Agència Nacional de Seguretat

1. Agència Nacional de Seguretat

2. Contingut ConcepcióEstratègica Desplegamenttàctic Estimació Econòmica

3. Missió i Visió VISIÓ Convertir-se en l'autoritat de coordinació i resposta davant ciberamenaces que puguin atemptar contra els interessos dels ciutadans, empreses i administracions públiques catalanes Centre especialista en ciberseguretatque proporciona als ciutadans, empreses i administracions catalanes serveis orientats: • Reduir les dependències de terceres pars en l’estratègia de ciberseguretat, desenvolupant teixit empresarial Català • Promoure una cultura conscienciada amb els riscos inherents a la societat de la informació • Respondre de forma ràpida i eficient a les amenaces que puguin sorgir • Donar suport en la recuperació davant incidents en matèria de seguretat de la informació • Col • laborar amb entitats públiques i privades en la millora de la gestió de seguretat OBJECTIUS ESTRATÈGICS

4. Valors ADMINISTRACIÓ COORDINACIÓ ESTÁNDARS AUTORITAT D'acord amb els pilars estratègics i els objectius, el valor principal de l’Agència és la C de Catalunya que representa Coordinació,  Innovaciói Qualitat com a valors principals de la Seguretat Nacional. EXCEL·LÈNCIA COL·LABORACIÓ RESILÈNCIA I INNOVACIÓ CIUTADANS • Tot el disseny de l'Agència se sustenta en el concepte del Govern de les 3 A’s: • Aprimament • Agilitat • Austeritat QUALITAT EFICIENCIA COMUNICACIÓ PROVEÏDORS

5. Pilars Estratègics i Serveis Observatori de Ciberseguretat RegulacióTecnològica Conscienciació, Formació i Divulgació Monitorització i Resposta I+D+I Resilència Col·laboració i intercanvi de coneixement Comunicació i Divulgació Prevenció, Monitorització i Resposta Intel·ligència de Seguretat Administració i Compliment Control intern Enllaç Institucional Coordinació Estratègica

6. Drivers Profunditat • En la AAPP Catalana existeixen en aquestsmoments “Illes” de seguretat que no comparteixen ni informació, ni mètodes ni eines. • Oficina de SeguretatSalut • Oficina de Seguretat Interior • IMI • CTTI … Intel·ligència Administració Y Complimient Monitoratge AAPP Catalana • Ajuntaments PPALS • IMI ANS • Departaments • Salut • Interior • CTTI Diputacions Àmbitd'actuació • Es planteja ampliar l'amplària de la prestació de serveisambl'objectius de guanyarOperativitat, Coneixement i Competènciesalhorad'aconseguir unaReducció de costos d'explotació. Estalvide Costos Eficiència

7. Ubicació • Geogràficament • Proximitatd'Universitats que puguin proporcionar personal capacitat. • ÀmpliaOferta de TransportPúblic que facilitil'accés a les Instal·lacions. • Proximitata un puntneutre de comunicacions que faciliti les esteses de línies de comunicació. • Funcionalment • Convergènciade Seguretat. • Puntúnicd'entrada i gestiód'incidents. • Concepcióúnica de Seguretat • Instal·lacionsFísiques • Ciutadans • Infraestructuresi Tecnologies de la Informació • L'únicpunt en contra seria la concentració en una única instal·lació de les diferentsorganitzacionsd'emergències de Catalunya, la qual cosa provoca una concentració del risc de indisponibilitat. • Ésnecessari avaluar el criteri de costenfront del criteri de risc • El centre del 112 podria ser la milloropciód'ubicació física del futur centre.

8. Model de Govern • Conseller de Presidència • Consellerd'Interior • Director General de Mossos • Director ANS • Secretaria general Presidència • Secretària General Administració i Funció pública • Director general de Telecomunicacions i societat de la informació Pla Nacional de Ciberseguretat Autoritat Nacional deCiberseguretat • Director ANS • 2º NivellMembresd'Autoritat Nacional de Ciberseguretat • Reunió Bimensual • Control Pressupostari • Seguimentd'Actuacions Comitè de Control ANS • GransEmpreses Catalanes de Seguretat • MónTecnològic • ExpertsInternacionals • Representació de ENISA • RepresentacióUniversitat • RepresentacióAAPP i àmbit local. AdreçaANS ConsellAssessor • Reunió Semestral de Seguiment • Establimentd'Estratègies en matèria de Ciberseguretat • Definició de Pressuposats • Definició de Líniesd'Actuació Enllaç Institucional Grup de Col·laboració en Ciberseguretat

9. Punts de Partida • Traspàscompletdelsserveis de seguretat de la informació de les diferentsorganitzacions de la AAPP Catalana a la nova Agència. • APDCAT seguiràfuncionantcom un organismeindependent. L'Agènciaactuéscom a àrbitrecontrolant a la APDCAT en temes de protecció de Dades. • ElsServeisd'Infraestructura de CATCERT (PKI, CA, RA, VA…) poden ser traspassats a l'Agència, principalment per qüestiód'imatge. La resta de serveis es traspassaran a un altredepartament, com per exempleAOC. En una anàlisimés profunda haurà de plantejar-se una privatització total per oferirserveis en el núvol de certificacióelectrònica i tercera part de confiança.

10. Punts de Partida (II) • El Director de l'Agènciadeurà ser un perfil de l'àmbit policial, i l'agènciatindrà una dependència de la Direcció general de la Policia, integrant-se en ella la unitat de *cibercrimen. • Aquestmodel de Dependència té un factor a avaluar: • En proposar estar dins de l'organització de Mossos, pot ser que, en referència al Grup de Col·laboració en *Ciberseguretat, les empresesprivades no participin o no aportininformació útil per a aquestacol·laboració. • Recolzar-se en el coneixement , experiència i informaciód'entitatsprivades i multinacionals catalanes (*Caixa, Aigües de Barcelona, *Abertis, Gas Natural, *Grifols, *Banc de Sabadell, Seat, etc…) per construir la cèl·lulad'intel·ligència. • Des del primer moment ser transparent en la comunicació de creació del centre cap a l'exterior. La seguretat de la No Seguretat.

11. Contingut ConcepcióEstratègica Desplegamenttàctic Estimació Econòmica

12. Prestació Actual Serveis Seguretat ANS 45 39 Personal Internos: N/A: Internos: N/A Internos: 29 Internos: 5 Internos: 11: Monitorització i Resposta - Observatori Intel · ligència de Seguretat – I+D+I Administració i Compliment Regulació Tecnològica Conscienciació,Formació i Divulgació Control intern CoordinacióEstratègica - Enllaç Institucional

13. Estratègia d’actuació RegulacióTecnològica Conscienciació, Formació i Divulgació Observatori de Ciberseguretat Observatori de Ciberseguretat RegulacióTecnològica RegulacióTecnològica Conscienciació, Formació i Divulgació Conscienciació, Formació i Divulgació I+D+I Monitorització i Resposta Monitorització i Resposta I+D+I I+D+I Intel·ligència de Seguretat Intel·ligència de Seguretat Intel·ligència de Seguretat Administració i Compliment Control intern Administració i Compliment Administració i Compliment Enllaç Institucional Temps Control intern Control intern Enllaç Institucional Enllaç Institucional Temps Temps Coordinació Estratègica Coordinació Estratègica TEMPS

14. Eficiències • Tot el personal interndedicat a activitatstecnològiques o de seguretatserantraspassats i si ésnecessarireciclats per realitzaractivitats en l'Agència. • Existeix una diferència de sisperfils que haurien de reemplaçarperfilsexterns, disminuintaixí el costdelsserveiscontractats. • L'adopció de tasques per part del personal intern de serveissubcontractatsavuidia, permetrà al seutorn la disminució de les partides de subcontractació a curttermini. • Amb el plantejament de “Àmbitd'Actuació” proposat en el plaestratègichauria de marcar-se un objectiud'estalvi del XX% en contractació externa pel que fa a la despesa actual.

15. Eficiències (II) • L'ús de tecnologiesbasades en open sourceper a certes tasques d'administració i seguimentpottenir un estalvi de costos significatius en el desplegament de l'agència. • Aixímateix, l'homogeneïtzació i estandarditzaciód'eines i activitats i la centralització de totselsprocessos de seguretat en un model de centre de serveiscompartitredundarà en estalvis de costos substancials. • Si ben aquestpunt no es pot considerar com a eficiències, ja que estariadins del concepted'ingressos, l'Agènciapodria convertir-se en una “Marca Blanca” d'altresorganitzacions o companyies i oferirelsseusserveis a diferentsadministracionspúbliqueseuropees.

16. Mapa de Serveis T0 - Consolidació Serveis de Certificació Digital Control Intern i Qualitat AA.LL. Regulació Tecnològica MERCAT Ciberespai I+D+I Intelligència de Seguretat OFICINA DE SEGURETAT Monitorització i Resposta Conscienciació, Formació i Divulgació Enllaç Institucional Administració i compliment CIUTADANS GENERALITAT DE CATALUNYA

17. Mapa de serveis i Governança ANS – T1 – T5 MOSSOS Control Intern i Qualitat Serveis de Certificació Digital Observatori de Cibercim CERT AA.LL. MERCAT I ENTITATS EXTERNES Organismes de Seguretat Regulació Tecnològica Coordinació Estratègica MERCAT I+D+I Intelligència de Seguretat OFICINA DE SEGURETAT Monitorització i Resposta Conscienciació, Formació i Divulgació Enllaç Institucional Administració i compliment Ciberespai CIUTADANS GENERALITAT DE CATALUNYA

18. Contingut ConcepcióEstratègica Desplegamenttàctic Estimació Econòmica

19. Pressupostos Serveis Seguretat 2012 Valors en milers d’€ Auditoría Ingressos Seguretat Informació 232,7 410 2.333,87 Despeses Personal 182 705,52 197 Seguretat Tecnològica 63,32 Identitat i Signatura Digital 3.916,000 * Ingressos Certificació 760,98 1.286,39 1.868,73 Despeses Gestió Interna 1.397 € Ingressos 1.397 € Despeses 6397,52 k € Ingressos TOTAL 8.306 k € Despeses

20. Estimacions 1 any, 3 i 5 anys Valorsen miles de € Marketing Salaris PCs Hosting CertificacióDigital Comunicacions Seguretat Llicències, Mant.,Inversions Rati per ciutadà (en €) Cost per Empleat (en €) Incrementinteranual (en %) Any1 (Agència) 9.045,02 2.414 117 600 3.916,12 160,27 610 1.183,63 44 (Real) 8.306 1,21 € 115.961,82 € 739,02 K€ Any3 (Agència) 9.676,14 3.775,74 61,8 372,18 4.154,61 249,06 244 772,07 46,7 (Real) 8.306 1,29 € 82.001,19 € 107 % 1.370,14 K€ Any5 11.372,60 5.084,68 57,4 321,18 244 823,12 49,52 385,10 4.407,62 (Agència) 8.306 (Real) 74.330,73 € 1,52 € 118 % 3.066,6 K€

21. Estimació Despeses Personal Valorsen milersde € Enllaç Institucional Control Intern Admin. I Compliment I+D+I Coord. Estratégica Observatori Intel·ligència Monitoratge i Resposta Regulaciótec. Concienc. Formació i Divulgació Número de FTEsinterns+ Número de FTEsexterns Any1 Any 1 : 39 Perfils Interns Agència Personal Traspassat : 45 perfils 355 230 155 225 609 134 236 125 265 80 7+0 1+5 3+4 9+13 3+1 4+4 2+2 5+0 2+0 39 int.+40 ext.=79 pax. 3+10 Any2 541,06 339,5 376,62 302,36 734,14 256,7 503,93 132,61 318, 27 270,53 48 int.+70 ext.=118 pax. 1+18 7+3 1+12 4+5 9+16 4+4 7+10 2+2 6+0 7+0 Any5 748,46 427,69 574,01 388,30 900,40 326,4 703,44 275,75 374, 42 365,79 1+24 7+5 1+18 4+7 9+20 4+6 8+15 3+5 7+0 9+0 53 int.+100 ext.=153 pax.

22. Contingut Próximos Pasos

23. PropersPassos • Obrirquatrelíniesd'actuació en paral·lel: • Dimensionar i quantificar les activitats, subcontractacions i eines en aspectes de seguretat que es realitzen en totl'entorn de la Generalitat i gran Administració Local. L'objectiués detallar les possibleseficiències que sorgiran de la concentració i centralització en l'Agència. • Entrar en contacte ambelsserveisd'Intel·ligènciad'Israel per conèixerl'organització de la sevaagència de Ciberseguretat. L'Ertzaintza té bons contactes ambempreses i móngovernamentalIsraelià. • Entrar en contacte amb el Massachusetts AdvancedCiber Security *Center ambl'objectiu de conèixer el seufuncionament, organització i activitats; i plantejar un possiblemarc de col·laboració. • Avaluar diferentspossibilitatsd'Ubicació Física per al centre tenint en compterequisitsfuncionals i de cost. • Definir com es va a constituir jurídicamentl'Agència. • Desenvolupar el Pla Nacional de CiberSeguretati crear elsdiferentscomitès de Govern. • Realitzar el disseny de detall de l'agènciaambl'operació i el seumodel de costos i ingressos.

24. Annexes

25. BACKUP PrevisionsPressupost 1, 3 i 5 Anys

26. Pressupost Personal BACKUP

27. Comparativa Pressupost Agències Internacionals BACKUP • Càlcul del Pressupost i nombre empleats de l’ANS, tenint en consideració ratis de pressupost i empleats per habitant de les principals Agències internacionals • Extrapolant el nombre d’habitants de Catalunya, el pressupost teòric estimat seria

28. Prevenció, Monitoratge i Resposta Prevenció, Monitoratge i Resposta BACKUP Full de Ruta Actual Any1 Any3 Any5 Agencia • Publicar amenaces generals, detecció de vulnerabilitats i atacs, tendències de ciberdelicte i indicadors i recomanacions • Serveis d'emergènciescibernètiques de Catalunya Observatori de Ciberseguretat Agencia • Detecció activa de crimcibernètic • Canalitzar i / o rebre de manera centralitzada les alarmes de ciberdelictes Agencia Agencia • Assistència remota a vulnerabilitats i incidents • Generaciód'alertes i advertències • Anàlisi preventiva de vulnerabilitatsexternes • Monitoratge de la Seguretat • Gestiód'Incidències • Informar els grups d'interès d'amenaces i riscosdetectats. • Iniciar elsmecanismes de control i resposta a les amenaces Monitorització i Resposta N/A N/A

29. Prevención, Monitorización y Respuesta Prevención, Monitorización y Respuesta BACKUP Full de Ruta Actual Any1 Any3 Any5 • Anàlisid'incidents • Investigació de cibercrim • Coordinació amb altresagències de seguretat • Anàlisi Forense • Coneixement de legislació en matèria de ciberseguretat • Suport a la resolució del cibercrim / ciberatac i proposar mesures per enfortirelssistemes de detecció i de seguretat • Investigació de cibercrim, amb atribucions per actuar sota autorització amb / senseintervenciódelsmossos • Legislació en matèria de ciberseguretat • Suport a la resolució del cibercrim / ciberatac (incloentatribucions) Intel·ligència de Seguretat Agencia Agencia Agencia Agencia Agencia Agencia Agencia Agencia

30. Prevención, Monitorización y Respuesta Prevención, Monitorización y Respuesta BACKUP Full de Ruta Actual Any1 Any3 Any5 • Continuïtat. BIA, BCP i PRD dels Serveis de la Generalitat de Catalunya • Seguretat en Sistemesd'Informació • Suport a responsables de seguretatDepartamentals (RSI) • ServiceSupport • Gestió de la Seguretat • Administració i gestiódelssistemes de seguretatd'acord amb la normativa interna • Suport i suport al enduriment i gestió de configuracions • Control del enduriment i configuraciótècnicadelssistemes • Reporting intern de seguretattècnicadelssistemes • Control del compliment de la política de confidencialitat i segregació de funcions • Administració i gestiódelssistemes de seguretatd'acord amb la normativa interna • Serveis de Suport Administració i Compliment Agencia Agencia Agencia Agencia Agencia Agencia

31. Col·laboració i intercanvi de coneixement BACKUP Full de Ruta Actual Any1 Any3 Any5 RegulacióTecnològica • Servei de certificació digital • Validador • (A través del projecte TIC.cat) Assessorament per a l'homologaciócom a proveïdor TIC de la Generalitat de Catalunya • Definir elscriterismínims de tecnologiesaprovades per a ús de la Generalitat • Avaluació cíclica de productes • Aprovació i Publicació del catàleg de tecnologiesautoritzades en l'entorn de la Generalitat • Segell de ciberconfiança • Marcar les pautes al serveid'R + D + I per al complimentdelscriteris • IdCat Agencia Agencia Agencia Agencia Agencia Agencia • Convertir-se en organisme Certificador i impulsar el desenvolupament de tecnologia catalana de seguretat (amb commoncriteria) Agencia • Desenvoluparcertificació catalana de seguretat i utilització de tecnologia catalana en elssistemes de seguretat Agencia

32. Col·laboració i intercanvi de coneixement BACKUP Full de Ruta Actual Any1 Any3 Any5 Agencia I+D+I • Anàlisi i desenvolupament de noves mesures de detecció de cibercrim • Recerca de nousparadigmes i solucions de seguretat en aliança amb una institucióacadèmica • Suport excepcional a la resolució del cibercrim / ciberatac i proposar mesures per enfortirelssistemes de detecció i de seguretat • Cooperació amb altresorganismesd'investigació de Ciberseguretat • Coordinació amb l'Oficina de Qualitat i Seguretat del Desenvolupamentd'Aplicacions del CTTI Agencia Agencia Agencia Agencia Agencia • Anàlisi i desenvolupament de noves mesures de detecció de ciberatacs • Fundaciód'unInstitutd'Estudis de Ciberseguretat (Institutd'estudis i estratègies de Ciberseguretat) • Organitzaciód'esdevenimentspuntuals • Absorbir les funcionsd'aquesta oficina Agencia Agencia Agencia • Desenvolupament de solucions i tecnologiadins del propi institut • Organització de Congressosinternacionals de Ciberseguretat Agencia Agencia

33. Conscienciació i Divulgació BACKUP Full de Ruta Actual Any1 Any3 Any5 Agencia Conscienciació, Formació i Divulgació • Servir d'interlocutorúnic amb administracions i altresAgències Seguretat • Fomentar la creació del Consell Català de Securetat • Alinear les iniciatives de Seguretat desenvolupades amb les principalstendènciesinternacionals • Vetllarpelcomplimentdelsobjectiustàctics de les altresunitats • Assegurarl'adhesió de la resta d'entitats de la Generalitat alsserveisprestatspel Centre • Establir un marcpermanent de col • laboració en les activitats del centre amb elsprincipalsactorsdelssectorslíders en Seguretat de la Informació i líderstecnològics Agencia Agencia Agencia Agencia Agencia • Coordinar els Serveis de Seguretat oferts per la Generalitat amb les prioritatsestablertespelConsell Català de Securetat Agencia • Liderar les tendènciesinternacionals de seguretat Agencia

34. BACKUP Full de Ruta Actual Any1 Any3 Any5 • Guiesjurídiques de seguretat TIC • Auditoria i Seguretat de la Informació • Llistes de configuració segura de sistemes • Auditoria i ComplimentNormatiu • Marc normatiu i Guies de Seguretat • Desenvolupament del cosnormatiu de seguretatactualitzat • Anàlisireputacional de directiusprincipals de presidència de la Generalitat • Anàlisi de seguretatdelssistemes de suport des InfraestructuresCrítiques • Anàlisi de seguretatdelssistemescrítics de la Generalitat Control intern Agencia Agencia Agencia Agencia Agencia • Anàlisireputacional de directius de tota la Generalitat i elsseusdepartaments • Análsis de seguretatdelssistemes de la Generalitat Agencia • Anàlisireputacional de llocsclausd'ajuntaments i altresorganismes • Anàlisi de seguretat de sistemesd'ajuntaments i altresorganismes Agencia Agencia

35. BACKUP Full de Ruta Actual Any1 Any3 Any5 • Servir d'interlocutorúnic amb administracions i altresAgències Seguretat • Fomentar la creació del Consell Català de Securetat • Alinear les iniciatives de Seguretat desenvolupades amb les principalstendènciesinternacionals • Assegurarl'adhesió de la resta d'entitats de la Generalitat alsserveisprestatspel Centre • Establir un marcpermanent de col • laboració en les activitats del centre amb elsprincipalsactorsdelssectorslíders en Seguretat de la Informació i líderstecnològics Enllaç Institucional Agencia Agencia Agencia Agencia Agencia • Coordinar els Serveis de Seguretat oferts per la Generalitat amb les prioritatsestablertespelConsell Català de Seguretat Agencia • Liderar les tendènciesinternacionals de seguretat Agencia

36. BACKUP Full de Ruta Actual Any1 Any3 Any5 • Serveis de seguretat CESICAT • Oferta i Promocióserveis de seguretat (altresinstitucions) • PASS (Gestor de capacitatsd'actuació i representacions) • Promocionar i implantar serveis del centre en les principalsinfraestructurescrítiques de Catalunya. • Promocionar i implantar serveis del centre en elsorganismes de presidència de la Generalitat • Desenvoluparmarcs de col • laboració amb universitats per a Investigació i desenvolupament • Captar les diferentsnecessitats de seguretatdelsdiferentsorganismes i canalitzar en el centre Enllaç Institucional Agencia Agencia Agencia Agencia • Promocionar i implantar serveis del centre en totselsorganismes de la Generalitat • Fomentar la fundaciód'unInstitutd'Estudis de Ciberseguretat (Institutd'estudis i estratègies de Ciberseguretat) Agencia Agencia • Promocionar i implantar serveis del centre en elsajuntaments i altresorganismes. Agencia

37. Estratègia Serveis Catcert Serveis Certificació Digital (ANS) Serveis Avançats • i-Arxiu • PASI • PSIS (*a valorar) • ERES • E-Notum • Gestió Entitat Certificadora (CA) • Actualment a Telefònica, passaria a CPD core CTTI. • Operació CA, Agència • Emissió Certificats • Id-CAT • T-CAT • Validador • Segell de Temps • PSIS (*a valorar) • Poden ser prestats externament • No són nucli negoci Entitat Registre

38. Pilot Agència 2012 • Durant el 2012 es poden encetar projectes interns Generalitat, que involucrin als diferents actors de l’Agència futura, i que serveixi d’embrió de la futura Agència. • El pla de Securització de VIPs pot ser un catalitzador de l’Agència, • Objectiu : Dotar al personal VIP de la Generalitat de les tecnologies i formació per disposar de comunicació segura entre els alts càrrecs garantint en tot moment la disponibilitat i confidencialitat de les seves comunicacions. • Accions destacades • Provisió de Tecnologia: CTTI. Mòbils Satèl·lits, Terminals Tetra, Mòbils Intel·ligents, Tablets. • Controls de Seguretat: CTTI. Securització Dispositius, Securització Comunicacions, Traçabilitat, Establiment de Processos. • Xifratge i autenticació robusta: CTTI i CATCERT. Certificats Digitals • Monitoratge VIPs: CESICAT. 24x7 traçabilitat VIPs • Gestió de Incidents: CESICAT i Mossos. Protocols específics per atendre incidents d’alts càrrecs • Formació: Tots, cap alts càrrecs i escorta.

39. Organització i Estructura de les Agències de Seguretat Internacionals AUTORITAT Nacional de Seguretat CONSELL Nacional de Seguretat AUTORITAT Nacional de Ciberseguretat • La unitat de Cibercrim dels Mossos d’Esquadra s'integrarà dins de la unitat d'intel·ligència del Centre Nacional de Ciberseguretat en col·laboració amb el personal civil • L’Agència Nacional de Seguretat , integrarà les funcions de seguretat de la informació que a dia d'avui proporcionen el CTTI, Catcert, Cesicat i Apdcat Autoritat Nacional de Ciberdefensa Comité Nacional de Ciberseguretat Comité Nacional de Ciberdefensa Centre Nacional de Ciberseguretat Centre Nacional de Ciberdefensa