LA CONVERGENCIA ENTRE SEGURIDAD FISICA Y SEGURIDAD INFORMATICA Alfonso Bilbao Director de Cuevavaliente Ingenieros Presidente Comisión Delegada Técnica Fundación Esys

¿Por qué la Convergencia? Dificultades y principales obstáculos Posibles caminos de solución La Convergencia entre Seguridad Física y Seguridad Informática -2-

¿Por qué la Convergencia? Posibles caminos de solución Dificultades y principales obstáculos La Convergencia entre Seguridad Física y Seguridad Informática -3-

Nuevos y Crecientes Riesgos -4-

Los “apellidos” de la Seguridad Seguridad Laboral BienesPersonas Medio- ambiente Información Naturales X Técnicos X Deliberados BienesPersonas Medio- ambiente Información Naturales XXX Técnicos XXX Deliberados Seguridad Industrial Seguridad Informática o Lógica BienesPersonas Medio- ambiente Información Naturales X Técnicos X Deliberados X BienesPersonas Medio- ambiente Información Naturales Técnicos Deliberados XXX Seguridad Física (Security) -5-

Dos “apellidos” próximos Seguridad Física y Lógica BienesPersonas Medio- ambiente Información NaturalesX TécnicosX DeliberadosXXXX -6-

-7- Consejero Delegado Dirección Comercial Dirección de Operaciones Dirección de Recursos Generales Seguridad “Física” (?) RRHHInformática ExplotaciónDesarrolloSistemas Redes I+D Seguridad Informática ¿Con quién debe hablar la Dirección?

Sistema de Seguridad Físico ¿Seguridad Informática del Sistema? -8-

Estudio Seguridad Privada en España -9-

Ministerio del Interior Real Decreto 704/2011, de 20 de Mayo, por el que se aprueba el Reglamento de Protección de Infraestructuras Críticas. -10-

Estudio Seguridad Privada en España -11-

Febrero 2005, e firman una alianza para dar soporte a la gestión de los riesgos y a la generación de la normativa necesaria para un enfoque empresarial de la Seguridad (Security, es decir, de riesgos deliberados). : Profesionales de Seguridad Física ( miembros). : Gestión y auditoría de Tecnología de la información ( miembros). : Profesionales de Tecnología de la Información ( miembros). OBJETIVOS DE LA ALIANZA: - Desarrollo de modelos de análisis de riesgos (Físicos y Lógicos). - Definición ( y continuación con las actuales) de certificaciones profesionales. - Desarrollo de “mejores prácticas” (Seguridad Física e Informática). - Generación de una “única voz” para las regulaciones internacionales. -12-

Dificultades y principales obstáculos La Convergencia entre Seguridad Física y Seguridad Informática Posibles caminos de solución ¿Por qué la Convergencia? -13-

-14- Consejero Delegado Dirección Comercial Dirección de Operaciones Dirección de Recursos Generales Seguridad “Física” (?) RRHHInformática ExplotaciónDesarrolloSistemas Redes I+D Seguridad Informática ¿Cómo resolverlo?

Idiomas Diferentes Seguridad Informática -15- Seguridad Física

Algunas palabras en común Análisis de Riesgos. Ley de Protección de Infraestructuras Críticas. Control de Accesos. Y sobre todo: “SEGURIDAD”. -16-

“Ambiente Regulatorio” Diferente hasta ahora: -17- Seguridad Física Mucha (y envejecida) Legislación (Ley de Seguridad Privada y su desarrollo. Poca normativa incompleta(UNE-EN y demás). Dependencia estricta del Ministerio del Interior. Seguridad Informática Poca Legislación (LOPD y poco más). Normativa Técnica Internacional (ISO27001, PCI, etc.). Confusa dependencia Ministerial.

“Ambiente Regulatorio” Hoy, cambiante hacia la convergencia….. Ley de Protección de Infraestructuras Críticas. Guías regulatorias de Seguridad en Instalaciones nucleares. Presión sobre el Ministerio del Interior para nueva Ley de Seguridad Privada. Primeros pasos de normativa ISO para Seguridad Física (ISO 31000, ISO 28000). -18-

Dos organizaciones de Seguridad separadas. Dos culturas distantes. Posible “lucha por el poder”. Exigencias legales y normativas diferentes. Miedos mutuos al cambio. No siempre comprensión desde la alta dirección Resumen Obstáculos Principales

La Convergencia entre Seguridad Física y Seguridad Informática Dificultades y principales obstáculos ¿Por qué la Convergencia? Posibles caminos de solución -20-

Se Busca…… Capacidad de gestión. Conocimiento de la Legislación y Normativa aplicable. Alineación con el negocio. Capacidad de coordinación de equipos multidisciplinares. NUEVO DIRECTOR DE SEGURIDAD CORPORATIVA SE BUSCA -21-

El Departamento de Seguridad único existirá, aunque haya pasos intermedios, como: Comisiones conjuntas Seguridad Física – Seguridad Informática de coordinación. Un Director General común (no específico de Seguridad) al que reportar ambos Departamentos. Etc

Tendrá bien definida su misión y el ámbito de sus responsabilidad. Como mínimo abarcará la Seguridad frente a los riesgos deliberados. Tendrá el apoyo de la alta Dirección y estará firmemente integrado en el negocio. Dispondrá de un modelo de gestión que permitirá la definición de objetivos medibles, la mejora continua y la auditabilidad externa. Estará integrado por un equipo multidisciplinar. El nuevo Departamento: El nuevo Departamento ? -23-

Convergencia Legal Es necesaria. Primeros pasos: Ley de Protección de Infraestructuras Críticas. Oportunidad: La nueva Ley de Seguridad Privada Nuevas Leyes

Modelo de Gestión Común a Seguridad Física y Lógica. Basado en modelos ISO de mejora continua. Planificación Implementación Medición Actuación Requerimientos Políticas Gestión de la Seguridad MODELO SGSC SGSC: Sistema de Gestión Corporativa de Segurida d Decisión y Compromiso Diseño del Marco de Actuación del SGSF Implementación del SGSF Seguimiento y Revisión del SGSF Mejora continua del SGSF SGSF: Sistema de Gestión de Seguridad Física Seguridad Física ISO Plan del SGSI Mantenimiento y mejora del SGSI Implementación del SGSI Medición del SGSI Seguridad de la Información gestionada Requerimientos de la Seguridad de la Información SGSI: Sistema de Gestión de Seguridad de la Información Seguridad Lógica ISO

El Nuevo Director Especialización oficial, del Ministerio de Educación (Grado o 2º ciclo). Orientado a gestión. Conocimientos básicos de ambas Seguridades. Mecanismos de reciclado y homologación Directores actuales. Formación como clave -26-

LA CONVERGENCIA ENTRE SEGURIDAD FISICA Y SEGURIDAD INFORMATICA Alfonso Bilbao Director de Cuevavaliente Ingenieros Presidente Comisión Delegada Técnica Fundación Esys