El Mando del Ciberespacio blinda sus documentos confidenciales para impedir filtraciones

Ni pantallazos, ni envíos por error a través de correo electrónico, ni documentos confidenciales desprotegidos por un fallo en la clasificación informática. El Mando Conjunto del Ciberespacio no quiere ningún resquicio que permita fugas de documentación sensible.

Confidencial Digital ha podido comprobar que, a través de la Jefatura de Asuntos Económicos del Estado Mayor de la Defensa, el Mando Conjunto del Ciberespacio va a adquirir lo que se denomina un producto “information rights management (IRM)”.

El Instituto Nacional de Ciberseguridad (INCIBE) define ese concepto como “la tecnología utilizada para proteger información sensible de accesos no autorizados”. Se trata de programas que tratan de garantizar la protección de la información sensible frente al acceso no autorizado; la copia y la modificación; las capturas de pantalla; la impresión de documentos; y la descarga.

“Todas estas funcionalidades tienen un objetivo común que consiste principalmente en prevenir las fugas de información confidencial como planes estratégicos, datos presupuestarios, previsiones, datos de clientes, código fuente, especificaciones de diseño, etc.”, explica el INCIBE.

Operaciones militares en el ciberespacio

Integrado en el Estado Mayor de la Defensa, el Mando Conjunto del Ciberespacio es el órgano responsable del planeamiento, dirección, coordinación, control y ejecución de las acciones conducentes a asegurar la libertad de acción de las Fuerzas Armadas en el ámbito ciberespacial.

Para cumplir su misión, planeará, dirigirá, coordinará, controlará y ejecutará las operaciones militares en el ciberespacio, de acuerdo con los planes operativos en vigor. En el ámbito de estas operaciones, realizará las acciones necesarias para garantizar la supervivencia de los elementos físicos, lógicos y virtuales críticos para la Defensa y las Fuerzas Armadas.

Además, constituye el Equipo de Respuesta ante Emergencias Informáticas del Ministerio de Defensa.

Protección de la información

El Estado Mayor de la Defensa ha reservado un presupuesto de 98.000 euros a adquirir un producto “Information Rights Management” para controlar, gestionar y proteger la documentación generada y tramitada por el Mando Conjunto del Ciberespacio, tanto dentro como fuera de la red interna, denominada ‘Siglo’.

Los requisitos técnicos que se exigen a este producto los ha establecido, dentro del Mando Conjunto del Ciberespacio, el Grupo de Defensa de la Fuerza de Operaciones en el Ciberespacio. Esta unidad “dirige operativa y técnicamente las actividades de todos los Centros de Operaciones de Ciberseguridad (COCS)” de las Fuerzas Armadas.

Tiene entre sus misiones garantizar la confidencialidad, integridad, disponibilidad y trazabilidad de la información que manejan los sistemas y redes que emplean las Fuerzas Armadas, así como ejecutar “las actividades que permitan la protección, detección y defensa en las redes y servicios críticos de los sistemas de información y telecomunicaciones que emplean las Fuerzas Armadas”, y la obtención de información, vigilancia, reconocimiento y elaboración de inteligencia de ciberamenazas e incidentes en el ciberespacio, en coordinación con el Centro de Inteligencia de las Fuerzas Armadas y en materia de operaciones militares también con el Mando de Operaciones.

Documentación “crítica y confidencial”

Para justificar esta compra, se indica que para el Mando Conjunto del Ciberespacio “es fundamental preservar la documentación crítica y confidencial, siendo necesario que esté bajo control y libre de accesos indeseados”.

En este órgano de las Fuerzas Armadas “se disponen de soluciones de protección perimetral y de puesto/host que permiten proteger a los usuarios y equipos de la organización respecto a amenazas y ataques externos”.

El problema es que “nos encontramos en un contexto tecnológico donde cada vez se crea y comparte más información en formato digital y las soluciones actuales de protección están más orientadas a la protección de la infraestructura que a la protección de la información independientemente de dónde ésta se encuentre”.

Los agujeros de encriptar

Así que el Mando Conjunto del Ciberespacio se ha propuesto adquirir un sistema que permita controlar y gestionar quién y cuándo accede a la documentación de la organización; el uso de la documentación (ver, editar, imprimir, copiar y pegar...); y monitorizar accesos a la documentación (quién accede, accesos bloqueados, etc.).

Esa protección debe ser efectiva tanto en las redes militares y del Mando Conjunto del Ciberespacio, como en equipos fuera de su control.

En el Mando Conjunto del Ciberespacio han constatado que “las tecnologías de encriptación tienen un alcance de protección limitado ya que cuando el documento es desencriptado se pierde el control sobre el mismo”.

Tampoco son del todo efectivas para controlar y proteger la información fuera de la organización las tecnologías de tipo DLP (Data Leak Prevention), ya que “aunque están pensadas para bloquear la salida de información confidencial, una vez que ésta sale se pierde el control de la misma”. Estos programas monitorizan una red informática para alertar de posibles fugas de información confidencial desde dentro de la organización.

500 usuarios

La solución que el Mando Conjunto del Ciberespacio considera adecuada para proteger la documentación que gestiona es contratar, por dos años, tecnología IRM (Information Rights Management): “El objetivo de la solución es proteger la documentación gestionada por la entidad, que esté libre de accesos indebidos y siempre bajo control, independientemente de si esta documentación se encuentra en equipos o infraestructura interna de la empresa, como si se ha compartido con otros usuarios en otra empresa, localización o con dispositivos o equipos no controlados”.

El sistema contratado deberá incluir “un mecanismo de gestión de identidades y control de acceso (IAM por sus siglas en inglés) para el conjunto de puestos internos (500 usuarios)”. Es decir, con este sistema se clasificará a 500 usuarios -se entiende que del Mando Conjunto del Ciberespacio y de órganos superiores del Estado Mayor de la Defensa que puedan consultar sus documentos- para que puedan acceder a documentación protegida, modificarla e incluso ellos mismos protegerla, en función de unos permisos de acceso asignados.

Intentos de acceso no permitidos

El sistema “Information Rights Management” que pretende contratar el Mando Conjunto del Ciberespacio debe cumplir una serie de requisitos.

El primero es que permita garantizar la “auditoría y trazabilidad de los documentos protegidos”. Se trata de que la instancia dentro del Mando Conjunto del Ciberespacio que gestione este programa pueda “acceder a una auditoria de todos los documentos protegidos en la organización, visualizando tanto los accesos, los intentos de acceso no permitidos, como las posibles desprotecciones de información que se hubieran realizado”.

El administrador contará con una consola de administración desde la que poder monitorizar la actividad (protecciones, accesos, alertas, etc.) sobre los documentos protegidos del Mando Conjunto del Ciberespacio.

El control será en tiempo real: permitirá ver en el momento a qué documentos ha accedido un determinado usuario o qué usuarios han accedido a un documento específico. También facilitará visualizar informes sobre alertas relacionadas con el acceso a documentos, gráficas resumen, etc., que permitan tener una visibilidad completa sobre lo que ocurre con la documentación confidencial y crítica.

Este gestor administrador manejará los accesos y políticas de protección que se autoricen a cada usuario.

Todos los movimientos quedarán registrados en un “log de auditoría”: “Si se modifica una política de protección, se desprotege un documento, se añade o elimina usuarios, se bloquea documentos, etc., deberá quedar registrado identificando al administrador que ha efectuado los cambios”.

Los propios usuarios (esos 500 antes citados) también podrán ver los documentos que han protegido, los accesos a los mismos, y si alguien ha intentado acceder a ellos sin permisos o realizado alguna desprotección.

Marcas de agua contra pantallazos

Una de las claves de este tipo de sistemas es identificar filtradores de documentos confidenciales. Así que se requiere que permita establecer marcas de agua y otros controles sobre la documentación protegida.

Concretamente, el Mando Conjunto del Ciberespacio exige que se pueda insertar “marcas de agua dinámicas”, al menos en documentos PDF y en imágenes, “con el objetivo de mitigar que se tomen pantallazos y aumentar el control sobre la información sensible”.

No es la primera vez que los documentos de ciberseguridad se protegen con marcas de agua. Confidencial Digital ya contó, el pasado mes de diciembre, que el Estado Mayor de la Defensa había contratado a Telefónica para utilizar una herramienta informática, Shadow, que coloca marcas de agua digitales e invisibles en documentos de ciberinteligencia, para así garantizar la trazabilidad si se producía alguna filtración.

Si un documento acababa, por ejemplo, siendo publicado en un periódico, o intervenido en algún dispositivo, se podría detectar cuál de los receptores de ese informe lo había filtrado, ya que la marca de agua sería única en cada copia del documento.

“Listas negras”

El Mando Conjunto del Ciberespacio contempla que con el “Information Rights Management” pueda establecer “listas negras” de usuarios (así las denomina). Se trata de que el administrador del sistema marque a determinados usuarios para que no puedan acceder a ningún documento protegido en la organización, no importando si tienen permisos o no en las políticas de protección.

Con el “Information Rights Management”, el Mando Conjunto del Ciberespacio también permitirá establecer restricciones de acceso por fecha a los documentos protegidos, o fijar que sólo se puedan consultar desde la red interna aquellas documentos “muy sensibles”.

Bloquear un correo mandado por error

Otro de los objetivos es proteger los mensajes que envían por correo electrónico los militares del Mando Conjunto del Ciberespacio. Por ello el programa a contratar debe ofrecer protección tanto de los textos como de los archivos adjuntos que se manden por la aplicación de correo Outlook.

Con esta tecnología se podrá evitar incluso que el envío de un correo electrónico a la dirección equivocada signifique una fuga de información sensible: “Un usuario podrá bloquear en remoto el acceso al cuerpo y a los adjuntos enviados sin necesidad de contactar con el administrador, evitando así que los receptores de información enviada por error puedan acceder ella”.

En general, “se podrá proteger para todos los destinatarios o con políticas de protección determinadas y limitar con qué permisos se puede acceder, asimismo se podrán establecer fechas de expiración para la información enviada. No debe ser necesario tener Outlook para acceder al cuerpo o a los adjuntos protegidos ni requerirse ningún software adicional para abrir el mensaje protegido”.

Además, el administrador podrá a través de Microsoft Exchange configurar reglas de protección automática, de forma que todos los emails enviados a determinados dominios o destinatarios se protejan, o que los emails que vienen de determinados remitentes se protejan.

También será posible establecer reglas de protección por contenido del cuerpo del email y adjuntos: por ejemplo, mediante la detección de números de tarjetas de crédito, documentos de identificación personal, patrones específicos, palabras concretas...

Autorizaciones según la confidencialidad

Gracias a este sistema, el Mando Conjunto del Ciberespacio podrá aplicar permisos y restricciones sobre la documentación según el tipo de confidencialidad del mismo.

Eso significa que a cada fichero se le asignarán unos permisos sobre diferentes acciones que puedan llevar a cabo quienes lo reciban: Ver, Editar, Imprimir, Copiar y Pegar.

“Al proteger un fichero se deberá poder indicar qué usuarios, grupos de usuarios o dominios tienen permisos sobre la documentación protegida. Cada usuario, grupo de usuarios, o dominio podrá tener permisos de acceso diferentes”, establecen los requisitos exigidos en la licitación.

Revocar permisos de acceso

La protección de los documentos será dinámica, lo que significa que permitirá la revocación de accesos a la documentación: “Si un usuario cambia de grupo, automáticamente deben cambiar sus permisos sobre la información protegida. Asimismo, también deberá ser posible cambiar o revocar los permisos de acceso, e incluso la vigencia temporal a la información protegida por parte de los usuarios. Siendo aplicados estos cambios automáticamente a cualquier copia que hubiera podido ser realizada de la información protegida, independientemente de su ubicación”.

El permiso para acceder a un documento se podrá revocar de forma individual o por política por parte de usuarios y administradores.

Acceder en cualquier dispositivo

Otra de las capacidades que debe ofrecer el sistema es permitir “compartir ficheros protegidos (ofimáticos y PDFs) y que el usuario que los recibe pueda acceder a ellos, e incluso editarlos (si se le ha dado permiso para ello), desde cualquier plataforma (Windows, Mac, iOS, Android y Linux) y desde cualquier navegador, sin que sea necesaria la instalación de ningún agente o de que tengan instalada una suite ofimática o un lector de PDFs”.

Eso incluye “securizar la documentación directamente desde un navegador, en sistemas operativos Windows, Mac, iOS, Android y Linux, sin necesidad de instalar ningún tipo de agente para ello. El usuario deberá tener la posibilidad de visualizar las políticas de protección que ha creado o que la organización ha compartido con él y poder crear nuevas políticas de protección o modificar/eliminar las existentes”.

Información confidencial en USB

Este servicio deberá poder integrarse con las herramientas DLP (Data Leak Prevention), ya citadas, y permitir varias acciones:

-- Proteger documentos de forma automática en el end-point cuando el DLP detecta documentos clasificados como confidenciales desprotegidos, sin necesidad de acción por parte del usuario.

-- Se podrán proteger automáticamente ficheros que sean enviados por email a terceros, con una protección determinada, si se detecta que son confidenciales.

-- Se podrá proteger de forma automática información confidencial en tránsito copiada o movida desde USBs o unidades de red.

-- Será posible llevar seguimiento del acceso a los ficheros protegidos o bloquear el acceso a ellos si se requiere.

Evitar fugas de datos

El Mando Conjunto del Ciberespacio explica cuáles son los beneficios que obtendrá cuando instale, por el momento durante dos años, este sistema de blindaje de sus documentos confidenciales.

En primer lugar, destaca que “la información estará protegida independientemente de su ubicación e independientemente del medio utilizado para su compartición y será posible evitar las fugas de datos, auditar en todo momento los accesos (tanto internos como externos) a la información sensible e incluso cambiar o revocar los permisos de acceso a la misma si fuera necesario”.

La información protegida estará, además, “cifrada y auditados sus accesos facilitando así el cumplimiento de las normativas legales, y también evitando posibles pérdidas económicas y reputacionales”.

Y facilitará el cumplimiento de la Normativa Europea de Protección de Datos, por lo que “la información estará cifrada y controlada independientemente de su ubicación, evitando tener que notificar a los afectados y las posibles multas”.