SELLO DE CIBERSEGURIDAD

Transcripción

1 SELLO DE CIBERSEGURIDAD RESUMEN EJECUTIVO El presente documento recoge la descripción del Proyecto Específico que la AEI Ciberseguridad ha realizado con el fin de establecer un Sello de Ciberseguridad en toda la cadena de proveedores de organizaciones consideradas como infraestructuras críticas. Se trata de certificar que las empresas disponen de una estructura de gestión procedimental así como unas medidas de seguridad adecuadas para garantizar su seguridad desde el punto de vista de las tecnologías de la información. La AEI de Ciberseguridad y Tecnologías Avanzadas ha desarrollado un innovador Sello de Ciberseguridad para Infraestructuras Críticas y sus proveedores en el seno de sus grupos de trabajo. El objetivo de este sello es certificar la excelencia de una empresa en cuanto al seguimiento, procedimentación y gestión e implementación de medidas técnicas en toda su estructura desde un punto de vista de la ciberseguridad. El sello lo conforman todos los procedimientos, medidas de seguridad y criterios que una empresa debe de seguir para ser excelente en cuanto a ciberseguridad. La estructura del sello dispone de los siguientes procedimientos de manera general. Procedimiento de solicitud Procedimiento de valoración Procedimiento de asignación, renovación y mantenimiento Formación Procedimientos técnicos de cumplimiento en cuanto a Ciberseguridad, Datos, Servidores, Etc. Una vez desarrollado este sello se ha establecido una estructura de gestión que permite mantener y evolucionar el sello, conforme a las nuevas exigencias de la ciberseguridad. 1

2 PRESENTACIÓN DE LOS PARTICIPANTES QUÉ ES LA AEI DE CIBERSEGURIDAD? La AEI de Ciberseguridad (Agrupación Empresarial Innovadora en Ciberseguridad y Tecnologías Avanzadas) es un cluster que reúne a empresas, asociaciones, centros de I+D+i, universidades y entidades públicas o privadas interesadas en la promoción del sector de las Tecnologías Avanzadas o Emergentes con especial atención a la Ciberseguridad, sus industrias afines y auxiliares, así como otros sectores emparejados con el mismo, que deseen contribuir a los fines de la Agrupación. El Instituto Nacional de Ciberseguridad (INCIBE) promovió la Agrupación en 2009, con el objetivo de dotar de una estructura operativa al conjunto de empresas interesadas en la promoción y desarrollo de un Polo Empresarial y Tecnológico vinculado a sus fines. OBJETIVO GENERAL Y OBJETIVOS ESPECÍFICOS DEL PROYECTO Los operadores de infraestructuras críticas, es decir, aquellos servicios esenciales prestados a la sociedad y para los cuáles no existe alternativa inmediata (suministro de agua, electricidad, etc.), deben cumplir la Ley para la Protección de las Infraestructuras Críticas (LPIC) y su Reglamento (RDPIC). El correcto cumplimiento de la LPIC exige una serie de medidas técnicas y organizativas exigentes, tanto para el operador como para su cadena de proveedores, especialmente en el ámbito de la ciberseguridad. No existe un estándar en el ámbito de la ciberseguridad que evalúe la seguridad en internet a nivel técnico para las empresas y organizaciones Este Sello va a permitir certificar que las empresas cumplan con los requisitos de la LPIC y el RDPIC, tanto a nivel organizativo como técnico. No sustituye otros Sellos (ISO 27001, ISO20000, etc.) sino que los complementa y cubre el vacío técnico que existe en este ámbito. 2

3 La mayoría de los sellos certifican el sistema de gestión, pero no entran al detalle de los aspectos técnicos. Algo que es fundamental en el ámbito de la ciberseguridad, puesto que los ataques y su defensa están en constante cambio. El objetivo del sello es ofrecer más confianza entre las empresas involucradas en la PIC y hacia la ciudadanía en general. Se pretende simplificar la selección y contratación de proveedores a los operadores, sabiendo que en toda la cadena de suministro se cumple la normativa vigente. POR QUÉ EL SELLO DE LA AEI? El sello de la AEI es la certificación en ciberseguridad de la industria para la industria. Más de 80 entidades, públicas y privadas, conforman la AEI de Ciberseguridad y Tecnologías Avanzadas. Éstas son las organizaciones más representativas del sector, aglutinando tanto la oferta tecnológica y de servicios, como la demanda sofisticada. La AEI es la única agrupación empresarial innovadora del entorno de la ciberseguridad reconocida como por el Ministerio de Energía, Turismo y Agenda Digital. El objetivo del proyecto es el lanzamiento al mercado de un sello de certificación que cubra la necesidad demandada, tanto por la industria en general como por las infraestructuras críticas en particular. Su implantación supondrá demostrar que estas disponen de los sistemas y medidas de seguridad físicas y lógicas necesarias para proteger sus activos de las distintas amenazas que puedan afectar negativamente a los servicios o capacidades de las organizaciones. 3

4 DESCRIPCIÓN DEL PROYECTO QUÉ ES EL SELLO DE CIBERSEGURIDAD DE LA AEI? El sello de ciberseguridad de la AEI es un esquema de certificación incluye los requisitos de seguridad que debe cumplir cualquier organización considerada Infraestructura Crítica así como cualquier entidad que se relacione con alguna de éstas a modo de proveedor, cuando necesite demostrar que dispone de los sistemas y medidas de seguridad físicas y lógicas necesarias para proteger sus activos de las distintas amenazas que puedan dañarlos y/o provocar daños en los servicios o capacidades de la organización. QUIÉN PUEDE CERTIFICARSE? Cualquier entidad pública o privada (grandes, medianas y pequeñas empresas) que quieran demostrar que cumplen con unos requisitos de ciberseguridad acorde con el esquema de la AEI de ciberseguridad. QUÉ GRUPO DE EMPRESAS PARTICIPARON EN LA DEFINICIÓN DEL SELLO? Dentro del marco de trabajo colaborativo entre diferentes empresas o entidades, SGS España ha sido uno de los principales impulsores del desarrollo del Sello de Ciberseguridad, 4

5 QUÉ CERTIFICA EL SELLO DE LA AEI? El sello reconoce el cumplimiento de la empresa con una serie de requisitos de seguridad que incluyen, entre otros: Protocolos de comunicaciones Protección de datos Infraestructura Recursos Humanos Proveedores Servicios FASE DE FORMACIÓN La formación oficial del Sello de Ciberseguridad de la AEI se compone de tres cursos de diferente duración y profundidad técnica, en función del perfil a quien va dirigido. Esta formación tiene un doble objetivo. Por un lado, cumplir con los requisitos del Sello de Ciberseguridad y, por el otro, concienciar y preparar a los diferentes perfiles de una organización en materia de ciberseguridad. FASE DE LA IMPLEMENTACIÓN DEL SELLO DE CIBERSEGURIDAD EN LAS ORGANIZACIONES El Sello de Ciberseguridad puede ser implementado en cualquier tipo de organización, con o sin fines de lucro, privada o pública, pequeña o grande. El Sello de Ciberseguridad de la AEI está redactado por la propia industria y proporciona a sus consultoras calificadas una metodología de referencia para implementar la seguridad conforme a los requisitos del propio Sello. Las organizaciones que deseen obtener el Sello de Ciberseguridad de la AEI encontrarán en las consultoras calificadas una forma eficaz de implantación del esquema en sus instalaciones, de forma que el proceso de certificación sea lo más rápido y directo posible. RESULTADOS Y REPERCUSIÓN La AEI de Ciberseguridad y Tecnologías Avanzadas presentó el pasado 2 de junio en León su Sello de Ciberseguiridad para infraestructuras criticas y su cadena de proveedores. Con más de 200 asistentes del sector empresarial, la industria, el sector público, la sanidad, las fuerzas y cuerpos de seguridad del estado, centros tecnológicos y medios de comunicación; y un cartel con más de 20 ponentes, durante la jornada se pudo dar a conocer las ventajas y usos de este novedoso Sello, así como debatir sobre la idoneidad de certificaciones de este tipo y su aplicación a nivel regional, finalizando con la experiencia de las entidades que ya han iniciado el proceso de certificación. 5

6 De izda a dcha: Antonio Silva (Alcalde de León), Begoña Cristeto (Secretaria General de Industria y de la PYME del Ministerio) y Tomás Castro (Presidente de la AEI Ciberseguridad). Tras la presentación oficial en León se han realizado presentaciones del sello en otros países como en Polonia e Israel. Ya hay más de 10 empresas, en España, que han obtenido la calificación de consultoría para asesorar a las entidades que tratan de obtener el Sello, incluso existen algunos contactos con empresas europeas para su implementación y expansión internacional. El pasado mes de julio, a petición de las Comisión Europea, se ha creado la Organización Europea de Ciberseguridad (ECSO), con el objetivo de generar la agenda estratégica de I+D en ciberseguridad, incluido en el programa Horizonte2020. Gracias entre otras cosas a esta innovadora iniciativa de estandarización y su trascendencia, la AEI de Ciberseguridad es miembro activo de la ECSO, asesorando directamente a la Comisión Europea en la toma de decisiones de Ciberseguridad y velando por los intereses nacionales. Tomás Castro (Presidente de la AEI Ciberseguridad) en la firma del contrato de colaboración público-privada entre la Comisión Europea y la Organización Europea de Ciberseguridad (ECSO). 6