Jon Turrillas Blog sobre TIC y Derecho

La seguridad de nuestros datos personales en la red, esta semana, en ‘Teknopolis’

2019-06-07T01:08:00.001-07:00

En Castellano.

http://www.biantik.coop/la-seguridad-de-nuestros-datos-personales-en-la-red-teknopolis/

Euskaraz.

http://www.biantik.coop/eu/sarean-harrapatuta-teknopolis/

2018-06-25T01:17:00.001-07:00

La semana pasada la AEPD publicó la guía para la gestión y notificación de brechas de seguridad. La cual resultará de un alto interés para los que trabajamos como Data Protection Officer. En concreto una de las partes que más me ha gustado de la guí es la de los videos que aparecen en el apartado de formación, ya que en mi caso, suelo dar muchas charlas y formaciones y estos vídeos son materiales de un alto interés.

En concreto estos son algunos de los videos interesantes que referencia la guía:

Vídeos:

¿Sabrías reaccionar a un incidente?

Cómo prevenir la fuga de información

¿Cómo identificar una fuga de información? Monitoriza y analiza el tráfico

¿Sabes para qué sirve cada documento de tu plan de continuidad?

Continuidad de negocio en circunstancias adversas

Respuesta jurídica a ataques

Ransomware

2016-05-02T03:06:00.001-07:00

¿Qué es?

“Is a type of malware that restricts access to the infected computer system in some way, and demands that the user pay a ransom to the malware operators to remove the restriction”.

Esto quiere decir que se trata de un tipo de “malware” que infecta equipos informáticos denegando el acceso a ficheros o que simplemente los cifra, haciendo ilegible la información. El atacante posteriormente para poder descifrar los ficheros solicita el pago de una cantidad determinada (por medio de Bitcoins o criptomonedas) al usuario. Cabe destacar, que muchas veces después de un pago no se envía la clave que descifra los ficheros, por este motivo, lo recomendable es la prevención vía formación de usuarios y por medio de copias de seguridad.

Seguir leyendo...

Además de este artículo, es muy interesante el siguiente vídeo publicado en el canal de Youtube "Palabra de Hacker": https://www.youtube.com/watch?v=EGKzaDCnMMI

Safe Harbour

2015-10-12T10:29:00.000-07:00

¿Qué es el Safe Harbour?

Bien, Safe Harbour significa literalmente puerto seguro como el título de este post. Y en concreto, es una decisión de adecuación de carácter sectorial a la que pueden acogerse, exclusivamente, compañías establecidas en los EEUU, por lo que no se puede extender su aplicación, como en algún momento se ha pretendido a compañías filiales de empresas americanas establecidas fuera de este país. El sistema de adhesión por parte de las empresas de manera voluntaria a los requisitos de Puerto Seguro, se fundamenta, exclusivamente, en una declaración unilateral de las compañías respecto de que cumplen los requisitos de Puerto Seguro y, posteriormente, el control de dicho cumplimiento se encomienda a una auditoría que se puede llevar a cabo por personal interno de la entidad. Es decir, es un esquema de auto certificación, auto regulación y auto evaluación en el que pueden no existir nunca controles externos respecto de las actividades y prácticas de protección de datos de las compañías adheridas a Puerto Seguro.

A esto se refiere la Decisión 2000/520/CE de 26 de julio con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la Protección conferida por los principios de Puerto Seguro para la Protección de la Vida Privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de EEUU.

Cabe destacar que independientemente del Puerto Seguro o Safe Harbour, como regla general, en el caso de empresas transnacionales y al tratarse de empresas que disponen de servidores en diferentes Estados por todo el mundo, habrá que tener en cuenta donde se encuentran ubicados dichos servidores, es decir si hablamos de Estados miembros de la Unión Europea, será de aplicación la Directiva 95/46/CE y en su caso la normativa del Estado miembro que la desarrolle, pero en el caso de que los servidores se encuentren ubicados en Estados que no pertenezcan al espacio de la Unión Europea, se deberá observar si disponen de algún tipo de acuerdo, tratado o convenio en el que se establezcan las medidas de seguridad oportunas y por último en caso de no ser así se deberá solicitar autorización expresa para la cesión internacional de los datos personales al Director de la Agencia Española de Protección de Datos, tal y como se describe en la página web de la Agencia Española de Protección de Datos de Carácter Personal Transferencias internacionales de datos.

En muchos de los supuestos de los proveedores de Cloud Computing o servicios en la nube más importantes del mundo, la recepción de los datos y la cesión de los mismos suele darse a dos o más países, Irlanda por poner un ejemplo de país Europeo en el que grandes empresas tecnológicas disponen de una sede, es miembro de la Unión Europea, por lo que será de aplicación la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Mientras que en terceros países no miembros de la UE, se deberá estudiar si existe algún tipo de convenio o acuerdo o como ocurría con EEUU y el puerto seguro.

Es en este último caso en el que al tratarse de un Estado no miembro, le era de aplicación la Decisión 2000/520/CE de la Comisión Europea del 2000 de 26 de julio con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la Protección conferida por los principios de Puerto Seguro. Por lo que para garantizar la efectividad de la decisión, el Departamento de Comercio de Estados Unidos de América, o su representante, debía mantener a disposición del público una lista de entidades que tal y como se ha citado antes, se auto certificasen su adhesión a los principios así como su aplicación y quedasen sujetas a la jurisdicción de la Federal Trade Comission o FTC Comisión Federal de Comercio, con arreglo a la competencia que le confiere el Artículo 5 de la Ley de la Comisión Federal de Comercio, o del Departamento de Transporte de Estados Unidos, con arreglo a la competencia que le confiere el Artículo 41.712 del Título 49 de la United States Code, los cuales estarán facultados para investigar las quejas que se presenten y solicitar medidas provisionales contra las prácticas desleales o fraudulentas, así como reparaciones para los particulares que estén sujetos a esta jurisdicción, independientemente de su país de residencia o de su nacionalidad.

Se consideraba así, siempre que la entidad receptora de los datos hubiese manifestado al citado Departamento de Comercio de Estados Unidos o a su representante, de forma inequívoca y pública, su compromiso de cumplir con estos principios de puerto seguro y se sujetase a la jurisdicción a la que nos hemos referido en el párrafo anterior, aceptando literalmente lo siguiente: Do you agree to cooperate and comply with the European Data Protection Authorities? Yes.

Para la UE, la protección de datos personales es un derecho fundamental de los ciudadanos. Así lo reconocen explícitamente algunas constituciones de los Estados miembros (la española, entre ellas, tal y como estableció y reconoció el TCE en su sentecia 292/2000, de 30 de noviembre de 2000). Además, tanto la UE mediante diversas directivas como sus Estados miembros al transponer las mismas, han aprobado normas jurídicas de obligado cumplimiento y de carácter general en las que se establecen los principios y los derechos de los que los ciudadanos disponen respecto al tratamiento de sus datos personales. Finalmente, en todos los Estados miembros existen autoridades de control independientes encargadas de la supervisión del cumplimiento de la legislación en esta materia.

En este sentido, el pasado seis de octubre el TJUE en su gran sala, declaró inválida la Decisión 2000/520/CE de la Comisión Europea del 2000 de 26 de julio con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, que declaraba el nivel adecuado de protección del Puerto Seguro o Safe Harbour. En concreto, tal y como recoge la nota de prensa de la AEPD, la sentencia proclama que la Decisión de Puerto Seguro es inválida por dos motivos:

Porque entiende que prevalece incondicionalmente y sin ninguna limitación “la seguridad nacional, el interés público o el cumplimiento de la ley” sobre los derechos fundamentales a la intimidad y la protección de datos, sin otorgar a los ciudadanos europeos ningún medio para obtener la tutela efectiva de esos derechos.

Porque no otorga a los Estados miembros un margen suficiente para suspender las transferencias en caso de que estos apreciaran una vulneración de los derechos de los ciudadanos europeos.

Veremos que ocurre a partir de ahora, ya que no sólo afecta a los responsables de ficheros (entidades en su gran mayoría y sus proveedores) si no que también afectará a millones de usuarios de servicios en la Red. De igual modo, habrá que ver que ocurre con el no muy conocido TTIP o Transatlantic Trade and Investment Partnership, el cual es una propuesta de tratado de libre comercio (TLC) entre la Unión Europea y Estados Unidos. Actualmente se encuentra en negociaciones y previsiblemente dotará de poder a las grandes empresas y desregularizaría los mercados, por lo que en el caso de las empresas tecnológicas la cuestión de la privacidad será un escollo a salvar y a tener en cuenta.

Cabe destacar que esta sentencia del TJUE, sigue la línea de reforzar el Derecho Fundamental a la protección de datos de carácter personal, tal y como ya ocurriera el 13 de mayo de 2014 con la Sentencia del denominado Derecho al Olvido en el caso de Google y Costeja.

No obstante a todo lo anterior, es importante recalcar que también se deberá cumplir con la normativa Española en materia de protección de datos, en concreto con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento que la desarrolla.

Por todo ello muchos de los proveedores de servicios en la nube tales como gestores documentales o de correo electrónico quedarán automáticamente fuera del Safe Harbour o puerto seguro.

Documentación y entradas de interés:

1.- Sentencia TJUE.
2.- Decisión 2000/520/CE.
3.- Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
4.- Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento que la desarrolla.
5.- Directiva 95/46/CE.
6.- Nota de prensa de la AEPD.
7.- Datos Personales y Cloud Computing

Phishing

2014-09-08T01:42:00.003-07:00

El Phishing es un clásico dentro de las amenazas de Internet, se trata de hacerse pasar por quien uno no es o no representa, es decir llevar acabo una suplantación de la identidad de un tercero.

Se comete mediante el uso de un tipo de ingeniería social caracterizado por intentar adquirir información confidencial de forma fraudulenta (como puede ser una contraseña o información detallada sobre tarjetas de crédito u otra información bancaria). El cibercriminal, conocido como "phisher", se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica, habitualmente por medio de un correo electrónico, o algún sistema de mensajería instantánea o incluso utilizando también llamadas telefónicas. Algunos ejemplos o supuestos relacionados, Pharming (cambio de la dirección IP legítima de una entidad), SmiShing (Phising vía SMS) o Scam (premio de lotería o similar previo envío de dinero).

La entrada completa aquí.

6ª Jornada Abierta de la AEPD, 14 de marzo de 2014

2014-05-19T03:07:00.000-07:00

Aunque un poco tarde, pongo a disposición este post que fue quedándose atrás en el tiempo pero que espero que resulte del interés del lector y que así comenzaba:

Para aquellas personas que no pudieron acudir el pasado viernes 14 de marzo de 2014 al Teatro Real de Madrid a la 6ª Jornada de Puertas Abiertas de la AEPD, he realizado este pequeño resumen con intención de trasladar las cuestiones que allí se trataron y acontecieron.

En dicha jornada, muchas eran las cuestiones que estaban abiertas desde hace tiempo, en este campo del derecho y de la seguridad de la información, las cuales versaban desde las cuestiones relativas a las innovaciones tecnológicas como pueden ser el denominado como el “Internet de las cosas”, los “drones”, el "derecho al olvido" etc. Así como otras cuestiones que también estaban pendientes tales como la aprobación del Reglamento Europeo de Protección de Datos de Carácter Personal o su no futura aprobación y como no, la cuestión recurrente y polémica en materia de “Cookies”, su regulación, interpretación, ámbito de aplicación, sanciones o resoluciones.

Por tanto dado que hubo bastante materias bajo análisis, comenzaremos a describir las cuestiones allí tratadas en el orden según el programa de la jornada.

José Luis Rodríguez Álvarez como Director de la Agencia Española de Protección de Datos (AEPD) abrió la jornada hablando de las principales novedades en materia de protección de datos. Entre las cuales hizo referencia al nuevo reglamento Europeo de protección de datos del cual afirmo sin ningún genero de dudas que dadas las fechas era evidente que en esta legislatura no sería aprobado y por tanto no entraría en vigor, por lo que en ese sentido y a falta de poco más de un año de cumplirse los veinte años desde que se aprobase la Directiva 95/46/CE del parlamento europeo y del consejo de 24 de octubre de 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Se abre una época de cierta incertidumbre en ese sentido.

Por otro lado y sorprendentemente, el Director de la AEPD no hizo ninguna referencia a lo expresado el pasado 12 de marzo en el artículo publicado por Europa press en referencia a la falta de recursos de la Agencia, en dicho artículo, el Director del órgano de control, remarcaba que en los últimos años la carga de trabajo se había incrementado hasta en la AEPD en un 300%. El por qué de este incremento tan asombroso puede deberse a varias razones, que cada cual saque sus conclusiones...

Así mismo y sin citar tampoco el caso de “Eduard Snowden” y la NSA, comentó el estado actual en el que se encontraba Europa respecto a la crisis de confianza generada por el espionaje manifiesto que se estaba dando de gran parte de la ciudadanía por los diferentes centros de inteligencia mundiales.

Comentó también los estudios que se están llevando a cabo por parte del Grupo Europeo de Protección de Datos del Artículo 29 respecto al reto en materia de privacidad en cuanto a los avances tecnológicos tales como el concepto del Internet de las cosas, drones y como no el Big data. Destacando de las citadas tecnologías el hecho de que pueden conllevar una enorme ingerencia en la vida privada de los ciudadanos. A todo ello apostillo que a pesar de que la innovación es fuente de bien estar, ello no quiere decir que se trate de un vector absoluto ya que puede cercenar derechos y libertades de los ciudadanos.

“La confianza en algunos servicios de Internet está dañada, y sólo puede repararse con más privacidad y más garantías para el ciudadano.”

En ese sentido y para paliar determinados efectos negativos de la innovación, desarrollo su ponencia en cuanto al trabajo que desde la AEPD se está llevando a cabo en cuanto a la “EIPD” o Evaluación de Impacto de Privacidad o de Protección de Datos” en Inglés “PIA” “Privacy Impact Assessment” es muy interesante la guía sobre “PIA” del ICO en este sentido me parece altamente recomendable la lectura del artículo de Francisco Javier Sempere en Privacidad Lógica, actualizado tras la jornada del pasado viernes 14 de marzo de la AEPD en el que habla de estas cuestiones.

Posteriormente, continuó con la jornada y precisamente con ese tema, Emilio Aced Félez, Jefe de Área de la Unidad de Apoyo de la AEPD. Realizo su intervención en cuanto a la evaluación de impacto en la privacidad o PIA, como elemento altamente recomendable a llevar a cabo por las entidades a la hora de diseñar las áreas de negocio respecto a la privacidad, como elemento para llevar a cabo el concepto de Privacy by design u una privacidad desde el diseño a la realidad. Para ello, será por tanto recomendable, realizar un “EIPD” o Evaluación de Impacto de Privacidad o de Protección de Datos”, para lo cual se requiere que el producto o servicio, sea analizado para comprobar si es necesaria o no una evaluación de impacto respecto a la privacidad.

Para llevar a cabo dicho análisis, según Emilio Aced Félez, es fundamental, definir los equipos de trabajo respecto a que cubre el proyecto y quien debe formar parte del mismo, es decir, que resultara apropiado que existan representantes de todo tipo, así como un DPO, y representantes de las áreas de negocio de la entidad. Todo ello en un intento de acercarse al concepto de “Privacy by Design” con la evaluación de impacto y sus riesgos potenciales. Es evidente el significativo parecido de estos preceptos y los establecidos en estándares internacionales como ISO 27001 e ISO 31000 los cuales han seguido o tomado como referencia (al menos así lo reconoce el ICO el cual a su vez parece haber influenciado de manera importante a la AEPD en esta materia).

Posteriormente, llegó el turno de María José Blanco Antón, Secretaria General de la AEPD, comento básicamente la página Web de la agencia y su sede electrónica, comento también la documentación (resoluciones, guías, materiales didácticos, modelos de documentos…) así como las herramientas que se encuentran disponibles en www.agpd.es tales como Evalua etc.

Antes de la pausa de la jornada, se procedió a la entrega de los premios de protección de datos 2013, de los cuales fueron premiadas las siguientes personas (noticia referenciada por Europa Press):

Premios de Comunicación – Premio Ex Aequo:

-. Marimar Jiménez (Cinco Días). -. Beatriz Navarro (La Vanguardia).

Premios de investigación 2013:

-. Vicente Guasch Portas (Premios de investigación 2013).

-. Ana Sánchez Henajeros (Premios de investigación 2013).

Premio en la categoría de Trabajos originales e inéditos sobre protección de datos en países iberoamericanos otorgado a mi amiga y compañera Dolores Dozo y a Pablo Martinez.

Tras la pausa, se reanudo la jornada con la ponencia de Jesús Rubí Navarrete como Adjunto al Director de la AEPD, el cual, realizó una exposición en cuanto a la aplicación de la normativa de Cookies, citando algunos procedimientos incoados por vía de la LSSI y de la propia LOPD, destacando que cuando una aplica la otra no entra en juego o no tiene porque ya que son materia distintas.

Se citaron cuestiones respecto a Informes Jurídicos relevantes, la legitimación y la aplicación del interés legítimo (Art. 22.2 LOPD) etc.

En mi opinión el tema de las cookies no se ha solucionado de la mejor de las maneras y esto se trascendió también a la jornada así como a su planteamiento en este ámbito, sobre todo en lo que a las cuestiones que al final de la jornada se plantearon y las respuestas aportadas por la propia AEPD.

A continuación, tuvo lugar la ponencia de Don Agustín Puente Escobar, Abogado del Estado y Jefe del Gabinete Jurídico de la AEPD Informes y Sentencias Relevantes. Referenció la Política de Privacidad, con respecto a las ambigüedades que suelen encontrarse en los términos y condiciones de uso respecto al "podrá, podrán hacer uso.." etc. así como con cuestiones sobre como Google "podrá mejorar las experiencias del usuario..." y otras cuestiones relacionadas con temas o asuntos establecidos en determinadas cláusulas de grandes proveedores de servicios en Internet, los cuales en muchas ocasiones almacenan datos de forma injustificada... cuando la Ley Orgánica de Protección de Datos es clara en este sentido, ya que establece que deberán ser eliminados aquellos datos que no mantengan la finalidad para la cual fueron recabados y deberán ser proporcionales.

También se hablo sobre la libertad sindical, o de información, la tutela judicial efectiva etc. en concreto en lo que se refiere a que el derecho de Protección de datos y la apreciable cesión en favor de los anteriores así como por otras limitaciones competenciales por cuestiones geográficas etc.

José López Calvo, Subdirector General de Inspección de Datos de la AEPD, principales resoluciones. Realizó una ponencia a toda velocidad, tal vez pecando de introducir demasiadas resoluciones para el poco tiempo del que disponía, no obstante destacan entre las mencionadas:

-. Calidad de los datos tasas de basuras a personas que no debían ser por vulneración de calidad de los datos.

-. Deber de información previo por el acceso del e-mail corporativo, para ello es necesario de informar a los mismos, destacar el tema del USB caso de concejales y partidos políticos, insertar información indebidamente en Internet, inserción de sentencias sin eliminar datos, cuestiones de páginas que incluyen supuestos. Imágenes de menores por padres separados etc.

-. Vídeo vigilancia: Captación de vía pública, ausencia de proporcionalidad y la no disposición de carteles.

-. Sanciones por altas sin consentimiento, sector de la energía, denuncias que han superando a la banca arrebatándole el segundo puesto y pasando esta al tercer puesto. Como desde hace algún tiempo, el primero continua siendo el sector de las telecomunicaciones. También se comentó lo concerniente a los ficheros de morosidad.

-. Publicidad, vulneraciones, Spam, llamadas comerciales, sanciones vinculadas a publicidad viral, correo electrónico, retención de tarjetas que luego hacían lo contrario (finalidades distintas), exención del deber de información (tan sólo se ha admitido una).

-. Facebook, cancelación de datos, ha cancelado tras instancia, buscadores, captación de noticias de hace 30 años y de vídeos etc.

Otras cuestiones: Se han desestimado cuestiones relativas al art. 25.8 RDLOPD 1720/2007, no cabe la caducidad de la firma electrónica, casos de relevancia pública en cuestiones de correo electrónico, obtención del número de IP o en los casos respecto a los Boletines oficiales, salvo que existan razonamientos fundados por cuestiones de seguridad.

Registro General de Protección de Datos y Transferencias Internacionales, Don Julián Prieto Hergueta. Subdirector General del Registro General de Protección de Datos
Información aportada respecto a Ficheros:

-. 3.000.000 de ficheros inscritos.

-. Ficheros con más de un responsable, cada uno debe contar con los suyos.

-. Hay que obtener el consentimiento o acreditación respecto a quien va a inscribir los ficheros o que cuenta con poderes suficientes para ello.

-. Administraciones públicas, delegaciones de deporte, mancomunidades y también empresas externas deberán considerarse a efectos de responsables del fichero y deberán cumplir con las obligaciones que a ellas se le aplican.

-. Ficheros comunes para la prevención del blanqueo de capitales, con límites respecto al acceso de la información.

-. Aspectos de Seguridad: en cuanto a la seguridad deben tener un nivel de seguridad de nivel alto cuando se trate de personas de relevancia pública respecto a sus cargos.

-. Perfiles de empresa limitación en redes sociales y en especial de menores.

Bases de datos y cesiones, hay que ver el tema del no uso ya que hay o existe un plazo.

-. Verificar el fichero con fuentes accesibles al público.

-. LSSi excluye la aplicación de la LOPD. Se debe poder disponer el tema del recurso del envió no sólo en la Web sino también en otras cuestiones.

Disociación debe ser irreversible, ejemplo Padrón de habitantes en el que se quería hacer público en una Web disociándolos pero de una manera reversible.

Otros temas tratados respecto a ficheros:

-. Colegios profesionales.

-. Comunidad de vecinos.

-. Fichero de solvencia patrimonial:

-. Transparencia y acceso a la información ley Administración Pública, Ley de 1992 en el art. 32. Para la colaboración entre Administraciones tiene que acreditarse la trascendencia.

-. Cuestiones sobre Videovigilancia: Puestos de persecución de delitos por temas de responsabilidad civil (por cuestiones de auxilio) y en colegios para proteger a los menores y siempre que no se desvié la finalidad.

Rafael García Gozalo, Coordinador del Área Internacional de la AEPD realizó especial hincapié en las cuestiones relativas al BCR – CBPR WP 212. Para empresas o entidades con cesiones de datos entre sus matrices y filiales en materia de protección de datos.

Por último llego el turno de las cuestiones y Consultas planteadas por los asistentes.
Muchas de las cuales versaron sobre materia referente a las cookies, materia de la cual en mi opinión en la AEPD adolecieron de técnicos expertos que hubiesen facilitado la resolución de determinados conflictos. No obstante con la vigente normativa tampoco se pueden hacer grandes interpretaciones o líneas de trabajo satisfactorias en este sentido.

Consultas

Más información:

Programa

Ponencias:

1.- Principales novedades en materia de protección de datos.

2.- Evaluación de Impacto en la Privacidad.

3.- La sede electrónica de la AEPD y las herramientas para facilitar el cumplimiento.

4.- La aplicación de la normativa de cookies.

5.- Informes y sentencias relevantes

6.- Principales Resoluciones

7.- Registro General de Protección de datos y Transferencias Internacionales.

8.- Evolución de la actividad Internacional.

Nota de prensa de la jornada

La AEPD concede el premio de "Protección de Datos de 2013" a Cinco Días y la Vanguardia

También en

Vídeos de la jornada

Material relacionado*: Guía para una Evaluación del Impacto en la Protección de Datos Personales (EIPD) (borrador).

De terminales y Derechos

2013-09-05T03:12:00.002-07:00

Hace tiempo que tenía en mente una entrada sobre esta cuestión, por ello, quiero hacer especial mención a Gontzal Gallo, ya que era una entrada que se quería plantear desde dos puntos de vista, el suyo y el mío.

No obstante, por mi parte, aquí lanzo mis conclusiones, sobre el uso de programas o aplicaciones para "Smart Phone" desde un punto de vista de protección y control de nuestro dispositivo. Estas aplicaciones, actúan como un "troyano, El término troyano proviene de la historia del caballo de Troya mencionado en la Odisea de Homero. En el entorno informático, un troyano es en principio, un tipo de software malicioso que se presenta al usuario como un programa aparentemente legítimo e inofensivo pero al ejecutarlo le brinda a un atacante acceso remoto al equipo infectado. Es en este último punto donde podemos nosotros mismos desde nuestro PC controlar nuestro dispositivo, dependiendo de la aplicación instalada, podremos enviar distintas ordenes a ejecutar por parte de nuestro dispositivo, tales como sacar fotografías, grabar vídeos, localización exacta vía GPS, realizar copias de seguridad, eliminar archivos etc. Este tipo de aplicaciones, resultan de gran utilidad en el caso de sustracción o perdida del dispositivo. En mi caso en concreto, hace tiempo que aposté por Cerberus para Android, pero existen muchas aplicaciones de este tipo y además muchas de ellas gratuitas.

En este sentido, quisiera destacar un tipo de conflicto de derechos que pudieran generarse en el uso de las citadas aplicaciones de seguridad, también denominadas como aplicaciones espía que a los efectos actúan como ya he comentado anteriormente como los conocidos Troyanos. En la actualidad incluso se plantea el posible uso de este tipo de herramientas por parte de las fuerzas de seguridad del Estado con el objetivo de investigar a sospechosos, por medio de este tipo de herramientas, para la obtención de pruebas de cara a una posterior imputación, no obstante a día de hoy se encuentra en debate parlamentario por lo que la utilización de este tipo de herramientas sin autorización judicial en principio es ilegal. Dejando a un lado este supuesto hipotético del cual realizaremos una entrada en mayor profundidad, la cuestión que nos ocupa, es si es lícito o no el uso de aplicaciones móviles por ejemplo en el dispositivo que es propiedad del propio usuario y por tanto en principio es el legitimo tenedor de la cosa mueble, a la cual podrá dotar de cuantos accesorios quiera siempre que no se límite por Ley.

Como decía anteriormente, este supuesto planteado, sobre este tipo de aplicación espía, serviría para en caso de extravío del Terminal, por medio de la activación del GPS (sistema de posicionamiento global) del Terminal desde un ordenador por medio a su vez de la ejecución de determinados comandos vía remoto, la ubicación del terminal en todo momento y con bastante precisión. En este sentido, la licitud o ilicitud sobre este tipo de aplicaciones radica en si se pudieran vulnerar derechos de terceros como por ejemplo al activar capturas de vídeo o de audio para conocer al poseedor del Terminal sustraído o extraviado, ya que ello pudiera vulnerar su derecho a la intimidad, dado que no debemos olvidar que el derecho a la intimidad y a la protección de datos de carácter personal se trata de un derecho fundamental el cual en este supuesto, se encontraría en ponderación con el derecho a la propiedad privada y su uso y disfrute regulado en el Código Civil Español.

Dicho lo cual y dado que actualmente no se ha producido ninguna reclamación ni proceso judicial en esta materia, en mi opinión se debería de algún modo informar previamente al usuario no propietario de la posible captura de material audio-visual y demás información desde el propio dispositivo. Otra posible interpretación es que en el caso de determinadas herramientas Cloud, las cuales no son herramientas propiamente de seguridad, ni aplicaciones espía o troyanos, tales como pueden ser Google Drive, Dropbox, Sky Drive o Ubuntu one, y que pudieran encontrase activas y vinculadas a cuentas en la nube del propietario del terminal, las cuales enviarían el material capturado por el propio presunto poseedor ilegítimo del terminal a las cuentas titularidad del legítimo propietario del terminal, facilitando la posible recuperación del mismo por su legítimo propietario. Supuesto en el que en mi opinión sin ningún genero de dudas no habría conflicto de derecho alguno y sería plenamente legal, no así en el anterior supuesto, ya que a día de hoy no se ha regulado ni existen al menos a mi entender y conocimiento una resolución o informe en contrario.

Por otro lado, ante la generalización del empleo de aplicaciones en dispositivos móviles, que implican el tratamiento no sólo de una gran cantidad de datos personales sino también de gran cantidad de información desde el punto de vista de las entidades. Dispone de gran relevancia, el llamado Grupo de trabajo europeo sobre protección de datos del artículo 29, Article 29 Data Protection Working Party (órgano asesor independiente formado básicamente por las autoridades nacionales en la materia, el cual a su vez está siendo el encargado del futuro Reglamento de protección de Datos de la UE) de su Dictamen 2/2013, titulado en su versión en inglés (la única de momento disponible) “Opinion 02/2013 on apps on smart devices”.

El documento proporciona un valioso análisis de los elevados riesgos en materia de protección de datos, dada la cantidad de creadores de aplicaciones (con gran frecuencia particulares o entidades de reducido tamaño carentes de conocimientos acerca de la legislación en materia de protección de datos), los fabricantes de los dispositivos móviles y sus sistemas operativos, las tiendas que comercializan aplicaciones (App Store, Google Play) y ciertos terceros, como las redes publicitarias.

Así mismo, se abordan en el dictamen, cuestiones como aquellos referentes a la ley aplicable, en concreto, en lo que al ámbito de la legislación europea se refiere. Para ello hace mención de la vigente Directiva 95/46/CE y a nivel nacional a su artículo 4 (Art. 2 LOPD 15/1999).

Para más información respecto al dictamen, del denominado GRUPO 29, recomiendo la lectura del mismo, “Opinion 02/2013 on apps on smart devices” o en su defecto el completísimo análisis realizado por parte de Pedro A. de Miguel Asensio, Catedrático de Derecho internacional privado de la Universidad Complutense de Madrid en su blog.

Actualización1: Gracias a Eduard Blasi (@eduardblasi), he sabido vía Twitter que el dictamen se encuentra ya en castellano, "Dictamen 02/2013 sobre las aplicaciones de los dispositivos inteligentes".

Actualización2: Zapa Zaparl ha escrito en su blog el siguiente artículo que creo que es una buena combinación de este que escribí yo hace algún tiempo, por lo que me ha parecido buena idea vincularlo :) "Cómo recuperar tu Móvil robado con Cerberus" (basado en un caso real)

Whistle Blowing Policy

2013-04-06T01:17:00.003-07:00

Hace no mucho que me he encontrado con este término en la red, con gran tradición en el mundo anglosajón. Aunque cabe destacar, que tiene gran arraigo en el entorno de entidades públicas. es muy usual en países como EEUU, Inglaterra así como en muchos países nórdicos, son políticas muy extendidas, también se utilizan y existen en muchas corporaciones, no sólo en administraciones públicas, corporaciones que habitualmente son entidades de un tamaño bastante considerable. Pero ¿Qué significa esto de whistle blowing policy?

"Según Wikipedia: A whistleblower (whistle-blower or whistle blower), is a person who tells the public or someone in authority about alleged dishonest or illegal activities (misconduct) occurring in a government department or private company or organization. The alleged misconduct may be classified in many ways; for example, a violation of a law, rule, regulation and/or a direct threat to public interest, such as fraud, health/safety violations, and corruption."

"Como ejemplo: http://www.lancashire.gov.uk/ What is Whistleblowing? Whistleblowing encourages and enables employees to raise serious concerns within the Council rather than overlooking a problem or 'blowing the whistle' outside. Employees are often the first to realise that there is something seriously wrong with the Council. However, they may not express their concerns as they feel that speaking up would be disloyal to their colleagues or to the Council."

Visto y entendido así, con la que está cayendo en Españistan, no sería nada desdeñable este tipo de política pero de una manera real y eficaz en la Administración Pública en todos sus niveles, a juego y en concordancia claro está con la futura Ley de Transparencia.

No obstante, lo que me llama la atención sobre esta política, es el hecho de cual es el límite para dar cuenta de un acto o situación en la que un empleado revele lo que entiende una amenaza o un perjuicio en una entidad y sobre todo dónde quedan los derechos de protección de datos de carácter personal y el derecho a la intimidad del presunto "traidor" a los intereses de la entidad.

Lógicamente la casuística en este sentido puede ser muy variable y amplia, afectando a bienes jurídicos muy distintos e igualmente variados. Pero en mi opinión, una cosa está clara, pueden darse auténticos conflictos entre derechos de diversas naturalezas, tal y como ocurre en supuestos similares en lo que concierne a las últimas sentencias y distinta jurisprudencia respecto al derecho de los responsables de las entidades en cuanto al acceso a los recursos de los sistemas de información propiedad de las mismas, los cuales están a disposición de los empleados, habiendo ponderado como decía, en distintas sentencias, el derecho a velar por el negocio y buen funcionamiento de las entidades y los derechos a la intimidad y a la protección de datos de carácter personal de los empleados.

Una cosa tengo clara, siempre, absolutamente siempre será preferible y altamente recomendable la información de este tipo de políticas a los empleados así como su consentimiento previo para evitar de un lado y otro lado sorpresas y efectos indeseados, estableciendo claramente cuales son los derechos de unos y otros así como los límites de este tipo de políticas.

Seguiremos viendo este tipo de políticas con más detenimiento.

Actualización: Gracias a los aportes de varios compañeros en twitter, en especial de @jcampanillas, me han hecho llegar la existencia de un informe del año 2007 de la AEPD.

Original "Sentencia 2.0" en Navarra

2012-10-17T05:12:00.000-07:00

La "sentencia 2.0" a la que hago referencia con ese apelativo, es la sentencia 000213/2012 emitida por el Juzgado de Primera Instancia Número 5 de PAMPLONA/ IRUÑA en materia de Derecho al honor, intimidad e imagen, la cual se dio a conocer hace un par de días.

Antes de nada quisiera refrescar la memoria sobre el eco que la noticia tuvo en junio de 2011, Diario de Noticias de Navarra: "Uxue Barkos emprenderá acciones legales por presuntas injurias contra dos altos cargos de UPN. La diputada y concejala pamplonesa de NaBai Uxue Barkos emprenderá acciones legales contra la exedil de UPN Ana Pineda y el director del área de Hacienda Local del consistorio, Íñigo Huarte, tras admitir ser los titulares de sendas cuentas de Twitter desde las que vertieron comentarios sobre ella".

Todo ello se remonta al 18 de marzo de 2011, mientras tenía lugar en el Ayuntamiento de Pamplona/Iruña el Pleno en el que entre otras cuestiones, se debatía una moción del grupo municipal de UPN sobre explotación sexual , que perseguía que el Ayuntamiento no contratara inserciones publicitarias en los medios que incluyen anuncios de servicios de prostitución. También se debatía una moción del grupo municipal de NaBai en relación con las obras de rehabilitación del Palacio del Condestable. Entre tanto la concejala Uxue Barkos no pudo asistir al inicio de la sesión plenaria que dio comienzo a las 10:00 de la mañana ya que se encontraba en una consulta médica dado que tal y como la propia edil hizo publico unos meses antes padecía una grave enfermedad, razón por la que se incorporó posteriormente al citado pleno, entorno a las once de la mañana concretamente. Al encontrarse allí en ese momento varios medios de comunicación para informar sobre el pleno, y observar la incorporación de la edil al mismo, se acercaron a ella con interés ya que precisamente ese era el primer Pleno al que acudía desde que hubiese declarado públicamente que padecía una grave enfermedad.

En esa coyuntura, tuvieron lugar desde la cuenta personal de una de las concejalas de UPN (en aquellos días) del Ayuntamiento de Pamplona varios "tweet" (cuatro en total, tres en abierto y uno en cerrado).

Primer "tweet" (11:00): "Uxue Barkos hace su desembarco mediático xa distraer a los medios de la propuesta de UPN contra la explotación sexual de las mujeres en los medios", el cual además fue "retweeteado" por otro concejal del mismo Ayuntamiento y miembro del mismo partido político.
Posteriormente se envío un segundo "tweet" (11:02): "Palabra clave: medios. Uxue reaparece y comparece durante moción contra prostitución en Grupo Noticias".
Seguido por un tercer "tweet" (11:19): "Parece que me explico mal:Barcos saca a los medios del pleno llegando tarde,hurtando cobertura mediática a la explotación sexual del Noticias".

Al disponer el concejal que "retweeteo" los "tweets" de su compañera de partido, como contacto o "follower" a una concejala del Ayuntamiento de Pamplona del partido político de NaBai y al entender ésta última que en dichos "tweets" estaban faltando al respeto a su compañera de partido "Uxue Barkos", respondió por medio de otro "tweet" en cerrado al concejal de UPN que había "retweeteado" los "tweet" pidiéndole explicaciones. A lo que éste contesto también por medio de un "tweet" en cerrado: "Itziar, es lo que me han comentado. Si no era el motivo me disculpo. Se puede saber el mótivo del retraso?".

Por último, la concejala de UPN responsable de los tres "tweets" enviados en abierto, y en respuesta a un "tweet" recibido por la concejala de NaBai en el que ésta le indicaba que lo que había hecho en su "tweet" era una inmoralidad, y siendo las 12:33 horas, dicha concejala de UPN y por medio de otro "tweet" (en cerrado) le contesto: "Inmoralidad aprovecharse así de cualquier cosa.De nabai se puede esperar eso y mucho más.Nunca defrauda".

Habiendo admitido desde el principio por parte de ambos concejales de UPN que ellos efectivamente eran los titulares de las cuentas de Twitter desde donde se habían "tweeteado" y "retweeteado" los mensajes respectivamente, la parte demandante, previamente a la celebración del juicio solicitó a ambos concejales, la eliminación de los mensajes que fueron difundidos a través de Internet, así como una comparecencia pública en la que se retractasen y pidiesen perdón por los mensajes publicados vía Twitter desde sus cuentas personales, petición ante la cual los dos concejales se negaron a cumplir con lo solicitado (tal y como se publicó en el Diario de Noticias de Navarra). Por todo ello y al entender por parte del abogado de Uxue Barkos que el Derecho al honor, intimidad e imagen de su representada habían sido vulnerados y no habiéndose resarcido del daño causado, se procedió a interponer la consiguiente demanda.

Tras este resumen de los hechos acontecidos (probablemente mejor resumidos por Gontzal Gallo en su blog), voy a entrar a comentar lo que cada parte solicitó y esgrimió en su defensa así como a valorar lo establecido por la propia sentencia.

Por un lado la parte demandante solicitó que se declarase por sentencia que los comentarios vertidos vía Twitter habían vulnerado el derecho constitucional al honor de la demandante. Por otro lado, se solicitó que se condenase solidariamente a los codemandados a publicar a su costa en dos periódicos de información de la Comunidad foral de Navarra el contenido de la sentencia integra o en su defecto que se limitase al encabezamiento y fallo de la misma resarciendo así la vulneración causada. Así mismo, la parte demandante solicitó que los demandados procediesen a eliminar de forma definitiva, las manifestaciones denigratorias de las cuentas de las que los codemandados eran y son titulares y desde las que se realizaron las citadas declaraciones. Por último se solicitó que los codemandados en adelante se abstuviesen de llevar nuevos actos de intromisión en cualquier medio o plataforma que vulnerase el derecho al honor de la parte demandante así como al pago de las costas del litigio.

Ante lo cual la parte demandada, contestó a la demanda oponiéndose y solicitando sentencia por la que se desestimase integramente la demanda con imposición de las costas a la parte demandante.

Dicho lo cual, la sentencia, cita el derecho al honor (derecho fundamental recogido en el art.18.1 de la Constitución) y hace hincapié en sus dos vertientes, que son la de la autoestima y la de la fama.
Además admite que en ocasiones pueden entrar en conflicto varios derechos fundamentales como ocurre aveces con el derecho a informar y/o el derecho a la libertad de expresión (art. 20.1.d CE) con el derecho al honor, intimidad e imagen si bien es cierto que normalmente suelen prevalecer los primeros sobre el segundo, con excepción de que lo expresado contenga manifestaciones injuriosas o vejatorias (entendiendo por tales los insultos).

Pues bien la primera cuestión que me llama la atención es que en la propia sentencia se admite en el punto tercero de los fundamentos de derecho que literalmente no se ha dicho en ningún momento que la parte demandante haya utilizado su enfermedad con fines partidistas. Pero el juez entiende que sí se transmite esa idea a tenor del significado de los "tweets". Ya que interpreta que era un hecho conocido el padecimiento de la enfermedad de la demandante y para ello además cita textualmente del primer "Tweet" "desembarco" y del segundo "reaparece". Por ello entiende en suma el juez que con los "tweets" se relaciona la llegada tardía al Pleno de la demandante con la enfermedad que padece de cuya convalevencia precisamente regresa ("hace su desembarco, "reaparece") y con una determinada finalidad (..."hurtar cobertura mediática a la explotación sexual del Noticias, medio de información afín a su ideología).

Del cuarto "tweet" entiende el juez que la parte demandada con la expresión "cualquier cosa" se refiere a la enfermedad que la demandante padece y por tanto el significado de los "tweets" en general es ese y no otro ya que lo corrobora la inmediata reacción de la compañera de partido de la demandante así como la reacción del propio concejal de UPN compañero de la autora de los "tweets" que inmediatamente procedió a disculparse y a eliminar los mensajes.

Por todo ello, a pesar de que los "tweets" no contienen insultos ni palabras mal sonantes, sí se considera probado por parte del juez que en este supuesto, se acusa a una persona pública de utilizar el padecimiento de una enfermedad grave con fines partidistas y ello bajo su criterio, resulta vejatorio. Esta última cuestión creo que forma parte de la libertad de interpretación del juez, la cual personalmente en este supuesto comparto, aunque entiendo que pudiera haber jueces que no interpretasen de igual modo este hecho.

En cuanto a la difusión, me llama la atención que para ello tan sólo se tienen en cuenta los contactos ("followers") de ambos ediles de UPN no así la posible difusión que han podido tener dichos "tweets" por la red ya que dichos "followers" a su vez también disponen de más "followers" estableciendo una cadena difícil de determinar o que al menos en este asunto no se llega a plantear.

Por otro lado, el juez desestima la cuestión de las costas, si bien cabe destacar como establece una clara línea divisoria entre los dos codemandados, ya que en su opinión, uno de ellos además de no ser autor de los "tweets" se disculpa y elimina los "tweets" mientras que el otro no sólo no se disculpa sino que además hasta ese mismo momento no consta que haya eliminado dichos "tweets", por ese motivo, por la distinta conducta posterior de los demandados, el juez tiene en cuenta este hecho y absuelve al primero y no así al segundo.

Por último se establece que la parte demandada deberá eliminar los cuatro "tweets" publicados el 18 de marzo de 2011 y establece así mismo que la parte condenada deberá abstenerse en un futuro de llevar a cabo nuevos actos de intromisión, en cualquier ámbito, medio o plataforma de comunicación que vulneren el derecho al honor de la parte demandante.

Cabe reseñar en mi opinión de toda la sentencia y de ahí el título del presente "post", el hecho de que el juez decida cambiar el medio solicitado por la parte demandante (dos periódicos de información de la Comunidad foral de Navarra) para resarcir la vulneración sufrida por la parte demandante estableciendo en mi opinión con una clara visión innovadora el medio por el cual precisamente se entiende que se vulneró el derecho al honor de la parte demandante que no es otro que "Twitter" condenando a la parte demandada a hacer público el fallo por el citado canal en el cual además deberá mantenerse dicho "tweet" durante al menos dos meses.

En general, estoy de acuerdo con todo lo establecido en la sentencia, si bien es cierto que no comprendo el criterio en el que se fundamenta el juez a la hora de establecer el plazo de dos meses así como en otras cuestiones que se pueden suscitar al decidir el juez que se utilice Twitter como canal sobre el que realizar dichas comunicaciones sobre el fallo. Precisamente en relación a las cuestiones y dudas que esta decisión genera, entre otras he querido destacar aquellas que apuntan algunos compañeros y que han sido tema de debate en Twitter:

Jorge Campanillas: ¿Qué ocurre si la cuenta es cancelada o bloqueada por la compañía Twitter? ¿Cómo podría entonces la parte condenada cumplir con lo establecido en la sentencia? ¿A qué se refiere la sentencia con los dos meses, a "twitear" todos los días durante dos meses el fallo por la condenada o a mantener el "tweet" en el que se publicó el fallo durante dos meses?
Respuestas: David Maeztu apuntaba que se podría mantener con un favorito o simplemente manteniéndolo por un periodo de dos meses.
Noemi Brito por su parte y respondiendo a parte de esas cuestiones, en cuanto al bloqueó, aporto al debate que, Twitter se reserva el derecho a conservar y revelar información para cumplir la ley, procedimientos o requerimientos, además también puede conservar y revelar información ante solicitudes de ayuda de sus usuarios.

No obstante y a pesar de que pueden suscitarse estas y más cuestiones, creo que en esta ocasión el juez acierta con esta medida ya que en mi opinión es completamente proporcional al daño causado además de que tal y como apunta Gontzal Gallo en su blog, acierta porque así lo señala la propia Ley Orgánica 1/1982, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen.

En general, considero que es hora de que los jueces y tribunales de justicia hagan esfuerzos como en este caso por adaptarse a los tiempos actuales, por lo que lo considero sin ningún tipo de duda un avance, a pesar de que tampoco esto quiera decir que sea una medida muy "transgresora" o "moderna", por lo que no hay que lanzar las campanas al vuelo, queda todavía mucho por hacer en la modernización de la justicia.

¿Y vosotros que opináis? ¿Se ha equivocado el juez al optar por este tipo de solución? ¿Debería haber aplicado la vía que los demandantes solicitaban para la publicación del fallo por la parte condenada?

Seguiremos comentando este tipo de supuestos, seguro que no es el último.

Referencias:

Poder Judicial:
Sentencia completa: En la sentencia, que es recurrible ante la Audiencia Provincial de Navarra.

Diario de Noticias de Navarra:
Junio 2011: Uxue Barkos emprenderá acciones legales por presuntas injurias contra dos altos cargos de UPN.
Octubre 2012: La exconcejala de UPN Ana Pineda, condenada por vulnerar el derecho al honor de Uxue Barkos.

Otros post sobre la sentencia:
Gontzal Gallo: ¿Justicia adaptándose a las Redes Sociales?: Publicación de Sentencias en Twitter.
Iurismática/ Jorge Campanillas: Primera sentencia que obliga a publicación del fallo en twitter.

PRIBATUA en la revista de la APDCM

2012-09-06T00:24:00.000-07:00

Nuestra compañera Itxaso (Ana María del Mar Ortiz de Guzmán) ha realizado el siguiente artículo; Nace Pribatua, la Asociación Vasca de Privacidad y Seguridad de la Información en la revista de la Agencia de Protección de Datos de la Comunidad de Madrid (http://www.datospersonales.org/) en la que se destacan las razones por las que hemos creado Pribatua y las funciones y objetivos con los que hemos constituido esta asociación.

Seguiremos informando sobre los proyectos de Pribatua.

Síguenos en Twitter @pribatua o en la web de Pribatua

Cómo gestionar las contraseñas

2012-08-05T08:40:00.004-07:00

¿Qué es una contraseña?
Una contraseña o clave (en inglés password) es una forma de autentificación que utiliza información secreta para controlar el acceso hacia algún recurso. La contraseña debe mantenerse en secreto ante aquellos a quien no se les permite el acceso. A aquellos que desean acceder a la información se les solicita una clave; si conocen o no conocen la contraseña, se concede o se niega el acceso a la información según sea el caso.

En la actualidad debemos gestionar como usuarios un montón de contraseñas, ya que cada cuenta que creamos en Internet requiere normalmente de un usuario y de una contraseña. No obstante en muchas ocasiones, o bien no modificamos nunca las claves de acceso, o utilizamos la misma para casi todas las cuentas, por ello para prevenir sustos, a continuación detallo algunos consejos a la hora de gestionar nuestras contraseñas.

La longitud de las contraseñas debe ser al menos de ocho caracteres, a mayor longitud más difícil será de reproducir y mayor seguridad ofrecerá.
Las claves preferiblemente deben ser alfanuméricas, es decir deben componerse de números y letras así como de mayúsculas y minúsculas así como de distintos caracteres como puntos y comas.
Las contraseñas deben modificarse por otras nuevas cada cierto tiempo, cuanto menos tiempo mejor.
No se deben compartir claves con otras personas ni fijar claves de fácil deducción.
La contraseña no ha de ser igual o parecida a la identificación del usuario.
Ha de tener, como mínimo, un 50% de caracteres diferentes a los de la contraseña anterior.
No debe de haber sido utilizada por el mismo usuario en los 5 últimos cambios.
No ha de tener un mismo carácter repetido más de 2 veces.
No ha de contener números correlativos tanto ascendentes, como descendentes.
La introducción de la contraseña y su representación en pantalla en el momento de la identificación se realiza en un formato no legible para el resto de personas o usuarios que puedan encontrase alrededor.
A modo de recordatorio, en ningún caso se utilizarán “post it” o semejantes tanto en formato papel como electrónico.
No se deben almacenar las contraseñas en un lugar público y al alcance de los demás.
No es aconsejable compartir las contraseñas en Internet, por correo electrónico ni por teléfono (whatsapp y similares). En especial se debe desconfiar de cualquier mensaje de correo electrónico en el que te soliciten la contraseña o indiquen que se ha de visitar un sitio Web para comprobarla. Casi con total seguridad se tratará de un fraude.

Tal y como aconseja INTECO, Un buen método para crear una contraseña sólida es pensar en una frase fácil de memorizar y acortarla aplicando alguna regla sencilla. Un ejemplo sería seleccionando la primera letra de cada palabra y convirtiendo algunas de las letras en números que sean similares. Por ejemplo, "La seguridad es como una cadena, es tan fuerte como el eslabón más débil" podría convertirse en "Lsec1cetfceemd".

Por último quiero destacar algunas medidas de seguridad publicadas en la página del INTECO, Claves para un #veranoseguro: Los servicios en la nube y la seguridad en las vacaciones de verano

Recomendaciones de seguridad para las vacaciones: Acceso y Utilización de servicios en la nube

Tener en cuenta los riesgos de anunciar en las redes sociales nuestra ausencia durante las vacaciones. Cuando estamos diciendo en qué lugar estamos, también decimos en cual no estamos.
El uso de redes sociales como Foursquare o aquellas que permiten hacer “check-in” podrían facilitar que personas que no conocemos conozcan nuestra ubicación.
Servicios como Instagram deberían utilizarse con algunos recaudos si hemos decidido mantener en reserva nuestro viaje de vacaciones. De todas formas podría ser un buen momento para revisar la configuración de privacidad.
Verificar la configuración de la “geolocalización” en aquellos dispositivos que utilicemos durante las vacaciones, para ello podría resultar útil la “Guía de Seguridad y Privacidad de las herramientas de geolocalización”, que publicamos hace un tiempo.
Verificar la configuración de la seguridad y privacidad en las redes sociales y otros servicios en la nube que utilicemos, para ello podría resultar útil la “Guía de Seguridad y Privacidad en Redes Sociales” que publicamos hace un tiempo.
Reducir hasta un mínimo aquellas actividades que involucren información sensible desde locaciones y/o servicios de internet no seguros. En aquellas situaciones en las que deba accederse desde un lugar inseguro, se recomienda cambiar las credenciales de acceso lo antes posible, y desde un acceso seguro a Internet.
Activar el registro de acceso en aquellas redes sociales que lo permitan, de esta manera se puede tener un mejor seguimiento de la actividad de inicio de sesión.
Si utilizamos servicios de almacenamiento en la nube, leer siempre los términos y condiciones, principalmente aquellos puntos relacionados con la propiedad y uso que el proveedor del servicio podría hacer de la información que almacenemos, además de los aspectos de confidencialidad. Para ello puede ser útil el artículo de nuestro blog “Cloud Storage: algunos aspectos de privacidad y seguridad”.
No confiar plenamente en la seguridad del servicio de almacenamiento en la nube y asegurarnos el resguardo de la información, siempre bajo nuestra responsabilidad.
Utilizar alguna aplicación para el resguardo de las contraseñas de acceso a los distintos servicios. Adicionalmente, tener en cuenta el newsletter OUCH! “Protege tus Contraseñas”.
Utilizar una autenticación de dos factores en aquellos servicios que lo permitan.
Verificar la seguridad de nuestros dispositivos móviles, para ello se recomienda tener en cuenta el trabajo de ENISA “Smartphones: Information Security Risks, opportunities and recommendations for users” así como nuestra “Guía para proteger y usar de forma segura su móvil”.
Evaluar la posibilidad de contar con algún servicio de internet propio, de esta manera se podría disminuir la necesidad de un acceso público a internet. Por ej: módem 3G.
Evitar el uso de dispositivos o computadoras que sean propiedad de terceros.

Más información sobre este respecto en la página de INTECO.

Claves para un #veranoseguro: Los servicios en la nube y la seguridad en las vacaciones de verano

Diligencia y Concienciación sobre nuestro Derecho a la Intimidad y a la Protección de Datos

2012-06-28T06:03:00.002-07:00

Hace mucho tiempo escribí una entrada titulada ¿A quíen pertenecen realmente nuestros datos personales? En ella reflexionaba sobre como muchas veces a cambio de descuentos ya sea en Internet como en el mundo real, por medio de las miles de tarjetas descuento existentes hoy en día como pueden ser las de gasolineras, supermercados, vídeo clubes (estos últimos para nostálgicos), o tiendas de todo tipo en general, resulta cuando menos curiosa la utilidad y rentabilidad que obtienen de dichos datos (es decir de nuestros datos).
Sin darnos cuenta los usuarios y ciudadanos, estamos facilitándoles información valiosísima sobre los hábitos de consumo, periodicidad en las compras, gustos y preferencias de las que disponemos, llegando así a la absurda situación en la cual conocen mejor nuestros gustos las gasolineras y los supermercados (por citar algunos ejemplos) que nosotros mismos.

Bien hasta aquí, es un tema en el cual cada uno es responsable de sus actos y de lo que hace con sus datos, ya sea a cambio de descuentos o bonificaciones de distinta índole (que la verdad sea dicha muchas veces no son gran cosa) o por el mero hecho de disfrutar de un servicio como puede ser el caso de las redes sociales.

Pero al margen de todo eso, lo que me ha alarmado esta semana, son dos noticias relacionadas con el acceso ilegítimo y el tráfico de datos personales. Hoy sin ir más lejos he leído por medio de un Twit de Iñaki Vicuña la siguiente noticia publicada por El País, "Bancos, seguros y abogados, principales clientes de la red de tráfico de datos" en la que se destaca que:

La policía ha transcrito 300 pinchazos telefónicos y va a analizar 80 discos duro.
Un intermediario pidió al menos 100 informes diarios a la empleada del Inem.

<<Los mejores clientes de la trama de venta de datos desarticulada por la policía de Barcelona eran las entidades bancarias, las aseguradoras, las agencias de cobro de morosos, los despachos de abogados y las grandes empresas, según fuentes de la investigación. En las 300 conversaciones transcritas por los investigadores, tras los pinchazos telefónicos autorizados por el juez, se repiten los nombres de este tipo de entidades. No obstante, lo que puede aportar una mejor radiografía de este escándalo son los 80 discos duros informáticos decomisados a los detectives privados e intermediarios detenidos.>>

Siempre se ha dicho que la información es poder y en mi humilde opinión, creo que es una verdad como un templo. De ahí que existan empresas multimillonarias las cuales trafican con datos, que además por lo general suelen ser su máxima fuente de ingreso. Eso sí, si se cumplen las normativas vigentes en cada momento en materia de privacidad, entonces y solo entonces será licito y plenamente valido, a pesar de que ciertamente pueda levantar ciertos recelos. Por poner un ejemplo, lo que pasa con muchas redes sociales (viven de los datos de los usuarios, no son gratis), con el cambio repentino de las Políticas de Privacidad etc. Dicho lo cual, hay que destacar que los casos como los que plantea la noticia publicada por El País, son cien por cien ilegales y por ello se les persigue tal y como ha ocurrido en esta ocasión.

Entrando un poco en harina y por poner un ejemplo, en uno de los párrafos de la noticia, se cita lo siguiente:

<<Los tentáculos de la red disponían también de información tan sensible como historiales clínicos. Para ello, no dudaban en hacerse pasar por médicos, como hizo en una ocasión Jordi A., un detective de la provincia de Barcelona, que consiguió telefónicamente que una doctora de Canarias le diera el historial personal del trabajador de una empresa.>>

¿Por qué pasan cosas como la descrita en el quinto párrafo de esta noticia?
Porque la doctora de Canarias que se cita en la noticia, a lo mejor es cierto que actúo de buena fe para ayudar a un colega y en última instancia a un paciente, pero la realidad es que obro mal, ya que nunca se deben facilitar datos de terceros telefónicamente, NUNCA. Esto es así por una razón muy simple, ¿Cómo sabemos quien es realmente la persona que está detrás o al otro lado del teléfono? No se puede saber ni tener una certeza exacta y en mi opinión, este tipo de actuaciones como la descrita en la noticia, deja en evidencia en este caso concreto, que esta doctora, probablemente no fue informada debidamente sobre lo que se puede hacer y lo que no en materia de protección de datos en la ejecución de su trabajo.

En otro apartado de la misma noticia hacen mención a otro incidente bastante inquietante:
<<Al margen de la compra de datos a funcionarios corruptos, la organización tenía en su entramado a personas como M. B., un habilidoso ingeniero informático de Barcelona que ha trabajado mucho para el Centro Nacional de Inteligencia (CNI). Por medio de él, lograban penetrar en los discos duros de las personas a las que alguien quería atacar, lo que les permitía tener acceso a sus correos electrónicos y a todo el contenido de sus ordenadores. De esa forma, se apoderaban de información comprometida que más tarde lavaban haciendo que la víctima —generalmente un trabajador al que una empresa quería despedir— accediese voluntariamente a abrir su ordenador en presencia de un notario.>>

En este caso, no se puede hacer otra cosa que perseguir a este tipo de personas, si bien muchas veces es difícil dada su experiencia y conocimientos técnicos. No obstante, esperemos que como en esta ocasión, finalmente a este tipo de profesionales de la seguridad de la Información se les atrape tal y como ha ocurrido en este supuesto.

Por lo general en la era de Internet, en la que los datos y la información vuelan de un lado a otro por medio de ordenadores y smarth phones de última generación, despierta cierta alarma y temor escuchar y/o leer este tipo de noticias. No obstante, por aportar algo positivo, creo debemos difundir y ejercer nuestros derechos ARCO. Es decir, ejercer el derecho de Acceder, Rectificar, Cancelar (en muchas ocasiones no supondrá la supresión de la información, sino el bloqueo) y de Oponernos al uso que se esté dando a nuestra información si consideramos que no es la adecuada o la deseada. Me parece importante realzar estos derechos que tal vez en muchas ocasiones los usuarios no son conscientes de que los tienen y son importantes para que precisamente sean ellos mismos, los usuarios o terceros los que vigilen y estén atentos sobre como se tratan sus datos personales y para que fin.

Por otro lado, haciendo referencia a la segunda noticia que me ha llamado la atención esta semana: "Los delitos por accesos ilegales a correos electrónicos y móviles crecen en Navarra de 2 a 39 en un año" quiero hacer la siguiente reflexión:

Tal vez algunos ciudadanos no sepan que la Protección de Datos Personales y el Derecho a la Intimidad de las personas son Derechos Fundamentales protegidos por la propia Constitución. Esto supone muchas cosas, pero la duda que me asalta es por poner un ejemplo, si la ciudadanía tiene claro que al igual que abrir la correspondencia ajena era una acción tipificada como delito (lo sigue siendo obviamente), entrar en la red social, whatsapp, correo electrónico, contenido del móvil o a otro tipo de cuentas personales y mensajes de otra persona sin su consentimiento expreso, es también una acción delictiva exactamente igual a la anterior (salvo muy pocas excepciones que habilitan dichos accesos sin consentimiento del interesado). Pero lo cierto, es que como decía, lo es, es un delito y el desconocimiento de la norma no exime de su cumplimiento y de sus posibles consecuencias en caso de incumplimiento.

Por ello, quería destacar también las declaraciones realizadas esta misma semana por el Fiscal de Navarra en la que presentó la memoria de la Fiscalía Foral de Navarra correspondiente al año pasado, 2011. En ella se destacan entre otros actos delictivos que han tenido un notable incremento, aquellos delitos por accesos ilegales a correos electrónicos y mensajería móvil (SMS, whatsapp etc), en el que se ha observado un crecimiento en Navarra de un 1.850 por ciento pasando de 2 en en el año 2010 a 39 en el año 2011. El Fiscal, así mismo ha advertido que este tipo de actos,
<<"se castigan con multa y cárcel".>>

En concreto es de aplicación lo establecido en la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, en su Título X. Delitos Contra la Intimidad, el Derecho a la Propia Imagen y la Inviolabilidad del Domicilio, y en el Capítulo I. del Descubrimiento y Revelación de Secretos. Dentro del Artículo 197.1. El cual recoge que, el que para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales o intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses.

Por último, quiero recordar que el Derecho a la Intimidad y el Derecho a la Protección de Datos de las personas, son cuestiones muy serias y a tener muy en cuenta. Por este motivo, debemos tener precaución a la hora de gestionar nuestra información y la de los demás, por lo que creo profundamente en que es necesaria una mayor concienciación, formación e información en el ámbito de la Seguridad de la Información en general a la ciudadanía. A lo que a título personal como profesional y como miembro de PRIBATUA, (Asociación Vasca de Privacidad y Seguridad de la Información) y APEP (Asociación Española de Profesionales de la Privacidad) trataré de promover siempre el respeto a la Intimidad y a la Protección de Datos de las personas y al ejercicio de buenas prácticas en el ámbito de la Seguridad de la Información en general.

En este sentido por poner un ejemplo, se está trabajando ya desde esta misma semana en la organización de la segunda edición del congreso "euskal securiTIConference", por parte de Pribatua en colaboración con el COIIE / EIIEO (Colegio Oficial de Ingenieros en Informática del País Vasco). Quisiera así mismo, hacer una especial mención de Mikel G. Larragan como presidente de Pribatua y principal promotor del evento, ¡Eskerrik asko por este tipo de iniciativas Mikel!

Más información en: http://bit.ly/KMiC0X http://bit.ly/LrTUOr http://bit.ly/N4VOEP http://bit.ly/M7RZo5

Entrada Relacionada:

¿A quien pertenecen realmente nuestros datos personales?

"El Máster"

2012-06-19T01:07:00.000-07:00

Quería destacar este Máster en Auditoría, Seguridad, Gobierno y Derecho de las TIC el cual es impartido y organizado por la Universidad Autónoma de Madrid e IAITG, ya que creo que a las personas que como yo, damos importancia a seguir formándonos continuamente, entiendo que puede resultarles de interés por su perfil técnico y jurídico. Me parece realmente atractivo, tanto por el contenido como por los ponentes. Observando el horario se puede apreciar que está claramente orientado a personas que actualmente se encuentran trabajando ya que se impartirá los viernes y los sábados tanto en formato presencial como on-line.

Programa:

Fundamentos Tecnológicos de los Sistemas de Información.
Seguridad Informática I.
Auditoría de los Sistemas de Información I.
Gobierno de los Sistemas de Información I.
Control Interno Auditoría de los Sistemas de Información II.
Seguridad Informática II.
Gobierno de los Sistemas de Información II.
Auditoría de los Sistemas de Información III.
Seguridad Informática III.
Gobierno de los Sistemas de Información III.
Informática Forense Derechos y Garantias en Sistemas de Información (Derecho al honor, órganos de control...).
Protección Jurídica de los Bienes Inmateriales.
Gestión Económico Financera Capital Humano en la Gestión del Capital Intelectual.
Firma Electrónica y Certificación.
Digital Estándares (COBIT, ISO 38500, ISO 20000, ISO 27000, ISO 9000, UNE).
Proyecto Final de Máster.

La verdad es que incluso me estoy planteando realizarlo, para los que nos dedicamos a esto de la Seguridad de la información, sinceramente me parece "El Máster"...

¿Y a vosotros qué os parece?

Más información en: http://bit.ly/Lv7LZW

Pribatua en el número 100 de la revista SIC

2012-06-12T00:59:00.008-07:00

Quiero agradecer desde aquí a la Revista SIC por la posibilidad que nos han brindado de dar a conocer a Pribatua, en especial a Virginia Moreno, a Luis G. Fernández y José de la Peña por contactar conmigo, para difundir la creación de la Asociación Vasca de Privacidad y Seguridad de la Información (Pribatua).

Un saludo y ¡A por otros cien números más!

¿Qué es Pribatua?

2012-06-06T07:48:00.006-07:00

Hace ya una semana que varios profesionales vascos constituimos Pribatua. Por este motivo he querido realizar la presente entrada, ya que tal y como anuncié en anteriores post de este blog, esta Asociación, es para mi un proyecto personal, digo personal, porque a pesar de llevarlo a cabo con un montón de compañer@s más, es algo que hago y en la que me implico por iniciativa propia, como profesional de la Seguridad de la Información. La idea de crear Pribatua, surgió aproximadamente entre enero y febrero de 2010 y no fue hasta agosto del 2011 cuando se empezó a gestar lo que hoy en día se está poniendo en marcha.

Una cuestión que quiero destacar y aclarar es el nombre o "marca" de la Asociación (Pribatua). Ya que para bien o para mal creo que lleva a equivoco. ¿Qué significa? En Euskara Pribatua es privado y pribatutasun es privacidad, y no al revés, parece una tontería pero como decía, suele conducir a error, no sólo por lo explicado sino porque sin querer, se vincula Pribatua a privacidad (erróneamente) y esa no es más que una de las materias que abarca la Asociación. No obstante, en su momento, a la mayoría de las personas que conformábamos el proyecto de esta Asociación les/nos gustaba más como quedaba Pribatua como nombre y por ese motivo se decidió elegir ese nombre y no otro. Ahora bien, hay que aclarar que es un nombre de pila o de marca por así decir, ya que su verdadero nombre es el de Asociación Vasca de Privacidad y Seguridad de la Información.

Aclarado el nombre y el porque del mismo, me gustaría exponer en mi opinión, qué es Pribatua y por qué surge. La Asociación nace o se crea con la idea de compartir conocimiento en materia de Seguridad de la Información por parte de todas aquellas personas, entidades públicas o privadas o profesionales de Euskadi que tengan como interés la Seguridad de la Información.

Entonces ¿Cuál es el objeto de Pribatua? Como decía, en mi opinión el objeto de la misma es la propia Seguridad de la Información, pero y eso ¿Qué es? ¿Qué supone? Mejor dicho ¿Qué abarca la denominada Seguridad de la Información?

La Seguridad de la Información abarca muchísimas cuestiones, no sólo temas de Privacidad/ LOPD/ RDLOPD/ Futuro Reglamento Europeo en materia de Protección de Datos etc, que también. Sino que abarca cuestiones como Cloud Computing, o la propia Seguridad Informática que comprende numerosas cuestiones o submaterias de índole técnica como lo es el software (antivirus, medidas de seguridad, controles de acceso lógico), bases de datos, metadatos, archivos, o de hardware y sus distintos tipos de soportes, materias y productos, así como todos aquellos aspectos relacionados con la legislación de manera directa como indirecta, normativas, estándares, normas de calidad, metodologías y buenas prácticas relativas a la Seguridad de la Información en general. Por tanto ese es el ámbito de la Asociación o al menos en el que se quieren promover sus actuaciones.

En definitiva, lo que en mi opinión se pretende desde Pribatua es acercar dos mundos, el de los expertos en Tecnología de perfil técnico y el de los juristas o expertos en organización y en normativas vinculadas con las TIC (con toda la amplitud que ello conlleva). En este sentido, Pribatua, luchará por la defensa de los intereses de los distintos profesionales que tendrán acogida en la misma y se creará además, una bolsa de trabajo con la finalidad de promover la inserción en el mercado laboral de los profesionales de la Seguridad de la Información y la Privacidad.

Desde Pribatua, se difundirán así mismo y se impulsarán sinergias entre todo tipo de entidades en aras a colaborar y aprender entre tod@s para que la Sociedad Vasca en general se beneficie de su actividad.

Sólo me falta agradecer el acogimiento general que hemos recibido por numerosos profesionales del sector y espero que Pribatua aporte algo a todos ellos de aquí en adelante.

Un saludo

Jon

Entradas vinculadas: Al Blog de Mikel García Larragan

¿Por qué PRIBATUA? (I)

¿Por qué PRIBATUA? (II)

Google Apps, ISO 27001 y los centros educativos del Gobierno de Navarra

2012-05-31T00:51:00.006-07:00

En principio, he de decir que todo me parece bien, me parece perfecto que Google certifique sus servicios en la nube (Google Apps tal y como se ha publicado en Techcrunch y en Bitelia) en una norma como ISO 27001, ya que aporta credibilidad y seguridad tanto a Administraciones Públicas (como en este caso al Gobierno de Navarra) así como a empresas privadas y usuarios. Ahora bien, tal y como formuló Javier Cao (experto y reconocido profesional del sector de la Seguridad de la Información) en Twitter, lo verdaderamente importante es saber ¿Cuál es el alcance de esa certificación? Pues no es cuestión baladí, ya que no es lo mismo certificar la nube de esos servicios al completo o certificar por decir algo sólo la base de datos o una parte pequeña del área en cuestión y después eso sí, publicar a bombo y platillo que se han certificado esos servicios en ISO 27001. Cosa que ocurre muchas veces con este tipo de certificaciones, ya que esta muy bien ver el certificado colgado en la pared o en la website, pero hay que saber ver más allá y observar cual ha sido el alcance real de esa certificación. Todo ello, en lo que respecta a los servicios recogidos en Google Apps, ya que a día de hoy todavía no he conseguido saber cual es el alcance real de su certificación en ISO 27001, por lo que ya veremos cual es su alcance real y si es criticable o no.

Otra cuestión que ha saltado a la palestra esta semana en relación directa con la anterior, es el hecho de que "El Gobierno de Navarra opta por Google Apps en sus centros educativos" lo cual al igual que la noticia anterior, a priori me parece una buena noticia. Sólo me quedaría mencionar la cuestión de por que no seguir con proyectos modernos y seguir con dicha inercia migrando los sistemas operativos de la Administración Foral de Navarra a software libre aprovechando que probablemente este año deberán migrar de Windows XP a Windows 7 y de aplicaciones privativas de oficina como Microsoft office a Open o libre Office, consiguiendo así un ahorro de unos 102,99€ por sistema operativo y otros 301,35€ por paquete Office por equipo, por poner un ejemplo de medidas "revolucionarias".

Dejando de lado esta cuestión sobre la posible migración de los equipos de la Administración Foral de Navarra a software libre. En principio como decía, es una buena noticia, el hecho de que el Gobierno de Navarra apueste por herramientas como "Google Apps" ya que esto supondrá probablemente un ahorro respecto a la apuesta por otro tipo de herramientas. No obstante en esta cuestión también me planteo al igual que otros profesionales del sector como Gontzal Gallo entre otros, la cuestión sobre ¿Cómo hará el Gobierno de Navarra el tema del contrato de Encargado de Tratamiento regulado en la LOPD en lo que respecta a los servicios de Google Apps? Este, es un tema viejo, tan viejo como los servicios en la nube o "Cloud Computing" (a los que en su día ya hice referencia en mi entrada sobre "Safe Harbour" y Cloud Computing). En este sentido, Google no tendría tantos problemas legales para prestar este tipo de servicios, ¿Pero y el Gobierno de Navarra? ¿Qué ocurre con el citado contrato de Encargado de Tratamiento? ¿Cómo lo va a hacer el Gobierno de Navarra?

Mejor dicho tal y como me planteó Gontzal Gallo en Twitter ¿Cómo lo han hecho ya? ¿Cómo lo ha hecho el Gobierno de Navarra con el tema de opengov y la cuestión del contrato de Encargado de Tratamiento? (Regulado en Proyecto de Ley Foral de la Transparencia y del Gobierno Abierto)

En definitiva, ¿Cómo queda este tema?

A pesar de que tal y como citaba al principio del post en principio ambas son buenas noticias, tanto que Google Apps se certifique en ISO 27001 como que El Gobierno de Navarra en su modernización apueste por herramientas en la nube (que además están acorde con los tiempos económicos que vivimos). Así como el chat que recientemente pondrá en funcionamiento en la línea o estrategia de la Dirección General de Gobierno Abierto y Nuevas Tecnologías de emplear las redes sociales para atender a la ciudadanía, conversar con ella y facilitar su participación, según ha informado el Gobierno en una nota. A pesar de todo esto que en principio es bueno, hay dudas/ claros y sombras como las ya planteadas, las cuales creo que son importantes y sería conveniente aclarar.

Seguiremos de cerca estas cuestiones que se nos planteen en cuanto a Cloud Computing y la vigente normativa.

Actualización 1: Ya conocemos el alcance del SGSI de Google Apps (gracias a Adrian Capdevila) y la verdad es impresionante, hay quien no se lo cree de lo amplio que es, pero bueno, si así lo dicen es que será verdad ¿No?

Alcance completo del SGSI de la certificación en ISO 27001 de Google Apps: http://bit.ly/JOAlWs

Servicios incluidos en el alcance (http://bit.ly/L5hrtu)

¿Dónde están los de Google? No se citan, por lo que ¿Debemos entender que todos los de Google son los que se han incluido en el alcance?

Actualización 3: Gracias a ‏@yagoabascal Google Apps ofrecerá un modelo de contrato con cláusulas ajustadas a la Directiva Europea de Protección de Datos http://goo.gl/emwJ4

Google Apps to offer additional compliance options for EU data protection

WEDNESDAY, JUNE 6, 2012

Posted by Marc Crandall, Senior Manager of Global Compliance, Google Enterprise

Over four million businesses use Google Apps for enterprise needs, and as this number grows, we want to offer our customers a diverse range of compliance options to help them meet their regulatory requirements.

Today we’re pleased to announce that Google will soon offer model contract clauses as an additional means of meeting the adequacy and security requirements of the European Commission’s Data Protection Directive for our customers who operate within Europe. The Directive is an important piece of privacy legislation passed by the European Union (EU) in 1995. It restricts the movement of data from the EU to non-EU countries that do not meet the EU 'adequacy' standard for privacy protection.

In 2000, to help address these requirements with respect to the United States, the US Department of Commerce in consultation with the European Commission developed the US-EU Safe Harbor Framework as a means by which US companies could achieve compliance with the adequacy standards. Google, as well as 2,500 other US companies that offer services in Europe, is a participant in the US-EU Safe Harbor Framework.

In 2010, the European Commission approved model contract clauses as a means of compliance with the requirements of the Directive. The effect of this decision is that by incorporating certain provisions into a contract, personal data can flow from those subject to the Directive to providers outside the EU or the European Economic Area. By adopting model contract clauses, we’re offering customers an additional option for compliance with the Directive.

Google’s adoption of model contract clauses, along with our continued participation in the US-EU Safe Harbor Framework and our recent ISO 27001 certification, will provide our customers with an even wider palette of EU regulatory compliance options.

Entrada Relacionada:

MIÉRCOLES, 27 DE ENERO DE 2010

"Datos Personales y Cloud Computing"

El 30 de mayo se constituirá Pribatua

2012-05-28T04:38:00.004-07:00

Un grupo de profesionales vinculados con el derecho y las nuevas tecnologías ultima en estos días la creación de la Asociación Vasca de Privacidad y Seguridad de la Información (Pribatua). La nueva plataforma, se constituirá y aprobará sus Estatutos el próximo día 30 de mayo de 2012 en Bilbao en la sede de Eurohelp Consulting.

La Asociación Vasca de Privacidad y Seguridad de la Información (Pribatua), nace con el objetivo de fomentar, difundir y formar a las organizaciones, tanto públicas como privadas, y, en general a todos los profesionales implicados, en todos los aspectos relacionados con la legislación, normativas, estándares, normas de calidad, metodologías y buenas prácticas relativas a la Seguridad de la Información y a la Privacidad.

Pribatua pretende asimismo evitar el intrusismo "interesado", el denominado "LOPD a coste 0". Creará además, una bolsa de trabajo con la finalidad de promover la inserción en el mercado laboral de los profesionales de la Seguridad de la Información y la Privacidad.

Por todo ello animo a todas aquellas personas que estén interesadas en estos temas a que participen en la elaboración de los Estatutos de la Asociación, para lo cual hemos creado un grupo de trabajo en Google Groups y otro en Linkedin para que todas las personas que lo deseen participen desde el minuto uno en Pribatua, destacar que ambos grupos son abiertos.

¡Entrad y uniros a esta iniciativa y recordad que la reunión de constitución de Pribatua será este próximo miércoles, día 30 de mayo de 2012!

¡Un saludo a tod@s!

Jon Turrillas

PD: Iremos avanzando los pasos que vayamos dando como Asociación.

PD: Entradas Relacionadas:

JUEVES, 12 DE ABRIL DE 2012

Asociación Vasca de Privacidad y Seguridad de la Información, Pribatua

¿Qué es un SGSI?

2012-05-17T04:42:00.003-07:00

Un SGSI es un Sistema de Gestión, unSistema de Gestión al que se le aplican unas medidas yprocedimientos sobre como gestionar la Seguridad en los Sistemas deInformación de una organización. En concreto en nuestro caso elSGSI estará fundamentado en la norma UNE-ISO/ IEC 27001/ 2007 con 11dominios (se encuentran así mismo en la norma ISO 27002), 39objetivos de control y 133 controles. Un SGSI basado en ISO 27001 sepuede integrar con SGC (ISO 9001) y con SGMA (ISO 14001).

ISO 27001 está basada en el Ciclo deMejora Continua o también conocido como "Ciclo de Deming".Todo ello para gestionar los Riesgos de Seguridad. A esto se suma ISO27002 (norma no certificable) la cual aporta los 11 dominios decontroles, como conjunto de controles de seguridad de la información.

No hay que confundir SeguridadInformática con Seguridad de la Información, la primera, estáorientada a los sistemas de tecnologías de la información. Lasegunda engloba además de estos, la seguridad física,organizacional y operacional. Por eso es importante distinguir una deotra.

Tampoco debemos confundir laimplantación de la LOPD con la de un SGSI basado en ISO 27001, yaque la primera sólo se ocupa de los recursos y de la informaciónque contenga datos de carácter personal. El resto de la informaciónno la tiene en cuenta la LOPD y en ocasiones para una entidad puedeincluso tener más relevancia la información industrial,intelectual, dirección de la empresa o de contabilidad que la decarácter personal. Un SGSI fundamentado en la norma UNE-ISO/ IEC27001/ 2007en cambio, engloba todas las anteriores además de la LOPDy otras normativas aplicables a la empresa (ejemplo Ley de PropiedadInetelctual o LPI).

Más información en http://www.slideshare.net/EUROHELP

17 De Mayo 2012, día de Internet

2012-05-17T03:46:00.001-07:00

Hoy 17 de mayo de 2012, volvemos a celebrar el día de Internet, pero ¿Qué es Internet y para qué sirve? En sentido estricto según Wikipedia, Internet es un conjunto descentralizado de redes de comunicación interconectadas que utilizan la familia de protocolos TCP/IP, garantizando que las redes físicas heterogéneas que la componen funcionen como una red lógica única, de alcance mundial. Ya que hoy es el día de Internet, día que tiene como objetivo principal difundir y promover el uso de Internet en la sociedad, no está demás preguntarse ¿Para qué sirve Internet? ¿Cual es su objetivo o finalidad? En mi opinión, Internet o la red sirve y debe servir cada vez más, para hacer llegar entre otras cosas la cultura a cuantas personas se pueda, para comunicarse, para buscar contenidos y auto-informarse de una manera más libre y objetiva, en definitiva para poder relacionarnos, educarnos, formarnos y expresarnos libremente. Por todo ello, hay que celebrar el día de Internet. Porque celebramos que Internet es libre que la información fluye y que los contenidos a día de hoy no los controlan ni los tarifican las grandes compañías de telecomunicaciones y para que esto siga siendo así no hay que olvidar principios tan básicos como la neutralidad de la red, por el que la red o Internet, debe continuar libre de restricciones en cuanto a los modos de comunicación permitidos, o por contenidos y que la comunicación no esté irrazonablemente degradada por otras comunicaciones e intermediarios. En definitiva, que la red siga siendo un marco en el que las personas puedan expresarse y relacionarse de manera diversa y libre sin sufrir la presión y las restricciones que algunos lobbies como las grandes compañías de telecomunicaciones quieren llevar a cabo.

¡Hay que agarrarse al principio de la neutralidad de la red como a un clavo ardiendo!

Feliz día de Internet a tod@s.

10 Razones para implantar ISO 27001

2012-05-16T01:46:00.002-07:00

A continuación se detallan 10 beneficios que obtendremos a lahora de implantar ISO 27001 en una organización:

1.- Mejorar la Seguridad de la Información en la empresa, garantizando su continuidad, la confidencialidad y las mejores prácticas de los empleados.

2.- Mejorar los sistemas productivos, por medio de la revisión de los Sistemas de Gestión de Información (SGI). Es decir, ordenar y definir procesos.

3.- Optimización de los recursos de la entidad a través del control de riesgos.

4.- Incorporar a la empresa la filosofía PDCA o de mejora continua, ¡No hay que pararse nunca! ¡Siempre hay cosas que mejorar!

5.- Alcanzar el nivel exigido en los pliegos de la Administración relativos a servicios TIC. En la actualidad las Administraciones tienen que cumplir con el Esquema Nacional de Seguridad, por ello pueden exigir a sus proveedores que cumplan con algo similar.

6.- Proyección a clientes de la seguridad de trabajar con un proveedor que dispone de sistemas certificados por un tercero de confianza.

7.- ISO puede dar la posibilidad de generar confianza Internacionalmente, lo cual puede ayudar a diversificar el mercado de la compañía en el exterior.

8.- Cumplir con aquellos requerimientos legales (LOPD, LPI, LSSICE...) que son exigibles a la entidad evitando de este modo las posibles sanciones.

9.- Mejorar la imagen de la entidad interna y externamente.

10.- Mejorar el estado de la entidad respecto a su competencia, ser más competitivos, tan sólo 300 empresas están certificadas en todo el Estado en ISO 27001, por lo que puede resultar un elemento diferenciador a la hora de conseguir clientes o mantenerlos.

Por último destacar que en la actualidad existe al alcance anivel estatal para empresas Pyme-TIC, las ayudas de Plan Avanza 2,las cuales facilitarán el coste y la financiación del proceso deimplantación y certificación de dichas entidades a la norma UNE-ISO/ IEC 27001/ 2007.

Plan Avanza 2 Continuará pese a los recortes

2012-05-04T00:01:00.005-07:00

ElPlan Avanza, dirigido al desarrollo de las TIC, seguirá adelantepese a los recortes

Así lo ha afirmado el secretario de Estado de Telecomunicaciones y para la Sociedad de la Información (Setsi), Víctor Calvo-Sotelo.
Su departamento sufrirá un recorte del 23%.
Se ha realizado una reorientación de las ayudas para lograr la "mayor eficiencia" posible y se ha fomentado los recursos, en forma de ayudas para pymes.

Elsecretario de Estado de Telecomunicaciones y para la Sociedad de laInformación (Setsi), Víctor Calvo-Sotelo, ha aclarado que, pese alrecortedel 23%en el presupuesto para 2012 destinado a su departamento, que será de864 millones de euros, se mantendrá el PlanAvanza con una dotación de 506 millones de euros.

“seha realizado una reorientación de las ayudas para lograr la"mayor eficiencia" posibley se ha fomentado los recursos, en forma de ayudas, para pymes”.

“Sequiere favorecer a las pymes y se ha apostado por las actividades máscercanas al mercado, es decir, las que tienen que ver con proyectosde innovación".

Plande ayudas para el Fomento de la Sociedad de la Información y lasTelecomunicaciones, dotado con 2 millones de euros para formación y49,5 millones para proyectos de I+D+i o el Programa ARTEMIS, dotadocon 4 millones y el Programa Ambient Assisted Living, dotado con 2,5millones, ambos cofinanciados con fondos de la Unión Europea.

http://www.20minutos.es/noticia/1380301/0/plan-avanza/recortes/calvo-sotelo/

Salud quiere repercutir la multa de 125.000 euros a los trabajadores

2012-04-26T00:57:00.004-07:00

TSJN

Salud repercute la multa de 125.000 euros a los trabajadores que violaron un historial

Tiene previsto iniciar el procedimiento antes de junio

La historia clínica, perteneciente a una mujer fallecida, fue vista por 419 sanitarios en 2.825 ocasiones.

Diario de Noticias de Navarra

PD1 entradas relacionadas:

Martes, 18 de octubre de 2011

Sentencia contra SNS-Osasunbidea en materia LOPD

Jueves, 27 de octubre de 2011

La Sentencia Comentada de SNS-Osasunbidea

Viernes, 17 de diciembre de 2010

Osasunbidea deberá auditar los hospitales navarros en materia de seguridad de protección de datos

Asociación Vasca de Privacidad y Seguridad de la Información, Pribatua

2012-04-12T01:34:00.009-07:00

Actualmente un grupo de profesionales de la Privacidad y de la Seguridad de la Información en general, nos encontramos en proceso de crear una Asociación que sirva para que los profesionales que nos dedicamos de una u otra manera a este sector, ya sea como consultores técnicos o jurídicos o como técnicos en seguridad informática en general, recibamos un feedback y alimentemos nuestra curiosidad por saber cada vez más sobre cuestiones relacionadas con estas materias por medio de la realización y organización de encuentros, ponencias, cursos y otros eventos que en general nos ayuden a continuar formándonos en estas materias. Por todo ello, he decidido publicar este post, con el objetivo de animar a todas aquellas personas que estén interesadas en estos temas a que participen en la elaboración de los Estatutos de la Asociación, para lo cual hemos creado un grupo de trabajo en Google Groups y otro en Linkedin para que todas las personas que lo deseen participen desde el minuto uno en Pribatua.

Por último quiero destacar que ambos grupos son abiertos,

¡Entrad y uniros a esta iniciativa!

Jon

PD1: https://accounts.google.com/ServiceLogin?passive=true&service=groups2&continue=http://groups.google.com/group/pribatu/subscribe&cd=US&hl=en
PD2: Grupo en Linkedin: Asociación Vasca de Privacidad y Seguridad de la Información.

La Sentencia Comentada de SNS-Osasunbidea

2011-10-27T23:58:00.001-07:00

Continuando con la noticia que leí en Diario de Noticias de Navarra, he conseguido localizar la sentencia Jdo. Contencioso-Administrativo Nº 1 de Pamplona/Iruña que paso a comentar a continuación.

La sentencia hace hincapié en que lo que se ha hecho mal en Osasunbidea es el poco control de accesos que hay en cuanto a las autorizaciones se refiere. Ya que a pesar de disponer de medios y de una implantación hecha en materia de LOPD, la juez apelando a lo expuesto por el perito informático destaca que no existen apenas límites a la hora de acceder a los historiales clínicos desde la aplicación informática de Osasunbidea (sí disponen de usuario y contraseña, pero pueden acceder distintos perfiles de empleados, tales como enfermeras/ os, médicos, auxiliares y otros no especificados si apenas límites en los accesos y sin que medie relación con el paciente).

Se destaca en la sentencia que sí se ha formado a los empleados en cuanto a su deber de confidencialidad y en materia de protección de datos.

Por otro lado en la sentencia, se tocan fundamentalmente dos puntos, uno el de los accesos indiscriminados y no justificados al historial clínico por parte de personal no autorizado a tal efecto y otro el hecho de que a la paciente se le tomaron fotografías sin su consentimiento ni el de sus familiares en estado de inconsciencia y después se adjuntaron al expediente o historial médico. En este último punto se establece lo siguiente en la sentencia:

“Es claro que muchas de las actuaciones medicas que se llevan a cabo en la practica, se hacen con el consentimiento tácito del paciente y la necesidad de sacar fotografías podría en este caso, tal y como explicaban los médicos intervinientes considerar justificada, sin embargo hay que reconocer, que son muchas las fotografías que se sacaron, son fotografías especialmente duras del cuerpo de una mujer muy joven desnudo y en un estado impactante. Estas fotografías se ha acreditado que obraban en la historia clínica informatizada y en algunas de ellas se podía identificar la cara, por lo tanto se podía identificar a la paciente, aunque después se retiraron. Sin embargo, a esas fotografías se pudo acceder, como así fue. Por otro lado tampoco se sabe hoy a ciencia cierta, que estas fotográficas no sigan circulando por ahí, es decir, no sean accesibles a través del acceso , valga la redundancia a la historia clínica informatizada de xxxxxxxx .”

En cuanto a la indemnización establece 50.000€ para cada progenitor de la paciente fallecida y 25.000 para la hermana. Desarrolla un poco el tema del derecho al honor en cuanto a que a pesar de ser un derecho personalísimo como el de la protección de datos en ocasiones es ampliable al ámbito familiar, como es el caso en esta sentencia. Para ello cita lo siguiente:

“Ha dicho el Tribunal Constitucional que los derechos a la integridad física, a la intimidad, al honor, o a la dignidad humana, son personalísimos y, en principio, intransferibles por lo que el titular de los mismos sólo puede ser la persona viva, y ello sin perjuicio de reconocer que la persona ya fallecida, como realidad jurídicamente distinta, ha de ser objeto de una particular protección jurídica por cuanto el techo a la intimidad familiar puede verse afectado ( Auto del Tribunal Constitucional 149/1999, de 14 de junio ).”

Reconoce así mismo que no es un derecho absoluto,

En conclusión establece que la formación estaba bien desarrollada en el hospital y los sistemas de acceso no, ya que era un poco como se suele decir coloquialmente café para todos.

Dice más cosas pero en general en mi opinión lo más destacable de las 21 hojas de las que dispone la sentencia es más o menos lo anteriormente expuesto.

Sentencia completa sin datos personales

Sentencia contra SNS-Osasunbidea en materia LOPD

2011-10-18T04:30:00.001-07:00

SNS-O debe pagar 125.000 €

Tal y como publicó el Diario de Noticias de Navarra el pasado 12 de octubre, "La historia clínica de una mujer, ya fallecida, fue vista por 419 sanitarios en 2.825 ocasiones", por lo que la jueza entiende que las medidas de seguridad y el protocolo de Salud no son suficientes para garantizar la protección de datos.

En el fondo lo veía venir, ya que Osasunbidea arrastraba desde hace años claras deficiencias en la adaptación y cumplimiento de la LOPD y que decir del RD 1720/2007 que la desarrolla. La duda que me queda es si en la actualidad, tal y como comenté en un post anterior (Osasunbidea deberá auditar la seguridad en materia de protección de datos), se encuentra a día de hoy correctamente adecuada a la citada normativa sobre Protección de Datos de Carácter Personal o si por el contrario continua padeciendo dicha insuficiencia (ya que la sentencia es sobre un asunto de 2007).

En mi opinión este tipo de sentencias deja clara una cuestión y no es otra que la importancia de la formación, el problema no es que determinadas personas entren por puro "cotilleo" a un historial, sino que el propio centro no haya advertido claramente de su prohibición y de las consecuencias que puede acarrear el incumplimiento sobre dicha prohibición. Por no mencionar el hecho de la falta de procedimientos en cuanto a las medidas de seguridad se refiere, ya que deberían disponer de medios en el sistema de información de Osasunbidea para evitar los accesos no autorizados, así como de medios para poder registrar e identificar todos los accesos no autorizados de forma inequívoca, para poder proceder si fuese el caso, a la apertura de investigaciones y expedientes disciplinarios, en aquellos supuestos de accesos no autorizados que no dispusiesen de alguna disculpa coherente y justificada por la cual se hubiese producido el citado acceso no autorizado.

Por último destacar claramente una cuestión a todos los empleados del sector público y en especial al sanitario (en vistas a que estos últimos tratan y gestionan datos de mayor sensibilidad). Los datos personales son de las personas físicas, es decir, de los ciudadanos, no de los hospitales o centros sanitarios y mucho menos de sus empleados. Por ello los datos personales deben ser tratados y/o gestionados exclusivamente por personal autorizado para las actividades que tengan asignadas en sus funciones y para las finalidades descritas en las mismas.

En conclusión, a mi modo de ver es vital la formación y concienciación de los empleados ya que es fundamental de cara a evitar este tipo de noticias tan penosas y vergonzosas, consiguiendo de este modo entre otras cosas un servicio de mayor calidad y confianza para los ciudadanos.