Lección 2: Medidas de seguridad de nivel básico

Las medidas de seguridad que se han de adoptar en los ficheros que contengan datos de carácter personal están en función de la tipología de tales datos. Al operar de forma “acumulativa”, todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico.

Estas son las medidas a aplicar según los correspondientes artículos del Reglamento LOPD:

Artículo 89. Funciones y obligaciones del personal.

1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad.
También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento.
2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.

Artículo 90. Registro de incidencias.

Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.

Artículo 91. Control de acceso.

1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.
2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos.
3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.
4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.
5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.

Artículo 92. Gestión de soportes y documentos.

1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad.
Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad.
2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad.
3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte.
4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.
5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.

Artículo 93. Identificación y autenticación.

1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios.
2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado.
3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad.
4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.

Artículo 94. Copias de respaldo y recuperación.

1. Deberán establecerse procedimientos de actuación para la realización como mínimo semanal de copias de respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos.
2. Asimismo, se establecerán procedimientos para la recuperación de los datos que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción.
Únicamente, en el caso de que la pérdida o destrucción afectase a ficheros o tratamientos parcialmente automatizados, y siempre que la existencia de documentación permita alcanzar el objetivo al que se refiere el párrafo anterior, se deberá proceder a grabar manualmente los datos quedando constancia motivada de este hecho en el documento de seguridad.
3. El responsable del fichero se encargará de verificar cada seis meses la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos.
4. Las pruebas anteriores a la implantación o modificación de los sistemas de información que traten ficheros con datos de carácter personal no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad.
Si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de seguridad.

Protección de Datos en el Comercio Electronico

La privacidad y las implicaciones de la aplicación de la LOPD es un tema de crujiente interés en la época en la que vivimos, no sólo desde el punto de vista jurídico, sino también del comercial y marketing. Constántemente, estamos proporcionando datos de carácter personal tanto en el mundo “real” como en el mundo “virtual”. La privacidad es un factor determinante en el comercio electrónico, la necesidad de transmisión de datos a través de la Red para realizar transacciones comerciales implica el riesgo de la seguridad de los mismos.

La normativa vigente sobre protección de datos personales (LOPD) implica la adopción, en el seno de las organizaciones empresariales y entidades de todo tipo del mundo “real”, de unas normas jurídicas, organizativas y técnicas en el ámbito de organización interna de dichas organizaciones. En el mundo “virtual” la adopción de esas medidas de protección sobre privacidad se ven incrementadas por razones del medio donde se desarrollan dichas transacciones. Las organizaciones empresariales que comercializan sus productos a través de Internet, no sólo han de incorporar en sus sitios web mecanismos de seguridad, sino que es necesario que informen sobre éstas a los consumidores de forma clara y completa.

Para vender con éxito a través de una tienda virtual mediante comercio electrónico es imprescindible que los sitios web respondan a las demandas de los consumidores, que se traducen en mayor información sobre los derechos que les asisten en materia de privacidad y tratamiento de sus datos, información actualizada y veraz de la organización y sobre las condiciones de compra.

Éste es un laborioso y complejo trabajo que sin duda alguna requerirá de recursos humanos, técnicos, materiales y económicos en el caso de intentar acometerlo por cuenta propia. La mejor opción, es sin duda confiar a un profesional todo este proceso.

A través de nuestro servicio DSB PROTECCIONDDATOS te ofrecemos la adaptación total de tu empresa a la LOPD de la mano de Expertos Consultores en materia de Protección de Datos Personales y Privacidad. Si tienes cualquier tipo de duda o consulta sobre cómo implantar las medidas exigidas por la LOPD en tu empresa, así como la duración del proyecto de implantación o simplemente deseas solicitar un presupuesto personalizado, puedes contactar por e-mail: dsbproteccionddatos@hotmail.com. Estaremos encantados de ayudarte.

Nivel de medidas de seguridad a implantar en un fichero

Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de nivel básico establecidas en el Reglamento de desarrollo de la LOPD (RD 1720/2007, de 21 de diciembre).

Deberán implantarse, además de las medidas de seguridad de nivel básico, las medidas de nivel medios en los siguientes ficheros de datos de carácter personal:

• Los relativos a la comisión de infracciones administrativas o penales.
• Aquellos de los que sean responsables Administraciones Tributarias y se relacionen con el ejercicio de potestades tributarias.
• Aquellos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. De igual modo, aquellos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.
• Aquellos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos.

Se señalará el nivel alto para cualquier fichero de datos de carácter personal que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual, los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas, así como los que contengan datos derivados de actos de violencia de género.

Excepcionalmente podrán implantarse las medidas de nivel básico en ficheros que traten datos especialmente protegidos cuando dichos datos se utilicen con la única finalidad de realizar una transferencia dineraria a las entidades de las que los afectados sean asociados o miembros, o se trate de ficheros no automatizados en los que de forma incidental o accesoria se contengan datos especialmente protegidos sin guardar relación con su finalidad.

También podrán implantarse las medidas de seguridad de nivel básico en los ficheros o tratamientos que contengan datos relativos a la salud referentes, exclusivamente, al grado de discapacidad o la simple declaración de la condición de discapacidad o invalidez del afectado, con motivo del cumplimiento de deberes públicos.

INTECO advierte de una ola de mensajes falsos relativos al WhatsApp

A día de hoy yo soy una de las muchísimas personas que utiliza la aplicación WhatsApp, pero a pesar de ello sigo creyendo que hay un enorme vacío en cuanto a la protección de datos se refiere en torno a esta aplicación.

FUENTE: INTECO:

El Instituto Nacional de Tecnologías de la Comunicación (INTECO), a través de su Oficina de Seguridad del Internauta (OSI) ha difundido un boletín en el que advierte de la existencia de una ola de mensajes falsos o bulos relativos al WhatsApp.

“WhatsApp va a costar 0,01€. El mensaje mándalo a 10 personas”, así comienza el último bulo o mensaje falso distribuido a través del WhatsApp, pero no es el único.

Según informa la OSI, actualmente son dos los bulos que están circulando a través de la aplicación de chat para dispositivos móviles. Uno de ellos se aprovecha del fallo de la aplicación que provocó que el miércoles el estado de todos sus usuarios se cambiase por «Error: status unavailable» y el otro, similar, alude al estado «unavailable» de los contactos.

Aunque la compañía logró solucionar el error y restablecer el servicio con normalidad, el bulo se ha seguido extendiendo. Los últimos mensajes detectados incitan al usuario a reenviar el texto entre sus contactos de la aplicación, con la excusa de que si no lo hacen, WhatsApp pasará a ser de pago y los mensajes ya no saldrán gratis como hasta ahora.

El Instituto Nacional de Tecnologías de la Comunicación, INTECO, a través de la OSI, aconseja que, para evitar ser engañado con trucos de ingeniería social, se configuren correctamente lasopciones de seguridad en el smartphone y se utilice el sentido común:

• No creer todos los mensajes que se reciban, a través de las distintas aplicaciones instaladas, en el smartphone.
• No entrar en el juego de reenviar cualquier mensaje que se reciba.
• No pinchar en enlaces cuya procedencia es desconocida.
• Instalar un antivirus actualizado en el dispositivo. Se pueden encontrar antivirus gratuitos en la sección de «útiles gratuitos» de la web de INTECO.

Si se duda sobre la veracidad de un determinado mensaje, lo mejor siempre es consultar la página web de la aplicación, en este caso http://www.whatsapp.com/ o verificar la información en terceras partes de confianza.

No se puede olvidar que los smartphones pueden ser utilizados para navegar por Internet, leer el correo electrónico, acceder a las redes sociales, jugar online, etc. Por este motivo, todas lasrecomendaciones de seguridad, proporcionadas en el portal de la Oficina de Seguridad del Internauta (www.osi.es), son aplicables a estos dispositivos, ya que, las técnicas de engaño/estafa utilizadas por los delincuentes, pueden ser las mismas y/o muy parecidas a las utilizadas con los usuarios de ordenador.

Ante cualquier duda, puede solicitar ayuda a través del servicio de «soporte por chat» o «atención telefónica» de la OSI.

10 consejos para evitar la ira de los auditores

1. Cifrado completo de disco duro

La mayor parte de las pérdidas de datos se deben a la pérdida accidental un dispositivo –en un taxi, en el tren o durante la clásica noche de viernes en un pub. En este caso demostrar que no existía información confidencial en ese dispositivo es una ardua labor. Si el dispositivo disponía de un cifrado completo, no se necesitan más explicaciones, ya que el inspector sabe que el cifrado protege al dispositivo. Si por el contrario no se dispone de este tipo de cifrado, el inspector lo verá como una clara señal de que encontrará más problemas.

Asegúrate que dispones de informes que atestigüen que los dispositivos han sido cifrados y realiza comprobaciones de que mantienen esa medida de seguridad. Si tu empresa no ha implementado políticas de este tipo, debería ser una prioridad máxima.

2. Cifrado de unidades extraíbles

Una vez que los discos duros están seguros, tendrás que lidiar con las molestas llaves USB y los sistemas de almacenamiento extraíble. Éste es el punto débil de muchas empresas: invierten en tecnología pero los usuarios buscan una manera de franquearla ya que no les facilita el compartir información. Antes que definir unas reglas estrictas e inflexibles (que está demostrado que son menos seguras), prepárate para la auditoría con informes que demuestren que cifráis este tipo de dispositivos.

3. Un sistema de normas efectivo

Una parte de las medidas organizativas y técnicas requeridas consiste en documentar cómo tus “datos” van a ser protegidos. Ya hemos explicado que no hay ninguna garantía al 100% contra la pérdida de información, pero si no has documentado correctamente los procedimientos que empleas en caso de incidente, lo más seguro es que el auditor te machaque a preguntas. Tu sistema de normas será lo primero que revise el auditor, incluso antes de que inspeccione los informes que presentes de controles técnicos y procesos. Debo prevenirte que tener un sistema complejo y tedioso no te va ayudar.

Planifícate y mantén tus políticas en orden.

4. Políticas sobre uso aceptable

Educar a los usuarios no sólo es una parte importante de un sistema de normas efectivo, sino que además es una manera barata de prevenir incidentes. En particular, asegúrate que las normas sobre usos aceptables que atañen a las últimas tecnologías están actualizadas. Por ejemplo ¿está previsto el uso de smartphones desde casa y compartiendo datos con terceros?

5. Antivirus moderno

Gran parte del malware más moderno está diseñado para robar información (por supuesto el tipo de información que te creará un problema). Asegúrate de que estás usando tecnología moderna, no la tradicional. Busca que emplee tecnología HIPS y tecnologías basadas en la nube. Comprar sistemas y no usarlos porque son muy complicados o caros de gestionar no es una buena idea.

6. Prevención de pérdida de datos

Las políticas de prevención de pérdida de datos han estado en boga durante los últimos años. No se trata que pases semanas identificando los tipos de datos que maneja tu empresa, ni que diseñes complejas soluciones en las que identifiques los usuarios que pueden acceder a cada documento. Identifica los datos más confidenciales y obliga a cifrar esa información cada vez que sea compartida ya sea al mandar un correo a un cliente, subiéndola a la nube o copiándola a una llave USB. Ofrece alternativas cuando bloquees aplicaciones. Por lo menos implementarás soluciones y te llevará 2 días no 200, además te servirá para que convencer a los auditores de que te tomas la seguridad de tus datos de forma responsable.

7. Política de contraseñas seguras

Una contraseña débil puede llevar al traste toda tu estrategia de defensa. Crea una norma que introduzca la complejidad suficiente para que sean robustas. Tampoco te pases en esa complejidad, si no, acabarán por escribirla en post-its con lo que no habremos ganado nada. En este video damos unos consejos sobre cómo escoger una buena contraseña.

8. Política de gestión de incidentes

Los incidentes relacionados con seguridad ocurren. Muchas veces al no existir una correcta gestión se magnifican y surgen filtraciones a clientes o a la prensa cuando en realidad su incidencia fue mínima. Si no quieres que la situación se vuelva un caos tienes que implementar una política de gestión de incidentes. En ella involucraremos otros departamentos como legal, marketing o atención al cliente. La idea es que en cuanto ocurra algo todos en la empresa sepan lo que tienen que hacer. Con una gestión eficiente conoceremos con mayor prontitud el alcance del incidente, lo comunicaremos correctamente y minimizaremos su alcance.

9. Protección móvil

Los dispositivos móviles son cada vez más numerosos. Por si fuera poco cada vez almacenan una mayor cantidad datos confidenciales. Todo esto hace que tanto los auditores como los cibercriminales los tengan en su punto de mira. Cada vez surgen soluciones más complejas para cubrir su seguridad. Asegúrate que tienes una idea clara de las necesidades de tu empresa, cíñete a lo básico: contraseñas, bloqueo, cifrado, parcheado de vulnerabilidades y borrado remoto. Una vez que tengas estos puntos bajo control, mantente alerta sobre nuevas amenazas y comprueba que se están cumpliendo tus políticas.

10. Vigilancia fuera de la oficina

Existen muchos elementos de seguridad que pueden que no funcionen eficazmente fuera de los límites de la oficina. Comprueba que elementos como “navegación segura” funcionan cuando los dispositivos se conectan a otros servidores. Control de parches, filtrado web y procedimientos de aviso deben estar activos dentro y fuera de la oficina.

Agujeros legales en torno a las apps que recopilan datos personales

Es divertido atacar a los cerdos en Angry BIrds. Pero, ¿somos conscientes de que a cambio estamos cediendo información personal a la app?

Angry Birds, la app de pago más vendida para iPhone en EEUU y Europa, acumula ya más de 1.000 millones de descargas en todo el mundo. Mientras que muchos se divierten jugando con estos populares pajaritos, no todos son conscientes de un aspecto muy importante: la tremenda capacidad que tiene el juego para recopilar información personal de sus usuarios.

Jason Hong, profesor asociado en el Instituto de Interacción Humano-Computadora de la universidad Carnegie Mellon y experto en privacidad de aplicaciones móviles, ha entrevistado a 40 usuarios del adictivo juego, y 38 de ellos desconocían el hecho de que el juego almacenaba su información para convertirlos más adelante en objetivo de anuncios y publicidad.

"Cuando estoy dando una charla acerca de esto, son varias las personas que sacan sus smartphones y borran el juego mientras yo sigo hablando", ha asegurado Hong a The New York Times en una entrevista.

Según los expertos, aplicaciones como Angry Birds y software aparentemente más inofensivo, como aplicaciones que convierten la pantalla del móvil en una linterna, también recopilan información personal. Por lo general, los datos que se almacenan son la ubicación del usuario, el sexo y el número de identificación del smartphone. Sin embargo, en algunas ocasiones también se almacenan las listas de contactos y las imágenes de las galerías de fotos.

A medida que Internet se vuelve más y más móvil, el debate entre los defensores de la privacidad y los de los negocios online va creciendo. Mucha gente acepta recibir publicidad a cambio de usar aplicaciones gratis. O simplemente no entiende qué son todos esos permisos de acceso que solicita la app cuando se instala, y los aceptan para empezar a usarla cuanto antes.

En EEUU, no existe regulación sobre las prácticas de recolección de datos por parte de los fabricantes de aplicaciones. El año pasado, el fiscal general de California, Kamala D. Harris, llegó a un acuerdo con seis grandes distribuidores de aplicaciones móviles (Amazon, Apple, Google, Hewlett-Packard, Microsoft y Research in Motion) para que solamente distribuyeran apps que permitieran a los usuarios consultar las políticas de privacidad antes de descargar. A pesar de ello, esto no supuso un gran cambio. "La vida privada de los usuarios no debe ser el coste del uso de las aplicaciones móviles, pero lo es con demasiada frecuencia" ha asegurado Harris.

También hay que aclarar que en algunas ocasiones, la culpa es de los propios usuarios. “La mayoría de la gente hace clic y acepta los permisos de privacidad sin ni siquiera leerlos”, asegura el profesor Hong. En su universidad se está desarrollando una herramienta de software llamada AppScanner que pretende ayudar a los consumidores a identificar el tipo de información que recogen las aplicaciones móviles y con qué propósito.

Por otro lado, en Europa se están llevando a cabo otras propuestas de regulación y protección de datos. La Comisión de Libertades Civiles, Justicia y Asuntos de Interior del Parlamento Europeo pretende obligar a las empresas a obtener el consentimiento explícito de los consumidores para recopilar sus datos. La propuesta también pretende dar a los consumidores la posibilidad de elegir qué información podrá almacenar una aplicación, sin perder la capacidad de utilizar el software.

A pesar de todo, andaremos con cuidado. Y tú, ¿seguirás jugando tranquilo a Angry Birds?

Guía contra el ciberacoso

El Instituto Nacional de Tecnologías de la Comunicación, INTECO, a través de la Oficina de Seguridad del Internauta (OSI) y del portal Menores OSI, presenta la primera edición de la «Guía de actuación contra el ciberacoso» para padres y educadores, un documento que pretende acercar a los usuarios no sólo cómo detectar el fenómeno, sino también cómo actuar ante esta situación.

El hecho de que los menores de nuestro tiempo, los llamados «nativos digitales», viven en las nuevas tecnologías es una realidad incontestable. Esta capacidad de acceso a múltiples fuentes de información, la posibilidad de estar hiperconectados con sus compañeros y todas las ventajas que trae esta realidad, no ha impedido la aparición de riesgos. Ante esta situación, la mejor opción es, como se reitera desde la OSI, conocer profundamente el medio en el que se mueven los menores y, en el caso de que llegue una situación de acoso, saber cómo actuar.

Por lo tanto, la guía se presenta como un trabajo de análisis de los dos principales tipos de acoso que se dan actualmente en la red: el ciberbullying, o acoso entre menores, y el grooming, o acoso de un adulto a un menor de edad, para continuar analizando las formas de prevención en casa y en el centro escolar y terminar en la actuación no solo desde estos ámbitos, sino también en el judicial.

Para la elaboración de la guía se ha contado con la participación de expertos en distintas áreas: educadores, psicólogos, abogados, Fuerzas y Cuerpos de Seguridad del Estado y juristas, que han aportado su conocimiento y análisis de las situaciones que se dan en estos casos.

Descarga (PDF)
http://menores.osi.es/sites/default/files/Guia_lucha_ciberacoso_menores_osi.pdf