Ciberseguridad en el contexto militar 1

El propósito de este artículo militar tiene como objetivo referenciar la actual dependencia de las tecnologías de información y comunicación del ciberespacio y como estas constituyen una realidad en la actual gestión de mando y control militar en el ámbito de la defensa, las que sustentadas en infraestructuras críticas de comunicaciones están expuestas a las ciberamenazas tecnológicas provenientes del ciberespacio, las que necesariamente imponen a la fuerza asumir pertinentes previsiones y actividades que implica considerar determinadas tácticas, técnicas y procedimientos de ciberseguridad, como una forma de previsión y mitigar las eventuales vulnerabilidades informáticas a la que estará expuesta cualquier fuerza militar en el campo de batalla.Desarrollo temático

La Ciberseguridad militar

Como premisa fundamental la fuerza militar debe considerar en los aspectos de ciberseguridad, que desde la visión lógica del más fuerte en el accionar cibernético, será la pasividad de las personas el eslabón más débil ante un ciberataque de origen desconocido, ya que muchas veces, por trasgresión de las normas y políticas de ciberseguridad y/o desconocimiento, pueden facilitar la intrusión de terceros a un sistema de redes.

Como también desde la lógica del más débil, estas estarán representadas por todas aquellas acciones cibernéticas capaces de realizar en el Ciberespacio, que les permitan explotar las debilidades y oportunidades que nos proporciona el empleo del ciberespacio.

Lo que sin duda es importante a considerar en materias de ciberseguridad, es la necesaria capacitación y mentalización consciente de todos los integrantes de una fuerza militar, la que constituirá un factor multiplicador para limitar los efectos de los cibertaques y/o bien para optimizarlos.

El establecer y prever tácticas, técnicas y procedimientos en el uso de los sistemas de información y velar por el cumplimiento de las políticas de ciberseguridad de los medios informáticos y computacionales permitirá la continuidad de los sistemas de informaciones de las redes militares.

El hecho de acrecentar la confianza en las tecnologías de la información para las operaciones militares, aumenta también el valor de la ciberseguridad que se debe considerar con respecto a las infraestructuras criticas de información militar y, con ello, los sistemas de mando y control de los diversos sistemas de armas en red en el ciberespacio (C4I), objetivo militar permanente de ciberataque.

Tácticas, técnicas y procedimientos informáticos

La infraestructura crítica militar puede ser afectada en su operacionalidad, por lo que es necesario disponer de determinadas acciones de ciberseguridad que deben mitigar las vulnerabilidades informáticas a la que estará expuesta la fuerza[2]

1. Desde la visión de la táctica informática la Ciberseguridad de los sistemas C4I están representadas en dos dimensiones:

La primera dimensión, es la protección física de carácter fija y móvil de los ordenadores y enlaces de comunicaciones, así como las instalaciones de mando y control, las que deben estar debidamente mimetizadas y enmascaradas, para evitar que sean atacadas y destruidas, el despliegue de estas instalaciones deben estar en lugares claves para desplegar los nodos del sistema C4I.

Por el contrario, la segunda dimensión, es preservar la seguridad de la información de los sistemas de mando y control (C4I), conectados a la red de comunicaciones contra el Ciberataque a la información de un adversario, lo que en términos de la ciberseguridad, implica considerar “técnicas y procedimientos de Ciberseguridad”, para preservar la confidencialidad, autenticación y la integridad de los datos que fluyen por las redes militares.

El estado de situación tecnológica implica necesariamente una carta de situación digital del panorama operacional común táctica y una técnica, que facilite visualizar el estado de la infraestructura critica militar y los servicios monitorizado, lo que permitirá en todo momento y desde cualquier lugar obtener el estado de la plataforma tecnológica en el Ciberespacio, junto con el estado de cada componente informático de la fuerza, en sus diversas aplicaciones, mapa de configuración de la red, detalles de los servidores, estado de las plataformas y servicios, alertas y notificaciones, configuración y operación a través de navegador web, etc.

2. Desde la visión de la técnica informática referida a la Ciberseguridad de protección de los sistemas de información, y en particular los sistemas C4I contra los ciberataques se distingue lo siguiente:

La protección informática es compleja por el hecho de que, muy a menudo, los sistemas y las redes militares a las que están conectados no son independientes de la infraestructura de información civil y están muchas veces interconectados, intercambiando información.

Un problema técnico que cada vez con más frecuencia van a tener las redes militares, es el de depender de los componentes de una infraestructura sobre la cual en parte no tienen control.

Los sistemas C4I están cada vez más desarrollados sobre tecnologías comerciales, por lo tanto, sufren el mismo conjunto básico de vulnerabilidades que se observan en el sector comercial.

Garantizar que la cadena de suministros de componentes no incluya vulnerabilidades intencionadas (Malware, virus troyanos, Zeus, Stuxmen, DoS y otros) para ser explotadas por organizaciones desconocidas en un futuro.

La manipulación de programas técnicos adquiridos para ordenadores o redes, tienen la posibilidad de insertar y activar software con propósitos maliciosos. Esto es especialmente crítico para redes en las que se manejen datos muy sensibles o críticos, como pueden ser algunas redes militares.

Especial atención asume la capa de personas que pueden asumir o bien representar identidades tecnológicas ficticias a través de IP falsos que circulan en el Ciberespacio.

La diversidad tecnológica es muy diversa, que va desde las comunicaciones entre personas, hasta el proceso de la información que puede ser utilizado para crear datos e informaciones falsas.

El entorno de la situación técnica requiere de especial medidas activas de Ciberseguridad para dar continuidad y protección al sistema de mando, control, comunicaciones, computación e inteligencia (C4I).

3. Desde la visión de los procedimientos informáticos para la protección informática ante ciberataques se distinguen las siguientes[4]:

Escanear sistemáticamente los sistemas de ordenadores y redes militares para identificar sistemáticamente posibles vías de acceso en el sistema, puertos, sistemas operativos, procesos que se pueden realizar de manera automatizada, software de escaneado de puerto, etc.

La prevención de las amenazas provenientes del ciberespacio, es necesario aceptarlas que debe convivirse con las amenazas previamente identificadas, y otras más complejas y sofisticadas que se basan en la utilización de herramientas y componentes que posibilitan la arquitectura tecnológica del ciberespacio las que irán apareciendo de forma continua en el tiempo.

La previsión debe ser considerada como una prioridad en los procedimientos de gestión de riesgos para una infraestructura imbricada de alguna manera en el ciberespacio.

Análisis y evaluación de los riesgos activos que se quieren proteger, de las vulnerabilidades existentes y de la probabilidad de ciberataques potenciales.

Es necesario el despliegue de controles de seguridad, con mayor o menor complejidad y sistematicidad, para reducir la probabilidad de éxito de los potenciales ciberataques, erradicar vulnerabilidades y minimizar la frecuencia de ocurrencia o el impacto de los incidentes informáticos (norma ISO/IEC 27001).

En el ámbito de los procedimientos el concepto aplicado de “evaluación y análisis de riesgos” resulta como fundamenta al analizar el dónde, por qué y cómo pueden surgir los problemas, sirviendo esto como base para su posterior análisis. La identificación consiste en un procedimiento en establecer un listado de los activos a proteger, las amenazas y las vulnerabilidades, todo ello con su probabilidad y consecuencias, esto es, su impacto.

En este procedimiento se identifican los riesgos potenciales a gestionar estén o no bajo control. La identificación del riesgo implica además la formulación de qué consecuencias son inaceptables. Hay una variedad de protocolos de identificación de riesgos tales como lista de control, auditorias e inspecciones, juicios basados en experiencias y registros, diagramas de flujo, intercambio de ideas, entrevistas y análisis de de los sistemas, análisis de escenarios y técnicas de ingeniería de sistemas, etc.

La estimación del riesgo determina la efectividad de los controles de procedimientos existentes, y analiza los riesgos en términos de las consecuencias y la probabilidad de ocurrencia en el marco de estos controles. Este análisis de procedimientos debe considerar todo el rango de las posibles consecuencias y las probabilidades que se produzcan dichas consecuencias.

Las consecuencias y sus probabilidades se combinan para proporcionar una estimación del riesgo, que deben ser evaluadas en términos del daño que sería causado.

La evaluación del riesgo es la comparación de los niveles estimados de riesgo con respecto a los criterios preestablecidos, como la duración de la interrupción y el impacto militar, lo que permite la clasificación de riesgos, con el fin de identificar las prioridades en la gestión de los mismos (cualitativas y cuantitativas).

El tratamiento de los riesgos implica desarrollar un plan especifico para el tratamiento de cada uno de ellos, que incluye, los criterios de evaluación de riesgos previamente desarrollados que contempla análisis de requisitos de seguridad funcional y objetivos de control, requisitos de aseguramiento de la seguridad y consideraciones de costos.

Entre los procedimientos de prevención de riesgos, están las “pruebas de penetración” (también conocidas como métodos de hacking ético) resultan valido y consisten en poner a prueba, de una forma sistemática, los controles que se han implementado en la red para proteger el acceso no autorizado. Hay varios tipos de pruebas de intrusión o pruebas de penetración que, dependiendo de las circunstancias, afectan al alcance de la evaluación, a la metodología adoptada y los niveles de seguridad de la auditoria que se está llevando a cabo pruebas desde el exterior de penetración a la red, pruebas de penetración desde interior, controles de acceso físico a los centros de datos y otros sitios de trabajo, pruebas de ingeniería social, tecnologías de acceso inalámbrico (si procede) y pruebas de intrusión a aplicaciones.

La sensibilización, educación y formación de usuarios es un procedimiento fundamental para obtener la confidencialidad, integridad y disponibilidad de información en el actual entorno de sistemas en redes en el ciberespacio.

Las personas integrantes de la fuerza en todos los niveles involucradas en el uso y la gestión de las tecnologías de la información deben asumir lo siguiente:

Entender que sus funciones y responsabilidades están vinculadas con las funciones de la organización la que requiere seguridad informática de su plataforma tecnológica.

Comprender las políticas de ciberseguridad de la organización y las TIC, así como los procedimientos y prácticas aplicables.

Poseer un conocimiento adecuado de la gestión de diversos operativos y controles técnicos necesarios y disponibles para proteger los recursos de las TIC de los que son responsables.

Las personas son la clave, como activo de la organización pero también son uno de los eslabones más débiles del sistema de ciberseguridad, una adecuada programación de sensibilización y de formación permite que las personas garanticen y entiendan sus responsabilidades de seguridad y como usar correctamente los software y hardware de su responsabilidad.

Continúa en ´Ciberseguridad en el contexto militar (y2)´