jueves, 22 de noviembre de 2012

Piratas Informaticos

Todos oímos el termino Hacker, Pirata informático, pero ¿sabemos lo que es?, uno de los primeros hacker fue una mujer, trabajaba para el gobierno de los Estados Unidos.... Grace Murray Hooper . Empecemos por definir el termino y diferenciar entre los distintos significados o interpretaciones que hay.
Hacker Es un experto informático, o apasionado de la tecnología, que siente curiosidad por el funcionamiento de las cosas, tanto software (programas) como hardware (dispositivos físicos), intenta medir las capacidades de dichos elementos, realizando muchas veces funciones, para los que el software o hardware ni siquiera estaba pensado,de esa manera descubre errores, pero también nuevas aplicaciones.
A principios de los 60 en el MIT Instituto Tecnológico de Massachusetts y el Laboratorio de Inteligencia Artificial se empezaba con el Software Libre, muchos consideraban a estos entusiastas, expertos informáticos y grandes científicos, apasionados de la informática como hackers.Hoy en día, el termino utilizado hasta la saciedad por los medios de comunicacion, ha desvirtuado su significado Original.Se considera a los hackers simplemente como piratas informáticos, sin pensar, que muchas denuncias que mantienen nuestros derechos en la red, son hechas por hackers y profesionales de la seguridad informática.Existen distintos términos para definir hoy en día a los hacker,incluso algunos de ellos, diseñados por los propios hackers para diferenciar, los objetivos o habilidades en una comunidad que se define por el estudio y el conocimiento.
Quizás no te has parado a pensar que en la red hay muchos intereses, y grandes sumas de dinero,las organizaciones criminales, se dedican a ganar dinero y contratan expertos informáticos, para diseñar complejos sistemas de ataque,en este articulo ya hablamos de ello Evolucion del Malware.
Además hoy en día es relativamente sencillo encontrar tutoriales para utilizar diversas herramientas casi sin conocimientos, y algunos chiquitos buscan reconocimiento y fama, atacando sitios que son vulnerables, muchas veces por falta de información.Hablando de Anonymous.
Sin embargo hay un gran grupo de profesionales, con muchos conocimientos, dedicando desinteresadamente muchas horas, para investigar, difundir y progresar en esto de la seguridad informática.......los verdaderos Hackers.
Seguridad Jabalí para Todos!!!
 
FUENTE: seguridadjabali

Secure Boot: Windows 8 con protección contra bootkit

El ansiado sucesor de Windows 7, Windows 8, acaba de ser oficialmente lanzado al mercado. A nivel de características generales, presenta una nueva interfaz gráfica (GUI) denominada Metro, integración con servicios de Microsoft, entre otras mejoras. Sin embargo, también presenta varias novedades con respecto a la seguridad de la información. Una de estas, y quizás la más controversial, es Secure Boot. Antes de explicar en qué consiste este cambio, es importante aclarar algunos conceptos. En la actualidad, la mayoría de las PC implementan un firmware denominado BIOS (Basic Input/Output). Este software, es el encargado de gestionar elementos vitales para que la computadora pueda encenderse (inicia piezas de hardware como CPU, discos duros, memoria RAM, tarjetas de videos, periféricos como teclado y mouse, entre otros). Una vez que dicho proceso culmina de forma exitosa, el BIOS llama al boot loader, componente esencial para inicializar el sistema operativo.
Aunque el BIOS es una tecnología antigua que ha sido actualizada en varias oportunidades para mejorar la compatibilidad con nuevas generaciones de computadoras, su diseño posee ciertas limitaciones que afectan la seguridad como por ejemplo, que un código malicioso modifique el boot loader sin mayores dificultades. Por otro lado, Intel desarrolló UEFI (Unified Extensible Firmware Interface). Actualmente, UEFI es mantenido por un consorcio de empresas entre las que destacan Intel, Dell, Apple, HP, entre otras. A partir de Windows 8, Microsoft cambió su postura con respecto a la seguridad exigiéndoles a los fabricantes, que adopten esta tecnología en detrimento del veterano BIOS. Para fomentar este cambio, Microsoft exige a aquellas computadoras que vengas instaladas con Windows 8 de 64 bit, que implementen UEFI en caso que deseen pasar la prueba de compatibilidad y puedan ser vendidas con el logo de Windows 8. También, aquellos fabricantes que no se adhieran a este requerimiento, no recibirán beneficios de marketing ni tampoco podrán adquirir licencias por volumen.
A continuación se muestran dos esquemas que explican el funcionamiento actual de inicio a través del BIOS en comparación con Secure Boot:
Como puede observarse, cualquier malware bootkit puede modificar el boot loader y el sistema operativo se iniciaría sin advertirle nada al usuario. Esta situación cambió con el nuevo modelo de inicio que implementó Microsoft:
Este requerimiento de implementar UEFI se justifica en el sentido que Secure Boot depende de esta tecnología para poder ser implementado. Secure Boot impide que la computadora inicie el sistema operativo si el boot loader no posee un certificado digital válido producto de la modificación arbitraria de un código malicioso. De este modo, cualquier malware tipo bootkit como el que se describe en nuestra publicación Bootkit Olmasco: ¿una evolución de TDL4?, no podrá funcionar de forma efectiva. Asimismo, este tipo de códigos maliciosos poseen la particularidad de iniciarse en una etapa muy temprana de la carga de Windows, por lo tanto, la amenaza obtiene el control completo del sistema pudiendo interferir en el funcionamiento de soluciones antivirus, en el proceso de remoción del malware, entre otras acciones complejas. Como Secure Boot requiere que el boot loader esté firmado correctamente, se dificulta que un bootkit funcione adecuadamente. En complemento con Secure Boot, Microsoft también implementó otra característica que permite mejorar la protección del sistema operativo ante una infección de un bootkit. Se trata de Early Launch Anti Malware (ELAM), tecnología que permite cargar programas que no sean de Microsoft como soluciones de seguridad mientras se inicia Windows 8. Esto es importante porque permite que un software como ESET Smart Security, se cargue en una etapa temprana y se facilite la detección de códigos maliciosos complejos como rootkit y bootkit.
Con respecto a la seguridad de la información resulta positivo ambos cambios que Microsoft adoptó, sin embargo, Secure Boot no está exento de controversias y críticas. Sus detractores aducen que no podrán instalar otros sistemas operativos como Linux por no poseer el certificado digital correspondiente, no obstante, para la tranquilidad de estos usuarios, empresas como Canonical (Ubuntu) y Red Hat, implementaron métodos para soportar esta tecnología. Asimismo, parte de las exigencias de Microsoft respecto a Secure Boot y los fabricantes es que estos permitan desactivar en UEFI dicha opción
 Fuente: Autor: André Goujon. Especialista de Awareness & Research

La Justicia acorrala a La Nube



Agustina Sirvén (Informática Legal)
Agustina Sirvén (Informática Legal)
Por Agustina Sirvén. Abogada. Colaboradora de www.informaticalegal.com. Docente de Derecho Informático en la Universidad de Buenos Aires y Universidad de Belgrano.
A la Justicia hace rato que una figura intangible y cambiante le quita el sueño. Por esa razón –y por su propia naturaleza–, deambula sin cesar en medio de una nebulosa esfera virtual intentando cercar –sin demasiado éxito– a este nuevo fenómeno. Sin embargo, en este último tiempo, en la Argentina y en el mundo se han condensado tal cantidad de reclamos legales, que grandes de la tecnología empezaron a experimentar turbulencias en su –hasta ahora– casi despejado y sereno vuelo entre las nubes.
Hoy en la Tierra se respira un aire diferente. Tras incontables intentos, parece que ha llegado el momento esperado y también temido por varios: la Justicia rodea y envuelve a La Nube desde varios frentes. 
En cuanto a derechos personalísimos (derecho al honor, imagen e intimidad), Google y Yahoo! recientemente enfrentaron –a raíz del caso de la actriz Paola Krum– una fuerte sentencia de la Sala “J” de la Cámara Nacional de Apelaciones en lo Civil, en la cual se consideró que a los buscadores se les debe aplicar responsabilidad objetiva, y no subjetiva, como se había dispuesto en primera instancia. ¿Qué significa esto?, que los buscadores “son cosas riesgosas”, y por tal motivo, se les impone la obligación genérica de no dañar, lo que equivaldría a monitorear los millones de contenidos subidos por millones de usuarios por segundo; adicionándosele además que la ilicitud de la acción se computará desde el momento en que ésta deviene dañosa (1).
Mientras tanto, en el exterior, el panorama parece aún más grave. En Brasil, la Justicia Electoral ordenó arrestar al presidente de Google de aquel país por el delito de “desobediencia” por no retirar unos videos de YouTube en los que se atacaban con calumnias, injurias y difamaciones a un candidato a alcalde del Municipio de Campo Grande, Alcides Bernal (2).
Por otro lado, en Australia, se condenó a pagar a Google la suma de 208 mil dólares por difamación a un hombre, pues cada vez que éste introducía su nombre en los motores de búsqueda, se lo vinculaba erróneamente al mundo criminal. El juez del caso, afirmó que “Google Inc. es como un quiosco de prensa que vende un periódico que contiene un artículo difamatorio. Si bien no hubo una intención específica de publicar un material difamatorio, hay una intención relevante por parte del ‘quiosco’ de publicar el ‘periódico’ con el propósito de difamar“(3).
Por otra parte, en Italia se está discutiendo una reforma de ley que permitiría que cualquier persona que considere que una publicación en Wikipedia es ofensiva para su imagen, pueda solicitar la corrección o eliminación de dicho contenido (4). 
Tratándose de derechos de autor y propiedad intelectual, la lista de casos contra gigantes 2.0 aumenta día tras día.
Mientras Cuevana afronta una investigación penal por infracción a la ley N° 11.723 de Propiedad Intelectual, los creadores de Taringa! –acusados de facilitar descarga de archivos sin autorización– actualmente enfrentan el juicio oral de la causa; y el creador de Megaupload, Kim Dotcom Schmidtz, luego de ser demandado por las autoridades estadounidenses –por el servicio de alojamiento de archivos a través de Internet–, se encuentra preparando un nuevo negocio pero esta vez “blindado legalmente”.
Y Google ahora también es atacado pero no precisamente por la industria cinematográfica. En España, Alemania, Bélgica, Francia y Brasil, el buscador ha sido fuertemente cuestionado por grupos de comunicación que sostienen que Google reproduce sus contenidos periodísticos sin pagar ningún tipo de canon, comisión o derechos de autor.
Un dato no menor informado por Infoadex, empresa de control publicitario en España, es que “los ingresos por publicidad de Google cuadriplican a los de todos los medios españoles juntos”. Pese a eso, el buscador se defiende alegando que hace un “uso justo” y que su motor de búsqueda redirecciona 4.000 millones de clics al mes hacia los medios de comunicación, procediendo la mayoría de Google News, y que los periódicos tienen que “rentabilizar los clics que les enviamos de una forma que les garantice el futuro” (5).
Además, recientemente ‘Wall Street Journal’ ha dado a conocer que Google deberá pagar a la Comisión Federal de Comercio (FTC) de Estados Unidos una multa de 22,5 millones de dólares por “el espionaje” que realizó a través de cookies sin el consentimiento de usuarios del navegador Safari de Apple.
Para cercar aún más a La Nube, en España circuló la versión que se filtró un Decreto-Ley borrador de reforma a la Ley de Propiedad Intelectual, la cual fue criticada por muchos por ser retrógrada y sólo beneficiar a un modelo de industria cultural arcaico (6). 
En relación a los derechos de consumidores que contratan en Internet, a Mercado Libre SRL también la Justicia llamó a su puerta. Fue demandado por daños y perjuicios y finalmente recibió una sentencia desfavorable de la Sala K de la Cámara Civil, en la cual se dispuso que debe responder solidariamente por una estafa sufrida por usuarios que contrataron a través de esa página (7).
¿En qué se basó la decisión? 1) En que al tratarse de un contrato electrónico “se le aplicarán las mismas reglas generales que a todos los contratos y que si ellos además integran una relación de consumo, serán regidos por los principios contenidos en la Ley 24.240 como en la Ley 26.361”, 2) “Mercado Libre lucra, no solamente con el espacio que proporciona a los usuarios, sino con las operaciones que ellos realizan allí”, y  3) “no es discutible que Mercado Libre es un intermediario que integra una cadena comercial y, siendo tal, será solidariamente responsable con los otros sujetos integrantes de esa red”.
Las redes sociales y sus usuarios, tampoco están exentos.
En España, la Agencia Española de Protección de Datos (AEPD) ha propuesto al Gobierno que evalúe la posibilidad de publicar una norma que exija el documento nacional de identidad a los menores de edad para acceder a servicios de información, sobre todo a las redes sociales (8).
En Inglaterra, se condenó a 12 meses de prisión en primera instancia a un ciudadano veinteañero por sus dichos en Facebook, conforme la Ley de Telecomunicaciones que considera delitos a los mensajes electrónicos públicos ofensivos o amenazantes (9).
En tanto en Argentina, la red social Twitter –a raíz de su nueva política de derechos de autor–, aseguró que “dejará en evidencia pública a quien copie o hurte material intelectual de otro usuario” a través del bloqueo del tweet y éste será reemplazado por otro que dirá: “Este tweet de @usuario ha sido retenido por violar las normas de derecho de autor” (10).
De una esfera virtual de libertad en la que se podía hacer –casi– cualquier cosa, se pasó a una realidad virtual-legal en la cual Internet es responsable ante varios reclamos, enfrentando diversas y pesadas sanciones que llegan, incluso, a penas a prisión.
Ojalá encontremos un término medio, un paraguas legal que proteja los intereses de todos, con fórmulas legales amplias (ni restrictivas, ni desproporcionadas) a fin de evitar presiones innecesarias a La Nube, que impidan su desarrollo y terminen en una lluvia de incumplimientos a causa de reglamentaciones imposibles de cumplir en la práctica.
Entre tanta niebla, resulta complicado distinguir el camino legal a seguir; pero aún sin brújula es evidente que debemos movernos “entre algodones” y que, “sin grises”, no hay nubes.
Referencias
(1) Según lo publicado por la editorial La Ley, con fecha 12 de octubre de 2012, en el artículo “Criterios de responsabilidad para los buscadores de Internet” (F. Tomeo).
(2) Según lo publicado por el Diario La Nación con fecha 26 de septiembre de 2012.
(3) Según lo publicado por el periódico digital español ABC.es con fecha 12 de noviembre de 2012.
(4) Según lo publicado por el sitio imapas.net con fecha 2 de noviembre de 2012.
(5) Según lo publicado en el diario EL PAIS con fecha 11 de noviembre de 2012.
(6) Según lo publicado por el sitio español FayerWayer con fecha 9 de noviembre de 2012.
(7) Sentencia dictada por la Cámara Civil, Sala K, en los autos caratulados “Claps, Enrique M. c/ Mercado Libre s/daños y perjuicios”.
(8) Según lo publicado por el sitio Portaltic con fecha 7 de noviembre de 2012.
(9) Según lo publicado por el diario La Nación con fecha 20 de octubre de 2012, caso Matthew Woods.
(10) Según lo publicado por el sitio BBC con fecha 19 de noviembre de 2012.
Fuente: informaticalegal

miércoles, 21 de noviembre de 2012

La cita de seguridad más importante en español llega a Madrid

El encuentro Segurinfo España 2012 tendrá lugar el próximo 21 de noviembre en el madrileño Palacio de Congresos y contará con los responsables del Ejército británico, del FBI y de la Guardia Civil.
El evento contará con expertos internacionales en ciberseguridad como Charles Roberts, portavoz del Cuerpo Real de Comunicaciones del Ejército británico; Mike Popham, vicepresidente ejecutivo del Centro de Ciencias de la Seguridad y de Estrategia para el Ciberespacio (CSCSS); Liane McCarthy, agente especialista en negociaciones de crisis del FBI o nuestro experto en seguridad Chema Alonso.
Todos ellos compartirán su experiencia, las políticas internas con las que cuentan y la forma en la que luchan contra los ciberataques que reciben o contra posibles casos de ciberespionaje o ciberguerra.
La seguridad es una de las principales preocupaciones en España, donde casi la mitad de las empresas teme un ciberataque en los próximos seis meses, sobre todo a causa de la variedad de dispositivos que funcionan en entornos profesionales, tanto corporativos como personales, que dificultan el control de las amenazas.
Por otro lado, en Segurinfo también se reunirán por primera vez en nuestro país los responsables de asuntos legales de Facebook, Google y Tuenti en una mesa redonda en la que se debatirá sobre el estado actual de la privacidad en Internet y las necesidades existentes en España.
A día de hoy todavía se encuentra abierto el periodo de inscripciones con las últimas entradas disponibles en la página web de Segurinfo España.
vía PC actual.

WeWorked, un servicio en la nube para llevar el control de nuestras horas de trabajo

Hoy en día son muchos los profesionales que rellenan partes de trabajo en los que, por norma general, detallan las horas laborales que dedican a los distintos proyectos que desarrollan para controlar sus dedicaciones y, claro está, vincular las horas a costes para comprobar que los gastos se encuentran dentro del presupuesto del proyecto. Tanto si se trabaja en una empresa como si se es freelance llevar un control de las horas dedicadas a cada proyecto desarrollado o a las tareas realizadas es una labor importante que, en muchas ocasiones, se lleva a cabo mediante el uso de algún ERP o, de manera más rudimentaria, mediante alguna hoja de cálculo.


Una buena forma de llevar nuestro control si, por ejemplo, carecemos de alguna herramienta en nuestra empresa y, lógicamente, no queremos depender de una hoja de cálculo es echar un ojo hacia la nube y recurrir a WeWorked que, además, también está disponible como aplicación para Google Chrome.
WeWorked es un servicio en la nube que, de manera gratuita, nos ofrece la posibilidad de llevar un control de nuestras horas de trabajo, gestionar el parte de horas de otros usuarios y validar sus imputaciones de horas y, en el caso que no contemos con otros recursos o seamos un freelance, podremos asociar costes a las horas y gestionar desde esta herramienta las facturas que enviamos a nuestros clientes.

La posibilidad de crear grupos de trabajo, flujos de validación de los partes e insertar recordatorios, por ejemplo, para recordar a los miembros de un equipo que deben realizar sus partes de trabajo son algunas de las funcionalidades que nos ofrece el servicio que, además, incluye algunas opciones de pago con las que obtener soporte, informes para explotar los datos almacenados o, por ejemplo, cargar los usuarios de una empresa y facilitar la puesta en marcha del flujo de trabajo.
Personalmente encuentro este servicio muy interesante para organizaciones que están creciendo y dependen de hojas de cálculo o que ni siquiera llevan el control de costes de sus proyectos usando este tipo de herramientas que, desde el punto de vista del trabajo en equipo, pueden ser mucho más ordenadas que depende de hojas de cálculo (aunque éstas estén almacenadas en Google Drive, por citar un ejemplo). De hecho, poder añadir costes y, en base a los portes, generar la facturación es un detalle a tener muy en cuenta.
 
Fuente: lukor.com

Las 9 Recomendaciones de seguridad más importantes para organizaciones sociales

(1)
Cuando me preguntaron acerca de preparar un post sobre Seguridad para Organizaciones Sociales, se me vinieron a la mente muchas cosas, pero principalmente aquellas que harían a una Organización Social algo distinto de cualquier otra Organización. Quizás las diferencias más fuertes en relación a una Organización “comercial” es que en principio podría no tener los mismos recursos para proteger la información, además de que seguramente los riesgos serían muy distintos, a pesar de que todas las Organizaciones tienen riesgos distintos.
A su vez, algunas cosas podrían no ser tan distintas, por ejemplo:

●      Todas las Organizaciones tienen un objetivo.
●      Todas las Organizaciones tienen activos que deben proteger.
●      Todas las Organizaciones están compuestas por personas.
●      Todas las Organizaciones deben cumplir leyes y quizás regulaciones.

Teniendo en cuenta esto último entonces podríamos concluir que quizás las medidas de seguridad o controles que se implementan en las Organizaciones “comerciales” también podrían aplicar en las Organizaciones Sociales, con algunas salvedades o particularidades obviamente.
Seguridad
A continuación se enumeran algunas recomendaciones que podrían facilitar la tarea a aquellas Organizaciones que se hayan planteado como una necesidad proteger sus activos, siendo la información uno de ellos. La numeración no indica la importancia de los distintos puntos.

  1. Catalogar los Activos (saber que tenemos)
Si bien puede verse como una tarea muy difícil se podrían en cierta forma catalogar los activos con los que cuenta la Organización y así poder identificarlos unívocamente, para luego relacionarlos con el tipo de información que interactúan. Esto podría facilitar la “valoración” de dicho activo.
  1. Clasificar la Información (conocer su valor)
Una vez que tenemos los activos catalogados, es importante definir ciertos niveles para clasificar la información, dado que en las etapas siguientes se identificarán los riesgos y para ello será muy importante conocer qué información es más importante y así poder priorizar y cuantificar el esfuerzo (incluso económico) para su protección. Existen varias metodologías, pero más allá de imaginar algo complejo, se podría comenzar con una clasificación del tipo Público, Uso Interno, Confidencial o Sensible como para una primera clasificación.
  1. Análisis de Riesgos
Una vez que “sabemos lo que tenemos” y “sabemos su valor” podemos proceder con el análisis de riesgos que permita identificar “qué cosas nos pueden pasar” y “que impacto nos generaría”. Con esta información se pueden tomar decisiones costo/beneficiosas y el uso de los recursos será más eficiente. Existen muchas metodologías de Análisis de Riesgos que pueden servir de guía, en este caso, como en el proceso de clasificación de información, no habría que generarse fantasmas que impidan avanzar con la tarea. Definir un alcance acotado e ir ampliándolo podría ser un punto interesante para que el equipo de trabajo se mantenga motivado y la Organización perciba cambios en forma rápida.

Todas estas actividades requieren del compromiso de todos los colaboradores en la Organización y el impulso de los líderes. También es importante tener en cuenta que no son procesos de única vez, sino que deberían ejecutarse en forma periódica en un todo de acuerdo con un proceso de mejora continua.

Para aquellos que prefieren obviar las cuestiones metodológicas y prefieren “ir al grano”, a continuación se describen una serie de medidas de seguridad que podrían considerarse la base que toda Organización debería tener:

  1. Proteger la información de los Donantes (datos personales, medios de pago)
Para una Organización que se sustenta con las donaciones de las personas que aportan a la causa, toda la información relacionada con dichas personas es crucial para el cumplimiento de los objetivos. Más allá de esto, hoy en día existen una serie de requisitos legales y regulatorios que hacen que no sea una opción su protección. Incluso muchas de las recomendaciones dispuestas en este artículo también forman parte de lo establecido por el marco legal y/o regulatorio. Teniendo presente todo esto, es muy importante tener claro qué debemos cumplir como Organización para estar en compliance y no tener sorpresas desagradables, a su vez dicho conocimiento debe trasladarse a todos los colaboradores.
  1. Protección contra código malicioso
Hoy en día todos los equipos informáticos deberían contar con una protección antivirus/spyware y demás variantes de código malicioso. Es importante mencionar que se debería controlar que dicha protección se encuentra activa y actualizada en todos los equipos. Evaluar la posibilidad de incluir dispositivos móviles.
  1. Firewalls personales
Todos los equipos deberían contar con un firewall personal, de ser posible con una serie de reglas establecidas en forma centralizada, más allá de las cosas que el propio usuario pueda definir.
  1. Listado de Software Aprobado
El software instalado en los equipos debería ser el que la Organización considera necesario para llevar a cabo las actividades y que por otro lado está dentro del proceso de gestión de vulnerabilidades. Este tipo de controles, en conjunto con aquellos que permitan identificar la instalación de software no autorizada, facilitan el cumplimiento de leyes relacionadas con la propiedad intelectual.
  1. Actualizaciones de Seguridad
En relación con el “Listado de Software Aprobado” se encuentran las actividades que se deberían llevar a cabo para mantener todo el software actualizado, preferentemente en cuestiones relacionadas con parches de seguridad.
  1. Compromiso de todos los colaboradores
No hay una estrategia de seguridad que sea exitosa si no se cuenta con el compromiso de todos los miembros del equipo. Para ello, desde lo más alto de la Organización se deben impulsar las iniciativas de seguridad y comprometer a todos los miembros para que cumplan los requisitos establecidos y a su vez colaboren en la protección. Los Programas de Concientización son un elemento importante para que los colabores tomen conciencia de los riesgos a los cuales se encuentra expuesta la información y como algunos hábitos que se modifiquen pueden mejorar notablemente el grado de exposición de los activos.
  1. Documentar el conocimiento
Es muy importante que se documente el conocimiento de la Organización, y dicho conocimiento generalmente lo tienen las personas. Para ello sería muy bueno llevar a papel aquellas actividades críticas que podrían generar un impacto negativo en la Organización ante la ausencia de quiénes las ejecutan. Si bien esto muchas veces genera resistencia en las personas, sería bueno que en la Organización los colaboradores sean valiosos por lo que comparten y no por lo que ocultan.
  1. Gestión Centralizada
Ir hacia un modelo de gestión centralizada sería la forma más eficiente de establecer los controles y/o medidas que se establezcan. Si bien en un principio podría verse como algo costoso, a mediano y largo plazo suele ser algo beneficioso el hecho de contar con herramientas de gestión centralizada.
  1. Aprender de lo que nos sucede
Es fundamental que se mejoren las medidas y/o controles en base a las distintas situaciones que se presenten y que puedan considerarse incidentes de seguridad u oportunidades de mejora. El aprendizaje es lo que garantizará la mejora continua y a su vez permitirá mantener el riesgo en el nivel esperado por la Organización.

Los distintos puntos descriptos son sólo algunas recomendaciones de todas las cuestiones que podrían relizarse en materia de seguridad y que conforman las “mejores prácticas” o “prácticas habituales” en aquellas Organizaciones que gestionan la seguridad de la información. Sea cual sea la decisión que se tome, es importante tener en cuenta que no existen recetas mágias, que lo que a una Organización le sirve, puede no servirle a otra dado que como bien dijimos, todas las Organizaciones son distintas. Lo que sí debemos tener claro es que hoy en día no es una opción proteger la información, tanto porque el mercado lo requiere como también porque debemos cumplir leyes o regulaciones para poder existir. Es un buen momento para analizar como está nuestra Organización en este punto y comenzar a mejorar :)

Algunas Referencias:
Payment Card Industry Data Security Standard (PCI DSS) : http://bit.ly/guleZt
Ley 25.326 Protección Datos Personales: http://bit.ly/y1b24B
Ley 11.723 Protección Propiedad Intelectual: http://bit.ly/z6qs5c
ISO/IEC 27001: http://bit.ly/yyuldS
Small Business Information Security: The Fundamentals http://1.usa.gov/pbZQ6V

(1) Mariano del Río

Fuente: listao.com.ar

Figuras “externas” de la LOPD

Hace mucho que no hablamos de la LOPD por aquí, así que hoy toca. Como sabrán, la LOPD distingue entre una serie de figuras, que podemos agrupar en “internas” y “externas”. En el primer grupo encontramos principalmente el Responsable de Seguridad y el Responsable del Fichero. Nótese que aunque algunas funciones puedan ser delegadas en empresas externas, en ningún caso es posible delegar la responsabilidad, de ahí que consideremos a dichas figuras “internas”.
En el segundo grupo, objeto de esta entrada, encontramos al Encargado del Tratamiento (y al Subencargado), al Cesionario y al prestador de servicios sin acceso a datos de carácter personal (DCP en lo que sigue). Como se imaginarán sin conocen la LOPD y su reglamento, cada una de estas figuras presenta además de características específicas también sus propias ambigüedades. Vamos con ello.

  • Encargado del Fichero o Tratamiento: La LOPD define esta figura en el Artículo 3, g) como “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento“. Intuitivamente, no tiene demasiado secreto; es la entidad que trata los datos “por encargo” del responsable del tratamiento. Sin embargo, para que la definición quede clara, veamos que entiende la LOPD por “tratamiento” en el apartado c) del mismo artículo: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias“.
    Vamos con un par de ejemplos evidentes. El primero y más habitual, la gestoría. Supongamos que la empresa A contrata a la gestoría B la elaboración de la nóminas del personal. Es evidente que en la elaboración de la nómina la gestoría está tratando DCP “en nombre”, “por cuenta” o “por encargo” de la empresa A. Por tanto, la gestoría es un encargado del tratamiento.
    Sea ahora la misma empresa A que contrata a la empresa C la gestión de su CAU, que da soporte a usuarios internos y externos. En éste recogen incidencias reportadas por los usuarios de la organización, entre cuyos datos figura el nombre y apellidos del usuario además de otra información de contacto. De nuevo, parece claro que C trata o gestiona DCP de los usuarios de A, por o que de nuevo, es un encargado del tratamiento.
    En estos casos, es necesario que la empresa A firme, aparte del contrato de prestación de servicios, un contrato de acceso a datos tal y como especifica el artículo 12.2 de la LOPD: “La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato [...] estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán [...] las medidas de seguridad [...] que el encargado del tratamiento está obligado a implementar.
    Cabe señalar que dado que el responsable del tratamiento (es decir, el que en última instancia debe velar por la seguridad de los datos) es la empresa A, ni la gestoría ni la empresa de gestión del CAU tienen que declarar el tratamiento en el Registro General de la AEPD (RGAEPD), dado que el tratamiento “no es suyo”.
    Dejémoslo aquí y pasemos al siguiente.
  • Prestador de servicios sin acceso a DCP: Aunque la LOPD no define explícitamente esta figura (no olvidemos que entre la LOPD y su reglamento hay poco más de 8 años), el reglamento habla de ella en su artículo 83, “Prestaciones de servicios sin acceso a datos personales”. El nombre no deja lugar a muchas dudas, en cualquier caso. En este caso encontraremos a empresas cuya prestación de servicios no está relacionada con DCP pero que pueden tener un acceso esporádico a dicha información. Sigamos con A y veamos un par de casos. Esta empresa ha contratado a E, una empresa de limpieza, cuyo contrato no está obviamente relacionado con la gestión de DCP. No obstante, cabe la posibilidad de que en el desempeño de sus tareas, los empleados de E puedan ver DCP.
    La empresa A también ha contratado a una empresa de seguridad, llamémosla por ejemplo F, quien les ha puesto un guardia de seguridad vigilando el perímetro de la empresa. De nuevo, en su trabajo Felipe (que así se llama el guardia) no gestiona DCP, pero es evidente que puede ver personas entrar y salir de la empresa aparte de otros tratamientos esporádicos.
    Ahora bien, si a Felipe le dan nuevas atribuciones y pasa a llevar el registro de entrada y salida del personal y de los visitantes, la empresa de seguridad pasa a ser un encargado del tratamiento, al gestionar DCP “por cuenta”, “por encargo”, “en nombre” de la empresa A.
    En estos casos, el contrato de prestación de servicios “recogerá expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto a los datos que el personal hubiera podido conocer con motivo de la prestación del servicio” (Art. 83 RDLOPD), aunque también suele ser habitual es que esa información figure en un compromiso de confidencialidad independiente del contrato de prestación de servicios.
    De nuevo, tampoco en este caso la empresa de seguridad deberá declarar el tratamiento, porque mientras se dedique a la vigilancia perimetral no hay tal tratamiento, y en otro caso es un tratamiento de la empresa A, no suyo.
  • Cesionario: Por último, llegamos al cesionario, o receptor de una comunicación de datos. La LOPD define en su artículo 3.i) la cesión o comunicación de datos como “toda revelación de datos realizada a una persona distinta del interesado”. No obstante, cuando esta comunicación de datos esté relacionada con una prestación de servicios, no se considerará cesión de datos, tal y como especifica el artículo 12.1 de la LOPD: “No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento“. El artículo 20.1 del RDLOPD añade una consideración importante: “No obstante, se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado“. Nótese que esta figura es la más relacionada con infracciones de la LOPD, ya que a menudo las garantías que deben establecerse para la cesión de datos (en general, consentimiento del afectado) no se cumplen. Digámoslo de esta manera, un cesionario es “alguien” que desea realizar tratamientos “propios” sobre los datos que recibe, y en algunos casos el usuario no daría su consentimiento para esos tratamientos. A diferencia de los casos anteriores, dado que existe un nuevo tratamiento de datos y un nuevo vínculo entre el usuario y la empresa destinataria de los datos, sí es necesario que la empresa cesionaria declare el tratamiento correspondiente ante el RGAEPD.
    Veamos un par de ejemplos de qué es una cesión de datos.
    Imaginemos que la empresa A le proporciona (vende, cambia, envía) los datos de sus empleados a una empresa de telemarketing para que ésta los utilice para sus campañas. En este caso estaríamos hablando de una comunicación de datos legal si se ha solicitado previamente consentimiento al usuario (y por tanto se han proporcionado únicamente los datos de aquellos que han otorgado dicho consentimiento), e ilegal si no ha sido así. Téngase en cuenta que este caso es diferente del caso en el que la gestoría B decide por su cuenta y riesgo utilizar los datos de los empleados de la empresa A para mandarles propaganda sobre declaraciones de impuestos, tal y como indica el artículo 12.4: “En el caso de que el encargado del tratamiento destine los datos a otra finalidad [...] incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento [...]“.
    Asimismo, también es diferente al caso en el que la empresa A contrata a la empresa de telemarketing H para realizar una campaña comercial, dado que en este caso se trataría de un encargado del tratamiento y quien podría incurrir en una ilegalidad es la empresa A. Es habitual ver este caso para intentar evitar la LOPD: una empresa española contrata a una empresa india para que envíe información comercial a sus clientes, a cuya entidad (la empresa india) no aplica la LOPD. No obstante, dado que el tratamiento de datos es realizado “en el marco de las actividades de un establecimiento del responsable del tratamiento” (Artículo 3.1.a RDLOPD), le aplica la LOPD.
    Veamos para acabar otro caso más legal. La empresa A decide contratar un seguro de salud para sus empleados con la empresa J. Dado que dicho tratamiento de datos no está directamente relacionado con ningún contrato de prestación de servicios entre A y J, se trata de una comunicación de datos para la que A debe solicitar consentimiento. Además, en este caso es evidente que se crea un nuevo vínculo independiente entre el empleado y la empresa aseguradora en el que la empresa A no interviene, que puede mantenerse incluso cuando la relación laboral entre el empleado y la empresa A haya finalizado, si el primero lo desea.
Evidentemente, hay muchos otros aspectos de estas figuras que sería destacable mencionar, pero antes de nada, es imprescindible que una organización sepa indicar qué es un encargado del tratamiento, qué un cesionario y qué un prestador de servicios sin acceso a datos, dado que cada una de estas figuras requiere un tratamiento diferente. Espero que haya resultado esclarecedor, pero sírvanse de preguntar en los comentarios si les queda alguna duda.
(Nos puedes encontrar también en Twitter: @SecurityArtWork)
 
Fuente: securityartwork