Source: http://seguridad-de-la-informacion.blogspot.com.es/2011/
Timestamp: 2017-11-22 01:49:47+00:00

Document:
2011 | Gobierno de la ciberseguridad ')); }); return $(returning); }, capAwesome: function() { var returning = []; this.each(function() { returning.push(this.replace(/\b(awesome)\b/gi, '$1')); }); return $(returning); }, capEpic: function() { var returning = []; this.each(function() { returning.push(this.replace(/\b(epic)\b/gi, '$1')); }); return $(returning); }, makeHeart: function() { var returning = []; this.each(function() { returning.push(this.replace(/(<)+[3]/gi, "♥")); }); return $(returning); } }); function parse_date(date_str) { // The non-search twitter APIs return inconsistently-formatted dates, which Date.parse // cannot handle in IE. We therefore perform the following transformation: // "Wed Apr 29 08:53:31 +0000 2009" => "Wed, Apr 29 2009 08:53:31 +0000" return Date.parse(date_str.replace(/^([a-z]{3})( [a-z]{3} \d\d?)(.*)( \d{4})$/i, '$1,$2$4$3')); } function relative_time(date) { var relative_to = (arguments.length > 1) ? arguments[1] : new Date(); var delta = parseInt((relative_to.getTime() - date) / 1000, 10); var r = ''; if (delta < 60) { r = delta + ' seconds ago'; } else if(delta < 120) { r = 'a minute ago'; } else if(delta < (45*60)) { r = (parseInt(delta / 60, 10)).toString() + ' minutes ago'; } else if(delta < (2*60*60)) { r = 'an hour ago'; } else if(delta < (24*60*60)) { r = '' + (parseInt(delta / 3600, 10)).toString() + ' hours ago'; } else if(delta < (48*60*60)) { r = 'a day ago'; } else { r = (parseInt(delta / 86400, 10)).toString() + ' days ago'; } return 'about ' + r; } function build_url() { var proto = ('https:' == document.location.protocol ? 'https:' : 'http:'); var count = (s.fetch === null) ? s.count : s.fetch; if (s.list) { return proto+"//"+s.twitter_api_url+"/1/"+s.username[0]+"/lists/"+s.list+"/statuses.json?per_page="+count+"&callback=?"; } else if (s.favorites) { return proto+"//"+s.twitter_api_url+"/favorites/"+s.username[0]+".json?count="+s.count+"&callback=?"; } else if (s.query === null && s.username.length == 1) { return proto+'//'+s.twitter_api_url+'/1/statuses/user_timeline.json?screen_name='+s.username[0]+'&count='+count+(s.retweets ? '&include_rts=1' : '')+'&callback=?'; } else { var query = (s.query || 'from:'+s.username.join(' OR from:')); return proto+'//'+s.twitter_search_url+'/search.json?&q='+encodeURIComponent(query)+'&rpp='+count+'&callback=?'; } } return this.each(function(i, widget){ var list = $('
viernes, 23 de diciembre de 2011 0 comentarios
¿Cómo debiera ser la Auditoría técnica que establece el R.D. 1720/2007 de desarrollo de la LOPD?
Antes de cerrar el año y pendiente del ya tradicional post de revisión del año 2011 y el de análisis de tendencias para el 2012, quiero referenciar el material que he publicado a través del blog de Inteco con reflexiones sobre cómo debiera ser la auditoría del Titulo VIII del R.D. 1720/2007.
Este año ha sido un año duro en el ámbito LOPD dado que la crisis siempre hace que aparezcan los oportunistas y los pícaros que tratan de lucrarse de la ignorancia o el desconocimiento de la gente. En este sentido, la Asociación Española de Profesionales de la Privacidad ha tenido que luchar contra las llamadas "Empresas de coste cero" que venden servicios de consultoría camuflados bajo subvenciones de formación a través de la Fundación Tripartita.
Estas empresas han empezado con los servicios de adecuación/adaptación pero seguro que pronto extenderán sus garras hacia la auditoría obligatoria establecida por los artículos 96 y 110. Para luchar contra esta "lacra" la única arma es la información y la explicación de qué debieran ser considerados servicios correctos.
Con este objetivo he publicado los dos siguientes artículos que aparecen en el blog de Inteco:
¿Cómo debe ser la Auditoría técnica que establece el R.D. 1720/2007 de desarrollo de la LOPD? (Parte I)
¿Cómo debe ser la Auditoría técnica que establece el R.D. 1720/2007 de desarrollo de la LOPD? (Parte II)
A continuación anexo el texto integro de ambas partes para el que quiera realizar una lectura continuada del mismo.
Ante la reiterada preocupación del sector profesional de la privacidad sobre la ausencia de consenso respecto a cómo debe ser realizado el proceso de auditoría establecido por los artículos 96 y 110 del R.D. 1720/2007, creo adecuado explicar en este post en qué debe consistir el proceso de auditoría, cuál es su finalidad, qué resultados deben esperarse y cuáles son las mejores prácticas a la hora de planificar, desarrollar y realizar un informe de auditoría del Título VIII del R.D. 1720/2007 de desarrollo de la LOPD.
Para una adecuada lectura de este documento deben tenerse en cuenta dos advertencias:
Este post se limita de forma exclusiva a la auditoría del cumplimiento de las medidas de seguridad establecida en los artículos 96 y 110, por lo que no se contempla en la realización de este proceso aspecto alguno que no esté relacionado con la valoración del funcionamiento de las medidas de seguridad descritas en el Título VIII del R.D. 1720/2007.
Este post no pretende establecer los criterios o técnicas a emplear. Simplemente describe la importancia y necesidad del proceso de auditoría, su finalidad y qué es entendido pudieran ser buenas prácticas en la realización de estas actividades.
¿Qué es una auditoría de sistemas de información?
La auditoría de sistemas de información tiene como misión ser un mecanismo de control interno para evaluar la CONFIANZA que se puede depositar en los sistemas de información basada en evidencias. Las actividades, procesos, tareas requieren de una revisión periódica para evaluar su funcionamiento y realizar los ajustes que sean necesarios. Las medidas de seguridad establecidas por el R.D. 1720/2007 establecen y determinan una serie de actividades periódicas que la organización debe realizar para garantizar la adecuada protección de la información de carácter personal que es procesada. Estos mecanismos de protección definidos por los procedimientos obligatorios deben estar documentados y forman parte del contenido del Documento de seguridad establecido por el Art. 88 del R.D. 1720/2007.Para entender este extremo emplearemos un símil ilustrativo. El mantenimiento y la revisión de todo vehículo requiere, una vez se alcanza ciertos años de funcionamiento, de una revisión periódica cada dos años realizada por la Inspección Técnica de Vehículos (ITV). Estos organismos de revisión realizan una serie de chequeos, comprobaciones y pruebas sobre diferentes elementos del coche con el objetivo de garantizar que está en las mínimas condiciones necesarias para seguir en circulación. Este ejemplo sirve perfectamente para ilustrar la misión del proceso de auditoría ya que el proceso de revisión realizado en la ITV es una revisión sobre el funcionamiento del vehículo que tiene por objetivo establecer si el coche es apto, no apto o apto con deficiencias a subsanar como resultado de la información obtenida durante la batería de pruebas realizadas. Esta actividad de revisión es una auditoría formalizada y normalizada que comprueba de forma exhaustiva todos los elementos básicos del vehículo y determina el grado de confianza que el dueño del vehículo puede otorgar al mismo en relación a su seguridad y correcto funcionamiento.
De igual forma, la auditoría de sistemas de información es un proceso metódico de revisión que pretende conocer la eficacia y fiabilidad de los controles o mecanismos de seguridad instalados para evitar o reducir los riesgos que pudieran afectar al buen funcionamiento de los sistemas de información o alterar su seguridad.
¿Por qué es necesaria la auditoría de las medidas de seguridad del R.D. 1720/2007?
El R.D. 1720/2007 introduce en los artículos 97 y 100 da necesidad de auditar el “TÍTULO VIII. DE LAS MEDIDAS DE SEGURIDAD EN EL TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL” del R.D. 1720/2007. Esta obligación queda establecida para los ficheros de datos de carácter personal que tienen que garantizar el cumplimiento de las medidas de nivel medio o alto. Conviene recordar que las medidas de seguridad establecidas por el Título VIII del Reglamento determinan los MINIMOS a garantizar. Ello quiere decir que la auditoría perfectamente puede ser planteada para ser realizada sobre ficheros de nivel básico si la Organización considera adecuado la ejecución de este proceso interno de revisión. Además, es necesario destacar que la auditoría aparece como una de las medidas de seguridad más del citado Titulo VIII. ¿Por qué es la auditoría una medida de seguridad? La respuesta es sencilla dado que este proceso de inspección y revisión permite detectar deficiencias antes de que éstas se produzcan. También la auditoría puede servir para averiguar si se han producido o no irregularidades en el uso de los sistemas de información. Es un mecanismo de ajuste que detecta el deterioro en la efectividad o rendimiento de las medidas de seguridad y asegura que el nivel de protección deseado se sigue garantizando.
¿Qué finalidad debe perseguir una buena auditoría de las medidas de seguridad del R.D. 1720/2007?
Tal como hemos comentado hasta este punto, la misión el proceso de auditoría es la búsqueda de todas aquellas deficiencias que pudieran suponer un problema real o potencial antes de que este se produzca. Por tanto, la auditoría es en sí misma una medida de seguridad de carácter preventivo que intenta evitar los daños antes de que éstos sucedan. También el proceso de revisión puede servir para introducir mejoras o indicar aquellos puntos que aun garantizando el cumplimiento de las medidas empieza a disminuir en su eficacia.Una buena auditoría debe suponer una revisión profunda y exhaustiva del funcionamiento de las medidas de seguridad que protegen los tratamientos de datos de carácter personal. Cuando mayor sea el trabajo de campo empleado en la revisión, más confianza podrá depositar la Organización en el correcto funcionamiento de las cosas, confirmado éste punto por los resultados obtenidos de la propia auditoría.El auditor tiene como misión principal emitir una opinión independiente y objetiva sobre este cumplimiento de tal forma que permita a los responsables correspondientes, tomar las medidas oportunas para subsanar las deficiencias identificadas, si las hubiera, y para satisfacerse internamente, o bien frente a terceros que pudieran estar relacionados, sobre el nivel de seguridad implantado.
El objetivo final de la auditoría es sustentar la confianza que merece el sistema auditado en materia de seguridad; es decir, calibrar su capacidad para garantizar la integridad, disponibilidad, autenticidad, confidencialidad y trazabilidad de los servicios prestados y la información de carácter personal que es tratada, almacenada o transmitida por la Organización
El proceso de auditoría supone la realización de ciertas actividades que deben realizarse de forma metodológica y que permiten diseñar y organizar el trabajo de campo a realizar en la Organización de forma que sean alcanzados los objetivos planteados al realizar la auditoría. Podemos distinguir tres fases bien diferenciadas:·
Esta es la fase inicial del trabajo y permite al auditor conocer el entorno, contexto y sistemas de información que van a ser revisados durante la auditoría. En esta fase, la Organización y el auditor deben establecer cuál será el alcance a auditar, los ficheros de datos de carácter personal incluidos en la revisión, los niveles de seguridad de dichos ficheros, las dependencias de la Organización que deberán ser visitadas y la duración de la auditoría a contratar. Este último extremo condiciona la ejecución de la auditoría y según el volumen de trabajo que haya que realizar en la auditoría insitu, puede requerir la ampliación del equipo auditor de forma que se garantice la revisión de todos los puntos a contemplar en el tiempo previsto.En esta fase, el auditor debe preparar sus papeles de trabajo, documentos que le ayudarán en la ejecución in situ de la auditoría y que contienen información propia sobre qué cuestiones hay que revisar, qué tipo de pruebas debe contemplar en las comprobaciones técnicas pertinentes y qué preguntas debe realizar tanto al personal de la Organización como al responsable de seguridad. Estos papeles de trabajo del auditor actúan de registro, para no olvidar revisar ningún proceso o actividad importante y se preparan de antemano las preguntas o lista de comprobaciones que se quieren realizar. Dado que el R.D. 1720/2007 no es modificado de forma frecuente, lo habitual es que la empresa auditora tenga prediseñados unos papeles de trabajo base que debe adaptar a la Organización a auditar una vez Para ello, suele ser habitual agrupar la revisión de los artículos del R.D. 1720/2007 en programas que aglutinan bajo un nombre todos aquellos artículos del R.D. que determinan una misma medida de seguridad que según el nivel deben satisfacer más o menos requisitos.Es habitual que para el diseño de esta documentación, el auditor solicite a la empresa auditada el Documento de Seguridad de los ficheros incluidos en el alcance, dado que en él se encuentra una descripción del tipo de ficheros, de los sistemas de información y de las medidas de seguridad que la Organización debe estar aplicando en la protección de los datos de carácter personal. El auditor parte de esta información inicial para el diseño de las pruebas técnicas que permitan verificar el nivel de cumplimiento de lo escrito en el documento de seguridad. También permite adecuar y configurar el equipo auditor si por el carácter de las pruebas a realizar o de los sistemas incluidos sea necesario contar con personal técnico de apoyo al auditor que permita la ejecución con éxito de las pruebas de auditoría contempladas o la recogida de información de forma directa en la Organización auditada.Con toda esta información ya procesada, el auditor puede diseñar el programa detallado de auditoría y enviar a la Organización cual será la planificación prevista durante los días que dure la auditoría in situ. Ello también permite a la Organización conocer cuál será el trabajo de campo que se realizará y planificar o adecuar los horarios y la disponibilidad del personal que será entrevistado o que deberá atender al auditor durante los días de auditoría.·
Auditoría in situ o ejecución de la auditoría.
Esta es la fase crucial de todo el proceso dado que es donde el auditor recoge las evidencias de auditoría, esto es, aquella información que será empleada posteriormente para argumentar y demostrar el cumplimiento o no cumplimiento de las medidas de seguridad. El auditor, como se ha dicho ya, debe proporcionar una opinión profesional, independiente y objetiva del funcionamiento de las medidas de seguridad. Por tanto, toda afirmación que incluya en su informe debe basarse en datos, hechos u observaciones como explícitamente establece el punto 2 del Artículo 96. Auditoría.“2. El informe de auditoría deberá dictaminar sobre la adecuación de las medidas y controles a la Ley y su desarrollo reglamentario, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y las recomendaciones propuestas.”Por tanto, en esta fase el auditor debe ir recopilando toda aquella información que ha establecido previamente en la fase de pre auditoría como necesaria y que sirva para contrastar o comprobar el correcto funcionamiento de las medidas de seguridad. De esta forma, el auditor también deja rastro de su propio trabajo y permite posteriormente a la Organización evaluar la exhaustividad y profundidad del trabajo de campo realizado por el propio auditor. Este mecanismo de transparencia del proceso de auditoría es otro de los pilares en los que se cimienta la confianza que se puede depositar sobre la auditoría realizada.Según la complejidad del entorno, el tiempo disponible para el proceso de auditoría y el tamaño del equipo auditor, es posible que la ejecución de ciertas pruebas no puedan revisar de forma completa y exhaustiva todos los registros de ejecución o rastros de funcionamiento de las medidas de seguridad. En estos casos, es preciso recurrir al muestreo de auditoría que permite la selección de ciertas muestras y extrapolar las conclusiones observadas en ellas para el resto de elementos de la población. El muestreo introduce cierto margen de error en la realización de conclusiones pero permite adecuar la revisión al tiempo disponible para el proceso de auditoría. En todo caso, este margen de error puede ser previamente definido lo que condicionará los tamaños de las muestras a examinar.
Una vez finalizada esta fase, el auditor debe contar con todas aquellas evidencias de auditoría que ha obtenido de la realización de pruebas técnicas, entrevistas, inspección visual de las instalaciones y dependencias así como de la revisión de todos aquellos documentos que hayan sido solicitados a lo largo de la ejecución de la auditoría.·
Realización del informe de auditoría.
El resultado final del proceso de auditoría debe quedar plasmado en el informe de auditoría que incluye la conclusión del auditor respecto del funcionamiento de las medidas de seguridad y constata los hechos, datos u observaciones en los que se basa dicha conclusión. Llegado este punto, el auditor debe examinar y valorar las evidencias obtenidas y seleccionar aquellas que considera relevantes en la demostración del cumplimiento o no cumplimiento del funcionamiento de las medidas de seguridad. El informe debe proporcionar al auditado una imagen fiel y real de cuál es la situación de las medidas de seguridad revisadas y si suponen o no un incumplimiento del citado Reglamento.
martes, 22 de noviembre de 2011 LOPD, Reflexiones sobre seguridad 3 comentarios
El enfoque de Privacidad por Diseño (PbD por sus siglas en Inglés) está caracterizado por medidas proactivas, en vez de reactivas. Anticipa y previene eventos de invasión de privacidad antes de que estos ocurran. PbD no espera a que los riesgos se materialicen, ni ofrece remedios para resolver infracciones de privacidad una vez que ya ocurrieron – su finalidad es prevenir que ocurran. En resumen, Privacidad por Diseño llega antes del suceso, no después.
Todos podemos estar seguros de una cosa – ¡Lo predeterminado es lo que manda! La Privacidad por Diseño busca entregar el máximo grado de privacidad asegurándose de que los datos personales estén protegidos automáticamente en cualquier sistema de IT dado o en cualquier práctica de negocios. Si una la persona no toma una acción, aún así la privacidad se mantiene intacta. No se requiere acción alguna de parte de la persona para proteger la privacidad – está interconstruida en el sistema, como una configuración predeterminada.
La Privacidad por Diseño está incrustada en el diseño y la arquitectura de los sistemas de Tecnologías de Información y en las prácticas de negocios. No está colgada como un suplemento, después del suceso. El resultado es que la privacidad se convierte en un componente esencial de la funcionalidad central que está siendo entregada. La privacidad es parte integral del sistema, sin disminuir su funcionalidad.
Privacidad por Diseño busca acomodar todos los intereses y objetivos legítimos de una forma “ganar-ganar”, no a través de un método anticuado de “si alguien gana, otro pierde”, donde se realizan concesiones innecesarias. Privacidad por Diseño evita la hipocresía de las falsas dualidades, tales como privacidad versus seguridad, demostrando que sí es posible tener ambas al mismo tiempo.
Habiendo sido incrustada en el sistema antes de que el primer elemento de información haya sido recolectado, la Privacidad por Diseño se extiende con seguridad a través del ciclo de vida completo de los datos involucrados – las medidas de seguridad robustas son esenciales para la privacidad, de inicio a fin. Esto garantiza que todos los datos son retenidos con seguridad, y luego destruidos con seguridad al final del proceso, sin demoras. Por lo tanto, la Privacidad por Diseño garantiza una administración segura del ciclo de vida de la información, desde la cuna hasta la tumba, desde un extremo hacia el otro.
Privacidad por Diseño busca asegurar a todos los involucrados que cualquiera que sea la práctica de negocios o tecnología involucrada, esta en realidad esté operando de acuerdo a las promesas y objetivos declarados, sujeta a verificación independiente. Sus partes componentes y operaciones permanecen visibles y transparentes, a usuarios y a proveedores. Recuerde, confíe pero verifique.
Por encima de todo, la Privacidad por Diseño requiere que los arquitectos y operadores mantengan en una posición superior los intereses de las personas, ofreciendo medidas tales como predefinidos de privacidad robustos, notificación apropiada, y facultando opciones amigables para el usuario. Hay que mantener al usuario en el centro de las prioridades.
La otra reflexión que he podido extraer de todo esto es que parece ya plantearse si es necesario establecer ciertas restricciones al desarrollo tecnológico. Hasta la fecha, la tecnología es un fórmula uno que avanza sin parar, sin restricciones, sin límites, sin reglas tratando de producir mejoras en el día a día aunque estas muchas veces sean necesidades fictícias o creadas para satisfacer ciertos intereses.
miércoles, 16 de noviembre de 2011 Continuidad de negocio, Reflexiones sobre seguridad 4 comentarios
He tenido que estudiar conceptos de teoría de grafos y determinar qué criterios de medición de redes pueden ser relevantes a nuestro campo de estudio.
En teoría de redes sociales se da una premisa que es bastante importante y que sin embargo no es aplicable a seguridad de la información: todos los nodos son iguales. Sin embargo, cuando construimos un árbol de activos, según la naturaleza del elemento, su relevancia puede ser mayor. También, en redes sociales lo que se analiza es la fluidez de la comunicación entre nodos, mientras que lo que yo he pretendido estudiar son las relaciones de dependencia en materia de seguridad.
Las tecnologías de la información son un elemento esencial para el funcionamiento de nuestra sociedad y cada vez más muchas actividades y servicios dependen de la robustez, fiabilidad y seguridad de los sistemas de información que dan soporte a servicios tan esenciales como la sanidad, la educación, la defensa, la Administración electrónica, etc. Por tanto, los sistemas de información son un cimiento indispensable en el funcionamiento y desarrollo de nuestra civilización moderna, la denominada sociedad de la información y el conocimiento.
Un axioma básico de la seguridad de la información es el principio de cohesión que establece que "la seguridad es tan fuerte como el más débil de sus eslabones". El presente trabajo pretende aportar una nueva perspectiva en el estudio y análisis de la seguridad desde un punto de vista estático y basado en modelos matemáticos de la teoría de grafos que permitan identificar la presencia de debilidades estructurales que pueden poner en riesgo el funcionamiento de los sistemas de información por la propia arquitectura y conectividad de los diferentes tipos de elementos que constituyen el sistema de información. Supone extrapolar la aplicación de estas teorías en el análisis de redes sociales y otras estructuras modeladas mediante grafos al área de seguridad de la información con el objetivo de poder diagnosticar y reconocer potenciales problemas derivados de las relaciones establecidas entre los elementos que constituyen la Organización y los sistemas de información que dan soporte a todos sus procesos. Esta nueva visión supone un complemento al análisis de riesgos, la técnica habitualmente empleada en el estudio de los requisitos de seguridad que necesita un sistema de información y donde se contempla además de la estructura del sistema de información, el análisis de las amenazas posibles y la posibilidad de que éstas se manifiesten determinando así el nivel de riesgo a asumir.
jueves, 29 de septiembre de 2011 LOPD, Reflexiones sobre seguridad 0 comentarios
La APEP poniendo los puntos sobre las ies en materia LOPD para luchar contra el "coste cero".
Si bien no soy socio (todavía) de la APEP (Asociación Profesional Española de Privacidad), si que he seguido con interés y proximidad el nacimiento y crecimiento de esta asociación desde sus comienzos. Entre sus más ilustres miembros hay mucho murciano y compañero de charlas de SICARM de estos últimos años.
Este post tiene un solo objetivo: dar difusión al documento que han elaborado para establecer y definir qué es o qué debe ser un servicio de consultoría en materia de la LOPD. Tenía entre los borradores de "post congelados" comentar la problemática de la "LOPD-Coste cero" y la estafa que supone abusar del desconocimiento de las empresas para vender motos relacionadas con el cumplimiento de la normativa en protección de datos pero ya es más pertinente comentar el texto de la APEP.
La idea es sencilla, el cumplimiento de la LOPD es un proceso continuo que requiere de actividades puntuales como puede ser la declaración de los ficheros o la elaboración del documento de seguridad y de una serie de procesos internos que se deben ejecutar cuando sea pertinente y que velan por diferentes aspectos, entre otros los más esenciales como :
Atender los derechos ARCO de los afectados.
Garantizar las medidas de seguridad que protegen los sistemas de tratamiento de estos datos.
Establecer las adecuadas relaciones contractuales con los terceros que puedan tratar datos de nuestros ficheros.
Adecuar el dibujo legal declarado ante la AEPD frente a los cambios en el uso de los datos que se pudieran realizar una vez que se modifiquen finalidades, tipos de datos recogidos, etc.
En este sentido, no se acaba nunca al igual que ocurre con otras áreas de la seguridad y prevención. Se deben mantener unos mínimos y eso es un esfuerzo constante. Por tanto, todos estos "Servicios de consultoría" que venden una "actuación puntual" o una "adecuación/adaptación" y hacen entender el problema como la simple inscripción de los ficheros ante la AEPD o la elaboración del famoso Documento de seguridad simplemente no sirven para nada.
¿Por qué? Sencillo. Si la AEPD viene a visitarte será por alguna denuncia sobre unos hechos ocurridos que han lesionado los derechos de los afectados o comprometido la seguridad de los datos. En estos casos, la inspección de la AEPD tratará de investigar qué ha ocurrido y esclarecer las causas y los responsables. Las actuaciones puntuales de "declaración de ficheros" y "elaboración del documento de seguridad" son sólo el primer paso del camino pero para demostrar la "protección de los datos de carácter personal" hay que enseñar el trabajo continuo por garantizar el correcto funcionamiento de las actividades relacionadas con la protección misma. Por tanto, se necesitan "evidencias" o "registros" de lo que diaria, semanal o mensualmente se va haciendo para evitar que ocurran incidentes.
La APEP, con muy buen criterio está tratando de pelear contra esta "prostitución del mundo de la consultoría en materia LOPD" de la mejor manera posible: tratando de informar de lo que se considera un servicio adecuado y completo para dejar claro quien está vendiendo "un traje nuevo al emperador en materia LOPD". Es una manera de combatir en positivo esta lacra que carece de la profesionalidad necesaria para tratar siempre de hacer un trabajo completo y correcto. Claro que la lacra también vive de unos "clientes" que ven en la LOPD otra pega administrativa más, que los datos de carácter personal les importan tres pepinos y que la protección de la información de sus clientes no les preocupa lo suficiente como para hacer el esfuerzo que la ley impone. Prefieren asumir el riesgo y hacer frente a las multas que la AEPD pueda ponerles (porque creen realmente que nunca les tocará a ellos).
El contenido del manifiesto de la APEP se puede leer y consultar en esta dirección. Solo queda dar felicitaciones a la APEP por establecer estas "buenas prácticas respecto a lo que deben ser servicios de consultoría para la adaptación a la LOPD.
martes, 13 de septiembre de 2011 Continuidad de negocio, Reflexiones sobre seguridad 0 comentarios
miércoles, 7 de septiembre de 2011 Reflexiones sobre seguridad 6 comentarios
La complejidad y su gestión para la supervivencia de las organizaciones del siglo XXI.
Aunque olvidé colgar el cartel de vacaciones, comienza ya el nuevo curso blogero. Y para empezar quiero comentar algunas cuestiones que este verano han estado dando vueltas en mi cabeza. Como suele ya ser tradición en mi suelo aprovechar el periodo vacacional para leer y sobre todo cosas de otras temáticas o áreas de conocimiento que también me atraen como la psicología, la productividad personal o la antropología. Aunque espero pronto poder publicar algunas de las conclusiones de mis lecturas, me quiero centrar en los últimos incidentes notorios y públicos de hacking que han puesto encima de la mesa más de una vez los términos ciberguerra o ciberdefensa y esta nueva sensación de guerra tecnológica. Además, hace unos días leí en Aerópago21 la entrada ¿Contra quién estamos luchando? que terminó de inspirarme este texto.
La última reflexión que dejé en el tintero trataba de comprender el por qué de la poca trascendencia que sigue teniendo la seguridad de la información en las organizaciones, cuando estamos ya en el siglo XXI y la denominada "Sociedad de la información o el conocimiento". Esa
Sinceramente creo que nos encontramos en un punto de inflexión, por el que han pasado otras disciplinas o ciencias como la arquitectura, la ingeniería, la medicina donde se pasa el proceso primitivo y basado en el conocimiento aplicado a la formalización e industrialización de actividades, lo que conlleva la necesidad de normalizar y estructurar tareas que deben afectar a los sistemas de información. No somos conscientes de la complejidad que hemos construido y que rodea ya nuestro día a día porque toda esa maquinaria funciona casi sin errores como una orquesta perfectamente organizada donde hay pocos desafines. Sin embargo, detrás de ese resultado puede simplemente darse la casualidad o quizás la suerte de distrutar de la ausencia de problemas. El error es pensar que esta situación es prorrogable de forma indefinida, que es una estrategia para el medio y largo plazo y que el que no ocurra nada en el presente es garantía de que no ocurrirá nada en el futuro. Para explicarme mejor creo ilustrativo hacer un paralelismo con un supuesto basado en otra problemática. Imaginemos que somos nombrados Responsables del mantenimiento e infraestructuras urbanisticas de una ciudad. Como ejemplares ingenieros disponemos de todos los conocimientos necesarios y nos toca la labor de garantizar el buen funcionamiento de todos los servicios. Sin embargo, fruto de la carencia de unas buenas prácticas y una falta de disciplina, nos encontramos con las siguientes sorpresas:
No se dispone del plano de la ciudad.
No hay mapas de las canalizaciones y tuberías que atraviesan el suelo de la ciudad.
No existe un inventario de los recursos a gestionar.
Se desconoce el estado de cada uno de esos recursos, los contratos de mantenimiento, los periodos de revisión, etc.
No se dispone de la lista de contacto para el mantenimiento de las infraestructuras.
La ciudad funciona sin problemas y este responsable de mantenimiento vive relativamente bien mientras no hay problemas. En este escenario, ¿qué puede hacer un buen gestor de infraestructuras ante una incidencia? Posiblemente un milagro para poder resolverla y seguramente con bastante dosis de suerte o pericia. Si el responsable de mantenimiento logra ir apagando fuegos, la ciudad no valorará su esfuerzo y no reconocerá su destreza porque en semejante situación ese responsable es un héroe.
Ahora, pasemos al área de TI de cualquier organización mediana o grande.
¿Existe y está documentada la arquitectura de red? (Los planos de la ciudad)
¿Hay diagramas de las interconexiones de la organización con elementos externos (Mapas de las canalizaciones y tuberías)
¿Se conocen el número de dispositivos conectados en la red de la organización?
¿Se disponen de listas de contacto para el mantenimiento técnico del equipamiento?
¿Existe un inventario de los activos y elementos de configuración de la organización?
¿Se conoce el estado de cada uno de esos recursos, los contratos de mantenimiento, los periodos de revisión, etc.?
¿Se evalua el estado de las versiones software instaladas y se aplican los parches que correspondan en las versiones vulnerables?
Yo auditando puedo contar con los dedos de una mano los sitios donde he visto este tipo de documentación y procesos de gestión operativa para su mantenimiento.
Los sistemas de información no son ajenos a los problemas que supone la gestión de tanta complejidad. Hay que pensar que cada dispositivo conectado a la red no es "sólo un cacharro". Ese hardware tiene seguro un sistema operativo y puede además disponer de aplicaciones instaladas. Todos estos productos software tienen versiones. A ello además debemos sumar la aparición de la virtualización que permite sobre un solo hardware la aparición de tantas máquinas virtuales (también con su sistema operativo, aplicaciones instaladas y correspondientes versiones).
Esta ingente cantidad de activos, no pueden ser mantenidos y operados de forma diferente a cómo son tratadas otras infraestructuras físicas del mundo real que adquieren el mismo nivel de complejidad. Lo que viene ocurriendo es que nuestras "ciudades digitales", los sistemas de información, han crecido de forma exponencial intentando satisfacer las necesidades de negocio, han multiplicado sus activos y han sido y siguen siendo gestionados mediante filosofías apagafuegos (causado esto último muchas veces por la falta de concienciación de la Dirección sobre la importancia del área TI en sus organizaciones y las necesidades de recursos que ello requiere, aunque esto será objeto de otro post). Y ese globo de riesgo se infla e infla e infla hasta que un día, por la menor de las estupideces explota y deja al descubierto las graves deficiencias de gestión y operación TI que esa organización tenía.
Los casos de hacking más conocidos han tenido como origen o causa principal la existencia de servicios o aplicaciones vulnerables por la falta de mantenimiento preventivo y de actualización de aplicaciones o sistemas. Y como ya comenté en otro post, "El pastor tiene que vigilar con 100 ojos cada una de sus ovejas, pero el lobo solo tiene que identificar, seleccionar y atacar a la más debil en el mejor momento y condiciones para tener éxito". Y en parte es lo que está ocurriendo en el ciberespacio. Hay muchos pastores dueños de sus sistemas de información que no son conscientes que en Internet hay muchos lobos, no conocemos cuantos pero existir existen. Y cuando te dan un zarpazo y se comen a una de tus ovejas, eso ya no tiene solución. El pastor ha vivido tranquilo mientras no han aparecido los lobos en el ciberespacio pero cuando han hecho su entrada le ha pillado totalmente desprotegido.
Y si te llamas Sony y afecta a tu plataforma de juego online tiene una factura de 171 millones de dolares. Y si te llamas Inteco, afecta a tu plataforma de formación y te dedicas a la seguridad tiene un daño en imagen importante. Y si te llamas Empresa A y supone la revelación de datos de carácter personal puede acabar en una sanción de la Agencia Española de Protección de Datos también considerable.
Hace unos días en una presentación sobre el Esquema Nacional de Seguridad comentaba que el marco operacional del ENS trata de empezar a concienciar a los responsables TI de las AA.PP. sobre la importancia de las actividades de la planificación, explotación y monitorización de los sistemas de información. Se me ocurrió nombrar las siglas ITIL y rápidamente las caras cambiaron. Había nombrado las palabras prohibidas. ITIL no es más que la necesaria formalización e industrialización de los procesos de gestión y operación TI que son esenciales para la gestión de toda esta complejidad. Estamos en el área de sistemas ahora teniendo que convencer de la importancia de estas metodologías como cuando hace 20 años cuando empezaba la carrera nuestro profesor de programación comentaba la importancia de las metodologías de desarrollo y la famosa crisis del software.
ITIL nace para racionalizar costes, maximizar la productividad y reducir los cortes de servicio. Aquí hay un resumen de su historia para el que tenga curiosidad. Obviamente en aquellos sitios donde los administradores y personal técnico son anárquicos, hacen las cosas cuando creen adecuado, no están encorsetados en procedimientos, no comprenden que son herramientas para dar soporte a procesos de negocio y dentro de lo que cabe, no tienen muchos problemas o incidencias, las siglas ITIL son el problema. Sin embargo, como comentaba en esa reunión, ITIL para ellos es una amenaza o la solución. Y digo esto porque dentro de unos años, estos departamentos que trabajan con esta filosofía de ausencia de gestión de la complejidad tendrán enfrente unos servicios gestionados en la nube que si emplean estas metodologías de trabajo y garantizan unos servicios, costes y rendimientos muy superiores harán pensar al área financiera o de dirección el liquidar el departamento TI para pasar a subcontratarlo. Para Dirección ese milagro de hacer que todo funcione sólo será analizando en términos de coste y servicio.
jueves, 30 de junio de 2011 Reflexiones sobre seguridad 1 comentarios
Llevamos estos últimos meses leyendo mucho sobre intrusiones en sistemas de información, grupos organizados de hackers que amenazan a Organismos y Empresas y demás noticias que empiezan a ser cotidianas. Quizás la más relevante sea el caso Sony aunque en España también el Inteco ha sido víctima de hechos similares, todos ellos recogidos en el artículo de El País titulado "Intensa temporada Hacker".
Si bien ahora son populares, llevan fraguandose desde hace mucho tiempo. Ya en la entrada "¿Qué elegir, gestionar vulnerabilidades o detectar ataques con IDS? comenté el cuadrante de amenazas que siempre hay que contemplar y que responde a esta frase que empleaba Joseba Enjuto mediante el juego de palabras "Lo que sé que sé, lo que sé que no sé, lo que no sé que sé y lo que no sé que no sé"
Quizás, la tónica general en materia de seguridad ha sido aplicar la filosofía "Ojos que no ven, corazón que no siente" hasta que viene un externo y te demuestra que por mucho que aprietes los ojos por no ver, "las vulnerabilidades están ahí fuera" como diría el Agente Malder de Expediente X. Lo que ya es notorio es el cambio general de tendencia respecto al objetivo y motivación de estos ataques que cada vez son más atractivos para los criminales que los perpetran y que generan unos (ingresos para el atacante/perdidas para el atacado) bastante significativos. La siguiente infografía representa el "Hall of fame" de los robos de datos más notorios de los últimos tiempos donde se aprecia el volumen de información robada en cada caso.
En los aspectos relativos al secreto de las comunicaciones y a la protección de datos de carácter personal, se hace una apuesta clara por un refuerzo de las obliga­ciones para alcanzar mayores niveles de seguridad en el tratamiento de los datos, extremando las cautelas en lo que se refiere al tratamiento y la protección de datos por parte de los operadores. En este sentido la nueva redacción dada al artículo 34 establece, además de la información a los usuarios de los riesgos potenciales de violación de sus datos personales, se introduce ahora la obligación, cuando se produzca una violación de datos personales, de informar a la Agencia Española de Pro­tección de Datos, que queda reforzada además como autoridad nacional de reglamentación para que pueda valorar el alcance de la violación e idoneidad de las medidas adoptadas por el operador.
Ello expresamente queda regulado por las modificaciones introducidas en la Ley General de Telecomunicaciones que en esta propuesta de Ley quedan redactadas como sigue:
«Artículo 34. Protección de los datos de carácter personal.
1. Sin perjuicio de lo previsto en el apartado 6 del artículo 4 y en el segundo párrafo del artículo anterior, así como en la restante normativa específica aplicable, los operadores que exploten redes públicas de comuni­caciones electrónicas o que presten servicios de comu­nicaciones electrónicas disponibles al público deberán garantizar, en el ejercicio de su actividad, la protección de los datos de carácter personal conforme a la legisla­ción vigente.
2. Los operadores a los que se refiere el apartado anterior deberán adoptar las medidas técnicas y de ges­tión adecuadas para preservar la seguridad en la explo­tación de su red o en la prestación de sus servicios, con el fin de garantizar los niveles de protección de los datos de carácter personal que sean exigidos por la Ley Orgánica 15/1999, de 13 de diciembre y su normativa de desarrollo y, en su caso, por la que se dicte en desa­rrollo de esta ley en esta materia. Dichas medidas incluirán, como mínimo:
a) La garantía de que sólo el personal autorizado tenga acceso a los datos personales para fines autoriza­dos por la ley.
b) La protección de los datos personales almace­nados o transmitidos de la destrucción accidental o ilí­cita, la pérdida o alteración accidentales o el almacena­miento, tratamiento, acceso o revelación no autorizados o ilícitos.
3. En caso de que exista un riesgo particular de violación de la seguridad de la red pública o del servi­cio de comunicaciones electrónicas, el operador que explote dicha red o preste el servicio de comunicacio­nes electrónicas informará a los abonados sobre dicho riesgo y sobre las medidas a adoptar.
4. En caso de violación de los datos personales, el operador de servicios de comunicaciones electrónicas disponibles al público notificará sin dilaciones indebi­das dicha violación a la Agencia Española de Protec­ción de Datos. Si la violación de los datos pudiera afec­tar negativamente a la intimidad o a los datos personales de un abonado o particular, el operador notificará tam­bién la violación al abonado o particular sin dilaciones indebidas.
Lo previsto en el párrafo anterior será exigible una vez que mediante real decreto se establezca el conteni­do de las notificaciones dirigidas a los abonados o par­ticulares, así como los supuestos en que no será necesa­ria la misma. Asimismo, el real decreto podrá establecer los restantes requisitos de las notificaciones a las que se refiere el párrafo anterior en lo referente a su contenido y condiciones. Mediante real decreto podrá establecerse el formato y contenido del inventario. A los efectos establecidos en este artículo, se enten­derá como violación de los datos personales la viola­ción de la seguridad que provoque la destrucción, acci­dental o ilícita, la pérdida, la alteración, la revelación o el acceso no autorizados, de datos personales transmiti­dos, almacenados o tratados de otro modo en relación con la prestación de un servicio de comunicaciones electrónicas de acceso público.
5. Los operadores instaurarán procedimientos internos para responder a las solicitudes de acceso a los datos personales de los usuarios por parte de las autori­dades legalmente autorizadas. Previa solicitud, facilita­rán a las Autoridades competentes información sobre
esos procedimientos, el número de solicitudes recibi­das, la motivación jurídica aducida y la respuesta ofre­cida.»
Disposición final primera. Modificación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protec­ción de Datos de Carácter Personal.
Uno. Se añaden dos párrafos al apartado 2 del artículo 45 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal con la siguiente redacción:
Dos. Se añade un apartado 9 al artículo 45 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protec­ción de Datos de Carácter personal con el siguiente contenido:
«9. Lo dispuesto en los apartados 5 y 6 de este artículo será igualmente aplicable a las sanciones que la Agencia Española de Protección de Datos pudiera impo­ner de conformidad con lo dispuesto en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Infor­
mación y de Comercio Electrónico y en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.»
Dicho de otra forma, el coste de la no seguridad puede ser de 60.000€ por incidente que no sea notificado ante al AEPD (Independientemente de la sanción por incumplimiento del Artículo 9 Seguridad de los datos o 10 Deber de Secreto de la Ley 15/1999 de Protección de Datos de Carácter Personal). Si además no informas de las violaciones y lo haces de forma reiterada, te pueden caer hasta 100.000€ lo que da para destinar recursos a la gestión de vulnerabilidades técnicas y la prevención frente a ataques que pudieran suponer una violación de la confidencialidad de los datos. Por tanto, ya se puede empezar a hablar del ROSI bajo dos premisas: el coste del incidente o el coste de las sanciones.
miércoles, 1 de junio de 2011 Administraciones Públicas, Reflexiones sobre seguridad 0 comentarios
3. Los medidas a las que se refieren los apartados 1 y 2 tendrán la condición de mínimos exigibles, y podrán ser ampliados por causa de la concurrencia indicada o del prudente arbitrio del responsable de la seguridad del sistema, habida cuenta del estado de la tecnología, la naturaleza de los servicios prestados y la información manejada, y los riesgos a que están expuestos.
Por tanto, todos estos requisitos son concretados en el Anexo II donde se encuentra el listado de medidas de seguridad que deben servir para garantizar dichos requisitos. Como se puede ver, el criterio de selección de "LO MÍNIMO" a aplicar queda establecido en el siguiente orden por:
Toda esta parte filosófica y de establecimiento de las lineas estratégicas de trabajo me parecen perfectas y muy alineadas con la tendencia general que viene siendo consensuada como el marco de trabajo de la "gestión de la seguridad de la información".
Es lógico que en la valoración se contemplen aspectos legales, operativos, económicos o de carácter organizativo. Sin embargo, el gran problema está en la descripción que ha sido redactada para estas escalas de valoración en los tres niveles establecidos.
Por poner un ejemplo, a un responsable de servicio o responsable de información se le deberá preguntar qué consecuencias tiene un incidente que afectara a la confidencialidad. Por tanto, debe determinar si supone un perjuicio limitado, grave o muy grave. Sin embargo, la justificación de estos tres grados se corresponde con las siguientes frases:
Según se puede ver, todos los Organismos debieran decir en su sede electrónica cual es su declaración de conformidad respecto al cumplimiento del ENS y cualquier otro distintivo que acredite gestión de la seguridad como pudieran ser las certificaciones ISO 27001. En la Web del CCN-CERT hay incluso colgado un documento a modo de ejemplo de la redacción que debería tener esa declaración y que os animo a consultar en este enlace. La base por la que se declara la conformidad con los requisitos esenciales del ENS, es la superación en conformidad de la evaluación efectuada, realizada por el Responsable de Seguridad, mediante la elaboración de un dictamen técnico en el que se señale, de forma expresa, que el sistema a que se refiere es conforme al Esquema Nacional de Seguridad.Esta información debiera estar colgada en la sede para que el ciudadano pueda comprobar que la Web de ese organismo goza de las medidas de protección adecuadas y por tanto, le genere la confianza que es el fin último por el que se ha desarrollado el ENS. Por tanto, no existe una Agencia supervisora que determine quién está en condiciones de dar servicios telemáticos y quien no pero al menos obliga a todas las AA.PP. a publicar una declaración donde digan que superan las medidas de seguridad. Por tanto, si hubiera un incidente se podría saber quién es el responsable en base a detectar qué medidas de las aplicadas fallaron.
¿Cómo debiera ser la Auditoría técnica que estable...

References: Artículo 96
 artículo 34
 artículo 4
 real decreto 
 real decreto 
 real decreto 
 artículo 45
 artículo 45
 Artículo 9