Plan de Confianza en el ámbito digital 2013

Hace unos días se publicó el "Plan de Confianza en el ámbito digital 2013" (PDF) como parte de los planes que desarrollan la Agenda Digital para España (ver algún análisis aquí) y me ha parecido interesante echarle un vistazo detallado.

En primer lugar, el Plan define tres objetivos principales:

1. Experiencia digital segura. Fundamentalmente, hace referencia a medidas para fomentar la comprensión de los riesgos existentes en el mundo digital.
2. Capacidades para la resiliencia En este caso, estaríamos tratando de acciones orientadas a mejorar las capacidades de "prevención, detección y respuesta" (que para mi, ya sabéis que tiene una relación directa con el enfoque ágil de la seguridad).
3. Oportunidad para la industria y los profesionales. Básicamente, se trata de acciones para fomentar que industria, sector académico y profesionales aprovechen las oportunidades que ofrece la confianza digital.

Y para lograr, dichos objetivos, proponer 25 acciones en torno a cinco Ejes, cada una de ellas con un presupuesto asignado para el período 2013-2015:

Eje I. Experiencia digital segura		5,80	9,83%
1	Plan de sensibilización INTECO	1,60	2,71%
2	Plataforma de colaboración público-privada para incrementar la cofianza digital	0,60	1,02%
3	Piloto en itinerarios educativos	0,60	1,02%
4	Plan de menores en Internet	1,00	1,69%
5	Punto neutro de gestión de incidentes	2,00	3,39%
Eje II. Oportunidad para la industria TIC		4,10	6,95%
6	Comité Técnico de coordinación	0,00	0,00%
7	Soporte especializado a las estructuras de evaluación de proyectos	0,20	0,34%
8	Refuerzo de la capacidad de detección de demanda temprana	0,90	1,53%
9	Polo tecnológico de seguridad	2,50	4,24%
10	Foro Nacional para la Confianza Digital	0,50	0,85%
Eje III. Nuevo contexto regulatorio		0,60	1,02%
11	Adopción de la nueva regulación europea	0,00	0,00%
12	Esquema de gestión de incidentes de seguridad	0,00	0,00%
13	Esquema de indicadores para la confianza digital	0,60	1,02%
Eje IV. Capacidades para la resiliencia: INTECO 2.0		42,30	71,69%
14	Transformación organizativa y refuerzo	36,00	61,02%
15	Nueva plataforma tecnológica de alerta temprana y servicios de vigilancia tecnológica	3,50	5,93%
16	Nuevos canales de comunicación para la confianza digital	0,90	1,53%
17	Cooperación con la seguridad pública y la protección de las infraestructuras críticas	1,50	2,54%
18	Colaboración en ciberejercicios	0,40	0,68%
Eje V. Programa de excelencia en ciberseguridad		6,20	10,51%
19	Equipo de investigación avanzada	2,00	3,39%
20	Jornadas "Espacio de Ciberseguridad"	0,20	0,34%
21	Formación especializada en ciberseguridad	0,60	1,02%
22	Máster ciberseguridad INTECO	0,80	1,36%
23	Programa de becas INTECO	0,60	1,02%
24	Evento de ciberseguridad	1,00	1,69%
25	Estudio de la viabilidad de una red de centros de excelencia en ciberseguridad	1,00	1,69%

Algunos temas que saltan a la vista:

• La medida que más presupuesto tiene asignado (un poco más de un 61% del total) es la destinada a la transformación organizativa y a reforzar INTECO, haciendo que el eje cuarto (capacidades para la resiliencia) sea el eje más dotado presupuestariamente.
• Si agrupamos todas las partidas en las que se hace mención expresa a INTECO, nos vamos a un presupuesto de 49,9 millones de € (un 84,58% del total). No cabe duda de que INTECO se ha convertido en la herramienta fundamental del Ministerio, en la piedra angular, para la mejora de la confianza digital.

El gráfico siguiente resume las principales asignaciones presupuestarias a las medidas:

Y el reparto según ejes, quedaría como sigue:


Falta por saber el reparto anual de los 59 millones de € (2,80% del presupuesto de todos los planes que supera los 2.106 millones de €), pero quizás sea lo de menos... Por cierto, el reparto presupuestario del resto de planes, también es ilustrativo:

• Plan de telecomunicaciones y redes ultrarrápidas - 200 millones de € (9,50% del total)
• TIC en PYME y comercio electrónico - 163,7 millones de € (7,77% del total)
• Impulso de la economía digital y los contenidos digitales - 94,43 millones de € (4,48% del total)
• Internacionalización de empresas tecnológicas - 134,2 millones de € (6,37% del total)
• Desarrollo e innovación del sector TIC - 1.314 millones de € (62,39% del total)
• Inclusión y empleabilidad digital - 140,7 millones de € (6,68% del total)

Es decir, resulta que el plan de confianza es la cenicienta de los planes... 

... ¿todavía no me sigues en twitter.com/antonio_ramosga?

Acciones en el marco de la Estrategia Nacional de Seguridad

En la entrada anterior, empezamos a analizar la Estrategia Nacional de Seguridad de 2013 (pdf) y nos quedamos en el punto de analizar cómo se podrían desarrollar las líneas de acción estratégicas propuestas en dicho documento.

Lo que viene a continuación son algunas ideas... partiendo de la base de que, con lo que dice el documento actual, en mi opinión, no necesitamos de una estrategia de ciberseguridad, ¿qué mas va a aportar que merezca estar en un documento que lleve el nombre de "estrategia nacional"?

Ley de Seguridad Nacional

Alguno estará pensando, "¡Que original, pero si ya dice el documento que se publicará en seis meses!" Pues sí, efectivamente es así, pero lo que me gustaría comentar al respecto es que debería incorporar a dicha Ley los aspectos relacionados con la ciberseguridad, puesto que, al fin y al cabo, se rige por los mismos principios y tiene los mismos condicionantes y ser considerada como algo distinto, especial, de unos pocos "locos" creo que no le hace ningún bien.

Precisamente, tenemos en discusión una propuesta de Directiva Europea para la seguridad de la redes y los sistemas de información que, perfectamente, podría ser incorporada a esta Ley (si se dan los plazos adecuados, claro está).

En esta Ley se podría recoger aspectos fundamentales, como:

• La inclusión de la ciberseguridad como un contenido lectivo más en nuestros colegios e institutos llegando incluso a la posibilidad de grados universitarios en esta materia.
• La distribución de constituencies entre los distintos CERTs gubernamentales (quién atiende a la industria, quién a las infraestructuras críticas, quién los coordina a todos...).
• Las pautas a seguir y los principios a respetar en la coordinación entre los distintos organismos nacionales y con los internacionales pertinentes.
• Mecanismos de defensa frente a las amenazas identificadas.
• Podría también avanzar en el establecimiento de medidas de seguridad mínimas acorde a los niveles de impacto que impliquen los diferentes sistemas de información / procesos informatizados [disclaimer: Ya sabéis que soy un enamorado del etiquetado de seguridad - lo que me ha llevado a fundar una agencia de calificación de seguridad, leet security que no debe ser una idea muy loca, cuando la Unión Europea la propone también en su Estrategia de Ciberseguridad].
• El fomento de mecanismos orientados a la resiliencia, mediante la implantación de una filosofía de seguridad basada en los principios agile (detección temprana, respuesta rápida y apalancamiento en el incidente).
• Establecer / clarificar el esquema de responsabilidades en materia de fallos de seguridad (necesidad de notificar, proceso de depuración de responsabilidades, función y responsabilidades de los auditores de seguridad [al estilo de lo que se hace para la auditoría de cuentas], mecanismos sancionadores, etc.)

Ley de Protección Civil

Esta Ley, en teoría, ya está pensada para protegernos de accidentes que puedan afectar a grandes instalaciones por lo que, como ya he comentado anteriormente, solo harían falta retoques para que incluyera también los accidentes que puedan tener su origen en fallos informáticos... digamos que, de igual forma que hay que tener un plan de evacuación en caso de incendio, habría que tener un plan de contingencias informáticas en caso de incidente... ¿o no?

Ley de Seguridad Privada

En este caso, nos encontramos con una regulación que precisamente está en proceso de modificarse y que, como también hemos comentado, debería pasar de ser una Ley pensada para regular las empresas que prestan servicios de seguridad privada a ser una Ley que regule la seguridad privada en sí misma.

En este sentido, hay mucho camino por hacer: ¿Quién puede prestar servicios de ciberseguridad? ¿qué requisitos hay que cumplir? ¿cuáles son sus responsabilidades? ¿hasta qué punto podemos defendernos? ¿con quién hay que colaborar para resolver incidentes? ¿qué requisitos tienen que cumplir los profesionales de la ciberseguridad? Y un largo etcétera.

Asociación público-privada

Finalmente, para no hacer infinita esta entrada [aprovecho para pedir perdón por la longitud], habría que materializar esa colaboración público - privada que ayude al fomento de ese I+D+i que lleva a cabo la industria... ¿por qué no una iniciativa del estilo de la que acaba de realizar el gobierno británico?

Espero haber aportado mi granito de arena a la ingente tarea que ahora queda por delante...

... ¿todavía no me sigues en twitter.com/antonio_ramosga?

NOTA: He preparado un pequeño análisis gráfico de las líneas estratégicas y sus relaciones que puedo compartir con aquel que le interese.

Estrategia de Seguridad Nacional 2013... ¿y ahora qué?

Hace ya algunas semanas que se publicó la "Estrategia de Seguridad Nacional" (pdf) y ahora, casi dos años después de comentar la primera versión, no podía dejar de comentar la nueva edición de 2013.

Sin embargo, para ser honestos, he pensado que, dado que esta estrategia es mayoritariamente continuista con la primera, sería más interesante centrarme en las líneas de acción estratégicas, así que he analizado en detalle el capítulo 4 de la estrategia.

No obstante, antes de empezar, tengo que hacer una salvedad. En la estrategia se identifican las ciberamenazas como uno de los riesgos para la seguridad nacional (capítulo 3), además de reconocer el uso nocivo de las nuevas tecnologías como un potenciador de dichos riesgos. En mi opinión, este segundo enfoque es mucho más acertado, quiero decir, las ciberamenazas, en realidad, no suponen un nuevo tipo de riesgo, sino que permite que las amenazas "reales" puedan actuar a distancia y en un entorno nuevo (el ciberespacio).

De hecho, así parece reconocerse implícitamente en el texto, puesto que una lectura con enfoque ciber te hace ver que, realmente, los aspectos ciber aparecen en 7 de las 11 amenazas restantes y en sus respectivas líneas estratégicas, en particular, en:

• Terrorismo > Lucha contra el terrorismo
• Crimen organizado > Lucha contra el crimen organizado
• Inestabilidad económica y financiera > Seguridad económica y financiera
• Vulnerabilidad energética > Seguridad energética
• Espionaje > Contraespionaje
• Emergencias y catástrofes > Protección ante emergencias y catástrofes
• Vulnerabilidad de las infraestructuras críticas y servicios esenciales > Protección de las infraestructuras críticas

Y si analizamos las líneas de acción estratégicas, se pueden identificar cuatro elementos que parecen estar en la base de todas las acciones puesto que se repiten una y otra vez:

• Fortalecer redes y sistemas de información nacionales (del sector público, de las infraestructuras críticas, del sector privado...)
• Marco jurídico operativo y eficaz (para las investigaciones y lucha anti-terrorista, para reforzar la protección de los sistemas clasificados, para la contrainteligencia y para la protección ante emergencias y catástrofes)
• Implantación de una cultura de ciberseguridad sólida (en relación a la protección ante emergencias, la contrainteligencia, la protección de sistemas clasificados...)
• Coordinación (básicamente en todas las líneas hay una mención a la coordinación - obvio, considerando que uno de los principios de la estrategia es la eficiencia).

En la próxima entrada, veremos cómo se podrían abordar estas acciones (o, al menos, una propuesta).

... ¿todavía no me sigues en twitter.com/antonio_ramosga?

Vídeo de la charla de este año en rootedcon2013: ¿Y si la seguridad afectara al valor contable de la empresa?

Me he dado cuenta de que no lo había publicado, aunque sí twitteado...

Antonio Ramos - ¿Y si la seguridad afectara al valor contable de la empresa? [Rooted CON 2013] from rootedcon on Vimeo.

Charla: "Gobernando la Seguridad hacia los objetivos corporativos"

(Este artículo se publicó originalmente en n+1 tiende a infinito, el blog de n+1 Intelligence & Research)

Vídeo de la charla impartida dentro del ciclo de conferencias TASSI de 2013 titulada "Gobernando la Seguridad hacia los objetivos corporativos":

Ciber-armas

Leyendo acerca de la detención en España del (¿presunto?) autor del mayor colapso en Internet (enlace) [aunque, al fin y al cabo, tampoco fue para tanto, ¿no?], y supongo que debido a que ando estos días dándole vueltas al texto para la reforma de la Ley de Seguridad Privada, me surgen algunas reflexiones:

• ¿Qué deberíamos entender por una ciberarma?
• Considerando que la posesión de armas está regulada, ¿no debería estar regulada también la posesión de esas ciberarmas?
• Dado que todos los equipos pueden ser utilizados como zombies de una red de ataque, ¿no se deberían pedir medidas de protección mínimas a todos aquellos que gestionen equipos (y más cuántos más gestionen o más potentes sean)?
• ¿Por qué seguimos aplicando leyes territoriales a algo que no lo es? Quiero decir, para atacarme en el mundo físico, el atacante tiene que acercarse... ¿o no? Me explico, ¿puede atacar Corea del Norte a EE.UU.? Sí, por supuesto, puede lanzarle misiles. Entendido. ¿Y EE.UU. puede defenderse? Claro, también puede lanzarle misiles. OK. Entonces [y os pido perdón por adelantado por lo que voy a decir], si alguien me lanza un ataque desde sus equipos en forma de "pseudo-paquetes TCP/IP malintencionados", ¿no podría yo devolverle la moneda de la misma forma sin suponer ningún tipo de vulneración de no-se-qué-legislación?
• Y, finalmente, ¿qué legitimación tiene una empresa privada para enfrascarse en este tipo de incidentes? Quiero decir, si alguien intenta robar, atacar, o atentar contra otro son las Fuerzas y Cuerpos de Seguridad las que están habilitadas para actuar, sin embargo, en este mundo online, dos empresas se pueden enfrascar en una pelea que... ¿"afecte a Internet"? ¿Quienes son estas empresas para permitirse semejante lujo? ¿En qué se fundamentan? ¿Os imagináis que trasladamos esto al mundo "físico"? Ya me veo a las compañías de seguridad privada persiguiendo por las calles de la ciudad a unos atracadores que han intentado robar una oficina bancaria disparando sus armas sin control... En fin, creo que hay que poner coto a este tema antes de que se nos vaya de las manos.

... ¿todavía no me sigues en twitter.com/antonio_ramosga?

El Gobierno de la Seguridad y la Protección de las Infraestructuras Críticas

(Este artículo se publicó originalmente en n+1 tiende a infinito, el blog de n+1 Intelligence & Research)

El modelo de gobierno propuesto por Cobit5 se basa, como principio fundamental, en lo que ha denominado la cascada de objetivos. Lo que propone esta cascada, en esencia, es que nuestras acciones tienen que estar relacionadas con las necesidades de todas las partes interesadas (stakeholders) de nuestra organización.

Si aplicamos este modelo a la seguridad de la información, adaptando el modelo de Cobit5 para las TICs, tendríamos una cascada como la que vemos en la figura adjunta. Es decir, partiendo de las necesidades de las partes interesadas, se fijan los objetivos empresariales, que son los que determinan los objetivos en materia de seguridad de la información y, a partir de ellos, se establecen las metas para los catalizadores de gobierno identificados por ISACA en el mencionado marco de gobierno (políticas, cultura, organización, procesos, información, herramientas y capacidades).

Pero, ¿cuál es la relación con la protección de las infraestructuras críticas?

Si se aplica este modelo a las infraestructuras críticas, lo primero que hemos de hacer es identificar a todas las partes interesadas y sus necesidades. Y si hablamos de proteger las infraestructuras críticas, una de las partes interesadas somos los ciudadanos que podemos vernos afectados por una fallo en dichas infraestructuras. El paso siguiente sería identificar nuestras necesidades y una necesidad sería, lógicamente, que se salvaguardara la seguridad de las mismas para que ningún incidente pudiera llegar a suponer un riesgo para nosotros.

Por tanto, aplicando esta lógica, los objetivos de seguridad del operador de dicha infraestructura reflejarían la necesidad de protección de los ciudadanos solucionando así uno de los grandes handicaps de la protección de las infraestructuras críticas: Que se protejan adecuadamente a pesar de ser gestionadas por operadores privados (en su mayoría) que se rigen por criterios económicos.

Por tanto, ¿debería abordarse seriamente la implantación de marcos de gobierno de la seguridad como medida de protección de las infraestructuras críticas?

... ¿todavía no me sigues en twitter.com/antonio_ramosga?

Lectura: "The Cuckoo's Egg"

Creo que fue una recomendación de @lostinsecurity, aunque no lo recuerdo bien... el caso es que es la demostración de que se puede hacer una novela sobre seguridad informática sin caer en estridencias ni en la ciencia ficción, al menos esa es mi opinión.

Personalmente, me ha parecido entretenida, se lee bien (incluso en inglés) y, a pesar de tratarse de una obra publicada inicialmente en 1989 [¡¡¡hace 24 años!!!] mantiene toda su actualidad y aborda las grandes dificultades existentes  para perseguir a los que comenten algún delito informático principalmente por dos aspectos principales a mi juicio:

• La no-territorialidad de Internet. Mientras que las legislaciones y los instrumentos policiales están ligados a un territorio, los accesos y las comunicaciones permiten las conexiones desde cualquier punto del globo.
• La incomprensión de la informática por parte de los legisladores y la mayoría de los nacidos no-digitales que hace que se inventen cosas nuevas para los aspectos informáticos cuando, por ejemplo, los delitos son los mismos aunque utilicen medios técnicos "nuevos".

Pero quizás el pasaje que mas me ha gustado ha sido cuando el protagonista (informático hippy) habla con su pareja y ésta le hace ver que lo que está haciendo, intentando atrapar al que ha accedido a su sistema, es actuar cómo un policía cuando se supone que el es un administrador de sistemas. Y, en realidad, hay que reconocer que tiene toda la razón... Somos conscientes de que nadie se puede tomar la justicia por su mano y que hay que recurrir a los cuerpos y fuerzas de seguridad para denunciar y que a ellos le corresponde la investigación, pero sin embargo, en lo que se refiere a la seguridad informática, estamos acostumbrados a técnicas que rozan, si no sobrepasan, la línea roja de lo que se podría entender por defenderse (acceso a equipos de los atacantes, interceptación de comunicaciones, etc.) y se realizan acciones que, en teoría, corresponderían a esos cuerpos y fuerzas de seguridad.

Para finalizar, os dejo con algunas frases extraídas de la novela que han llamado mi atención por algún motivo:

"Pregunté que policías estaban a cargo de Internet"

"No me gustó el sistema de White Sands. No soy capaz de recordar contraseñas generadas por ordenador, por eso las apunto en mi cartera o junto a mi terminal"

"Esto es cada vez más extraño", dijo Martha. "Empezó como un hobby, persiguiendo a un bromista y ahora estás hablando con esos militares con trajes y sin sentido del humor. Cliff esto no es lo tuyo [...] ¿Quieres emplear tu tiempo siendo un policía?"

"¿Cómo mantenéis vuestros sistemas [de la CIA] seguros?" "Estricto aislamiento. No hay cables conectando con el exterior"

"Mi trabajo es hacer funcionar un ordenador. No atrapar criminales"

"La gente pone más atención para cerrar sus coches que para asegurar sus datos"

"Mi salario se desvió del soporte de sistemas al contraespionaje"

"Eran dolorosamente conscientes de que la seguridad interfiere las operaciones. Equipos de alta-seguridad son difíciles de penetrar, y poco amigables en su uso".

"Cualquier sistema puede ser inseguro. Todo lo que tienes que hacer es administrarlo de manera estúpida"

"La cuestión no es "qué equipo es más rápido," no, ni siquiera "cuál es mejor". En su lugar, preguntar "¿Cuál es más adecuado?" o "¿Cuál hará que el trabajo se haga?"

"La red de la NASA [...] es una autopista conectando equipos por todo el país. Un ladrón podrá usar naturalmente esa carretera, pero eso apenas puede ser el fallo del fabricante de la carretera. La NASA solo es responsable de mantener la carretera intacta. La seguridad de cada equipo recae en las manos de la gente que los ejecuta."

"Para tener las redes como nuestro lugar de juegos, tenemos que preservar nuestra sensación de confianza; para hacer eso, tenemos que tomárnoslo en serio cuando la gente rompe esa confianza."

"Ese es el problema de hablar sobre problemas de seguridad. Si describes como hacer una bomba [...], el próximo niño [...] se pude convertir en terrorista. Pero si suprimes la información, la gente no será consciente del peligro."

"La ciencia y el progreso social solo tienen lugar en abierto. [...] Sí, puedes hacer equipos y redes seguros. Pero serán normalmente difíciles de usar y poco amigables."

... ¿todavía no me sigues en twitter.com/antonio_ramosga?

Estrategia de Ciberseguridad de la Unión Europea

Una gran noticia para todos los europeos: Se ha publicado la Estrategia de Ciberseguridad de la Unión Europea (pdf).

Y dado que en su día comenté la Estrategia Española de Seguridad no iba ahora a no comentar la europea de ciberseguridad, ¿verdad?

Lo primero que tengo que decir [como alguno que me conoce supondrá] es que no me gusta que la ciberseguridad sea tratada como algo diferente. En mi opinión: La ciberseguridad es parte integrante de la seguridad.

Y una vez hecha esta salvedad, destacar las piezas principales de la misma:

• Se establecen cinco principios:
• Los valores esenciales de la UE aplican tanto en el mundo físico como en el digital [como si hubiera dos mundos, ¿Fringe?]
• La protección de los derechos fundamentales, de la libertad de expresión, de los datos personales y de la privacidad.
• Acceso para todos.
• Gobierno de multi-grupos de interés democrático y eficiente.
• Una responsabilidad compartida para asegurar la seguridad.
• Se identifican cinco prioridades (algunas de ellas descompuestas en varias):
• Conseguir "ciber-resiliencia"
• Proponiendo legislación
• Elevando el nivel de concienciación
• Reducir drásticamente el cibercrimen
• Con legislación fuerte y efectiva
• Mejorando la capacidad operativa para combatirlo
• Mejorando la coordinación a nivel europeo
• Desarrollar una política y capacidades de ciberdefensa
• Desarrollar recursos industriales y tecnológicos para la ciberseguridad
• Promocionando un mercado único para los productos de ciberseguridad
• Impulsando las inversiones en I+D y la innovación
• Establecer una política de ciberespacio coherente a nivel internacional y promover los valores fundamentales de la UE
• Se clarifica que los estados son los que deben asumir el liderazgo de la ciberseguridad, aunque se deben establecer los mecanismos de coordinación y colaboración adecuados, tanto a nivel nacional, como europeo como internacional puesto que las amenazas no entienden de fronteras.

De todas formas, he preparado este mapa mental que recoge de manera más exhaustiva lo principal de la estrategia:

Finalmente, aunque es un gran avance (sin lugar a dudas) siguen existiendo aspectos que no han sido recogidos como consecuencia de seguir considerando que el ciberespacio es un espacio disjunto al espacio físico, cuando son parte de un mismo espacio. Me refiero a aspectos que ya he comentado antes, como:

1. La obligación de planes de seguridad para empresas que hagan uso de sistemas TIC (al estilo de lo que exige la Ley de Riesgos Laborales).
2. La necesidad de contar con planes de contingencia para aquellos que puedan afectar a la población (en línea con la Ley de Protección Civil).

... ¿todavía no me sigues en twitter.com/antonio_ramosga?

Cómo cumplir con PCI DSS si utilizo cloud computing

(Esta entrada se publicó originalmente en n+1 tiende a infinito)

En esta entrada vamos a analizar el recién suplemento informativo publicado por el PCI Security Standards Council relativo a la computación en la nube (PDF).

En primer lugar, destacar que es un documento bastante exhaustivo (52 páginas) que incluso, en nuestra opinión, va un poco más allá de lo que se esperaría de un suplemento informativo del PCI SSC, puesto que dedica todo un apartado (el sexto) a "otras consideraciones" sobre la computación en la nube que, como su propio nombre indica, no afectan a la cuestión a cubrir: Servir como punto inicial de discusión para proveedores de servicios en la nube y clientes (especialmente centrado en los casos de nubes públicas).

Desde nuestro punto de vista, el documento gira entorno a tres ideas principales que gobiernan todo el contenido:

1. Los servicios en la nube suponen una pérdida de control, por lo que es necesario delimitar claramente las responsabilidades de las partes antes de utilizarlos y llevar a cabo un proceso de due diligence previo que permita verificar el cumplimiento del proveedor con los requisitos de PCI DSS.
2. Es necesario establecer un adecuado aislamiento de los datos en los entornos en la nube mediante mecanismos de segmentación que permitan limitar el alcance de las evaluaciones de cumplimiento.
3. El proveedor y el cliente deben contar con mecanismos para asegurar que el cumplimiento se mantiene de manera continuada.

Respecto a la primera idea nos gustaría destacar que:

• Se proporciona una guía muy útil (no prescriptiva) de cómo se pueden distribuir las responsabilidades entre cliente y proveedor (Anexos A y C) para cada una de las modalidades de servicios en la nube (SaaS, PaaS e IaaS) puesto que se considera indispensable que conste por escrito (a ser posible en los SLAs del servicio) quien se responsabiliza de la implantación y ejecución de cada control, cómo se va a informar sobre su estado y su gestión y que el cliente entienda qué responsabilidad acepta el proveedor para cada control.
• Se refuerza la idea de que una pérdida de control sobre los controles no supone una pérdida de responsabilidad del cliente de que dichos contrales deben ser efectivos y, por tanto, debe asegurarse un nivel de visibilidad y de monitorización de los mismos adecuado.
• Por dicho motivo, se recomienda a los clientes que trabajen con proveedores que cumplan PCI DSS pero que, antes de contratar un servicio, se informen de:
• Desde cuándo cumple el proveedor con PCI DSS y cuándo fue su última evaluación.
• Qué servicios y requerimientos fueron incluidos en dicha evaluación.
• Qué sistemas e instalaciones fueron evaluados.
• Si algún componente del sistema necesario para la prestación del servicio no fue incluido en la evaluación.
• Cómo evita el proveedor que los clientes no introducen componentes que no cumplan con PCI DSS o eviten los controles existentes.
• Con independencia de utilizar servicios en la nube, el cliente tiene que seguir demostrando su cumplimiento con los requisitos de PCI DSS.

Respecto al segundo concepto sobre la necesidad de aislamiento mediante segmentación, lo más destacable, a nuestro juicio es que pone realmente difícil utilizar servicios de nube pública que no hayan sido pensados para cumplir con PCI DSS. Decimos esto porque obliga (en línea con lo establecido en el estándar para proveedores de servicio) a una total segmentación entre entornos de distintos clientes y con el propio proveedor sin ninguna conectividad entre ellos; es decir, no se puede compartir ningún elemento del sistema, ni aplicación, ni bases de datos, ni comunicaciones... en definitiva, realmente complejo pensar en una aplicación SaaS que pueda ser eficiente si tenemos que aplicar todas estas medidas de segmentación. Como mucho, podremos ver servicios de plataforma o infraestructura. En cualquier caso, en relación a este concepto nos gustaría destacar las siguientes ideas recogidas en el suplemento:

• La segmentación debe proporcionar un aislamiento equiparable al que obtendríamos con una separación física de redes.
• Sin una adecuada segmentación, todos los clientes de la infraestructura compartida, así como el propio proveedor, tendrán que cumplir con PCI DSS para que cualquiera de sus clientes pueda ser considerado como que cumple con el estándar. Es decir, todos ellos estarán considerados en el alcance de la evaluación de cumplimiento de cualquiera de ellos, haciendo prácticamente imposible alcanzar el cumplimiento.
• El proveedor debe asumir la responsabilidad de establecer los mecanismos de segmentación adecuados entre clientes y con el propio proveedor, evitando que incluso el hypervisor o cualquier otra sistema subyacente puedan suponer una vía de comunicación entre ellos.
• Los mecanismos de segmentación a utilizar serían los mismos que los utilizados en un entorno no virtualizado: cortafuegos y segmentación de red a nivel de infraestructura, cortafuegos, IPS, DLP a nivel de hypervisor y máquina virtual, uso de VLANes, aislamiento de procesos y recursos, almacenes de datos segmentados, autenticación fuerte de doble factor, segregación de tareas...
• La segmentación implementada debe ser validada, como siempre, por el QSA.
• Es importante entender las relaciones del proveedor con terceros, puesto que añaden complejidad a la delimitación del alcance y al objetivo de cumplir con el estándar.
• Las recomendaciones para reducir el alcance serían:
• No utilizar servicios en la nube (¡¡¿?!!)
• Utilizar una infraestructura dedicada (¡¡¿?!!) solo para el entorno incluido en el alcance
• Minimizar la dependencia en el proveedor para cumplir con los requerimientos (es decir, utilizar servicios en los que el cliente mantenga más el control: IaaS o, como mucho, PaaS).
• Tratar de evitar que los datos estén en claro en la nube [Esta es la única recomendación como tal]
• En relación a la propia evaluación, si el cliente no ha sido evaluado, debe ser incluido en la evaluación de cumplimiento del cliente y, entonces, deben establecerse SLAs que claramente identifiquen el permiso del proveedor a ser auditado y la parte de las tareas que van a ser realizadas por cada uno de ellos.

Finalmente, en relación a la tercera idea de mantenimiento a lo largo del tiempo, obviamente el documento recoge la necesidad de que el cumplimiento se mantenga durante la prestación del servicio y el proveedor debe demostrar cómo se mantiene dicho cumplimiento en el tiempo.

Como último punto de nuestro análisis, destacar también que el documento incluye un apartado final (el séptimo) con la guía que sugiere a los clientes antes de adoptar un servicio en la nube (ENTENDER, COMPARAR, EVALUAR, CONOCER...), así como un apéndice (el D) con preguntas a realizar al proveedor como orientación para todo este proceso de due diligence.

En definitiva y como resumen, una guía que desalienta bastante la utilización de servicios en la nube  (especialmente los de SaaS públicos) para aquellos que se lo estuvieran pensando...

... ¿todavía no me sigues en twitter.com/antonio_ramosga?

Mega, la nueva generación de servicios cloud. Casualidad o visión

Este artículo se publicó originalmente en el blog de INTECO.

Mucho se ha escrito sobre MEGA, el nuevo servicio de Kim Dotcom y sucesor de Megaupload, desde que lo lanzara el pasado 20 de enero, justo al cumplirse un año de su detención. El objetivo de esta entrada es reflexionar sobre las características de dicho servicio pero desde una perspectiva ligeramente distinta, o al menos, eso es lo que se pretende.

En primer lugar, me gustaría llamar la atención sobre el aspecto de la fragmentación y dispersión de los contenidos puesto que creo que no ha sido tratado con la suficiente relevancia. Una de las características del servicio es que, del mismo modo que hace Google, fragmenta la información que el usuario sube a la nube y la dispersa por múltiples localizaciones, además de manera reiterativa, de forma que actúa como mecanismo de contingencia. De esta forma, Mega lo que custodia son los índices que apuntan a dichos fragmentos, de manera que cuando el usuario quiere acceder a esa pieza de información sabe dónde tiene que ir a buscar los fragmentos que lo componen para recomponerla y, además, como tiene varias copias de cada fragmento, puede acceder a la unidad que más rápido responda a la petición. En definitiva, un mecanismo que asegura que en el caso de que un centro de procesamiento se caiga, el servicio podría seguir funcionando o que si alguien accede a una de esas unidades de almacenamiento no va a poder recuperar ninguna pieza de información completa solo fragmentos "sin sentido".

Como digo, me parece un mecanismo tremendamente resiliente y que, aunque ha sido pensado para evitar que un país pueda "desenchufar" el servicio de manera unilateral (como le ocurrió a Megaupload), tiene derivadas para la seguridad del sistema que lo hacen increíblemente seguro (evidentemente la pieza clave, son los índices y quién puede acceder a ellos). Pero, lo que me gustaría destacar es su importancia en lo relativo al cumplimiento de la legislación en materia de protección de datos. Actualmente, la legislación nos obliga a saber en qué país se encuentran nuestros datos, pero… si utilizamos este sistema, ¿en qué país o países se encuentran? ¿en todos en los que Mega tiene almacenamiento? ¿en algunos? Y lo que me parece más importante, ¿realmente podemos considerar que lo que tiene Mega son datos de carácter personal? Me refiero a que si subo mi nombre (Antonio Ramos) a Mega y lo que hace el servicio (perdonad la simplificación de este ejemplo) es fragmentar esta pieza de información y almacenar la cadena ’Anto’ en Singapur y EE.UU., ’nioR’ en España y Nueva Zelanda y ’amos’ en Alaska y en Noruega… ¿realmente está ese dato en todas esas ubicaciones? ¿sólo dónde estén los índices? Creo que es una cuestión realmente relevante, porque este tipo de almacenamiento podría llegar a simplificar el cumplimiento tremendamente.

Además, si a esto le unimos, el segundo aspecto, el cifrado de la información controlada por el usuario (y observar que digo cifrado, por favor), al margen de las mejoras que dicho mecanismo puede tener técnicamente y suponiendo que hace realmente lo que dice, es decir, que Mega no tiene acceso a la información porque está cifrada con una clave que tiene el usuario que sube la información, ¿realmente podemos considerar esa información como un dato de carácter personal? Aquí he de decir que comparto la postura de PCI-DSS en relación a este tema: Si el proveedor custodia información cifrada de la cual no tiene la clave de descifrado, no se considera que es un dato de titular de tarjeta y, por tanto, queda fuera del alcance del estándar. Por tanto, ¿no podríamos considerar que la información cifrada, siempre que no haya acceso a la clave de descifrado, no se considera dato de carácter personal y por tanto no hace falta cumplir las medidas en dichos casos?

Al igual que en el caso previo, una medida que se ha pensado para exonerar a Mega de responsabilidad sobre los contenidos, tiene una implicación de gran relevancia: La responsabilidad sobre los contenidos es únicamente de quien siempre es, de su propietario. Es decir, estamos acostumbrados a que existan dudas sobre quién debe hacer qué en los servicios en la nube y el reparto de tareas es siempre algo dudoso. Pero además de esto, incide sobre otro aspecto que a mi juicio es aún más importante. En estos días, son muchos los que hablan insistentemente sobre la necesidad de confiar en los proveedores de servicios en la nube, pero yo defiendo otra postura, directamente no confiar en el proveedor. ¿A qué me refiero? Me refiero a que cuando queremos garantizar el suministro eléctrico de nuestro CPD, contratamos dos acometidas de distintos proveedores. Esto mismo hacemos cuando queremos garantizar las comunicaciones. Y es lo mismo que hacemos con las copias de respaldo… y si lo hacemos en tantas ocasiones, ¿por qué no lo hacemos en la nube? ¿por qué ponemos todo en el mismo proveedor y pretendemos que sea infalible? ¿Desde cuándo tener un solo cliente / proveedor no es un going concern en un informe de auditoría? Evidentemente, debemos esperar una calidad de servicio razonable y tener mecanismos de penalización en caso de que no sea así y, aún más, debemos tener mecanismos que garanticen la interoperabilidad de los servicios, pero, no debemos perseguir quimeras: No podemos pretender que nuestro proveedor sea infalible.

En definitiva, pienso que Mega ha puesto el dedo en la llaga y no sé si lo han hecho por casualidad o porque son unos visionarios, pero, en mi opinión, han acertado de pleno.

... ¿todavía no me sigues en twitter.com/antonio_ramosga?