Hoy, 30 de noviembre, se cumplen 10 años de la creación del CERT-PY, el primer CSIRT nacional del país. En estos 10 años se han logrado importantes avances en cuanto a la madurez de ciberseguridad a nivel nacional: se estableció un Plan Nacional de Ciberseguridad; se crearon políticas, lineamientos y normativas específicas de ciberseguridad a nivel gubernamental; se iniciaron y fortalecieron diversos servicios, tanto para el sector público como para el sector privado y ciudadanos; se propiciaron diversos espacios de formación, capacitación y concienciación; se fueron formando empresas y unidades de negocio afines al rubro a nivel local, entre otros.
Un poco de historia…
El primer antecedente previo data del año 2009, cuando mediante convenio se estableció un CSIRT Nacional, llamado CSIRT-PY con representantes de varias instituciones (Ministerio Público, Ministerio de Relaciones Exteriores, Centro Nacional de Computación, la CONATEL y la Universidad Nacional de Asunción), en una modalidad ad-hoc, con el objetivo de colaborar cuando se detecten incidentes nacionales críticos. Cuando en el año 2012, luego de un evento político, se dieron una decena de vulneraciones a páginas web gubernamentales (defacement), ese enfoque meramente reactivo demostró ser insuficiente, y se comprendió la necesidad de contar con un organismo permanente, con capacidad operativa y con un enfoque no solamente reactivo sino también preventivo. Igualmente, organizaciones internacionales como el CICTE de OEA, a través de numerosos talleres, seminarios y otras iniciativas, colaboraron en la visibilización de la problemática y la necesidad de contar con un CSIRT nacional formalmente establecido.
Es así que el 30 de noviembre de 2012 mediante Resolución SETICs Nº 18/12, se crea el Equipo de Respuestas ante Emergencias Cibernéticas (CERT-PY), como una dependencia de la SETIC (Secretaría de Tecnologías de la Información y Comunicación) dependiente del Poder Ejecutivo. Luego, mediante Decreto Presidencial 4989/2013, se elevó a Secretaría Nacional de Tecnologías de la Información y Comunicación, SENATICS, del cual también el CERT-PY pasó a ser parte. Si bien, en esa instancia, las funciones y atribuciones del CERT-PY y de la SENATICs eran acotadas, muchas de las iniciativas y servicios de ciberseguridad empezaron a brindarse, no solamente a las instituciones de gobierno sino a toda la comunidad paraguaya.
En el año 2018, se elevó a Ministerio de Tecnologías de la Información y Comunicación, mediante Ley Nº 6207/2018 y Decreto Presidencial Nº 2274/2019 y se reestructuraron las funciones y atribuciones, convirtiéndose así en la autoridad nacional en materia de ciberseguridad, a través de la Dirección General de Ciberseguridad y Protección de la Información, cuyo objetivo es promover iniciativas que contribuyan a la construcción de un ecosistema digital seguro, confiable y resiliente, incluyendo el sector público, privado, academia y ciudadanía, a través de políticas, planes, proyectos y servicios de Ciberseguridad, tanto preventivas como reactivas.. Actualmente el CERT-PY, depende de dicha área, con atribuciones y funciones específicas en cuanto a la gestión y coordinación de incidentes cibernéticos.
En el año 2018, se elevó a Ministerio de Tecnologías de la Información y Comunicación, mediante Ley Nº 6207/2018 y Decreto Presidencial Nº 2274/2019 y se reestructuraron las funciones y atribuciones, convirtiéndose así en la autoridad nacional en materia de ciberseguridad, a través de la Dirección General de Ciberseguridad y Protección de la Información, cuyo objetivo es promover iniciativas que contribuyan a la construcción de un ecosistema digital seguro, confiable y resiliente, incluyendo el sector público, privado, academia y ciudadanía, a través de políticas, planes, proyectos y servicios de Ciberseguridad, tanto preventivas como reactivas.. Actualmente el CERT-PY, depende de dicha área, con atribuciones y funciones específicas en cuanto a la gestión y coordinación de incidentes cibernéticos.
¿Qué es el CERT-PY?
El CERT-PY es el Centro de Respuestas a Incidentes Cibernéticos nacional, responsable de la gestión de los incidentes de seguridad en sistemas computacionales en las que estén involucradas redes o infraestructuras del país.
Su objetivo principal es actuar como coordinador central para las notificaciones de incidentes de seguridad en el Paraguay, dando el apoyo necesario para dar respuesta a estos incidentes, actuando como coordinador entre las partes afectadas e involucradas para la solución de los mismos
Funciones Principales
- Implementar mecanismos de gestión, coordinación, respuesta e investigación de incidentes cibernéticos que pongan en riesgo el ecosistema digital nacional.
- Implementar y promover los mecanismos de monitoreo y detección de incidentes cibernéticos en organismos y entidades del Estado, así como también en las infraestructuras críticas nacionales.
- Establecer e incentivar mecanismos de intercambio de información relacionado a incidentes cibernéticos y amenazas, entre el sector gubernamental, privado, regional e internacional.
- Implementar mecanismos y desarrollar actividades para la generación, captación, procesamiento y análisis de información de ciberseguridad entre actores del ecosistema.
- Implementar y promover mecanismos de alerta temprana a incidentes y amenazas.
La misión, objetivos, alcances y servicios del CERT-PY están definidos conforme el RFC 2350 “Expectations for Computer Security Incident Response” y puede ser encontrado aquí: https://www.cert.gov.py/rfc-2350
Servicio de Gestión de Incidentes Cibernéticos
Servicio disponible para cualquier persona u organización, sin ningún costo. Cualquier ciudadano, empresa, institución pública u organización extranjera puede reportar un incidente cibernético que afecte a un sistema de información del ecosistema digital nacional, propio o de terceros.
Un incidente cibernético es todo evento contra un sistema de información que produce la violación de una política de seguridad explícita o implícita, poniendo en riesgo la confidencialidad, integridad y disponibilidad del mismo.
El CERT-PY define las siguientes categorías de incidentes cibernéticos
- Software malicioso (Malware)
- Acceso sin autorización a cuentas, sistemas, sus datos
- Denegación de servicios (DoS/DDoS)
- Escaneo / Fuerza bruta
- Correo no deseado malicioso (Spam/Scam)
- Engaños (Phishing)
- Compromiso de Sistemas
- Ransomware
¿Cómo reportar un Incidente Cibernético?
Enviando un correo electrónico donde se incluya una descripción detallada del incidente, y cualquier dato que pueda ayudar a investigar, según sea el caso (logs, captura de pantalla, explicaciones, captura de tráficos, archivos, etc.), a la siguiente cuenta de correo:
abuse@cert.gov.py
El alcance de la gestión de un incidente cibernético a cargo de los analistas del CERT-PY abarca:
- el análisis preliminar incidente cibernético,
- la aplicación de acciones de contención inmediatas,
- la investigación y,
- la propuesta de recomendaciones pertinentes para la corrección y prevención futura.
Los procedimientos de gestión de incidentes cibernéticos utilizados por los analistas del CERT-PY se encuentran alineados a los estándares internacionales y han sido establecidos con el objetivo de optimizar los tiempos de respuesta y resolución de incidentes cibernéticos, de una manera oportuna y eficaz.
Para las instituciones de gobierno, se cuenta con un Reglamento de reporte obligatorio de incidentes cibernéticos de seguridad (Resolución MITIC N° 346/2020) la cual establece los lineamientos de cómo las instituciones deben actuar y reportar los posibles incidentes cibernéticos, tanto desde el punto de vista técnico, operacional e incluso comunicacional, así como también las pautas generales de la acción del CERT-PY frente a los reportes recibidos, definiendo el alcance de acción, los niveles y criterios de criticidad, así como también la confidencialidad con la que se manejan los detalles de los incidentes que le son reportados.
El CERT-PY además brinda otros servicios
- Servicio de Boletines y Alertas de Ciberseguridad: son avisos reactivos ante amenazas que se consideran de alto riesgo para el ecosistema digital nacional (sistemas de información de instituciones públicas, empresas privadas o en los hogares). Cualquier persona puede suscribirse al servicio, sin ningún costo.
- Servicio de Auditoría de Vulnerabilidades de sistemas web: tiene como objetivo encontrar fallas o debilidades presentes en una aplicación web del Estado Paraguayo, de modo a que puedan ser corregidas y/o mitigadas. Es un servicio exclusivo para instituciones públicas.
- Reportes Proactivos de Ciberseguridad: Las instituciones públicas pueden suscribirse a este servicio, declarando sus IPs públicas, dominios y sub-dominios públicos ante el MITIC, de tal manera a que cuando el CERT-PY reciba algún indicio (indicador de compromiso, vulnerabilidad activa, mala configuración, etc.) que involucra a alguna IP o dominio de dicha organización, se envíe una alerta a los responsables de la misma, de manera a que éstos puedan adoptar medidas apropiadas, de manera proactiva. Por el momento, es exclusivo para instituciones públicas.
- Simulacro de Ciberataques:Los ciberejercicios son actividades orientadas a conocer y mejorar el nivel de concienciación de los usuarios de una organización en materia de seguridad de la información, a través de metodologías prácticas. Se plantea un ataque dirigido a través del envío de un correo electrónico que contiene un enlace que simula un phishing, en un ambiente controlado.
Evolución del tiempo de respuesta y atención
Durante el año 2019 se realizó una reestructuración total del servicio de gestión de incidentes cibernéticos, que incluyó el diseño, elaboración e implementación de procedimientos técnicos formales escritos (playbooks), así como también la incorporación de analistas técnicos dedicados exclusivamente a la atención de los incidentes. Igualmente, se implementaron mejoras en el sistema de gestión de incidentes con la incorporación de métricas granulares, indicadores de correlación de incidentes, entre otras. Estas mejoras permitieron mejorar enormemente los tiempos de respuesta y resolución de los incidentes cibernéticos, de una manera sostenible en el tiempo. Igualmente, permitió atender y resolver oportunamente un mayor número de reportes incidentes que anteriormente quedaban abandonados.
Algunas estadísticas obtenidas a partir de todos los incidentes cibernéticos reportados y gestionados a través del servicio de gestión de incidentes cibernéticos del CERT-PY, desde su puesta en funcionamiento el 25/09/2013, hasta hoy:
Mas información: https://www.cert.gov.py/