Ciberseguridad-ImplementacionEstrategiaNacional DA

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad
Documento Amarillo Centro de Conocimiento del Negocio
Julio 2007
Comisin de Regulacin de Telecomunicaciones Repblica de Colombia
COMISION DE REGULACION DE TELECOMUNICACIONES
REPUBLICA DE COLOMBIA
Tabla de Contenido
1 2
INTRODUCCIN .............................................................................................................................3 REQUISITOS DE SEGURIDAD PARA LAS REDES DE TELECOMUNICACIONES .........4 2.1 CAPA GESTOR DE RED ...................................................................................................................5 2.2 2.3 2.4 2.5 2.6 CAPA SEGURIDAD FSICA ...........................................................................................................6 CAPA DE SUPERVISIN ...............................................................................................................6 CAPA PROGRAMAS INFORMTICOS PARA TELECOMUNICACIONES ..........................................6 CAPA DE HERRAMIENTAS DE SEGURIDAD ..................................................................................7 CAPA DE SEGURIDAD...................................................................................................................7
ARQUITECTURA DE SEGURIDAD PARA LOS SISTEMAS DE COMUNICACIONES DE
EXTREMO A EXTREMO..........................................................................................................................7 3.1 3.2 3.3 4 5 DIMENSIONES DE SEGURIDAD ....................................................................................................8 CAPAS DE SEGURIDAD.................................................................................................................9 PLANOS DE SEGURIDAD ...............................................................................................................9
ACCIONES NACIONALES ...........................................................................................................11 TENDENCIAS MUNDIALES ........................................................................................................12 5.1 5.2 5.3 5.4 5.5 UNIN EUROPEA..................................................................................................................15 CANAD ...................................................................................................................................16 ESTADOS UNIDOS................................................................................................................17 MXICO....................................................................................................................................18 LATINOAMRICA..................................................................................................................19
CONCLUSIONES............................................................................................................................20

Revisin No. 1
Fecha actualizacin: 13/06/07 Pgina 2 de 20

Aprobado por: Director Ejecutivo
Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

Fecha de vigencia: 01/02/05
INTRODUCCIN
Ha sido creciente el inters de gobiernos y organismos intergubernamentales por la creacin de una cultura de ciberseguridad y por la adopcin de estrategias internacionales que permitan combatir las amenazas a que estn expuestas las redes de la informacin de las que depende, cada vez ms, el desarrollo econmico, social y poltico de los Estados, pues la seguridad no slo abarca la importante cuestin de un desempeo slido y confiable, sino que tambin plantea cuestiones de proteccin de la infraestructura crtica, de la accin de la justicia, y de seguridad nacional. El fomento de la confianza y la seguridad en el uso de las Tecnologas de la Informacin y las Comunicaciones (TIC) es esencial para que la Sociedad de la Informacin alcance su potencial con respecto a los beneficios econmicos y sociales que sta puede brindar a nuestros ciudadanos. La interconectividad cada vez mayor de las redes TIC hace que dichas redes y sus usuarios estn expuestos a una nmero cada vez mayor y a una variedad cada vez ms amplia de amenazas y vulnerabilidades, y requiere que todos los participantes de la Sociedad de la Informacin trabajen conjuntamente en la creacin de una cultura de seguridad ciberntica1. El ciberespacio est integrado por cientos de miles de servidores, ordenadores, enrutadores, conmutadores interconectados y sistemas de transporte de la informacin (cables, satlites, medios radioelctricos) que permiten un funcionamiento armonioso de las infraestructuras bsicas. Por ende, el correcto funcionamiento del ciberespacio es fundamental para la economa nacional (e internacional) y la seguridad nacional. No hay que olvidar que estas tecnologas pueden utilizarse con fines incompatibles con los objetivos de mantener la estabilidad y la seguridad internacionales, y pueden resultar perjudiciales para la integridad de las infraestructuras estatales, en perjuicio de la seguridad de los pases. Para solucionar estos problemas, es imprescindible actuar desde varios frentes y luchar por todos los medios contra la ciberdelincuencia. Garantizar la seguridad del ciberespacio es una tarea estratgica difcil que exige a todos los actores de la sociedad de la informacin coordinar sus esfuerzos. La utilizacin de las TIC debe ser fiable y segura para generalizar su uso y lograr una mayor confianza de los usuarios. Para ello, es necesario2:
1 2
CITEL CCP.I-TEL./doc.674/05 ITU Informe sobre las infraestructuras nacionales de seguridad del ciberespacio

Revisin No. 1


Proteger la confidencialidad de los datos y los intereses de los consumidores; Asegurar la fiabilidad de las transacciones electrnicas y el comercio en lnea, e instaurar el control de los mismos; Elaborar normas tcnicas mundiales y regionales que faciliten la instalacin y utilizacin de las TIC; Mejorar la calidad de las redes mundiales y regionales, as como mantener la interconexin y el interfuncionamiento de las mismas; Reforzar la cooperacin internacional para luchar contra la ciberdelincuencia; Crear mecanismos apropiados que den a conocer la importancia de la seguridad de las redes de informacin y comunicacin y de los recursos de que dispone la comunidad internacional en este mbito;
Analizar las amenazas (reales y potenciales) que se ciernen en la seguridad de estas redes, sobre todo en lo que respecta a la piratera y los virus informticos en Internet, y estudiar los mtodos que permitan poner fin a los mismos,
Mejorar los intercambios de informacin tcnica y la cooperacin internacional en el mbito de la seguridad de las redes de informacin y comunicacin.
A travs de este documento se describirn los principales requisitos de seguridad para las redes de telecomunicaciones, la arquitectura de seguridad para los sistemas de comunicaciones de extremo a extremo y las diferentes acciones nacionales e internacionales que se han venido realizando en el mbito de la seguridad de las redes de informacin y comunicacin.
REQUISITOS DE SEGURIDAD PARA LAS REDES DE TELECOMUNICACIONES
La Recomendacin E-408 Requisitos de seguridad para las redes de Telecomunicaciones de la UIT-T, identifica las amenazas a la seguridad de las redes de telecomunicaciones en general (fijas y mviles; tanto para voz como para datos) y se dan orientaciones para la planificacin de las contramedidas que se pueden prever para disminuir los riesgos que surgen de las amenazas. Esta recomendacin es de naturaleza genrica y no identifica o aborda requisitos de redes especficas. El objetivo de esta recomendacin no es definir nuevos servicios de seguridad sino

Revisin No. 1


que utiliza los servicios de seguridad existentes definidos en otras Recomendaciones de la UITT y en normas pertinentes de otros organismos3. El sistema descrito en esta recomendacin describe una matriz de seis capas de seguridad (Grafico 1).
Grafico 1. E.408 Modelo de seis capas para seguridad de la red4
2.1
Capa Gestor de Red
La primera capa de gestor de la red ser el recurso ms importante de la organizacin para su seguridad. El gasto adicional anual en un buen gestor de red es 100 veces mejor que adquirir un cortafuego5 o Firewall costoso. Los buenos gestores de red conocen los sistemas operativos con los que trabajan y saben cmo proteger cada mquina de su red autorizando nicamente los puertos y los procesos que realmente son necesarios. La gestin debe ofrecer a sus administradores de red entrenamiento continuo y tiempo para mantenerse por delante de posibles problemas de la red.
UIT-T Rec. E-408 Requisitos de seguridad para las redes de Telecomunicaciones UIT-T E.408 Requisitos de seguridad para las redes de telecomunicaciones 5 Firewall o Cortafuegos: es un elemento de hardware o software utilizado en una red de computadoras para controlar las comunicaciones, permitindolas o prohibindolas segn las polticas de red que haya definido la organizacin responsable de la red.
4 3

Revisin No. 1


2.2
Capa Seguridad Fsica
La segunda capa es la seguridad fsica. Cada atacante en el mundo sabe que la manera ms sencilla para acceder a una red es desde el interior. Hay simplemente muchos casos de "ingeniera social", donde los atacantes simplemente llaman al servicio de atencin al usuario y reportan haber olvidado su contrasea solicitando que la misma se cambie a xxxxx. La seguridad fsica incluye aspectos que van desde permitir que nicamente ciertas personas (administradores del sistema) accedan a las consolas, hasta polticas relativas a qu tipo de informacin se puede dar al pblico en relacin con su red. Las buenas polticas sobre utilizacin aceptable, contraseas e instalacin de programas informticos ayudan considerablemente a controlar el acceso a su red.
2.3
Capa de Supervisin
La tercera capa es la de supervisin. Es muy raro que un ataque funcione en el primer intento. La mayora de los ataques se podrn detener si alguien revisa simplemente la bitcora de registro del sistema una vez por da. Esto no debe tomar mucho tiempo como podra parecer inicialmente. El ojo humano es el mejor dispositivo para detectar patrones en los ficheros de registro. Hay diversos programas informticos muy eficientes que permiten supervisar los ficheros de registro y aunque estos programas pueden ser muy tiles, el gestor del sistema debera revisar los registros de sus mquinas principales todos los das.
2.4
Capa Programas Informticos para Telecomunicaciones
La cuarta capa es el programa informtico para telecomunicaciones. Se debe evaluar cada programa informtico que se instala en los servidores, teniendo en mente la seguridad. El gestor del sistema debe saber, por ejemplo, a cules puertos TCP y UDP estar vinculado el programa informtico, con cules cuentas de usuario interactan el mismo y los permisos de directorio que necesita. Adems, se recomienda examinar los problemas de seguridad conocidos, antes de la adquisicin. Esto se debe volver parte del proceso de evaluacin de todas las compras de programas informticos.

Revisin No. 1


2.5
Capa de Herramientas de Seguridad
La quinta capa son las herramientas de seguridad. Despus de que alguien ha establecido buenas polticas y prcticas para las cuatro capas anteriores, es necesario comenzar a analizar los cortafuegos, los programas informticos de deteccin de intrusin y los mandatarios (proxies). Instalar el mejor cortafuego mientras se tengan malas polticas para su aplicacin resulta peor que no tenerlo. Bastante a menudo es posible encontrar servidores de red con polticas de seguridad deficientes que dependen del cortafuegos para contener a los atacantes. Una vez que cede el cortafuegos, todos los servidores quedan totalmente expuestos al ataque.
2.6
Capa de Seguridad
La sexta capa es la auditoria de seguridad. La seguridad de la red es algo que evoluciona. Cada da, hay alguien en algn lugar que est tratando de encontrar un nuevo mtodo para utilizarlo en perjuicio de otra persona. Es importante intentar regularmente penetrar en nuestra propia red. Un proceso de auditoria debe probar cada aspecto de la seguridad de la red. Se recomienda probar la seguridad fsica contra los ataques y hacer funcionar un escner de nmeros telefnicos (war dialer) utilizando todos los nmeros telefnicos para asegurarse de que nadie haya instalado un mdem en un ordenador individual sin conocimiento del gestor de la red. Se deben llevar a cabo auditorias del servidor de correo, servidor de nombres de dominio (DNS) y de los servidores de dominio, web y FTP.
ARQUITECTURA DE SEGURIDAD PARA LOS SISTEMAS DE COMUNICACIONES DE EXTREMO A EXTREMO
La Recomendacin UIT-T X.805, denominada Arquitectura de seguridad para los
sistemas de comunicaciones de extremo a extremo, define una arquitectura de

seguridad de red para el suministro de seguridad de red extremo a extremo. Dicha arquitectura puede ser aplicada a varias clases de redes en las cuales la seguridad extremo a extremo es de preocupacin. La citada recomendacin define los elementos generales de arquitectura, relacionados a la seguridad, que son necesarios para la provisin de seguridad extremo a extremo, y sirve de base para el desarrollo de otras recomendaciones detalladas para la seguridad de red de extremo a extremo6.
6
UIT-T Rec. X.805 Arquitectura de seguridad para los sistemas de comunicaciones de extremo a extremo

Revisin No. 1


Dicha arquitectura de seguridad fue creada para ser dirigida a los retos mundiales de seguridad que enfrenten los proveedores, empresas y consumidores, y puede ser aplicada a redes inalmbricas, pticas, almbricas de voz, de datos o convergentes. La arquitectura trata de las preocupaciones de seguridad para la gestin, control, e uso de la infraestructura, servicio y aplicaciones de las redes. Provee, asimismo, una perspectiva completa, de arriba-haca-abajo y de extremo a extremo de la seguridad de red, y puede ser aplicada a los elementos, servicios, y aplicaciones de red para detectar, predecir, y corregir vulnerabilidades de seguridad. La arquitectura de seguridad (Grafico 2) divide lgicamente a un conjunto complicado de caractersticas en distintos componentes arquitectnicos. Dicha separacin permite una metodologa de seguridad de extremo a extremo que puede ser usada para la planificacin de nuevas soluciones para la seguridad y para una evaluacin de las redes ya existentes. Se trata de tres componentes arquitectnicos: Las dimensiones de seguridad. Las capas de seguridad. Los planos de seguridad.
Cada uno de ellos se analiza en las siguientes secciones.
3.1
Dimensiones de seguridad
Una dimensin de seguridad es un conjunto de medidas de seguridad diseadas para tratar de un aspecto en particular de la seguridad de red. La Recomendacin X.805 identifica ocho conjuntos como tal que protegen contra todas las amenazas principales a la seguridad: Control de acceso Verificacin La no-repudiacin Confidencialidad de datos Seguridad de comunicacin Integridad de datos Disponibilidad Privacidad

Revisin No. 1


3.2
Capas de Seguridad
Para poder proveer una solucin de seguridad de extremo a extremo, las dimensiones de seguridad deben ser aplicadas a una jerarqua de agrupamientos de equipos de red e instalaciones que se denominan capas de seguridad. La Recomendacin X.805 define tres capas de seguridad: Capa de seguridad de la infraestructura Capa de seguridad se servicios Capa de seguridad de aplicaciones Las capas de seguridad son una serie de habilitadores para soluciones que permiten una red segura: la capa de infraestructura habilita a la capa de servicios y la capa de servicios habilita a la capa de aplicaciones. Las capas de seguridad identifican los lugares donde se debe encarar la cuestin de seguridad en los productos y soluciones por medio de la provisin de una perspectiva secuencial de seguridad de red.
3.3
Planos de seguridad
Es una cierta clase de actividad en red, protegida por dimensiones de seguridad. La Recomendacin X.805 define tres planos de seguridad para representar las tres clases de actividades protegidas que se lleven a cabo en una red. Los planos de seguridad son: Plano de gestin Plano de control Plano de usuario final Dichos planos de seguridad encaran necesidades especficas de seguridad, asociadas con actividades de gestin de la red, y actividades de control o sealizacin, adems de actividades del usuario final segn corresponde.

Revisin No. 1


Seguridad de las comunicaciones
Couches Scurit Capas de seguridad Application Scurit Aplicacin de seguridad

Confidencialidad de los datos
Servicios de Servicesseguridad de Scurit
AMENAZAS
MENACES
Destruccin
Integridad de los dtos
Corrupcin Supresin
Control de acceso
No rechazo
Viabilidiad
Niveles vulnerables VULNERABILITES
Infraestructura de seguridad Infrastructure Scurit
Autentificacin
Divulgacin Interrupcin ATAQUES ATTAQUES
Usuario final Usager final
Gestion Gestin
8 Grados de seguridad
Grafico 2. X.805 Arquitectura de seguridad para la seguridad de red extremo a extremo7
La arquitectura de seguridad trazada en la Recomendacin X.805 puede ser usada para dirigir el desarrollo de definiciones completas de poltica de seguridad, reaccin a incidentes y las arquitecturas de tecnologa, tomando en cuenta cada dimensin de seguridad en cada capa y plano de seguridad durante la etapa de definicin y planificacin. La arquitectura de seguridad tambin se puede usar como el fundamento de una evaluacin de seguridad que examinara la forma en que la implementacin del programa de seguridad enfrenta las dimensiones, capas y planos de seguridad mientras se introducen nuevas polticas y procedimientos y la nueva tecnologa se despliega. En conclusin, las medidas de seguridad tomadas en redes de telecomunicaciones deben estar encaminadas hacia objetivos logrados, y no hacia la forma como lo estn logrando. De acuerdo al documento de la UIT Security in Telecommunications and Information Technology los objetivos de seguridad para las redes de telecomunicacin son: a) b) Solamente los usuarios autorizados podrn tener acceso y utilizar las redes de telecomunicacin. Las redes de telecomunicacin deben proporcionar privacidad en el nivel fijado por las polticas de la seguridad de la red.
UIT-T X.805, Arquitectura de seguridad para los sistemas de comunicaciones de extremo a extremo

Revisin No. 1


Control Contrle
c) d)
Para asegurar disponibilidad, las redes de telecomunicacin se deben proteger contra accesos u operaciones no solicitadas. Debe ser posible recuperar la informacin relacionada con seguridad en las redes de telecomunicacin (pero solamente los usuarios autorizados podrn recuperar tal informacin).
e)
Si se detectan las violaciones de la seguridad, deben ser manejadas de una manera controlada de acuerdo con un plan predefinido para reducir al mnimo el dao potencial.
f) g)
Despus de que se detecte una abertura de la seguridad, debe ser posible restaurar la red a niveles normales de la seguridad. La arquitectura de la seguridad de las redes de telecomunicacin debe proporcionar cierta flexibilidad para apoyar diversas polticas de la seguridad.
4 ACCIONES NACIONALES
En cuanto a la normatividad colombiana relacionada con los medios informticos, la Ley 527 de 1999 define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrnico y de las firmas digitales, establece las entidades de certificacin y reconoce el valor jurdico de los mensajes de datos e informacin en forma electrnica. Establece adems los requisitos que debe contener la firma en un mensaje de datos, y los mecanismos para identificar a quien inicia el mensaje de datos y que el contenido de ste cuente con su aprobacin. El captulo II de dicha Ley, hace referencia a las entidades de certificacin encargadas de emitir certificados relacionados con las firmas digitales de personas naturales y jurdicas, as como los certificados sobre la verificacin respecto de la alteracin entre el envo y recepcin del mensaje de datos, lo cual puede concebirse como una garanta para establecer relaciones electrnicas permanentes y habituales. El Decreto 1747 de 2000 introdujo nuevas funciones para las entidades de certificacin relacionadas con la obligacin de abstenerse de acceder o almacenar la clave privada de un usuario, la obligacin de mantener el control de su clave privada y establecer las medidas necesarias para que no sea conocida por el pblico, garantizar la confidencialidad de la informacin que no figure en el certificado, capacitar y advertir a los usuarios sobre las medidas de seguridad que deben observar para la utilizacin de la firma y los certificados digitales, ente otros.

Revisin No. 1


La Ley 962 de 2005, dicta disposiciones sobre racionalizacin de trmites y procedimientos administrativos de los organismos y entidades del Estado y de los particulares que ejercen funciones pblicas o prestan servicios pblicos, establece dentro del objeto y los principios rectores de la administracin pblica, el fortalecimiento tecnolgico con el fin de disminuir los tiempos y costos de realizacin de los trmites por parte de los administrados. Adems, dispone que para atender los trmites y procedimientos de su competencia, los organismos y entidades de la Administracin Pblica deben ponerlos en conocimiento de los ciudadanos, pudiendo emplear cualquier medio tecnolgico o documento electrnico de que dispongan, por lo que podrn implementar las condiciones y requisitos de seguridad que para cada caso sean procedentes.
5 TENDENCIAS MUNDIALES
En una sociedad de la informacin cada vez ms interconectada, las amenazas de actos terroristas que se han venido produciendo desde fines de 2002 han puesto en relieve la importancia de la seguridad de las redes de comunicaciones. De acuerdo al documento de la UIT-D Informe sobre las infraestructuras nacionales de seguridad del ciberespacio, la toma de conciencia con respecto a estos desafos, principalmente econmicos, vara de un pas a otro en funcin de su nivel de desarrollo. As, los pases menos desarrollados muestran mayor inters en la instalacin de las redes que en su proteccin, mientras que los pases ms desarrollados se centran sobre todo en la seguridad de las comunicaciones del sector pblico. En zonas como frica del Norte8, debido al bajo ndice de penetracin de Internet y el comercio electrnico en la mayora de los pases de esta regin, el problema de la seguridad de las redes se plantea a menor escala y el marco reglamentario es prcticamente inexistente. En frica Subsahariana, en el plano reglamentario, la seguridad de las redes no es todava una preocupacin de primer orden para las autoridades locales, que se hallan ms concentradas en la instalacin de dichas redes que en su proteccin. El cifrado y la encriptacin de los datos se practican todava poco, por lo que las autoridades ejercen un control restringido. De modo distinto en Amrica del Norte, los gobiernos intervienen de manera mucho ms activa en el campo de la seguridad nacional. En el plano de la oferta, cabe sealar el avance comercial de las tcnicas de biometra o de los sistemas que utilizan tarjetas inteligentes. Las
8
UIT-D (2006) Informe sobre las infraestructuras nacionales de seguridad del ciberespacio

Revisin No. 1


ltimas soluciones de seguridad que se estn diseando actualmente en Amrica del Norte corresponden a las VPN (Red Privada Virtual) y las redes inalmbricas WLAN. Sin embargo, esta zona se caracteriza por la ausencia de restricciones con respecto a la criptografa y la confidencialidad de las comunicaciones. En Amrica Latina, la seguridad de las redes de comunicaciones es una preocupacin secundaria en la mayora de los pases de esta zona. La norma internacional ISO/CEI 17799, en la que se etiquetan los procedimientos de seguridad de la informacin, ya ha sido adoptada por algunos rganos encargados de la normalizacin, aunque su difusin en la regin sigue siendo limitada. En lo que se refiere al cifrado, Amrica Latina se caracteriza por un vaco jurdico que permite la libre utilizacin de estas tecnologas. Los pases de Asia se caracterizan por la ausencia de un marco legislativo sobre la seguridad de las redes. Consumidores y empresas tienen libertad para optar por las soluciones de seguridad que juzguen apropiadas. Con frecuencia, los gobiernos dan ejemplo utilizando sistemas de criptografa de tipo PKI (Public Key Infrastructure), La tecnologa PKI permite a los usuarios autentificarse frente a otros usuarios y usar la informacin de los certificados de identidad (por ejemplo, las claves publicas de otros usuarios) para cifrar y descifrar mensajes, firmar digitalmente informacin, garantizar el no repudio de un envo, y otros usos. Cabe destacar que ltimamente la demanda en la India se ha orientado hacia sistemas ms sofisticados, tales como los servicios de deteccin de intrusos, la gestin del contenido, la identificacin, el filtrado URL, los servicios de asesoramiento en materia de seguridad, los sistemas de criptografa que comprenden las PKI y redes privadas virtuales (VPN). La mayora de los gobiernos europeos han tomado conciencia de la importancia que reviste la seguridad de las infraestructuras de telecomunicaciones. La disponibilidad e integridad de las redes estn bsicamente garantizadas por las normas impuestas a los operadores de telecomunicaciones en el marco de las licencias concedidas. Son muchos los pases que han instalado o estn instalando redes privadas destinadas a las fuerzas de polica y proteccin civil. Los Estados Miembros de la Unin Europea ya utilizan habitualmente la criptografa. Los principales desafos son la seguridad de las comunicaciones mviles y el paso al protocolo IPv6. El uso de los sistemas de cifrado sigue siendo relativamente libre en Oriente Medio. Los operadores nacionales de telecomunicaciones, a menudo en rgimen de monopolio, administran las comunicaciones electrnicas por un sistema de filtrado.

Revisin No. 1


Las empresas apenas estn comenzando a tomar conciencia de la importancia de la seguridad de sus comunicaciones en un momento en que el comercio electrnico hace su aparicin en Oriente Medio. Por consiguiente, los organismos internacionales que tienen responsabilidades sobre aspectos como la seguridad de los estados, la proteccin de la privacidad de las personas, la seguridad de las transacciones y de la informacin electrnica en general, la normalizacin de las redes y los aspectos jurdicos, reglamentarios y de control, han adoptado disposiciones que tienen el objetivo comn de prevenir los peligros y combatir frontalmente los delitos que se cometen por el uso inapropiado las redes y de la informacin electrnica.

Revisin No. 1


5.1 UNIN EUROPEA
UNIN EUROPEA
ACCIONES SUPRANACIONALES
1. Resolucin del Consejo de 18 de febrero de 2003 sobre un enfoque europeo orientado hacia una cultura de seguridad de las redes y de la informacin (2003/C 48/01) Confirma el Plan de Accin e-Europe 2005, y propone a los Estados miembros de la Unin Europea desarrollar una estrategia europea global de seguridad de las redes y de la informacin P Plan de Accin e-Europe 2005: se encuentra orientado hacia la extensin de la conectividad Internet en Europa, asegurando el despliegue de acceso seguro a la Internet de banda ancha. Decisin n 2256/2003/CE del Parlamento Europeo y del Consejo, de 17 de noviembre de 2003: creacin del Programa Plurianual 2003-2005, busca realizar seguimiento a los avances que los Estados miembros de la Unin lleven a cabo de acuerdo al Plan de Accin e-Europe 2005, y compararlo con las estadsticas mundiales de resultados por pases Iniciativa Europea del Comercio Electrnico (997) y la Directiva 2000/31/CE del Parlamento Europeo: marco normativo para atender a los aspectos tecnolgicos, jurisdiccionales y reglamentarios necesarios para un entorno de negocios seguros en red.
ACCIONES NACIONALES10
ALEMANIA
Cdigo Penal: sanciona el espionaje de datos pero excluye la informacin que se encuentre almacenada o que pueda ser transmitida electrnica o magnticamente. Ley contra la Criminalidad Econmica de 1986: contempla como delitos el espionaje de datos y, la estafa informtica, la falsificacin de datos probatorios, la alteracin de datos y el sabotaje informtico ESPAA Ley Orgnica 1071995 de 1995: intenta solucionar el problema de conductas delictivas que surgen a raz del incremento de las nuevas tecnologas FRANCIA Ley 88-19 de 1988: contempla como delitos informticos: Acceso fraudulento a un sistema de elaboracin de datos, sabotaje informtico, destruccin de datos, falsificacin de documentos informatizados, uso de documentos informatizados falsos. INGLATERRA Computer Misuse Act (Ley de Abusos Informticos) de 1991 alterar datos informticos es penado con hasta cinco aos de prisin o multas. Dispone que liberar un virus tiene penas desde un mes a cinco aos, dependiendo del dao que causen.
9 10
http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:32003D2256:ES:HTML
Asociacin Argentina de derecho de alta tecnologa http://www.aadat.org/delitos_informaticos20.htm

Revisin No. 1


5.2 CANAD
CANAD
11
ACCIONES NACIONALES
Ley Antiterrorismo: Posibilita el uso de medios electrnicos para vigilar a los grupos terroristas; clarifica el mandato del Communications Security Establisment sobre comunicaciones extranjeras; incluye en el Cdigo Penal, sanciones contra aquellos que divulguen propaganda con mensajes de odio va Internet y dems tecnologas de telecomunicaciones. Ley de Proteccin de la Informacin: se considera que comete un delito quien cause amenazas a las instalaciones, servicios y programas de computadores que provoque daos contra la salud, la seguridad y la economa del pas y su poblacin.
INICIATIVAS
Provincia de Qubec Ley de Acceso a los Documentos de Organismos Pblicos y de Proteccin de Datos Personales: todas las personas tienen derecho a consultar documentos pblicos, tendiendo en cuenta los derechos relativos a propiedad intelectual Ley relativa al marco jurdico de las tecnologas de la informacin: le otorga valor jurdico y probatorio a los documentos de carcter tecnolgico, mientras se pueda comprobar que la integridad de la informacin contendida no se encuentra alterada. Creacin del Canadian Cyber Incident Response Centre (CCIRC), grupo que coordina tanto las amenazas como los incidentes que en material de Ciberseguridad pueden impactar a Canad Adhesin al Programa de Cooperacin en materia de seguridad con Microsoft
11
(2001) Government Of Canada Introduces Anti-Terrorism Act www.justice.gc.ca/en/news/nr/2001/doc_27785.html

Revisin No. 1


5.3 ESTADOS UNIDOS
ESTADOS UNIDOS
12
ACCIONES NACIONALES
Ley Federal de Abuso Computacional (18 U.S.C. Sec.1030): sanciona con pena de prisin y multa, a la persona que defraude a otro mediante la utilizacin de una computadora o red informtica. Estrategia Nacional para Proteger el Ciberespacio (US National Strategy to secure cyberspace) sistema de respuesta hacia las amenazas cibernticas Cyber Security Enhancement Act13: permite interceptar llamadas telefnicas y capturar datos a
travs de Internet sin contar previamente con una orden judicial. Obliga a los proveedores de servicios de Internet (ISPs), a suministrar informacin de sus usuarios si fuera requerido por investigacin policial. Incorpora el trmino de Ciberterrorismo
Patriotic Act: posibilita que agentes del gobierno puedan recoger informacin confidencial sin
aprobacin judicial ni permiso del ciudadano afectado. Obliga a las empresas de Internet a entregar el registro de actividad y los correos electrnicos de un sospechoso.
INICIATIVAS
En el 2003, se cre la Unidad Nacional de Seguridad del Ciberespacio (National Cyberspace Security Division) entidad federal encargada de la reduccin y proteccin de puntos dbiles del ciberespacio.
12 13
Lic. Marcelo Manson, Legislacin sobre delitos informticos http://www.whitehouse.gov/news/releases/2003/12/20031213-4.es.html

Revisin No. 1


5.4 MXICO
MXICO
14
RETOS REGULATORIOS
Leyes de proteccin de datos Leyes de proteccin al consumidor o disposiciones de comercio Leyes o iniciativas contra la piratera Reformas a cdigos penales Leyes antispam Regulacin para legitimar el e-commerce
PROBLEMAS EN LA IMPLEMENTACIN
En Mxico, la tasa de uso de software ilegal es de 65%. Las leyes de proteccin de datos pretenden proteger el derecho a la autodeterminacin informtica o informativa.
ACCIONES NACIONALES
Reformas a la Ley Federal de Proteccin al Consumidor (feb. 2004): legitimar el spamming, registro para evitar el envo de mensajes comerciales, prohibicin del envo con fines diversos en mercadotecnia, no establece mecanismos antispam Reformas al Cdigo del Comercio: efectos jurdicos a los mensajes de datos y al comercio electrnico. Cdigo Penal (1999): sanciona delitos que traten de sistemas de informtica Ley Federal de Transparencia y acceso a la Informacin Pblica Gubernamental (junio de 2002): garantiza la proteccin de datos. Ley Federal de Derecho de Autor: protege los derechos del autor de los programas de computador
14
Comisin Federal de Telecomunicaciones, Ciberseguridad


Revisin No. 1

5.5
LATINOAMRICA
LATINOAMRICA
ACCIONES NACIONALES
ARGENTINA15
Ley 24.766 de 1996 Confidencialidad de datos: tutela la informacin que importe un secreto comercial. Ley 25.326 De hbeas data: tutela la informacin de carcter personal almacenada en archivos de datos. Ley 11.723 De Propiedad Intelectual: la propiedad intelectual abarca los temas de los programas de computacin fuente y objeto. Cdigo Penal: ser reprimido con la pena de prisin el que insertara o hiciera insertar a sabiendas datos falsos en archivo de datos personales
CHILE
Ley 19.223 (28 de mayo de 1993): tipifica figuras penales relativas a la informtica Ley 17.336: reconoce al software como obra intelectual
VENEZUELA
Ley sobre proteccin a la privacidad de las telecomunicaciones de 1991: establece sanciones para aquellas personas que de forma arbitraria, clandestina o fraudulenta graben, impongan, impidan o interrumpan la comunicacin entre personas. Providencia Administrativa contentiva de las normas relativas al requerimiento de informacin en el servicio de telefona mvil de 2005 establece las normas relativas al requerimiento de los datos personales de los abonados del servicio de telefona mvil por parte de los operadores del servicio. Ley sobre mensajes de datos y firmas electrnicas: normas orientadas a reconocer la validez y eficacia probatoria de los mensajes de datos y firmas electrnicas. Ley Especial contra Delitos Informticos de 2001: trata los delitos informticos y los delitos que pueden utilizar sistemas informticos
PER16
Cdigo Penal: establece cuales son los delitos informticos Cdigo Civil: posibilita que electrnicos Resolucin Suprema N026-2002-MTC, constituy una Comisin Multisectorial, encargada de elaborar y proponer las acciones necesarias para la implementacin de las medidas destinadas a la lucha contra el uso criminal de las tecnologas de la informacin. Ley 27292: posibilitar que la voluntad pueda ser manifestada electrnicamente. Ley 27309: incorpora los Delitos Informticos al Cdigo Penal. Se consideran delitos informticos la violacin de comunicaciones y el fraude Informtico. Ley 27310: otorga a la firma digital al mismo valor que a la firma manuscrita. Ley 27419 de 2001: avala la notificacin por correo electrnico. Ley 27291: Posibilita que la manifestacin de voluntad pueda realizarse a travs de medios electrnicos. Ley N 28493 de 2005 regula el uso del correo electrnico comercial no solicitado (SPAM). El usuario tiene derecho a rechazar o no la recepcin de correos electrnicos comerciales. la manifestacin voluntad pueda ser generada o comunicada a travs de medios
15
Asociacin Argentina de derecho de alta tecnologa http://www.aadat.org/delitos_informaticos20.htm

Revisin No. 1


6 CONCLUSIONES
A partir del estado actual de desarrollo de la seguridad ciberntica en la infraestructura de los sistemas de telecomunicaciones e informacin tanto en el pas como a nivel internacional, la CRT busca adecuar las condiciones regulatorias actuales en materia de ciberseguridad para que se generen las pautas sobre la forma de dar seguridad a sistemas de informacin y tecnologa, incluyendo servidores pblicos de Internet, servidores de archivos en la red y en los diferentes servicios de telecomunicaciones que puedan ser soportados en la red de un operador.
De conformidad con lo expuesto anteriormente, es preciso que la CRT adelante en el futuro un estudio que estructure un nuevo marco normativo que permita el anlisis de teoras sobre vulnerabilidad potencial de la infraestructura de los las actuales sistemas de
telecomunicaciones e informacin, con base en el conocimiento que tienen expertos en asuntos tales como: riesgos, daos posibles, motivos subyacentes en los riesgos, escenarios de ciberataque y objetivos de tales ataques. Es preciso que este estudio para la implementacin de una Estrategia Nacional de Ciberseguridad, as como el estudio integral de redes de nueva generacin y convergencia sean parte del nuevo marco regulatorio que asegure un entorno que favorezca el avance del pas hacia la Sociedad de la Informacin, que incremente la seguridad en la redes de telecomunicaciones y que desarrolle la creacin de una cultura de ciberseguridad a nivel nacional.
16
Ministerio de transportes y comunicaciones (2005) Ciberdelitos: Regulacin en el Per

Revisin No. 1



Ciberseguridad-ImplementacionEstrategiaNacional DA

Încărcat de

Informații document

Titlu original

Drepturi de autor

Formate disponibile

Partajați acest document

Partajați sau inserați document

Opțiuni de partajare

Vi se pare util acest document?

Este necorespunzător acest conținut?

Drepturi de autor:

Formate disponibile

Ciberseguridad-ImplementacionEstrategiaNacional DA

Încărcat de

Drepturi de autor:

Formate disponibile

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Documento Amarillo Centro de Conocimiento del Negocio

Comisin de Regulacin de Telecomunicaciones Repblica de Colombia

COMISION DE REGULACION DE TELECOMUNICACIONES

ARQUITECTURA DE SEGURIDAD PARA LOS SISTEMAS DE COMUNICACIONES DE

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Fecha actualizacin: 13/06/07 Pgina 2 de 20

Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

COMISION DE REGULACION DE TELECOMUNICACIONES

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Fecha actualizacin: 13/06/07 Pgina 3 de 20

Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

COMISION DE REGULACION DE TELECOMUNICACIONES

REQUISITOS DE SEGURIDAD PARA LAS REDES DE TELECOMUNICACIONES

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Fecha actualizacin: 13/06/07 Pgina 4 de 20

Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

COMISION DE REGULACION DE TELECOMUNICACIONES

Grafico 1. E.408 Modelo de seis capas para seguridad de la red4

Capa Gestor de Red

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Fecha actualizacin: 13/06/07 Pgina 5 de 20

Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

COMISION DE REGULACION DE TELECOMUNICACIONES

Capa Seguridad Fsica

Capa Programas Informticos para Telecomunicaciones

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Fecha actualizacin: 13/06/07 Pgina 6 de 20

Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

COMISION DE REGULACION DE TELECOMUNICACIONES

Capa de Herramientas de Seguridad

ARQUITECTURA DE SEGURIDAD PARA LOS SISTEMAS DE COMUNICACIONES DE EXTREMO A EXTREMO

La Recomendacin UIT-T X.805, denominada Arquitectura de seguridad para los

sistemas de comunicaciones de extremo a extremo, define una arquitectura de

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Fecha actualizacin: 13/06/07 Pgina 7 de 20

Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

COMISION DE REGULACION DE TELECOMUNICACIONES

Cada uno de ellos se analiza en las siguientes secciones.

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Fecha actualizacin: 13/06/07 Pgina 8 de 20

Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

COMISION DE REGULACION DE TELECOMUNICACIONES

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Fecha actualizacin: 13/06/07 Pgina 9 de 20

Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

COMISION DE REGULACION DE TELECOMUNICACIONES

Seguridad de las comunicaciones

Couches Scurit Capas de seguridad Application Scurit Aplicacin de seguridad

Integridad de los dtos

Niveles vulnerables VULNERABILITES

Infraestructura de seguridad Infrastructure Scurit

Divulgacin Interrupcin ATAQUES ATTAQUES

Usuario final Usager final

Grafico 2. X.805 Arquitectura de seguridad para la seguridad de red extremo a extremo7

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Fecha actualizacin: 13/06/07 Pgina 10 de 20

Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

COMISION DE REGULACION DE TELECOMUNICACIONES

Estudio para la implementacin de una Estrategia Nacional de Ciberseguridad

Fecha actualizacin: 13/06/07 Pgina 11 de 20

Centro de Conocimiento del Negocio Fecha revisin: 14/06/07

COMISION DE REGULACION DE TELECOMUNICACIONES