Sare Nazionalari Buruz
CCN-CERTek, tradizionalki, hainbat tamainatako zibersegurtasuneko eragiketa zentro batzuetan lagundu eta kolaboratu izan du, ministerioetan, aldundietan, kabildoetan edo toki erakundeetan. Eta, azkenaldian, funtsezko zerbitzuen operadoreak gehitu izan zaizkie horiei. Dinamika horretan, zibersegurtasuneko eragiketa zentroak elkarrekin konektatuko zituen tresna bat sortzeko beharra agertu zen, zibererasoaren susmagarri den edozein saiakera berehala eten ahal izateko, benetan halako erasoa zen ala ez zehaztu aurretik ere:
Gero, 2020. urtearen amaieran, Europako Batzordeak Hamarkada Digitalerako Zibersegurtasuneko Estrategia abiarazi zuen. Estrategia horretan, rol garrantzitsua hartzen du adimen artifizialeko tresnetan oinarritutako zibersegurtasuneko eragiketa zentroen Europako sare batek. Batzordearen justifikazioa da Europak ransomware pandemia bat jasan zuela eta Europan zegoen CSIRT sarea ez zela hura geldiarazteko gai izan. Beraz, zibersegurtasuneko eragiketa zentroetan fokalizatu nahi zen orain detekzioa.
Hori guztia dela eta, CCN-CERTek Zibersegurtasuneko Eragiketa Zentroen Sare Nazionala sortu du. Sare hori plataforma bat da, eta hor daude bilduta Espainiako Administrazioko erakunde publiko guztien zibersegurtasuneko eragiketa zentroak, zibersegurtasuneko eragiketa zentroen zerbitzu horiek ematen dituzten erakunde hornitzaileekin eta horien onura jasotzen duten erakunde publikoekin batera.
Haren helburu nagusia da bere kideen babes ahalmena sustatzea, Administrazioaren edozein puntutan detektatzen ari den jarduera anomaloaren edozein zantzu ia berehala blokeatzeko.
Erakunde parte-hartzaileak
Zibersegurtasuneko Eragiketa Zentroen Sare Nazionalari kategoria hauetako erakundeak atxiki ahal izango zaizkio:
Erakunde publikoak
Espainiako Administrazio publikoaren organismoak. Oro har, kontratatutako hornitzaileek ematen dituzte haien segurtasun zerbitzuak.
Erakunde hornitzaileak
Espainiako Administrazio publikoko erakunderen bati zibersegurtasun zerbitzuak edo zibersegurtasuneko eragiketa zentroaren zerbitzuak (inplementazioa, operazioa, mantentze lanak...) ematen dizkioten enpresak.
Erakunde gonbidatuak
Aurreko bi kategorietako baldintzak betetzen ez dituzten erakundeak, baina Sare Nazionalean trukatutako informazioa eskuratzeko aukera eman nahi zaienak.
Erakunde publikoak eta hornitzaileak zibersegurtasuneko eragiketa zentroen bidez erlazionatzen dira elkarren artean, eta honako egoera hauek gerta daitezke:
Zibersegurtasuneko eragiketa zentro pribatua, hornitzaile batena, Administrazio publiko bati edo batzuei zerbitzua ematen diena. Haren arduraduna, beraz, enpresako pertsona bat izango da. Eta izena enpresa horri lotuta egongo da («zibersegurtasuneko eragiketa zentro» esan nahi duen gaztelaniazko SOC sigla erabiliz). Adibidez: SOC AEnpresa
Zibersegurtasuneko eragiketa zentro publikoa, hornitzaile batek edo batzuek ematen dutena (edo are bertako langileek ere), eta administrazio publiko bat edo batzuk estaltzen dituena. Arduraduna enplegatu publikoa izango da. Eta izena administrazio publikoari lotuta egongo da («zibersegurtasuneko eragiketa zentro» esan nahi duen gaztelaniazko SOC sigla erabiliz). Adibidez: SOC BMinisterioa
Gainera, gaur egun, erakunde hornitzaileek maila hauek izan ditzakete (partaidetzaren arabera):
Gold
Parte-hartze handia duten hornitzaileak. Sare Nazionalean partekatutako eta finkatutako informazio guztia berehala eskuratu ahal izango dute.
Informatua
Parte-hartze maila normala duten hornitzaileak. Sare Nazionalean partekatutako eta finkatutako informazioa eskuratu ahalko dute, baina nolabaiteko atzerapenarekin.
Parte-hartzea neurtzeko, partekatutako informazio teknikoa hartuko da aintzat: informazio hori baloratu eta puntuatuko da, informazio horren izaeraren eta garrantziaren arabera. Sare Nazionala Administrazio publikoen informazioaren segurtasuna hobetzeko tresnatzat erabili nahi denez, Administrazio horiek pixkanaka bultzatu ahal izango dute balio bereizle gisa har dadila kategorizazio hori («Gold» eta «Informatua»), kontratu publikoetara aurkezten diren hornitzaileen merkataritza proposamenak ebaluatzeko garaian.
Partekatu beharreko informazioa
Zibersegurtasuneko Eragiketa Zentroen Sare Nazionalaren aktibo nagusia da, gaur egun erakunde kideren batean gertatzen ari diren erasoen edo konpromisoen adierazleei (IOA/IOC) buruzko informazio partekatua. Horrela, blokatu daitezke. Zehazki:
- gaur egun erakunde kideren batean gertatzen ari diren
- Konprometitutako (edo ustez konprometitutako) guneen domeinuak
- edo eduki kaltegarria duten URL espezifikoak
- Eduki kaltegarria duten fitxategien sinadurak edo hashak
- Eduki kaltegarria hedatzen duten posta helbideak
- Mehatxuak detektatzeko arauak, kontuan hartzen dutenak sare portaera (SNORT arauak), eduki kaltegarria (YARA arauak) edo SIEMetan monitorizatutako portaera (SIGMA arauak).
Zibersegurtasuneko Eragiketa Zentroen Sare Nazionalak ez du xedetzat datu pertsonalak edo biktimen datuak izan ditzakeen informazioa partekatzea. Ez eta ziberespazioko mehatxuei buruzko txosten edo ikerketa orokorrik ere, baldin mehatxu horiek ez badira gauzatzen ari kideetakoren batean. Lehenengo puntuari dagokionez, erakunde bakoitzak egoki jotzen duen informazioa iragazi beharko du. Eta bigarrenari dagokionez, CCN-CERTeko REYES soluzioan zentralizatzen da ziberinteligentziako informazio guztia.
Gainera, dagokion azpiegitura teknologikoa hedatu ahala, honako hauek ere partekatu ahal izango dira:
- Detekzio arau orokorrak eta erabilera kasuak
- IOC/IOC partekatuak jasotzen dituzten zerrenda beltzak
- Kudeaketa hobetzeko, zibersegurtasuneko eragiketa zentro batean erabili beharreko metrikak eta adierazleak
- Kokapen legitimoak jasotzen dituzten zerrenda zuriak
- Kalteberatasunak
- SIEMen alertak
- ...
Azpiegitura teknologikoa
Sarearen integrazioa lankidetza tresnak erabiliz gauzatzen da. Lehenik eta behin, berehalako mezularitzako soluzio bat erabiliz (Element), bai zibersegurtasuneko eragiketa zentroaren zerbitzuen onuradun diren erakunde publikoen aldetik, bai bertan zerbitzuak ematen dituzten enpresen aldetik. Soluzio hori uneko intzidenteei —edo intzidente posibleen zantzuei— buruzko alertak zabaltzeko erabiltzen da, bai eta beste informazio interesgarri batzuk partekatzeko ere: zibersegurtasun txostenak, zibersegurtasuneko eragiketa zentroen prozedura operatiboak, administrazio prozedurak, zerbitzuak kontratatzeko prozedurak…
Beste lankidetza tresna bat da mehatxuei buruzko informazioa trukatzea da (MISP), hor erregistratuta, zentralizatuta eta banatuta bai eraso-adierazleak (IOA), bai konpromiso-adierazleak (IOC). Irakurketa moduan, hain helduak ez diren eta egoera jakin batzuetan mehatxu baten datu teknikoak soilik eskuratu behar dituzten erakunde publikoentzat (adibidez, mezularitza soluzioaren bidez jakinarazitako alerta baten aurrean). Edo integrazio moduan, zibersegurtasuneko eragiketa zentro helduenen tresnak zuzenean konektatuz, blokeatu beharreko adierazleen banaketa erraztearren gainerako erakundeei.
Epe laburrean, Sare Nazionalean sartuko da ziberintzidenteak jakinarazteko LUCIA tresnaren hedapen federatua. Horrela, zibersegurtasuneko eragiketa zentroak gainerako kideekin duen konpromisoaren eta Estatuko lurraldeko ziberintzidenteen bilakaeraren adierazletzat erabili ahal izango da
Eta, epe ertainean, beste soluzio batzuk txertatuko dira Sare Nazionalean:IRIS, Sare Nazionalean zibersegurtasunaren egoera denbora errealean bistaratzeko; ANA, kalteberatasunak argitaratzean Sare Nazionaletik abisatzeko sistema bat sortu ahal izateko; SIEMak, zibersegurtasuneko eragiketa zentroek sortutako alerta kritikoak biltzeko, baldin datu iturri gisa erabil badaitezke intzidenteak ikuspegi globaletik erlazionatzearren
Hori guztia webgune honetan zentralizatuta dago. Hemen, eremu pribatutik, erakundearen beraren informazioa ez ezik, partekatutako informazio guztia ere eskuratu ahal izango da. Era berean, erakundeek informazio interesgarria partekatu ahal izango dute gainerakoekin, hala nola: erabilera kasuak, pleguen adibideak, zibersegurtasuneko eragiketa zentroetarako zerbitzu-adierazleak, prozedurak…
Azpiegitura horren erabileraren adibideak:
MISP duen erakunde bateko intzidente kritikoa: inplikatutako erakundeak dagozkion IOA/IOCak partekatzen ditu Elementen, ondoren MISPen egongo dena aurreratuta. Gertaera dagoeneko MISPen baldin badago, IDa islatu ahal izango du Element mezuan, jendea MISPera sar dadin informazioa lortzeko.
MISP gabeko erakundeak: informazioa Element bidez jasotzen dute, eta blokeatuz jardun dezakete. MISPeko IDa partekatu bada, web bidez sartu beharko dira MISPen, informazioa deskargatzeko eta blokeatzeko.
MISP duten erakundeak: informazioa Element bidez jasotzen dute, aurreabisua izatearren (eta blokeoak aurreratu ahal izatearren), baina informazioa beren MISPekin sinkronizatu arte itxaron dezakete
MISP duen erakunde bateko intzidente ez kritikoa: erakundeak alta emango dio intzidenteari MISPen, ohiko prozedurarekin, Element bidez ohartarazi behar izan gabe.
MISP gabeko erakundeak: MISPera sartzen ez badira, ez dira kontziente izango.
MISP duten erakundeak: haien erakundea sinkronizatu egingo da, eta ohiko moduan jardun ahal izango dute.
MISP gabeko erakunde bateko intzidentea: erakundeak Sare Nazionalaren MISPera kargatu ahal izango du informazioa, Element bidez (aurki erabilgarri egongo den funtzionaltasuna). Informazio horrek balorazio prozesua gainditzen badu, gainerako erakundeekin partekatuko da, Element bidez, bai eta MISP bidez ere.
Parte hartzearen onurak
«Gold» maila duten hornitzaileentzat, onura nagusia da Sare Nazionalean partekatzen diren OC/IOA guztietarako sarbidea izatea hasieratik. Hartara, mehatxu horien aurkako babesa bezeroei helarazi ahal izango die ia berehala. Eta, zeharka, posizionamendu hobea, Zibersegurtasuneko Eragiketa Zentroen Sare Nazionaleko kide izatearen baldintza ezarria duten kontratazio prozesuetan
Gainerako hornitzaileen kasuan, onurak horiek berak dira, nahiz eta pixka bat atzeratu.
Eta erakunde publikoentzat, lehen aipatutako adierazleetarako sarbidea ez ezik, partekatze foro baterako sarbidea ere, non zibersegurtasuneko eragiketa zentroen kudeaketari eta zuzendaritzari buruzko gomendioak trukatu ahalko dituzten. Adibidez: kontratazio ereduak, hornitzaileei buruzko gomendioak, zerbitzuak neurtzeko adierazleen definizioa…
Atxikitzea eta iraunkortasun baldintzak
Erakunde bat erakunde publikotzat Zibersegurtasuneko Eragiketa Zentroen Sare Nazionalari atxiki ahal izateko betekizunak honako hauek dira:
- Sektore publikokoa izatea (Espainian)
- Zibersegurtasuneko edo zibersegurtasuneko eragiketa zentroko zerbitzuak edukitzea
- Sare Nazionalaren kode etikoa eta jokabide profesionalekoa onartzea
- LUCIA instalatuta izatea eta erabiltzea (edo instalatze prozesuan izatea)
Bestalde, enpresek hornitzailetzat atxikitzeko bete behar dituzten betekizunak honako hauek dira
- Enpresa izatea (publikoa edo pribatua).
- Sektore publikoari zibersegurtasuneko edo zibersegurtasuneko eragiketa zentroko zerbitzuak ematea (Espainian)
- Sare Nazionalaren kode etikoa eta jokabide profesionalekoa onartzea
- LUCIA erabiltzea, bezeroren batean izandako intzidenteak CCN-CERTi jakinarazteko (edo LUCIA ezartzeko prozesuan izatea).
Arestian aipatutako betekizunak betetzen badira, atxikitze prozesua honetan datza
- Erakundeak egindako eskaera: Sare Nazionalaren webgunean dagoen atxikitze inprimakia betez (enganchearen formularioa), ea erakunde publikoa edo hornitzailea den adierazita.
- Sare Nazionalak hornitu ditzala eskura dauden tresnak. Eta dagozkion kredentzialak erakundeari jakinaraztea
- Atxikitzea berrestea eta kidetza webgunean argitaratzea
Zibersegurtasuneko Eragiketa Zentroen Sare Nazionalari atxiki ondoren, erakundeek iraunkortasun baldintza hauek bete behar dituzte (baldintza hauek hiru hilean behin berrikusiko dira):
- Atxikitzeko betekizunak betetzen jarraitzea
- Sare Nazionalaren eskura dauden tresnak erabiltzea: mezularitza soluziora etengabe sartzea, eta trukatutako informazioaren berri izatea; truke soluziora puntualki sartzea, trukatutako informazio teknikoa deskargatzeko gaitasuna izatearren; eta abar…
- Horrez gain, erakunde hornitzaileentzat, berria eta garrantzitsua den informazio teknikoa partekatzea, Sare Nazionalak eskura dituen tresnen bidez, informazio hori behar bezala baloratu eta puntuatu ahal izateko.
Iraunkortasun baldintzak betetzen ez badira, Sare Nazionaletik kanporatzea baloratuko da.
