PROYECTO CRIPTORED Y EL DESARROLLO DE LA SEGURIDAD INFORMTICA EN IBEROAMRICA

1
PROYECTO CRIPTORED Y EL DESARROLLO DE LA
SEGURIDAD INFORMÁTICA EN IBEROAMÉRICA
Universidad de Campinas - Brasil Octubre de 2003
Prof. Jorge Ramió Aguirre Universidad
Politécnica de Madrid Coordinador Red Temática
CriptoRed
2
Una primera definición de términos y conceptos
Aclaremos un concepto Qué se entiende por
seguridad informática?
Es muy común encontrar documentos en donde la
seguridad informática viene separada en dos
apartados seguridad física y seguridad
lógica. La seguridad física se relaciona
normalmente con temas de políticas de seguridad,
normativas, planes de contingencia, la protección
física de los datos, gestión de la seguridad,
accesos, auditoría, leyes... En cambio la
seguridad lógica está más orientada hacia la
protección de la información en su mismo medio,
ya sea generación, almacenamiento y transmisión,
usando en este caso por lo general herramientas,
técnicas y esquemas propios de la criptografía...
POR LO TANTO... Como conclusión, se podría decir
que no está muy clara la delimitación entre una y
la otra, en tanto en muchos casos se complementan
y una no puede plantearse sin la otra. Lo que sí
está aceptado por todos es que, hoy por hoy, la
seguridad informática es una especialidad
emergente donde convergen un alto número de
disciplinas y temas muy específicos.
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 2
3
Áreas y disciplinas de la seguridad informática

• En la Seguridad Informática intervienen al menos
• Las Ciencias de las Matemáticas
• Las Ciencias de la Informática
• Las Ciencias de las Telecomunicaciones y la
  Telemática
• Las Ciencias del Derecho
• Las Ciencias de la Gestión de Empresas
• Las Ciencias del Análisis y la Evaluación de
  Riesgos
• Las Ciencias de la Sociología, Sicología y
  Deontología

Entre las disciplinas, materias o asignaturas
propias, tenemos estas 12 Temas Avanzados de
Aritmética Modular Fundamentos de Seguridad
Informática Gestión de la Seguridad Informática
Derecho Informático Seguridad en Sistemas
Operativos, Lenguajes y Bases de Datos
Criptografía Seguridad en Redes Virus
Informáticos Auditoría, Peritaje y Forensia
Informática Comercio Electrónico Protocolos
Criptográficos Temas Avanzados de Seguridad
Informática.
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 3
4
Materias propias de la seguridad informática (1/5)
1) Temas Avanzados de Aritmética Modular
Principios y operaciones con cuerpos finitos
Algoritmos de cálculos en cuerpos finitos
inversos, raíces, etc. Cálculos en Campos de
Galois Factorización y cálculos con
polinomios en GF Uso de curvas elípticas en
criptografía
?
2) Fundamentos de Seguridad Informática
Conceptos básicos de la seguridad informática
Historia de la criptografía, sistemas de cifra
clásicos La teoría de la información en la
seguridad y la criptografía La complejidad de
los algoritmos en la seguridad y la criptografía
3) Gestión de la Seguridad Informática
Políticas de seguridad informática y estándares
Planes de contingencia y de recuperación ante
desastres Esquemas de protección física de
los datos y copias de seguridad
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 4
5
Materias propias de la seguridad informática (2/5)
4) Derecho Informático Leyes de protección de
datos Normativas de seguridad Leyes de
firma digital, comercio electrónico, etc.
?
5) Seguridad en Sistemas Operativos, Lenguajes y
Bases de Datos Sistemas operativos seguros,
libro naranja Seguridad en entornos Windows,
Linux, Unix y otros Programación y rutinas de
seguridad en C, Java, etc. Seguridad en
SGBD y bases de datos distribuidas
6) Criptografía Cifrado simétrico y
asimétrico Algoritmos de autenticación y
funciones hash Algoritmos de firma digital
Certificados digitales Esquemas híbridos de
seguridad software genérico Fortaleza de los
algoritmos
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 5
6
Materias propias de la seguridad informática (3/5)
?
7) Seguridad en Redes Protocolos de seguridad
en Internet e Intranet Plataformas y
pasarelas seguras SHTTP, SSL, TLS, IPSec
Instalación y gestión de un servidor Web y de
correo seguros Autenticación en redes
Kerberos, SSH, X.509 Instalación y gestión de
Autoridades de Certificación Instalación de
cortafuegos Detección de intrusiones
Fortificación de la máquina, denegación de
servicio Gestión y herramientas de control de
la máquina
8) Virus Informáticos Clasificación,
características y tipos de virus Medidas de
protección y de eliminación Análisis de
algoritmos malignos Estudio de los virus y su
seguimiento en lenguaje de bajo nivel
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 6
7
Materias propias de la seguridad informática (4/5)
?
9) Auditoría, Peritaje y Forensia Informática
Técnicas y herramientas de auditoría
Auditoría de sistemas y seguridad Auditoría
jurídica Peritaje y obtención de pruebas
Técnicas forenses en seguridad informática
Auditoría y seguridad de la máquina
10) Comercio Electrónico Normas del mercado
del e-commerce Aspectos comerciales del
inicio de actividades Instalación del
servidor y generación del entorno web
Seguimiento de las transacciones en la red
Norma SET y otras normativas europeas y
mundiales Tipos de comercio B2B, B2C, etc.
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 7
8
Materias propias de la seguridad informática (5/5)
?
11) Protocolos Criptográficos Transferencia
inconsciente Protocolos de transferencia con
conocimiento nulo Esquemas de umbral
Canales subliminales Esquemas de votación
electrónica
12) Temas Avanzados de Seguridad Informática
Sistemas avanzados criptografía visual,
cuántica, esteganografía... Esquemas de
autenticación avanzada sistemas biométricos...
Tecnología de tarjetas inteligentes
interconexión, funcionalidades...
Referencia Introducción de las Enseñanzas de
Seguridad Informática en los Planes de Estudio de
las Ingenierías del Siglo XXI. Jorge Ramió,
Jornadas de Enseñaza Universitaria de la
Informática JENUI 2001, julio 2001, Palma de
Mallorca - España (con adaptaciones y
modificaciones septiembre 2003).
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 8
9
Propuesta de una nueva especialidad en ingeniería

• Considerando algunos informes como el de Irvine,
  Chin y Frincke Integrating Security into the
  Curriculum (IEEE, diciembre de 1998) en el que
  comentan La Seguridad Informática podría ser el
  objetivo principal de un curriculum que debería
  investigar los fundamentos y enfoques técnicos de
  la seguridad con una profundidad considerable o
  el del propio autor de esta ponencia
  Introducción de las enseñanzas de seguridad
  informática en los planes de estudio de las
  ingenierías del siglo XXI (JENUI, julio de 2001)
  en donde se comentaba Se detecta una necesidad
  en el mercado de nuevos perfiles de ingenieros en
  seguridad pero no existe respuesta adecuada de la
  universidad, se puede concluir

• Es el momento oportuno para que alguna
  universidad diera el salto cualitativo y
  cuantitativo en esta línea y presentase como
  oferta un título de Ingeniero en Seguridad
  Informática, algo que tal vez hoy en día parezca
  utópico. Por lo menos es necesario contar con una
  especialización en esta línea en las actuales
  titulaciones, que incluyan un mínimo de 6 de las
  12 asignaturas antes comentadas.

Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 9
10
Por qué no se plantea esta nueva especialidad?

• Intentar cambiar la estructura actual de oferta
  de títulos de carreras universitarias, de pre y
  postgrado, que ha funcionado de forma adecuada en
  los últimos 20 ó 30 años es algo muy difícil...
• Habría que hacer una apuesta algo arriesgada y
  las universidades públicas parecen tener muy poca
  capacidad de reacción ante estos fenómenos de
  mercado...
• En el interior de las Escuelas y Departamentos de
  Ingeniería esto se ve más complicado. Hay miedo
  al cambio? No exactamente el verdadero problema
  es que no se cuenta con un número mínimo de
  profesores que estén trabajando en seguridad
  informática, no hay una especialización y ello
  dificulta una apuesta en este sentido...
• Una propuesta incluso de una línea de
  especialización en seguridad en las actuales
  ingenierías informática o telemática, chocará con
  intereses de otros grupos de trabajo ya
  constituidos...
• No sería extraño que muchas iniciativas provengan
  de entidades privadas. Su capacidad de reacción
  es más adecuada y parece que tienen menos
  prejuicios en colaborar con otras instituciones.

Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 10
11
Oferta de asignaturas de S.I. en Iberoamérica
Esta distribución será exactamente igual al
número de miembros dados de alta en CriptoRed, la
Red Temática Iberoamericana de Criptografía y
Seguridad de la Información, aproximadamente
multiplicado por 3 como se verá luego. Estos
datos serán significativos del desarrollo de la
S.I. en estos países.
?
?
?
?
Se incluye sólo aquellos países con información
fidedigna contrastada. Nota aunque estos datos
no son exactos, reflejan perfectamente la
realidad en muchos países, con la excepción
seguramente de Brasil.
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 11
12
Algunos datos sobre el marco legal de la seguridad

• Algunos países han comenzado a adaptar antiguas
  leyes sobre la protección de datos personales y
  del derecho a la intimidad, de forma que se
  orienten hacia la protección de datos almacenados
  electrónicamente y a la privacidad, un término
  más amplio que el de intimidad más orientado
  hacia la persona.
• Existen diversas leyes que tratan de tipificar y
  establecer qué es el delito informático.
• El auge incipiente del comercio electrónico y las
  transacciones a través de plataformas seguras en
  Internet, hace que varios países hayan adoptado
  recientemente una ley de firma digital, si bien
  en algunos casos esto no está unido a una ley
  general y/o reglamento de medidas relacionadas
  con la seguridad informática.
• Esta situación de leyes de nivel superior sin una
  ley de nivel más básico y genérico resulta
  contradictoria, o al menos llamativa.

Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 12
13
Algunos antecedentes de normativas en España
La LOPD Ley Orgánica de Protección de Datos
(1999)
Reemplaza a la antigua LORTAD y aparecen estas
nuevas figuras...

• Define al Responsable de Fichero
• Define al Encargado de Tratamiento

El Real Decreto 994/1999 Medidas de Seguridad
de los Ficheros Automatizados que Contengan
Datos de Carácter Personal
APD

• Define al Responsable de Seguridad

Las empresas deben cumplir la Ley hay multas de
60.000, 300.000 y 600.000 .
La Agencia de Protección de Datos hará una
auditoría cada 2 años...
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 13
14
La norma internacional ISO 17799
Es un Código de buenas prácticas para la Gestión
de la Seguridad de la Información PNE-ISO/IEC
17799 (Proyecto de Norma Española)

• Antecedentes
• Introducción
• Objeto y campo de la aplicación
• Términos y definiciones
• Política de seguridad
• Aspectos organizativos para la seguridad
• Clasificación y control de los archivos
• Seguridad ligada al personal
• Seguridad física y del entorno
• Gestión de comunicaciones y operaciones
• Control de accesos
• Desarrollo y mantenimiento de sistemas
• Gestión de continuidad del negocio
• Conformidad

En 70 páginas y diez apartados, presenta unas
normas, recomendaciones y criterios básicos para
establecer unas políticas de seguridad. Éstas van
desde los conceptos de seguridad física hasta los
de seguridad lógica. Parte de la norma elaborada
por la British Standards Institution BSI,
adoptada por International Standards Organization
ISO y la International Electronic Commission IEC.
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 14
15
Otros aspectos de interés portales y
publicaciones
La realidad en España Una importante oferta
hacia finales de la década de los 90. Servidores
Web con miles de accesos. Éstos son sólo los más
conocidos.

• Revista SIC, Seguridad Informática y
  Comunicaciones.
• Desde su primera edición en 1992 y con 5 números
  al año, es la decana de las publicaciones
  técnicas de habla hispana.

Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 15
16
Otros aspectos de interés reuniones y congresos

• Algunos eventos son una verdadera institución
  ACIS, RECSI, Securmática.
• Se pretende que como congresos de alto nivel
  técnico y científico existan dos que sean la
  referencia en años pares RECSI y en años impares
  CIBSI.

Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 16
17
Otros aspectos de interés las certificaciones
CISSP Certified Information System Security
Professional CCNA Cisco Certified Network
Associate CCSE Check Point Certified Security
Expert MCSE Microsoft Certified System
Engineer GSEC GIAC Security Essentials
Certified RT-PKI-C Rainbow Technologies PKI
Certification IBM Certified Professional Server
Expert TICSA TruSecure International Computer
Security Association Trend Micro InterScan
VirusWall CPP Certified Protection
Professional CIA Certified Internal Auditor CISA
Certified Information System Auditor CISM
Certified Information Security Manager...
?
Algunos ejemplos característicos...

• Puede parecer normal que las empresas exijan
  estar en posesión de una certificación que avale
  el conocimiento de estas técnicas y herramientas
  avanzadas de la seguridad informática. Estas
  certificaciones (que deben actualizarse
  periódicamente) las están ofreciendo diversas
  empresas y organismos, algunos de ellos con un
  gran prestigio y miles de miembros.
• No obstante, hay algunas cosas que nos llaman la
  atención...

Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 17
18
Interrogantes sobre las actuales certificaciones

• Por qué existen tantas certificaciones en el
  área de seguridad y no así en otras áreas de la
  ingeniería, incluso en materias muy similares de
  la informática y las telecomunicaciones como
  bases de datos, ingeniería del software,
  administración de redes, etc.? No es ésta una
  medida discriminatoria para el sector?

• Qué es mejor valorado en el sector empresarial,
  un buen título universitario o una buena
  certificación? Por qué? En un mercado
  caracterizado por el outsourcing este tema merece
  una reflexión.

• Si son las universidades y los centros de
  educación superior quienes otorgan un título que
  habilita a los ingenieros y a los licenciados
  para el ejercicio de la profesión ... y un
  certificado como éste no es más que un examen de
  conocimientos, bien teórico, práctico o
  teórico/práctico...
• Por qué no son también las universidades quienes
  certifican que un ingeniero o licenciado es
  experto en seguridad, en redes ...?

Aún no hay respuestas. No obstante hay trabajos
ya en esta línea como Certificaciones en
Seguridad Informática. Conceptos y Reflexiones,
Jeimy Cano, ACIS, Colombia, marzo 2003.
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 18
19
Los inicios del proyecto de cooperación CriptoRed

• CriptoRed nace de una discusión sobre áreas de
  conocimiento a las que estaban adscritas las
  asignaturas de seguridad informática y
  criptografía que se impartían en España a
  mediados de 1998.
• Tras la V Reunión Española de Criptología
  celebrada en septiembre de 1998 en Málaga, se
  confecciona un cuestionario con el objeto de
  conocer cuántos y quiénes estaban impartiendo
  estas enseñanzas.
• Esto da lugar a un informe que se publica en
  abril de 1999.
• En esa fecha comienza a plantearse la idea de
  crear una comunidad virtual de técnicos y
  científicos, agrupada a través de una red
  temática y cuyo nexo sería un servidor Web.
• Nace así en diciembre de 1999 la Red Temática
  Iberoamericana de Criptografía y Seguridad de la
  Información, CriptoRed.
• El objetivo principal de esta red, además de
  fomentar la enseñanza de la seguridad informática
  en los países de Iberoamérica, será compartir
  información técnica que irán generando sus
  miembros.
• Para ser miembro sólo es necesario ser
  profesional, académico o investigador de la
  seguridad informática. El alta es gratuita.

Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 19
20
El servidor Web de CriptoRed
http//www.criptored.upm.es

• Un diseño sin pretensiones espectaculares.
• Lo importante aquí es el contenido, no la forma.
• Existen versiones más avanzadas pero por
  compatibilidad tecnológica se decide mantener el
  diseño original, menos pesado.
• Recuerde éste es un sitio académico, no un
  portal.

Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 20
21
Página principal de CriptoRed
Países con miembros de universidades
Zona de descargas
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 21
22
Datos y actividades de CriptoRed a julio de 2003

• 399 miembros que involucran a 18 países.
• Casi la mitad de sus miembros con grado de Doctor
  o MSc.
• Más de 120 universidades representadas.
• Más de 120 empresas del sector de la seguridad
  representadas.
• En su servidor encontramos 10 programas de
  asignaturas, 102 artículos técnicos, 4 libros
  electrónicos, 20 comentarios de libros, 1
  cuaderno de exámenes, 1 cuaderno de prácticas, 2
  cuadernos de ejercicios, 13 tesis doctorales, 4
  informes técnicos y 19 programas de software para
  prácticas. Todas las descargas son gratuitas.
• Media de accesos mensuales en torno a 19.000 y
  7.000 descargas.

Desde el año 2001 existe un proyecto paralelo a
través de la Dirección de Relaciones con
Iberoamérica de la Universidad Politécnica de
Madrid, cuyo objetivo es la visita a diversos
países de Latinoamérica para dar a conocer dicha
red y, en su caso, promover este tipo de
enseñanzas en sus universidades. Se ha visitado
ya Venezuela, México y Cuba en el 2001 Uruguay,
Argentina y Chile en el 2002 y para este año 2003
los contactos e invitaciones establecidas son
Brasil y Costa Rica.
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 22
23
Los miembros de CriptoRed en gráficos
Esta relación se mantiene en cuanto al número de
miembros total dados de alta, contabilizando
también aquellos de empresas y otros organismos,
siendo en este caso aproximadamente 1,5 el factor
de multiplicación con respecto a los datos que
aparecen en el gráfico de número de miembros que
pertenecen a universidades.
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 23
24
Accesos al servidor de CriptoRed en 2000 y 2001
1er aniversario de CriptoRed
Año 2000
Año 2001
Comienzo de las mediciones en el servidor
Inclusión de artículos, tesis, documentos...
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 24
25
Accesos y descargas del servidor en el año 2002
Nuevos documentos, libros electrónicos ...
descargas
El número de descargas comienza a ser un factor
muy importante de los accesos.
Año 2002
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 25
26
Accesos y descargas del servidor en el año 2003
Actualizaciones de documentos...
descargas
Más de la tercera parte de accesos corresponden a
descargas de archivos y documentos.
Año 2003
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 26
27
Los congresos iberoamericanos de CriptoRed
Febrero de 2002 Se celebra el Primer Congreso
Iberoamericano de Seguridad Informática,
Morelia-México. Ante 800 asistentes, se presentan
30 ponencias evaluadas por un Comité de Programa.
Participan conferenciantes invitados de España,
Colombia y México.
Octubre de 2003 Segundo Congreso Iberoamericano
de Seguridad Informática, México DF-México.
Invitados Dr. Alfred Menezes, Dr. René Peralta,
Dr. Mauro Cansian y Dr. Hugo Krawczyk. Se
reciben 53 ponencias y un Comité de Programa
selecciona 38. Se celebrará, además, la primera
asamblea y reunión de miembros de la red temática
CriptoRed.
La sede de la edición de CIBSI 05 está aún sin
determinar
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 27
28
Conclusiones finales 1/3

• Es el momento de plantearse el título de
  Ingeniero en Seguridad Informática o, al menos,
  una especialización fuerte en esta línea en las
  actuales titulaciones de ingeniería.
• Entre las materias o asignaturas que debería
  incluir esta nueva especialidad tenemos Temas
  Avanzados de Aritmética Modular Fundamentos de
  Seguridad Informática Gestión de la Seguridad
  Informática Derecho Informático Criptografía
  Seguridad en Sistemas Operativos, Lenguajes y
  Bases de Datos Seguridad en Redes Auditoría,
  Peritaje y Forensia Informática Virus
  Informáticos Comercio Electrónico Protocolos
  Criptográficos Temas Avanzados de Seguridad
  Informática.
• Parece difícil que las universidades públicas
  apuesten por esta nueva formación profesional. Es
  muy posible que la iniciativa en esta línea parta
  de instituciones privadas a través de convenios
  con otros centros.

Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 28
29
Conclusiones finales 2/3

• La oferta docente de asignaturas de pregrado
  sobre seguridad informática y criptografía en
  España es muy alta., sobre las 40.
• Fuerte desarrollo en todos los países para la
  implantación de normas y leyes relacionadas con
  la seguridad informática. Prueba de ello son el
  empuje de nuevas leyes como las de firma digital.
• El número de eventos propios de seguridad
  informática es muy importante, En España hay
  congresos con muchas ediciones y una alta
  presentación de ponencias lo que significa que
  existe una masa crítica y alta de investigadores.
  Algo similar ocurre en algunos países de
  Latinoamérica.
• Algo similar ocurre con portales en Internet y
  revistas técnicas.
• Otro tanto puede decirse por ejemplo de los
  profesionales con certificación CISA, más
  orientado hacia la auditoría pero relacionado de
  todas maneras con la seguridad informática.

Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 29
30
Conclusiones finales 3/3

• A finales de 1999 nace CriptoRed, Red Temática de
  Criptografía y Seguridad de la Información. Desde
  sus inicios la coordinación y gestión del
  servidor Web se realiza desde la UPM, Universidad
  Politécnica de Madrid, España.
• A fecha octubre de 2003, CriptoRed reúne a 400
  profesionales de la seguridad informática, que
  representan a 121 universidades y a más de 125
  empresas y organismos de 18 países.
• Desde su servidor se descargan mensualmente como
  media más de 7.000 documentos.
• Los congresos RECSI que se celebran en España en
  los años pares y CIBSI, en países de
  Latinoamérica en los años impares, se presentan
  como escenarios idóneos para encuentros de alto
  nivel tecnológico, arbitrados por un Comité de
  Programa.

FIN
Proyecto CriptoRed y el Desarrollo de la
Seguridad Informática en Iberoamérica Campinas
2003 pág. 30