Todos los derechos reservados para XM S.A.E.S.P.

Tamaño: px

Comenzar la demostración a partir de la página:

Xavier Moreno Salinas
hace 6 años
Vistas:

2 Ciberseguridad Sector Eléctrico Colombiano, Perspectiva XM Rubén Dario Villa Trujillo Octubre 2017

3 1 Contexto 2 Política seguridad nacional e Infraestructuras criticas 3 Consejo Nacional Operación, Comisión ciberseguridad 4 Ciberseguridad XM 5 Preguntas 2

4 Contexto Sólo existen dos tipos de empresas: aquellas que han sido hackeadas, y otras que lo serán en el futuro. Robert Mueller, Director FBI, 2012

5 Ciber ataques

Evolución de ciberataques Crashoverride Hidden Cobra Stuxnet 2010 Irán Plantas Nucleares Black Energy 2015 Black Energy 2016 Wannacry, petya, ransomware 2017 Ucrania Ucrania Nivel Mundial Sector

6 Evolución de ciberataques Crashoverride Hidden Cobra Stuxnet 2010 Irán Plantas Nucleares Black Energy 2015 Black Energy 2016 Wannacry, petya, ransomware 2017 Ucrania Ucrania Nivel Mundial Sector Eléctrico Sector Eléctrico Vulnerabilidades de día cero Software especializado (Sistema Scada) Internet down? 201? Nivel Mundial Pérdida comunicaciones Ciberinteligencia, ciberespionaje, centrales de inteligencia Cibercrimen, ciberterrorismo, Malware como Servicio Web Oscura / Profunda, Filtraciones de centrales de inteligencia 6

Sistema interconectado Nacional Modelo organizacional del sector Estadísticas POBLACIÓN APROXIMADA:49.453.

7 Sistema interconectado Nacional Modelo organizacional del sector Estadísticas POBLACIÓN APROXIMADA: DEMANDA : 157 Gwh y 196 Gwh TOTAL CAPACIDAD EFECTIVA NETA: 16, (MW) TOTAL LÍNEAS DE TRANSMISIÓN SIN: KM

XM Operador del Sistema Eléctrico Colombiano Operador de Sistema Interconectado Nacional Planeación de los recursos de generación Planeación de los recursos de transmisión Suplir Demanda de energía

8 XM Operador del Sistema Eléctrico Colombiano Operador de Sistema Interconectado Nacional Planeación de los recursos de generación Planeación de los recursos de transmisión Suplir Demanda de energía eléctrica Planeación se realiza a corto, mediano y largo plazo. XM administra el Mercado de Energía Mayorista de Colombia Atiende las transacciones comerciales Registrar las fronteras (los sistemas de medida de consumo de energía) Liquidar y facturar los intercambios de energía. Recaudar el dinero producto de las transacciones en bolsa.

9 Política seguridad nacional e Infraestructuras críticas ) El Ciberespacio, el nuevo hogar de la mente John Perry Barlow, poeta, 1996

Política digital Colombia Notificación de la Presidencia de la República Agosto 2017 2011-2015 Lineamientos de política para ciberseguridad y ciberdefensa Fortalecimiento en protección estatal en el

2014-2018 Estrategia Nacional de Ciberseguridad: Creación de Equipos de Respuesta a Incidentes de Seguridad Cibernética (CSIRTs*) para sectores críticos.

10 Política digital Colombia Notificación de la Presidencia de la República Agosto Lineamientos de política para ciberseguridad y ciberdefensa Fortalecimiento en protección estatal en el ciberespacio mediante equipos especializados en ciberseguridad en: Ejercito, Policía y Sectores Críticos Estrategia Nacional de Ciberseguridad: Creación de Equipos de Respuesta a Incidentes de Seguridad Cibernética (CSIRTs*) para sectores críticos. Fortalecimiento de las capacidades en ciberdefensa Política Nacional de seguridad digital Marco institucional Gestión de Riesgo cibernético Fortalecer la defensa y seguridad nacional Desarrollar la cooperación, colaboración y asistencia. Comando Conjunto Cibernetico (CCOC) de las Fuerzas Militares Incluye a Xm como Infraestructura Crítica Cibernética Nacional, siendo priorizada como una de las 15 de mayor criticidad * CSIRT (Computer Security Incident Response Team - Equipo de Respuesta ante Incidentes de Seguridad) 7

11 Mesa trabajo infraestructuras criticas Logros 2017 Planes de protección 7

12 Consejo Nacional Operación, Comisión ciberseguridad

13 Comisión de expertos ciberseguridad del comité tecnológico del concejo nacional de operación El Consejo Nacional de Operación del sector eléctrico, Creado por la Ley 143 de 1994 en su artículo 36, es un organismo privado que tiene como función principal acordar los aspectos técnicos para garantizar que la operación del Sistema Interconectado Nacional sea segura, confiable y económica y ser el ejecutor del Reglamento de Operación. Comisión temporal Ciberseguridad Grupo conformado por responsables de seguridad de las compañías mas relevantes del sector, que tiene como función principal acordar los aspectos técnicos de seguridad y ciberseguridad, con el fin de homologar y estandarizar la seguridad en el sector eléctrico colombiano

Comisión Temporal Ciberseguridad 2017 Definición del nuevo acuerdo Nerc CiP V6 Definición de Metodología riesgos para el sector Acuerdo de

ciberactivos Gestión seguridad ciberactivos Seguridad Física ciberactivos Plan de recuperación Jornadas de concientización y divulgación (anual)

14 Comisión Temporal Ciberseguridad 2017 Definición del nuevo acuerdo Nerc CiP V6 Definición de Metodología riesgos para el sector Acuerdo de obligatorio cumplimiento Basada en el estándar Nerc Cip v4 Establecen responsables de ciberseguridad por compañía Contenido: Identificación de ciberactivos Gestión seguridad ciberactivos Seguridad Física ciberactivos Plan de recuperación Jornadas de concientización y divulgación (anual) Actualización catalogo infraestructuras criticas Evento de ciberseguridad sector eléctrico con Mintic y OEA-CNO (Diciembre) Estructuración de CSIRT del Sector Eléctrico

15 Clasificación de activos Activos Críticos Catalogo de activos. Ciber activos críticos Protección Nerc Cip Ciber activos Taxonomía Se hace en cada compañía y luego XM centraliza la información, la entrega el grupo de Infraestructuras Criticas Nacionales del Ministerio de Defensa 3

16 Ciberseguridad XM Las empresas invierten millones en firewalls, cifrado y dispositivos para acceder de forma segura, y es dinero malgastado, porque ninguna de estas medidas corrige el nexo más débil de la cadena Kevin Mitnick

17 Avances Seguridad de la Información XM XM obtiene certificado ISO 27001:2005 Plan Corporativo de Seguridad de información Nuevo Centro de Control / Ciberseguridad 2017 Cumplimiento Acuerdo 788 y Regulación CREG O38 CONPES 3854 Política Cambios en el entorno Nacional de Seguridad Digital. informático y en la estrategia de 55 ciberseguridad para XM Iniciativa de Certificación ISO 27001: XM obtiene certificación ISO 27001:2013 XM declarado infraestructura crítica Programa de Ciberseguridad Mejores practicas, mejora continua, Convenio de investigación, Capacitación y Cultura 3

Seguridad de la información y Ciberseguridad, Factores de éxito Grupos

Conciencia situacional Personas Programa Integral de Ciberseguridad Apoyo directo de

Procesos Tecnología Seguridad desde el diseño Integración de seguridad OT y TI

18 Seguridad de la información y Ciberseguridad, Factores de éxito Grupos interdisciplinarios Grupos de interés y grupos del sector Cultura y capacitación Conciencia situacional Personas Programa Integral de Ciberseguridad Apoyo directo de gerencia Metodología de riesgos Auditoria interna y externa Pólizas de ciberriesgos Procesos Tecnología Seguridad desde el diseño Integración de seguridad OT y TI Convenio con el Comando Conjunto Cibernético Pruebas de intrusión y vulnerabilidades Ciberseguridad Activa

19 Controles definición de Perímetro Centro de Control XM Sistemas Regionales de Control (SRCs) TCP/IP IEC IEC Subestaciones Plantas Térmicas Plantas Hidráulicas IEC [ICCP]

20 Controles definición de Perímetro Controles Nerc Cip Servidores Operadores administradores Entrenamiento ICCP (centro control) RTU D M Z IEC [ICCP] IEC IEC IEE C PMU Definición perímetro lógico Separación de redes Acceso solo por DMZ Cero conexiones directas Control de acceso a la información Modelo de intercambio de información Identificación de protocolos Modelos de comunicación entre segmentos Convenio de cooperación Comando Conjunto cibernético colombia

21 Retos XM ciberseguridad SOC OT y TI CSIRT sectorial Proyecto Isaac Simulación Ciberseguridad

22 PREGUNTAS

23 Calle 12 sur Bloque 2 PBX (57 4) FAX (57 4) 317 Medellín - Colombia

Documentos relacionados

SGPIC - Sistemas de Gestión de Protección de Infraestructuras críticas

SGPIC - Sistemas de Gestión de Protección de Infraestructuras críticas CARLOS VILLAMIZAR R. Director Desarrollo de Negocios LATAM CISA, CISM, CGEIT, CRISC, CFC, ISO27001 LA, ISO 22301 LI AGENDA 1. Introducción