Responsabilizarse de los incidentes

Si tienes un incidente de seguridad, lo pagas. Aunque tengas medidas de seguridad, aunque se demuestre que son efectivas, aunque quede demostrado que el incidente se debe a que una persona concreta ha incumplido la normativa de seguridad establecida... la organización es la culpable. Al menos, en lo referente a la LOPD, según se deduce de una sentencia de la AEPD que he conocido a través de uno de los últimos post de Samuel Parra.

La clave, según parece, es que la vulneración del deber de secreto es una infracción de resultado, es decir, que lo relevante es el resultado del incidente, la vulneración de la confidencialidad, independientemente de los medios dispuestos por la organización para evitar que se produzcan los incidentes. Estos medios permitirán "modular" la sanción, pero siempre dentro del rango que le corresponde, que en este caso es el de "muy grave". Si estuviesemos ante una empresa privada, por mucho SGSI que pudiera tener la empresa, o por muy eficaces que pudieran ser las medidas de seguridad existentes, esa fuga de información llevada a cabo por un empleado concreto le hubiera supuesto pagar como mínimo 300 000 €. Y la verdad es que no me parece justo. Si queda probado que el incidente de seguridad se debe a la responsabilidad personal de un usuario que ha violado, intencionada y conscientemente, las medidas de seguridad dispuestas por la organización, creo que la sanción no es justa. Desde mi punto de vista, esa situación debería poder permitir que la sanción asociada tuviese distinta graduación. De acuerdo con estas consideraciones, la verdad es que la reforma de la LOPD que proponía CiU como enmienda a la famosa Ley Sinde tenía buena pinta. Al menos, tenía en consideración estos aspectos...

Con este artículo tampoco quiero dar la impresión de que las organizaciones no se deben responsabilizar de sus incidentes de seguridad. De hecho, creo que debería ser todo lo contrario, y que deberíamos fijarnos un poco más en nuestros "vecinos" estadounidenses a la hora de asumir responsabilidades por las consecuencias de los incidentes de seguridad sufridos. Pero también creo que esa asunción de responsabilidades debe tener un límite, que debería ser precisamente esa frontera entre la responsabilidad de la organización y la responsabilidad personal de cada uno de sus miembros.

ACTUALIZACIÓN: Por lo que he podido saber, parece que la reforma de la LOPD de la que hablaba ha sido aprobada como la disposición adicional quincuagésimo octava de la Ley de Economía Sostenible.

Cambios en la nueva ISO 20000

Por lo que tengo entendido, se aproximan importantes cambios en la nueva ISO 20000. La nueva versión de la norma ISO 20000, que pasará a ser ISO/IEC 20000-1:2011, ya está cerrada, y la fase de votaciones ya ha concluido, así que, salvo sorpresas, en las próximas fechas podremos ver la nueva edición del estándar.

Una nueva versión del estándar que introduce, por lo que me he podido enterar, cambios destacables. El más evidente es su "crecimiento", ya que pasa de 16 a 26 páginas (aunque no tengo muy claro si en estas 26 páginas incluyen el control de cambios, en cuyo caso dicho crecimiento sería significativamente menor). Además, esta nueva versión ya indica claramente en su título que su contenido contempla los requisitos para un sistema de gestión de servicios. Pero quizás el cambio más significativo es precisamente ése, que se limita a hablar de sistema de gestión de servicios, sin incluir el apellido TI. Cambio que en principio podría ser símplemente consmético, ya que la primera parte del título es precisamente esa ("Information Technology"), pero que en realidad introduce una modificación sustancial en el ámbito del estándar, ya que su contenido pasaría a ser válido para certificar, potencialmente, el sistema de gestión de cualquier tipo de servicios. Sin conocer el texto de esta nueva versión, la interpretación que yo hago de este cambio es que podría servir para poder certificar bajo este estándar servicios que, relacionados con las TIC, antes no se consideraban certificables, por ser principalmente servicios "profesionales" (en contraposición con los servicios TI "puros", como ya he comentado en alguna otra ocasión). ¿Será una interpretación válida? ¿Tenéis alguna información más al respecto de los cambios de esta nueva versión? ¿Estáis de acuerdo con esta interpretación? Seguro que todos los lectores del blog estamos encantados de conocer otras opiniones al respecto.

ACTUALIZACIÓN: Parece que ya tenemos algo más de información sobre los cambios de la nueva versión de la ISO 20000 (Joserra, gracias por el link). En general, cambios que aportan mayor consistencia al modelo, pero sin afectar significativamente a su implementación. ¿Habrá realmente un cambio en el espíritu de la norma? Posiblemente lo descubriremos en el próximo Forum ISO 20000.

Y ahora que?

Reconozco que llevo unos cuantos días sin postear nada. La verdad es que el trabajo de estos últimos días ha sido constante. Proyectos que tienen que acabar, proyectos que ya deberían haber empezado... Como cualquier otro Enero, salvo porque este año el ENS (Esquema Nacional de Seguridad) ya está aquí.

Por si alguien no era consciente, ya se ha cumplido un año desde la publicación del Real Decreto 3/2010 por el que se regula el Esquema Nacional de Seguridad. Según su disposición transitoria, a los doce meses de su entrada en vigor (que se produjo el día 30 de Enero de 2010, ya que fue publicado el día 29) todas las administraciones públicas deberían haber adecuado sus sistemas de información, o al menos deberían contar con un plan de adecuación aprobado. Es decir, que desde el pasado domingo todas las administraciones públicas de este país deberían contar con un plan de adecuación al ENS o con una declaración de conformidad publicada en su sede electrónica indicando su cumplimiento.

Sin embargo, el panorama real dista bastante del deseado. A día de hoy sólo algunos ministerios tienen una declaración de conformidad publicada, que en muchos casos no supone un cumplimiento real sino un "disfraz" del plan de adecuación, y una búsqueda de planes de adecuación tampoco ofrece resultados muy diferentes. La mayor parte de las administraciones públicas no cumplen lo exigido por el Real Decreto.

¿Y ahora, qué va a pasar? Una de las principales críticas que se le hacía al ENS era que no iba acompañado de un régimen sancionador específico, de modo que su incumplimiento no supone una sanción específica, más allá de las que se puedan derivar de que una administración pública incumpla un Real Decreto. ¿Hay alguna forma práctica de "impulsar" la acometida de este tipo de proyectos? ¿O seguirá la seguridad de estos servicios a merced de iniciativas políticas que poco tienen que ver con una preocupación real por los ciudadanos? ¿Quizás los acontecimientos recientes relacionados con la seguridad de la información hayan podido influir en la percepción que las administraciones públicas tienen de la seguridad de sus servicios electrónicos? ¿O sus dirigentes seguirán pensando eso de "a mí no me pueden pasar esas cosas? Quizás es que hoy me he levantado pesimista, pero un panorama tan lleno de dudas me parece desalentador.

Hacking legal

Hoy sencillamente quiero referenciar un artículo de Jorge Bermúdez, un fiscal especialista en delitos informáticos, en el que nos explica un "hack legal" (no recuerdo dónde ví este término, pero la verdad es que me gustó) que permite la realización de hacking ético de manera legal dentro del nuevo código penal, en vigor desde finales del año pasado y que considera el hacking como un comportamiento delicitivo (simplificando).

Por tratar de explicarlo, el artículo 197, apartado 3º viene a decir que cualquiera que vulnere las medidas de seguridad de un sistema informático y acceda a sus datos o programas sin el permiso de sus dueños puede acabar en la cárcel. La clave parece estar en el concepto de sistema informático, válida tanto para servidores u ordenadores personales como para software, aplicaciones o incluso servicios tipo SaaS, y en el permiso de los dueños, que muchas veces no queda claro quiénes son. Normalmente los pen-test se suelen llevar a cabo con el permiso (y normalmente petición expresa) de los dueños, pero la labor de investigación y búsqueda de vulnerabilidades en general suele ser más proactiva, normalmente llevada a cabo por los usuarios "afectados" sin informar de ella al responsable de la aplicación o servicio salvo en caso de que el resultado sea fructífero. Y es aquí donde pueden surgir los problemas.

En el artículo se plantea como solución al problema la invocación de una norma legal presente en el Código Civil denominada "cuasicontrato de gestión de negocios ajenos" (vaya nombrecito, eh?), que podría amparar este tipo de actividades. ¿Que en qué consiste? Os animo a leer la explicación en el artículo original, que yo no soy jurista y prefiero no equivocarme al tratar de explicarlo...

Trabajar con personas

Un artículo publicado por Javier Cao relativo a las fugas de información en Renault me ha llevado a retomar una reflexión que planteé hace ya unos meses: para gestionar adecuadamente su seguridad, las organizaciones deben gestionar la "inteligencia emocional corporativa". O dicho de otra forma: los modernos departamentos de Recursos Humanos tienen mucho que decir en ésto de la seguridad.

Me explico. No hace falta decir que la seguridad depende de las personas. Depende de ellas, entre otras cosas, como origen de ciertas amenazas: las derivadas de sus acciones involuntarias (errores) y las derivadas de sus acciones voluntarias malintencionadas (ataques). Evidentemente estas últimas sean probablemente las más peligrosas de todas las amenazas posibles, ya que su impacto será el más elevado posible para cada atacante, pero es que además estos riesgos tienen realimentación positiva: su probabilidad de ocurrencia crece con el nivel de motivación contra la empresa, y esa misma motivación hace que el impacto crezca, ya que se buscará el mayor éxito posible en el ataque. Por tanto, las organizaciones que quieran minimizar estos riesgos tendrán que aplicar políticas activas de Recursos Humanos encaminadas a mantener contento al personal de la organización, con el fin de que los niveles de motivación contra la empresa sean bajos. Aplicando buenos salarios, motivando, estableciendo buenos mecanismos de recompensa y reconocimiento... En definitiva, haciendo todo lo que se espera de un moderno departamento de Recursos Humanos.

Sin embargo, el diálogo con RR.HH. suele ser una de las áreas más retadoras para un buen responsable de seguridad: clásicamente suelen ser tecnólogos, más acostumbrados a hablar de políticas de contraseñas que de motivación a los usuarios, y que normalmente se entienden mejor con las áreas técnicas (o en estos últimos tiempos incluso con la dirección) que con los psicólogos, sociólogos y gestores que suele haber en los departamentos de RR.HH. De hecho, ni siquiera a nosotros mismos nos suena convincente cuando vamos a pedirle a Recursos Humanos que tenga en cuenta la seguridad a la hora de establecer sus políticas. Habrá llegado el momento del reciclaje? Tendremos que aprender a hablar de premios y motivaciones? O quizás está llegando el momento de que el perfil del responsable de seguridad cambie? Espero vuestras opiniones al respecto.

Un año más

Como siempre que comienza un año, es tiempo de pronósticos, deseos y buenas intenciones, aunque muchas veces corramos el riesgo de equivocarnos o incumplir esos ambiciosos objetivos de año nuevo. La verdad es que no creo ser un buen futurólogo, pero aquí os dejo algunas reflexiones de por dónde creo que puede ir el año en nuestro sector, por si suena la flauta:

• Aunque para estas fechas todas las Administraciones Públicas ya deberían tener finalizado su Plan de Adecuación al Esquema Nacional de Seguridad (con margen para aprobarlo formalmente antes de fin de mes), probablemente este sea el año en que empecemos a ver los primeros planes, y no necesariamente a principios. Los recortes presupuestarios van a hacer mella en las Administraciones Públicas, y sólo los alumnos más aventajados podrán alardear del cumplimiento del ENS allá por finales de año (y con suerte). Éso sí, probablemente este sea el año de la explosión de las sedes electrónicas de la administración autonómica, provincial y local, y las veremos ir surgiendo como setas a lo largo de todo el año. 
• Seguro que este año se va a hablar mucho de la protección de las infraestructuras críticas, tanto por la aprobación de la correspondiente Ley como a causa de algún destacable incidente que lamentablemente acabe sucediendo, y que seguro que se utiliza para dar relevancia a la cuestión. Sin embargo, tengo la sensación de que este no va a ser el año de las grandes inversiones en este tema.
• Acabaremos el año diciendo del Cloud Computing exactamente lo mismo que se dice ahora. Algunas empresas se subirán a la nube, y seguro que siguen apareciendo argumentos a favor de ello, pero probablemente la mayoría se quede más o menos como está.
• No creo que vayamos a ver una explosión en el mundo de las certificaciones de sistemas de gestión "tecnófilos". Tengo la sensación de que el ritmo de crecimiento de las certificaciones ISO 27001 se va a reducir, aunque seguirá siendo importante, y el de las ISO 20000 se va a mantener, con un crecimiento no tan importante como el de las primeras pero destacable en cualquier caso. Y probablemente veamos aparecer las primeras certificaciones en UNE 71599, aunque no creo que este vaya a ser el año de la continuidad de negocio.
• En el mundo de la seguridad TIC no creo que vaya a haber cambios significativos. Las empresas seguirán ampliando poco a poco sus soluciones de seguridad para ir orientándolas hacia el mundo móvil, aunque muy por detrás de la adopción de tecnologías móviles por parte de los usuarios y casi siempre de forma reactiva. No obstante, tengo la esperanza de que este no sea el año del boom del malware móvil, y por tanto no creo que la vulnerabilidad de las organizaciones en su parque TIC móvil vaya a crecer a mayor ritmo que en el 2010.

En resumen, no creo que vaya a haber muchos cambios en el sector a lo largo de este año. Me parece que va a ser un año de transición, de "quiero pero voy a esperar un poco más", y que probablemente el año 2012 sea un año mucho más ajetreado en este sector. Pero como he dicho al principio, las predicciones están para no ser cumplidas, así que ya veremos cómo va el año y cuánto he acertado a la hora de hacerlas. Mientras tanto...

Feliz año 2011 a todos los lectores del blog