Espionaje cibernético, ¿nueva moda?

Hoy toca comentar dos noticias curiosas para esto de la seguridad de la información. La primera, algo más relevante tiene que ver con las declaraciones de Javier Solana que ayer reconocía haber sido víctima de espionaje cibernético desde hace varios meses. Hemos de recordar que el Señor Solana es el Alto Representante para la Política Exterior y de Seguridad Común de la UE y por tanto, un cargo lo suficientemente relevante como para querer conocer toda la información que pasa por sus manos.

La otra es algo más anecdótica y me la ha pasado un compañero de la Universidad. Hace referencia a otro caso de espionaje cibernético pero algo más cañí. Presuntamente un guardia civil ha instalado un keylogger en el PC compartido para espiar a sus compañeros. Quiero destacar parte del contenido del escrito de la acusación que afirma "el acusado instaló y posteriormente borró un programa 'malicioso' del tipo de capturador de claves y contraseñas", con el que podía acceder no sólo a documentos operativos internos, sino a claves de acceso a cuentas de correo electrónico personales y banca electrónica, así como conversaciones privadas de Messenger".

Quiero pensar que del texto no se deduce que los PC que están en los cuarteles de la Guardia Civil no están administrados y que cualquiera instala lo que le da la gana, porque sería preocupante que los cuerpos y fuerzas de seguridad del Estado no estuvieran a la altura de los tiempos que corren.

En ambos casos los hechos despiertan cierta inquietud. ¿Es que ciertos equipos PC relevantes no están correctamente gestionados y controlados? Parece que la concienciación en estos temas sigue sin ser la suficiente.

¿Como puede ser que el PC de Solana estuviera monitorizado (supongo que el espionaje tuvo que realizarse con algún tipo de malware) durante meses sin ser advertido?

Sin embargo, al otro lado del Atlántico las cosas son bastantes diferentes. Basta recordar el revuelo que se montó con la famosa Blackberry de Obama que solo pudo ser utilizada cuando se realizaron los ajustes de seguridad necesarios que se detallan en esta noticia.
En su momento se cuestionó la seguridad del dispositivo y generó cierta polémica al generar el cansino debate Blackberry vs Windows Mobile. En su momento no pude publicar nada al respecto pero quiero recordar que cuando hablamos de seguridad en equipos y sistemas, lo que manda es ISO 15408 y la NSA tiene unos altos requisitos para autorizar el uso de cualquier aparato.

Tal es la importancia allí de estos temas que la Administración Obama ha decidido reforzar los mecanismos de protección en sus redes y su infraestructura informática creando un departamento de alto nivel que administrará toda la estrategia de defensa del ciberespacio de Estados Unidos. Además el Presidente anunció la incorporación en su equipo de un nuevo asesor especial, el Coordinador de Ciberseguridad, quien trabajará en la Casa Blanca y será parte del equipo de Seguridad Nacional.

Como nos cuentan en EnfoqueSeguro, las declaraciones de Obama son claras:
“Desde ahora, nuestra infraestructura digital debe ser tratada como lo que debe ser: como un bien nacional estratégico”, dijo el presidente Obama al momento de formar este nuevo departamento. “Proteger esta infraestructura será una prioridad de seguridad nacional. Nos aseguraremos que esas redes sean seguras, confiables y resistentes”.

La intención de este anuncio es la creación de estrategias nacionales de seguridad informáticas, desarrollando fuertes relaciones con aquellos protagonistas claves en los sectores públicos y privados, de modo que se pueda construir una fuerza de trabajo para responder más adecuada y rápidamente a los incidentes cibernéticos, impulsar el desarrollo y la investigación en ciberseguridad, y promover la preocupación nacional por los temas de seguridad informática.

En el documento de 76 páginas que está consultable en la Red en Revisión de Políticas del Ciberespacio, establece 10 acciones a corto plazo. Además de nombrar al oficial de ciberseguridad, esta revisión hace un llamado para actualizar la estrategia nacional para la seguridad de la infraestructura de la información y comunicaciones, la creación de grupos de trabajo temporales para supervisar los detalles legales de las acciones hechas por esta política, educar al público en general sobre temas de ciberseguridad, y la preparación de un plan de respuesta en caso de un incidente cibernético.

Este documento es además un muy buen ejemplo de cómo debe definirse una estrategia nacional seria al respecto de la seguridad de la información. Da cierta envidia ver como al otro lado del charco las cosas no se hacen por imagen sino porque creen realmente que estan intentando evitar peligros potencialmente peligrosos. Los temas de seguridad con nuestra mentalidad siempre quedan en aparentar que hay una seguridad que luego los incidentes nos demuestran que era absolutamente ficticia. Cuantas cosas se hacen a diario por seguridad siendo totalmente ineficaces pero , ¿Y lo bien que quedan?



,