Archivo de la categoría: Ciberseguridad

Actividades de estandarización de los servicios de confianza en ETSI en 2019


El Instituto Europeo de Normas de Telecomunciaciones (ETSI) es un organismo sin ánimo de lucro creado para elaborar normas técnicas de telecomunicación y de otros ámbitos que faciliten la interoperabilidad. En su seno se han desarrollado las normas relativas a los servicios de confianza y, en particular, los que facilitan la puesta en marcha de los servicios contemplados en el Reglamento UE 910/2014 (EIDAS).

Riccardo Genghini, representante de la entidad Studio Notarile Genghini, eWitness SA dirige el Comité Técnico de Firmas Electrónicas e Infraestructuras (TC ESI, Electronic Signatures and Infrastructures committee), con la misión  de elaborar normas, guías e informes genéricos relativos a las firmas electrónicas y a las infraestructuras de servicios de confianza conexos para proteger las transacciones electrónicas y garantizar la confianza entre sus intervinientes. Ha elaborado un resumen de actividades del TC ESI en 2019 que se ha publicado en la página web de ETSI.

Entre las actvidades, destaca la publicación de diversos documentos normativos y especificaciones técnicas.

El Comité ha actualizado la Especificación Técnica [TS 119 495] que define los Perfiles de Certificados Cualificados (Qualified Certificate Profiles ) y los Requisitos de Política de TSP para Servicios de Pago (TSP Policy Requirements for Payment Services ) bajo la Directiva de servicios de pago 2015/2366/EU (denominada PSD2).

Se han realizado revisiones a la Especificación Técnica [TS 119 102-2] sobre Procedimientos de Creación y Validación de Firmas Digitales AdES (Parte 2: Informe de Validación de Firmas), en inglés “Procedures for Creation and Validation of AdES Digital Signatures (Part 2: Signature Validation Report”.

El Comité ha publicado protocolos para la creación y validación de firmas digitales remotas en los documentos TS 119 432TS 119 442 respectivamente.

Se publicó otra especificación técnica [TS 119 511],en la que se definen los requisitos de política y seguridad para los proveedores de servicios de confianza que proporcionan servicios de preservación a largo plazo de firmas digitales o de preservación de datos generales mediante técnicas de firma digital.

Se publicaron los documentos  TS 119 403-2TS 119 403-3, en los que se definen los requisitos adicionales que deben cumplir los organismos de evaluación de la conformidad que evaluan a los prestadores de servicios de confianza cualificados de la UE y auditan a los prestadores de servicios de confianza que emiten certificados aceptables por los navegadores (con denominación acuñada “Publicly-Trusted Certificates”, certificados confiables públicamente ).

Los restantes entregables bajo el alcance del grupo de trabajo STF 523 se publicaron en febrero. Entre ellos figuraban dos documentos normativos para los prestadores de servicios de entrega electrónica registrada y los de correo electrónico registrado (Electronic Registered Delivery Providers and Registered Electronic Mail Providers – REM), especificaciones de prueba y un estudio de viabilidad sobre un perfil de interoperabilidad entre los sistemas REM definidos en ETSI y los sistemas basados en PReM (Postal Registered Electronic Mail) de la UPU (Unión Postal Universal) [EN 319 521EN 319 531TS 119 524 Part 2TS 119 534 Part 2TR 119 530]. Anteriormente este tipo de interoperabilidad se trató en la publicación TS 102 640-6-1 de 2011.

El grupo de trabajo STF 560 financiado por la CE/AELC  (EC/EFTA) trabajó en dos temas. Uno considera dos formatos procesables por máquina para las políticas de firma [TS 119 172 Part 2TS 119 172 Part 3] que se publicaron en diciembre de 2019. En el segundo, el STF hizo un estudio sobre la aceptación global de los Servicios de Confianza de la UE. Para dar cobertura a este estudio, el TC ESI organizó cuatro sesiones conjuntas (workshops , talleres) en Dubai (mayo), Tokio (mayo), México D.F. (junio) y Nueva York (septiembre). Los trabajos pretendían estudiar  los esquemas de Servicios de Confianza basados en Infraestructuras de Clave Pública (ICP, PKI)  que operan en diferentes regiones del mundo, y su posible reconocimiento mutuo e, incluso, un modelo de aceptación mundial. El estudio tiene por objeto determinar otras medidas que podrían adoptarse para facilitar el reconocimiento mutuo entre los servicios de confianza de la Unión Europea, sobre la base de las normas de la ETSI que respaldan la reglamentación del eIDAS y los servicios de confianza de otros esquemas o modelos de confianza.

En 2019 se mantuvo la interacción con varios órganos externos. En lo que respecta a los resultados de la entrega electrónica (e-delivery), el Comité trabajó con la Comisión Europea / CEF (Connecting Europe Facility), CEN TC 331 WG2 (que trabaja en los servicios postales) y la UPU (Unión Postal Universal).

El Comité TC ESI se coordinó con el Comité TC DSS-X de OASIS para garantizar la alineación y la complementariedad de las especificaciones para la creación y validación de firmas remotas, a partir de la nueva especificación OASIS DSS-X V2 que se publicó en julio de 2019.

Se realizaron progresos  en los protocolos para la creación de firmas remotas, en consonancia con los trabajos del Consorcio de Firma en Nube (Cloud Signature Consortium – CSC) para dar cobertura a las firmas electrónicas basadas en modelos de consulta/respuesta en servidores según la especificación  JSON.

En cooperación con la Autoridad Bancaria Europea (European Banking Authority) y Open Banking Europe, se ha ajustado la Especificación Técnica [TS 119 495] para que la infraestructura de confianza pueda satisfacer mejor las necesidades de los nuevos servicios de pago.

El Comité TC ESI  ha compartido información relevante para los proveedores de servicios de confianza con el Foro de Autoridades Europeas de Supervisión (Forum of European Supervisory Authorities).

El Comité TC ESI  ha Interactuado con el Comité TC 154 WG6 de ISO, que está definiendo perfiles de formatos de firmas a partir de los formatos ESI.

El Comité TC ESI mantiene activa la relación con la Cooperación Europea para la Acreditación (European cooperation for Accreditation), en particular para el mantenimiento de la norma de conformidad para la certificación de evaluadores EN 319 403.

Se suscribió un acuerdo de colaboración (MoU Memorandum of Understanding,  memorando de entendimiento) con la asociación ACAB’c, Accredited Conformity Assessment Bodies’ Council, es decir,  el Consejo de Organismos de Evaluación de la Conformidad Acreditados.

Se estableció un nuevo acuerdo de cooperación con el Cloud Signature Consortium.

En enero de 2019 el Vicepresidente del TC ESI habló – junto con el Presidente y el Vicepresidente del TC CYBER – en un segundo taller en Bruselas sobre la Ley de Ciberseguridad y su vínculo con la normalización, organizado conjuntamente por ENISA, CEN, CENELEC y ETSI.

Durante octubre y noviembre, el TC ESI llevó a cabo un evento remoto de PlugtestsTM  de validación de firmas digitales (Digital Signature Validation PlugtestsTM ).

 

 

 

Políticas europeas, qué se cuece


La Comisión Europea ha publicado su estrategia digital, su estrategia de datos y un Informe (White paper) sobre inteligencia artificial.

Tiene previsto iniciar una consulta pública sobre las prioridades en materia de certificación de ciberseguridad.

Agenda digital

La Comisión Europea ha publicado su estrategia digital: “Dando forma al futuro digital de Europa” (“Shaping Europe’s digital future”).

El 19 de febrero de 2020, la Comisión Europea publicó su  estrategia digital y su visión para la formulación de políticas digitales en los próximos cinco años. La agenda digital esboza varias iniciativas legislativas y no legislativas previstas por la Comisión en los próximos meses. Algunos de los aspectos más destacados para los entidades dedicadas a las infraestructuras digitales son los siguientes:

  • Ley de Servicios Digitales (Q4 2020). Normas nuevas y revisadas para profundizar en el mercado interior de los servicios digitales, aumentando y armonizando las responsabilidades de las plataformas en línea y los proveedores de servicios de información y reforzando la supervisión de las políticas de contenido de las plataformas en la UE. Según la Comisión, la venta de productos ilícitos, peligrosos o falsificados y la difusión de contenidos ilegales deben abordarse con la mayor eficacia posible.
  • Cumplir una nueva Agenda del Consumidor (Q4 2020).
  • Revisión del Reglamento eIDAS (Q4 2020): para mejorar su eficacia, extender sus beneficios al sector privado y promover identidades digitales de confianza para todos los europeos. Según la Comisión, es necesario contar con una nueva Identidad Digital (eId) pública, universalmente aceptada para que los consumidores tengan acceso a sus datos y utilicen de forma segura los productos y servicios que desean sin tener que utilizar plataformas no relacionadas y compartir innecesariamente datos personales con estas plataformas.
  • Estrategia europea de ciberseguridad, que incluya el establecimiento de una unidad conjunta de ciberseguridad, una revisión de la Directiva sobre la seguridad de las redes y los sistemas de información (NIS) y un impulso al mercado único de ciberseguridad.

Protección de datos

La Comisión Europea reveló “Una estrategia europea para los datos” (“A European strategy for data”)

El 19 de febrero de 2020, la Comisión Europea publicó su  estrategia de datos. . Según la Comisión, “los datos son el elemento vital del desarrollo económico”, como “la base de muchos productos y servicios nuevos, que impulsan el aumento de la productividad y la eficiencia de los recursos en todos los sectores de la economía”. Los datos no sólo permiten “productos y servicios más personalizados”, sino que también permiten “una mejor elaboración de políticas” y mejoran los servicios gubernamentales. La estrategia de datos reconoce conceptos diferentes al acceso a los datos ejercido en los Estados Unidos y China, al tiempo que subraya la necesidad de que Europa encuentre su propio camino, “equilibrando el flujo y el amplio uso de los datos, al tiempo que se preservan unas elevadas normas de privacidad, seguridad y ética”.

A fin de utilizar el potencial de la economía de datos en beneficio de las personas y la sociedad en general, la Comisión Europea se propone “crear un espacio único europeo de datos -un verdadero mercado único de datos, abierto a los datos de todo el mundo- en el que los datos personales y no personales, incluidos los datos comerciales sensibles, estén seguros y las empresas también tengan fácil acceso a una cantidad casi infinita de datos industriales de alta calidad”.

Según la Comisión Europea, “actualmente no se dispone de suficientes datos para una reutilización innovadora, incluso para el desarrollo de la inteligencia artificial”. Entre los obstáculos a la reutilización de datos en Europa figuran (entre otros) la fragmentación de los marcos jurídicos de los Estados miembros, la falta de incentivos económicos para el intercambio de datos entre empresas, los desequilibrios en el poder de mercado, la falta de formatos normalizados interoperables para la reunión y el procesamiento de datos de diferentes fuentes y los problemas que plantea la nube tanto del lado de la oferta como del de la demanda.

Como parte de su visión hacia una economía de datos reforzada, la Comisión Europea tiene la intención de poner en marcha:

  • Un marco legislativo para la gobernanza de los espacios comunes de datos europeos (en el cuarto trimestre de 2020) para “fomentar la interoperabilidad de los datos entre sectores y, cuando sea pertinente, dentro de los sectores” (centrándose en las actividades de normalización).
  • Ley de datos (2021), que, entre otras cosas, tiene por objeto incluir la revisión de la Directiva sobre bases de datos y una posible aclaración de la aplicación de la Directiva sobre la protección de los secretos comerciales (evaluación del marco jurídico de los derechos de propiedad intelectual de la UE).

El Comité Europeo de Protección de Datos (EDPB por sus siglas en inglés) proporcionó orientación sobre la aplicabilidad del RGPD (Reglamento Generaql de Protección de Datos) a los algoritmos injustos.

En su  respuesta a la solicitud de la diputada Sophie in ‘t Veld sobre la idoneidad del RGPD como marco legal para proteger a los ciudadanos de algoritmos injustos, el Comité Europeo de Protección de Datos (EDPB) puso en duda la validez general de una suposición común “de que cuantos más datos se utilicen para entrenar algoritmos, más precisos serán para predecir aquello para lo que fueron entrenados”.

Según la EDPB, el enfoque de “maximización de datos” crea un incentivo para la recopilación y posterior procesamiento de datos potencialmente ilegales.

Los algoritmos son cada vez más complejos, lo que los hace menos transparentes, según el EDPB. En lo que respecta a la adopción de decisiones por los algoritmos, los principios generales consagrados en el artículo 5 del RGPD , “específicamente la legalidad, la equidad y la transparencia, la exactitud, la minimización de los datos y la limitación de la finalidad rigen el tratamiento de los datos personales, tanto al crear como al utilizar los algoritmos”. El RGPD también exige que “toda persona que utilice un algoritmo para la adopción automática de decisiones, informe a los interesados de la existencia de este proceso y proporcione información significativa sobre su lógica, así como sobre el significado y las consecuencias previstas”, según la EDPB. Por último, la EDPB considera que ya existe un amplio marco jurídico en torno a la protección de datos, y que es prematuro en este momento promulgar una legislación adicional en la esfera de la protección de datos dirigida a una tecnología específica. La atención debería centrarse más bien en el desarrollo de las normas existentes, especialmente los requisitos de transparencia y rendición de cuentas.

Ciberseguridad

La Comisión Europea anunció su Libro Blanco sobre Inteligencia Artificial

El 19 de febrero de 2020, la Comisión Europea publicó su “Libro Blanco sobre Inteligencia Artificial – Un enfoque europeo de la excelencia y la confianza”  (“White Paper on Artificial Intelligence – A European approach to excellence and trust”).

Según el Libro Blanco, Europa debe esforzarse por crear un “ecosistema de excelencia” y un “ecosistema de confianza” al elaborar el marco normativo y reglamentario de la inteligencia artificial (IA).

Según la Comisión, las tecnologías de la IA tienen muchos beneficios públicos, por ejemplo, al “dotar de instrumentos adecuados para garantizar la seguridad de los ciudadanos a las autoridades encargadas de hacer cumplir la ley”. En particular, ayudan a identificar la propaganda terrorista en línea y a “identificar objetos ocultos peligrosos o sustancias o productos ilícitos”.

Sin embargo, la IA también plantea un cierto riesgo elevado para nuestra sociedad, según el Libro Blanco. De ahí que las tecnologías de la IA cambien el concepto de seguridad establecido actualmente en la UE por el marco jurídico pertinente.

Según el Libro Blanco, esos riesgos pueden estar vinculados a las ciberamenazas, a los riesgos de seguridad personal o a los riesgos derivados de la pérdida de conectividad.

A fin de apoyar la confianza de los consumidores en las tecnologías de la inteligencia artificial, sería conveniente que el próximo marco normativo de la UE sobre la inteligencia artificial abarque explícitamente determinados “requisitos clave”. En la actualidad, los requisitos relativos a la transparencia, la trazabilidad y la supervisión humana de la adopción de decisiones en materia de algoritmos no están contemplados específicamente en ninguna legislación en vigor.

Además de proponer enmiendas a la legislación vigente (por ejemplo, la Directiva sobre la responsabilidad por la seguridad de los productos), “podría ser necesaria una nueva legislación específica sobre la IA”.

Además, la Agencia  ENISA tiene previsto realizar un estudio del panorama de amenazas sobre la IA, a fin de alimentar la labor de la Comisión Europea sobre la IA. Tras la publicación del Libro Blanco, la Comisión Europea está  recopilando propuestas  de forma abierta. Existe una consulta pública que se prevé finalice el 31 de mayo de 2020.

La Comisión Europea tiene previsto abrir una consulta pública sobre las prioridades en la certificación de la ciberseguridad

En un acto sobre ciberseguridad celebrado en Bruselas, un representante de la Comisión Europea proporcionó cierta información sobre los actuales planes de certificación de la ciberseguridad que se están preparando, tras la aplicación de la Ley de ciberseguridad de la Unión Europea. La Ley sobre ciberseguridad establece el primer marco de certificación en toda la Unión Europea que prevé la introducción de planes de certificación de la ciberseguridad  para “productos, servicios y procesos de TIC”.

En virtud de la Ley de ciberseguridad, se ha abierto una “vía para la certificación obligatoria”, pero actualmente la prioridad es asegurarse de que se introduzcan los planes. Es necesario determinar las prioridades de los futuros planes en el Programa de Trabajo Permanente de la Unión, aprobado por la Comisión Europea.

La Comisión tiene previsto abrir una consulta pública sobre las prioridades del Programa de trabajo renovable de la Unión para finales del primer trimestre de 2020. Todo plan obligatorio que se introduzca en el futuro debe ir acompañado de la legislación pertinente, según la Comisión Europea. Todo plan obligatorio también debe estar justificado por la correspondiente evolución del mercado.

Material de estudio para la certificación profesional de Auditor EIdAS


Próximamente TCAB publicará más detalles sobre las jornadas de formación previstas en 2020 para la certificación profesional de Auditor EIdAS.

Ya se ha publicado el contenido previsto de la formación pero todavía no se han publicado las fechas para los exámenes de certificación y aspectos como los requisitos para ser Auditor EIdAS en el esquema de TCAB.

Quienes deseen prepararse para esta cualificación profesional pueden descargarse y utilizar como material de estudio las guías publicadas por ENISA.

Aunque el material está en inglés, a continuación se relacionan algunos de los documentos disponibles indicando también la traducción del título al español:

El portal Criptored celebra sus 20 años impulsando la seguridad de la información y la criptografía


A comienzos de diciembre del año 1999, hace ya veinte años, se iniciaba en el seno de la UPM (Universidad Politécnica de Madrid), de la mano de Jorge Ramió Aguirre, el portal Criptored, una aventura de colaboración de ámbito iberoamericano en temas relacionados con la seguridad de la información y la criptografía, usando lo que en aquellos años se denominaban redes temáticas.

Eran sitios web en los que se inscribían los interesados en la temática y desde los que podían aportar y obtener conocimiento, muchas veces en forma de documentos con licencias destinadas a compartir.

Hay que recordar que las actuales redes sociales LinkedIn (2002), Facebook (2004), YouTube (2005), Twitter (2006) o Instagram (2010) no habían nacido, si bien Hispasec,  un ilustre predecesor, ya cumplía un año de vida.

En 1996 había aparecido “PGP Magazine”, el primer boletín electrónico sobre criptología, en Internet y en castellano y un año después, sus promotores pusieron en marcha otro boletín: “Kriptópolis”.

De modo que 1999 vio el nacimiento de la “Red Temática Iberoamericana de Criptografía y Seguridad de la Información” Criptored, cuyas primeras páginas web pueden rescatarse desde Wayback Machine.

Lo que se inicia como una pionera red temática en habla hispana, con miembros a título personal, universidades e instituciones formando parte de el colectivo de inscritos de alta, con 50 miembros al finalizar diciembre de 1999, llegó en 2005 a superar los mil miembros y las 250 instituciones de investigación y educación superior de una veintena de países.

Con el paso de los años va cambiando su fisonomía y se convierte en la actual red de profesionales conectados a través de sus redes sociales en LinkedIn, Twitter y Facebook.

En estos años Criptored ha aportado a la comunidad diversos proyectos de amplia difusión de la seguridad de la información como, por ejemplo, los congresos CIBSI y TIBETS, que ya han tenido 10 ediciones, los proyectos educativos multimedia Enciclopedia de Seguridad de la Información intypedia con 862.569 visualizaciones en YouTube, las píldoras formativas Thoth con 523.228 reproducciones en YouTube, el primer MOOC Massive Open Online Course en español Crypt4you, rozando ya el millón y medio de accesos, el proyecto Mapa de Enseñanza de la Seguridad de la Información MESI y, últimamente, los Cuadernos de Laboratorio de Criptografía CLCript, también con miles de descargas.

Criptored, ha sido reconocido con diversos premios nacionales por sus proyectos y por la difusión de la seguridad, y acoge actualmente 1.700 accesos diarios al sitio web.

A comienzos del año 2020, Criptored tiene previsto cambiar su formato web para seguir impulsando la difusión de la seguridad informática y la criptografía.

Hay que felicitar a a los doctores D. Jorge Ramió Aguirre y D.Alfonso Muñoz Muñoz su empeño personal en mantener con tanta pujanza este proyecto.

INDOTEL aprueba el nuevo marco regulatorio para servicios de certificación digital y confianza en República Dominicana, alineado con el #eIdAS


Mediante la Resolución No. 071-19 del Consejo Directivo INDOTEL aprobó la Norma Complementaria por la que se establece la equivalencia regulatoria del sistema dominicano de Infraestructura de Claves Públicas y de Confianza con los marcos regulatorios internacionales de servicios de confianza, así como la Norma Complementaria sobre Procedimientos de Autorización y Acreditación.

Indotel-ogoEsta actualización del marco normativo de la Ley 126-02 sobre Comercio Electrónico Documentos y Firmas Digitales se ha desarrollado para modernizar el mercado de servicios electrónicos de confianza de la República Dominicana y para adaptarlo al surgimiento de nuevas tecnologías, de forma tal que sean instrumentos realmente eficientes para la aplicación de los distintos agentes involucrados en la prestación de estos servicios electrónicos.

Por decisión del regulador, la citada normativa está específicamente alineada con las mejores prácticas internacionales en la materia, tomando como referencia el modelo europeo para la prestación de servicios electrónicos de confianza, definido en el Reglamento (UE) N.º910/2014 del Parlamento Europeo y del Consejo, de fecha 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza en las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE (habitualmente denominado eIDAS) y en los estándares técnicos establecidos en los organismos de normalización como el Instituto Europeo de Normas de Telecomunicación (ETSI) y el Comité Europeo de Normalización (CEN).

Junto con el interés por aprovechar el desarrollo de estándares de la Unión Europea, el nuevo modelo regulatorio enfatiza también su compatibilidad  con otros estándares regionales impulsados por organizaciones como el Foro de Autoridades de Certificación y Programas de Exploración de Internet (CA/B Forum en inglés), que coordina la evolución de los certificados para sitio web de confianza pública, según los tipos acuñados de validación de dominio, validación de organización y validación extendida.

Se espera que la adopción de este nuevo modelo regulatorio,  favorezca  la interoperabilidad internacional, para lo que crea una implementación normativa de referencia que podría estudiarse por otros países, latinoamericanos o no, para facilitar la aplicación del artículo 14 del Reglamento EIDAS y por tanto el establecimiento de listas TSL no solo europeas sino globales.

En resumen, la norma publicada permite a la República Dominicana:

  • Ampliar el espectro de servicios de certificación digital que hasta a fecha contemplaba la normativa vigente, para incluir los que se detallan en el Reglamento europeo eIDAS, por ejemplo, servicios de confianza cualificados de: creación de firmas y sellos electrónicos a partir de certificados cualificados y dispositivos de creación de firmas cualificados, o servicios electrónicos de entrega cualificados;
  • La ubicación e instrumentación de listas de confianza TSL de prestadores nacionales que, una vez serán cursado el procedimiento previsto en el artículo 14 del Reglamento europeo eIDAS podrán ser incluidos en la lista de confianza europea, con un mecanismo de reciprocidad;
  • El reconocimiento mutuo de prestadores cualificados de confianza europeos y prestadores de servicios de confianza dominicanos, consecuencia del procedimiento del artículo 14 citado.;
  • Ampliar los servicios de confianza a otros como: servicio cualificados de validación y conservación de firmas cualificadas; servicios cualificados de sellos electrónicos,  y los servicios de certificados para la autenticación de sitios web, etc.; y
  • Aumentar la competitividad de las entidades dominicanas de confianza digital favoreciendo su posicionamiento en mercados como los europeos y abriendo los servicios de confianza a un mercado mayor.

Algunos de los aspectos contemplados en la norma son:

  • La posibilidad de desarrollar sistemas de identificación remota, por ejemplo los basados en videoconferencia o videograbación.
  • La posibilidad de prestar servicios de firma y sello electrónicos a distancia, bajo control del firmante o del titular del sello electrónico
  • La posibilidad de que la evaluación de conformidad la pueda realizar un organismo de evaluación de conformidad acreditado por el ODAC (Organismo Dominicano de Acreditación) admitiendo entidades acreditadas por otros organismos de acreditación como los europeos, sin perjuicio de la capacidad inspectora y de auditoría del propio INDOTEL.

En consecuencia, la aprobación de la Resolución No. 071-19 se suma a los desarrollos normativos previos del INDOTEL que siempre han buscado el desarrollo e impulso del comercio electrónico a nivel de la República Dominicana, y que además auspicia un régimen de reconocimiento mutuo entre estados y una mayor interoperabilidad entre prestadores de servicios de confianza a nivel internacional, colaborando en la  armonización de las normas jurídicas y técnicas de los servicios de confianza.

Desde Europa se ve este desarrollo normativo como un gran paso para la interoperabilidad global, y como ejemplo para otros países.

Referencia:

Artículo de D. Cesar Moliné publicado en LinkedIn.

 

Jornada ‘Tecnologías Emergentes, ciberseguridad y Blockchain’ en el Senado


El pasado 24 de octubre de 2019 se celebró en el Senado la II Jornada Tecnológica sobre Tecnologías Emergentes, Ciberseguridad y Blockchain, que ha organizado la Fundación Big Data

Durante la jornada se ha hablado acerca de la estrategia en Blockchain tanto en España como en la Comunidad Europea y su relación con la Ciberseguridad con el fin de implantar de forma coherente y estructurada acciones de prevención, defensa, detección y respuesta frente a las ciberamenazas.

El acto se ha celebrado en la sala Manuel Giménez Abad y se ha transmitido en streaming desde la página web de la Cámara Alta.

El Secretario Segundo del Senado, D. Rafael Antonio Hernando Fraile, ha sido el encargado de la apertura de la jornada.

Han intervenido en el acto ponentes destacados de primer nivel:

  • Jaime Sánchez Revenga, Presidente Director de la Fábrica Nacional de Moneda y Timbre‐Real Casa de la Moneda (FNMT);
  • Javier González Marcos, Vice President Executive Partner, Gartner Executive Programs;
  • Fabio Chesini, Gartner Research Director Banking;
  • Ángel Laín Caba, Director de Sistemas de información FNMT;
  • Jesús Fernández, Teniente Coronel. Unidad de Ciberterrorismo de la Guardia Civil;
  • José Ángel Alonso López, Director TIC del Senado;
  • Miguel Ángel Amutio en representación de Fernando de Pablo Martín, Secretario General de Administración Digital;

La Fundación Big Data estuvo representada por su Vicepresidente, Fernando Martín Moreno y por su Presidente, Francisco Javier Antón Vique.

Francisco Javier Antón Vique, ha puesto de manifiesto la importancia de la formación en materias de tecnologías emergentes y ha destacado la contribución de la Fundación en la creación de casi 80 puestos de trabajo nuevos dirigidos al empleo juvenil. En su charla ha elaborado una radiografía acerca de cómo han evolucionado las compañías multinacionales durante los últimos años y cómo las compañías tecnológicas han desplazado a las empresas tradicionales de los primeros cinco puestos en cuanto a capitalización.

“La transformación digital ha dejado de ser una opción para convertirse en una obligación que puede venir dada por diferentes ramas: Big Data, BlockChain, IoT, Inteligencia Artificial, robótica o realidad aumentada. Esas son las tecnologías en torno a las que va a girar la estrategia del mundo empresarial durante los próximos años, por lo que su conocimiento y dominio deben pasar a ser una de las prioridades en cualquier corporación”, ha comentado Antón Vique.

El Presidente Director de la Fábrica Nacional de Moneda y Timbre‐Real Casa de la Moneda (FNMT), Jaime Sánchez Revenga, destacó que la FNMT sigue elaborando los productos tradicionales en papel que requieren autenticidad como las quinielas, loterías, etc. y, al mismo tiempo, se encuentra en la vanguardia de las tecnologías de identidad digital tanto de personas como de servidores y, de cara a las generaciones de jóvenes como los llamados millenials y generación Z, están trabajando en nuevos productos del futuro como el Blockchain.

Javier González Marcos, Vice President Executive Partner de Gartner Executive Programs,  destacó el cambio continuo en el que estamos inmersos y que uno de los retos más importantes es el de concienciar a los ejecutivos sobre la importancia de la ciberseguridad. Una disciplina que necesita “un millón y medio de profesionales”, que en ocasiones se deberán preparar a partir de una estrategia de “formación del personal interno de la organización”.

Un tema que hace reflexionar sobre las contradicciones del ser humano es el de la inteligencia artificial ya que, por un lado, ya la utilizamos para temas auxiliares como los mapas para deplazamientos y, por otro, la tememos ante la expectativa de que pueda acabar con ciertos
puestos de trabajo.

Las relaciones de confianza en la vida de las personas y su extrapolación al mundo del Blockchain han tratadas por Fabio Chesini, Gartner Research Director Banking, que ha reflexionado sobre como la aparición de Internet ha revolucionado el mundo de las relaciones personales. Comparando los modelos evolutivos de Internet que ha pasado de un modelo pseudoanárquico a ser regido por unas pocas grandes organizaciones ha extrapolado con referencia a anuncios recientes sobre el posible proceso de evolución de la gobernanza en Blockchain.

El Director de Sistemas de Información de la FNMT, Ángel Laín Caba, comentó el nuevo proyecto Blockchain que la FNMT está acometiendo para proporcionar futuros servicios a las Administraciones Públicas en consonancia con el proyecto europeo cuya red estará operativa con 6 nodos durante el mes noviembre de 2019 y que prevé su implantación a principios del año 2010. En este proyecto europeo que contempla todo el ciclo Blockchain se desarrolla el “Customer Journey” de una persona virtual denominada “Eva”, de nacionalidad belga, y que va a España a estudiar, lugar donde obtiene credenciales y crea una startup incluyendo las fases de constitución notarial y financiación.

La relación entre el Blockchain y la ciberseguridad en sus diversos aspectos como el hacktivismo, el ciberdelito, el ciberterrorismo, el ciberespionaje y la ciberguerra fueron los ejes de la intervención de Jesús Fernández, Teniente Coronel de la Unidad de Ciberterrorismo de la Guardia Civil, que puso énfasis en la necesidad de logra la concienciación de losciudadanos ante las amenazas a las infraestructuras críticas y los riesgos de desestabilizacion.

Miguel Ángel Amutio, Director de la División de Planificación y Coordinación de Ciberseguridad de la Secretaria General de Administración Digital comentó la importancia de las tecnologías emergentes para los ciudadanos. Destacó un reciente informe europeo que clasifica a España en las primeras posiciones en la adopción de la administración digital, y el despliegue de servicios pra los ciudadanos, si bien reconoción que queda margen de mejora, especialmente en competencias digitales, a nivel personal y como sociedad.

José Ángel Alonso López, Director TIC del Senado, realizó el resumen de la II Jornada Tecnológica, agradeciendo a los ponentes sus aportaciones.


La Fundación Big Data es una organización privada sin ánimo de lucro que tiene como misión fundamental impulsar la innovación tecnológica y contribuir al éxito de un modelo de crecimiento económico sostenible basado en el incremento de la competitividad y la productividad, la promoción de la igualdad social y regional, el diseño para todos y la mejora del bienestar y calidad de vida de los ciudadanos y las organizaciones de España e Hispanoamérica.

Formación y certificación de auditores #EIDAS


TCAB (Trust Conformity Assessment Body) está preparando un evento formativo que tendrá lugar del 4 al 8 de mayo de 2020  y que está destinado a formar especialistas del mundo de la firma electrónica y de los servicios de confianza.

Se estructura en tres niveles:

  1. Usuarios avanzados de servicios de confianza digital (1 día)
  2. Prestador de servicios de confianza digital (2 días)
  3. Auditor de servicios de confianza digital  (2 días)

Tras la formación completa se puede optar a realizar un examen que dará acceso a la certificación profesional de Auditor EIDAS y posteriormente a la realización de auditorias como auditor junior, en el marco de las evaluaciones de conformidad desarrolladas por TCAB.

El temario tentativo es el siguiente:

Nivel 1. Formación para desarrolladores, empresas de servicios y para empleados del sector Público.

Proporciona una introducción a los sistemas de identificación y firma electrónica.

Se tratan los siguientes temas:

  • Conceptos de identificación electrónica
  • Breve historia de la criptografía
  • Algoritmos de Hash
  • Criptografía de clave simétrica y criptografía de clave asimétrica
  • Elementos de las Infraestructuras de clave pública. RA, OCSP, CA, Root, Entidad final, CRL, Timestamping, custodia digital. Listas de confianza
  • Estructura de los certificados. Normas X.509, X.520
  • SSL TSL. OCSP Stapling
  • Autenticación mediante certificados
  • Firma electrónica. Tipos de firma electrónica
  • Certificados cualificados
  • Dispositivos cualificados de Creación de Firma
  • Drivers de dispositivos. Estándares MS-CAPI y PKCS#11
  • Normativa de firma electrónica. Reglamento EIDAS
  • Firma electrónica en las administraciones públicas y en el ámbito de la Justicia. Consideraciones sobre la Ley 39/2015 y la Ley 18/2011.
  • Firmas avanzadas especiales. Firma biométrica
  • Configuración de servidores para SSL. Como solicitar certificados

Nivel 2. Formación para profesionales de Prestadores de Servicios de Confianza

Se describen los sistemas utilizados por los PSCD, los documentos a elaborar y las medidas de seguridad en el ámbito de los Prestadores de Servicios de Confianza Digital y la forma de prepararse para una auditoría EIDAS

Se tratan los siguientes temas:

  • Normativa relacionada con la gestión de identidades. Reglamento 1501/2015 y Reglamento 1502/2015
  • Normativa general para Prestadores: EN 319 401:
    • Evaluación de riesgos,
    • Políticas y prácticas: Declaración de práctica de servicio de confianza, Términos y condiciones, Política de seguridad de la información,
    • Gestión y operación de Prestadores de Servicios Electrónicos de confianza: Organización interna (Confiabilidad de la organización, Segregación de funciones), Recursos humanos, Gestión de activos (Requisitos generales, Manejo de medios), Control de accesos, Controles criptográficos , Seguridad física y ambiental, Seguridad de las operaciones, Seguridad de la red, Gestión de incidentes, Recogida de información probatoria, Gestión de la continuidad del negocio, Terminación de las actividades de Prestadores de Servicios Electrónicos de confianza y planes terminación de actividades, Cumplimiento legal.
  • OID. Como solicitar OID. Como diseñar una estructura organizada de OID para facilitar la gestión de políticas de firma
  • Perfiles de certificados. Identificación de políticas. OID necesarios según CAB Forum, OID necesarios según las normas ETSIT. Normas EN 319 412. Certificados PSD2
  • Documentación necesaria que se comprobará para expedir certificados de persona física, certificados de persona física representante de persona jurídica, certificados de persona física empleado público, certificados de persona jurídica.
  • Herramientas de parseo y de comprobación de la calidad de certificados.
  • Certificate transparency. Repositorios e integración
  • Normativa relativa a la expedición de certificados: EN 319 411-1. Recorrido detallado del contenido de una Declaración de Prácticas de Servicios de Confianza
  • Normativa relativa a la expedición de certificados cualificados en el marco de EIDAS: EN 319 411-2. Recorrido detallado del contenido de una Declaración de Prácticas de Servicios de Confianza. Certificados EIDAS: QCP-n, QCP-l, QCP-n-qscd, QCP-l-qscd, QCP-w.
  • Normativa relativa a la expedición de sellos de tiempo cualificados en el marco de EIDAS: EN 319 421 y EN 319 422
  • Normativa relativa a la prestación de servicios cualificados de notificaciones electrónicas y correo electrónico certificado cualificado (Servicio cualificado de entrega electrónica certificada) en el marco de EIDAS: EN 319 521 y EN 319 531
  • Servicio cualificado de validación de firmas electrónicas cualificadas y sellos electrónicos cualificados en el marco de EIDAS: TS 119 101 y EN 319 102-1
  • Servicio cualificado de conservación de firmas electrónicas cualificadas y sellos electrónicos cualificados en el marco de EIDAS: TS 102 573 y EN 319 102-1
  • Seguro de Responsabilidad civil. Responsabilidad contractual y extracontractual.
  • Dispositivos cualificados de creación de firma. Normas de aplicación para la evaluación de dispositivos: FIPS-140-2, CWA 14167-1, CWA 14167-2, CWA 14169, CWA 14170, EN 419 241-1, EN 419 241-2, EN 419 221-5.
  • Listas de dispositivos de creación de firma: NIST, Common Criteria Portal, Lista del artículo 31 (Compilation of Member States notification on SSCDs and QSCDs). Procedimientos especiales del art. 30-2-b. Vigencia de dispositivos anteriores al EIDAS por art. 51.1
  • Aspectos a tener en cuenta para la expedición de certificados de sitio web y firma de código ejecutable en contextos de CAB Forum: Baseline Requirements, Extended Validation (EV) Guidelines.
  • Criterios de verificación de identidad en las actividades de RA según el artículo 24-1-b y 24-1-d. Criterios de videoidentificación publicados por SEPBLAC en el marco de la Ley 10/2010.
  • Listas TSL (Trusted Lists). Norma TS 119 612. Información que se refleja en las listas. Comprobación de validez de certificados cualificados emitidos en fase válida de prestadores a los que se les ha retirado la cualificación.
  • Reglas de uso del signo distintivo europeo de cualificación EIDAS

Nivel 3. Formación para Auditores y evaluadores de conformidad de Servicios de Confianza

Se describe el marco de evaluación de la conformidad, los organismos de acreditación, los requisitos para los organismos de evaluación de conformidad y los requisitos para los auditores.

Los estudiantes que hayan asistido a la formación de los 3 niveles podrán presentarse a un examen de certificación profesional que los habilitará como auditores EIDAS en el Esquema de Trust Conformity Assessment Body. Los alumnos que superen el examen obtendrán un nivel de cualificación profesional para participar como auditores junior en auditorías de evaluación de conformidad y podrán optar a acompañar a auditores senior en auditorías de TCAB. Tras participar en 3 auditorías recibirán la cualificación de auditores senior.

En la formación el tercer nivel se utilizarán el inglés y el español como lenguas vehiculares a lo largo de las exposiciones.

Se tratan los siguientes temas:

  • Evolución del marco de evaluación de conformidad para servicios de confianza. Orden de 21 de febrero de 2000 por la que se aprueba el Reglamento de acreditación de prestadores de servicios de certificación y de certificación de determinados productos de firma electrónica.
  • Modelo de supervisión EIDAS. Lista de supervisores de los Estados miembros.
  • Modelo de acreditación EIDAS. Lista de organismos de acreditación de los Estados miembros.
  • Modelo de evaluación EIDAS. Lista de organismos de evaluación de los Estados miembros.
  • Requisitos aplicables a los CAB para lograr la acreditación. EN 319 403, ISO 17065, Criterios y proceso de acreditación específico para la certificación de servicios electrónicos de confianza regulados en el Reglamento (UE) nº 910/2014 (eIDAS) (Norma ENAC RDE-16)
  • Recomendaciones para planificar una auditoría: Fase de revisión documental, fase presencial, identificación de evidencias, pautas de información a reflejar en el informe de Evaluación (CAR, Conformity Assessment Report).
  • Procedimiento de evaluación. Revisión del informe, aprobación de la certificación.
  • Seguimiento de las entidades evaluadas. Ampliación de alcances de evaluación.
  • Requisitos generales para los auditores y condiciones previas para la acreditación. Principios éticos para los auditores. Criterios de independencia e imparcialidad.
  • Partes involucradas y pautas de interacción.
  • Curso típico de un proyecto de auditoría.
  • Recomendación para la acción y el enfoque durante las auditorías.
  • Requisitos y esquema de informes de evaluación.
  • Modelo de CAR para auditores
  • Condiciones para la Emisión de Certificado. Fases del proceso de certificación.
  • Reglas de uso del signo distintivo europeo de cualificación EIDAS, y de otras marcas asociadas a la evaluación, ENAC, CAB,…
  • Estructura general de aprobación de certificaciones. Organización de TCAB para la aprobación de certificaciones. Comité de partes interesadas.

Para más información llamar a TCAB al +34 91 3880789

Construyendo el futuro digital con #EIDAS


En un mundo globalizado y en plena transformación digital, la seguridad de las transacciones y las comunicaciones es más necesaria que nunca.

La gestión de la identidad digital y la preservación de evidencias electrónicas resuelve la digitalización de la última milla cartácea: esos aspectos que las entidades se resisten a gestionar digitalmente porque dudan de si serán capaces de ejercer el derecho a la prueba de otra forma que no sea en papel.

Recientemente InfoCert uno de los principales Prestadores de Servicios de Confianza Digital europeos y con sede en Italia ha entrado en el capital de Camerfirma, entidad que tuve el honor de dirigir hace 15 años, y que opera en directa colaboración con las Cámaras de Comercio.

Juntas, ambas entidades atesoran una oferta de servicios destinada a promover la Confianza Digital única en el mundo y una sólida presencia en diferentes mercados de diferentes continentes, lo que permite aventurar que se está formando un campeón de escala global con origen europeo.

Infocert-Camerfirma

El próximo 17 de Octubre 2018 a las 10:00 nos invitan en la Cámara de Comercio de España (C/Ribera del Loira 12, Madrid) a su presentación conjunta y con acompañamiento de relevantes personalidades relacionadas con la economía digital

La secretaria de Estado de Comercio, Xiana Méndez, y el responsable de Administración Electrónica y Confianza de la Comisión Europea, Andrea Servida, participarán en la jornada, bajo el título “Construyendo el futuro digital”, y a buen seguro nos actualizarán sobre el contexto de negocio digital promovido por el desarrollo del Reglamento UE 910/2014 (EIDAS).

En esta jornada se analizarán las oportunidades y retos que se plantean a las empresas en el marco del  Mercado Único Digital.

Para inscibirse, hay que acceder al sitio web de evento.

Trust Services Forum 2017


ENISA and the European Commission are organising a consultation workshop with industry and experts from Member States on ICT security certification.

  • Time: April 27, 2017 from 09:30 to 17:00
  • Place: Hotel Thon EU, Rue de la Loi 75, B-1040 Brussels, Belgium

The workshop is organised as a follow-up on the European Commission’s commitment to develop a proposal for a European ICT security certification framework.

Trust Services Forum 2017 – Agenda

09:45 – 10:15

Registration & Welcome Coffee

10:15 – 11:30

Welcome Statement

State of play: eIDAS Regulation, CEF, ENISA activities

Gábor Bartha – European Commission

João Rodrigues Frade – European Commission

Sławomir Górniak – ENISA

11:30 – 11:45

Coffee Break

11:45 – 12:45

Panel Discussion 1

One year after eIDAS provisions entered into force

Where do we stand?

Moderator:

Prokopios Drogkaris, ENISA

Panelists:

John Jolliffe, Adobe

Olivier Delos, SEALED

Romain Santini, ANSSI

Michał Tabor, Obserwatorium.biz

12:45 – 13:45

Lunch Break

13:45 – 14:00

Article 19 – State of play

Ilias Bakatsis, ENISA

14:00 – 15:00

Panel Discussion 2

Working on the eIDAS through guidelines and recommendations

Moderator:

Sławomir Górniak, ENISA

Panelists:

Camille Gerbert – LSTI

Björn Hesthamar – PTS SE

Leslie Romeo – 1&1

Jérôme Bordier – ClubPSCo

15:00 – 15:30

Coffee Break

15:30 – 16:30

Panel Discussion 3

Strengthening the adoption of qualified certificates for website authentication

Moderator:

Eugenia Nikolouzou – ENISA

Panelists:

Reinhard Posch – TU Graz

Arno Fiedler – Nimbus

Kim Nguyen – D-Trust

Erik Van Zuuren – TrustCore

16:30 – 17:00

Next Steps – Open Discussion – Closing Remarks

 

Jornada “Ciberseguridad en los entornos de infraestructuras críticas” de AMETIC


El pasado 22 de noviembre de 2016 se celebró en la sede de la CEOE (Madrid) la jornada “Ciberseguridad en los entornos de infraestructuras críticas”, organizada por la Comisión de Seguridad y Confianza de AMETIC.

Durante su transcurso intervinieron los responsables de ciberseguridad de algunas de los principales operadores catalogados como infraestructuras críticas y que por tanto prestan servicios esenciales.

La apertura de la jornada corrió a cargo de D. Antonio Cimorra, director del Área de Desarrollo de la Economía Digital de AMETIC y secretario de la Comisión de Seguridad y Confianza.

D. Antonio destacó el papel de la Comisión como interlocutor y voz autorizada de la industria de la ciberseguridad, para pasar a destacar que lo que hace que una infraestructura sea considerada como crítica es la importancia del servicio que presta. Asimismo, recalcó que hoy en día la ciberseguridad cobra especial importancia en cualquier infraestructura, y para hacer frente a las amenazas que evolucionan, crecen y traspasan fronteras, es muy importante la labor de actualización y coordinación que realiza el CNPIC. A su vez, la recientemente aprobada Directiva NIS apunta a homogeneizar las estrategias de seguridad de los Estados miembros de la UE y señala los sectores que considera que proporcionan servicios esenciales para la sociedad.

El evento continuó con la intervención de D. Fernando Sánchez, director del CNPIC, que comenzó su ponencia con un mensaje tranquilizador sobre la Directiva NIS, indicando que su transposición a la legislación nacional se hará buscando el menor impacto posible en las empresas del sector y contando con la opinión de la industria. D. Fernando indicó que la transposición no se hace partiendo de la nada, sino que se basará en la legislación existente que, de hecho, ya reconoce las figuras de infraestructura crítica y de servicio esencial. Respecto a las obligaciones de reporte ante un ataque, el señor Sánchez indicó que la idea de una “ventanilla única” ante la que informar es muy procedente, pero más importante es que cada actor sepa exactamente a quién y cómo reportar, sin necesidad de que esa ventanilla única sea absoluta.

A continuación, tuvo lugar la mesa redonda sobre el impacto de la directiva NIS en los sectores de la energía y de las infraestructuras de transporte. El moderador de esta mesa fue D. Mariano José Benito, miembro de la Comisión de Seguridad y Confianza de AMETIC, y como ponentes asistieron D. Luis Dorda (ADIF), D. Cándido Arregui (AENA), D. Andreu Bravo (Gas Natural Fenosa) y Dña. Elena Matilla (REE).

La Directiva NIS, en principio, se ve con optimismo por parte de los operadores representados. Según las intervenciones, esta directiva ha servido para concienciar a los altos cargos de la dirección de las empresas afectadas y además puede ser muy positiva al favorecer la homogeneización de políticas en Europa. Los ponentes mostraron acuerdo en la importancia de integrar todos los tipos de seguridad (física, ciberseguridad, ante accidentes, etc.) y evitar efectos “de silo”, algo que no se consigue en el mismo grado en todas las compañías. Asimismo, apareció como un asunto preocupante dentro de la directiva la indefinición que puede existir respecto a las obligaciones de notificación y las sanciones asociadas a su incumplimiento.

pic-ciberseguridad-ametic

La segunda mesa redonda versó sobre el impacto de la directiva NIS en el sector de la banca. El moderador fue D. Julián Inza, miembro de la Comisión de Seguridad y Confianza de AMETIC, y participaron D. Jorge Blanco (BBVA) y D. Andrés García (Santander).

Ambos responsables coincidieron en que la aplicación de la directiva NIS no debería presentar demasiada complicación para el sector bancario, muy adaptado a la ciberseguridad por la importancia que tiene en su negocio. Sí que puede ser algo más preocupante, para aquellas compañías que tienen carácter multinacional, la diferencia en las distintas transposiciones que se realicen en los estados.

También coincidieron en que la directiva se recibe con incertidumbre, por un lado, y con cierto optimismo en la esperanza de que sirva para aumentar la concienciación sobre la ciberseguridad y la visibilidad de los asuntos que aborda. Sobre la notificación de incidentes, para este sector no es algo novedoso ya que deben realizarlas ante el Banco Central Europeo, pero sí parece preocupante que no puedan converger en un mismo organismo las diferentes obligaciones de notificación. En su opinión, las actividades de notificación deberían abordarse más desde un punto voluntarista y de colaboración que desde la obligación literal y la sanción.

Por último, la jornada fue clausurada por D. Juan Carlos Batanero, presidente de la Comisión de Seguridad y Confianza de AMETIC. Tras realizar una breve síntesis de lo expuesto durante la mañana, D. Juan Carlos agradeció la asistencia de los organizadores, los ponentes y el público en general, y expresó su deseo de volver a verles en futuras jornadas similares que puedan organizarse desde la Comisión.