan al efecto en la Estrategia de Ciberseguridad Nacional. Los cometidos que llevará a cabo el MCCD, según establece la OM, se descomponen hasta en 23 actividades diferentes, incluido el mando.

   

 A‐11 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

Figura 2

Dichas actividades se agrupan funcionalmente en áreas de actividad. Dichas áreas se agrupan en áreas funcionales de mayor nivel que constituyen las diferentes secciones del Mando.

   

 A‐12 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

Figura 3

El ejercicio de dichas actividades y su agrupación funcional determina el número de efectivos necesarios para su ejecución. ORGANIZACIÓN MANDO CONJUNTO CIBERDEFENSA MILITAR (MCCDM

   

 A‐13 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 1

Figura 4

PERSONAL

Figura 5

Una vez creado el MCCD se pondrán marcha las siguientes acciones: •

•

•

• •

•

•

   

Mediante una Instrucción de Organización del JEMAD, el MCCD se constituirá como un mando operativo, constituyendo el quinto Mando Componente. Establecerá un sistema defensivo mediante la coordinación de los Centros de Detección (CERT) que se constituyan, un sistema de control y evaluación de información de redes mediante la creación de un software específico, y un sistema ofensivo mediante el desarrollo de ciberarmas. Así mismo, llevará a cabo la formación y el adiestramiento del personal especializado necesario para alcanzar y mantener la capacidad de Ciberdefensa Militar. Todo ello tal como establece el Plan de Acción. Otra de las acciones a realizar es el nombramiento del Comandante del MCCD, que será de categoría general de Brigada o Contralmirante. La Capacidad Operativa Inicial (IOC) está previsto que se alcance en junio de 2013, cuando se constituyan los CERT y el Mando cuente con su comandante y unos efectivos de 27 hombres y mujeres. La Capacidad Operativa Final (FOC) está previsto que se alcance en diciembre de 2013, cuando además de los efectivos y capacidades adquiridos con la IOC, el Mando cuente con los 23 efectivos restantes e inicie el control de las redes y la gestión de ciberarmas. Su ubicación inicial será en el CG del EMAD.

 A‐14 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 2

   

  Figure 6– Composition of team for cyber weapon development

  BIBLIOGRAFÍA    1. REVISTA DE AERONÁUTICA Y ASTRONÁUTICA /Octubre 2012  2. REVISTA ESPAÑOLA DE DEFENSA/ Marzo 2013  3. The Rise Of Cyber Weapons and Relative Impacto n Cyberspace. Pierluigi Paganini.  4. Cyber Warfare Operations:Development and use under International Law. Major Arie  J. Schaap  5. Visión del JEMAD de la Ciberdefensa Militar. 28 enero 2011  6. Concepto de Ciberdefensa Militar. 28 de julio de 2011  7. Plan  de  Acción  para  la  Obtención  de  la  Capacidad  de  Ciberdefensa  Militar.  12  julio  2012.  8. OM 10/2013, de 19 de febrero por la que se cre el Mando Conjunto de Ciberdefensa  de las Fuerzas Armadas. 

CESEDEN 

 

XXXIII CURSO DE DEFENSA NACIONAL  Anexo 2

  9. El Ciberespacio. Nuevo escenario de confrontación. Monografía del CESEDEN nº 126/  Febrero 2012  10. Tallinn  Manual  on  the  International  Law  Applicable  to  Cyber  Warfare,  ED.  NATO  Cooperative Cyber Defence Centre of Excellence, Cambridge University Press 2013