Informe Sobre Infraestructuras Criticas

Protección de Infraestructuras Críticas
Informe Técnico - Junio 2012

Sobre S2 Grupo
Fundada en 1999, es la primera empresa de la Comunidad Valenciana especializada en servicios globales de seguridad digital y una de las principales en el ámbito nacional. Cuenta entre sus clientes con entidades de la importancia del Grupo Aviva, la Autoridad Portuaria de Valencia, Endesa, Hospitales Nisa,Red Eléctrica de España, la Universitat Jaume I de Castellón, Informática El Corte Inglés, Consum Cooperativa, la Universidad Politécnica de Valencia o Bankia, entre muchos otros. La compañía cerró 2011 con unos ingresos de 4,4 millones de euros, lo que refleja un crecimiento del 39% respecto al ejercicio anterior, motivado por un aumento de la cartera de clientes y de la actividad de innovación. Lainversión en I+D+i es uno de los ejes vertebradores de la compañía que en 2011 destinó 1,2 millones de euros a diferentes proyectos nacionales y europeos.

Pablo Marín Antonio Villalón Óscar Navarro
Diseño y maquetación Karina Coste Fecha de publicación Junio 2012

Autores

Este informe puede descargarse de la página web de S2 Grupo, http://www.s2grupo.es, o solicitándolo por correoelectrónico a admin@securityartwork.es.

Ramiro de Maeztu 7, 46022 Valencia T 963 11 03 00 # F 963 10 60 86 Orense 85, Ed. Lexington. 28020 Madrid T 915 67 84 88 # F 915 71 42 44

Contenido
1. Introducción ...4 2. Planificación ...8 3. Adquisición de datos ...14 4. Procesamiento ...18
4.1 Recopilación inicial de los datos ...19 4.2 Eliminación de falsos positivos ...20 4.3 Herramienta de análisisde datos ...21 4.4 Resultados ...24

3. Análisis ...26
5.1 Protocolos de acceso ...27 5.2 Sectores estratégicos ...30 5.3 Mapas de densidad ...32

6. Conclusiones ...34
6.1 Resumen ...35 6.2 Un problema de base ...39 6.3 Líneas futuras de trabajo ...41

1. Introducción

Introducción -5

Hace unos meses publicábamos

nuestro primer Informe sobre Protección de InfraestructurasCríticas ([3]), en el que analizábamos la situación internacional y nacional en la materia –principalmente normativa– y planteábamos las líneas de trabajo a desarrollar para seguir lo que estimamos es la dirección correcta en el ámbito de la PIC. Queremos ahora complementar ese informe con un nuevo informe sobre la PIC en España, en este caso mucho más práctico y con un objetivo concreto:

Determinarsi las infraestructuras críticas pueden considerarse “inseguras” en España (y si es posible, cuántas y de qué sectores) desde un punto de vista operativo.
Para alcanzar este objetivo debemos en primer lugar determinar qué podemos entender por “inseguro”; en este caso, consideraremos inseguras aquellas infraestructuras que no hayan definido e implantado las medidas de seguridad que establece laResolución de 15 de noviembre de 2011, de la Secretaría de Estado de Seguridad ([2]). Esta resolución divide las medidas de seguridad en organizativas o de gestión, operacionales o procedimentales y de protección o técnicas; son estas últimas las que nos interesan, ya que desde el punto de vista normativo o procedimental la respuesta a nuestra pregunta únicamente la tendrá el CNPIC, en cuanto aoperadores que no hayan realizado los planes correspondientes en cada caso, no dispongan de un análisis de riesgos correcto y completo o no hayan establecido procedimientos adecuados de seguridad, por poner unos ejemplos. Pero como esta información no nos la van a dar –obviamente– ni el CNPIC ni los propios operadores, al menos en términos generales, hay que buscar una alternativa: las medidas técnicasde seguridad. Desde el punto de vista técnico diferenciamos las medidas de prevención y detección física y electrónica de las salvaguardas lógicas (así se establece en [2], aparte de la presencia de elementos de coordinación y monitorización fuera del ámbito del presente informe técnico).

Informe Técnico PIC - S2 Grupo

Introducción -6

Comprobar que desde el punto de vista físico una...