Proyectos de Isdefe en Ciberseguridad

Óscar Pastor Acosta

123.05.2016

Títu

lo d

e la

Pre

sent

ació

n

1

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Nuestra Misión

� Ingeniería de Sistemas para la Defensa deEspaña (Isdefe) es una empresa pública deconsultoría e ingeniería fundada en 1985.

� La misión de Isdefe es proporcionar servicios deingeniería, consultoría y asistencia técnica a laAdministración Pública Española así como aorganizaciones públicas internacionales.

� Es un modelo de compañía especial: Estáfocalizada en el sector público, independientede intereses comerciales o industriales.

223.05.2016

Títu

lo d

e la

Pre

sent

ació

n

2

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Organigrama

Isdefe, está integrada directamenteen la estructura orgánica delMinisterio de Defensa de Españadependiente de la Secretaría deEstado de Defensa.

� PresidenteSecretario de Estadode Defensa

� DGAMDirección General de Armamento y Material

� DIGENECODirección General de Asuntos Económicos

�Ministerio de Defensa

�Secretaría de Estado de Defensa

� Consejero Delegado

� Dirección de Planificación y Económico Financiera

� Dirección de Administración y RRHH

� Dirección de Desarrollo de Negocio

� Dirección de Defensa y Seguridad

� Dirección de Consultoría y Procesos Estratégicos

� Dirección de Estaciones

� INTAInstituto Nacional de Técnica Aeroespacial

� DIGENINDirección General de Infraestructura

� Dirección de Transportes y TIC

� Dirección de Operaciones

Nuestra organización

323.05.2016

Títu

lo d

e la

Pre

sent

ació

n

3

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Nuestras Cifras: Haciendo Buenos los Números

Isdefe cuenta con un equipo de profesionales altamente cualificados y capacitados,comprometidos con la organización y con nuestros clientes.

Treinta años de experiencia nos avalan, con un alto grado de especialización y orientados a laexcelencia.

AÑO 2015

� Cuentas y Balance

� Ingresos anuales 143 millones de €

� Beneficios 3,2 %

� Capital humano

� Número de empleados 1.548

� Personal Técnico Titulado 80%

� Experiencia media 9 Años

� Media de edad 42 Años

� Hombres/mujeres 62 / 38 (%)

El mejor equipo

46%

20%

12%

14%

4% 4%

Defensa y Seguridad

Espacio

Transporte

AAPP

TIC

Energía

423.05.2016

Títu

lo d

e la

Pre

sent

ació

n

4

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Proyectos de Ciberseguridad

523.05.2016

Títu

lo d

e la

Pre

sent

ació

n

5

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Isdefe cuenta con un equipo de más de 60 ingenieros especializados en Ciberseguridad yen Protección de Infraestructuras Críticas .

En su formación continua se incluye la obtención de las más prestigiosas certificaciones anivel internacional:

� Director Seguridad / Mº Interior

� GIAC / SANS™

� CEH / EC-Council

� CISSP / ISC2

� CISA / ISACA

� CISM / ISACA

� CRISC / ISACA

� CGEIT / ISACA

� ITIL / EXIN

� PMP / PMI, PRINCE2, …

Equipo Humano

Capacidades en Ciberseguridad

623.05.2016

Títu

lo d

e la

Pre

sent

ació

n

6

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Título APOYO AL MANDO CONJUNTO DE CIBERDEFENSA MILITAR (MCCD) DELMINISTERIO DE DEFENSA

Descripción

Isdefe proporciona asistencia técnica especializada al MCCD, desde las actividadesprevias a su puesta en servicio, el 19 de febrero de 2013, mediante la “OrdenMinisterial 10/2013, por la que se crea el Mando Conjunto de Ciberdefensa de lasFuerzas Armadas”.

Actividades

Las principales actividades desarrolladas:

� Apoyo técnico a las inspecciones de seguridad en el proceso de acreditación delos nodos del Sistema de Mando y Control Militar.

� Apoyo a la preparación y ejecución de ciberejercicios nacionales, así como en laparticipación en los de carácter general.

� Desarrollo y potenciación de la capacidad del EMAD de respuesta ante incidentesinformáticos en CIS conjuntos.

� Desarrollo de la capacidad de análisis forense.

� Apoyo técnico a la puesta en marcha del Plan de Acción de Ciberdefensa Militar yapoyo en seguridad CIS a sistemas y programas del EMAD.

� Apoyo técnico al Mando Conjunto de Ciberdefensa para la obtención de suscapacidades de Defensa, Explotación y Respuesta.

� Diseño, evaluación y apoyo en la implantación de un Sistema de Gestión delconocimiento propio del Mando.

Cliente MCCD – ESTADO MAYOR DE LA DEFENSA – MINISTERIO DE DEFENSA

Proyectos de Ciberseguridad

Mando Conjunto de Ciberdefensa

723.05.2016

Títu

lo d

e la

Pre

sent

ació

n

7

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Título CENTRO DE EXCELENCIA DE CIBERDEFENSA DE LA OTAN en Tallín, Es tonia (CCD CoE,Cooperative Cyber Defense Centre of Excellence).

Descripción

Desde el año 2008 Isdefe participa con un ingeniero en el área de I+D en el Centro de Excelencia deCiberdefensa de Estonia en Tallín (CCD CoE, Cooperative Cyber Defense Centre of Excellence). Losobjetivos del Centro son:

� Mejorar la interoperabilidad y cooperación de las naciones OTAN en el campo de la Ciberdefensa.� Desarrollar la doctrina OTAN en el campo de la Ciberdefensa.� Apoyo y formación en INFOSEC en el ámbito de la OTAN.� Apoyar en el campo de la experimentación y pruebas en Ciberdefensa.� Analizar los aspectos legales y sus implicaciones en materia de Ciberdefensa.� Colabración con Agencias de la OTAN y otros Centros de Excelencia, tales como: NCIRC (NATO

Computer Incident Response Center), Command & Control (C2) COE (Centre of Excellence), andDefence Against Terrorism (DAT) COE (Turquía).

Actividades

Isdefe está apoyando el representante español en el COE CCD con un científico en el Área deInvestigación y Desarrollo. En la actualidad, sus principales actividades son investigar las tecnologíaspara la gestión de eventos de seguridad y contribuir en el desarrollo de ejercicios de Ciberdefensa.Algunos de los logros previstos son los siguientes:

� Mejorar las capacidades para responder a incidentes en los sistemas críticos (OTAN).

� Promover el desarrollo de nuevas tecnologías en la gestión de incidentes y eventos de seguridad.

� Obtener herramientas para apoyar la detección y el tratamiento de las evidencias para laasignación garantizada de responsabilidades en el proceso de análisis forense.

Cliente ESTADO MAYOR DE LA DEFENSA (EMAD)

Proyectos de Ciberseguridad

NATO CCD CoE

823.05.2016

Títu

lo d

e la

Pre

sent

ació

n

8

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Proyectos de Ciberseguridad

Título ASISTENCIA TÉCNICA AL CENTRO DE SATÉLITES DE LA UNIÓN EUROPE A

DescripciónIsdefe proporciona Asistencia Técnica al EUSC en las diferentes actividades deseguridad relacionadas con sus sistemas de información, incluyendo los sistemasclasificados EU SECRET.

Actividades

� Inspecciones y Auditorías de seguridad Sistemas TIC.� La coordinación de los procesos de acreditación.� El asesoramiento en la realización de análisis y gestión de riesgos.� El desarrollo de guías y recomendaciones de seguridad

� Apoyo a la identificación de requisitos de seguridad e implantación de medidas deseguridad en los Sistemas de las TIC.� Configuración segura de equipos.� Recomendación de productos de seguridad.� Realización de verificaciones técnicas de seguridad previas al proceso de

acreditación.� Evaluación de productos de Seguridad.� Elaboración de la documentación de seguridad de los sistemas TIC.

Cliente EUSC

Centro de Satélites de la Unión Europea (EUSC)

923.05.2016

Títu

lo d

e la

Pre

sent

ació

n

9

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Título AMN (Afghan Mission Network)

Descripción

Isdefe presta apoyo técnico en seguridad a la Oficina de Proyecto AMN-ESP delEstado Mayor de la Defensa (EMAD) para el diseño, obtención, implantación,configuración y acreditación del sistema nacional a federarse en las redes de misiónen Afganistán.

Actividades

� Diseño de la arquitectura del sistema.� Incluye requisitos de seguridad OTAN y nacionales.� Gestión remota segura.� Virtualización segura.

� Análisis de riesgos y selección de medidas de seguridad.� Instalación y configuración segura.� Auditoría de seguridad y test de penetración.� Pruebas de interoperabilidad con OTAN.

� Pruebas funcionales y de comunicaciones.� Pruebas de seguridad.

� Instalación y despliegue en zona de operaciones.� Formación del personal.

Cliente ESTADO MAYOR CONJUNTO.

Proyectos de Ciberseguridad

Red de Misión en Afganistán

1023.05.2016

Títu

lo d

e la

Pre

sent

ació

n

10

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Título APOYO TÉCNICO EN SEGURIDAD A LA JEFATURA DE SERVICIOS TÉCNIC OS ySISTEMAS DE INFORMACIÓN Y COMUNICACIONES DEL EJÉRCITO DEL A IRE

DescripciónEl objetivo del proyecto es la asistencia técnica en seguridad de la información a laJefatura de Servicios Técnicos y Sistemas de Información y Comunicaciones delEjército del Aire.

Actividades

� Identificación y diseño de medidas de protección de la información: áreas deseguridad, protección TEMPEST, etc.

� Proporcionar asesoramiento y orientación a la Autoridad de Acreditación deseguridad sobre aspectos técnicos INFOSEC y su aplicación.

� Auditorías de seguridad periódicas y evaluaciones de las vulnerabilidades.

� Elaboración de políticas procedimientos de seguridad de la información.

� Asesoramiento en materia de seguridad de la información a las unidades de laFuerza Aérea española.

Cliente JSTCIS DEL EJÉRCITO DEL AIRE

Proyectos de Ciberseguridad

JSTCIS del EJÉRCITO del AIRE

1123.05.2016

Títu

lo d

e la

Pre

sent

ació

n

11

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Título ASISTENCIA TÉCNICA AL CENTRO CRIPTOLÓGICO NACIONAL (CCN) D EL CENTRONACIONAL DE INTELIGENCIA (CNI)

Descripción

Isdefe proporciona asistencia técnica al Centro Criptológico Nacional (CCN) del CentroNacional de Inteligencia (CNI), responsable del CCN-CERT (CERT gubernamental español), ydel Organismo de Certificación (OC) del Esquema Nacional de Evaluación y Certificación de laSeguridad de las Tecnologías de la Información (ENECSTI).

Actividades

� Apoyo en el desarrollo del catálogo de contramedidas de la herramienta de Análisis yGestión de Riesgos PILAR.

� Desarrollo de normativa en materia de Seguridad de las TIC que manejan informaciónclasificada nacional en la Administración del Estado. Entre otras: CCN-STIC-001 Política deSeguridad de las TIC que manejan información clasificada nacional, CCN-STIC-101Acreditación de Sistemas de las TIC que manejan información clasificada, etc.

� Apoyo al ENECSTI:

� En la acreditación de laboratorios solicitantes.

� Revisión y seguimiento de los procesos de productos y sistemas atendiendo a loscriterios, métodos y normas de evaluación de la seguridad requeridos.

� Estudio de nuevas tecnologías y estado del arte.

� Elaboración de perfiles de protección.

� Seguimiento de Programas I+D de Seguridad de las TIC: definición de requisitos,planificación de inversiones en I+D, realización de estudios de viabilidad, etc.

� Asistencia a grupos de trabajo internacionales: NATO Electronic Key Management System,I-ICWG) Task Force, IPSec Task Force, etc.

Cliente CNI

Proyectos de Ciberseguridad

CCN del CNI

1223.05.2016

Títu

lo d

e la

Pre

sent

ació

n

12

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

TítuloASISTENCIA TÉCNICA EN SEGURIDAD DE LA INFORMACIÓN AL SERVIC IO DEINNOVACIÓN TECNOLÓGICA Y DE SEGURIDAD DE LA INFORMACIÓN (SI TySI) DELA GUARDIA CIVIL

DescripciónIsdefe presta servicios de consultoría en seguridad de la información que garantizan elcumplimiento de la normativa vigente, optimizando las inversiones a realizar y el éxito en laejecución de los proyectos.

Actividades

� Adaptación a la normativa aplicable vigente: LOPD, ENS.

� Análisis de Riesgos de los Sistemas de Información basados en MAGERIT/PILAR.

� Auditorias internas de Seguridad de la Información, incluyendo la revisión de lossistemas y las aplicaciones de acuerdo a la normativa aplicable (LOPD, ENS, etc.), y alas guías de configuración seguras.

� Apoyo en la elaboración de normativa interna de seguridad de la información: políticade seguridad de la información, normas y procedimientos.

� Apoyo en la concienciación en Seguridad de la Información: elaboración de boletines deseguridad, impartición de seminarios.

� Asesoramiento Técnico a las Unidades, Centros y Organismos en materia de seguridadde la información.

� Identificación de métricas e indicadores, y apoyo en la obtención del Cuadro de Mandosde Seguridad de la Información.

Cliente GUARDIA CIVIL – SITySI

Proyectos de Ciberseguridad

SITySI de la GUARDIA CIVIL

1323.05.2016

Títu

lo d

e la

Pre

sent

ació

n

13

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

TítuloACTIVIDADES DE ASISTENCIA TÉCNICA PARA LA SUPERVISIÓN DE LO SASPECTOS DE SEGURIDAD, CALIDAD, INTEROPERABILIDAD Y EFICI ENCIAEN LA MODERNIZACIÓN DEL REGISTRO CIVIL

Descripción

Apoyo y asesoramiento a la Dirección General de los Registros y del Notariado en elámbito de sus competencias y responsabilidades en la modernización del RegistroCivil en las materias de seguridad, interoperabilidad, eficiencia e ingeniería desistemas.

Actividades

Las actividades realizadas por Isdefe son:

� Asesoramiento y apoyo a la DGRN en materia de seguridad, interoperabilidad,eficiencia, e ingeniería de sistemas.

� Supervisión y seguimiento de la efectiva aplicación de la normativa aplicable a lolargo de todo el ciclo de vida del proyecto (LOPD, ENS, ENI).

� Control, análisis y reporte del estado de los trabajos y compromisos adquiridos porlos distintos proveedores involucrados en la modernización del Registro Civil.

� Apoyo y asesoramiento en las actividades de coordinación e interoperabilidad conorganismos y sistemas externos.

� Presentación periódica de análisis y conclusiones obtenidas en el desarrollo delas actividades anteriores.

ClienteDIRECCIÓN GENERAL DE LOS REGISTROS Y DEL NOTARIADO

(MINISTERIO DE JUSTICIA)

Proyectos de Ciberseguridad

Seguridad, calidad, interoperabilidad y eficiencia del Sistema Registral

1423.05.2016

Títu

lo d

e la

Pre

sent

ació

n

14

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

TítuloPRIMERAS JORNADAS DE PROTECCIÓN DE SISTEMAS DE CONTROL ENINFRAESTRUCTURAS CRÍTICAS (PSCIC).

Descripción

Las jornadas PSCIC son fruto de la colaboración de Isdefe con el Centro Nacional deProtección de Infraestructuras Críticas (CNPIC) del Ministerio del Interior. Estacolaboración se materializa en las siguientes actividades:

� Apoyo y desarrollo de reuniones técnicas y de concienciación.

� Participación en conferencias nacionales e internacionales y grupos de trabajo.

Actividades

En las 1ª jornadas PSCIC organizadas por Isdefe del 11 de abril al 8 de mayo de2012, bajo la coordinación del CNPIC, participaron más de 100 personas de 20empresas y organismos públicos directamente relacionados con las infraestructurascríticas de los sectores de la energía, nuclear, y el transporte. Las 1ª jornadas sedividieron en 4 sesiones:

� Sesión de apertura: en la que se presentaron los objetivos de las jornadas.

� Sesión práctica 1: en la que los participantes se ejercitaron en la gestión deincidentes de seguridad (como Stuxnet o Nightdragon) a través de un escenariosimulado de tecnologías de la información, incluidos los sistemas SCADA, en unaplataforma de formación virtual.

� Sesión práctica 2: los participantes llevaron a cabo un proceso de análisis ygestión del riesgo, utilizando la metodología MAGERIT y la herramienta PILAR,con el misma escenario de simulación de sistemas SCADA.

� Sesión de clausura: en la que se revisaron los resultados y las conclusiones.

Cliente CENTRO NACIONAL DE PROTECCIÓN DE INFRAESTRUCTURAS CRÍTICAS

Proyectos de Ciberseguridad

Formación y Concienciación en Ciberseguridad: I Jornadas PSCIC

1523.05.2016

Títu

lo d

e la

Pre

sent

ació

n

15

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

Proyectos de Ciberseguridad

CIISC-T2

Título CRITICAL INFRASTRUCTURE: IMPROVEMENT OF SECURITY CONTROLAGAINST THE TERRORIST THREAT (CIISC-T2)

Descripción

Proyecto co-financiado por la Comisión Europea dentro del programa de “Prevention,Preparedness and Consequence Management of Terrorism and other Security-related Risks Programme” liderado por el Ministerio del Interior, cuyos objetivos sonfomentar y mejorar el intercambio de información sobre ciberterrorismo y laradicalización en la red, tanto a nivel público privado, como entre autoridades a nivelinternacional.

El consorcio está formado por:

� Ministerio del Interior (CNCA y CNPIC)

� Kemea

� Isdefe

Actividades

En línea con los objetivos de la DG-HOME el CIISC-T2 está orientado a la:

� Elaboración de guías para el intercambio de información sobre ciberterrorismo y laradicalización en el uso de la red, tanto entre autoridades europeas como entre lossectores público privado.

� Ejecución de ciberejercicios en los que participen operadores críticos yautoridades, que permitan validar las guías obtenidas previamente..

Cliente European Commission (DG-HOME).

1623.05.2016

Títu

lo d

e la

Pre

sent

ació

n

16

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

TítuloSEGUNDAS JORNADAS TÉCNICAS DE PROTECCIÓN DE SISTEMAS DECONTROL EN INFRAESTRUCTURAS CRÍTICAS (PSCIC).

Descripción

Las II Jornadas PSCIC – Sector de Transporte, Energía, Nuclear y Agua secelebran en el marco del proyecto CIISC-T2 (Critical Infrastructure: Improvement ofSecurity Control Against the Terrorist Threat), en el que además de Isdefe y el CentroNacional de Protección de Infraestructuras Críticas (CNPIC), organizadores de la 1ªedición de estas Jornadas, también participan el Centro Nacional de CoordinaciónAntiterrorista (CNCA) del Ministerio del Interior y Kemea del Ministerio de ProtecciónCiudadana de Grecia. Su objetivo es promover la realización de actividades prácticasde concienciación y adiestramiento en seguridad en IC a nivel europeo.

Actividades

Celebradas entre el 5 de febrero y el 26 de marzo de 2014, participaron más de 100personas de 20 empresas y organismos públicos directamente relacionados con lasinfraestructuras críticas de los sectores del transporte, la energía, el nuclear y el agua.Se dividieron en 4 sesiones:

� Sesión de apertura : en la que se presentaron los objetivos de las jornadas.

� Sesión práctica 1 : en la que los participantes se ejercitaron en la gestión deincidentes de seguridad, revisando en detalle algunos ocurridos recientemente. Elparticipante será el protagonista en la gestión de un incidente cuyo origen está enInternet pero su impacto alcanza a un SCI, a través de un escenario simulado, queincluye los sistemas SCADA, en una plataforma de formación virtual.

� Sesión práctica 2 : los participantes llevaron a cabo un proceso de análisis ygestión del riesgo, utilizando la metodología MAGERIT y la herramienta PILAR,con el misma escenario de simulación de sistemas SCADA.

� Sesión de clausura : en la que se revisaron los resultados y las conclusiones.

Cliente CENTRO NACIONAL DE PROTECCIÓN DE INFRAESTRUCTURAS CRÍTICAS

Formación y Concienciación en Ciberseguridad: II Jornadas PSCIC

Proyectos de Ciberseguridad

1723.05.2016

Títu

lo d

e la

Pre

sent

ació

n

17

Isde

fe,

su m

ejor

alia

dopa

ra la

Seg

urid

ad

TítuloTERCERAS JORNADAS TÉCNICAS DE PROTECCIÓN DE SISTEMAS DECONTROL EN INFRAESTRUCTURAS CRÍTICAS (PSCIC).

Descripción

Las III Jornadas PSCIC – Multisectorial se celebran en el marco del proyecto CIISC-T2 (Critical Infrastructure: Improvement of Security Control Against the TerroristThreat), en el que participan Isdefe, el Centro Nacional de Protección deInfraestructuras Críticas (CNPIC), el Centro de Inteligencia contra el Terrorismo y elCrimen Organizado (CITCO) del Ministerio del Interior y Kemea del Ministerio deProtección Ciudadana de Grecia. Su objetivo es promover la realización deactividades prácticas de concienciación y adiestramiento en seguridad en IC a niveleuropeo.

Actividades

Se celebran en abril de 2015, con la participación de diversas empresas y organismospúblicos directamente relacionados con las infraestructuras críticas procedentes de 5países europeos. Se ha dividido en 3 sesiones:

� Sesión práctica 1 : en la que los participantes se ejercitaron en la gestión deincidentes de seguridad, revisando en detalle algunos ocurridos recientemente. Elparticipante será el protagonista en la gestión de un incidente cuyo origen está enInternet pero su impacto alcanza a un SCI, a través de un escenario simulado, queincluye los sistemas SCADA, en una plataforma de formación virtual.

� Sesión práctica 2 : los participantes llevaron a cabo un proceso de análisis ygestión del riesgo, utilizando la metodología MAGERIT y la herramienta PILAR,con el misma escenario de simulación de sistemas SCADA.

� Sesión de análisis y clausura : en la que se analizan los resultados y lasconclusiones con los participantes.

Cliente CENTRO NACIONAL DE PROTECCIÓN DE INFRAESTRUCTURAS CRÍTICAS

Formación y Concienciación en Ciberseguridad: III Jornadas PSCIC

Proyectos de Ciberseguridad

Su mejor aliadoSu mejor aliado

IsdefeC/ Beatriz de Bobadilla, 328040 MadridTel.: +34 91 411 50 11Email: general@isdefe.eswww.isdefe.es