Universidad Abierta Y A Distancia de México

 

UNIVERSIDAD ABIERTA Y A DISTANCIA DE MÉXICO

ALUMNO: ROCIO HERRERA ESPINOZA

DOCENTE: MTRO. ALBERTO CÓRDOBA GALARZA

LICENCIATURA EN DERECHO

 

Actividad 1. Infraestructuras críticas en México Las Infraestructuras Críticas de todos los países estás expuestas a multitud de riesgos y amenazas fruto de sus vulnerabilidades. Las Infraestructuras Críticas son el objetivo más deseado de los atentados terroristas, terroristas, los ataques cibernéticos  cibernéticos  de parti particulare cularess e incluso ataques híbridos  híbridos  por parte de gobiernos y servicios de inteligencia, de ahí que necesiten una protección más avanzada. Ejemplos como los ataques terroristas del 11S en EEUU, las acciones cibernéticas de  Anonymous o malwares diseñados por Servicios de Inteligencia como fue el caso de Stuxnet contra las Centrales Nucleares de Irán, han provocado que la mayoría de los gobiernos establezcan líneas de acción estratégicas para garantizar la protección de sus Infraestructuras Críticas. Como ciudadanos, pero especialmente como profesionales, conviene reconocer y saber qué es una Infraestructura Crítica de la que depende nuestra calidad de vida. Conocer cómo y con qué criterios se protegen, nos permitirá proteger nuestros propios sistemas u organización con la misma eficacia.

¿Qué son las Infraestructuras Críticas?  A diario utilizas la electricidad, bebes agua, utilizas el transporte  público, realizas pagos con tarjetas bancarias, buscas a través de Google Maps, llamas por teléfono, te conectas a Internet  o realizas trámites con la Administración. Todas esas actividades esenciales dependen de las Infraestructuras Críticas: centrales eléctricas eléct ricas o nucle nucleares, ares, sistema de aguas, transport transporte e ferro ferroviari viario, o, sistema sistema bancar bancario, io, tecnología de satélite, sistemas de telecomunicaciones o de la Administración. “ El El

elemento, sistema o parte de este situado en los Estados miembros que es esencial para el mantenimiento de funciones sociales vitales, la salud, la integridad física, la seguri seg uridad dad,, y el bie bienes nestar tar soc social ial y eco económ nómico ico de la pob poblac lación ión,, cuy cuya a per pertur turbac bación ión o destrucción afectaría gravemente a un Estado miembro al no poder mantener esas funciones”.

- Ser Servic vicio io ese esenci ncial: al: "Es el ser servic vicio io nec necesa esario rio para el man manten tenimi imient ento o de la fun funcio ciones nes sociales básicas, la salud, la seguridad, el bienestar social y económico de los ciudadanos, o el eficaz funcionamiento de las Instituciones del Estado y las  Administraciones Públicas.”

 

- Infraestructura Crítica: "Son las infraestructuras estratégicas, que proporcionan servicios esenciales y cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales.” - Infra Infraestr estructura uctura Estr Estratégic atégica: a: "Infr "Infraestr aestructura uctura Estra Estratégic tégica: a: Son las insta instalacio laciones, nes, redes, sistemas y equipos físicos y de tecnología de la información sobre las que descansa el funcionamiento de los servicios esenciales.” En otras palabras, las infraestructuras críticas son todos aquellos sistemas físicos o virtuales que facilitan funciones y servicios esenciales para apoyar a los sistemas más básicos a nivel social, económicos, medioambiental y político. Una alteración o interrupción en su funcionamiento debido a causas naturales (por ejemplo: una inundación que afecta al suministro eléctrico) o provocada por el hombre (por ejemplo: un atentado una a ce cent ntra rall nu nucl clea earr o a un una a entidad terrorista  o un ataq terrorista ataque ue cib cibern ernéti ético co  a un financiera) podría conllevar graves consecuencias. Las infraestructuras críticaslas podrían afectarbásicas a cualquier Estado  al Sin no poderamenazas continuar ay las desarrollar con normalidad actividades de la sociedad. embargo, el problema empeora cuando una infraestructura crítica es dependiente de otra . La caída de una infraestructura crítica supondría la paralización o menoscabo de los servicios de ambas, por lo que la protección de estas adquiere mayor importancia.  A pesar de que las infraestructuras críticas son similares en todos los países, su práctica puede variar en función de las necesidades, recursos y nivel de desarrollo de cada país en particular. La información sobre la totalidad de  las infraestructuras críticas está clasificada como secreta debido a la alta sensibilidad para la seguridad nacional. Sin embargo, España dispone de más de 3.500 infraestructuras críticas reconocidas.

 

1. Sistema Financiero y Tributario ((entidades entidades bancarias, información, valores e inversiones). 2. Administrac Admini ión (serv (servicios icios instalacio insta laciones, nes, redes de infor informació mación, n, princ principale ipaless activosstración y monumentos delbásicos, patrimonio nacional). 3. Agua (embalses, (embalses, almacenamiento, tratamiento y redes). 4. Alimentación (producción, almacenamiento y distribución). 5. Centrales y Redes de energía (producción (producción y distribución). 6. Instalaciones relacionadas con el Espacio Exterior. 7. Centrales nucleares (producción, almacenamiento y transporte de mercancías peligrosas, materiales nucleares, radiológicos, etc.). 8. Industria Industria Quími Química ca (prod (producció ucción, n, almac almacenami enamiento ento y trans transporte porte de merc mercancías ancías peligrosas, materiales químicos, etc.). 9. Investigaci Investigación: ón: labora laboratorios torios que por su idios idiosincras incrasia ia dispo dispongan ngan o produz produzcan can materiales, sustancias o elementos críticos o peligrosos. 10. Salud (sector e infraestructura sanitaria). 11. Tecnologías de la Información y las Comunicaciones (TIC, ya sean infraestructuras crít cr ític icas as en sí mi mism smas as,, co como mo red redes es de te tele leco comu muni nica caci cion ones es,, o de den n se serv rvic icio io de información y comunicaciones a otras infraestructuras críticas) 12. Transportes (aeropuertos, puertos, instalaciones intermodales, ferrocarriles y redes de transporte público, sistemas de control del tráfico).

 

Legislación y normativa aplicable a las infraestructuras críticas Real Decreto 704/201 de 20 de mayo por el que se aprueba el Reglamento de protección de las infraestructuras críticas. críticas . La finalidad de este decreto es desarrollar, concretar y ampliar los aspectos contemplados en la Ley 8/2011 de 28 de abril. Está dividido en cuatro grandes apartados: Título I  que contiene las cuestiones generales relativas a su objeto y ámbito de aplicación. Título II que está plenamente dedicado al Sistema de Protección de Infraestructuras Críticas y desarrolla las previsiones legales relativas a los órganos creados por la Ley. Título III que se encarga de la regulación de los instrumentos de planificación. Título IV  que consagra la seguridad de las comunicaciones y a las figuras del Responsable de Seguridad y Enlace y del Delegado de Seguridad de la infraestructura crítica. Plan Pl an de se segu guri rida dad d de dell op oper erad ador or (P (PSO SO). ).  Con este documento se pretende que el Operador designado como crítico o estratégico cumpla el Real Decreto 704/2011: 













 

  Estableciendo los contenidos contenidos mínimos sobre sobre los que se se debe de apoyar apoyar un operador  crítico a la hora del diseño y elaboración de su PSO.   Ade Además más,, pre preten tende de orientar orientar a aqu aquell ellos os operadore operadoress que hayan sido o vay vayan an a ser  designados como críticos en el diseño y elaboración de su respectivo Plan, con el fin de qu que e és ésto toss pu pued edan an de defifini nirr el co cont nten enid ido o de su po polílítitica ca ge gene nera rall y el ma marc rco o organizativo de seguridad.   En otras palabras, el PSO definirá la política general del operador para garantizar la la seguri seg uridad dad int integr egral al del con conjun junto to de ins instal talaci acione oness o sis sistem temas as de su prop propied iedad ad o gestión.

Guía de Buenas Prácticas para la elaboración de los Contenidos Mínimos de los Planes de Seguridad del Operador: 





  Con este documento documento se pretende orientar orientar a aquellos operadores operadores designados designados como críticos en la elaboración de su PSO, sirviendo como complemento a las Resoluciones del Secretario de Estado de Seguridad sobre Contenidos Mínimos del PSO.   Se trata de un documento de carácter voluntario que no incluye requisitos adic ad icio ional nales es a lo loss es esta tabl blec ecid idos os po porr la le legi gisl slac ació ión n vi vige gent nte e o po porr la Re Reso solu luci ción ón mencionada previamente.   En esta guía se incluyen incluyen una serie de Anexos (ejemplos, (ejemplos, relación relación de estándares estándares y buenas prácticas, etc.) que podrán ser de ayuda a los operadores críticos para la conf co nfec ecci ción ón de al algu guno no de lo loss pu punt ntos os de lo loss co cont nten enid idos os mí míni nimo moss de dell Pl Plan an de Seguridad del Operador.

 

Plan de protección específico (PPE).  (PPE). Con este documento se pretende que el Operador designado como crítico o estratégico cumpla el Real Decreto 704/2011:   Estableciendo los contenidos contenidos mínimos sobre los que se debe apoyar el operador crítico a la hora de elaborar su respectivo PPE en las instalaciones catalogadas como críticas.   Los PPE son los documentos operativos donde se definen las medidas medidas concretas a poner en marcha por los operadores críticos para garantizar la seguridad integral (seguridad física y ciberseguridad) de sus infraestructuras críticas. Guía de Buenas Prácticas para la elaboración de los Contenidos Mínimos de los Planes de Protección Específicos. 









  Con este documento documento se pretende orientar orientar a aquellos operadores operadores designados designados como crít cr ític icos os en la el elab abor orac ació ión n de su suss PP PPEs Es,, si sirv rvie iend ndo o co como mo co comp mple leme ment nto o a la lass Resoluciones del Secretario de Estado de Seguridad sobre Contenidos Mínimos del PPE.   Se trata de un documento de carácter voluntario que no incluye requisitos adic ad icio ional nales es a lo loss es esta tabl blec ecid idos os po porr la le legi gisl slac ació ión n vi vige gent nte e o po porr la Re Reso solu luci ción ón mencionada previamente.   En esta guía se incluyen incluyen una serie de Anexos (detalle (detalle de medi medidas das organizativ organizativas as o gestión, operacionales o procedimentales, protección o técnicas, etc.) que podrán ser referentes de ayuda a los operadores críticos para la confección de alguno de los puntos de los contenidos mínimos del PPE.

https://docs.google.com/presentation/d/1BhXEf1iTJRFHQjEKwJisrVk2lV4JFWcc/ edit?usp=sharing&ouid=116183387766584187047&rtpof=true&sd=true Actividad 2. Ciberguerra

 

En México, en 2018, se descubrió una red de noticias falsas cuya falsas cuya pretensión era interferir en las elecciones presidenciales. Ese mismo año, el Ministerio de Defensa de   España denunció España  denunció un ciberataque a su red por parte de una “potencia extranjera”. ¿Cuál el contexto social o político en el que se desarrolló? Elecciones presidenciales ¿Qué posturas se estaban confrontando? Ciber ataque a su red ¿Qué tipo de ataques o actividades informáticas se desarrollaron? Noticias falsas ¿Cuáles fueron las consecuencias de estos ataques o actividades informáticas? Los ciberataques, en muchas ocasiones y con facilidad, causan daños en el tejido financiero, afectando gravemente a la economía, primero de las empresas, luego de los ciudadanos y, por último, del país enemigo en la ciberguerra. Como ya se ha mencionado, es habitual que los hackers pagados por gobiernos en una ciberguerra tengan entre sus primeros objetivos las grandes empresas, los bancos y la bolsa de valores.

Actividad integradora. Medidas de protección para infraestructuras críticas Cada mes, hay un promedio de 30 o 40 millones de ataques cibernéticos en el mundo con incidentes mayores, principalmente dirigidos a agencias gubernamentales, oficinas de defensa y compañías de alta tecnología. “Estas empresas tuvieron pérdidas por más de un millón de dólares", informó el Mtro. Cuauhtémoc Vélez Martínez en la conferencia “Cib “Ciberg ergue uerra rra:: la nuev nueva a am amen enaz aza a glob global al", ", el 31 de en ener ero o de 2019 2019 en el Sa Saló lón n de Seminarios Emilio Rosenblueth del Instituto de Ingeniería. La presentación estuvo a cargo del Mtro. Cuauhtémoc Vélez Martínez, en compañía del Mtro. Mtr o. Rod Rodolf olfo o Dra Dragon gonné né de la Par Parra ra y el Ing Ing.. Mauric Mauricio io Vel Velázq ázquez uez Álv Álvare arez, z, quiene quieness hablaron acerca de los actores involucrados en la ciberguerra, los ciberdelincuentes más comunes en este proceso informático, algunas de las empresas, gobiernos y grupos comerciales afectados y cuál es la intención real de la ciberguerra. La ciberguerra está determinada en un campo informático, sin embargo, se cree que más

 

adelante causará impactos directos en la sociedad, tal como muertes masivas. Este tema es relativamente nuevo, pues a partir del 2007 se comenzó a usar este término. “Hasta ese momento, los gobiernos no habían ocupado este concepto, sí se habían presentado ataques como cibercrimen, ciberdelincuencia o ciberterrorismo, pero no se hablaba de una ciberguerra como tal", indicó el maestro Vélez. Interrumpir, denegar o degradar los servicios de información son los principales objetivos de la ciberguerra, además de extraer, destruir o modificar información a partir de los sistemas de hackeo más avanzados. “La ciberguerra es un proceso dinámico cada vez más letal. Hay que tomar más en serio la ciberseguridad", señaló el experto en seguridad informática.

Las ventajas para los hackers en el terreno de la ciberguerra son diversas, en primer  lugar, es que funciona como el camuflaje perfecto, pues no se sabe de quién ni de dónde proviene el ataque. También, es un mecanismo sencillo de efectuar y muy económico, adem además ás de ser ser mu much cho o me meno noss viol violen ento to qu que e un una a gu guer erra ra fí físi sica ca y ex exis istitirr un una a me meno nor  r  destrucción de suficientes la infraestructura, aunado esto, todavía no existen las regulaciones internacionales para detener esteafenómeno informático.   Los antecedentes de la ciberguerra van desde 1999 en la Guerra de Kosovo, de ahí a 2003 cuando se dio un conflicto entre Taiwán y China, y luego, en 2006 se presentó una intervención fallida hacia la NASA. Después, en 2010, se conoció el caso de Stuxnet, un malware que afectó físicamente las instalaciones a las que fue dirigida, y esto modificó el concepto de ciber-arma. En los años siguientes, también aparecieron dos virus letales, “Duqu" y “Flame". Y posteriormente, en 2016, los rusos robaron grandes cantidades de información a los estadounidenses, previo a las elecciones presidenciales. “Actualmente las empresas gastan más en café que en seguridad informática", concluyó el Mtro. Vélez, “y cada vez hay una sofisticación en los mecanismos de hacker, por lo que se tiene que actualizar constantemente el software de bloqueo, sin embargo, el respaldo de información va a ayudar a minimizar el impacto que puede tener un ataque" explicó. Los ciberataques ciberataques   a varias entidades de gobierno y empresas ocurridos en los últimos meses han puesto el tema sobre la mesa: se acerca una nueva guerra cibernética que pondría a gobiernos, empresas y organizaciones en una especie de fuego cruzado que cruzado que no incluiría armas, sino recursos tecnológicos. “No hay cómo evitar que la ciberguerra sea una realidad  y tenemos varios ejemplos, no se trata de una discusión política o retórica porque está sucediendo y alguien está robando informació infor mación”, n”, indic indica a en entre entrevista vista Pedro Paixa Paixao, o, vice vicepresid presidente ente y gerent gerente e genera generall de  América Latina de Fortinet, firma dedicada a la ciberseguridad.

¿Con qué infraestructura cuenta México? Según el Plan Nacional de Desarrollo Desarrollo 2013-2018  2013-2018 presentado por el gobierno de Enrique Peña Nieto, el aumento en los ciberataques es ya algo preocupante. “El incremento de los ataques en contra de la infraestructura crítica, los intereses económicos, las redes de

 

informaci inform ación ón y las cap capaci acidad dades es de def defens ensa a de nac nacion iones es especí específic ficas, as, demues demuestra tra que existen gobiernos, grupos criminales y organizaciones terroristas dispuestas a explotar el ciberespacio con propósitos hostiles”, expone.  Actualmente, el gobierno mexicano opera el Centro Nacional de Respuesta a Incidentes Cibernéticos de México (CERT-MX (CERT-MX), ), en colaboración con la UNAM, la Comisión Nacional de Se Segu guri rida dad d (CNS (CNS)) y la divi divisi sión ón cien cientí tífifica ca de la Po Polilicí cía a Fe Fede deral ral,, qu quie iene ness so son n lo loss encargados de monitorear y dar respuesta a los ataques a infraestructura crítica.

Sin embargo, cifras cifras   de la Cám Cámara ara Nac Nacion ional al de la Ind Indust ustria ria Ele Electr ctróni ónica, ca, de Telecomunicaciones y Tecnologías de la Información (Canieti), a mediados de este año indica ind ican n que el 89 por cie ciento nto de los cib ciberat erataqu aques es tienen tienen mot motiva ivacio ciones nes financ financier ieras as y de espionaje, lo cual es un indicativo para reforzar los protocolos de seguridad a nivel nacional. Los especialistas coinciden en que empresas y gobierno deben reforzar las capacidades de seguridad en sistemas críticos y de infraestructuras, pues las entidades públicas y privadas no está están n exen exenta tass de un cibe ciberat rataq aque ue, au aun n cu cuan ando do no se ha haya ya de decl clar arad ado o formalmente una guerra cibernética entre estados.