Culmina el proyecto de Protección de Infraestructuras Críticas CRICTISIM

CRICTISIM es un proyecto que se enmarca dentro del programa CIPS de la Dirección de Asuntos Internos de la Comisión Europea, con el objetivo de investigar el comportamiento de los Sistemas de Información de las Infraestructuras Críticas, detectar los puntos críticos y las vulnerabilidades del sistema para de esta forma poder prevenir mejor los riesgos ante posibles ataques. Las Infraestructuras Críticas se encuentran continuamente expuestas a diversas amenazas, ya que son claves para el desarrollo y sostenibilidad económico-social, y cualquier fallo o ataque provocaría graves consecuencias.

El consorcio del proyecto ha desarrollado una metodología que permite la evaluación de las Infraestructuras Críticas TIC (en inglés CII), mediante el cálculo de su disponibilidad, mantenibilidad y fiabilidad, y la evaluación del impacto de modificaciones en la infraestructura en estos parámetros, a través de una herramienta de simulación. Esta metodología, llamada MIMICS (Modeling Infrastructure Method for ICT Critical Systems) basada en RAMS (Reliability, Availability, Maintainability and Safety) ha sido ampliada para contemplar: hardware, software, procesos y operacional, seguridad informática, red y eventos de contingencia. Además, se ha iniciado el desarrollo de un conjunto de plantillas con modelos prediseñados de CIIs comunes, que permiten facilitar la aplicación de la metodología.

Para las seis áreas que evalúa, MIMICS ha sido conceptualizado para analizar las interdependencias de cada uno de estos componentes en relación con el resto. También permite simular escenarios de estrés pensados para comprobar la resiliencia de la infraestructura en algún aspecto concreto.

El empleo de MIMICS e IRIS (IT RAMS Infrastructure Simulator) para el caso de una infraestructura crítica sanitaria permitiría a los gestores de la infraestructura realizar simulacros de situaciones de estrés que de otra manera no se podrían llevar a cabo.

Los resultados que se desprenden de las simulaciones han permitido dar una base numérica, estadística y concreta en los siguientes términos a modo de ejemplo: la redundancia en los sistemas del CPD, la red de comunicaciones, los procesos de puesta en producción de nuevas versiones de software y los procesos de operación.

Tenemos el convencimiento de que hay ciertos aspectos en los que los operadores críticos podrían tener márgenes de mejora sensibles a la hora de diseñar y operar sus sistemas, tales como: las aplicaciones de software que gestionan los servicios, los controles que se ponen en práctica, el rendimiento de los recursos humanos y el análisis del impacto de las situaciones de contingencia.

El análisis ha permitido detectar un problema de base. Hasta la fecha, el análisis se realizaba de forma parcial, por áreas, sin cubrir todos ellos en conjunto y con sus respectivas interdependencias. El consorcio de CRICTISIM (GMV, Isdefe, CTTI y CNPIC) está apostando decididamente por ofrecer una oferta diferente y diseñada específicamente para la protección de infraestructuras TIC que permita a las infraestructuras críticas mejorar su nivel de resiliencia permitiéndoles cumplir con los requisitos con los que van a tener que cumplir en un futuro próximo.

Es por esta razón que una vez culminado el proyecto CRICTISIM, el desarrollo de la metodología MIMICS y del entorno de simulación va a continuar. Durante los próximos meses, GMV se basará en el feedback proporcionado por los resultados actuales con la intención de: aumentar los niveles de personalización, aumentar los niveles de precisión y añadir nuevas funcionalidades.

Los resultados de este proyecto han sido posibles gracias a la participación de los miembros del consorcio ISDEFE, CNPIC, CTTI y GMV, así como a la colaboración de otras organizaciones como el Sistema de Emergencias Médicas de la Generalitat de Catalunya. 

Este proyecto ha sido financiado con el apoyo de la Prevención, Preparación y Gestión de las Consecuencias del Terrorismo y otros relacionados con la seguridad del Programa de Riesgos de la Comisión Europea - Dirección General de Asuntos Internos". Esta publicación [comunicación] es responsabilidad exclusiva del autor, y la Comisión no se hace responsable del uso que pueda hacerse de la información contenida en él.