La defensa de un país ya no sólo tiene que ver con la eventual violación de sus fronteras, pues la soberanía va mucho más allá del territorio. En efecto, hoy las comunicaciones y su infraestructura asociada han avanzado tanto, que es necesario desarrollar institucionalidad para cuidarla. Argentina así lo entendió y ya está dando pasos en ese camino.
Hace dos meses, Argentina lazó el Programa Nacional de Infraestructuras Criticas de Información y Ciberseguridad (ICIC), cuyo objetivo es la elaboración de un marco regulatorio específico que propicie la identificación y protección de las infraestructuras estratégicas. El Jefe de Gabinete de Ministros de ese país, Aníbal Fernández, explicó que dicho programa deberá elaborar y proponer normas destinadas a incrementar los esfuerzos orientados a elevar los umbrales de seguridad en los recursos y sistemas relacionados con las tecnologías informáticas en el ámbito del Sector Público Nacional.
El ICIC depende de la Oficina Nacional de Tecnologías de Información, y también tiene como misión el fomento de la cooperación y colaboración de los sectores público y privado con miras al desarrollo de estrategias y estructuras adecuadas para un accionar coordinado hacia la implementación de las pertinentes tecnologías.
AETecno conversó con Pedro Janices, director de la Oficina Nacional de Tecnologías de Información, quien detalló las implicancias de este programa.
- ¿A qué necesidad responde la creación del Programa Nacional de Infraestructuras Críticas y Ciberseguridad y qué objetivos primarios persigue?
- El ICIC (Programa Nacional de Infraestructuras Criticas y Ciberseguridad) surge de la necesidad que todo gobierno tiene de reaccionar ante situaciones críticas que afecten el normal desenvolvimiento de aquellos sistemas que sean fundamentales para el accionar diario de los ciudadanos. Dentro de ellos, las redes de comunicación informática y sus datos, cumplen un rol esencial en la actualidad. Yendo específicamente a lo digital, cumple las tareas de relevar y prevenir todos aquellos actos que intenten vulnerar los sistemas del Estado o a sus ciudadanos a través de acciones tendientes a la delincuencia informática, entre otras.
Para esto el ICIC debe poder analizar, comunicar y actuar en coordinación con diversas unidades de seguridad del ámbito informático sean estas tanto públicas, privadas y académicas. De esta forma, aprendiendo de las experiencias y lecciones, podemos alertar, prevenir y educar en las acciones detectadas y proponer cómo encararlas para que no se vuelvan a repetir.
- ¿Qué dificultades presenta la defensa de la estabilidad informática del país?
- Primariamente podríamos decir que es la concientización y el compromiso de cada uno de los actores. Cuando un atacante busca violar la seguridad de una estructura informática sea cual fuera su fin, todos y cada uno de nosotros podemos ayudar a defenderla si aseguramos nuestros propios sistemas. Cualquiera que sea endeble en esta situación, podría ser utilizado por los atacantes para generar daños a terceros. También podríamos señalar la comunicación entre los organismos responsables de la seguridad informática así como el monitoreo de los sistemas críticos.
Para subsanar estas dificultades es que se creó el ICIC, quien coordinará, comunicará y monitoreará las acciones en conjunto para llevar adelante las políticas en defensa del ecosistema digital.
- ¿Qué tecnologías están utilizando en esta defensa? ¿Para qué tipo de amenazas están preparados?
- Por la naturaleza de las políticas encaradas para la protección de los sistemas, sólo podemos decir que se llevan adelante las acciones tendientes al diagnóstico y trabajo en conjunto con organismos gubernamentales, empresas y asociaciones internacionales, siendo la más valiosa de las herramientas el intercambio de información de las modalidades de ciberataques en todas sus formas. Siendo este campo de actualización constante nadie puede decir que está preparado para el 100% de ataques, pero con los procesos y procedimientos establecidos uno puede saber cómo reaccionar para la contención de los mismos.
- ¿Qué tan costoso ha sido este proyecto y qué tanto ha demorado su implantación?
- Afortunadamente se están reutilizando recursos preexistentes pero como todo proyecto ambicioso siempre hace falta más. Para ello es que dentro del ICIC se invita a participar a los organismos del sector público nacional, organismos interjurisdiccionales, sectores académicos y del sector privado, reforzando el compromiso de acción de cada uno de los sectores factibles a ser afectados. De esta forma, consolidar y afianzar los esquemas de protección a través de la unión de todos los sectores. El Cert (Computer Emergency Response Team) del ICIC se encuentra en funciones desde hace más de una década, mientras que la protección de Infraestructuras Criticas es un proceso que demandara su tiempo, no sólo en Argentina sino en varios países con los que trabajamos en ámbitos como el Meridian, First, OEA, y otros.
- ¿Qué importancia le dan a la estructura informática gubernamental en torno a amenazas que no sean directamente tecnológicas, como podrían serlo guerras o ataques terroristas?
- Para nosotros es de suma importancia. Para esto se han encarado varias medidas entre las que podemos citar por ejemplo la Calificación de Datacenters, lo cual a través de su proceso nos alerta del estado de maduración de cada uno de ellos y su posible mejora, así como la implementación y recomendación de uso de datacenters nómades (containers o modulares) a modo de bussines continuity centers, que permitan el normal desenvolvimiento de las reglas de negocio que afronta el Estado.
-¿Cuáles son, a su gusto, los puntos más importantes que debe tomar en cuenta un país latinoamericano a la hora de intentar proteger su estructura tecnológica?
- Volvemos a los puntos anteriores. La comunicación entre todos los actores competentes en defensa de ecosistema digital. Entender que la ciberseguridad se hace entre todos y que en este rubro no se compite, sino que se colabora, codo a codo, haciendo ejercicios e intercambiando buenas practicas. Y nunca pensar que 'a mí no me va a pasar'. Yendo al plano puramente tecnológico, intentar cumplir lo mayor posible los estándares, procesos y procedimientos que nos ayuden no sólo a detectar los posibles fallos o vulnerabilidades, sino también cómo proceder en caso de ser afectados, por ejemplo las TIA942, ISO-IEC e ISACA.
