CIBER SEGURIDAD 1.1

1. Módulo 23 – Metodologías específicas de intervención. Derecho Informático Unidad 1. Ciberseguridad Sesión 1. Introducción a la ciberseguridad Grupo: DE-DEMEIJDI-2302-M23-003 Nombre del estudiante: Yobana Méndez Sánchez Asesora en línea: Julieta Arelí Lara Luna 1

2. ACTIVIDAD INTEGRADORA Cuerpos preventivos y reactivos de ciberseguridad. Derivado de las políticas públicas generadas en materia de uso de las TIC y el desarrollo paralelo de la necesidad de proteger a los usuarios de ataques maliciosos, así como de otros ilícitos informáticos, en nuestro país se han desarrollado cuerpos preventivos y reactivos de ciberseguridad. Con el propósito de identificar sus funciones, realiza lo siguiente: 1. Identifica los cuerpos preventivos y reactivos de ciberseguridad mexicanos. Leyes relacionadas con el delito cibernético No existe una definición de «cibercrimen» y «ciberseguridad» en la legislación mexicana, y México aún no ha adoptado normas internacionales aplicables a los delitos cibernéticos. No se requiere que las organizaciones tengan un conjunto mínimo de medidas de seguridad cibernética, ni están obligados a informar incidentes a las autoridades, lo que hace que la recolección de estadísticas sobre ciberataques sea muy difícil. México no ha promulgado una legislación específica sobre ciberseguridad, aunque se incluyó en el Código Penal Federal una regulación sobre delitos financieros, seguridad de la información y el uso de tecnología en otros delitos, como terrorismo, secuestro y narcotráfico. El 14 de abril de 2015, el Ministerio de Economía publicó en el Boletín Oficial de México, la implementación de dos estándares oficiales mexicanos: NMX-I-27001-NYCE-2015 Tecnologías de la Información-Técnicas de Seguridad-Sistemas de Gestión de Seguridad de la Información -Requisitos, que reproduce las disposiciones establecidas en la ISO / IEC 27001: 2013 Tecnología de la información-Técnicas de seguridad- Sistemas de gestión de seguridad de la información-Requisitos; NMX-I-27002-NYCE-2015 Tecnologías de la Información-Técnicas de Seguridad-Código de Buenas Prácticas para el Control de la Seguridad de la información, que reproduce las disposiciones establecidas en la ISO / IEC 27002: 2013 Information Technology-Security Técnicas-Código de prácticas para los controles de seguridad de la información. Estas normas oficiales mexicanas son obligatorias en México para todo tipo de organizaciones. Código penal Federal En el Código penal mexicano se regulan y penalizan una serie de ciberactividades entre las que están: Piratería El Código Penal Federal establece que quien, sin autorización, modifique, destruya o cause la pérdida de información contenida en sistemas o equipos informáticos protegidos por un mecanismo de seguridad, recibirá una pena de prisión de seis meses a dos años, por la autoridad competente, así como una multa. La multa podría duplicarse en caso de que la 2

3. información se utilice para beneficio propio o para un tercero. Phishing Aquí, el Código Penal Federal no proporciona ninguna definición de phishing; sin embargo, dicho delito podría considerarse fraude. Según el Código Penal Federal, una persona comete fraude cuando maneja información mediante engaño, aprovecha errores o engaña a una persona con la intención de obtener una ganancia financiera. En tal caso, la autoridad competente impondrá una pena de prisión de tres días a 12 años, así como una multa. Infección de sistemas informáticos con malware (incluidos ransomware, spyware, gusanos, troyanos y virus) El Código Penal Federal no proporciona ninguna definición para este delito. Sin embargo, este tipo de comportamiento es similar a la piratería. Las sanciones mencionadas son aplicables en este caso. Posesión o uso de hardware, software u otras herramientas utilizadas para cometer delitos cibernéticos En este caso, se establece este delito penal como piratería, que se describe anteriormente. Robo de identidad o fraude de identidad La Ley de Instituciones de Crédito establece que una persona que produce, fabrica, reproduce, copia, imprime, vende, intercambia o altera cualquier tarjeta de crédito, tarjeta de débito o, en general, cualquier otro instrumento de pago, incluidos los dispositivos electrónicos, emitido por las entidades de crédito, sin autorización del titular, recibirá una pena de prisión de tres a nueve años, por parte de la autoridad competente, así como una multa. Robo electrónico Por ejemplo, abuso de confianza por parte de un empleado actual o anterior, o infracción penal de derechos de autor. Se rige por la misma regulación anterior de la Ley de Instituciones de Crédito. Las sanciones antes mencionadas podrían duplicarse si algún consejero, funcionario, empleado o proveedor de servicios de cualquier institución de crédito comete el delito. Además, actividades como el espionaje, la conspiración, los delitos contra los medios de comunicación, la intercepción de comunicaciones, los actos de corrupción, la extorsión y el lavado de dinero podrían considerarse amenazas a la seguridad, confidencialidad, integridad o disponibilidad de cualquier sistema informático, infraestructura o comunicaciones. El Código Penal Federal establece que una persona que, con o sin autorización, modifique, destruya o cause la pérdida de información contenida en los sistemas de las instituciones de crédito o en los equipos informáticos protegidos por un mecanismo de seguridad, recibirá una pena de prisión de seis meses a cuatro años, así como una multa. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares Esta ley fue promulgada el 27 de enero de 2017, para establecer un marco legal para la protección de datos personales por parte de cualquier autoridad, entidad u órgano de los poderes ejecutivo, legislativo y judicial, partidos políticos y fondos fiduciarios y públicos que 3

4. operan a nivel federal, estatal y municipal. Esta publicación en particular está destinada a abordar los problemas derivados de la protección de datos en el sector privado. La ley exige a los controladores de datos la implementación de medidas de seguridad administrativas, físicas y técnicas para proteger los datos personales contra pérdida, robo o uso no autorizado y deben informar a los interesados de cualquier violación de seguridad. Dichas medidas no serán inferiores a las utilizadas por los controladores de datos para procesar su propia información. Los principales organismos con competencias en materia de ciberseguridad en México son: CERT-MX El Equipo de Respuesta a Incidentes de Seguridad Informática del país, CERT-MX, es un miembro del Foro Mundial de Respuesta a Incidentes y Equipos de Seguridad (FIRST) y sigue un Protocolo de Colaboración con otras entidades gubernamentales. El CERT- MX está muy involucrado en la protección de la Infraestructura Crítica Nacional (ICN). Los interesados coordinan la gestión de seguridad de infraestructuras y comparten información sobre los activos y las vulnerabilidades de la ICN. En todas las agencias gubernamentales, las tecnologías se actualizan regularmente, se realizan copias de seguridad y se adhiere a las disposiciones del Manual Administrativo de Aplicación General de Tecnologías de Información y Comunicaciones y de Seguridad de la Información (MAAGTICSI), el cual se desarrolló con base a normas internacionales como ISO 27001, y COBIT, entre otras. Por otra parte, están en marcha planes de redundancia digital. Policía Federal La División Científica de la Policía Federal de México investiga los delitos cibernéticos nacionales. Trabaja en estrecha colaboración con el CERT-MX y ha recibido capacitación por parte de organizaciones sin ánimo de lucro y de varias organizaciones internacionales. Además, Los fiscales públicos en México están a cargo de investigar las actividades cibernéticas y para resolverlas, se ha creado una policía cibernética para dar seguimiento a los delitos o actividades ilegales cometidas a través de Internet. Las quejas dirigidas a la policía cibernética pueden enviarse a través de su sitio web, por teléfono o mediante una cuenta de Twitter o correo electrónico Informes recientes indican un aumento de la suplantación de identidad (phishing) y amenazas persistentes avanzadas en el país y una disminución de los ataques de denegación de servicio DoS. Si bien las fuerzas del orden cuentan con una amplia capacidad de investigación, México aún está desarrollando una legislación integral sobre delincuencia cibernética, lo que dificulta el enjuiciamiento de tales actos. INAI El INAI es la autoridad federal encargada de supervisar el debido cumplimiento de la legislación de protección de datos en México y está facultada para evaluar si el incidente que originó una 4

5. violación de datos fue causado por un incumplimiento o negligencia. El INAI está a cargo de: garantizar a las personas el derecho de acceso a la información del gobierno público; proteger los datos personales en posesión del gobierno federal y las personas; y resolver denegaciones de acceso a la información que las dependencias o entidades del gobierno federal han formulado. 2. Investiga en fuentes académicamente confiables casos en los que han tenido participación estos cuerpos. A pesar que México ha tenido varios ataques cibernéticos no se cuenta con precedentes de que hayan sido castigados tenemos el siguiente ejemplo: México (SEDENA) El hackeo de SEDENA-papers -–por parte del grupo “Guacamaya”– filtró un total de 4 millones de correos electrónicos de la Secretaría de Defensa Nacional de México, que supervisa el Ejército y la Fuerza Aérea del país. La eventualidad originó preocupación en la reunión bilateral sobre temas de seguridad entre México y Estados Unidos en Washington D.C., ya que el ataque fue dirigido específicamente a la infraestructura militar mexicana. 3. En el documento de texto de la actividad anterior, expón tus hallazgos. Los gobiernos necesitan un centro de coordinación y respuesta a emergencias cibernéticas, ligado a sus sistemas de defensa nacional, donde se puedan implementar protocolos de monitoreo e identificación. Esto con el fin de mejorar las prácticas de resiliencia, proporcionar políticas, recursos y capacidad de respuesta de una manera pronta, efectiva y contundente a incidentes o ataques cibernéticos que pongan en riesgo la seguridad del país. ACTIVIDAD 1. Ciberseguridad y seguridad de la información. Los términos ciberseguridad y seguridad de la información suelen ser utilizados, erróneamente, como sinónimos, sin embargo, existen diferencias significativas entre ellos. Con el propósito de distinguir dichas diferencias. Realiza la siguiente actividad: 1. Lee el apartado “Diferencias entre ciberseguridad y seguridad de la información” del texto de apoyo. 2. Investiga en fuentes académicamente confiables el significado de los términos ciberseguridad y seguridad de la información. 3. En un documento de texto, elabora un cuadro comparativo señalando cinco diferencias sobre la ciberseguridad y la seguridad de la información. Diferencias entre seguridad digital y ciberseguridad La realidad, es que los términos de seguridad digital -o seguridad de la información- y la ciberseguridad no son lo mismo, pero se relacionan, ya que la seguridad digital protege la 5

6. información y la ciberseguridad la infraestructura de los sistemas, sus redes físicas, sistemas informáticos y los datos almacenados del acceso no autorizado. Esto quiere decir, que la ciberseguridad en gran medida sí forma parte de la seguridad digital, y son términos que se relacionan y trabajan de la mano, ya que la ciberseguridad tiene el rol de proteger los equipos físicos, mientras la seguridad digital cumple la importante tarea de conservar la información que circula en dichos dispositivos de los ciberataques. Diferencias entre ciberseguridad y seguridad digital ciberseguridad La ciberseguridad se enfoca exclusivamente en la información y datos en formato digital y en los riesgos que provienen del ciberespacio seguridad digital La seguridad de la información, busca proteger la información en todos los estados y formas en que pueda presentarse (digital, físico o en forma de ideas o conocimiento), de los distintos riesgos a los que pueda estar expuesta. El objetivo de la seguridad de la información es proteger tanto los activos de información en formato digital, como los sistemas informáticos donde están almacenados o donde se procesa esa información, sin importar si están o no interconectados. La seguridad de la información puede ser aplicada por un departamento específico de la organización, en este caso el de TI o seguridad informática, involucrar, necesariamente, al resto de los empleados. La ciberseguridad solo se aplica a sistemas interconectados: eso significa que tiene que ver con la protección de los sistemas donde vive información. o circula la La participación colaboradores de la organización, así como de una formación en determinados aspectos que permitan proteger la información que es valiosa para la organización. Por ejemplo, para la identificación de correos falsos e impedir la efectividad de ataques de phishing. La ciberseguridad no solo plantea estrategias o formas de defensa ante un eventual ataque que pueda poner en riesgo la información digital, sino también se ocupa de estrategias ofensivas para evitar que las amenazas se materialicen y pongan en riesgo confidencialidad y disponibilidad de la ciberseguridad requiere de de la activa todos los sin tener que La seguridad de la información solo tiene que ver con medidas defensivas: eso quiere decir que su objetivo es reducir al máximo los peligros que pueden poner en riesgo la información de la empresa. la integridad, 6

7. información. La ciberseguridad, en cambio, utiliza métodos, herramientas e innovaciones tecnológicas que se van actualizando y renovando continuamente, a fin de estar siempre un paso por delante de los delincuentes informáticos, amenazas y puntos débiles en los sistemas, así como prevenir ataques. En el caso de la seguridad de la información, su adecuado funcionamiento va a depender de la aplicación de normas específicas, como la ISO 27001, así como herramientas, tecnologías y medidas de seguridad para asegurar la protección de la información. Por ejemplo, hay normas que pueden obligar a la empresa a almacenar la información de los clientes por un tiempo determinado. identificar ACTIVIDAD 2. Protocolo Nacional Homologado de Gestión de Incidentes Cibernéticos. El Protocolo Nacional Homologado de Gestión de Incidentes Cibernéticos es un documento que permite gestionar de forma coordinada los incidentes cibernéticos de mayor criticidad e impacto en activos esenciales de información, mediante la aplicación de procedimientos y mejores prácticas de Ciberseguridad, para la contención y mitigación de amenazas cibernéticas, a fin de mantener niveles de riesgo aceptables. Con el propósito de analizar avance de esta estrategia, realiza lo siguiente: 1. Concluye la lectura del texto de apoyo. 2. Consulta el Protocolo Nacional Homologado de Gestión de Incidentes Cibernéticos y el Plan Nacional de Desarrollo 2019-2024. 3. Identifica los objetivos principales del Protocolo. Artículo 1 del Protocolo Nacional Homologado de Gestión de Incidentes Cibernéticos y el Plan Nacional de Desarrollo 2019-2024.- El presente Acuerdo tiene por objeto emitir las políticas y disposiciones para impulsar el uso y aprovechamiento de la informática, el gobierno digital, las tecnologías de la información y comunicación, y la seguridad de la información, que serán de observancia obligatoria en la Administración Pública Federal. Estarán exceptuadas de su aplicación, las Secretarías de la Defensa Nacional y de Marina, así como el Centro Nacional de Inteligencia. 4. Señala las acciones que se han efectuado para alcanzar dichos objetivos. Gestionar de forma coordinada los incidentes cibernéticos de mayor criticidad e impacto en activos esenciales de información, mediante la aplicación de procedimientos y mejores prácticas de Ciberseguridad, para la contención y mitigación de amenazas cibernéticas, a fin de mantener niveles de riesgo aceptables. se han analizado diversos marcos de referencia internacionales, guías y documentos relacionados con mejores prácticas, 7

8. así mismo, se han determinado como base para su aplicación las que se describen a continuación. Como metodología de aplicación, se ha establecido el marco de referencia sobre Ciberseguridad del Instituto Nacional de Estándares y Tecnología de Estados Unidos de América (Cybersecurity Framework CSF, por sus siglas en inglés1) en virtud de que recopila algunas de las mejores prácticas de estándares como la Organización Internacional de Estandarización (ISO, por sus siglas en inglés) y la Unión Internacional de Telecomunicaciones (ITU, por sus siglas en inglés). El Marco de Referencia de Ciberseguridad de NIST permite a cualquier organización: a) describir la postura actual de ciberseguridad b) describir el objetivo deseado de la ciberseguridad c) identificar y priorizar las áreas de oportunidad d) evaluar el progreso hacia el objetivo de ciberseguridad deseado, y e) establecer la comunicación entre las partes interesadas. El presente Protocolo está orientado principalmente en las funciones establecidas por el CSF que comprenden:  Identificar  Proteger  Detectar  Responder  Recuperar La fase de preparación que incluye las actividades de identificación y protección, se realizarán de manera permanente a fin de determinar y mejorar el nivel de implementación en las Instituciones de la Administración Pública Federal, y son marco de referencia y guía de colaboración con las Entidades Federativas, Organismos Constitucionales Autónomos, Academia e Instancias del Sector Privado del país; los niveles están definidos conforme al CSF descritos a continuación: Marco para mejorar la Ciberseguridad de la Infraestructura Crítica (Framework for 8

9. Improving Critical Infrastructure Cybersecurity) del Instituto Nacional de Estándares y Tecnología (National Institute of Standards and Technology,NIST). Guía de Mejores Prácticas para la Gestión de Incidentes (ENISA) (MarcadorDePosición2) (s.f.). DGIRE. (2022). Seguridad Digital. México, México: UNAM. Diario Oficial de la Federación. (06 de 09 de 2021). ACUERDO POR EL QUE SE EMITEN LAS POLÍTICAS Y DISPOSICIONES PARA IMPULSAR EL USO Y APROVECHAMIENTO DE LA INFORMÁTICA, EL GOBIERNO DIGITAL, LAS TECNOLOGÍAS DE LA INFORMACIÓN Y COMUNICACIÓN, Y LA SEGURIDAD DE LA INFORMACIÓN EN LA ADMINISTRACIÓN PÚBLICA FEDER. México, México: Secretaría de Gobernación. Forbes Content. (01 de febrero de 2023). Cuatro de los ciberataques más grandes de 2022. México, México: Forbes. Gaceta Parlamentaria. (25 de abril de 2023). INICIATIVA CON PROYECTO DE DECRETO POR EL QUE SE EXPIDE DE LEY FEDERAL DE CIBERSEGURIDAD. México, México: Camara de Diputados . Secretaría de Seguridad y Protección Ciudadana Guardia Nacional. (octubre de 2021). Protocolo Nacional Homologado de Gestión de Incidentes Cibernéticos. México, México: Presidencia de la República Coordinación de Estrategia Digital Nacional. UNADM. (octubre de 2023). Texto de apoyo módulo 23 Metodologías Específicas de Intervención: unidad 1 Ciberseguridad sesión 1 Introducción a la ciberseguridad. México, México: División de Ciencias Sociales y Administrativas / Derecho. 9