1 Agència Nacional de Seguretat

2 Contingut 2 Concepció Estratègica Desplegament tàctic Estimació Econòmica

3 Missió i Visió 3 Convertir-se en l'autoritat de coordinació i resposta davant ciberamenaces que puguin atemptar contra els interessos dels ciutadans, empreses i administracions públiques catalanes  Respondre de forma ràpida i eficient a les amenaces que puguin sorgir  Donar suport en la recuperació davant incidents en matèria de seguretat de la informació  Col laborar amb entitats públiques i privades en la millora de la gestió de seguretat  Promoure una cultura conscienciada amb els riscos inherents a la societat de la informació VISIÓ OBJECTIUS ESTRATÈGICS Centre especialista en ciberseguretat que proporciona als ciutadans, empreses i administracions catalanes serveis orientats:  Reduir les dependències de terceres pars en l’estratègia de ciberseguretat, desenvolupant teixit empresarial Català

4 Valors 4 ADMINISTRACIÓ CIUTADANS PROVEÏDORS QUALITAT COORDINACIÓ ESTÁNDARS COL·LABORACIÓEXCEL·LÈNCIA AUTORITAT EFICIENCIA COMUNICACIÓ D'acord amb els pilars estratègics i els objectius, el valor principal de l’Agència és la C de Catalunya que representa Coordinació, In novació i Qualitat com a valors principals de la Seguretat Nacional. Tot el disseny de l'Agència se sustenta en el concepte del Govern de les 3 A’s: -Aprimament -Agilitat -Austeritat

5 Resilència Comunicació i Divulgació Col·laboració i intercanvi de coneixement Prevenció, Monitorització i Resposta Pilars Estratègics i Serveis Conscienciació, Formació i Divulgació Administració i Compliment Regulació Tecnològica Intel·ligència de Seguretat Control intern Observatori de Ciberseguretat Enllaç Institucional Monitorització i Resposta Coordinació Estratègica I+D+I

6  En la AAPP Catalana existeixen en aquests moments “Illes” de seguretat que no comparteixen ni informació, ni mètodes ni eines.  Oficina de Seguretat Salut  Oficina de Seguretat Interior  IMI  CTTI …  En la AAPP Catalana existeixen en aquests moments “Illes” de seguretat que no comparteixen ni informació, ni mètodes ni eines.  Oficina de Seguretat Salut  Oficina de Seguretat Interior  IMI  CTTI … Drivers 6 ANS Profunditat Àmbit d'actuació Eficiència Monitoratge Administració Y Complimient Departaments Salut Interior CTTI Ajuntaments PPALS IMI Diputacions AAPP Catalana Intel·ligència  Es planteja ampliar l'amplària de la prestació de serveis amb l'objectius de guanyar Operativitat, Coneixement i Competències alhora d'aconseguir una Reducció de costos d'explotació. Estalvi de Costos

7 Ubicació  Geogràficament  Proximitat d'Universitats que puguin proporcionar personal capacitat.  Àmplia Oferta de Transport Públic que faciliti l'accés a les Instal·lacions.  Proximitat a un punt neutre de comunicacions que faciliti les esteses de línies de comunicació.  Funcionalment  Convergència de Seguretat.  Punt únic d'entrada i gestió d'incidents.  Concepció única de Seguretat –Instal·lacions Físiques –Ciutadans –Infraestructures i Tecnologies de la Informació  L'únic punt en contra seria la concentració en una única instal·lació de les diferents organitzacions d'emergències de Catalunya, la qual cosa provoca una concentració del risc de indisponibilitat.  És necessari avaluar el criteri de cost enfront del criteri de risc 7  El centre del 112 podria ser la millor opció d'ubicació física del futur centre.

8 Model de Govern 8 Autoritat Nacional deCiberseguretat Pla Nacional de Ciberseguretat Comitè de Control ANS Adreça ANS Enllaç Institucional Consell Assessor Grup de Col·laboració en Ciberseguretat Conseller de Presidència Conseller d'Interior Director General de Mossos Director ANS Secretaria general Presidència Secretària General Administració i Funció pública Director general de Telecomunicacions i societat de la informació Director ANS 2º Nivell Membres d'Autoritat Nacional de Ciberseguretat Grans Empreses Catalanes de Seguretat Món Tecnològic Experts Internacionals Representació de ENISA Representació Universitat Representació AAPP i àmbit local. Reunió Semestral de Seguiment Establiment d'Estratègies en matèria de Ciberseguretat Definició de Pressuposats Definició de Línies d'Actuació Reunió Bimensual Control Pressupostari Seguiment d'Actuacions

9 Punts de Partida  Traspàs complet dels serveis de seguretat de la informació de les diferents organitzacions de la AAPP Catalana a la nova Agència.  APDCAT seguirà funcionant com un organisme independent. L'Agència actués com a àrbitre controlant a la APDCAT en temes de protecció de Dades.  Els Serveis d'Infraestructura de CATCERT (PKI, CA, RA, VA…) poden ser traspassats a l'Agència, principalment per qüestió d'imatge. La resta de serveis es traspassaran a un altre departament, com per exemple AOC. En una anàlisi més profunda haurà de plantejar-se una privatització total per oferir serveis en el núvol de certificació electrònica i tercera part de confiança. 9

10 Punts de Partida (II)  El Director de l'Agència deurà ser un perfil de l'àmbit policial, i l'agència tindrà una dependència de la Direcció general de la Policia, integrant-se en ella la unitat de *cibercrimen.  Aquest model de Dependència té un factor a avaluar:  En proposar estar dins de l'organització de Mossos, pot ser que, en referència al Grup de Col·laboració en *Ciberseguretat, les empreses privades no participin o no aportin informació útil per a aquesta col·laboració.  Recolzar-se en el coneixement, experiència i informació d'entitats privades i multinacionals catalanes (*Caixa, Aigües de Barcelona, *Abertis, Gas Natural, *Grifols, *Banc de Sabadell, Seat, etc…) per construir la cèl·lula d'intel·ligència.  Des del primer moment ser transparent en la comunicació de creació del centre cap a l'exterior. La seguretat de la No Seguretat. 10

11 Contingut 11 Concepció Estratègica Desplegament tàctic Estimació Econòmica

12 Prestació Actual Serveis Seguretat Conscienciació,For mació i Divulgació Administració i Compliment Regulació Tecnològica Intel · ligència de Seguretat – I+D+I Control intern Monitorització i Resposta - Observatori Assistència remota a vulnerabilitats i incidents Generació d'alertes i advertències Monitoratge de la Seguretat Gestió d'Incidències Anàlisi d'incidents Servei de Suport Continuïtat. BIA, BCP i PRD dels Serveis de la Generalitat de Catalunya Seguretat en Sistemes d'Informació Suport a responsables de seguretat Departamentals (RSI) Servei de Suport SGSI Gestió de la Seguretat Serveis de formació Difusió de noticies i comunicats Foment de la formació en Seguretat Campanyes de Sensibilització (A través del projecte TIC.cat) Assessorament per a l'homologació com a proveïdor TIC de la Generalitat de Catalunya º Auditories i Seguretat de la Informació Guíes Jurídiques de Seguretat TIC Lista de configuracions segures de sistemes Auditoria i Compliment Normatiu Desenvolupament Marc Normatiu Serveis de Certificació Digital IdCat Validador Coordinació Estratègica - Enllaç Institucional Serveis Seguretat CESICAT Oferta i promocions Serveis de Seguretat (Altres institucions) Internos: N/A:Internos: N/AInternos: 29Internos: 5Internos: 11: Personal Int: 4 Ext: 15 Int: 11 Ext: 4 Int: 9 Ext: 13 Int: 3 Ext: 1 Int: 2 Ext: 2 Int: 3 Ext: 4 Int: 7 Ext: 0 45 39

13 Estratègia d’actuació 13 Consolidar Crèixer Madurar Temps Conscienciaci ó, Formació i Divulgació Administració i Compliment Regulació Tecnològica Intel·ligència de Seguretat Control intern Observatori de Ciberseguretat Enllaç Institucional Monitorització i Resposta Coordinació Estratègica I+D+I Temps Conscienciació, Formació i Divulgació Administració i Compliment Regulació Tecnològica Intel·ligència de Seguretat Control intern Observatori de Ciberseguretat Enllaç Institucional Monitorització i Resposta Coordinació Estratègica I+D+I Temps Conscienciació, Formació i Divulgació Administració i Compliment Regulació Tecnològica Intel·ligència de Seguretat Control intern Enllaç Institucional I+D+I TEMPS

14 Eficiències  Tot el personal intern dedicat a activitats tecnològiques o de seguretat seran traspassats i si és necessari reciclats per realitzar activitats en l'Agència.  Existeix una diferència de sis perfils que haurien de reemplaçar perfils externs, disminuint així el cost dels serveis contractats.  L'adopció de tasques per part del personal intern de serveis subcontractats avui dia, permetrà al seu torn la disminució de les partides de subcontractació a curt termini.  Amb el plantejament de “Àmbit d'Actuació” proposat en el pla estratègic hauria de marcar-se un objectiu d'estalvi del XX% en contractació externa pel que fa a la despesa actual. 14

15 Eficiències (II)  L'ús de tecnologies basades en open source per a certes tasques d'administració i seguiment pot tenir un estalvi de costos significatius en el desplegament de l'agència.  Així mateix, l'homogeneïtzació i estandardització d'eines i activitats i la centralització de tots els processos de seguretat en un model de centre de serveis compartit redundarà en estalvis de costos substancials.  Si ben aquest punt no es pot considerar com a eficiències, ja que estaria dins del concepte d'ingressos, l'Agència podria convertir-se en una “Marca Blanca” d'altres organitzacions o companyies i oferir els seus serveis a diferents administracions públiques europees. 15

16 Mapa de Serveis T0 - Consolidació OFICINA DE SEGURETAT MERCAT CIUTADANS Regulació Tecnològica Conscienciació, Formació i Divulgació Control Intern i Qualitat Enllaç Institucional GENERALITAT DE CATALUNYA Monitorització i Resposta Intelligència de Seguretat Administració i compliment Serveis de Certificació Digital I+D+I Ciberespai AA.LL.

17 Mapa de serveis i Governança ANS – T1 – T5 17 CERT OFICINA DE SEGURETAT MOSSOS MERCAT I ENTITATS EXTERNES Conscienciació, Formació i Divulgació MERCA T CIUTADANS Observatori de Cibercim Organismes de Seguretat Ciberespai GENERALITAT DE CATALUNYA Administració i compliment AA.LL. Control Intern i Qualitat I+D+I Regulació Tecnològica Enllaç Institucional Monitorització i Resposta Intelligència de Seguretat Coordinació Estratègica Serveis de Certificació Digital

18 Contingut 18 Concepció Estratègica Desplegament tàctic Estimació Econòmica

19 Pressupostos Serveis Seguretat 2012 19 Valors en milers d’€ Ingressos Auditoría 182705,52197 232,72.333,87 63,32 Seguretat Informació Personal 3.916,000 * Despeses 760,981.868,73 1.286,39 Identitat i Signatura Digital Certificació Gestió Interna 1.397 € 8.306 k € Ingressos Despeses 6397,52 k € TOTAL 410 Seguretat Tecnològica Despeses Ingressos 1.397 €

20 Estimacions 1 any, 3 i 5 anys 20 2.4141176003.916,12160,276101.183,6344 3.775,74 61,8 372,184.154,61249,06244772,0746,7 5.084,68 57,4 385,104.407,62 321,18244823,12 49,5 2 Any 1 Any 3 Any 5 SalarisPCsHosting Certificació DigitalComunicacions Seguretat Marketing Llicències, Mant.,Inversions 1,21 € 1,29 € 1,52 € 115.961,82 € 82.001,19 € 74.330,73 € 107 % 118 % Rati per ciutadà (en €)Cost per Empleat (en €) Increment interanual (en %) (Agència) (Real) (Agència) Valors en miles de € 9.045,02 8.306 739,02 K€ 9.676,14 (Agència) (Real) 1.370,14 K€ 11.372,60 3.066,6 K€ 8.306 (Real)

21 Estimació Despeses Personal 21 35523015522560912526580 Any 1 Any 2 Any 5 ObservatoriIntel·ligència Monitoratge i Resposta Control Intern Admin. I Compliment Concienc. Formació i Divulgació Enllaç Institucional Coord. Estratégica Valors en milers de € Regulació tec. I+D+I 13 4 236 541,06339,5376,62 302,3 6 734,14 132,61 318, 27 270, 53 256, 7 503,93 748,46427,69574,01388,30900,40 275,75 374, 42 365, 79 326,4703,44 3+10 7+01+53+49+133+14+42+25+02+039 int.+40 ext.=79 pax. 1+187+31+124+59+164+47+102+26+07+0 48 int.+70 ext.=118 pax. 1+247+51+184+79+204+68+153+57+09+0 Número de FTEs interns + Número de FTEs externs 53 int.+100 ext.=153 pax. Any 1 : 39 Perfils Interns Agència Personal Traspassat : 45 perfils Any 1 : 39 Perfils Interns Agència Personal Traspassat : 45 perfils

22 Contingut 22 Próximos Pasos

23 Propers Passos  Obrir quatre línies d'actuació en paral·lel:  Dimensionar i quantificar les activitats, subcontractacions i eines en aspectes de seguretat que es realitzen en tot l'entorn de la Generalitat i gran Administració Local. L'objectiu és detallar les possibles eficiències que sorgiran de la concentració i centralització en l'Agència.  Entrar en contacte amb els serveis d'Intel·ligència d'Israel per conèixer l'organització de la seva agència de Ciberseguretat. L'Ertzaintza té bons contactes amb empreses i món governamental Israelià.  Entrar en contacte amb el Massachusetts Advanced Ciber Security *Center amb l'objectiu de conèixer el seu funcionament, organització i activitats; i plantejar un possible marc de col·laboració.  Avaluar diferents possibilitats d'Ubicació Física per al centre tenint en compte requisits funcionals i de cost.  Definir com es va a constituir jurídicament l'Agència.  Desenvolupar el Pla Nacional de CiberSeguretat i crear els diferents comitès de Govern.  Realitzar el disseny de detall de l'agència amb l'operació i el seu model de costos i ingressos. 23

24 Annexes

25 Previsions Pressupost 1, 3 i 5 Anys BACKUP

26 Pressupost Personal BACKUP

27 Comparativa Pressupost Agències Internacionals 27 BACKUP  Càlcul del Pressupost i nombre empleats de l’ANS, tenint en consideració ratis de pressupost i empleats per habitant de les principals Agències internacionals  Extrapolant el nombre d’habitants de Catalunya, el pressupost teòric estimat seria

28 Full de Ruta Prevenció, Monitoratge i Resposta Any 1Actual Any 3Any 5 Publicar amenaces generals, detecció de vulnerabilitats i atacs, tendències de ciberdelicte i indicadors i recomanacions Serveis d'emergències cibernètiques de Catalunya Detecció activa de crim cibernètic Canalitzar i / o rebre de manera centralitzada les alarmes de ciberdelictes Assistència remota a vulnerabilitats i incidents Generació d'alertes i advertències Anàlisi preventiva de vulnerabilitats externes Monitoratge de la Seguretat Gestió d'Incidències Informar els grups d'interès d'amenaces i riscos detectats. Iniciar els mecanismes de control i resposta a les amenaces N/A Agencia BACKUP Observatori de Ciberseguretat Monitorització i Resposta

29 Full de Ruta Prevención, Monitorización y Respuesta Any 1Actual Any 3Any 5 Anàlisi d'incidents Investigació de cibercrim Coordinació amb altres agències de seguretat Anàlisi Forense Coneixement de legislació en matèria de ciberseguretat Suport a la resolució del cibercrim / ciberatac i proposar mesures per enfortir els sistemes de detecció i de seguretat Investigació de cibercrim, amb atribucions per actuar sota autorització amb / sense intervenció dels mossos Legislació en matèria de ciberseguretat Suport a la resolució del cibercrim / ciberatac (incloent atribucions) Agencia BACKUP Intel·ligència de Seguretat

30 Full de Ruta Prevención, Monitorización y Respuesta Any 1Actual Any 3Any 5 Continuïtat. BIA, BCP i PRD dels Serveis de la Generalitat de Catalunya Seguretat en Sistemes d'Informació Suport a responsables de seguretat Departamentals (RSI) Service Support Gestió de la Seguretat Administració i gestió dels sistemes de seguretat d'acord amb la normativa interna Suport i suport al enduriment i gestió de configuracions Control del enduriment i configuració tècnica dels sistemes Reporting intern de seguretat tècnica dels sistemes Control del compliment de la política de confidencialitat i segregació de funcions Administració i gestió dels sistemes de seguretat d'acord amb la normativa interna Serveis de Suport Agencia BACKUP Administració i Compliment

31 Full de Ruta Col·laboració i intercanvi de coneixement Any 1Actual Any 3Any 5 Servei de certificació digital Validador (A través del projecte TIC.cat) Assessorament per a l'homologació com a proveïdor TIC de la Generalitat de Catalunya Definir els criteris mínims de tecnologies aprovades per a ús de la Generalitat Avaluació cíclica de productes Aprovació i Publicació del catàleg de tecnologies autoritzades en l'entorn de la Generalitat Segell de ciberconfiança Marcar les pautes al servei d'R + D + I per al compliment dels criteris IdCat Convertir-se en organisme Certificador i impulsar el desenvolupament de tecnologia catalana de seguretat (amb common criteria) Desenvolupar certificació catalana de seguretat i utilització de tecnologia catalana en els sistemes de seguretat Agencia BACKUP Regulació Tecnològica

32 Full de Ruta Any 1Actual Any 3Any 5 Anàlisi i desenvolupament de noves mesures de detecció de cibercrim Recerca de nous paradigmes i solucions de seguretat en aliança amb una institució acadèmica Suport excepcional a la resolució del cibercrim / ciberatac i proposar mesures per enfortir els sistemes de detecció i de seguretat Cooperació amb altres organismes d'investigació de Ciberseguretat Coordinació amb l'Oficina de Qualitat i Seguretat del Desenvolupament d'Aplicacions del CTTI Agencia Anàlisi i desenvolupament de noves mesures de detecció de ciberatacs Fundació d'un Institut d'Estudis de Ciberseguretat (Institut d'estudis i estratègies de Ciberseguretat) Organització d'esdeveniments puntuals Absorbir les funcions d'aquesta oficina Desenvolupament de solucions i tecnologia dins del propi institut Organització de Congressos internacionals de Ciberseguretat Agencia BACKUP I+D+I Col·laboració i intercanvi de coneixement

33 Full de Ruta Conscienciació i Divulgació Any 1Actual Any 3Any 5 Servir d'interlocutor únic amb administracions i altres Agències Seguretat Fomentar la creació del Consell Català de Securetat Alinear les iniciatives de Seguretat desenvolupades amb les principals tendències internacionals Vetllar pel compliment dels objectius tàctics de les altres unitats Assegurar l'adhesió de la resta d'entitats de la Generalitat als serveis prestats pel Centre Establir un marc permanent de col laboració en les activitats del centre amb els principals actors dels sectors líders en Seguretat de la Informació i líders tecnològics Agencia Coordinar els Serveis de Seguretat oferts per la Generalitat amb les prioritats establertes pel Consell Català de Securetat Liderar les tendències internacionals de seguretat BACKUP Conscienciació, Formació i Divulgació

34 Full de Ruta Any 1Actual Any 3Any 5 Guies jurídiques de seguretat TIC Auditoria i Seguretat de la Informació Llistes de configuració segura de sistemes Auditoria i Compliment Normatiu Marc normatiu i Guies de Seguretat Desenvolupament del cos normatiu de seguretat actualitzat Anàlisi reputacional de directius principals de presidència de la Generalitat Anàlisi de seguretat dels sistemes de suport des Infraestructures Crítiques Anàlisi de seguretat dels sistemes crítics de la Generalitat Anàlisi reputacional de directius de tota la Generalitat i els seus departaments Análsis de seguretat dels sistemes de la Generalitat Anàlisi reputacional de llocs claus d'ajuntaments i altres organismes Anàlisi de seguretat de sistemes d'ajuntaments i altres organismes Agencia BACKUP Control intern

35 Full de Ruta Any 1Actual Any 3Any 5 Servir d'interlocutor únic amb administracions i altres Agències Seguretat Fomentar la creació del Consell Català de Securetat Alinear les iniciatives de Seguretat desenvolupades amb les principals tendències internacionals Assegurar l'adhesió de la resta d'entitats de la Generalitat als serveis prestats pel Centre Establir un marc permanent de col laboració en les activitats del centre amb els principals actors dels sectors líders en Seguretat de la Informació i líders tecnològics Agencia Coordinar els Serveis de Seguretat oferts per la Generalitat amb les prioritats establertes pel Consell Català de Seguretat Liderar les tendències internacionals de seguretat Agencia BACKUP Enllaç Institucional

36 Full de Ruta Any 1Actual Any 3Any 5 Serveis de seguretat CESICAT Oferta i Promoció serveis de seguretat (altres institucions) PASS (Gestor de capacitats d'actuació i representacions) Promocionar i implantar serveis del centre en les principals infraestructures crítiques de Catalunya. Promocionar i implantar serveis del centre en els organismes de presidència de la Generalitat Desenvolupar marcs de col laboració amb universitats per a Investigació i desenvolupament Captar les diferents necessitats de seguretat dels diferents organismes i canalitzar en el centre Agencia Promocionar i implantar serveis del centre en tots els organismes de la Generalitat Fomentar la fundació d'un Institut d'Estudis de Ciberseguretat (Institut d'estudis i estratègies de Ciberseguretat) Promocionar i implantar serveis del centre en els ajuntaments i altres organismes. Agencia BACKUP Enllaç Institucional

37 Estratègia Serveis Catcert 37 Serveis Certificació Digital (ANS) Serveis Avançats  Gestió Entitat Certificadora (CA) Actualment a Telefònica, passaria a CPD core CTTI. Operació CA, Agència  Emissió Certificats Id-CAT T-CAT  Validador  Segell de Temps  PSIS (*a valorar) i-Arxiu PASI PSIS (*a valorar) ERES E-Notum Poden ser prestats externament No són nucli negoci Entitat Registre

38 Pilot Agència 2012  Durant el 2012 es poden encetar projectes interns Generalitat, que involucrin als diferents actors de l’Agència futura, i que serveixi d’embrió de la futura Agència.  El pla de Securització de VIPs pot ser un catalitzador de l’Agència,  Objectiu : Dotar al personal VIP de la Generalitat de les tecnologies i formació per disposar de comunicació segura entre els alts càrrecs garantint en tot moment la disponibilitat i confidencialitat de les seves comunicacions.  Accions destacades –Provisió de Tecnologia: CTTI. Mòbils Satèl·lits, Terminals Tetra, Mòbils Intel·ligents, Tablets. –Controls de Seguretat: CTTI. Securització Dispositius, Securització Comunicacions, Traçabilitat, Establiment de Processos. –Xifratge i autenticació robusta: CTTI i CATCERT. Certificats Digitals –Monitoratge VIPs: CESICAT. 24x7 traçabilitat VIPs –Gestió de Incidents: CESICAT i Mossos. Protocols específics per atendre incidents d’alts càrrecs –Formació: Tots, cap alts càrrecs i escorta. 38

39 Organització i Estructura de les Agències de Seguretat Internacionals 39 Estratègia de Ciberseguretat Nacional Concepte Estratègic de Ciberdefensa Mesures de Protecció de Infraestructures Crítiques Pla d’acció de la Ciberdefensa Pla de Implantació AUTORITAT Nacional de Seguretat CONSELL Nacional de Seguretat AUTORITAT Nacional de Ciberseguretat Comité Nacional de Ciberseguretat Centre Nacional de Ciberseguretat Autoritat Nacional de Ciberdefensa Comité Nacional de Ciberdefensa Centre Nacional de Ciberdefensa  La unitat de Cibercrim dels Mossos d’Esquadra s'integrarà dins de la unitat d'intel·ligència del Centre Nacional de Ciberseguretat en col·laboració amb el personal civil  L’Agència Nacional de Seguretat, integrarà les funcions de seguretat de la informació que a dia d'avui proporcionen el CTTI, Catcert, Cesicat i Apdcat