ANEXO

Estrategia Nacional de Ciberseguridad 2019

Sumario

Presidencia del Gobierno.

Consejo de Seguridad Nacional.

Sumario.

Resumen ejecutivo.

Introducci髇.

Cap韙ulo 1: El ciberespacio como espacio com鷑 global.

El ciberespacio: oportunidades y desaf韔s.

Infraestructura digital.

Plano internacional: seguridad en el ciberespacio.

Una nueva concepci髇 del ciberespacio.

Cap韙ulo 2: Las amenazas y desaf韔s en el ciberespacio.

Ciberamenazas.

Acciones que usan el ciberespacio para fines maliciosos.

Cap韙ulo 3: Prop髎ito, principios y objetivos para la ciberseguridad.

Prop髎ito.

Principios Rectores.

Objetivo general.

Objetivo I.

Objetivo II.

Objetivo III.

Objetivo IV.

Objetivo V.

Cap韙ulo 4: L韓eas de acci髇 y medidas.

L韓ea de acci髇 1.

L韓ea de acci髇 2.

L韓ea de acci髇 3.

L韓ea de acci髇 4.

L韓ea de acci髇 5.

L韓ea de acci髇 6.

L韓ea de acci髇 7.

Cap韙ulo 5: La ciberseguridad en el Sistema de Seguridad Nacional.

El Consejo de Seguridad Nacional.

El Comit� de Situaci髇.

El Consejo Nacional de Ciberseguridad.

La Comisi髇 Permanente de Ciberseguridad.

Foro Nacional de Ciberseguridad.

Autoridades p鷅licas competentes y los CSIRT de referencia nacionales.

Consideraciones finales y evaluaci髇.

Resumen ejecutivo

La Estrategia Nacional de Ciberseguridad desarrolla las previsiones de la Estrategia de Seguridad Nacional de 2017 en el 醡bito de la ciberseguridad, considerando los objetivos generales, el objetivo del 醡bito y las l韓eas de acci髇 establecidas para conseguirlo.

El documento se estructura en cinco cap韙ulos. El primero, titulado 獷l ciberespacio, m醩 all� de un espacio com鷑 global�, proporciona una visi髇 de conjunto del 醡bito de la ciberseguridad, los avances realizados en materia la materia desde la aprobaci髇 de la Estrategia de 2013, las razones que afianzan la elaboraci髇 de la Estrategia Nacional de Ciberseguridad 2019, as� como las principales caracter韘ticas que impulsan su desarrollo.

Las actividades que se desarrollan en el ciberespacio son fundamentales para la sociedad actual. La tecnolog韆 e infraestructuras que forman parte del ciberespacio son elementos estrat間icos, transversales a todos los 醡bitos de actividad, siendo la vulnerabilidad del ciberespacio una de los principales riesgos para nuestro desarrollo como naci髇.

Por ello, la seguridad en el ciberespacio es un objetivo prioritario en las agendas de los gobiernos con el fin de garantizar su Seguridad Nacional y una competencia del Estado para crear una sociedad digital en la que la confianza es un elemento fundamental.

Contribuir a la promoci髇 de un ciberespacio seguro y fiable, desde un enfoque multidisciplinar abarcando aspectos m醩 all� de los puramente t閏nicos, es una tarea que debe partir del conocimiento y comprensi髇 de las amenazas a las que nos podemos enfrentar, incluyendo nuevas y emergentes.

El segundo cap韙ulo, titulado 獿as amenazas y desaf韔s en el ciberespacio� determina las principales amenazas del ciberespacio que derivan de su condici髇 de espacio global com鷑, de la elevada tecnificaci髇 y de la gran conectividad que posibilita la amplificaci髇 del impacto ante cualquier ataque. Clasifica estas amenazas y desaf韔s en dos categor韆s: por un lado, las que amenazan a activos que forman parte del ciberespacio; y por otro, aquellos que usan el ciberespacio como medio para realizar actividades maliciosas e il韈itas de todo tipo.

El tercer cap韙ulo, titulado 玃rop髎ito, principios y objetivos para la ciberseguridad� aplica los principios rectores de la Estrategia de Seguridad Nacional 2017 (Unidad de acci髇, Anticipaci髇, Eficiencia y Resiliencia) a cinco objetivos espec韋icos. Su desarrollo, se plasma en el cuarto cap韙ulo titulado 獿韓eas de acci髇 y medidas�, donde se establecen siete l韓eas de acci髇 y se identifican las medidas para el desarrollo de cada una de ellas.

Dichas l韓eas de acci髇 se dirigen a: reforzar las capacidades ante las amenazas provenientes del ciberespacio; garantizar la seguridad y resiliencia de los activos estrat間icos para Espa馻; impulsar la ciberseguridad de ciudadanos y empresas; reforzar las capacidades de investigaci髇 y persecuci髇 de la cibercriminalidad, para garantizar la seguridad ciudadana y la protecci髇 de los derechos y libertades en el ciberespacio; impulsar la ciberseguridad de ciudadanos y empresas; potenciar la industria espa駉la de ciberseguridad, y la generaci髇 y retenci髇 de talento, para el fortalecimiento de la autonom韆 digital; contribuir a la seguridad del ciberespacio en el 醡bito internacional, promoviendo un ciberespacio abierto, plural, seguro y confiable en apoyo de los intereses nacionales y desarrollar una cultura de ciberseguridad de manera que se contribuya al Plan Integral de Cultura de Seguridad Nacional.

El quinto cap韙ulo, titulado 獿a ciberseguridad en el Sistema de Seguridad Nacional� define la arquitectura org醤ica de la ciberseguridad. Bajo la direcci髇 del Presidente del Gobierno, la estructura se compone de tres 髍ganos: el Consejo de Seguridad Nacional, como Comisi髇 Delegada del Gobierno para la Seguridad Nacional; el Consejo Nacional de Ciberseguridad, que apoya al Consejo de Seguridad Nacional y asiste al Presidente del Gobierno en la direcci髇 y coordinaci髇 de la pol韙ica de Seguridad Nacional en el 醡bito de la ciberseguridad, y fomenta las relaciones de coordinaci髇, colaboraci髇 y cooperaci髇 entre Administraciones P鷅licas y entre estas y el sector privado, y el Comit� de Situaci髇 que, con el apoyo del Departamento de Seguridad Nacional, apoyar� a la gesti髇 de las situaciones de crisis en cualquier 醡bito, que por su transversalidad o dimensi髇, desborden las capacidades de respuesta de los mecanismos habituales.

Se complementa este sistema con la Comisi髇 Permanente de Ciberseguridad, que facilita la coordinaci髇 interministerial a nivel operacional en el 醡bito de la ciberseguridad, siendo el 髍gano que asistir� al Consejo Nacional de Ciberseguridad sobre aspectos relativos a la valoraci髇 t閏nica y operativa de los riesgos y amenazas a la ciberseguridad; las autoridades p鷅licas competentes y CSIRT (Computer Security Incident Response Team) de referencia nacional, y se incorpora la creaci髇 de un elemento novedoso de colaboraci髇 p鷅lico privada, el foro Nacional de Ciberseguridad.

Asimismo, en este 鷏timo cap韙ulo, se exponen a modo de conclusi髇, unas consideraciones finales y se concretan los mecanismos para la actualizaci髇 y evaluaci髇 de la Estrategia.

Introducci髇

La Estrategia Nacional de Ciberseguridad 2019 establece la posici髇 de Espa馻 ante una nueva concepci髇 de la ciberseguridad en el marco de la Pol韙ica de Seguridad Nacional.

En 2013 se aprob� la primera Estrategia Nacional de Ciberseguridad en Espa馻. El documento fijaba las directrices y l韓eas generales de actuaci髇 para hacer frente al desaf韔 que supone, para el pa韘, la vulnerabilidad del ciberespacio. Adem醩, la estrategia dise馻ba el modelo de gobernanza para la ciberseguridad nacional. Igualmente, en estos a駉s, Espa馻 ha seguido avanzando en sus esfuerzos por contribuir a la promoci髇 de un ciberespacio seguro y fiable.

Uno de sus pilares, creado en el a駉 2014, es el Consejo Nacional de Ciberseguridad, 髍gano de apoyo del Consejo de Seguridad Nacional. Desde su primera reuni髇, el Consejo Nacional de Ciberseguridad ha asumido la tarea de coordinar los organismos con competencia en la materia a nivel nacional y el desarrollo del Plan Nacional de Ciberseguridad y sus planes derivados. As�, hoy Espa馻 cuenta con organismos especializados en ciberseguridad y una posici髇 destacada a nivel europeo e internacional.

El marco jur韉ico tambi閚 ha experimentado una notable adaptaci髇. En respuesta a su evoluci髇 y a la experiencia acumulada en estos a駉s, en 2015 se public� la modificaci髇 del Esquema Nacional de Seguridad para garantizar la seguridad de los sistemas del Sector P鷅lico. Por otro lado, la entrada en vigor del Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de informaci髇, que transpone al ordenamiento jur韉ico espa駉l la Directiva (UE) 2016/1148 (conocida como Directiva NIS), ha supuesto un importante hito en la mejora de la ciberseguridad en nuestro pa韘, extendiendo el alcance de esta Directiva con el objetivo de mejorar la ciberseguridad de todos los sectores estrat間icos.

La Ley 36/2015, de 28 de septiembre, de Seguridad Nacional se promulg� con vocaci髇 de dar impulso a uno de los proyectos de mayor responsabilidad para un gobierno, la Seguridad Nacional. La Ley de Seguridad Nacional contempla la ciberseguridad como 醡bito de especial inter閟.

Se puede afirmar, sin lugar a dudas, que la ciberseguridad ha modernizado la Seguridad Nacional, trat醤dose de uno de los 醡bitos de mayor avance hasta la fecha. Esta din醡ica debe seguir su camino adelante.

La Estrategia de Seguridad Nacional 2017 marca un punto de inflexi髇 en el pensamiento estrat間ico nacional, donde la ciberseguridad debe ocupar un espacio propio y diferencial.

Una de las tendencias globales identificadas en la Estrategia, la digitalizaci髇, se muestra como motor del cambio con implicaciones para la seguridad. La Estrategia establece un esquema novedoso, con cinco objetivos generales que resultan transversales a todos los 醡bitos. La gesti髇 de crisis, la cultura de Seguridad Nacional, los espacios comunes globales, el desarrollo tecnol骻ico y la proyecci髇 internacional de Espa馻 conforman una matriz estrat間ica donde la ciberseguridad est� llamada a abrir nuevas v韆s hacia el modelo de presente y futuro de la seguridad en Espa馻.

La nueva ciberseguridad se extiende m醩 all� del campo meramente de la protecci髇 del patrimonio tecnol骻ico para adentrarse en las esferas pol韙ica, econ髆ica y social.

Adem醩 de las acciones para causar efectos en los sistemas digitales, se debe tener en cuenta la concepci髇 del ciberespacio como un vector de comunicaci髇 estrat間ica, que puede ser utilizado para influir en la opini髇 p鷅lica y en la forma de pensar de las personas a trav閟 de la manipulaci髇 de la informaci髇, las campa馻s de desinformaci髇 o las acciones de car醕ter h韇rido. Su potencial aplicaci髇 en situaciones muy diversas, donde se incluyen los procesos electorales, genera un elevado grado de complejidad.

Ante esta visi髇 renovada de un 醡bito que se entiende extendido funcionalmente, y para el que la colaboraci髇 p鷅lico-privada es un elemento clave, resulta necesaria una nueva aproximaci髇, una nueva estrategia nacional de ciberseguridad.

CAP蚑ULO 1

El ciberespacio como espacio com鷑 global

Este cap韙ulo presenta las oportunidades y desaf韔s del ciberespacio y la infraestructura digital, expone el car醕ter inherentemente internacional de la aproximaci髇 a su seguridad y describe los principales rasgos de la nueva concepci髇 de la ciberseguridad en Espa馻.

El ciberespacio: oportunidades y desaf韔s:

El ciberespacio es un espacio com鷑 global caracterizado por su apertura funcional y su dinamismo. La ausencia de soberan韆, su d閎il jurisdicci髇, la facilidad de acceso y la dificultad de atribuci髇 de las acciones que en 閘 se desarrollan definen un escenario que ofrece innumerables oportunidades de futuro, aunque tambi閚 presenta serios desaf韔s a la seguridad.

Por una parte, el ciberespacio posibilita la conectividad universal y facilita el libre flujo de informaci髇, servicios e ideas. Se constituye as� en un 醡bito que estimula el emprendimiento, potencia el progreso socioecon髆ico y ofrece cada d韆 nuevas posibilidades en todos los sectores de actividad. El cambio que la transformaci髇 digital provoca en los procesos productivos se manifiesta a escala global y a un ritmo sin precedentes. La inteligencia artificial, la rob髏ica, el big data, el blockchain y el internet de las cosas son ya una realidad, si bien el verdadero potencial transformador est� todav韆 por descubrir. Sus implicaciones van m醩 all� de la dimensi髇 tecnol骻ica, se extienden hacia nuevos modelos sociales y se adentran en el campo de las relaciones personales y la 閠ica.

Por otra parte, la digitalizaci髇 transforma la seguridad y presenta serios desaf韔s. El ciberespacio se configura como campo de batalla donde la informaci髇 y la privacidad de los datos son activos de alto valor en un entorno de mayor competici髇 geopol韙ica, reordenaci髇 del poder y empoderamiento del individuo. As�, la creciente conectividad y la mayor dependencia de las redes y sistemas, as� como de componentes, objetos y dispositivos digitales, generan vulnerabilidades y dificultan la adecuada protecci髇 de la informaci髇.

Infraestructura digital:

Adem醩 de su naturaleza virtual, el ciberespacio se sustenta en elementos f韘icos y l骻icos. Los dispositivos, componentes y sistemas que constituyen las redes y sistemas de informaci髇 y comunicaciones est醤 expuestos a disfunciones que alteran su correcto funcionamiento y a acciones deliberadas con fines malintencionados, que ponen en riesgo el funcionamiento de las infraestructuras cr韙icas y de los servicios esenciales que dependen de los sistemas y redes digitales asociadas.

Este riesgo se ve amplificado por la prevalencia de criterios comerciales frente a los de seguridad en el dise駉 de los productos hardware y software, as� como de los sistemas y de los servicios, algo que dificulta los procesos de certificaci髇 y puede comprometer la cadena de suministro.

Todos estos elementos, unidos a la creciente interconectividad entre sistemas pueden originar efectos en cascada con resultados impredecibles.

Plano internacional: seguridad en el ciberespacio:

La seguridad en el ciberespacio se ha convertido en un objetivo prioritario en las agendas de los gobiernos con el fin de garantizar su seguridad nacional y de crear una sociedad digital basada en la confianza. En este contexto, Espa馻 defiende su visi髇 e intereses como naci髇 y contribuye al esfuerzo conjunto de la comunidad internacional en su apuesta por un ciberespacio abierto, plural y seguro.

Espa馻 contin鷄 participando activamente en todas las instituciones en las que la ciberseguridad ocupa un lugar destacado, en especial en el marco de la Uni髇 Europea, la Alianza Atl醤tica y de Naciones Unidas, demostrando as� el compromiso con sus socios y aliados. Asimismo, se mantienen v韓culos con terceros Estados mediante mecanismos de cooperaci髇 bilateral que facilitan elementos de entendimiento y confianza mutua basados en las relaciones fluidas en el 醡bito de la ciberseguridad y orientados hacia la construcci髇 de capacidades.

Consciente de la importancia del multilateralismo, adem醩 del Derecho Internacional y las normas no vinculantes de comportamiento responsable de los Estados, se destaca el papel de La Carta de Naciones Unidas como principio de referencia para la prevenci髇 de conflictos, la cooperaci髇 y la estabilidad en el ciberespacio. La construcci髇 de consensos y las medidas de fomento de confianza constituyen la base para su aplicaci髇 y puesta en pr醕tica, as� como los Tratados y Convenios Internacionales en los que Espa馻 es parte.

Una nueva concepci髇 del ciberespacio:

Es una dimensi髇 fundamental para la estabilidad el preservar la defensa de los valores y principios constitucionales y democr醫icos, as� como los derechos fundamentales de los ciudadanos en el ciberespacio, especialmente en la protecci髇 de sus datos personales, su privacidad, su libertad de expresi髇 y el acceso a una informaci髇 veraz y de calidad.

El buen entendimiento de este planteamiento, exige trabajar con un enfoque multidisciplinar que abarque aspectos m醩 all� de los puramente t閏nicos, bajo el principio de direcci髇 centralizada y ejecuci髇 coordinada, con la afectaci髇 de la ciberseguridad a la Seguridad Nacional como competencia del Estado.

En primer lugar, el sector privado juega un papel relevante como uno de los gestores y propietarios de los activos digitales de Espa馻, por lo que las capacidades de ciberseguridad del pa韘 residen en gran medida en las de sus empresas. Es por tanto necesario el apoyo, la promoci髇 y la inversi髇 en ciberseguridad para impulsar la competitividad y el crecimiento econ髆ico, a la vez que proporcionar un entorno digital seguro y fiable.

Por otra parte, se debe aspirar a incrementar la autonom韆 tecnol骻ica mediante el fomento de una base industrial nacional de ciberseguridad, la I+D+i y la gesti髇 del talento tecnol骻ico. En efecto, el recurso humano contin鷄 siendo un factor cr韙ico. Existe una diferencia importante entre el n鷐ero de puestos de trabajo para los que es necesaria una alta especializaci髇 en las tecnolog韆s de la informaci髇, en concreto en ciberseguridad, y las personas disponibles con el nivel de conocimiento o de formaci髇 requerida.

En segundo lugar, la transici髇 de un modelo de ciberseguridad de car醕ter preventivo y defensivo hacia un esquema que incorpore elementos de mayor fuerza disuasoria obedece a un contexto global de mayor competencia geopol韙ica. El empleo del ciberespacio como dominio de confrontaci髇, de forma independiente o como parte de una acci髇 h韇rida, es un rasgo ampliamente reconocido. La disuasi髇 en ciberseguridad requiere la obtenci髇 y potenciaci髇 de capacidades de ciberdefensa, como elemento fundamental de la acci髇 del Estado.

En tercer lugar, la r醦ida evoluci髇 de las ciberamenazas aconseja una aproximaci髇 m醩 proactiva de la ciberinteligencia. Su integraci髇 en el esquema conjunto de la ciberseguridad es un elemento clave para el conocimiento de la situaci髇 y la necesaria alerta temprana que permita anticiparse a las acciones de los potenciales adversarios a trav閟 del conocimiento de sus capacidades, t閏nicas, t醕ticas e intenciones. As� mismo, es necesario fomentar el empleo de mecanismos y medios que permitan una oportuna investigaci髇 y persecuci髇 de los autores para incrementar las posibilidades de atribuci髇.

A todo lo anterior se une la necesidad de una mayor implicaci髇 de toda la sociedad mediante el fomento de una cultura de ciberseguridad, para evolucionar desde la concienciaci髇 al compromiso, en el entendimiento de que el ciudadano es corresponsable de la ciberseguridad nacional.

CAP蚑ULO 2

Las amenazas y desaf韔s en el ciberespacio

En este cap韙ulo se examinan las principales amenazas y desaf韔s del ciberespacio a los que se enfrenta Espa馻.

La promoci髇 de un entorno seguro y fiable es una tarea que debe partir del conocimiento y la comprensi髇 de los desaf韔s y las amenazas, incluyendo las nuevas y emergentes que afectan al ciberespacio. La Estrategia de Seguridad Nacional de 2017 diferencia entre las ciberamenazas y las acciones que usan el ciberespacio como medio para realizar actividades maliciosas o il韈itas.

Ciberamenazas:

Las ciberamenazas son todas aquellas disrupciones o manipulaciones maliciosas que afectan a elementos tecnol骻icos. Abarcan un amplio abanico de acciones. Las ciberamenazas se caracterizan por su diversidad tanto en lo que concierne a capacidades como a motivaciones. Afectan a la pr醕tica totalidad de los 醡bitos de la Seguridad Nacional, como la Defensa Nacional, la seguridad econ髆ica o la protecci髇 de las infraestructuras cr韙icas, entre otros, y no distinguen fronteras.

Su car醕ter transversal, exige que la ciberseguridad sea afrontada con una perspectiva integral que comprenda a las Administraciones P鷅licas, al sector p鷅lico y privado y a la sociedad en su conjunto, en tanto puede tener implicaciones simult醤eas en aspectos tan diversos como la soberan韆, los derechos fundamentales, la defensa, la econom韆 y el desarrollo tecnol骻ico.

En este escenario, las defensas deben evolucionar continuamente para ir adapt醤dose a una amenaza que lleva la iniciativa y que se multiplica por el efecto llamada que genera su alto grado de impunidad. Todo ello, mientras la superficie a defender se incrementa y complica cada d韆.

En este sentido, la seguridad de las redes y sistemas de informaci髇 requiere potenciar las medidas de prevenci髇, detecci髇 y respuesta, fomentando la seguridad por dise駉 y por defecto, que debe estar incorporada tanto en el desarrollo de productos y servicios tecnol骻icos, como en su actualizaci髇 o manera de utilizaci髇.

Acciones que usan el ciberespacio para fines maliciosos:

Las tecnolog韆s digitales dan entrada a nuevas actividades y formas de negocio que requieren ser debidamente reguladas, pues pueden afectar a la estabilidad y al ejercicio de derechos y libertades, presentando sustanciales amenazas y desaf韔s para la Seguridad Nacional. Igualmente, las mismas cualidades que hacen del ciberespacio un motor del progreso, pueden ser explotadas con fines perniciosos al sumarse a las excepcionales facilidades que concede para el anonimato, la suplantaci髇 y la amplificaci髇.

Debido a la revoluci髇 de Internet, Estados, grupos organizados, colectivos y hasta individuos aislados pueden alcanzar un nivel de poder y una capacidad de influir impensable en otros tiempos. La conectividad digital lleva a que los movimientos sociales globales tengan una importancia estrat間ica hasta hace poco subestimada.

Las acciones que usan el ciberespacio como medio para realizar actividades maliciosas o il韈itas incluyen las relacionadas con el ciberespionaje y la cibercriminalidad.

El ciberespionaje es un m閠odo relativamente econ髆ico, r醦ido y con menos riesgos que el espionaje tradicional, dada la dificultad de atribuci髇 de la autor韆. Las mayores capacidades corresponden principalmente a actores estatales (organismos de inteligencia o militares), que fundamentalmente operan a trav閟 de las denominadas Amenazas Persistentes Avanzadas (APT). Un tipo de amenaza en la que el adversario posee sofisticados niveles de conocimiento y de recursos e infraestructuras para, mediante m鷏tiples tipos de ataques, interactuar sobre sus objetivos por un extenso periodo de tiempo, adaptarse a los esfuerzos del defensor para resistir, as� como mantener el nivel de interacci髇 para ejecutar sus objetivos.

Asimismo, se constata una tendencia creciente de las denominadas amenazas h韇ridas, acciones coordinadas y sincronizadas dirigidas a atacar de manera deliberada las vulnerabilidades sist閙icas de los estados democr醫icos y las instituciones, a trav閟 de una amplia gama de medios, tales como acciones militares tradicionales, ciberataques, operaciones de manipulaci髇 de la informaci髇, o elementos de presi髇 econ髆ica. Actores estatales y no estatales, bien de forma directa o a trav閟 de intermediarios, explotan las facilidades que ofrece Internet para la desinformaci髇 y propaganda y un inter閟 generalizado en la obtenci髇 y desarrollo de capacidades militares para operar en el ciberespacio, incluyendo en muchos casos capacidades ofensivas.

La cibercriminalidad, por su parte, es un problema de seguridad ciudadana de primer orden, representando una de las amenazas m醩 extendidas y generalizadas, que se materializa de forma continua y que victimiza cada vez de manera m醩 importante a miles de instituciones, empresas y ciudadanos. El t閞mino Cibercriminalidad, hace referencia al conjunto de actividades il韈itas cometidas en el ciberespacio que tienen por objeto los elementos, sistemas inform醫icos o cualesquiera otros bienes jur韉icos, siempre que en su planificaci髇, desarrollo y ejecuci髇 resulte determinante la utilizaci髇 de herramientas tecnol骻icas; en funci髇 de la naturaleza del hecho punible en s�, de la autor韆, de su motivaci髇, o de los da駉s infligidos, se podr� hablar as� de ciberterrorismo, de ciberdelito, o en su caso, de hacktivismo.

El empleo de nuevas modalidades de transacci髇 financiera y econ髆ica, como las criptomonedas, para el tr醘ico y el comercio de bienes y prestaci髇 de servicios il韈itos o la extorsi髇, el fraude y la falsificaci髇 de medios de pago no monetarios, constituyen un serio desaf韔 a la seguridad por su sofisticaci髇 y complejidad. Estos pueden ser utilizados en el blanqueo de capitales y la evasi髇 de impuestos y representan una fuente de ingresos para el crimen organizado y por lo tanto son facilitadores de otras actividades como la financiaci髇 del terrorismo, que toma provecho de la dificultad de seguimiento que estas nuevas t閏nicas ofrecen.

Los ciberdelincuentes operan bajo esquemas de crimen organizado y contin鷄n explorando de manera incesante t閏nicas sobre las que construir modelos de negocio lucrativo y de bajo riesgo, amparados por la dif韈il trazabilidad de sus acciones.

Los grupos terroristas tratan de aprovechar las vulnerabilidades del ciberespacio para realizar ciberataques o para actividades de radicalizaci髇 de individuos y colectivos, financiaci髇, divulgaci髇 de t閏nicas y herramientas para la comisi髇 de atentados, y de reclutamiento, adiestramiento o propaganda. 蚽timamente relacionado con ello, se halla la amenaza contra las infraestructuras cr韙icas, con la posibilidad cierta de causar un colapso a trav閟 de las redes mediante una ca韉a en cadena de los servicios esenciales.

Los grupos hacktivistas realizan ciberataques por razones ideol骻icas y, aprovech醤dose en ocasiones de productos, servicios y herramientas disponibles en el ciberespacio, buscan desarrollar ataques con un gran impacto medi醫ico o social.

Tampoco se puede menospreciar la amenaza que entra馻 el incremento continuado de la contrataci髇 de servicios de cibercriminales, las organizaciones que buscan causar da駉 a sus competidores y los recursos tecnol骻icos y humanos internos que puedan resultar da駃nos para las organizaciones, sin olvidar todas aquellas amenazas emergentes y las acciones resultantes de la falta de cultura de ciberseguridad.

Por otra parte, la informaci髇 digital se ha convertido en un activo de alto valor a馻dido. El an醠isis de los datos personales que circulan en la red se aprovecha para m鷏tiples fines que abarca desde estudios sociol骻icos hasta campa馻s comerciales. El empleo malintencionado de datos personales y las campa馻s de desinformaci髇 tienen un alto potencial desestabilizador en la sociedad, y la explotaci髇 de brechas en los datos personales supone una violaci髇 a la seguridad de dichos datos, que afecta a la privacidad de las personas y a la integridad y confidencialidad de sus datos.

En cuanto a las campa馻s de desinformaci髇, hacen uso de elementos como las noticias falsas para influir en la opini髇 p鷅lica. Internet y las redes sociales amplifican el efecto y alcance de la informaci髇 transmitida, con potencial aplicaci髇 en contra de objetivos como por ejemplo organizaciones internacionales, Estados, iniciativas pol韙icas o personajes p鷅licos o incluso a procesos electorales democr醫icos.

CAP蚑ULO 3

Prop髎ito, principios y objetivos para la ciberseguridad

En este cap韙ulo se establece el prop髎ito y los principios por los que se rige la Estrategia, as� como los objetivos: uno general y cinco espec韋icos.

Prop髎ito:

Espa馻 precisa, tal y como establece la Estrategia de Seguridad Nacional de 2017, garantizar un uso seguro y responsable de las redes y los sistemas de informaci髇 y comunicaciones a trav閟 del fortalecimiento de las capacidades de prevenci髇, detecci髇 y respuesta a los ciberataques potenciando y adoptando medidas espec韋icas para un contribuir a la promoci髇 de un ciberespacio seguro y fiable.

Por tanto, el prop髎ito de la Estrategia Nacional de Ciberseguridad 2019, es fijar las directrices generales del 醡bito de la ciberseguridad de manera que se alcancen los objetivos previstos en la Estrategia de Seguridad Nacional de 2017.

Para ello, Espa馻 ha de seguir avanzando en el refuerzo de capacidades para hacer frente a las ciberamenazas y el uso malicioso del ciberespacio. En consecuencia, se seguir醤 promoviendo medidas que ayuden a garantizar a nuestra naci髇 su seguridad, con especial atenci髇 al sector p鷅lico y los servicios esenciales, en un marco m醩 coordinado y con estructuras de cooperaci髇 mejoradas.

Por otra parte, el fomento de la cultura de ciberseguridad ha de ser uno de los ejes centrales a desarrollar a fin de contar con una sociedad m醩 conocedora de las amenazas y desaf韔s a las que se enfrenta. El derecho a hacer un uso seguro y fiable del ciberespacio y el contribuir a que as� sea, es una responsabilidad compartida.

Asimismo, la ciberseguridad es progreso, por lo que el apoyo e impulso de la industria espa駉la de ciberseguridad, la promoci髇 de un entorno que favorezca la investigaci髇, el desarrollo y la innovaci髇, y la participaci髇 del mundo acad閙ico tiene un car醕ter singular. Por otro lado, es un objetivo prioritario en nuestra sociedad alcanzar y mantener los conocimientos, habilidades, experiencia y capacidades tecnol骻icas y profesionales, ya que solo mediante su promoci髇 se podr� responder a los grandes retos de la ciberseguridad.

La transversalidad y globalidad del ciberespacio, requiere adem醩 de la cooperaci髇 y del cumplimiento del Derecho internacional, del m醲imo respeto a los principios recogidos en la Constituci髇 y en la Carta de Naciones Unidas; en coherencia con la Estrategia de Seguridad Nacional y con las iniciativas desarrolladas en el marco europeo, regional e internacional, prevaleciendo en todo momento los intereses nacionales.

Principios rectores:

La Estrategia Nacional de Ciberseguridad, se sustenta y se inspira en los principios rectores de la Seguridad Nacional: unidad de acci髇, anticipaci髇, eficiencia y resiliencia.

Unidad de Acci髇: Toda respuesta ante un incidente en el 醡bito de la ciberseguridad que pueda implicar a distintos agentes del Estado se ver� reforzada si es coherente, coordinada y se resuelve de manera r醦ida y eficaz, cualidades alcanzables a trav閟 de la adecuada preparaci髇 y articulaci髇 de la unidad de acci髇 del Estado.

Una gesti髇 centralizada de las crisis que afecten al ciberespacio, permite mantener una visi髇 completa de la situaci髇 de la amenaza y posibilita el empleo de los recursos disponibles de forma m醩 r醦ida, eficiente, coherente e integral.

Anticipaci髇: La especificidad del ciberespacio y de los actores implicados demanda que existan mecanismos de anticipaci髇 en organismos especializados que orienten la Acci髇 del Estado en situaciones de crisis, y en la que igualmente deber participar el sector privado.

La anticipaci髇 prima las actuaciones preventivas sobre las reactivas. Disponer de sistemas eficaces, con informaci髇 compartida lo m醩 pr髕imo al tiempo real, permite alcanzar un adecuado conocimiento de la situaci髇. Dicho factor resulta imprescindible para minimizar el tiempo de respuesta, lo que puede resultar cr韙ico para reducir los efectos de las amenazas.

Eficiencia: La ciberseguridad precisa del empleo de sistemas multiprop髎ito de gran valor y elevado nivel tecnol骻ico, que llevan asociadas unas necesidades muy exigentes y un alto coste derivado de su desarrollo, adquisici髇 y operaci髇. A lo anterior se suma la necesidad de una planificaci髇 anticipada y una elevada complejidad en su sostenimiento.

Adem醩, el escenario actual y futuro est� marcado por la austeridad econ髆ica, que unida a la responsabilidad social de obtener el m醲imo rendimiento de los recursos disponibles, obliga a orientar la acci髇 del Estado hacia la optimizaci髇 y la eficiencia de los dedicados a la ciberseguridad, por lo que resultar醤 indispensables la unidad de acci髇, compartici髇 de informaci髇 e integraci髇 de estos recursos para alcanzar la eficiencia deseada.

Resiliencia: La resiliencia es una caracter韘tica fundamental que deben poseer los sistemas e infraestructuras cr韙icas. El Estado est� obligado a asegurar la disponibilidad de los elementos que se consideren esenciales para la naci髇, mejorando su protecci髇 contra las ciberamenazas. Especial menci髇 merece el refuerzo que requieren las redes de informaci髇 y comunicaciones frente a actividades de las ciberamenazas o al uso il韈ito del ciberespacio.

Objetivo general:

Los nuevos retos de la ciberseguridad han requerido la adaptaci髇 de su objetivo general de manera que se muestre m醩 integrador, inclusivo y menos tecnificado.

En l韓ea con la Estrategia de Seguridad Nacional de 2017 y ampliando el objetivo para la ciberseguridad previsto en la misma, Espa馻 garantizar� el uso seguro y fiable del ciberespacio, protegiendo los derechos y las libertades de los ciudadanos y promoviendo el progreso socio econ髆ico.

Basados en este objetivo general, a continuaci髇, se fijan una serie de objetivos espec韋icos que orientan la acci髇 del Estado en este 醡bito.

Objetivo I

Seguridad y resiliencia de las redes y los sistemas de informaci髇 y comunicaciones del sector p鷅lico y de los servicios esenciales

Es necesario consolidar un marco nacional coherente e integrado que ayude a garantizar la protecci髇 de la informaci髇 manejada por el sector p鷅lico y por los servicios esenciales, sus sistemas y servicios, as� como de las redes que los soportan. Este marco permitir� desarrollar e implantar servicios cada vez m醩 seguros y eficientes.

Para ello, es necesario implantar medidas de seguridad enfocadas a mejorar las capacidades de prevenci髇, detecci髇 y respuesta ante incidentes, desarrollando nuevas soluciones, reforzando la coordinaci髇 y adaptando en consecuencia el ordenamiento jur韉ico.

En particular, las acciones contra el ciberespionaje merecen especial menci髇 para asegurar la protecci髇 del Patrimonio Tecnol骻ico de Espa馻, entendido como aquellos activos materiales o inmateriales que sustentan la propiedad intelectual e industrial del sector empresarial, que conforman nuestro presente y condicionan el desarrollo futuro.

El sector p鷅lico y los operadores de servicios esenciales se deben involucrar activamente en un proceso de mejora continua respecto de la protecci髇 de sus sistemas de Tecnolog韆s de la Informaci髇 y las Comunicaciones basados en una vigilancia permanente de su exposici髇 a las amenazas. Estos agentes deben servir como modelo de buenas pr醕ticas en la gesti髇 de la ciberseguridad.

En aplicaci髇 del principio de responsabilidad compartida, el sector p鷅lico debe mantener estrechas relaciones con las empresas que gestionan los Sistemas de Tecnolog韆s de la Informaci髇 y las Comunicaciones relevantes para los intereses nacionales, intercambiando el conocimiento que permita una adecuada coordinaci髇 entre ambos y una cooperaci髇 efectiva que genere una sinergia apropiada dentro del entorno de la ciberseguridad.

El fortalecimiento de la ciberseguridad requiere un conocimiento sistem醫ico sobre el impacto de una potencial interrupci髇 o destrucci髇 de las redes y sistemas que proporcionan servicios esenciales, as� como m閠ricas del nivel de seguridad de estos sistemas que permitan la oportuna toma de decisiones seg鷑 su grado de exposici髇.

Objetivo II

Uso seguro y fiable del ciberespacio frente a su uso il韈ito o malicioso

El ciberespacio juega un papel cada vez m醩 importante tanto en la comisi髇 de hechos il韈itos o maliciosos como en su investigaci髇 para promover la confianza de los ciudadanos. Es necesario garantizar una adecuada persecuci髇 de los fen髆enos criminales que en 閘 se desarrollen.

Son tres los 醡bitos en los que se desenvuelve la lucha contra la cibercriminalidad: (i) el ciberespacio como objetivo directo de los hechos delictivos, o de la amenaza; (ii) el ciberespacio como medio clave para su comisi髇; y (iii) el ciberespacio como medio u objeto directo de investigaci髇 de cualquier tipo de hecho il韈ito.

Sobre la base de una regulaci髇 s髄ida y eficaz que refuerce y garantice la lucha contra la cibercriminalidad, es necesario el fortalecimiento de la cooperaci髇 judicial y policial, tanto nacional como internacional, as� como la asignaci髇 de recursos suficientes a los 髍ganos competentes en la materia y la capacitaci髇 de los profesionales que trabajan en este 醡bito.

Del mismo modo, es fundamental fomentar la colaboraci髇 y participaci髇 ciudadana, facilitando los procedimientos de acceso y transmisi髇 de la informaci髇 de inter閟 judicial y policial e identificando aspectos que requieran de una mejora en las capacidades de las instituciones policiales y de los organismos judiciales competentes.

Objetivo III

Protecci髇 del ecosistema empresarial y social y de los ciudadanos

Todas las personas y organizaciones tienen derecho a hacer un uso seguro del ciberespacio. Es por ello responsabilidad del Estado promover e impulsar las medidas para alcanzar y mantener un nivel suficiente de ciberseguridad, que proteja especialmente a los m醩 vulnerables y que permita el adecuado desarrollo socioecon髆ico de Espa馻.

La ciberseguridad es una responsabilidad compartida con los actores privados que, por acci髇 u omisi髇, puedan afectarla; y no es posible conseguirla sin su participaci髇. Por tanto, entre las medidas a impulsar deben estar aquellas que conduzcan a la necesaria cooperaci髇 para la seguridad com鷑.

La defensa de ciudadanos, aut髇omos y empresas debe ir m醩 all� de las medidas de autoprotecci髇 que ellos puedan tomar, por lo que es conveniente implantar medidas para su ciberdefensa activa. A la vez todos los usuarios del ciberespacio deben hacer un uso responsable de la tecnolog韆 a su alcance.

La acelerada adopci髇 por la sociedad de tecnolog韆s emergentes provoca que los riesgos evolucionen. Por ello, el intercambio permanente de conocimiento con los diferentes actores y el establecimiento de mecanismos de monitorizaci髇 para la protecci髇 del ecosistema empresarial y social ser醤 instrumentos que permitir醤 al Gobierno estar informado y tomar las decisiones oportunas para actualizar y adecuar las acciones resultado de la presente estrategia.

Objetivo IV

Cultura y compromiso con la ciberseguridad y potenciaci髇 de las capacidades humanas y tecnol骻icas

Para afrontar los desaf韔s que plantea la ciberseguridad, Espa馻 debe contar con recursos t閏nicos y humanos que le proporcionen la autonom韆 tecnol骻ica necesaria y la capacitaci髇 adecuada para el uso seguro del ciberespacio, situando a la ciberseguridad como habilitador clave para una naci髇 emprendedora.

Para ello, debe mejorar la ciberseguridad colectiva difundiendo la cultura de la ciberseguridad con la ayuda de organismos p鷅licos y privados y medios de comunicaci髇, potenciando mecanismos de informaci髇 y asistencia a los ciudadanos y fomentando espacios de encuentro entre la sociedad civil, administraciones y empresas.

Se debe tambi閚 contribuir al uso seguro y responsable de las Tecnolog韆s de la Informaci髇 y de las Comunicaciones promoviendo la capacitaci髇 en ciberseguridad de los profesionales adecuada a la demanda del mercado laboral, estimulando el desarrollo de los profesionales con habilidades propias, impulsando la formaci髇 y cualificaci髇 especializada, as� como las capacidades de generaci髇 de conocimiento, el desarrollo actividades de I+D+i en ciberseguridad y el fomento del uso de productos y servicios certificados.

Asimismo, merece especial atenci髇 la protecci髇 del patrimonio tecnol骻ico y de la propiedad industrial e intelectual. Para promover la soberan韆 tecnol骻ica y aprovechar las oportunidades que ofrece la transformaci髇 digital, se fomentar� e impulsar� la industria espa駉la de ciberseguridad y las mejores pr醕ticas en el desarrollo e implantaci髇 de sistemas de informaci髇 y comunicaciones.

Objetivo V

Seguridad del ciberespacio en el 醡bito internacional

Espa馻 promover� un ciberespacio abierto, plural, seguro y confiable tanto en sus relaciones bilaterales como en las organizaciones multilaterales, regionales e internacionales, y en los foros y conferencias, donde la ciberseguridad ocupa un lugar destacado.

Abogar� por la creaci髇 de un marco internacional para la prevenci髇 de conflictos, la cooperaci髇 y la estabilidad en el ciberespacio, en el que se apliquen los principios de La Carta de Naciones Unidas en su totalidad, el Derecho Internacional, los Derechos Humanos y el Derecho Humanitario B閘ico, as� como las normas no vinculantes sobre el comportamiento responsable de los Estados.

Consciente de la importancia del multilateralismo, considera relevante el papel de Naciones Unidas para avanzar en la construcci髇 de consensos que, junto a la adopci髇 y puesta en marcha de medidas de fomento de la confianza, la colaboraci髇 y participaci髇 de todos los actores implicados (Estados, sector privado, sociedad civil, usuarios y academia), constituyen la base para lograr seguridad y estabilidad en el ciberespacio y avanzar hacia su regulaci髇.

En l韓ea con nuestros socios europeos, reforzar� la confianza en Internet, en la transformaci髇 digital y en el desarrollo de las nuevas tecnolog韆s, contribuyendo a consolidar un ecosistema cibern閠ico europeo seguro que permita avances hacia el mercado 鷑ico digital. Para ello defender� un internet interoperativo, neutral, abierto y diverso, reflejo de la pluralidad cultural y lingstica internacional, basado en un sistema de gobernanza democr醫ico, representativo e inclusivo, resultado de la concertaci髇 y el consenso. Adem醩, un acceso a internet global y generalizado, contribuyendo con ello al cumplimiento de los Objetivos de Desarrollo Sostenible.

Del mismo modo, nuestra pertenencia a la Uni髇 Europea (UE), nos obliga a fortalecer la seguridad y la autonom韆 estrat間ica europea mediante la b鷖queda de sinergias, la cooperaci髇 t閏nica, operativa, estrat間ica y pol韙ica; a reforzar nuestra resiliencia, nuestra capacidad de respuesta ante las crisis y las complementariedades entre los 醡bitos civiles y militares como socios de la UE y aliados de la Organizaci髇 del Tratado del Atl醤tico Norte (OTAN).

Sobre la base de lo anterior, Espa馻 continuar� participando activamente en la UE y la OTAN; en Naciones Unidas, y en sus foros derivados como el Foro de Gobernanza de Internet (IGF); en la Organizaci髇 para la Seguridad y la Cooperaci髇 en Europa (OSCE), en el desarrollo e implementaci髇 de las Medidas de Fomento de la Confianza; en la Organizaci髇 de Estados Americanos (OEA). As� como con el Foro Global del Expertos en Ciberseguridad (GFCE) y la Coalici髇 por la Libertad en Internet (Freedom Online Coalition. FOC), sin olvidar nuestra presencia en el Centro Europeo de Excelencia para contrarrestar las Amenazas H韇ridas (Hybrid CoE), as� como en el Centro de Excelencia de Ciberdefensa Cooperativa de la OTAN (CCD CoE).

Adem醩, reforzar� la cooperaci髇 internacional bilateral en materia de ciberseguridad, promover� relaciones fluidas y de confianza en este 醡bito, colaborar� en la construcci髇 de capacidades en terceros Estados, prestando especial atenci髇 a las mujeres y los j髒enes y fomentar� la creaci髇 de canales de informaci髇 e intercambio de experiencias, impulsando, para todo ello, la adopci髇 de acuerdos bilaterales y multilaterales en este 醡bito.

CAP蚑ULO 4

L韓eas de acci髇 y medidas

En este cap韙ulo se establecen las l韓eas de acci髇 dirigidas a la consecuci髇 de los objetivos establecidos.

L韓ea de Acci髇 1. Reforzar las capacidades ante las amenazas provenientes del ciberespacio:

Esta l韓ea de acci髇 responde al Objetivo I de la Estrategia.

Medidas:

• 1. Ampliar y mejorar las capacidades de detecci髇 y an醠isis de las ciberamenazas de manera que se permita la identificaci髇 de procedimientos y or韌enes de ataque, as� como la elaboraci髇 de la inteligencia necesaria para una protecci髇, atribuci髇 y defensa m醩 eficaz.
• 2. Potenciar la colaboraci髇 de los centros de excelencia e investigaci髇 en la lucha contra las ciberamenazas.
• 3. Potenciar la creaci髇, difusi髇 y aplicaci髇 de mejores pr醕ticas, y la adopci髇 de est醤dares en materia de ciberseguridad.
• 4. Asegurar la coordinaci髇 t閏nica y operacional de los organismos con responsabilidades en ciberseguridad, las empresas y la sociedad.
• 5. Desarrollar y mantener actualizadas las normas, procedimientos e instrucciones de respuesta frente a incidentes de ciberseguridad, asegurando su integraci髇 en el Sistema de Seguridad Nacional.
• 6. Potenciar las capacidades de ciberdefensa y de ciberinteligencia.
• 7. Promover la participaci髇 de las empresas en plataformas sectoriales para el intercambio y an醠isis de informaci髇, as� como para la medida del riesgo sectorial y la propuesta de acciones que lo mitiguen, acompa馻das de requerimientos legales que las regulen.
• 8. Potenciar y apoyar los desarrollos realizados en la red de CSIRT espa駉la.
• 9. Impulsar el desarrollo de plataformas de notificaci髇, intercambio de informaci髇 y coordinaci髇 para la mejora de la ciberseguridad sectorial.
• 10. Desarrollar instrumentos de prevenci髇, detecci髇, respuesta, retorno a la normalidad y evaluaci髇 enfocados a la gesti髇 de crisis para el 醡bito de la ciberseguridad en el marco de la Seguridad Nacional.
• 11. Garantizar la coordinaci髇, la cooperaci髇 y el intercambio de informaci髇 sobre ciberincidentes e inteligencia de ciberamenazas entre el sector p鷅lico, el sector privado y los organismos internacionales competentes, fomentando la prevenci髇 y la alerta temprana.
• 12. Implantar medidas de ciberdefensa activa en el sector p鷅lico con el objetivo de mejorar las capacidades de respuesta.

L韓ea de Acci髇 2. Garantizar la seguridad y resiliencia de los activos estrat間icos para Espa馻:

Esta l韓ea de acci髇 responde al Objetivo I de la Estrategia.

Medidas:

• 1. Ampliar y fortalecer las capacidades de prevenci髇, detecci髇, respuesta, recuperaci髇 y resiliencia a los ciberataques dirigidos al sector p鷅lico, a los servicios esenciales y a empresas de inter閟 estrat間ico.
• 2. Potenciar el desarrollo de la normativa sobre protecci髇 de infraestructuras cr韙icas, reforzando la seguridad de las redes y sistemas de informaci髇 que las soportan.
• 3. Asegurar la plena implantaci髇 del Esquema Nacional de Seguridad, del Sistema de Protecci髇 de las Infraestructuras Cr韙icas, y el cumplimiento y armonizaci髇 de la normativa sobre protecci髇 de infraestructuras cr韙icas y servicios esenciales, con un enfoque prioritario basado en el riesgo.
• 4. Potenciar, en el marco de sus competencias, la progresiva implicaci髇 y creaci髇 de infraestructuras de ciberseguridad en las Comunidades Aut髇omas, las Ciudades Aut髇omas, las Entidades Locales y en sus organismos vinculados o dependientes que cooperar醤 y se coordinar醤 con las estructuras nacionales en pro de la mejora de la ciberseguridad nacional.
• 5. Desarrollar el Centro de Operaciones de Ciberseguridad de la Administraci髇 General del Estado que mejore las capacidades de prevenci髇, detecci髇 y respuesta, e impulsar el desarrollo de centros de operaciones de ciberseguridad en el 醡bito auton髆ico y local.
• 6. Reforzar la implantaci髇 de infraestructuras y servicios de telecomunicaciones y sistemas de informaci髇 horizontales comunes, y compartidos por las Administraciones P鷅licas, potenciando su uso y sus capacidades de seguridad y resiliencia, asegurando a la par, la coordinaci髇 con los primeros en aquellos casos que no se utilicen las infraestructuras y servicios comunes.
• 7. Impulsar el desarrollo de un sistema de m閠ricas de las principales variables de ciberseguridad que permita a las autoridades competentes determinar el nivel de seguridad y su evoluci髇.
• 8. Comprometer al sector p鷅lico y al privado en la gesti髇 de los riesgos de la cadena de suministro, especialmente en aquellos que afecte a la provisi髇 de servicios esenciales.
• 9. Desarrollar cat醠ogos de productos y servicios cualificados y certificados, para su empleo en los procesos de contrataci髇 del sector p鷅lico y de los servicios esenciales.
• 10. Reforzar las estructuras de seguridad y la capacidad de vigilancia de los sistemas de informaci髇 que manejan informaci髇 clasificada.
• 11. Promover la realizaci髇 de ciberejercicios y evaluaciones de ciberseguridad, especialmente en 醨eas que puedan afectar a la Seguridad Nacional, la Administraci髇 p鷅lica, los servicios esenciales y las empresas cotizadas.
• 12. Asegurar la protecci髇 de las Infraestructuras Cient韋ico-T閏nicas Singulares y los centros de referencia de I+D+i.

L韓ea de Acci髇 3. Reforzar las capacidades de investigaci髇 y persecuci髇 de la cibercriminalidad, para garantizar la seguridad ciudadana y la protecci髇 de los derechos y libertades en el ciberespacio:

Esta l韓ea de acci髇 responde al Objetivo II de la Estrategia.

Medidas:

• 1. Reforzar el marco jur韉ico para responder eficazmente a la cibercriminalidad, tanto en lo relativo a la definici髇 de tipos penales como en la regulaci髇 de adecuadas medidas de investigaci髇.
• 2. Fomentar la colaboraci髇 y participaci髇 ciudadana, articulando instrumentos de intercambio y transmisi髇 de informaci髇 de inter閟 policial, y promoviendo el desarrollo de campa馻s de prevenci髇 de la cibercriminalidad orientadas a ciudadanos y empresas.
• 3. Reforzar las acciones encaminadas a potenciar las capacidades de investigaci髇, atribuci髇, persecuci髇 y, en su caso, la actuaci髇 penal, frente a la cibercriminalidad.
• 4. Fomentar el traslado a los organismos competentes de la jurisdicci髇 penal de la informaci髇 relativa a incidentes de seguridad que presenten caracteres de delito, y especialmente de aquellos que afecten o puedan afectar a la provisi髇 de los servicios esenciales y a las infraestructuras cr韙icas.
• 5. Procurar a los operadores jur韉icos el acceso a informaci髇 y recursos materiales que aseguren una mejor aplicaci髇 del marco jur韉ico y t閏nico relacionado con la lucha contra la cibercriminalidad, y que les dote de mayores capacidades para la investigaci髇 y enjuiciamiento de los hechos il韈itos que correspondan.
• 6. Fomentar el intercambio de informaci髇, experiencia y conocimientos, entre el personal con responsabilidades en la investigaci髇 y persecuci髇 de la cibercriminalidad.
• 7. Asegurar a los profesionales del Derecho y a las Fuerzas y Cuerpos de Seguridad del Estado el acceso a los recursos humanos y materiales que les proporcionen el nivel necesario de conocimientos para la mejor aplicaci髇 del marco legal y t閏nico asociado.
• 8. Impulsar la coordinaci髇 de las investigaciones sobre cibercriminalidad y otros usos il韈itos del ciberespacio entre los distintos 髍ganos y unidades con competencia en esta materia.
• 9. Fortalecer la cooperaci髇 judicial y policial internacional.

L韓ea de Acci髇 4. Impulsar la ciberseguridad de ciudadanos y empresas:

Esta l韓ea de acci髇 responde al Objetivo III de la Estrategia.

Medidas:

• 1. Ofrecer a los ciudadanos y al sector privado un servicio p鷅lico de ciberseguridad integrado, de calidad y de f醕il acceso, y que sea un est韒ulo a la demanda de los servicios que ofrece el sector empresarial de la ciberseguridad.
• 2. Impulsar la ciberseguridad en las pymes, micropymes y aut髇omos mediante la articulaci髇 de pol韙icas p鷅licas en ciberseguridad, y especialmente con actuaciones dirigidas al fomento de la resiliencia.
• 3. Promover la ciberseguridad para garantizar la privacidad y protecci髇 de datos personales dentro del marco de los derechos digitales del ciudadano acorde con el ordenamiento jur韉ico, promoviendo la protecci髇 de la 玦dentidad digital�.
• 4. Crear mecanismos 醙iles y seguros de denuncia para el sector privado y ciudadanos.
• 5. Estimular la cooperaci髇 entre actores p鷅licos y privados, en particular promoviendo el compromiso de los Proveedores de Servicios de Internet y de Servicios Digitales para mejorar la ciberseguridad. Se impulsar� la regulaci髇 nacional en este sentido y se implantar醤 medidas de ciberdefensa activa de ciudadanos y pymes.
• 6. Desarrollar mecanismos para la medida agregada del riesgo y su evoluci髇, tanto de ciudadanos como de empresas, para priorizar medidas de ciberseguridad e informar adecuadamente a la sociedad.
• 7. Impulsar en el sector empresarial la implantaci髇 de est醤dares reconocidos de ciberseguridad. Estimular, junto con las entidades de normalizaci髇 nacional e internacional, la creaci髇, difusi髇 y aplicaci髇 de mejores pr醕ticas sectoriales en materia de ciberseguridad, incluidos diferentes esquemas de certificaci髇.
• 8. Impulsar la implantaci髇 de sistemas fiables de identificaci髇 electr髇ica y servicios electr髇icos de confianza.
• 9. Promover la creaci髇 del foro Nacional de Ciberseguridad, que integre a representantes de la sociedad civil, expertos independientes, sector privado, la academia, asociaciones, organismos sin 醤imo de lucro, entre otros, con el objetivo de potenciar y crear sinergias p鷅lico privadas, particularmente en la generaci髇 de conocimiento sobre las oportunidades y amenazas para la seguridad en el ciberespacio.

L韓ea de Acci髇 5. Potenciar la industria espa駉la de ciberseguridad, y la generaci髇 y retenci髇 de talento, para el fortalecimiento de la autonom韆 digital:

Esta l韓ea de acci髇 responde al Objetivo IV de la Estrategia.

Medidas:

• 1. Impulsar programas de apoyo a la I+D+i en seguridad digital y ciberseguridad en pymes, empresas, universidades y centros de investigaci髇, facilitando el acceso a programas de incentivos nacionales e internacionales y mediante programas de compra p鷅lica innovadora.
• 2. Dinamizar el sector industrial y de servicios de ciberseguridad, incentivando medidas de apoyo a la innovaci髇, a la inversi髇, a la internacionalizaci髇 y a la transferencia tecnol骻ica en especial en el caso de micropymes y pymes.
• 3. Incrementar las actividades nacionales para el desarrollo de productos, servicios y sistemas de ciberseguridad, y la seguridad desde el dise駉, apoyando espec韋icamente aquellas que sustenten necesidades de inter閟 nacional para fortalecer la autonom韆 digital, y la propiedad intelectual e industrial.
• 4. Promover las actividades de normalizaci髇 y la exigencia de requisitos ciberseguridad en los productos y servicios de Tecnolog韆s de la Informaci髇 y de las Comunicaciones, facilitar el acceso a productos y servicios que respondan a estos requisitos, promoviendo la evaluaci髇 de la conformidad y la certificaci髇, y apoyando la elaboraci髇 de cat醠ogos.
• 5. Actualizar, o en su caso desarrollar marcos de competencias en ciberseguridad, que respondan a las necesidades del mercado laboral.
• 6. Identificar las necesidades de capacidades profesionales de ciberseguridad, fomentando la colaboraci髇 con las instituciones educativas y formativas impulsando la formaci髇 continua, la formaci髇 para el empleo y universitaria, promoviendo sistemas de acreditaci髇 y certificaci髇 profesional.
• 7. Impulsar la inclusi髇 de perfiles profesionales de ciberseguridad en las relaciones de puestos de trabajo del sector p鷅lico.
• 8. Detectar, fomentar y retener el talento en ciberseguridad, con especial atenci髇 al campo de la investigaci髇.
• 9. Impulsar programas espec韋icos de I+D+i en ciberseguridad y ciberdefensa.

L韓ea de Acci髇 6. Contribuir a la seguridad del ciberespacio en el 醡bito internacional, promoviendo un ciberespacio abierto, plural, seguro y confiable, en apoyo de los intereses nacionales:

Esta l韓ea de acci髇 responde al Objetivo V de la Estrategia.

Medidas:

• 1. Potenciar y reforzar la presencia de Espa馻 en las organizaciones, conferencias y foros regionales e internacionales y a los que pertenece y en los que la ciberseguridad forma parte sustancial de sus agendas, y apoyar y participar de manera activa en las diferentes iniciativas, coordinando la posici髇 de los diferentes agentes nacionales implicados.
• 2. Promover en el 醡bito de Naciones Unidas la b鷖queda de consensos para el pleno respeto a la Carta de Naciones Unidas y la aplicaci髇 y puesta en pr醕tica del Derecho Internacional y las normas para el comportamiento responsable de los Estados. Y del mismo modo avanzar en la adopci髇 e implementaci髇 de Medidas para el Fomento de la Confianza en el ciberespacio.
• 3. Participar activamente en la Uni髇 Europea en el desarrollo de un ecosistema europeo seguro que favorezca el avance y la consolidaci髇 del mercado 鷑ico, y la seguridad y autonom韆 estrat間ica de Europa, buscando las complementariedades y la cooperaci髇 entre la Uni髇 Europea y la OTAN.
• 4. Fomentar el di醠ogo bilateral, la cooperaci髇 y los sistemas de intercambio de informaci髇, alerta temprana y de experiencias para desarrollar un enfoque coordinado en la lucha contra las ciberamenazas con otros pa韘es, promoviendo la negociaci髇 y firma de acuerdos internacionales.
• 5. Promover el desarrollo de capacidades tecnol骻icas y el acceso a internet en terceros pa韘es para contribuir con ello al cumplimiento de los Objetivos de Desarrollo Sostenible.
• 6. Desarrollar con los pa韘es de nuestro entorno una mayor conciencia sobre las Amenazas H韇ridas, limitando su impacto sobre la soberan韆 e integridad de nuestros pa韘es.

L韓ea de Acci髇 7. Desarrollar una cultura de ciberseguridad:

Las medidas incluidas en esta L韓ea de Acci髇 contribuir醤 al Plan de Cultura de Seguridad Nacional y responde al objetivo IV de la Estrategia.

Medidas:

• 1. Incrementar las campa馻s de concienciaci髇 a ciudadanos y empresas, y poner a su disposici髇 informaci髇 鷗il adaptada a cada perfil, especialmente en el 醡bito de los aut髇omos, peque馻s y medianas empresas.
• 2. Potenciar actuaciones encaminadas al incremento de la corresponsabilidad y obligaciones de la sociedad en la ciberseguridad nacional.
• 3. Impulsar iniciativas y planes de alfabetizaci髇 digital en ciberseguridad.
• 4. Promover la difusi髇 de la cultura de la ciberseguridad como una buena pr醕tica empresarial, y reconocer la implicaci髇 de las empresas en la mejora de la ciberseguridad colectiva como responsabilidad social corporativa.
• 5. Promover un esp韗itu cr韙ico en favor de una informaci髇 veraz y de calidad y que contribuya a la identificaci髇 de las noticias falsas y la desinformaci髇.
• 6. Concienciar a directivos de organizaciones, a los efectos de que habiliten los recursos necesarios y promuevan los proyectos de ciberseguridad que sus entidades puedan necesitar.
• 7. Promover la concienciaci髇 y formaci髇 en ciberseguridad en los centros de ense馻nza, adaptada a todos los niveles formativos y especialidades.
• 8. Buscar y reconocer la colaboraci髇 y participaci髇 de medios de comunicaci髇, para lograr un mayor alcance en las campa馻s dirigidas a ciudadanos y, en especial, a menores de edad.

CAP蚑ULO 5

La ciberseguridad en el Sistema de Seguridad Nacional

En este cap韙ulo se contempla la integraci髇 de la ciberseguridad en el actual Sistema de Seguridad Nacional.

La Estrategia de Ciberseguridad Nacional de 2013 y la posterior aprobaci髇 de la Ley de Seguridad Nacional de 2015 establecen una estructura org醤ica espec韋ica para la ciberseguridad. En la presente Estrategia de 2019 se impulsan iniciativas que complementan los nuevos avances en el modelo de gobernanza nacional con las pol韙icas europeas.

La estructura de la ciberseguridad en el marco del Sistema de Seguridad Nacional est� constituida por los siguientes componentes:

• 1. El Consejo de Seguridad Nacional.
• 2. El Comit� de Situaci髇, 鷑ico para el conjunto del Sistema de Seguridad Nacional ante situaciones de crisis.
• 3. El Consejo Nacional de Ciberseguridad.
• 4. La Comisi髇 Permanente de Ciberseguridad.
• 5. El Foro Nacional de Ciberseguridad.
• 6. Las Autoridades p鷅licas competentes y los CSIRT de referencia nacionales.

El Consejo de Seguridad Nacional:

El Consejo de Seguridad Nacional, en su condici髇 de Comisi髇 Delegada del Gobierno para la Seguridad Nacional, es el 髍gano al que corresponde asistir al Presidente del Gobierno en la direcci髇 de la Pol韙ica de Seguridad Nacional.

El Consejo de Seguridad Nacional act鷄, a trav閟 del Departamento de Seguridad Nacional como punto de contacto 鷑ico para ejercer una funci髇 de enlace y garantizar la cooperaci髇 transfronteriza con otros pa韘es de la Uni髇 Europea.

El Comit� de Situaci髇:

El Comit� de Situaci髇 tiene car醕ter 鷑ico para el conjunto del Sistema de Seguridad Nacional y actuar�, apoyado por el Departamento de Seguridad Nacional, de acuerdo con las directrices pol韙ico-estrat間icas dictadas por el Consejo de Seguridad Nacional en materia de gesti髇 de crisis.

El Consejo Nacional de Ciberseguridad:

El Consejo Nacional de Ciberseguridad da apoyo al Consejo de Seguridad Nacional para el cumplimiento de sus funciones y, en particular, en la asistencia al Presidente del Gobierno en la direcci髇 y coordinaci髇 de la Pol韙ica de Seguridad Nacional en el 醡bito de la ciberseguridad.

Entre sus funciones se encuentran reforzar las relaciones de coordinaci髇, colaboraci髇 y cooperaci髇 entre las distintas Administraciones P鷅licas con competencias en materia de ciberseguridad, as� como entre los sectores p鷅lico y privado, y facilitar la toma de decisiones del propio Consejo mediante el an醠isis, estudio y propuesta de iniciativas tanto en el 醡bito nacional como en el internacional, as� como realizar la valoraci髇 de los riesgos y amenazas, analizar los posibles escenarios de crisis, estudiar su posible evoluci髇, elaborar y mantener actualizados los planes de respuesta y formular directrices para la realizaci髇 de ejercicios de gesti髇 de crisis en el 醡bito de la ciberseguridad y evaluar los resultados de su ejecuci髇, todo ello en coordinaci髇 con los 髍ganos y autoridades directamente competentes.

La Comisi髇 Permanente de Ciberseguridad:

La Comisi髇 Permanente de Ciberseguridad se establece con objeto de facilitar la coordinaci髇 interministerial a nivel operacional en el 醡bito de la ciberseguridad. Presidida por el Departamento de Seguridad Nacional, se compone de aquellos 髍ganos y organismos representados en el Consejo Nacional de Ciberseguridad con responsabilidades operativas. Es el 髍gano al que corresponde asistir al Consejo Nacional de Ciberseguridad sobre aspectos relativos a la valoraci髇 t閏nica y operativa de los riesgos y amenazas a la ciberseguridad.

El funcionamiento de la Comisi髇 se enmarca en el procedimiento de gesti髇 de crisis en el 醡bito de la ciberseguridad. Dicho procedimiento establece sus funciones dirigidas a detectar y valorar los riesgos y amenazas; facilitar el proceso de toma de decisiones y asegurar una respuesta 髉tima y coordinada de los recursos del Estado. Adem醩, incluye los diferentes niveles de activaci髇 del Sistema de Seguridad Nacional, e instrucciones para la gesti髇 de la comunicaci髇 p鷅lica.

A fin de responder de manera oportuna y proporcionada a situaciones de especial relevancia en el desarrollo de sus funciones, se progresar� en la definici髇 de sus capacidades y responsabilidades.

Foro Nacional de Ciberseguridad:

Actuar� en la potenciaci髇 y creaci髇 de sinergias p鷅lico privadas, particularmente en la generaci髇 de conocimiento sobre las oportunidades y los desaf韔s y amenazas a la seguridad en el ciberespacio.

La puesta en marcha del foro Nacional de Ciberseguridad, y la armonizaci髇 de su funcionamiento con los 髍ganos existentes, se realizar� mediante la aprobaci髇 de las disposiciones normativas necesarias, con el objetivo de alcanzar el funcionamiento coordinado y eficiente de estos componentes en el Sistema de Seguridad Nacional.

Autoridades p鷅licas competentes y los CSIRT de referencia nacionales:

El marco estrat間ico e institucional de la ciberseguridad se complementa con las autoridades p鷅licas competentes en materia de seguridad de las redes y sistemas de informaci髇 y los CSIRT de referencia nacional que se recogen en el marco jur韉ico nacional.

Asimismo, los CSIRT de las Comunidades Aut髇omas, de las Ciudades Aut髇omas, de las Entidades Locales y sus organismos vinculados o dependientes, los de las entidades privadas, la red de CSIRT.es y otros servicios de ciberseguridad relevantes deber醤 estar coordinados con los anteriores en funci髇 de las competencias de cada uno de ellos. De igual modo, desde los CSIRT nacionales, en colaboraci髇 con los CSIRT auton髆icos y privados, se fomentar� la puesta en marcha de iniciativas que contribuyan a la consecuci髇 de los objetivos de la estrategia nacional.

Consideraciones finales y evaluaci髇:

La experiencia adquirida desde la Estrategia de Ciberseguridad Nacional de 2013, ha permitido plasmar en el presente documento una actualizaci髇 de las amenazas y los desaf韔s a las que nos enfrentamos, siempre en continua evoluci髇. Para adecuarse a este nuevo escenario cambiante, se proponen un conjunto de L韓eas de Acci髇 y medidas m醩 din醡icas que permitan, si fuese necesario, una r醦ida adaptaci髇 del ecosistema de ciberseguridad nacional, basadas en un modelo de gobernanza con una considerable madurez, donde debe participar activamente el sector privado y el resto de la sociedad civil.

En este sentido, la Estrategia se concibe como un documento vivo que ha de adaptarse a la evoluci髇 de la ciberseguridad, por lo que deber� ser objeto de revisi髇 continua, como tambi閚 los planes espec韋icos y sectoriales que de ella se deriven. Se elaborar� un informe anual de evaluaci髇 de la Estrategia donde figurar� el grado de ejecuci髇 y cumplimiento de sus objetivos.

Por otro lado, a la vista del incremento de las amenazas y desaf韔s a la ciberseguridad y c髆o los afrontan pa韘es de nuestro entorno, resulta cada vez m醩 urgente dotarse de recursos econ髆icos, humanos y materiales para hacer frente a los mismos. Una de las acciones especialmente relevantes en este marco es que el Centro de Operaciones de Ciberseguridad de la Administraci髇 General del Estado se encuentre adecuadamente dotado.