Source: http://docplayer.es/16966341-Contratacion-productos-y-servicios-de-seguridad.html
Timestamp: 2018-03-20 16:42:34
Document Index: 281294340

Matched Legal Cases: ['Artículo 37', 'artículo 36', 'Artículo 18', 'artículo 2', 'Artículo 19', 'Artículo 2', 'Artículo 15']

Contratación Productos y Servicios de Seguridad - PDF
Download "Contratación Productos y Servicios de Seguridad"
César Crespo Méndez
1 SEGURIDAD DE LAS TEC. DE INFORMACIÓN Contratación Productos y Servicios de Seguridad 2012 Centro Criptológico Nacional C/Argentona 20, MADRID
2 Índice 1 2 CCN Funciones Catálogo de Patrimonio y ENS Adquisición Productos / servicios. Necesidad certificación 3 Organismo de Certificación Evaluación y Certificación Desarrollo de Productos Cripto / Seguridad Contratación de servicios Certificación de personas / empresas Externalización de servicios Conclusiones o 2
3 1 Marco Legal El CCN actúa según el siguiente marco legal: Ley 11/2002, 6 de mayo, reguladora del Centro Nacional de Inteligencia (CNI), que incluye al Centro Criptológico Nacional (CCN). Real Decreto 421/2004, 12 de marzo, que regula y define el ámbito y funciones del CCN. Orden Ministerio Presidencia PRE/2740/2007, de 19 de septiembre, que regula el Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información Comisión Delegada del Gobierno para asuntos de Inteligencia. Define los objetivos del CNI. Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica 3
4 CCN RD 421/2004 Elaborar y difundir normas, instrucciones, guías y recomendaciones para garantizar la seguridad de las TIC en la Administración Formar al personal de la Administración especialista en el campo de la seguridad de las TIC Constituir el organismo de certificación del Esquema Nacional de Evaluación y Certificación ió de aplicación ió a productos y sistemas de su ámbito Valorar y acreditar capacidad productos de cifra y Sistemas de las TIC (incluyan medios de cifra) para manejar información de forma segura Coordinar la promoción, el desarrollo, la obtención, la adquisición y puesta en explotación y la utilización de la tecnología de seguridad de los Sistemas antes mencionados Velar por el cumplimiento normativa relativa a la protección de la información clasificada en su ámbito de competencia (Sistemas de las TIC) Establecer las necesarias relaciones y firmar los acuerdos pertinentes con organizaciones similares de otros países. Para el desarrollo de las funciones mencionadas, coordinación oportuna con las Comisiones nacionales a las que la leyes atribuyan responsabilidades en el ámbito de los sistema de las Tecnologías de la Información y de las Comunicaciones. 4
5 CCN-CERT RD 3/2010 ESQUEMA NACIONAL DE SEGURIDAD Artículo 37. Prestación de servicios de respuesta a incidentes de seguridad a las Administraciones públicas 1. De acuerdo con lo previsto en el artículo 36, el CCN-CERT prestará a las Administraciones públicas los siguientes servicios: a) Soporte y coordinación para el tratamiento de vulnerabilidades y la resolución de incidentes de seguridad que tengan la Administración General del Estado, las Administraciones de las comunidades autónomas, las entidades que integran la Administración i ió Local y las Entidades d de Derecho público con personalidad d jurídica propia vinculadas o dependientes de cualquiera de las administraciones indicadas. El CCN-CERT, a través de su servicio de apoyo técnico y de coordinación, actuará con la máxima celeridad ante cualquier agresión recibida en los sistemas de información de las Administraciones públicas. Para el cumplimiento de los fines indicados en los párrafos anteriores se podrán recabar los informes de auditoría de los sistemas afectados. b) Investigación y divulgación de las mejores prácticas sobre seguridad de la información entre todos los miembros de las Administraciones públicas. Con esta finalidad, las series de documentos CCN-STIC (Centro Criptológico Nacional-Seguridad de las Tecnologías de Información y Comunicaciones), elaboradas por el Centro Criptológico Nacional, ofrecerán normas, instrucciones, i guías y recomendaciones para aplicar el Esquema Nacional de Seguridad d y para garantizar la seguridad d de los sistemas de tecnologías de la información en la Administración. c) Formación destinada al personal de la Administración especialista en el campo de la seguridad de las tecnologías de la información, al objeto de facilitar la actualización de conocimientos del personal de la Administración y de lograr la sensibilización y mejora de sus capacidades para la detección y gestión de incidentes. d) Información sobre vulnerabilidades, alertas y avisos de nuevas amenazas a los sistemas de información, recopiladas de diversas fuentes de reconocido prestigio, incluidas las propias. 2. El CCN desarrollará un programa que ofrezca la información, formación, recomendaciones y herramientas necesarias para que las Administraciones públicas puedan desarrollar sus propias capacidades de respuesta a incidentes de seguridad, y en el que, aquél, será coordinador a nivel público estatal. 5
6 Centro Criptológico Nacional 2 Catálogo de Patrimonio. Tecnologías de Información Equipos y sistemas para el tratamiento de la información (Ordenadores personales, ordenadores d portátiles, servidores, sistemas de almacenamiento y software). Equipos de impresión. Equipos y programas de telecomunicación para la transmisión de voz y datos. Centralitas telefónicas. Equipos y sistemas de seguridad. Servicios de Informática y alojamiento Web relacionados con la implantación de la Administración Electrónica. Informática y Alojamiento Web Desarrollo de sistemas de Información Contratamiento de servicios alojamiento de sistemas de información 6
7 Centro Criptológico Nacional 2 Catálogo de Patrimonio. Ventajas Agilidad de contratación. Ahorros en la contratación pública Transparencia y Seguridad Facilidad de tramitación (vía electronica) Normalización y estandarización. Soporte otras políticas ESQUEMA NACIONAL DE SEGURIDAD Actualmente los Requisitos de Seguridad del ENS no se encuentran recogidos en el catálogo. 7
8 ESQUEMA NACIONAL DE SEGURIDAD
9 Centro Criptológico Nacional 2 RD 3/2010. Art 18 Adquisición Productos Seguridad Artículo 18. Adquisición de productos de seguridad. 1. En la adquisición de productos de seguridad de las tecnologías de la información y comunicaciones que vayan a ser utilizados por las Administraciones públicas se valorarán positivamente aquellos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición. 2. La certificación indicada en el apartado anterior deberá estar de acuerdo con las normas y estándares de mayor reconocimiento internacional, en el ámbito de la seguridad funcional. 3. El Organismo de Certificación del Esquema Nacional de Evaluación y Certificación de Seguridad de las Tecnologías de la Información, constituido al amparo de lo dispuesto en el artículo 2.2.c) del Real Decreto 421/2004, de 12 de marzo, y regulado por la orden PRE/2740/2007, de 19 de septiembre, dentro de sus competencias, determinará el criterio a cumplir en función del uso previsto del producto a que se refiera, en relación con el nivel de evaluación, otras certificaciones de seguridad adicionales que se requieran normativamente, así como, excepcionalmente, en los casos en que no existan productos certificados. El proceso indicado, se efectuará teniendo en cuenta los criterios y metodologías de evaluación, determinados por las normas internacionales que recoge la orden ministerial citada. ANEXO V. CLAUSULA ADMINISTRATIVA 9
10 Centro Criptológico Nacional 2 RD 3/2010. Art 15 Seguridad por Defecto Artículo 19. Seguridad por defecto. Los sistemas deben diseñarse y configurarse de forma que garanticen la seguridad d por defecto: a) El sistema proporcionará la mínima funcionalidad requerida para que la organización sólo alcance sus objetivos, y no alcance ninguna otra funcionalidad adicional. b) Las funciones de operación, administración y registro de actividad serán las mínimas necesarias, y se asegurará que sólo son accesibles por las personas, o desde emplazamientos o equipos, autorizados, pudiendo exigirse en su caso restricciones de horario y puntos de acceso facultados. c) En un sistema de explotación se eliminarán o desactivarán, mediante el control de la configuración, las funciones que no sean de interés, sean innecesarias e, incluso, aquellas que sean inadecuadas al fin que se persigue. d) El uso ordinario del sistema ha de ser sencillo y seguro, de forma que una utilización insegura requiera de un acto consciente por parte del usuario. 10
11 2.1 Series CCN-STIC Guías CCN-STIC: Normas, instrucciones, guías y recomendaciones 9 Series: 209 documentos (23 NUEVAS / ACTUALIZADAS EN 2012) Series CCN-STIC CCN-STIC 000: Instrucciones/Políticas STIC CCN-STIC 100: Procedimientos CCN-STIC 200: Normas CCN-STIC 300: Instrucciones Técnicas CCN-STIC 400: Guías Generales CCN-STIC 500: Guías Entornos Windows CCN-STIC 600: Guías Otros Entornos CCN-STIC 800: Guías desarrollo ENS (PÚBLICAS) 22 Guías. 8 nuevas en 2012 CCN-STIC 900: Informes Técnicos 11
12 2.1 Seguridad por defecto = Configuraciones de Seguridad Servidores Controladores de dominio BBDD Aplicaciones Puestos clientes Infraestructura de comunicaciones Servicios Correo electrónico Web Almacenamiento Ficheros Impresión Back-up Herramientas de seguridad 12
13 2.1 CCN-STIC 819 CONTRATACIÓN EN EL ENS 1. INTRODUCCIÓN 2. AMBITO DE APLICACIÓN 3. LEGISLACION Y NORMATIVA APLICABLE 4. ACTORES QUE INTERVIENEN EN LA CONTRATACIÓN 5. REQUISITOS PREVIOS A LA CONTRATACIÓN 6. MEDIDAS DE SEGURIDAD A EXIGIR DE ACUERDO AL TIPO DE PRODUCTO / SERVICIO A CONTRATAR PLANIFICACIÓN DIMENSIONAMIENTO / GESTIÓN DE CAPACIDAD COMPONENTES CERTIFICADOS CONTROL O DE ACCESO IDENTIFICACION ANEXO I MEDIDAS DE SEGURIDAD A EXIGIR EN LOS CONTRATOS SEGÚN SU TIPOLOGÍA ANEXO II CHECKLIST DE RELACIÓN DE ASPECTOS A TENER EN CUENTA EN CONTRATACIÓN CON TERCEROS ANEXO III REFERENCIAS 13
14 3 Evaluación / Certificación ió - CRIPTOLÓGICA Valorar Verificación y fortaleza Acreditar criptología empleada la capacidad en cifrador de los Comprobación de la correcta implementación de la criptología Estudio de los mecanismos de autoprotección del cifrador Lista de productos certificados (Secreto, Reservado, Confidencial, Difusión Limitada) productos de cifra y Sistemas de las TIC - FUNCIONAL DE SEGURIDAD Common Criteria e ITSEC (incluyan medios de cifra) para manejar Expedientes administrativos de certificación de productos y de acreditación de laboratorios Certificados información Common Criteria e de ITSEC forma por resolución segura del SED con publicación en el BOE - TEMPEST Medición de equipos, plataformas y locales Validación mediciones realizadas por Laboratorios Equipos y Plataformas (Clase 3-0) / Zonificación (Clases 0-3) 14
15 31Laboratorios 3.1 acreditados CESTI / INTA Tipo: Público Localización: Madrid LGAI / APPLUS+ Tipo: Comercial Localización: Barcelona Epoche & Espri Tipo: Comercial Localización: Madrid 15
16 3.1 Estadísticas OC Expedientes OC abiertos por año EPOCHE & ESPRI 38% Exptes OC por Laboratorio CESTI- INTA 31% APPLUS- LGAI 31% Resoluciones publicadas en el BOE por año Exptes OC por tecnología SW SO AP DNIE HW CIFRADO SW PKI SW LOG HW TARJETA SW FIRMA SW CIFRADO PERFILES SW AVIONICA SITIOS 16
17 Productos Coordinar la promoción, el desarrollo, la obtención, la adquisición y puesta en explotación y la utilización de la tecnología de seguridad (Artículo 2, apartado 2.e del R.D. 421/2004) 17
18 Centro Criptológico Nacional RD 3/2010. Art 15 Profesionalidad Artículo 15. Profesionalidad. 1. La seguridad de los sistemas estará atendida, revisada y auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida: instalación, mantenimiento, gestión de incidencias y desmantelamiento. 2. El personal de las Administraciones públicas recibirá la formación específica necesaria para garantizar la seguridad de las tecnologías de la información aplicables a los sistemas y servicios de la Administración. 3. Las Administraciones públicas exigirán, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten con unos niveles idóneos de gestión y madurez en los servicios prestados. 18
19 Centro Criptológico Nacional UK Marco Certificación personas 19
20 Centro Criptológico Nacional UK. Roles específicos Acreditador Auditor Criptocustodio Responsable de Seguridad 20
21 Centro Criptológico Nacional 4.1 UK. Perfiles de seguridad A / B Aseguramiento de información Políticas y procedimientos Formación Análisis y Gestión de Riesgos C / D Implementación segura de sistemas y Verificación E / F Gestión de Operaciones de seguridad Gestión de incidentes Gestión de operaciones de seguridad Análisis de vulnerabilidades Investigación incidentes Análisis forense G / H Auditorias de seguridad / Continuidad de negocio 21
22 Formación - Cursos STIC / 16 cursos / 14 cursos / 14 cursos DEFENSA INAP 0 Plazas / 14 cursos 5 Cursos ON LINE: 1872 usuarios. Curso ON LINE COMMON CRITERIA 22
23 Centro Criptológico Nacional 4.1 UK Código de conducta Imparcialidad Objetividad Confidencialidad e Integridad Cumplimiento Competencia Responsabilidad Proporcionalidad Reputación 23
24 Centro Criptológico Nacional 4.2 Externalización de servicios Servicios de gestión de seguridad Centros de Operaciones de Seguridad. Seguridad Gestionada Mantenimiento de dispositivos de seguridad (FW, IDS.) Servicios de vigilancia y gestión de incidentes Servicios de vigilancia en INTERNET Servicios de Auditorías de Seguridad Auditorías de CAJA BLANCA (Auditorias de sistemas, Auditorias de aplicaciones ) Auditorías de CAJA NEGRA (Hacking ético, Pruebas de penetración servicios Web ) Servicios de Investigación / reacción ante ataques Reacción y limpieza ante APT Mejoras de seguridad necesarias 24
25 Centro Criptológico Nacional 5 Conclusiones Necesidad de una mayor definición de productos / servicios de seguridad en el CATÁLOGO DE PATRIMONIO Desarrollo de CCN-STIC 819 Contratación de Servicios de Seguridad en el ENS Establecer marco de referencia Desarrollo esquema de Certificación de Personas (CCN- STIC??) que permita un marco común de definición de perfiles para proporcionar servicios de seguridad 25
26 Centro Criptológico Nacional s es Websites cert.cni.es Gracias 26
27 2.2 Desarrollo Productos Cripto (1/3) Cifrador IP EP430GN Cifrador IP de alta velocidad (1+1 Gb/s) con capacidad para procesar información clasificada nacional y OTAN (hasta NS) PRIMER CIFRADOR NACIONAL APROBADO POR OTAN PARA PROCESAR INFORMACIÓN CLASIFICADA NATO SECRET 27
28 2.2 Desarrollo Productos Cripto (2/3) Comunicaciones Seguras vía Satélite (CRIPTOPER) Comunicación segura de voz y datos vía satélite (IRIDIUM e INMARSAT) con protocolo de interoperabilidad cripto SCIP PRIMER CIFRADOR NACIONAL ADQUIRIDO Y USADO POR OTAN EN OPERACIONES (ISAF) 28
29 2.2 Desarrollo Productos Cripto (3/3) Terminal Móvil Seguro Defensa (TMSDef) Terminal móvil con capacidad para transmisión de voz (y datos) desde terminal comercial securizado sobre redes 3G/GPRS PRIMERA OCASIÓN EN LA QUE LA NSA/IAD HA PLANTEADO REUNIONES TÉCNICAS CON EL CCN (COMPARTIR EXPERIENCIA Y CONOCIMIENTO EN COMUNICACIONES MÓVILES SEGURAS) SECRETARÍA DE ESTADO DE LA DEFENSA DIRECCIÓN GENERAL DE INFRAESTRUCTURA 29
Servicios CCN-CERT Amenazas 2011
ESQUEMA NACIONAL DE SEGURIDAD Servicios CCN-CERT Amenazas 2011 Madrid, marzo de 2012 Índice Introducción Servicios de Alerta Temprana SAT SARA / INTERNET SAT CARMEN Formación Mejores prácticas 1. Guías
MINISTERIO DE LA PRESIDENCIA Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica (Incluye corrección de errores publicada
Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág. 8089 I. DISPOSICIONES GENERALES MINISTERIO DE LA PRESIDENCIA 1330 Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad
MODELOS DE CALIDAD Y SISTEMAS DE EVALUACIÓN
MODELOS DE CALIDAD Y SISTEMAS DE EVALUACIÓN Propuesta de la Fundación Edad & Vida para las entidades prestadoras de servicios de atención a las personas mayores en situación de dependencia Barcelona, 5
- NS/05 - Seguridad en los sistemas de información y comunicaciones. Autoridad Nacional para la protección de la información clasificada
Autoridad Nacional para la protección de la información clasificada - NS/05 - Seguridad en los sistemas de información y comunicaciones Edición 3/Diciembre 2012 Pág. NS/05-1 SEGURIDAD EN LOS SISTEMAS DE