Continuidad de operaciones: Más allá del plan de recuperación ante desastres

Existe una alerta real ante el creciente número de ciberamenazas que pueden terminar en un incidente disruptivo.

De hecho, el informe “Ciberamenazas y Tendencias. Edición 2019” del Centro Criptológico Nacional (CCN) cita, como uno de los agentes de amenazas más significativos, la interrupción de servicios, es decir, el deterioro intencionado y temporal de la disponibilidad de la información, los sistemas de información o los servicios de información.
Una de las amenazas que afecta directamente a la continuidad, y que desde 2016 se ha multiplicado, es el ransomware, es decir, malware que imposibilita o restringe el acceso a un equipo a menos que se satisfaga un rescate (extorsión). Recordemos, por ejemplo, la campaña del WannaCry, de importante repercusión mediática. Tampoco podemos olvidar las amenazas de denegación de servicio (DDoS).

Y a este creciente número de amenazas que afectan a la disponibilidad, se suman otros agravantes, como puede ser la existencia de nuevas técnicas de distribución masiva de malware. Y ello sin olvidar que ya no hace falta ser un experto para producir un ataque que pueda generar una indisponibilidad, sino que ya se puede incluso adquirir como servicio: Crime-as-a-Service (CaaS), Ransomware-as-a-Service, servicios de botnet disponibles para ataques DDoS.

La Transformación Digital de las empresas ha traído consigo una mayor dependencia de nuestros sistemas de información, lo cual se traduce en un aumento considerable del riesgo de sufrir ciberataques, particularmente incidentes disruptivos, como pérdida de datos cruciales.

El ordenamiento jurídico español de los últimos años nos ha traído una serie de requisitos legales que afectan directamente a la seguridad en general y a la disponibilidad en particular. Hemos pasado de unas obligaciones básicas de disponibilidad, por legislación de protección de datos personales (básicamente relacionadas con la realización de backup), a un endurecimiento de estos requisitos, al entrar en vigor diversa normativa, entre las que pueden citarse las siguientes:

• Esquema nacional de seguridad, “ENS” (RD 3/2010 de 8 de enero, modificado por el RD 951/2015 de 23 de octubre). Incluye medidas de directas de continuidad (anexo II. op.cont) y de medios alternativos, desde el equipamiento hardware (mp.eq.9) hasta las redes de comunicaciones (mp.com.9), pasando por otros elementos que no hay que olvidar en un plan de continuidad, como son las instalaciones físicas (mp.if.9), los proveedores (op.ext.9) y las personas (mp.per.9)

• Ley de protección de infraestructuras críticas, “LPIC” y su reglamento (Ley 8/2011, de 28 de abril, RD 704/2011, de 20 de mayo). Esta ley exige el desarrollo de planes de protección específicos para cada infraestructura declarada como crítica que garanticen la continuidad de los servicios proporcionados por el operador crítico. Estos planes de protección emanarán de un análisis de riesgos e incluirán las diferentes medidas de seguridad que se implanten para hacer frente a las amenazas tanto físicas como lógicas identificadas sobre cada una de las tipologías de sus activos en dicho análisis.

• Transposición de la Directiva NIS: Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información. Esta legislación afecta a la seguridad de las redes y sistemas de información utilizados para la prestación de servicios esenciales de los sectores estratégicos definidos en la LPIC y a la de determinados servicios digitales. Exige la disponibilidad de alternativas para mantener un nivel suficiente de prestación del servicio.

• El Reglamento General de Protección de Datos, “RGPD” (Reglamento (UE) 679/2016). En el artículo 32 del RGPD (Seguridad del tratamiento), se exige la implementación de medidas de seguridad que incluyan, entre otros, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.