Así, la primera de las ponencias se centró en el estudio realizado sobre el uso del HTTPS en sedes electrónicas del sector público, subrayándose  el bajo nivel de implantación. Ante ello, el CCN-CERT adelantó la realización de informes periódicos para impulsar su implantación sobre todas las sedes electrónicas que lo soliciten y la realización de un documento de buenas prácticas que ayude a los organismos a establecer este protocolo seguro de transferencia de datos.

El INES revela la necesidad de avanzar en ciberseguridad

Otro capítulo importante del encuentro fue el relativo al Esquema Nacional de Seguridad (ENS), su implantación y su cumplimiento. Así, se presentaron los resultados provisionales del Informe Nacional del Estado de Seguridad (INES) correspondiente a 2016, donde se destaca el incremento en el número de organismos del Sector Público que ofrecieron sus datos (Administración General del Estado, Comunidades Autónomas, Entidades Locales y Universidades), pasando de 355 en 2015 a los 648 de 2016.

No obstante, el nivel de cumplimiento detectado es bajo (63%) por lo que se considera necesario tomar ciertas medidas: concienciación/formación de usuarios, incrementar los recursos -no es suficiente la figura del responsable de seguridad, se necesita de un equipo-, aumentar las tareas de vigilancia en la red, fomentar la certificación a través de la realización de auditorías independientes, promover plataformas de servicios en la nube e impulsar la aprobación de las Instrucciones Técnicas de Seguridad (ITS).

El ENS establece la obligación de evaluar regularmente el estado de la seguridad de los sistemas por parte de las Administraciones Públicas, de ahí el desarrollo por parte del CCN-CERT de su herramienta INES.

Colaboración con CNPIC y SAT de Control Industrial

Otro de los aspectos que se abordaron en el transcurso del encuentro fue la coordinación con el Centro Nacional de Protección de Infraestructuras Críticas (CNPIC) en todo lo relacionado con la gestión de ciberincidentes, de tal forma que el CCN-CERT es el Esquipo de Respuesta a Incidentes de referencia para el Sector Público y, en el caso de los Operadores Críticos (OC), se realizará en coordinación con el propio CNPIC.

Por último, también se presentaron los primeros pasos del Servicio de Alerta Temprana para la seguridad de los sistemas industriales (SAT-ICS), pensado para monitorizar la actividad en los sistemas de control industrial y SCADA de los Organismos, integrándolos en el servicio de gestión de alertas de ciberseguridad.

Otros de los temas abordados fueron un resumen de los incidentes más relevantes detectados en 2016 relacionados con ciberespionaje y cibercrimen (las tendencias de extracción de información apuntan al uso de comunicaciones cifradas) y una exposición de las diferentes herramientas desarrolladas por el CCN-CERT, resaltando el esfuerzo de integración de las herramientas de auditoría y la posibilidad de integrar LUCIA, REYES y CARMEN para hacer más eficiente el trabajo del analista. Más información en www.ccn-cert.cni.es