Las Jornadas STIC (Seguridad de las Tecnologías de la Información y la Comunicación), organizadas por el Centro Criptológico Nacional (CCN), se celebraron la semana pasada en Madrid. La actividad criminal en las redes que soporta el ciberespacio se ha convertido en una amenaza para los Estados vulnerables y eso, desde hace muchos años, el CCN lo sabe. No en vano desde su primera edición, celebrada en el año 2007, las Jornadas se han consolidado como el evento de ciberseguridad más importante de España.
En este contexto, las Jornadas STIC pretenden presentarse como el espacio de referencia para impulsar la cooperación entre organizaciones y el intercambio de información, conocimientos y de experiencias en el ámbito de la ciberseguridad, teniendo también como objetivo prioritario la promoción al mismo tiempo de la colaboración público-privada. Sin embargo, la situación en nuestro país dista mucho de alcanzar la coordinación necesaria para hacer frente de manera efectiva a esa amenaza silenciosa. De entrada, falta coordinación normativa y retraso en la aplicación de la normativa europea son los principales talones de Aquiles del entorno ciber en nuestro país.
Regulación completa
A pesar de que el Consejo de Seguridad Nacional, en su reunión del día 12 de abril de 2019, aprobó la Estrategia Nacional de Ciberseguridad y que, en marzo del 2022 se aprobó el Plan Nacional de Ciberseguridad dando cumplimiento al mandato emitido por el Consejo de Seguridad Nacional, la regulación legislativa dista mucho de ser completada ya que su norma legal principal, la Ley de Coordinación y Gobernanza de Ciberseguridad, está aún en trámite. El principal reto es la distribución de áreas competenciales, responsabilidades y coordinación entre los diversos organismos responsables de la seguridad y defensa en el ciberespacio.
De esa forma, en el plano civil, el Instituto Nacional de Ciberseguridad de España (INCIBE) es la entidad pública del Ministerio de Transformación Digital cuyo objetivo principal es optimizar la ciberseguridad de ciudadanos, empresas y sectores estratégicos en nuestro país desde 2014. Se trata de un organismo heredero del Instituto Nacional de Tecnologías de la Comunicación (INTECO), creado en 2006. En teoría, es el responsable de generar “confianza digital” en la sociedad, pero sus limitaciones han llevado a muchas empresas importantes, tanto públicas como privadas, a crear sus propias estructuras de ciberseguridad. Además, tiene un gran problema de alcance con las pymes, que suelen presentar una baja madurez en ciberseguridad.
La misión del CCN
Es el Centro Criptológico Nacional (CCN) la entidad realmente “guardiana” de la seguridad ciber en España. Su misión abarca todo el espectro de las operaciones en el ciberespacio con la protección de todas las infraestructuras de todas las infraestructuras críticas, tanto civiles como militares.
Su dependencia orgánica del Centro Nacional de Inteligencia le asegura la protección adecuada para el desarrollo de todas sus actuaciones, pero la escasez crónica de medios desde su fundación ha hecho que su actual nivel diste mucho del que debería haber tenido para contrarrestar la marea de la amenaza ciber que exponencialmente ha crecido año tras año desde que apareció en 1971 Creeper, el primer virus informático del mundo.
En el plano específicamente militar, no fue hasta el año 2013 cuando en el seno de las Fuerzas Armadas se creó el Mando Conjunto de Ciberdefensa. Esta estructura con un grupo inicial de unas 25-30 personas en la base de Retamares fue ampliada y potenciada en 2020 cambiando su denominación a Mando Conjunto del Ciberespacio (MCCE), con la integración de nuevas capacidades, incluyendo sistemas de mando y control y guerra electrónica, convirtiéndose en un mando operativo conjunto completo. Hoy en día lo forman más de 400 efectivos.
Impulso de la inversión
Así, afortunadamente después de años y años de sequía presupuestaria, la crisis existencial que vive Europa bajo la amenaza rusa ha servido para impulsar la inversión estatal en capacidades de ciberseguridad y ciberdefensa dentro del Plan Industrial y Tecnológico de Seguridad y Defensa, ariete del polémico aumento hasta el 2% del PIB en defensa para 2025.
De los anunciados 10.471 millones de euros para 2025, un 31% se destinarán sólo en este año a desarrollar y adquirir nuevas tecnologías de telecomunicación y ciberseguridad. Desde que se activó el Plan, ya se han contabilizado más de una decena de actuaciones en materia de compromisos de gasto y contratos en el ámbito ciber que el Ministerio de Defensa ha destinado al propio Ministerio, al CCN o al MCCE.
En el primer caso y en beneficio directo de la operatividad de las Fuerzas Armadas, especialmente en sus operaciones en el exterior, podemos señalar los Acuerdos de suministro para la adquisición de la Capacidad Cripto Multipropósito y Multidominio de 158 millones de euros y la contratación de servicios e infraestructuras de telecomunicaciones de la Infraestructura Integral de Información para la Defensa (I3D) en territorio nacional y zonas de operaciones exteriores de las FAS por 258 millones.
En cuanto al CCN, la asignación este año rondará los 381 millones de euros para proyectos que, en su mayoría, debido a la confidencialidad de sus actuaciones, han sido clasificados como “secretos”. Entre los que afectan al MCCE, destacan la construcción de nuevas instalaciones en su Base de Retamares para su Centro de Respuestas ante Emergencias Informáticas y su Centro de Operaciones de 42 y 15 millones de euros respectivamente. Ello, unido a la adquisición por 132 millones de un sistema integral de combate en el ciberespacio y de adquisición de nuevas capacidades de la Fuerza de Operaciones en el Ciberespacio, situará al MCCE entre los organismos punteros en Europa en materia de ciberdefensa.
Plataforma virtual
En este sentido, es singularmente reseñable la aprobación de 58 millones de euros para desarrollo de un Cyber Range, que proporcionará al MCCE una plataforma virtual que permita simular entornos operativos reales para la ciberdefensa. Este proyecto, identificado como Programa Especial de Armamento, ha recibido una prefinanciación del Gobierno de 36 millones asignados a Indra. La infraestructura física que lo soportará costará además unos 17 millones más.
Pero el aluvión de millones no se corresponde de momento con la jerarquización y distribución ordenada de cometidos por parte de los diversos entes de la administración responsables de la seguridad y la defensa ciber. Quizás por ello, el pasado mes de octubre el presidente del Gobierno anunció la creación del Centro Nacional de Ciberseguridad, adscrito a la Presidencia del Gobierno. Parece un intento por parte de la Moncloa de controlar todo lo que en este oscuro campo pueda afectar a la seguridad del Estado superponiéndose a los cometidos que hasta el momento pudiera haber tenido el Centro Criptológico Nacional, dependiente del Ministerio de Defensa.
No deja de sorprender un cierto conflicto de carácter semántico entre los términos ciberseguridad y ciberdefensa que tiene un impacto más que evidente entre los diversos organismos responsables en materia ciber. Se busca, desde el concepto de la seguridad, implicar transversalmente a todos los ámbitos sociales públicos y privados, y desde la defensa, presumo, un interés más de disponer no sólo de medios defensivos sino además de capacidades ofensivas que desarrollen una cierta disuasión ante los posibles adversarios. Ello genera una descoordinación e incoherencia de actuaciones y muchas veces incompetencia en las actuaciones de las diversas agencias que tratan el asunto.
