Actualización de la guía de seguridad para Sistemas de Control Industrial del NIST

El NIST (National Institute of Standards and Technology) acaba de publicar la segunda revisión de su "Guía para la Seguridad de los Sistemas de Control Industrial (ICS)".  El NIST es una agencia del Departamento de Comercio de los Estados Unidos que cuenta con una división denominada "Computer Security Resource Center" (http://csrc.nist.gov) quien se encarga de proveer recursos sobre seguridad de la información y elaborar guías y estándares tanto para el gobierno como para la industria.

Según nota de prensa del NIST de la semana pasada, esta revisión «incluye una nueva visión sobre como ajustar los controles de seguridad IT tradicionales para adaptarlos a los requisitos de rendimiento, fiabilidad y seguridad de los sistemas industriales (ICS), así como algunas actualizaciones en los capítulos de amenazas y vulnerabilidades, gestión del riesgo, prácticas recomendadas, arquitecturas y herramientas de seguridad».

Los Sistemas de Control Industrial (ICS, por sus siglas en inglés) engloban tanto el hardware como el software de los equipos de control de procesos, incluyendo sensores, actuadores, sistemas de control distribuido (DCS), autómatas programables (PLC) o sistemas de control y adquisición de datos (SCADA).

Tradicionalmente, los sistemas ICS se basaban en plataformas propietarias, aisladas y con limitadas posibilidades de actualización.  Hoy en día estos sistemas están intercomunicados con finalidades de monitorización o de operación remota desde los grandes centros de control, por lo que están dotados de conectividad a Internet.  Esta conectividad ha puesto de manifiesto las vulnerabilidades y amenazas que se ciernen sobre ellos, viéndose agravadas en los casos de que tales ICS formen partes de sistemas considerados Infraestructuras Críticas (suministro de energía, telecomunicaciones, sistema público de salud, etc.)

Las medidas -y herramientas- de protección que utilizamos en las áreas de IT (antivirus, Firewall, IDS, ... incluso políticas y procedimientos) están diseñadas para una infraestructura de IT "de negocio" o "de soporte al negocio" pero no son útiles para un entorno de operaciones industriales (OT, por las siglas en inglés de Operational Technology).  Esta actualización de la guía del NIST pretende adaptar los controles de seguridad IT para establecer una convergencia entre ambos entornos: IT/OT.

La guía "NIST SP 800-82, Revision 2, guide to industrial Control System (ICS) Security" puede descargarse desde aquí [PDF, 3,78 MB, 247 pág, EN]:

http://dx.doi.org/10.6028/NIST.SP.800-82r2

Hackstory: La historia nunca contada del underground hacker en la península ibérica

La periodista Mercè Molist acaba de publicar "Hackstory.es: La historia nunca contada del underground hacker en la península ibérica". Este libro es la materialización de un intenso trabajo de investigación iniciado por la autora hace ya unos cuantos años cuando creó el proyecto Hackstory en formato wiki (http://hackstory.net/).

En el libro cuenta la historia del hacking en España, que es también la historia de la informática en nuestro país, con información de gran valor que abarca desde los primeros hackers, las blueboxes, las BBS, el nacimiento de la comunidad, hasta llegar a lo que Mercè denomina "el fin de la vieja escena". El libro viene plagado de enlaces que complementan toda la información que nos va proporcionando, además cuenta con entrevistas a sus protagonistas y fotografías de gran valor documental.

Mercè, que ha elaborado artículos para diversas publicaciones y prensa, trabajó más de 10 años en la sección de tecnología de El País (Ciberpaís) desde donde tuvo la oportunidad de profundizar en sus investigaciones y (intentar) acercarse a los protagonistas cubriendo muy de cerca operaciones como el "caso Hispahack" o la "operación Millenium".  Ella misma lo deja claro en las primeras páginas de presentación del libro: en este libro no está todo lo que fue sino lo que nos han dejado saber.

Este intenso trabajo está organizado en ocho capítulos y comprende 282 páginas (la versión en PDF).  El índice de cada capítulo es sistemático y muy claro de forma que permite identificar un tema de nuestro interés para acceder directamente a él, aunque la lectura completa de principio a fin es muy amena y entretenida (con numerosas anécdotas, curiosidades, citas, etc.) y recomendable incluso para aquellas personas ajenas al mundo de los hackers (para quienes hay incluso un breve glosario al inicio del texto).

El libro, en edición electrónica, puede obtenerse en formato Kindle por un precio simbólico, o gratuitamente por descarga directa en formato EPUB, PDF o MOBI desde la web http://hackstory.es/

Sigue este enlace para comprar o descargar el libro desde Hackstory.es

Acceso a Hackstory.es

Página de inicio del wiki Hackstory.net, origen del libro.

Privacy and Body Scanners at EU Airports

¿Escáneres que nos muestran desnudos?

El año pasado, en el número 217 (mayo-junio) de la revista Novática se publicó un artículo mío titulado "Privacidad en los escáneres corporales en los aeropuertos de la U.E." [consulta el artículo].

Ahora, se acaba de publicar un número especial de Novática en inglés que lleva por título "Privacy and New Technologies" que incluye mi artículo (revisado y  actualizado).  Esta edición, realizada en colaboración con Privacy International, es de acceso es libre y gratuito.



En el artículo repaso aspectos como:

• análisis de las diferentes tecnologías de escaneo existentes,
• marco normativo europeo,
• nivel de adopción de estos dispositivos en los distintos países de la UE, 
• impacto de estas medidas de seguridad sobre la privacidad de los usuarios.

Puesto que había transcurriso casi un año desde la publicación del artículo original (y un año y medio desde la investigación que dió lugar al artículo) mientras realizaba la traducción aproveché para actualizar el contenido del mismo ya que en este periodo ha habido algunos cambios en relación a la implantación de los escáneres corporales en los aeropuertos europeos.

A continuación copio el abstract del artículo y los enlaces al contenido completo del mismo en la web de ATI (Asociación de Técnicos de Informática).

 
Acceso al número especial de Novática: http://www.ati.es/novatica/2013/ASA/nvS2013sum.html
Acceso al artículo (PDF, 6pág., 280 KB, Inglés): http://www.ati.es/novatica/2013/ASA/NvS2013-49.pdf 
Acceso al artículo original, en español: http://blog.joanfi.net/2012/09/privacidad-en-los-escaneres-corporales.html 
  

At the beginning of 2010, with the aim of improving aviation security controls, some airports started to use full-body security scanners, also known as body scanners or  security scanners. Body scanners make a full body screening of passengers, producing detailed images of the screened person’s body in order to detect both metallic and non metallic  objects that might be concealed under the clothes.   
  

Deployment of such scanners may entail an invasion of people’s privacy since they produce a detailed display of the passenger’s  body with no clothing, revealing anatomical details and private parts, including medical prostheses.   
 

This article will analyse the currently existing screening technologies (millimetre wave systems -active or passive- and X-ray backscatter systems) as well as their level of deployment at EU airports, focusing on the impact they may have on passengers’ privacy. In order to  harmonize the various national regulations, the European Commission has passed a proposal on the use of body scanners at European airports, scanners which shall only be used under  specific conditions.

Privacidad en los escáneres corporales de los aeropuertos

En el anterior post comentaba la monografía sobre "Privacidad y nuevas tecnologías" que ha publicado Novática en la que se incluye mi artículo titulado "Privacidad en los escáneres corporales en los aeropuertos de la U.E.".  En esta entrada voy a centrarme en el contenido de este artículo, cuyo contenido completo podeis descargar más abajo, si es de vuestro interés.

 

En él analizo la situación actual de los llamados "escáneres de seguridad de cuerpo completo", conocidos también como escáneres corporales o escáneres de seguridad, desplegados en fase de pruebas en algunos aeropuertos europeos para la mejora de los controles de seguridad aérea. 

 

Estos escáneres realizan una exploración completa del cuerpo del pasajero, mostrando una imagen detallada del cuerpo humano con el fin de detectar tanto objetos metálicos como no metálicos escondidos bajo la vestimenta.  La implantación de estos escáneres puede suponer una invasión en la privacidad de las personas ya que muestra imágenes definidas del cuerpo del pasajero sin ropa, mostrando detalles anatómicos y partes íntimas, incluidas prótesis médicas.

 

 

El objetivo del artículo es analizar como el uso de estos escáneres pueden afectar a nuestra privacidad.  De una parte se repasa el marco normativo en el ámbito de la U.E. y la propuesta de la Comisión Europea para regular el uso de los escáneres corporales y, de otra, para entender el funcionamiento de estos equipos, se da una pincelada técnica sobre las diferentes tecnologías de escaneo: de onda milimétrica - activas o pasivas - y de retrodispersión por rayos X.  Todo ello concluye con un análisis del nivel de implantación en los países que han optado por ello (*): Francia, Gran Bretaña, Italia, Finlandia, Países Bajos y Alemania.

(*) El artículo está redactado en febrero de 2012

 

Desde este enlace podéis descargar el artículo completo en formato PDF [283 Kb]:
http://www.joanfi.net/docs/Nv217-39_JoanFigueras.pdf

  

Y, finalmente, aquí dejo la transcripción de la referencia al artículo que los editores (Gemma Galdón y Gus Hosein) realizan en la presentación de la monografía:

 

« Joan Figueras vuelve a recordarnos que las controversias relacionadas con la tecnología, la privacidad y la seguridad no sólo se producen online, a pesar del evidente peso de los medios y redes sociales en el estudio del impacto social y sobre la privacidad de las nuevas tecnologías.

En su artículo sobre los escáneres corporales en los aeropuertos, Figueras traslada los debates abiertos por el resto de autores al espacio de la gestión de la seguridad en la aviación civil y los debates generados a nivel europeo desde la introducción de esta medida, a principios de 2010, así como la primera propuesta de marco común publicada por la Comisión Europea en 2011. 

 

En los meses de fase de pruebas, diferentes escáneres con diferentes tecnologías han sido instalados en muchos países (el autor aborda con detalle los casos de Francia, Gran Bretaña, Finlandia, Países Bajos, Italia y Alemania), y aunque la propuesta de la CE supone un primer paso hacia la homogenización y el desarrollo de un marco garantista en relación con el respeto a la privacidad y la dignidad de los usuarios, el autor identifica diferentes cuestiones aún no resueltas y que apuntan a la necesidad de un enfoque más amplio y respetuoso con los derechos fundamentales »

Monografía sobre "Privacidad y nuevas tecnologías" en Novática

Hace unas semanas recibí en casa el número 217 de la revista Novática.  Como socio de ATI (Asociación de Técnicos de Informática) recibo todas las entregas de Novática, siempre con artículos de gran calidad y de interesante lectura.  En esta ocasión, me ha hecho especial ilusión recibir la revista, no solo porque el tema central del número "Privacidad y nuevas tecnologías" sea de gran interés para mí, sino porque en la monografía se ha incluido un artículo mío ;-) 

 

Quiero agradecer, desde aquí, al coordinador de la revista, Llorenç Pagés, y a los editores invitados de la monografía sobre privacidad, Gemma Galdón y Gus Hosein, que hayan contado conmigo y hayan incluido mi articulo "Privacidad en los escáneres corporales en los aeropuertos de la U.E." en la misma.

 

Novática, fundada en 1975 y decana de la prensa informática española, es la revista de la Asociación de Técnicos de Informática, organización que edita también la revista REICIS (Revista Española de Innovación, Calidad e Ingeniería del Software).

 

 

(Portada del nº 217 de Novática, "La casa durmiente" - Concha Arias Pérez © 2012 ATI)

 

El contenido completo de Novática 217 está disponible en la Intranet de ATI accesible solo para socios, mientras que en la parte pública se pueden consultar los resúmenes y el bloque editorial:
http://www.ati.es/novatica/2012/217/nv217sum.html

El índice de la monografía sobre "Privacidad y nuevas tecnologías" es el siguiente:

Presentación. Privacidad y nuevas tecnologías: redes sociales, datos personales y tecnologías de vigilancia ante el reto del respeto a los derechos de las personas Gemma Galdon Clavell, Gus Hosein [contenido completo en formato PDF] La protección de datos en Europa y la inquietante presencia de la privacidad Gloria González Fuster, Rocco Bellanova [resumen] Tecnología de vigilancia y controles territoriales: Gobernanza y el pulso de la privacidad Darren Palmer, Ian Warren [resumen] Google: Navegando entre la seguridad, el derecho de información y la privacidad Cristina Blasi Casagran, Eduard Blasi Casagran [resumen] Rastros humanos en Internet: privacidad y seguimiento online en sitios web populares del Brasil Fernanda Glória Bruno, Liliane da Costa Nascimento, Rodrigo José Firmino, Marta M. Kanashiro, Rafael Evangelista [resumen] Las redes sociales y la tutela de la privacidad. Cuando la privacidad no se contempla como un derecho Massimo Ragnedda [resumen] Privacidad en los escáneres corporales en los aeropuertos de la U.E. Joan Figueras Tugas [resumen]

El contenido completo del artículo "Privacidad en los escáneres corporales de la U.E." en el próximo post.