Norma 009 – Normas de Clasificación y Tratamiento de la Información en la Administración Pública |
Norma 016 – Normas Técnicas de la Infraestructura Nacional de la Certificación Electrónica |
Norma 022 – Manual de Actualización y Aprobación de Políticas y Prácticas de Certificación |
Norma 027 – Procedimiento para la Solicitud de la Acreditación o Renovación de Proveedores de Servicios de Certificación |
Norma 032 – Infraestructura Nacional de Certificación Electrónica: Estructura, Certificados y Lista de Certificados Revocados |
Norma 34 – Procedimiento para las Inspecciones Ordinarias y Extraordinarias a los Proveedores de Servicios de Certificación |
Norma 040 – Guía de Estándares Tecnológicos y Lineamientos de Seguridad para la Acreditación y Renovación como Proveedor de Servicios de Certificación o Casos Especiales |
Norma 042 – Guía para la Gestión del Registro de Auditores |
Norma 043 – Procedimiento para la Realización de Auditoría en el Ámbito de las Tecnologías de la Información y Comunicación |
Norma 045 – Guía Modelo de Informe de Auditoría en el Ámbito de las Tecnología de la Información y Comunicación |
Norma 047 – Código de Ética para Auditores |
Norma 054 – Declaración de Prácticas de Certificación y Política de Certificados de la Autoridad de Certificación Raíz de Venezuela |
Norma 059 – Guía para la Autorización de Cambios en la Plataforma Tecnológica de los Proveedores de Servicios de Certificación Electrónica Acreditados |
Norma 063 – Guía para la Gestión de Certificación Cruzada |
Norma 075 – Procedimientos para la Solicitud y Realización de Auditoría de Personas Jurídicas en el Ámbito de las Tecnología de la Información y Comunicación |
Norma 083 – Guía para la Solicitud y Proceso de Auditoría de Infraestructura de Clave Pública (PKI) |
Norma 086 – Procedimiento para la Solicitud de Incorporación de Autoridades de Registro Externas para los Proveedores de Servicio de Certificación |
Solicitud para la Auditoría PKI |
Solicitud de Acreditación o Renovación para Proveedor de Servicios de Certificación |
Planilla de Solicitud de Incorporación de Autoridad de Registro Externa para los Proveedores de Servicios de Certificación |
Constitución de la República Bolivariana de Venezuela |
Ley sobre mensajes de Datos y Firmas Electrónicas |
Ley Orgánica de Ciencia, Tecnología e Innovación |
Ley de Infogobierno |
Ley de Infogobierno |
Ley Orgánica de Telecomunicaciones |
Ley Orgánica Contra la Delincuencia Organizada |
Ley Sobre Acceso e Intercambio Electrónico de Datos, Información y Documentación Entre los Órganos y Entes del Estado |
Ley Orgánica de Procedimientos Administrativos |
Ley Orgánica del Trabajo, los Trabajadores y las Trabajadoras |
Ley Orgánica de la Administración Pública |
Ley Orgánica de Protección al Niño, Niña y Adolescente |
Ley Orgánica Sobre el Derecho de las Mujeres a Una Vida Libre de Violencia |
Ley Orgánica Contra la Delincuencia Organizada y Financiamiento al Terrorismo |
Ley Orgánica de Registro Civil |
Código Civil de Venezuela |
Código de Procedimiento Civil de Venezuela |
Código Orgánico Tributario |
Código Orgánico Procesal Penal |
VenCERT |
Cenif |
Reglamento Parcial del Decreto Ley sobre Mensajes de Datos y Firmas Electrónicas |
Consejos sobre Seguridad en Internet para Padres y Maestros |
Consejos para padres y educadores |
Los adolescentes pasan más de 18 horas a la semana en Internet |
Prevenir el robo de identidad |
¿Cómo crear una buena contraseña? |
¿Cómo protegerte al buscar trabajo en red? |
¿Qué es el cyberbullying o ciber-acoso? |
¿Qué hacen nuestros hijos cuando no están en la escuela? |
Consejos para niños y adolescentes de 8 a 10 años |
Consejos para niños y adolescentes de 11 a 13 años |
Consejos para jovenes de 14 a 15 años |
¿Qué es Ilegal en Internet para evitar meterse en problemas? |
No te arriesgues |
Descubren punto debil en la autenticación RSA |
Google añade busqueda segura mediante HTTPS |
Sistemas de control de acceso MAC Y DAC |
Identidad Electrónica SUSCERTE |
Identidad Electrónica |
La Gerencia de Gestión Incidentes Telemáticos (Vencert) se define como el brazo técnico estratégico del Estado venezolano, cuya responsabilidad es garantizar la soberanía tecnológica y la seguridad de la información. Su misión de salvaguardar los sistemas del Estado y las Infraestructuras Críticas se materializa a través de un modelo de gestión de riesgos.
Los encargados a nivel nacional de asegurar que las prácticas de tecnología y gestión de la seguridad sean usadas adecuadamente, así como resistir ataques en sistemas interconectados, limitar los daños que reciban estos sistemas y asegurar la seguridad en las infraestructuras de servicios críticos; son por sus siglas en ingles los CERT (Computer Emergency Response Team) – (Equipo de Respuesta a Incidentes Informáticos)
El equipo del Sistema Nacional de Gestión de Incidentes Telemáticos de Venezuela -VenCERT- coordinado desde esta Superintendencia tiene la competencia de detectar y gestionar los incidentes telemáticos generados en los sistemas de la administración pública nacional.
El trabajo que se emplea en la Seguridad Informática se encargada de diseñar los procesos, técnicas y métodos para proteger la información digital en los medios informáticos, atendiendo de tres pilares fundamentales, los cuales son:
La confidencialidad: consiste en asegurar que sólo el personal autorizado acceda a la información que le corresponde.
La integridad: consiste en asegurarse de que la información no se pierda ni se vea comprometida.
La disponibilidad: que esté disponible en el tiempo y forma exclusivamente para el personal autorizado.
Existe una gran diferencia en la clasificación de los eventos o incidencias dentro de la seguridad de la información, en la que se conceptualizan de la siguiente manera:
• Evento en la Seguridad de la Información: Cualquier evento identificado en un sistema de información, servicio o estado de la red que indica una posible infracción en la seguridad de la información, en la política o fallo en los controles, o una situación previamente desconocida que puede ser relevante para la seguridad.
• Incidente en la Seguridad de la Información: Cuando el evento se puede clasificar como no deseado o inesperado dentro de los eventos de seguridad de la información y además tienen una probabilidad significativa de comprometer las operaciones comerciales y suponen una seria amenaza para la seguridad de la información
VenCERT, está encargado de la prevención, detección y gestión de los incidentes generados en los sistemas de información de la Administración Pública Nacional y los Entes Públicos a cargo de Infraestructuras Críticas de la nación; Además gestiona los incidentes telemáticos emitidos por el Sistemas de Monitorización de Alertas Tempranas (SMAT) en los sistemas/portales de la Administración Pública Nacional. Dentro de sus competencias también destaca:
• Lectura de bitácora log.
• Ejecución de evaluaciones de seguridad a portales web, esto con el fin de ayudar a las infraestructuras en el proceso de corregir sus vulnerabilidades.
• Inspecciones técnicas de infraestructura de red.
La Gerencia de Estandarización, Acreditación y Fiscalización es la unidad técnica normativa responsable de establecer los procedimientos para el cumplimiento de los estándares en materia de certificación electrónica por parte de los Proveedores de Servicios de Certificación (PSC) y solicitantes con la finalidad de que estos actores tecnológicos operen bajo niveles de excelencia, seguridad y legalidad.
Un certificado electrónico, emitido y firmado por un PSC permite autenticar a su signatario, esto apunta a un rol significativo de la certificación electrónica en el modelado de la identidad del usuario, permitiéndole identificarse de forma segura y confiable.
Las Autoridades de Certificación principales de los PSC Acreditados están subordinadas a la AC Raiz del Estado Venezolano, siendo por lo tanto, el segundo nivel de la Infraestructura Nacional de Certificación Electrónica con la finalidad de emitir, renovar, revocar y suspender los certificados electrónicos a los diferentes signatarios.
Actualmente, en Venezuela existen seis (06) Proveedores de Servicios de Certificación (PSC) acreditados por SUSCERTE, uno de carácter público, la Fundación Instituto de Ingeniería para Investigación y Desarrollo Tecnológico (FIIIDT), y otros cinco de carácter privado como, Proveedor de Certificados PROCERT C.A, Authenticsing, Soluciones Tecnológicas Apacuana C.A. Documentos Digitales PSC y Soluciones Financieras Chinchin.
Por otra parte, SUSCERTE contempla el proceso de acreditación y renovación a los solicitantes y PSC bajo su norma N° 027, la cual tiene como objeto y campo de aplicación la descripción de los procedimientos y recaudos que deben presentarse por parte de los solicitantes para tales procesos.
Así mismo, la Norma N° 040 “Guía de estándares tecnológicos y lineamientos de seguridad para la Acreditación como Proveedor de Servicios de Certificación”, la cual contiene la descripción y aspectos a evaluar de todos los recaudos técnicos exigidos para la prestación de servicios de certificación, incluso presenta una serie de anexos donde se especifica la documentación solicitada y se ejemplifica la estructura de muchos de los recaudos solicitados.
Cabe destacar, que en la Norma SUSCERTE N.º 032 Infraestructura Nacional de Certificación Electrónica: estructura, certificados y listas de certificados revocados, se especifican los tipos de certificados que pueden emitir los PSC tales como los de firma electrónica que van destinados a las personas naturales, personas jurídicas, entre otros.
Respecto a los recaudos de auditoría, el solicitante debe aprobar una auditoría que efectuará un auditor de SUSCERTE, quien se regirá por las normativas establecidas por la Superintendencia y las normativas y estándares internacionales para la realización de la auditoría técnica de infraestructura de clave pública (PKI).
La Gerencia de Seguridad Informática es la unidad estratégica responsable de la ejecución, supervisión y control de las políticas criptográficas en el entorno de la certificación electrónica. Su labor no es estática; se traduce en un ciclo continuo de acciones y directrices técnicas destinadas a blindar las Infraestructuras de Clave Pública.
De acuerdo a lo expresado en el ejemplar “PKI Infraestructura de Clave Pública”, la criptografía puede ser vista al momento de ser utilizada, como un proceso donde los cálculos matemáticos realizados para camuflar o cifrar cierta información con valor confidencial suelen ser sencillos.
La palabra criptografía proviene según la Real Academia Española, de las palabras griegas «criptos» (oculto) y «grafos» (escritura). Es la técnica, ciencia o arte de la escritura secreta, su principio básico es mantener la privacidad de la comunicación entre dos entidades, alterando el mensaje original de modo que sea incomprensible a toda persona distinta del destinatario; a esto se le puede atribuir de cierta forma la autenticación de quien manda el mensaje, de modo que un tercero no pueda hacerse pasar por el emisor.
Los certificados electrónicos pueden identificar a las personas y/u organizaciones, convirtiéndose de esta manera en documentos de identidad que contienen información importante con respecto a su portador, por ejemplo: nombre, fecha de nacimiento o constitución y dirección. Generar un certificado electrónico, garantiza la integridad de un documento digital o cualquier acción cometida sobre éste.
Toda persona está acostumbrada a usar su firma autógrafa, especialmente para sus actos civiles y mercantiles al firmar cheques, contratos y otros. La firma electrónica es la forma análoga de una firma escrita, la cual identifica al firmante y lo relaciona con los datos firmados.
Es así como cada día se acerca el momento en que la firma electrónica se emplee con mayor auge. La seguridad de la firma electrónica se basa en el uso de la criptografía valiéndose de mecanismos de cifrado de la información para que no sea accedida por personas no autorizadas, estas características de cifrado otorgan las siguientes propiedades a la firma electrónica:
• Autenticidad, vincula de forma única el documento a su autor
• Integridad, verifica la no alteración de los datos del documento original, desde que fue firmado.
• No repudio, garantiza que el emisor no pueda negar o repudiar su autoría o existencia, ser susceptible de verificación ante tercero
La Infraestructura Nacional de Certificación Electrónica es el conjunto de servidores, programas (software), dispositivos criptográficos, políticas, normas y procedimientos, dispuestos y utilizado de manera exclusiva por la Autoridad de Certificación Raíz y los PSC acreditados para la generación, almacenamiento y publicación de los certificados electrónicos, así como también, para la publicación de información y consulta del estado de vigencia y validez de dichos certificados. Esta Infraestructura se basa en dos pilares fundamentales, tales como la confianza y la tecnología.
La Infraestructura Nacional de Certificación Electrónica, fue concebida según Providencia emitida el 2 de marzo de 2007, en la cual se establecen las Normas Técnicas bajo las cuales SUSCERTE coordinará e implementará el modelo jerárquico de dicha infraestructura, para que los PSC emitan los certificados electrónicos en el Marco del Decreto Ley sobre Mensajes de Datos y Firmas Electrónicas y su Reglamento.
La AC Raíz del Estado Venezolano emite, renueva, revoca, suspende y firma su propio certificado electrónico, de acuerdo a lo establecido en la Declaración de Prácticas de Certificación y Políticas de Certificados, siendo este el primer nivel de la Infraestructura Nacional de Certificación Electrónica. Este certificado se denomina certificado electrónico raíz o certificado electrónico auto-firmado.
La Gerencia de Investigación, Formación y Desarrollo en Certificación y Seguridad Informática, es el área destinada a la investigación de temas relacionados con la criptografía, seguridad informática, ciberseguridad e informática forense, destacando que cada uno de estos temas son llevados a un proceso minucioso de tratamiento pedagógico.
De esta manera, se desarrollan actividades formativas, que finalmente se despliegan hacia la generación de líneas de formación dirigidos a una población especializada o al público en general; tras una serie de conocimientos, competencias, habilidades y destrezas propias del tema a desarrollar, encaminados a fortalecer las acciones propias del autoresguardo en cuanto a seguridad de la información y la comunicación, así como el manejo seguro de las tecnologías; dando prioridad a las comunidades especializadas en la seguridad informática nacional.
El objetivo es atender los nudos críticos, para asegurar la calidad y la seguridad de los sistemas tecnológicos y de la información. En tal sentido, la Gerencia de Investigación, Formación y Desarrollo en Seguridad Informática, la responsable de investigar, desarrollar nuevos conocimientos, diseñar y ejecutar estrategias formativas en el área tecnológica, para la concientización sobre las vulnerabilidades que pueden existir y la importancia de prevenirlas. Además, de generar seguimiento a los procesos de captación de participantes para su incursión en los cursos de formación; alineando las acciones para su desarrollo, promoción y divulgación. Todo ello tras el seguimiento de las acciones de validación de información, trato directo con los participantes de los cursos, entre otras acciones que garantizan el logro de las actividades en la plataforma virtual.
Es importante señalar, que la creación y actualización del aula virtual de Suscerte propicia elementos importantes de comunicación con los participantes de los programas de formación, generando una comunicación mas directa, efectiva y asertiva para el logro de sus procesos de formación.
