Entrevista amb l’autor dels avenços recents en ciberseguretat – capítol gratuït inclòs

Què et va fer escriure Avenços recents en ciberseguretat?

Volia posar en pràctica els problemes crítics de ciberseguretat i protecció de les infraestructures crítiques i exposar les comunitats de recerca en TIC i ciberseguretat als problemes, polítiques i pràctiques actuals. A més, volia proporcionar un ric inventari de l’experiència i pràctiques dels principals països de les TIC en qüestions de ciberseguretat i protecció d’infraestructures crítiques.

Quins nous coneixements heu obtingut mentre escriví el llibre?

Una de les principals conclusions que van sorgir després d’investigar els temes plantejats en aquest llibre va ser que tots hauríem de reunir-nos: individus, estats, ONG i organitzacions internacionals, per protegir l’excedent d’innovacions TIC. Els nens, les famílies, les infraestructures crítiques, la democràcia digital i la llibertat d’expressió són només algunes de les coses que hi ha en joc. Els atacs cibernètics transfronterers, els problemes legals, l’atribució de ciber delictes transfronterers i les qüestions d’atribució de delictes tècnics s’han d’abordar en un futur proper.

La versió kindle de Avenços recents en ciberseguretat està disponible per a la seva compra a Amazon.

A continuació es mostra el capítol dotze de Avenços recents en ciberseguretat d’Elsadig Saeid

Experiència als Estats Units

Pla nacional actual i futures indicacions

Els Estats Units són el país líder al món en seguretat de la informació i protecció d’infraestructures crítiques. Tot i que hi ha una gran bretxa en el desenvolupament de les tecnologies de la informació i les comunicacions entre els EUA i altres països, els Estats Units tenen un ego constant per liderar el món en aquesta àrea. Així, cada any es destina una quantitat considerable de pressupost en investigació, desenvolupament i innovacions en aquest àmbit.

El 2010 i com a part de la recuperació i reinversió nord-americana, el govern dels Estats Units va anunciar el Pla Nacional de Banda Ampla [157]. Els sis objectius del pla de registre d’aquest pla són els següents:

1. Almenys 100 milions d’habitatges dels EUA han de tenir un accés assequible a velocitats de descàrrega reals d’almenys 100 megabits per segon i a velocitats de càrrega reals d’almenys 50 megabits per segon..

2. Els Estats Units han de liderar el món en innovació mòbil, amb les xarxes sense fils més ràpides i extenses de qualsevol país

3. Tots els nord-americans haurien de tenir un accés assequible a un servei de banda ampla robust i els mitjans i habilitats per subscriure-s’hi si ho decideixen

4. Tota comunitat americana hauria de tenir un accés assequible a almenys 1 gigabit per segon servei de banda ampla per fondejar institucions com escoles, hospitals i edificis governamentals

5. Per garantir la seguretat del poble nord-americà, cada primer responent ha de tenir accés a una xarxa de seguretat pública de banda ampla, sense fils i interoperables a tot el país.

6. Per garantir que Amèrica lideri l’economia de l’energia neta, tots els nord-americans haurien de poder utilitzar la banda ampla per rastrejar i gestionar el seu consum d’energia en temps real.

La Comissió Federal de Comunicació dels Estats Units (FCC) supervisa la implementació d’aquest pla mitjançant la cerca de les estadístiques i els indicadors. A la figura 12.1, es mostra la pàgina web principal del Pla nacional de banda ampla (Font: www.Broadband.gov)
Entrevista amb l'autor dels avenços recents en ciberseguretat - capítol gratuït inclòs
Figura 12.1: la pàgina web principal del Pla nacional de banda ampla dels Estats Units (Font: www.Broadband.gov)

Sectors crítics

Als Estats Units, el Ministeri de Seguretat Nacional segons la Directiva de Política Presidencial 21 (PPD-21) defineix infraestructures crítiques ja que “la infraestructura proporciona els serveis essencials que sustenten la societat nord-americana. Es necessiten esforços proactius i coordinats per reforçar i mantenir una infraestructura crítica segura, funcionant i resistent (inclosos actius, xarxes i sistemes) que són vitals per a la confiança pública i la seguretat, la prosperitat i el benestar de la nació. a partir d’aquesta definició, els següents sectors s’identifiquen com a infraestructures crítiques de l’estat “[158].

• Sector de les tecnologies de la informació
• Sector de telecomunicacions
• Sector químic
• Sector d’equipaments comercials
• Sector de preses
• Reactors nuclears comercials ، Materials ، i sector de residus
• Instal·lacions governamentals
• Sector de sistemes de transport
• Sectors del Servei d’Urgències
• Sector de serveis postals i d’enviament
• Sector agroalimentari
• Sectors de salut pública i assistència sanitària
• Sectors energètics
• Sectors bancaris i financers
• Sector de la Base Industrial de Defensa
• Sectors crítics de fabricació

Iniciatives i polítiques passades i presents

A Estats Units, la gent reconeix la importància de la protecció d’infraestructures d’informació crítica des del 1990. Als Estats Units, qualsevol atac pot tenir un impacte important en l’economia i la seguretat nacional del país i del món. Atesa la proporció d’aquesta sensibilitat, el govern federal ha introduït diverses iniciatives i ha adoptat una sèrie de mesures preventives per protegir la infraestructura crítica d’informàtica i comunicacions. Aquestes iniciatives i mesures s’han resumit de la manera següent:

• Constitució de la Comissió presidencial de protecció d’infraestructures crítiques (PCCIP) el 1997 (inclosos membres del govern i del sector privat) [159].
• Directiva presidencial 62 i 63 el 1998 per protegir les infraestructures crítiques [160].
• Pla nacional d’informació [161] Protecció de sistemes, 2000
• Ordres executives de seguretat nacional [162] i la creació del departament de seguretat nacional el 2003
• Directiva presidencial de seguretat nacional / HSPD-7 2003 [163] que atorga la responsabilitat de la protecció d’infraestructures crítiques al departament de seguretat nacional
• Estratègia nacional de seguretat nacional 2002, que inclou els punts següents:
• Estratègia nacional per protegir el ciberespai [164]
• Incrementar la resistivitat nacional davant els ciberatacs
• Reduir la pèrdua reduint el temps inferior (quan hi ha un atac)
• L’estratègia nacional per a la protecció física de les infraestructures crítiques i els actius clau [165].
• L’estratègia nacional per compartir informació, aquesta estratègia defineix el protocol d’intercanvi d’informació entre diferents sectors governamentals. Aquesta estratègia es va actualitzar el 2012 després del problema de Wikileaks [166].
• Estratègia del Departament de Defensa per operar en el ciberespai: aquesta estratègia es va anunciar el 2011 per complir el següent [167]:
• Utilitzar les eines de defensa per a la seguretat de la informació
• Cercar noves eines per a la seguretat de la informació
• Cooperar i compartir coneixement
• Construir relacions basades en els valors d’informació
• Donar suport a la innovació
• L’estratègia nacional de lluita contra el crim transnacional [168]: el crim organitzat: la lluita contra les amenaces convergents a la seguretat nacional: aquesta estratègia es va anunciar el 2011
• L’estratègia internacional per al ciberespai: prosperitat ، seguretat ، i obertura en un món en xarxa: aquesta estratègia es va anunciar el 2011 [169, 170].
• Estratègia nacional d’identitats de confiança en el ciberespai: aquesta estratègia es desenvolupa el 2011 per reforçar la seguretat de la informació i la protecció d’infraestructures crítiques [171]
• Salvaguarda dels consumidors americans & Privacitat de les famílies: l’objectiu d’aquesta iniciativa de ciberseguretat és protegir les empreses, els consumidors i les infraestructures nord-americanes de les amenaces cibernèriques, alhora que es protegeix la privacitat i les llibertats civils [172].
• Ordre executiva que promou la compartició d’informació del sector privat en ciberseguretat 2015: l’objectiu d’aquest ordre executiu és establir un marc per compartir informació ampliada dissenyat per ajudar les empreses a treballar conjuntament i treballar amb el govern federal, per identificar i protegir ràpidament contra les amenaces cibernètiques..

Visió general organitzativa i institucional

Al començament de l’era de la seguretat de la informació i la protecció d’infraestructures crítiques, el govern dels Estats Units assigna la responsabilitat de protecció d’infraestructures crítiques als organismes governamentals del ministeri de comerç conegut com a Critical Infrastructure Assurance Office (CIAO). Aquesta oficina treballava estretament amb la Oficina Federal d’Investigació (FBI) per investigar les cibercrimencions i gestionar una resposta a un incident de ciberseguretat. Amb el desenvolupament del sector de la informació i les comunicacions i augmentant la taxa de ciberatacs, el govern va establir el Departament de Seguretat Nacional (DHS) per protegir la infraestructura crítica amb l’ajuda de la següent organització:

1. Oficina Nacional de Protecció d’Infraestructures (OIP): proporciona els serveis següents:

• Dirigir el funcionament / pla de protecció de la infraestructura crítica
• Avaluar els plans de gestió de riscos
• Supervisar l’intercanvi d’informació entre diferents sectors
• Recollir les dades i fer l’anàlisi necessària sobre el risc
• Establir relacions internacionals per a la seguretat de la informació i la protecció de les infraestructures crítiques.

2. Oficina de Ciberseguretat i Comunicacions (CS&C): aquesta oficina es coordina entre diferents gestions de riscos i maneig d’incidents de ciberatac. Els objectius principals són [173]:

• La xarxa de telecomunicacions ha de proporcionar-li un servei sempre i en qualsevol condició.
• El sector de seguretat de la informació nacional hauria de treballar tots els sectors públics i privats per protegir les infraestructures crítiques
• Oficina de Comunicacions d’Emergència (OEC): aquesta oficina treballa per desenvolupar un sistema de comunicació d’emergència per assegurar-se que l’ordre governamental es coordini en el moment d’emergència.

3. Departament d’Estat dels Estats Units: el departament d’estat col·labora estretament amb el departament de Defensa i aliança estrangera per donar suport a totes les iniciatives relacionades amb la seguretat de la informació per reduir el risc i la vulnerabilitat.

4. Focus del Congrés: treballa com a part del comitè de seguretat nacional per donar suport a les indicacions següents:

• Comunicació i protecció de la informació crítica
• Donar suport a les iniciatives de recerca relacionades amb la seguretat de la informació i les gestions de riscos.
• Assegurar-se que tots els sistemes de comunicació i informació poden funcionar en cas d’emergència;
• Suport a la informació nacional, l’intercanvi d’informació i la informació de gestió de riscos

5. Oficina de responsabilitat del govern (GAO): aquesta oficina genera informes periòdics sobre incidents en ciberseguretat i l’estat del país per competir en ciberdelinqüència..

6. Grup de la Comunitat de Defensa: Es tracta de desenvolupar una estratègia de ciberseguretat estratègica per a sistemes de defensa industrials i definits.

7. Secció de delictes informàtics i propietat intel·lectual: aquesta secció que treballa dins del departament de justícia per articular lleis i legislacions relacionades amb la delinqüència informàtica i les propietats intel·lectuals.

8. Programa d’informació sobre infraestructures crítiques protegides (PCIIP): l’objectiu d’aquest programa és impulsar l’intercanvi d’informació entre els sectors privats

9. Centres d’anàlisi i compartició d’informació (ISACs): (figura 12.2, http://www.isaccouncil.org/memberisacs.html): en aquests centres d’intercanvi d’informació, grup industrial interrelacionat com Microsoft, Intel, CA, Symantec, CSC , IBM, Oracle, eBay, EWA-IIT ، Harris ، Hewlett Packard, BAE Systems, IT i VeriSign, In. estan formant un punt focal d’intercanvi d’informació per compartir informació de risc.

Entrevista amb l'autor dels avenços recents en ciberseguretat - capítol gratuït inclòs

Figura 12.2: el lloc web per als centres d’intercanvi d’informació (Font: http://www.isaccouncil.org/memberisacs.html)

10. Oficina InfraGard: aquesta oficina es coordina entre els sectors privats i el FBI sobre investigació i desenvolupament relacionats amb la seguretat de la informació i la protecció d’infraestructures crítiques [174].

11. L’oficina de la National Cyber ​​Security Alliance (NCSA): l’objectiu d’aquesta oficina és reunir grups industrials i sectors en un grup d’intercanvi d’informació per tal que puguin compartir valuoses pràctiques comunes de seguretat d’informació i infraestructures crítiques i tècniques efectives de maneig de respostes d’incidents. A la figura 12.3, es mostra la pàgina web principal d’aquests grups (www.staysafeonline.org)

Entrevista amb l'autor dels avenços recents en ciberseguretat - capítol gratuït inclòs

Figura 12. 3: National Cyber ​​Security Alliance (NCSA) (www.staysafeonline.org)

Avís precoç i divulgació pública

Als Estats Units, les organitzacions següents són responsables de proporcionar el suport tècnic i sensibilitzar la ciutadania sobre problemes de ciberseguretat:

1. Centre de coordinació del CERT, Carnegie Mellon (http://www.cert.org/): aquest centre té el suport del govern federal per desenvolupar investigacions i innovacions i coordinar els esforços dels equips del CERT)

2. Equip d’equips de resposta d’emergència dels Estats Units (US-CERT): establert a la University Of Garage Mellon per prevenir els cibercriments i proporcionar suport tècnic avançat i respondre en situacions d’emergència;

Entrevista amb l'autor dels avenços recents en ciberseguretat - capítol gratuït inclòs

Figura 12.4: La pàgina web principal de l’equip de resposta d’emergència per ordinador dels Estats Units (Font: www.us-cert.gov)

3. Oficina Federal d’Investigació (FBI): El FBI té la responsabilitat de la llei d’investigar ciberdelinqüències:

4. OnGuardOnline.gov (www.onguardonline.gov) aquest lloc web té el suport de centres de recerca i grans empreses per conscienciar el públic sobre la protecció de dades privades.

5. Sistemes de control d’equips de resposta en emergències en cibersegències (ICS-CERT) (http://ics-cert.us-cert.gov/): aquest centre proporciona un suport tècnic avançat en la ciberseguretat dels sistemes industrials..

Entrevista amb l'autor dels avenços recents en ciberseguretat - capítol gratuït inclòs

Figura 12.5: la pàgina web principal d’OnGuardOnline (Font: www.onguardonline.gov/)

Entrevista amb l'autor dels avenços recents en ciberseguretat - capítol gratuït inclòs

Figura 12.6: la pàgina web principal de l’equip de resposta d’emergències en cibersegència de sistemes de control industrial (ICS-CERT) (Font: http://ics-cert.us-cert.gov/)

6. The Defense Cyber ​​Crime Center (DC3): la figura 12.7 mostra la pàgina web principal (http://www.dtic.mil) que té tres laboratoris:

• Laboratori de Defensa de la Computació Informàtica (DCFL): les funcions del laboratori inclouen investigació de cibercrimencions i investigació i desenvolupament.
• Defense Cyber ​​Investigations Academy Academy (DCITA): aquesta acadèmia ofereix formació avançada en tots els aspectes de la ciberseguretat
• Defense Cyber ​​Crime Institute (DCCI): responsable de realitzar investigacions avançades i recolzar les innovacions.

Entrevista amb l'autor dels avenços recents en ciberseguretat - capítol gratuït inclòs

Figura 12.7: la pàgina web principal del Centre de Defensa contra el Ciber-Delictes (DC3) (Font: www.dtic.mil)

Protecció en línia del nen (COP)

Els Estats Units s’adonen i reconeixen la importància de les proteccions infantils al ciberespai des dels primers dies. Així, el govern legislatiu pot fer lleis en aquest sentit:

• Llei de protecció de la privadesa en línia per a nens (1998): aquest acte obliga els llocs web a emmagatzemar dades de privadesa infantil. [175].
• Llei de protecció d’internet per a nens (2000): aquest acte obliga les escoles i les biblioteques públiques a desplegar eines tècniques de seguretat per controlar la navegació infantil a Internet [176]
• Protecció dels nens al segle XXI (2007): aquest acte és complementari a la llei de protecció infantil del 2000 que dóna un dret més als instituts educatius de controlar els nens en el ciberespai [177, 178]

També hi ha moltes organitzacions que proporcionen material valuós a Internet per augmentar la consciència pública sobre el risc en línia al ciberespai; una d’aquestes organitzacions importants és la figura 12.8, la pàgina web principal del Centre Nacional de Nens desapareguts i explotats (http://www.missingkids.com/home)..

Entrevista amb l'autor dels avenços recents en ciberseguretat - capítol gratuït inclòs

Figura 12.8 la pàgina principal del centre del Centre Nacional per a Nens i Nens Explorats (Font: http://www.missingkids.com)

Lleis i legislacions

Atesa la gran influència de la revolució de les tecnologies de la informació i les comunicacions en la vida quotidiana de les persones, des de l’edat primerenca d’aquesta gran revolució, el govern dels Estats Units s’adona i entén de la importància de la regulació d’aquest sector. Avui, als EUA, les lleis més importants relacionades amb els sectors de la informació i les comunicacions es poden resumir de la manera següent:

• Acta del Comitè Assessor Federal (FACA) de 1972 [179]: aquesta Llei defineix i regula l’intercanvi d’informació entre els sectors governamentals.
• Llei de frau i abús informàtic (CFAA) de 1986:
• Acte de mal ús informàtic de 1986 i modificat el 1994 i el 2007 respectivament per adaptar-se als nous cibercriments [180].
• Ordre executiva 13010 per establir protecció d’infraestructures crítiques [181].
• SA PATRIOT Act de 2001: aquesta llei autoritza el FBI a investigar el ciberdelinqüència, a accedir a informació privada si cal. Tot i que hi ha molts problemes relacionats amb aquesta llei, el president Obama va renovar aquesta llei el 2011 durant 4 anys [182] [183].
• Ordre executiva 13228; EO 13228, 2001 per establir el departament de seguretat nacional i consell de seguretat nacional [184].
• Ordre executiva 13231 de 16 d’octubre de 2001 de protecció d’infraestructures crítiques basades en el sistema d’informació [185].
• Llei de seguretat nacional 2002: aquesta llei dóna dret a la seguretat nacional per accedir a gran quantitat de dades privades:
• Llei sobre la llibertat d’informació (FOIA): aquesta llei exclou que els operadors crítics d’infraestructures formin publicacions [186].
• Llei de l’assegurança de risc de terrorisme (modificada i actualitzada el 2005 i el 2007 respectivament) aquesta llei que identifica la quantitat de diners que la companyia d’assegurances pot retornar a l’usuari si hi ha un atac [187]
• Acta de protecció i seguretat de l’infant Adam Walsh 2007 [188].

Kim Martin
Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me