Source: https://www.securityartwork.es/author/arodriguez/
Timestamp: 2020-08-12 01:01:31+00:00

Document:
Alex Rodriguez, Autor en Security Art Work
Publicado el borrador del RD de Protección de Infraestructuras Críticas
7 de junio de 2010 Por Alex Rodriguez
Fue allá por el 92 cuando la aparición de la LORTAD, que evolucionó hasta la actual LOPD, marcó un antes y un después en el marco de la seguridad y la protección de datos. Actualmente, están surgiendo otras iniciativas de referencia que claman por convertirse en otro punto de inflexión en materia de seguridad en España.
La primera de ellas la vimos nada más empezar el año con la aparición del Esquema Nacional de Seguridad, el cual se propuso como objetivo el establecer las condiciones y medidas necesarias para garantizar la seguridad de los sistemas, los datos, las comunicaciones, y los servicios electrónicos en la Administración Pública.
Ahora nos encontramos con otro hito, publicándose hace pocas algunas semanas el borrador del RD de Protección de Infraestructuras Críticas. Este nuevo Real Decreto que se aproxima, nace con el propósito de regular la protección de las infraestructuras que presten servicios públicos esenciales para la sociedad frente a ataques deliberados de todo tipo, poniendo especial interés en el campo del terrorismo, mediante la definición y el desarrollo de un sistema y unos procedimientos que abarcan a todos los sectores públicos y privados afectados.
Echándole un vistazo a la norma nos encontramos, como principales pilares para la gestión de la misma, la definición de un catálogo en el que se identifican, para cada sector, aquellas infraestructuras críticas para la sociedad, que como define la norma son aquellas cuyo funcionamiento resulta indispensable y que su destrucción o interrupción supondría un grave impacto sobre los servicios públicos esenciales. Éstas se clasifican, según su ámbito, en Infraestructuras Críticas (IC) o Infraestructuras Críticas Europeas (ICE), si afectan a dos o más estados miembro de la Unión Europea. Así mismo, para determinar la criticidad de estas infraestructuras, se valoran principalmente en base a tres parámetros: el número potencial de víctimas que se pueda producir, el impacto económico y el impacto público.
Otro de los pilares con los que nos encontramos es el diseño de un plan estratégico que contenga medidas de prevención y protección eficaces contra las posibles amenazas hacia tales infraestructuras críticas. Como toda estrategia de seguridad, ésta parte en primer lugar de un análisis de riesgos, en el que se evalúan las amenazas y vulnerabilidades, seguido del análisis de las fortalezas y debilidades frente a los mismos. Dicho análisis permite determinar cuáles son las prioridades y la capacidad para, con ello, coordinar y planificar los esfuerzos necesarios del Gobierno, las Administraciones Públicas y el sector privado para hacerlos frente.
En cuanto a las figuras responsables, surge el Centro Nacional para la Protección de Infraestructuras Críticas (CNPIC), como órgano director y coordinador, y que depende únicamente de la Secretaría de Estado de Seguridad. Así mismo, detalla todas aquellas relaciones y obligaciones de los diferentes actores involucrados.
Como punto destacado, cabe mencionar la especial atención que este Real Decreto presta hacia las tecnologías de la información, reconociendo la fuerte dependencia actual, tanto para su gestión como por su vinculación con otros sistemas. De la misma forma, se aboca por la implantación de las medidas de seguridad necesarias para garantizar la confidencialidad, integridad y disponibilidad de la información en los sistemas y las comunicaciones (véase al respecto el artículo 26, Seguridad en las comunicaciones).
No obstante, tengo que decir que esta norma cae un poco en la ambigüedad en cuanto a medidas técnicas se refiere, dejando dicho criterio al Centro Criptológico Nacional, como órgano encargado de certificar y acreditar la seguridad de los sistemas de información y comunicaciones. Veremos con el paso de los días como queda la versión final de esta norma y también cómo afecta la situación actual de crisis en el desarrollo e implantación de la misma.
18 de marzo de 2010 Por Alex Rodriguez
Hace algunos días mientras un amigo y compañero de trabajo revisaba el estándar ISO27002, se dio cuenta y comentó un detalle que cuanto menos nos pareció a todos curioso. El apartado “i” del control 9.2.1 sobre Emplazamiento y protección de equipos, dice:
«Se deberían proteger los equipos que procesen la información sensible para minimizar el riesgo de fugas de información debidas a una emanación”
Como habréis pensado el comentario vino a raíz de esa última palabra: “emanación”, la cual nos hizo pensar en si realmente la habían utilizado de forma correcta bajo el contexto en el que estábamos hablando. Dándole vueltas alguien recordó que había leído algo sobre la posibilidad de la captación de datos mediante el análisis de señales por emanación electromagnética, un fenómeno que desde luego parece más bien sacado de una serie de ciencia ficción, pero que no está para nada desencaminado de la realidad. Hoy vamos a hablar de los ataques TEMPEST.
21 de enero de 2010 Por Alex Rodriguez
¿A quién no le han llamado innumerables veces a lo largo del día ofreciéndole tarifas mucho más baratas de telefonía, luz, gas, etc. (aunque no te salgan los números) o el mejor móvil del mercado, a juicio del teleoperador? Es el comúnmente conocido como spam telefónico, técnicas abusivas e insufribles por las que, quien más o quién menos, todos hemos tenido que pasar.
¿Qué puede hacer el usuario en contra de éstas prácticas para defenderse? Bien, por si alguien no lo sabe vamos a hacer un breve resumen de las acciones que podemos poner en marcha al respecto. La Ley Orgánica de Protección de Datos nos ampara en este aspecto poniendo a nuestra disposición los derechos ARCO (de Acceso, Rectificación, Cancelación y Oposición). Veamos un par de artículos interesantes de la ley, resaltado lo que más nos interesa.
En primer lugar, El artículo 6 de la LOPD, Consentimiento del afectado, dictamina:
En segundo lugar, según el artículo 30 de la LOPD sobre Tratamientos con fines de publicidad y de prospección comercial tenemos:
Por lo tanto, tenemos el derecho de conocer en todo momento la identidad del responsable de realizar dicha llamada (la empresa en cuestión), de dónde proceden nuestros datos (que podría ser, como indica el artículo 30.2, por fuentes accesible al público, como las guías telefónicas, o facilitados por los propios interesados, léase por ejemplo letra pequeña de algunos contratos firmados por nosotros con nuestros datos personales donde pone cesión de datos a terceros; de otra forma sin nuestro consentimiento estarían infringiendo la ley) y finalmente exigir que sean eliminados de facto de sus bases de datos o medios que utilicen para almacenarlos.
Lo normal en estos casos es que haciendo uso de sus derechos de “remolonería” y yéndose por los cerros de Úbeda intenten por todos los medios posibles evitar nuestra petición. En tal caso siempre podemos realizar dicha operación mediante el tradicional correo certificado, si queremos asegurarnos que llega a su destinatario (lo cual, cierto, no deja de ser un engorro y el respaldo burocrático de las grandes organizaciones). La Agencia Española de Protección de Datos pone a nuestra disposición unos modelos que nos servirán como base para ejercer dichos derechos, que cumplimentaremos y enviaremos, adjuntando una fotocopia del DNI para identificarnos.
A partir del momento en que la empresa recibe la carta, dispone de un plazo hábil de 10 días para cancelar los datos y 30 días para pronunciarse respondiendo a nuestra petición. Si pasa el plazo legal establecido y no se ha obtenido respuesta alguna ni hemos conseguido nuestro objetivo, podremos proceder a solicitar a la AEPD que nos tutele, como remarca el artículo 18.2 de la LOPD Tutela de los derechos. En otras palabras, ahora sería la Agencia la que se encargue del tema poniéndose en contacto con la empresa en cuestión, con la posibilidad de iniciar un procedimiento sancionador hacia la misma.
Esto es estupendo, pero hay todavía un aspecto que no hemos comentado, que cada día se hace más frecuente y del que poco o nada podemos hacer al respecto. ¿Qué hay de las llamadas con números ocultos/privados? Otra de las tradicionales cruzadas. Todo se vuelve más hosco cuando somos incapaces de identificar a la persona que tenemos al otro lado (cuando no es una máquina, ya que en ese caso estaríamos ante una ilegalidad declarada).
Respecto a esto, el 31 de diciembre de 2009 se publicó en el BOE una modificación que afecta a este ámbito en cuanto a Prácticas agresivas por acoso. Su artículo 29.2 dicta:
Por lo tanto, quedan prohibidas las llamadas comerciales a través de números ocultos, algo que esperemos que se haga notar desde ya. No obstante, esto todavía no significa que queden prohibidas para otros propósitos, y este es el punto que me gustaría resaltar y donde creo los usuarios están más desprotegidos al respecto. ¿Alguien ha recibido decenas de llamadas en un mismo día, durante semanas, a diferentes teléfonos de su domicilio, y escuchar silencio tras descolgar? A un presente le ha pasado. Métase en el mismo saco timos, bromas telefónicas y teleoperadores anónimos varios. En definitiva, no saber quién está realmente al otro lado del hilo telefónico.
Existen multitud de leyendas urbanas acerca de cómo averiguar estos números ocultos: dobles desvíos de llamadas, rellamadas automáticas, programas de identificación de números privados, etc. Muchos aprovechando posibles agujeros de seguridad de según qué operadora, pero nada de manera oficial y menos aun que funcione de verdad. A raíz de esto, curioseando encontré una interesante aplicación, TrapCall, que es capaz de descubrir el número mediante el cual te están llamando en 6 segundos. Estupendo, si no fuera porque por ahora sólo funcionan en las redes de AT&T y T-Mobile.
Aquí en España al menos, las operadoras se lavan las manos al respecto, ya que no te facilitan estos números a menos que se pida por orden judicial y tras una denuncia previa en casos extremos. La única solución que te suelen dar es que desvíes todas estas llamadas con número oculto y que lo hagas tú mismo. Esto que se lo expliquen a mi abuela.
Como veis el tema de la seguridad en las comunicaciones es extenso y podríamos pasarnos el día hablando de ello, desde los innumerables timos que se producen a diario o el más que comentado sistema de escuchas telefónicas del Ministerio del Interior «SITEL» (Sistema Integrado de Interceptación de Telecomunicaciones), sobre lo que por cierto el pasado martes 19 de enero la AEPD publicó el informe de la inspección que podéis leer aquí mismo. Pero todo esto será en próximas entradas.
Por lo demás, pasen un buen fin de semana, ya que mañana no habrá nada nuevo que leer por aquí. Nos vemos el lunes, en el mismo sitio y a la misma hora (o a cualquier otra). Sean buenos.
21 de diciembre de 2009 Por Alex Rodriguez

References: Real Decreto 
 Real Decreto 
 artículo 26
 artículo 6
 artículo 30
 artículo 30
 artículo 18
 artículo 29