Tampoco vamos a decirte que la única forma de estar 100% seguro es no usar ordenadores ni conectarse a Internet.

Vamos una serie de medidas que van, desde las menos intrusivas, a las que son más propias de un verdadero paranoico de la seguridad.

MEDIDAS DE SEGURIDAD

Redes wifi abiertas no, gracias.

Primero de todo: nunca, jamás, en la vida, te conectes a una red WiFi abierta si te preocupa mínimamente la seguridad.

Pueden ver el tráfico no cifrado, cualquiera puede ver qué puertos abiertos tienes en tu ordenador, e incluso podrían entrar con un clic en tus cuentas de servicios que no usen HTTPS.

Cuidado con las descargas

Súbelo a sitios como VirusTotal para comprobar que no es un malware.

Ah, y aunque no lo parezca, una descarga por BitTorrent es más segura que una descarga directa.

Activa controles de integridad

Si está disponible,  activa los controles de integridad de los archivos de sistema,  en tu antivirus.

De esta forma, el antivirus chequeará que los archivos de sistema no han cambiado desde la última vez.

Separa las cuentas de usuario y administrador

Separar cuentas de usuario y administrador es una medida sencilla y bastante efectiva.

Me refiero a que tengas dos usuarios distintos, uno para administración y otro para tareas de usuarios.

Si quieres instalar un programa, sales de la cuenta de usuario y entras en la de administrador, y cuando acabes vuelves a la de usuario.

Firewall

Otra medida bastante efectiva, pero que fastidia mucho en el uso del ordenador, es poner un firewall en modo estricto.

Con eso me refiero a bloquear todas las comunicaciones por defecto, y sólo permitir la conexión por ciertos puertos a las aplicaciones que tú hayas definido explícitamente. Básicamente, navegador, sistema de actualizaciones y poco más.

Cifrar el sistema

Cifrar nuestro sistema protegerá nuestros datos frente a intrusiones.

Si ciframos todo el disco (incluyendo el SO), necesitaremos una contraseña para acceder al sistema, pero entonces todos los archivos aparecerán sin cifrar a nuestros ojos (y a los de los programas que se ejecuten en el sistema).

Cifrar sólo ciertas carpetas o archivos es más recomendable si únicamente queréis proteger datos confidenciales (almacén de contraseñas, correos, agenda…). 

Usa sistemas menos conocidos

Pónselo difícil al atacante usando software más minoritario.

No uses Windows o Mac, usa Linux.

Tampoco uses Android o iOS, usa BlackBerry o Windows Phone (aunque si estás preocupado por la seguridad de verdad no sé qué haces con un smartphone).

No porque unos sean más seguros que otros, sino porque si usas un sistema menos usado habrá menos herramientas y recursos para atacarlo. Simple matemática: a menos usuarios, menos interés tiene para los atacantes.

¿Y SI USO UN MÓVIL O TABLET?

La seguridad en el móvil o táblet es un asunto muy delicado. ya que existe menos software de protección.

Los antivirus que existen para el móvil fallan, pero además existen otro tipo de vulnerabilidades frente a los que estamos totalmente vendidos, sin sistemas de detección como los que pueda haber en un ordenador normal. 

Fallos en las aplicaciones, en el propio sistema, y a la hora de conectarse a redes WiFi que hayan sido suplantadas.

Lo mejor que puedes hacer es cifrar tus datos en el móvil por si alguna vez se te pierde, pero de cualquier forma, asume que los móviles y tablets, de momento, no son seguros.

SOLUCIONES PARA PARANOICOS

¿Me pueden ver y grabar por mi webcam? ¿y oírme por el micrófono?

Si.

Para la webcam del portátil, ponle un trozo de esparadrapo o de cinta aislante.

Para la webcam del ordenador de sobremesa, basta con desconectarla.

El micrófono del portátil ya es un poco más complicado pero no imposible: Botón inicio – Panel de Control – Sistema – Administrador de Dispositivos – y ahí buscar el micrófono que en cada portátil es distinto. Con el botón derecho desinstalar o deshabilitar.

Ojo que a veces se vuelve a instalar o habilitar (que son cosas distintas) automáticamente, por ejemplo en reinicios por las bravas o en actualizaciones del sistema operativo.

Uso de internet

Dos redes. Una conectada a internet como lo hace todo el mundo, y otra, la buena, con conexión puntual a través de un puente de red, o de un móvil libre nokia básico de prepago, con una tarjetilla de operadora africana, rusa o china y comprada anónimamente en una zona turística.

Lo de identificarse para comprar un prepago, se hace solo en España y otras dictaduras de nuestro entorno. Ah, y las tarjetillas no se recargan, sino que se tiran cuando se les acaba el saldo y se utilizan nuevas tarjetillas o se recargan con poco saldo, para regalar a inmigrantes y así desconcertar a quienes estén haciendo escuchas ilegales.

Mejor aún, si se compran en el extranjero. Las de los locutorios están bien, pero mejor no correr riesgos.

No tener nada importante en el ordenador

Si los falsos policías vienen a mi oficina con una falsa orden de entrada y registro, ya pueden llevarse todos los ordenadores si quieren, que ahí no hay nada importante, y lo importante está cifrado.

¿Y todo esto que recomiendas es legal?

No sólo es legal sino que además es obligatorio, según la normativa de protección de datos.

Si un falso policía se hace con los datos de tus clientes y los difunde, te cae una multa de la que dudo puedas recuperarte.

Lo más probable, es que tengas que cerrar la empresa.

¿Qué hago si creo que tengo un troyano de esos?

Salvaguarda los datos más importantes y formatea ahora mismo tu ordenador, pero ya.

La entrada CONSEJOS PARA EVITAR TROYANOS se publicó primero en Gestiona Abogados.

La policía puede usar un software llamado popularmente «troyano policial» examinando en remoto los datos incluidos en un dispositivo ajeno, y sin que su usuario o titular se entere. Esta presentación explica los detalles

La reforma de la Ley de Enjuiciamiento Criminal del 2015 introdujo una serie de medidas que permiten la instalación de software, en ordenadores de sujetos sospechosos de ciertos delitos –por parte de la policía y previa autorización judicial-, y ello con el fin de poder hacer un seguimiento remoto de su actividad (artículo 588Enlace añadido por la extensión vLex de la LecrimEnlace añadido por la extensión vLex).

Con orden judicial

Un juez puede acordar de oficio, o  a instancia del Ministerio Fiscal o de la Policía Judicial, la utilización de identificación y códigos, así como la instalación de un software, que permitan, de forma remota y telemática, el examen a distancia y sin conocimiento del titular o usuario del contenido de un ordenador.

Sin orden judicial

Pero es que además, y “en caso de urgencia, cuando las investigaciones se realicen para la averiguación de delitos relacionados con la actuación de bandas armadas o elementos terroristas y existan razones fundadas que hagan imprescindible la medida podrá ordenarla el Ministro del Interior o, en su defecto, el Secretario de Estado de Seguridad”.

El problema no es que la policía meta un troyano en tu ordenador, siempre que lo haga con orden judicial, y se limite exclusivamente a espiarte, y no haga nada más que lo que se le ordene por el juzgado que corresponda.

Lo malo son los falsos policías que te meten un troyano, amparados en una falsa orden judicial.

¿Quién puede poner un troyano en tu ordenador?

• Policías de los de verdad que actúan por su cuenta y sin orden de sus superiores o del juzgado, llevados por enemistad o ganas de protagonismo.
• Policías de los de verdad que meten el troyano ANTES de tener la orden judicial.
• Detectives privados normalmente ilegales, que actúan también al margen de la ley.
• Espías y mafiosos, contratados para apoderarse de lo que tengas en tu ordenador o en tu móvil. En este grupo están también los que te infectan con el troyano de la policía, y te piden 100 euros por eliminarlo.

Delincuentes todos ellos pero que por los motivos que sean, te rondan y pretenden vulnerar tu derecho a la intimidad.

¿Pueden meter estos falsos policías algo en mi ordenador o en mi móvil?

Por supuesto.

Pueden hacer exactamente lo mismo que alguien sentado frente a él.

Algo ilegal, algo que te incrimine, enviar correos desde tu cuenta, alojar imágenes de porno con menores… el único límite es su imaginación y las ganas de hacerte daño.

Obviamente, todo lo que hagan será posteriormente utilizado en tu contra.

A ver cómo demuestras que no has hecho algo que no has hecho.

Se llaman pruebas diabólicas.

Pagarán justos por pecadores

Veamos ahora el mundo de la seguridad informática desde el punto de vista del potencial delito que se pueda estar cometiendo.

Un spammer no utiliza su ordenador personal y su dirección IP para enviar spam, o distribuir troyanos.

No, esto no funciona así, porque entre otras cosas, los ‘malos’ no son tontos, y haciéndolo así se pondrían en el punto de mira de cualquier investigación.

Si yo soy cibercriminal y quiero cometer delitos, me creo una red de ordenadores zombis para cometer el delito, que no es ni más ni menos que infectar primero un ordenador de forma que quede a mis órdenes y remotamente cometer mis fechorías a través de este, quedando mi identidad oculta y prácticamente impune.

El usuario que tiene su ordenador ‘rehén’ ni se entera de que este está llevando a cabo acciones maliciosas, siendo sin embargo cómplice de un delito.

Imaginemos el caso práctico de la distribución de pornografía infantil, por ejemplo: el ordenador desde el que estoy escribiendo este post podría ser parte de una red de bots y estar enviando pornografía a diestro y siniestro.

Si fuera parte de una investigación policial, probablemente acabaría yendo a la cárcel o pagando una multa considerable, sin comerlo ni beberlo.

¿Y qué pasa con el antivirus?

Los antivirus suelen ir a remolque de las nuevas creaciones.

Pueden pasar lustros antes que las empresas de antivirus lo detecten.

Por otro lado, la mayoría de los programas de control remoto o administración remota, no son detectados como programas maliciosos. Basta con modificar uno de estos, para tener un eficaz troyano indetectable.

¿Y qué pasa con la normativa de protección de datos?

Como responsable de los datos que almacenas en tus equipos informáticos, tienes la obligación legal de adoptar todas las medidas técnicas y organizativas de seguridad necesarias para garantizar la seguridad de la información, evitando con ello su pérdida, alteración, accesos no autorizados, etc.  Es decir

-Respecto al Control de acceso 

1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 

2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 

3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 

4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 

5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.

-Respecto a la Identificación y autenticación 

1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 

2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 

3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 

4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.

Las medidas que he citado, son las medidas mínimas que tienes que aplicar siempre y en todo caso.

El de la Seguridad es uno de los principios básicos y esenciales de la normativa de protección de datos.

Por lo que si tuvieras un troyano, o la menor sospecha de que pudieras tenerlo, más te vale que, con carácter inmediato, procedas a su eliminación.

Grave intromisión en la intimidad

Estoy totalmente de acuerdo con la persecución de todo delito informático, con la detención de sus culpables y con la imposición de las penas que correspondan, pero estas cuestiones llevan inherentes una clara intromisión en la intimidad de los usuarios.

Es de ver que también los operadores de telecomunicaciones quedan:

«obligados a prestar al juez, al Ministerio Fiscal y a los agentes de Policía Judicial […] la asistencia y colaboración precisa para facilitar el cumplimiento de los autos de intervención de las telecomunicaciones».

Además, me llama la atención el 588 septies b párrafo segundo, que aduce que

«las autoridades podrán ordenar a cualquier persona que tenga conocimientos de seguridad informática, a que colabore con la Justicia para vulnerar cualquier sistema informático con el fin de obtener información procesal».

En otras palabras, el Estado puede obligar a cualquier persona, a poner sus conocimientos al servicio de la investigación judicial. Estaríamos hablando de una especie de ”reclutamiento forzoso de hackers por parte del Estado”.

En conclusión, no dudamos de que el fin sea legítimo y que esté muy bien perseguir a los ciberdelincuentes.

De hecho, aplaudimos cualquier medida que vaya encaminada a la protección de los ciudadanos, pero no estamos de acuerdo con los medios propuestos.

Por ello, en el próximo post, te daré unos cuantos consejos para proteger tu sistema frente a un troyano.

La entrada TROYANOS EN TU ORDENADOR se publicó primero en Gestiona Abogados.

Según el art. 4 del Reglamento General de Protección de Datos, una brecha de seguridad puede ser definida como 

“aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.”

Debemos señalar que, todas las brechas de datos personales son incidentes de seguridad, pero no todos los incidentes de seguridad son necesariamente brechas de datos personales, siendo éstas, en las que el incidente de seguridad pueda comprometer al del responsable de tratamiento de datos personales.

Fases para la gestión de brechas de seguridad

A continuación vamos a resumir las fases que el responsable de tratamiento debe tener en cuenta para la correcta gestión de las brechas de seguridad.

1º Fase de preparación para responder ante las brechas de seguridad.

Se realizará un análisis de riesgo o evaluación de impacto, en caso de ser necesario, para aplicar las medidas técnicas y organizativas adecuadas, para poder afrontar un incidente de seguridad y tener una efectiva capacidad de respuesta.

Se definirán los planes de respuesta a los incidentes de seguridad.

2º Fase de detección e identificación de las brechas de seguridad.

El responsable o encargado del tratamiento detectarán el incumplimiento o vulneración de las medidas de seguridad a que da lugar la brecha de seguridad.

La identificación del incidente de seguridad se hará sobre el análisis de las siguientes fuentes de información:

• Internas: medios internos de la empresa para mantener la seguridad.
• Externas: comunicación del incidente por terceras personas.

3º Fase de Registro de las brechas de seguridad.

La entidad debe mantener un registro de incidencias debidamente documentado, que contenga:

• Tipo de incidente.
• Descripción del incidente.
• Nivel de Gravedad.
• Medidas adoptadas para su resolución.

4º Fase de Clasificación y Valoración

Determinar la clasificación de la brecha de seguridad que podrá ser:

• Confidencialidad.
• Integridad.
• Disponibilidad.

Valorar la peligrosidad del incidente y la magnitud del impacto en los individuos.

Recurriremos para ello al análisis de riesgos o evaluación de impacto realizado previamente.

Para clasificar la peligrosidad de un incidente seguiremos las directrices proporcionadas por la AEPD:

• La categoría o nivel de criticidad respecto a la seguridad de los sistemas afectados: (Crítico, Muy Alto, Alto, Medio, Bajo).
• Naturaleza, sensibilidad y categorías de los datos personales afectados: (Datos de escaso riesgo, Datos de comportamiento, Datos financieros, Datos sensibles).
• Datos legibles/ilegibles: Datos protegidos mediante algún sistema de seudonimización.
• Volumen de datos personales: expresados en cantidad (registros, ficheros, documentos) y/o en periodos de tiempo (una semana, un año, etc.).
• Facilidad de identificación de individuos: facilidad con la que se puede deducir la identidad de los individuos a partir de los datos involucrados en la brecha.
• Severidad de las consecuencias para los individuos: (Baja, Media, Alta, Muy Alta).
• Características especiales de los individuos: Si afectan a individuos con características especiales o con necesidades especiales.
• Número de individuos afectados: Dentro de una escala determinada, por ejemplo, más de 100 individuos.
• Características especiales del responsable del tratamiento: En base a la actividad de la entidad.
• El perfil de los usuarios afectados, su posición en la estructura organizativa de la entidad y, en su consecuencia, sus privilegios de acceso a información sensible o confidencial.
• El número y tipología de los sistemas afectados.
• El impacto que la brecha puede tener en la organización: (Bajo, Medio, Alto).

5º Fase de notificación

La autoridad competente para recibir las notificaciones de las brechas de seguridad que sucedan en las entidades será la autoridad de control nacional de protección de datos, que en el caso de España es la Agencia Española de Protección de Datos.

¿Quién debe notificar las brechas de seguridad?

El encargado de notificarlas será el Responsable de Seguridad, o si no contamos en nuestra entidad con esa figura, la responsabilidad recaerá en el representante del Responsable del Tratamiento.

¿Y si mi empresa tiene DPO? En este caso será el Delegado de Protección de Datos el encargado de la notificación.

Plazo

• ¿Existe un plazo determinado?
• Sí, se dispone de 72 horas para notificar la violación de seguridad ante la AEPD.
• El plazo comienza en cuanto tenemos constancia del problema de seguridad, por lo que dispondremos de 72 horas para realizar todos los pasos anteriores.

Contenido mínimo de la notificación

• La naturaleza de la violación, categorías de datos y de interesados afectados.
• medidas impuestas por el responsable para resolver esa quiebra.
• si procede, las medidas adoptadas para reducir los posibles efectos negativos sobre los interesados.

Registro Electrónico

• La AEPD dispone de un registro,  mediante el cual electrónicamente, y siguiendo unos sencillos pasos, se puede notificar ante la misma la brecha de seguridad.
• En necesario, no obstante, disponer de certificado electrónico para poder acceder a dicho registro.

Notificar a las personas afectadas la brecha de seguridad

Con el nuevo principio de accountabilty, la normativa también exige que se comunique al afectado (a nuestro cliente), sin dilación indebida, la brecha de seguridad.

No obstante, en aras de no preocupar al interesado sin razón, el RGPD, en su artículo 34, enuncia una serie de casos en los cuales no será obligada esta comunicación:

• El responsable hubiera adoptado medidas técnicas u organizativas apropiadas antes de la violación de seguridad, en particular las medidas que hagan ininteligibles los datos para terceros, como seria el cifrado.
• Cuando el responsable haya tomado con posterioridad a la quiebra medidas técnicas que aseguren que ya no hay posibilidad de que el alto riesgo se materialice.
• Cuando la notificación implique un esfuerzo desproporcionado, debiendo en estos casos reemplazarse por medidas alternativas como puede ser una comunicación publica.

¿Puedo usar la misma notificación para la AEPD y para el interesado?

• No.
• La AEPD, es la mayor autoridad de protección de datos en España y te pedirá una serie de fórmulas a la hora de redactar el escrito de notificación, así como una información más exhaustiva.
• A los afectados deberé dirigirme de una forma menos oscura para ellos, utilizando términos claros y fácil entendibles, y explicándoles en que les puede afectar esta brecha y como la estamos solucionando.

¿Tengo que notificar siempre la brecha de seguridad?

Sí y no.

No hará falta comunicar la brecha de seguridad cuando no suponga riesgos para los derechos y libertades de las personas físicas.

Los casos donde no habría obligación de comunicar estas brechas son:

• Cuando el responsable del tratamiento haya tomado las medidas oportunas para una protección efectiva, como por ejemplo, habiendo cifrado los datos personales. Siempre que estas medidas sean previas a la brecha de seguridad
• Cuando el responsable del tratamiento haya tomado las medidas oportunas de protección -tras la producción de la brecha de seguridad- con la intención de causar el mínimo daño posible a los afectados
• Y cuando de la realización de esas comunicaciones se deduzca que la empresa puede verse afectada de forma organizativa.

La entrada BRECHAS DE SEGURIDAD se publicó primero en Gestiona Abogados.

Un sistema domótico recoge información de unos sensores, que han sido instalados en casa, para después procesarla y emitir órdenes.

La casa inteligente acciona y toma decisiones por sí misma, eso sí, teniendo siempre en consideración tus costumbres y estilo de vida.

Ejemplos de domótica en el hogar

#Abrir y cerrar puertas

Gracias a la tecnología domótica podremos hacer que se abran o cierren las puertas,  con tan solo acercarnos. En algunos casos se pueden usar botones de proximidad, no se tocan y sirve para abrir la puerta.

#Control de calefacción y climatización

No importa que sea invierno o verano.  Tu casa estará climatizada como a ti más te guste.

Otra comodidad es la fijación de temperaturas de confort diferenciadas en las distintas habitaciones en función de la permanencia de personas y de las necesidades/preferencias de cada una.

#Conectar y desconectar alarmas de seguridad

Al salir de casa automáticamente se conectará la alarma, y se activará un mensaje/llamada automática a la empresa de seguridad en caso de intrusión o tentativo de ingreso forzado.

#Instalación de controles de acceso digitales

Hoy en día existe la posibilidad de instalar cerraduras electrónicas que permiten controlar cuántas veces se ha abierto la puerta, comprobar si está bien cerrada (incluso estando lejos de casa) o proporcionar acceso a cualquier persona en un momento dado (por ejemplo, si un vecino tiene que acercarse a dejarnos algo y no hay nadie en casa o si alguien se ha olvidado las claves).

 #Abrir y cerrar ventanas

Según nuestras necesidades podemos ordenar con la voz, o a través de un dispositivo inteligente,  el abrir y cerrar ventanas.

#Alertas de caída o accidentes

Útil sobre todo por las personas mayores, la Smart home nos enviará un mensaje en el caso que una persona se haya caído en la casa; al mismo tiempo podrá venir activada la llamada automática a los servicios de emergencias

#Encender y apagar todas las luces de la vivienda

Si no te acuerdas haber apagado todas las luces al salir de casa, una Smart home lo detecta,  y lo hará por ti.

Además, la potencia de las luces se puede regular en función de la iluminación externa para tener el máximo confort y ahorro.

#Encender y apagar las luces exteriores

Las luces del jardín, o del garaje, pueden encenderse al detectar presencia, o cuando no haya bastante luz,  y apagarse cuando queramos,  o no haya presencia.

#Baños automatizados

La puerta que abre y cierra de manera automática, el lavabo no tiene grifo manual, basta con un sensor de movimiento para que se active el agua durante el tiempo que lo estás usando.

#Encender y apagar cualquier electrodoméstico del hogar

Siempre que sea un electrodoméstico inteligente, podrás programarlo para que,  según tus horarios,  se ponga en función o se apague.

#Portero inteligente

Puedes desviar las llamadas del portero automático al teléfono móvil cuando no hay nadie en la vivienda,  y así,  estar al tanto de lo que ocurre.

#Subir y bajar persianas

Según la luz exterior,  y los momentos del día,  para que ahorremos electricidad.

#Plegar o desplegar toldos

Imagina por ejemplo que estás durmiendo y de repente empieza a llover o se gira un fuerte viento. El sistema inteligente, al detectarlo, cerrará automáticamente tus toldos.

#Control para alertas

A veces puede pasar que dejes un fogón encendido, la nevera abierta… el sistema lo detecta y nos avisará.

#Sistema contra incendios, inundaciones y gas

Como el ejemplo de antes, si por alguna razón hubiese una fuga de gas o un malfuncionamiento de algún aparato, nuestra casa inteligente nos lo comunicaría y,  tal vez,  se ponga directamente en contacto con el servicio de mantenimiento.

#Creación de situaciones deseadas

Apretando un botón se crea la situación que deseamos: por ejemplo si quisiéramos ver una película, dándole a un botón se podrías encender el Home cinema, las persianas se bajan, las luces disminuyen.

# Audio y video

Podrás tener un equipo de audio y sonido de alta calidad. Podrás activarlo con tu voz o mediante dispositivo Smart, y hasta existen sistemas discretos y minimalistas que solo se muestran mientras que están en uso.
Además,  si tienes un sistema audio instalado en toda la casa, podrás escuchar música diferente, según la estancia, o excluir aquellas donde no quiere que se escuche.

#Vigilancia inteligente

Se pueden vigilar, mediante las cámaras, las habitaciones de la casa cuando no estamos; además y aun estando en casa, podemos comprobar otras habitaciones y ver que hacen los niños, o nuestros animales domésticos.

#Apagado del aire acondicionado o de la calefacción si se detecta la apertura de ventanas

#Riego del jardín

Los sensores sabrán si habíamos programado el riego, y en caso de lluvia, detendrán la programación.

#Gestión automática de situaciones de peligro

Podemos programar las acciones que deseamos que se activen en caso de encontrarnos en una situación de peligro. ¿Un ejemplo? activación de todas las luces, llamada a un teléfono. Otra alternativa: al saltar la alarma podemos hacer que se enciendan todas las luces o que parpadeen.

Eso sí, tienes que tenerlo claro, para que una lavadora, un lavavajillas o un frigorífico puedan ser domóticos, tiene que existir la posibilidad de conexión a la red wifi de tu casa.

PROBLEMAS DE LA DOMÓTICA

Hemos cambiado televisores, minicadenas y reproductores de vídeo por persianas, iluminación y lavadoras.

El desarrollo técnico ha permitido que, a través del internet de las cosas (IoT por sus siglas en inglés), casi todo pueda conectarse a la red, pero falta bastante para que vivamos en auténticas casas inteligentes.

Hay que tener presente que cuando nos referimos al Internet de las cosas (IoT) aplicado a la domótica nos referimos a una serie de:

• detectores, termostatos y sensores del hogar conectados a Internet;
• dispositivos conectados que, cuando reciben una señal, activan el programa informático que les permite ejecutar la orden (por ejemplo, cuando, a través del smartphone, mandamos una orden a la aspiradora para que se ponga en marcha).

Desde el punto de vista del usuario, hay dos cuestiones importantes que cabe tener en cuenta: de un lado, la privacidad y protección de datos y, de otro lado, la (in)seguridad informática.

Privacidad y protección de datos

Por lo que respecta a la privacidad y protección de datos, hemos de partir de que nos encontramos en una época en que, como muchos dicen, “el nuevo petróleo son los datos personales”.

Esto es así porque a través de la recopilación de datos es posible efectuar perfiles de los usuarios, revelando detalles del modo de vida y de los hábitos personales y familiares, lo que es utilizado por las empresas para sacar nuevos productos.

Aunque las empresas almacenen los datos procedentes de los dispositivos domóticos de forma masiva, sin identificar directamente a la persona, cabe tener en cuenta que los datos proceden de un determinado dispositivo al cual, consecuentemente, están vinculados dichos datos, siendo “extraño” que el usuario no se haya identificado en dicho dispositivo, máxime si realiza un control remoto del mismo.

Observación habitual y sistemática

En este sentido, cabe recordar que el Grupo del Artículo 29, en el documento sobre las “Directrices sobre los delegados de protección de datos”, ha citado como ejemplo de actividad que puede constituir una observación habitual y sistemática de interesados, la domótica (entre otras).

Por tanto, el usuario de dispositivos domóticos tendrá el derecho a ser informado, entre otros extremos:

• sobre la utilización de los datos recopilados por el dispositivo,
• de la finalidad de ese tratamiento,
• la base jurídica que legitima el mismo, la cual, si pensamos en la elaboración de perfiles, difícilmente no deberá ser el consentimiento expreso del interesado mediante una manifestación de voluntad libre, específica, informada e inequívoca, por medio de una declaración o clara acción afirmativa.

Claves para respetar la privacidad

Los datos resultantes de la domótica deberían estar seudonimizados, lo que, a grandes rasgos, implica la sustitución de un atributo por otro en un registro.

El usuario tiene derecho a que la información que permitiría la asociación entre ambos atributos esté protegida por medidas técnicas y organizativas suficientes y adecuadas, de modo que, en la medida de lo posible, se impida su identificación.

Los usuarios de estos dispositivos tendrán, respecto al responsable del tratamiento, los derechos de acceso, rectificación, supresión, limitación de tratamiento, portabilidad y oposición, así como el derecho a ser informados en caso de producirse una quiebra de seguridad que entrañe un alto riesgo para sus derechos o libertades.

Los derechos de los usuarios son obligaciones para el responsable del tratamiento.

La (in)seguridad informática en la domótica

Si atendemos ahora a la segunda de las cuestiones a tratar, la relativa a la (in)seguridad informática, hay dos aspectos principales a tener en cuenta:

• las empresas priorizan la rapidez en sacar al mercado, antes que la competencia, un determinado producto (tecnológico, en nuestro caso), dejando en un “segundo plano” las cuestiones relativas a la ciberseguridad;
• estamos hablando de dispositivos conectados entre sí

Imaginemos que por una vulnerabilidad en el dispositivo domótico,  se puede facilitar a un ciberdelincuente el acceso:

• a la contraseña de la red Wi-Fi;
• a datos bancarios, si se han asociado al dispositivo;
• al sistema de seguridad, anulándolo;
• a nuestro hogar, si cuenta con cerraduras inteligentes;
• a nuestra intimidad, si se trata de dispositivos habilitados para captar audio y/o imagen…

Conclusiones

Evidentemente, nadie puede asegurar una protección infalible ante posibles ataques en la red y una smart home no deja de estar conectada a internet.

No solo está en juego que alguien ajeno a nosotros haga de nuestra casa un infierno,  al ponerla a mucha más temperatura,  o decida que nos quedemos sin luz.

Los datos personales que nos piden en las apps forman parte de estas vulnerabilidades, así como todos los patrones de comportamiento que recaben para tener el hogar a nuestro gusto automáticamente.

Pese a todo, el IoT puede funcionar sin problemas con conexiones locales, por lo que con una instalación que no requiera de un servidor externo estaría menos expuesto a cibercriminales.

Como usuarios de dispositivos dómoticos, deberíamos,

• por un lado, exigir a los fabricantes que cumplan con las obligaciones que el Reglamento General de Protección de Datos les impone (lo que, a su vez, si se hace bien, debería mejorar el tema de la (in)seguridad informática ya que, de acuerdo con la citada norma, el responsable ha de atender al principio de la protección de datos desde el diseño y por defecto. 
• y, por otro lado, no deberíamos de conformarnos con la “seguridad por defecto” que nos ofrece el fabricante, sino que tendríamos que adoptar medidas activas para autoprotegernos, preferiblemente asesorados por un experto en la materia y, en caso de no ser posible, al menos, procurando mantener el dispositivo siempre actualizado y modificando las contraseñas de forma regular.

La entrada DOMÓTICA. Las casas inteligentes se publicó primero en Gestiona Abogados.

Las sanciones se imponen al responsable del tratamiento.

Si hacemos un análisis de las brechas de seguridad, que se han conocido desde el 25 de mayo, veremos que un gran número de ellas, han tenido su origen en el proveedor que trataba los datos.

En el momento de distribuir las responsabilidades, veremos que, el incumplimiento de las obligaciones del proveedor encargado del tratamiento, puede afectar al responsable del tratamiento que ha contratado sus servicios.

El responsable del tratamiento tiene la obligación de contratar proveedores que ofrezcan garantía suficientes (culpa in eligendo) y controlar su actividad, llegando a auditarlos en el caso de los proveedores críticos (culpa in vigilando).

En la práctica, la empresa responsable del tratamiento, será la que tendrá que hacer frente a las reclamaciones de los interesados, por ser la que tiene legitimación pasiva en virtud del contrato suscrito con ellos.

EL ENCARGADO, COMO RESPONSABLE DEL INCUMPLIMIENTO

El problema surge cuando el responsable del tratamiento quiere repercutir al encargado del tratamiento las sanciones de la AEPD y las indemnizaciones pagadas a los interesados,

Puede encontrar limitaciones de responsabilidad en el contrato, o limitaciones de cobertura en la póliza de seguros del proveedor.

La empresa responsable del tratamiento puede verse entonces atrapada, entre las reclamaciones de los perjudicados, y las limitaciones de responsabilidad del proveedor que ha incumplido el RGPD y ha causado el perjuicio a los interesados.

PROBLEMAS PARA DERIVAR ESA RESPONSABILIDAD

EL CONTRATO

La primera barrera, es decir, la limitación de responsabilidad por vía contractual puede ser de tres tipos:

1. Cuantitativa: establecida en una cantidad determinada o en el resultado de multiplicar el coste del servicio por una cifra.
2. Cualitativa: basada en la exclusión de unos supuestos determinados de responsabilidad.
3. Indirecta: derivada del incumplimiento de otros requisitos o provocada de facto por la insolvencia del proveedor.

LIMITACIONES DE LA PÓLIZA DE SEGURO

En el caso de que no existan limitaciones contractuales, o éstas sean anuladas tras una negociación con el proveedor o por vía judicial, aparece la segunda barrera, consistente en las limitaciones de la póliza de seguros de responsabilidad civil o en la de ciberriesgo.

La limitación de responsabilidad en este caso también puede ser de tres tipos:

1. Cualitativa: supuestos excluidos de la cobertura.
2. Cuantitativa individual: límite por siniestro.
3. Cuantitativa anual: límite por la suma anual de siniestros.

Un ejemplo, de supuesto excluido de la cobertura del seguro de responsabilidad civil, son las sanciones de la AEPD, que acostumbran a formar parte de la cobertura del seguro de ciberriesgo.

SOLVENCIA ECONÓMICA DEL PROVEEDOR

La tercera barrera sería la solvencia económica del proveedor.

«CURARSE EN SALUD»

El análisis de la existencia, y la dimensión, de las tres barreras que pueden impedir la repercusión al proveedor de las sanciones impuestas por la AEPD, y de las cantidades pagadas a los interesados en concepto de indemnización por daños y perjuicios, debe hacerse en la fase de selección y homologación de proveedores, es decir, en la fase previa a la contratación.

Si la empresa no hace sus deberes en esa fase previa, tendrá que hacerlos en un momento en que puede ser demasiado tarde:

1. Durante la fase de negociación del contrato con el proveedor seleccionado.
2. Durante la vigencia del contrato, tras una auditoría contractual, o de seguros, que evidencia la existencia de limitaciones a la responsabilidad.
3. Tras la brecha de seguridad o el incidente o incumplimiento que ha causado el perjuicio, negociando una distribución adecuada de responsabilidades, en función del nivel de implicación en las causas del incidente, o por vía judicial.

Una vez constatado el papel de los proveedores en las brechas de seguridad, y en las infracciones del RGPD que se han producido hasta el momento, las empresas responsables del tratamiento deberán revisar su metodología de:

• -selección
• -homologación
• -contratación
• – y control continuado de los proveedores que traten datos personales

Y todo ello con el fin de introducir medidas, que permitan una distribución adecuada de las responsabilidades.

Estas medidas deberán incluir una revisión:

• -del contrato.
• -de la cobertura del seguro
• -de la solvencia del proveedor

Y todo ello con el fin de identificar, gestionar y tener en cuenta, en el proceso de toma de decisiones a aplicar, en la fase de selección, las limitaciones que puedan existir a la responsabilidad del proveedor.

La entrada LAS SANCIONES SON PARA EL RESPONSABLE se publicó primero en Gestiona Abogados.

Políticas de respuesta a brechas de seguridad

Los sistemas de detección de intrusos de red (NIDS) supervisan de forma continua y pasiva el tráfico de la red en busca de un comportamiento que parezca ilícito o anómalo y lo marcan para su revisión.

Los NIDS no sólo bloquean ese tráfico, sino que también recopilan información sobre él y alertan a los administradores de red.

Pero a pesar de todo esto, las brechas de seguridad siguen ocurriendo.

Es por eso que es importante tener un plan de respuesta ante una violación de datos.

Un sistema sólido contra una violación garantizará que:

• tienes los recursos preparados
• es fácil seguir un conjunto de instrucciones para sellar la violación
• recibes asistencia legal, en caso de que sea necesario
• tienes pólizas de seguro
• tienes planes de recuperación de datos
• la política de notificaciones, ¿qué y a quién se comunicarán las brechas?

Por ello es de suma importancia la implantación de una política de respuesta a las brechas de seguridad dirigida a establecer:

• los supuestos desencadenantes
• las partes interesadas
• los plazos de respuesta,
• las comunicaciones con los afectados y autoridades de control.

Cuando se enfrenta a un problema de seguridad, cualquier organización debería intentar tomar las siguientes medidas:

Comprende lo que ha pasado.

Consulta con tus principales colaboradores de tu departamento de IT para evaluar la situación y entender qué datos se han visto comprometidos y cuál es el alcance de la brecha de seguridad.

Decide el plan que hay que invocar.

Cuando ya tienes todos los detalles del problema, trabaja con tu equipo de IT y comunicaciones para decidir cuál es el plan que debe ser invocado.

Entre las acciones a llevar a cabo, las siguientes pueden ser algunas de las que deberían estar en cualquier plan:

1.Desconecta tus sistemas de la red.

Si un intruso ha accedido, lo más probable es que sea a través de la red.

Tu prioridad número uno es detener daños adicionales y para ello lo mejor es desconectar los sistemas de la red.

El método de desconexión depende de la ubicación del servidor.

Para instalaciones in house, literalmente debes desenchufarlo todo.

Pero si eres una de las muchas organizaciones que tienen sus datos alojados en la nube, lo que necesitas es moverlo a una red aislada y desactivarlo.

¿Por qué desconectar?

Mientras que buscas y corriges la vulnerabilidad que se produjo con la intrusión, por ahora necesitas simplemente cerrar las puertas para que ninguna información salga sin tu permiso.

Si el servidor tiene datos críticos para el funcionamiento de la empresa, la cosa es un poco más complicada.

Por eso siempre es mejor separar funciones.

2.Elimina todo rastro del atacante.

Un hacker puede haber estropeado archivos, implantado datos o infringido otros daños.

La ruta más rápida para deshacerse de todo lo que haya hecho es restaurar una copia de seguridad anterior que esté limpia.

Elige el último momento conocido en el que no había rastro del atacante y restaura los datos y el software desde allí.

3.Diagnóstica los sistemas comprometidos.

Ahora que ya está todo en funcionamiento de nuevo, es el momento de averiguar quién entró, dónde, cómo, qué información se puede haber llevado y cuáles de tus usuarios pueden verse afectados.

Por supuesto, debes revisar todos los logs para intentar ver dónde algo ha funcionado mal.

Examina qué ficheros fueron afectados y cuándo, chequea si hubo clientes afectados mediante el envío de un ataque de phising.

Pero ten en cuenta que si el sistema estaba comprometido, los logs pueden no ser fiables ya que también pueden haber sido falsificados.

4.Notifica a los usuarios afectados.

No solo estás obligado a  avisar a todos los interesados cuyos datos pueden haber sido afectados por una brecha de seguridad, sino que hacerlo puede ayudar a detener el problema de tener una espiral fuera de control.

La mejor estrategia para comunicar malas noticias es ser transparente.

En el momento en el que sepas lo que sucedió informa a los usuarios y haz recomendaciones claras sobre las acciones que deben de tomar.

5.Toma acciones correctivas.

Cuando hayas sellado el sistema y solucionado todos los problemas, toma medidas para asegurar que un robo similar nunca vuelve a suceder.

Una de las principales formas de acceso de los intrusos es a través de vulnerabilidades conocidas en piezas de software.

Asegúrate de aplicar todos los parches y actualizaciones con diligencia.

Recuerda a los usuarios internos las políticas de seguridad, como por ejemplo, no compartir la contraseña.

Considera la posibilidad de reestructurar tu configuración para que sea más difícil que un intruso pueda volver a entrar.

Almacena los ficheros logs en un servidor remoto para que incluso si los hackers entran, no puedan falsificar la evidencia de sus acciones.

6.Comunícalo a la dirección de la empresa.

Una vez el problema haya sido  evaluado y puesto en marcha el plan, comunica la situación al equipo de dirección de la empresa. CEO, CTO, CMO, CFO, etc.

Querrán tener una visión completa de cómo y porqué sucedió, los clientes que han sido afectados, así como las medidas y las acciones que se han tomado en consideración.

7.Evalúa las secuelas.

Un análisis posterior al problema es tan importante como cualquier otro proceso en caso de crisis.

Entender cómo y porqué la seguridad de tu empresa ha sido violada, el punto exacto en el cual los datos fueron comprometidos, y el impacto en el negocio a corto plazo y largo plazo, son consideraciones importantes que debes entender.

En el futuro, este análisis podría servirte para averiguar si alguno de los mayores impactos en tu negocio podría ser disminuido, o incluso eliminado, si vuelve a ocurrir algo similar.

La entrada PROTECCIÓN DE DATOS. POLÍTICAS (IV) se publicó primero en Gestiona Abogados.

Gestiona Abogados

Para continuar con los protocolos que acrediten el cumplimiento del principio de responsabilidad activa, y poder demostrarlo, hoy veremos el protocolo de gestión y notificación de las brechas o violaciones de seguridad.

El RGPD establece que una brecha de seguridad es “toda violación que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos”.

Asimismo el Reglamento General de Protección de Datos enuncia en los artículos 33 y 34 que las brechas de seguridad deben ser notificadas a la autoridad de control cuando la misma constituya un riesgo para los derechos y las libertades de las personas físicas.

Además, deberemos notificarla en un plazo máximo de 72 horas a contar desde que tengamos conocimiento de la brecha.

Establezcamos por tanto el protocolo de hoy en relación a los siguientes puntos:

1. Comunicación interna en la organización: es fundamental establecer un procedimiento para dar instrucciones al personal sobre cómo deberán proceder en el caso de que detecten una violación de seguridad, y a quién deberán notificarlo internamente (Responsable de Seguridad/ Delegado de Protección de Datos). Es recomendable contar con un modelo de notificación interna a disposición de los empleados, para que resulte más sencilla (y trazable) la notificación interna que realicen.
2. Comunicación a la Agencia Española de Protección de Datos: se propone detallar en el protocolo el procedimiento de notificación e incluir el enlace del sitio web de la AEPD a través de cual se iniciará el procedimiento.
3. Comunicación a los interesados: en el caso de que la violación de seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas, se les deberá informar a los interesados. A tal efecto, se recomienda contar con un modelo de notificación al interesado (cuando sea posible enviar dicha notificación uno a uno) y cuando no sea posible, el procedimiento de comunicación se realizará a través de entornos corporativos.
4. Trazabilidad y seguimiento: Asimismo, se recomienda incluir un apartado en el que, en su caso, se registre la violación de seguridad detectada y se gestione el seguimiento de la misma hasta su resolución.

Veamos cada uno de los pasos a seguir para la gestión de una brecha de seguridad

Procedimiento:

Apuntar en el registro interno la incidencia detectada

• El responsable del tratamiento debe llevar a cabo un registro en el cual se recojan el lugar, día y hora de detección de la violación de seguridad, así como también los sistemas, datos y equipos que se han visto afectados.
• Una vez resuelta la brecha se deberá también registrar la solución al problema.
• Si la entidad cuenta con Delegado de Protección de Datos será este el encargado de esta obligación.
• Averiguar si supone un riesgo para los derechos y libertades de los afectados

• ¡Este paso es clave!, ya que marca la diferencia en cuanto a si tengo que notificar el problema de seguridad a la autoridad de control o no.

¿Pero cómo saber si supone un riesgo? Pues pensemos en cada uno de los siguientes puntos:

Que pueda provocar daños y perjuicios físicos, materiales o inmateriales

• problemas de discriminación
• usurpación de identidad o fraude
• pérdidas financieras
• daño para la reputación
• pérdida de confidencialidad de datos sujetos al secreto profesional
• reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo

Que se pueda privar a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales ya que los datos personales tratados revelen

• el origen étnico o racial
• las opiniones políticas
• la religión o creencias filosóficas
• la militancia en sindicatos
• el tratamiento de datos genéticos
• datos relativos a la salud o datos sobre la vida sexual
• relativos a las condenas e infracciones penales o medidas de seguridad conexas.

En los casos en los que se evalúen aspectos personales

• en  particular el análisis o la predicción de aspectos referidos al rendimiento en el trabajo
• situación económica
• datos de salud
• preferencias o intereses personales
• fiabilidad o comportamiento, situación o movimientos, con el fin de crear o utilizar perfiles personales

En los casos en los que se traten datos personales de personas vulnerables, en particular niños

Por tanto si el problema de seguridad ha afectado a alguno de estos campos deberemos notificarlo a la AEPD.

Notificación de la brecha de seguridad

Gestiona Abogados

Sí el análisis del paso anterior nos ha llevado a la conclusión que la brecha afecta o puede suponer un riesgo para las personas físicas, no solo deberemos registrar dicha violación en el Registro también deberemos comunicarla.

La autoridad competente para recibir las notificaciones de las brechas de seguridad que sucedan en las entidades será la autoridad de control nacional de protección de datos, que en el caso de España es la Agencia Española de Protección de Datos.

¿Quién debe notificar las brechas de seguridad?

El encargado de notificarlas será el Responsable de Seguridad, o si no contamos en nuestra entidad con esa figura, la responsabilidad recaerá en el representante del Responsable del Tratamiento.

¿Y si mi empresa tiene DPO? En este caso será el Delegado de Protección de Datos el encargado de la notificación.

Plazo

• ¿Existe un plazo determinado?
• Sí, se dispone de 72 horas para notificar la violación de seguridad ante la AEPD.
• El plazo comienza en cuanto tenemos constancia del problema de seguridad, por lo que dispondremos de 72 horas para realizar todos los pasos anteriores.

Contenido mínimo de la notificación

• La naturalezade la violación, categorías de datos y de interesados afectados
• medidas impuestas por el responsable para resolver esa quiebra
• si procede, las medidas adoptadas para reducir los posibles efectos negativos sobre los interesados

Registro Electrónico

• La AEPD dispone de un registro mediante el cual electrónicamente, y siguiendo unos sencillos pasos se puede notificar ante la misma la brecha de seguridad.
• En necesario, no obstante, disponer de certificado electrónico para poder acceder a dicho registro.

Notificar a las personas afectadas la brecha de seguridad

Con el nuevo principio de accountabilty (o rendición de cuentas), la normativa también exige que se comunique al afectado (a nuestro cliente), sin dilación indebida.

No obstante, en aras de no preocupar al interesado sin razón, el RGPD, en su artículo 34, enuncia una serie de casos en los cuales no será obligada esta comunicación:

• El responsable hubiera adoptado medidas técnicas u organizativas apropiadas antes de la violación de seguridad, en particular las medidas que hagan ininteligibles los datos para terceros, como seria el cifrado.
• Cuando el responsable haya tomado con posterioridad a la quiebra medidas técnicas que aseguren que ya no hay posibilidad de que el alto riesgo se materialice.
• Cuando la notificación implique un esfuerzo desproporcionado, debiendo en estos casos reemplazarse por medidas alternativas como puede ser una comunicación publica.

Plan de actuación

Gestiona Abogados

Una vez que hemos comprobado que existe una brecha de seguridad y que ya la hayamos comunicado a quien corresponda. Debemos realizar una serie de actuaciones que nos van a servir para determinar si es necesario:

• contratación de un forense digital experto,
• adoptar medidas procesales,
• realizar un informe final sobre la brecha de seguridad y
• realizar un informe sobre cómo se va a producir el cierre de la brecha de seguridad.

Análisis de forense digital experto

En este documento se van a plasmar los hechos. Y estos informes van a tener importancia administrativa y judicial (si se da el caso).

Adoptar medidas procesales

Estas medidas nos sirvan para determinar el autor o persona responsable y para intentar conseguir la reparación del daño causado. Ahora bien, antes de iniciar acciones judiciales debemos valorar si con este procedimiento, el daño ocasionado aumenta (se considera que el perjuicio puede aumentar cuando, por ejemplo, se vea afectada la imagen de la empresa).

Informe final sobre la brecha de seguridad

Este documento debe contener toda la documentación relativa a la brecha de seguridad. Además, debe recoger un impacto final con el fin de que se facilite el estudio del incidente y que pueda servir para prevenir casos similares en un futuro.

Cierre de la brecha de seguridad

Tras la realización de todas las actuaciones anteriores se realiza el cierre de la brecha de seguridad.

A modo de resumen, es importante y necesario que las empresas tengan unas medidas para poder actuar en estos casos, activar sus protocolos y una vez que la situación esté controlada, se debe notificar a la autoridad de control (AEPD), pero nunca superando el plazo máximo establecido de 72 horas.

Respuesta a las brechas de seguridad

Responsabilidad proactiva

La mayoría de las acciones de respuesta a brechas de seguridad correrán a cargo de un equipo de respuesta a incidentes dentro del servicio de informática o del equipo de seguridad informática correspondiente, que podrá formar parte de la empresa o estar completamente externalizado.

Durante el proceso de respuesta se distinguen una serie de fases:

1. Contener el incidente,
2. Erradicar la situación generada por el incidente y
3. Acciones de recuperación oportunas.

Estas fases no están perfectamente diferenciadas y es habitual que haya cierto solapamiento entre las mismas.

Contener el incidente

• La contención del incidente proporciona tiempo para desarrollar una estrategia de respuesta a medida.
• Una parte esencial de la contención es la toma de decisiones rápidas como puede ser cerrar un sistema, aislarlo de la red, deshabilitar ciertas funciones, etc.
• Es una buena práctica que las empresas desarrollen políticas de actuación para la gestión de los incidentes en general y de los incidentes vinculados con datos personales en particular.

Erradicar la situación

• Tras la contención de un incidente, la erradicación puede ser necesaria para solventar determinados efectos del incidente de seguridad, como por ejemplo, eliminar un malware o desactivar cuentas de usuario vulneradas.
• Tras la aplicación de las medidas se debe verificar el correcto funcionamiento de éstas, confirmando su idoneidad para la erradicación del incidente. De ser así, se dará por terminada esta fase.
• Se deberán de tomar medidas que eviten o eliminen la posibilidad de que un incidente vuelva a producirse. En este sentido será necesario alimentar el plan de riesgos de la entidad afectada revisando si el mapa de riesgos contemplaba la amenaza que ha dio lugar a la brecha de seguridad y, en caso afirmativo, reevaluar las medidas de salvaguarda asociadas a fin de garantizar su efectividad.

Acciones de recuperación

Esta fase tiene como objetivo el restablecimiento del servicio en su totalidad, confirmando su funcionamiento normal y evitando en la medida de lo posible que sucedan nuevos incidentes basados en la misma causa.

Deben aplicarse acciones y controles como:

• Selección estrategia.Teniendo en cuenta el riesgo que quiera asumir la entidad así como la eficiencia y costes de las distintas opciones planteadas, se seleccionará la estrategia que deberá seguirse en el futuro.
• Implementación de medidas preventivas
• Revisar el análisis de riesgos y aplicar controles adicionales y periódicos para evitar futuros incidentes similares

¿Que ocurre si la brecha de seguridad se produce por parte del encargado de tratamiento?

• Deben notificar inmediatamente al responsable, es decir a nosotros, ya que somos nosotros los que tenemos la obligación de realizar la notificación a la AEPD y a los afectados.
• Para que no se le “olvide” al encargado, recomendamos establecer protocolos de comunicación y dejar claras las obligaciones de nuestros proveedores de servicios que acceden a datos.

¿Puedo usar la misma notificación para la AEPD y para el interesado?

• No.
• La AEPD, es la mayor autoridad de protección de datos en España y te pedirá una serie de fórmulas a la hora de redactar el escrito de notificación, así como una información más exhaustiva.
• A los afectados deberé dirigirme de una forma menos oscura para ellos, utilizando términos claros y fácil entendibles, y explicándoles en que les puede afectar esta brecha y como la estamos solucionando.

¿Tengo que notificar siempre la brecha de seguridad?

Sí y no.

No hará falta comunicar la brecha de seguridad cuando no suponga riesgos para los derechos y libertades de las personas físicas. Los casos que recoge la guía donde no habría obligación de comunicar estas brechas son:

• Cuando el responsable del tratamiento haya tomado las medidas oportunas para una protección efectiva, como por ejemplo, habiendo cifrado los datos personales. Siempre que estas medidas sean previas a la brecha de seguridad
• Cuando el responsable del tratamiento haya tomado las medidas oportunas de protección -tras la producción de la brecha de seguridad- con la intención de causar el mínimo daño posible a los afectados
• Y cuando de la realización de esas comunicaciones se deduzca que la empresa puede verse afectada de forma organizativa.

Esperamos que con este breves palabras seamos capaces de implantar un protocolo para la gestión de una brecha de seguridad y como gestionar su notificación.

Puedes completar esta información con la Guía para la gestión y notificación de brechas de seguridad publicada por la AEPD.

No obstante, si tienes alguna duda en particular y quieres contar con asesoramiento experto contáctenos en el teléfono  962915025, y uno de nuestros abogados estará encantado de atenderte.

Gestiona Abogados

La entrada PROTOCOLOS (PARTE VI). Gestión y Notificación de violaciones de seguridad se publicó primero en Gestiona Abogados.

La entrada COMUNICACIÓN CON LA AUTORIDAD DE CONTROL se publicó primero en Gestiona Abogados.

Cualquier estructura, esquema o modelo productivo que, durante la ejecución de sus actividades, demande datos personales a la vez que genera nueva información a partir de éstos, necesita contar con un sistema para detectar alteraciones en el acceso a sus bases.  Si se produce un acceso no autorizado a esos datos personales, que pueda comprometer la privacidad, se produce una brecha de seguridad.

¿Cómo debe ser ese sistema?

Tal sistema debe apoyarse en verificaciones periódicas y aleatorias, así como en herramientas informáticas pensadas para la protección. De igual forma, es fundamental un registro ordenado de las incidencias con toda la información posible (niveles de acceso, tipos de datos afectados, alcance de la información comprometida, etc.).

Obligación de notificar la brecha de seguridad

Si durante la evaluación de los sistemas, observamos que se han visto comprometidos derechos personales, se ha producido una brecha de seguridad, naciendo la obligación, en ese momento, de notificarlo a la AEPD, según lo impartido en el artículo 33 del RGPD: Guía para la notificación y gestión de brechas de seguridad

Plan de respuesta

Es por ello que, tan importante es contar con un sistema que detecte problemas de seguridad,como tener un plan de respuesta o actuación para resolver esos problemas de seguridad.

El plan de actuación debe contemplar modelos que categoricen las amenazas y generen acciones de contención. Es decir, un buen plan de actuación tiene como uno de sus ejes, evitar que aumente el daño causado por un acceso o uso fraudulento de los datos.

Defensa de los afectados

“Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos”. (Artículo 82 RGPD).

Ninguna entidad pública o privada puede permanecer ajena a la nueva coyuntura. Vivimos una época donde toda la realidad es reducible a datos y donde todo se conecta con todo.

La mejor estrategia es contar e incorporar expertos o especialistas en la implementación de todo aquello que orienta el Reglamento. En Gestiona Abogados podemos ayudarle en todo lo que necesite.

La entrada ¿QUE HACER ANTE UNA BRECHA DE SEGURIDAD? se publicó primero en Gestiona Abogados.