Ya lo dice el título: la LOPD está aún muy verde. Con esto no quiero decir que la LOPD o el RDLOPD necesiten cambios significativos, aunque sí, a pesar de la publicación del nuevo reglamento, siguen existiendo ciertas lagunas, indeterminaciones y ligeras contradicciones; no obstante, a eso ya nos tiene acostumbrados desde hace tiempo la Agencia. Por decirlo de alguna forma, es parte de su idiosincrasia; tiene sus cosas buenas y sus cosas malas, pero la aceptamos con cariño y resignación.

Lo que quiero decir es que casi 9 años después de la publicación de la Ley Orgánica de Protección de Datos (vamos a dejarlo en que la LORTAD, cuyo reglamento salió siete años más tarde de su publicación y fue utilizado como el reglamento de facto de una ley que no tenía reglamento, no cuenta) la adaptación de las empresas a ella es cuando menos relativa. Por supuesto, es significativo el incremento de regularizaciones y adaptaciones en los últimos años, que se reflejan al menos en el aumento del número de ficheros declarados ante el registro general de la AEPD (por algo se empieza). Tampoco hay que dejar de lado el aspecto “motivador” que supone la creciente actividad inspeccionadora y sancionadora de la Agencia; como una vez lo expresó un cliente, la decisión de adaptar o no una empresa a la LOPD puede valorarse en términos de riesgo, y es evidente que la probabilidad de sufrir una inspección ha aumentado en los últimos tiempos, bien sea por inspecciones de oficio, o mayor concienciamiento de la gente, recelosa de sus datos.

No obstante, aunque desconozco cuál es el período de “asimilación social” en el caso de otras leyes, mi experiencia me indica que en general, siguen existiendo bastantes aspectos que exige la ley que se pasan por alto, tanto a nivel de la ley como del reglamento: uso de cifrado, autorizaciones del Responsable del Fichero, registro de accesos en aplicaciones, derecho de información a empleados, firma de contratos con proveedores, envío de publicidad, etc. Muchos de estos puntos se perciben hoy en día como excesivos, y la empresa ni siquiera se llega a plantear su implantación; siguen habiendo empresas (e incluso proveedores con no poca gestión de datos de carácter personal) para las que, sin ningún tipo de mala intención, un contrato de acceso a datos o una cláusula de confidencialidad les parece un innecesario y sobre todo excesivo artificio legal (en la vertiente peyorativa del término).

Pero uno de los puntos en los que aún se percibe con evidente facilidad la falta de autoridad que tiene aún la “invocación” de la LOPD es a la hora de aplicarla a filiales españolas de grupos multinacionales, donde muchas de las políticas, aplicaciones y proveedores emanan y son escogidos por la empresa matriz, sin que las delegaciones nacionales tengan mucho que decir al respecto. A lo largo de mi experiencia profesional he podido comprobar que medidas propuestas como la firma de contratos de confidencialidad o contratos de acceso a datos con determinados proveedores suele ser considerado (si es que llega a considerarse factible) como algo “difícil”, incluso teniendo en cuenta que el ámbito principal de la mayoría de dichas organizaciones es la Unión Europea. Tampoco hay que perder de vista que la LOPD no entiende de grupos de empresas, por lo que si la empresa matriz presta servicios horizontales a la delegación española, deberá firmar un contrato de prestación de servicios y acceso a datos; imaginen por un momento las dificultades de llevar a cabo esa idea o siquiera plantearla en muchos casos. Por último, aunque podría sacar más ejemplos, en muchas ocasiones las aplicaciones escogidas por la matriz para su utilización a nivel global no cumplen las exigencias de la LOPD, una de las leyes más estrictas de la Unión Europea en este ámbito; como es lógico las cosas son como son, y hay habitualmente mucho que rascar al respecto.

Por comparación, mientras que ninguna filial nacional de una gran corporación multinacional se permitiría cometer irregularidades en el ámbito fiscal, en el caso de la LOPD algunos aspectos no insignificantes quedan a menudo abandonados, por falta de autoridad y competencias en unos casos (contratos firmados al más alto nivel, servicios horizontales prestados por la matriz, o aplicaciones globales), y por falta de “interés” o conocimiento en otros: es lógico que la matriz no se preocupe de todos los aspectos legislativos de cada una de sus delegaciones nacionales. Así que en definitiva, uno por el otro la casa sin barrer.

Estoy seguro de que muchas de estas cuestiones se resolverán a medida que la LOPD y sus respectivas leyes europeas vayan cogiendo madurez y los usuarios (clientes, proveedores, personal propio, etc.) vayan adquiriendo conocimiento y conciencia de sus derechos y obligaciones, pero a día de hoy, la complejidad y restricciones impuestas por la LOPD plantea un reto a superar en muchas organizaciones multinacionales con presencia nacional. Afortunadamente, en los casos que he visto, un reto que aceptan gustosas.

Siguiendo con mi serie de entradas “basadas en hechos reales”, a lo cine de sobremesa de Antena 3, ayer me llegó al buzón de casa un “Aviso Urgente” procedente de una empresa hotelera perteneciente al grupo Marsans. Al parecer, por arte de birlibirloque había sido premiado con un sistema “Home Cinema Dolby Dolby Digital 7.1 + 2 noches de hotel en Europa”, aunque por supuesto, para acceder a ellos debía acudir con mi pareja a una “charla promocional” de 90 minutos, en la que sin duda intentarían vendernos alguna multipropiedad o ingenio similar, y en la que acabarían concluyendo que no entrábamos dentro de perfil adecuado y por tanto sin derecho a regalo.

Como pueden imaginarse, mi reacción inicial fue averiguar de dónde habían sacado mis datos. Echándole un vistazo al impreso y las normas de entrega impresas al dorso, destaco los siguiente puntos:

[Read more…]

Aunque no soy partidario de “colgar” dos entradas el mismo dia, la verdad es que en ocasiones las circunstancias obligan a ello; no podíamos dejar pasar el artículo de Antonio Villalón en referencia a la Operación Carrusel desarrollada esta semana, publicada hace un rato, pero tampoco podemos ignorar las noticias que hablan de una “nueva y terrible” vulnerabilidad descubierta por técnicos de la empresa Outpost24, y que parece ser capaz de realizar denegaciones de servicio en virtualmente cualquier dispositivo.

Por supuesto, y como cualquier vulnerabilidad de relativa importancia que se precie, tiene su correspondiente parte de salsa rosa; me resulta particularmente lúcido el comentario del creador de nmap, Gordon Lyon, aka Fyodor, sobre el bombo y la importancia que se le da en los medios a cada nueva vulnerabilidad (véase The Register: DoS attack reveals (yet another) crack in net’s core, Slashdot: New Denial-of-Service Attack is a Killer, y Search Security: TCP is fundamentally borked) hasta el punto que parece que vaya a acabar literalmente con Internet, y como el virus en el chiste, vaciar la nevera, robarte a la novia y llevarse tu coche. Parece que esto se haya convertido, sin dejar de lado la importancia de la seguridad, en una carrera de a ver quién da más; claro que a nadie se le escapa el componente meritocrático que hay detrás de mucho de estos “anunciamientos”.

En cualquier caso, a estas horas hay ya una innumerable cantidad de blogs y fuentes de información hablando del tema, que les aportarán todos los detalles técnicos que necesiten, pero si les gusta el cotilleo, pueden empezar por la entrada de Fyodor, en la que argumenta, además de lo que les comentaba, que el problema de seguridad no es tan nuevo como sus descubridores lo presentan, y seguir con la contestación de uno de los descubridores, Robert E. Lee. Y de ahí, al infinito y más allá.

Nada más. Buen fin de semana a todos.

Entiendo que en algunos casos, mi posición respecto a determinadas cuestiones en materia de seguridad pueda parecer algo “fundamentalista”; no obstante, sepan que admito que en este mundo, y a la hora de evaluar servicios o aplicaciones, existen otras cuestiones que también es necesario tener en cuenta, como la interoperatividad, la funcionalidad o la usabilidad, por citar algunas. Pero como suele decirse, la cabra tira al monte, y mientras paseaba por el blog de Mercè Molist, Port 666 me he encontrado con una entrevista a Lourdes Muñoz, portavoz de Sociedad de la Información y Telecomunicaciones del Grupo Socialista, en la que afirma que:

—Un hacker es alguien que intenta saltarse un poco el sistema para conseguir algo, pero no es un delincuente.

[Read more…]

No sé hasta dónde llega su memoria histórica, pero es muy posible que recuerden el nombre de Enron, una empresa energética que se hizo mundialmente famosa por salpicar en un escándalo de fraude contable al actual presidente de los Estados Unidos a finales de 2001, y por desprestigiar gravemente a la conocida firma de auditoría Arthur Andersen. Quizá también les suene el nombre de Worldcom, que se declaró en bancarrota y ostenta el dudoso título de ser a día de hoy el mayor caso de bancarrota en la historia de EEUU (disculpen mi falta de vocabulario financiero técnico y/o legal); Enron le acompaña como segunda en el podio. Más allá de estos dos célebres casos, es posible que desconozcan que Tyco o Xerox estuvieron también implicadas en escándalos similares; y hay bastantes más.

Sin entrar en demasiados detalles, el denominador común a todos estos casos fue la utilización de “técnicas contables” que enmascaraban y ocultaban problemas financieros, que llegaban a ser de miles de millones de dólares, reflejando una falta de transparencia del gobierno empresarial y la situación contable y financiera. Noten que no he indicado que existiese una falta de control, porque dadas las características de dichos fraudes multimillonarios, en los que estaban implicados los principales responsables corporativos, no puede decirse que hubiese ausencia de control interno (aunque sí externo) en la medida en que las actividades fraudulentas eran premeditadas. Como respuesta a este tipo de fraudes, se introdujo en EEUU la ley conocida comúnmente como SOX, cuyo nombre completo es Sarbanes-Oxley Act of 2002.

Esta ley fue pensada y escrita con el propósito de incrementar la transparencia financiera de las empresas que cotizan en la bolsa estadounidense, protegiendo de este modo a los inversores y accionistas exigiendo fiabilidad, responsabilidad y exactitud en los datos financieros; salvando las distancias, que no son pocas, podríamos decir que SOX es, respecto a datos contables y financieros, lo que la LOPD es a los datos de carácter personal. La manera que SOX tiene de aplicar estos objetivos es mediante el establecimiento de controles que impidan y disuadan de la realización de actividades financieras ilícitas, además de introducir multas de hasta 5 millones de dólares y penas de cárcel de hasta 20 años para aquellos gestores cuyas empresas incumplan con los requerimientos de SOX. En la actualidad, esta es una de las leyes más completas y estrictas —quizá en algunos aspectos demasiado— en la prevención del crimen financiero, definiendo una serie de comportamientos fuertemente penados tales como alteración de informes financieros, amenazas contra posibles denunciantes de actividades irregulares (whistleblowing), o engañar y confundir a los auditores.

Hay que destacar que, por el espíritu de protección de los accionistas e inversores que tiene SOX, su ámbito de aplicación no se limita a aquellas corporaciones sitas en EEUU, sino a todas aquellas, estadounidenses o no, que directa o indirectamente tienen presencia en la bolsa americana; esto implica por tanto que una corporación multinacional formada por diversas unidades de negocio, en la que únicamente una de ellas cotiza en la bolsa estadounidense, deberá ser conforme a SOX en todas ellas. Esto evitará que un fraude financiero en una filial o la empresa matriz repercuta en las cuentas de la empresa que cotiza en la bolsa americana y que está “limpia” financieramente a todos los efectos.

Aunque como se ha indicado anteriormente la ley establece claramente cuáles son aquellas conductas irregulares penadas, y transmite en general la idea de transparencia y responsabilidad a la conducta y gobierno empresarial, no entra en los detalles concretos de cuáles deben ser las medidas para la adaptación y conformidad a SOX, dejando la decisión y definición de los controles a las propias empresas. Esto aporta como principal ventaja la libertad y flexibilidad que confiere a la propia empresa en el tipo, calidad y cantidad de los controles, aunque por otra parte, esta falta de definición y ausencia de concreción es uno de principales focos de confusión acerca de qué debe considerarse un control apropiado para SOX. Las áreas donde SOX tiene una mayor incidencia son, según la metodología COSO (Committee of Sponsoring Organizations of the Treadway Commission) de cumplimiento, la Evaluación de Riesgos, el Control del Ambiente Laboral, el Control de las Actividades, la Monitorización, y la Información y Comunicación.

Aparte de la ley estadounidense, leyes con un propósito similar existen en otros países, bien creadas a partir de SOX, o de manera independiente; algunos ejemplos son CSOX (Canadá), CLERP9 (Australia), J-SOX (Japón) o LSF (Francia), y en la actualidad existe un proyecto de SOX europea denominada euroSOX. Aunque como se ha indicado SOX es de obligatorio cumplimiento sólo para organizaciones que coticen en la bolsa americana, hay que considerarla como norma de referencia para el buen gobierno.

No obstante, es preciso aclarar que SOX no es, como cualquier regulación, norma o ley, la panacea; SOX no pone una pistola en la nuca de cada bróker, contable o financiero, ni una cámara encima de cada persona; no es capaz de preveer o evitar complejos fraudes financieros que son desarrollados por personas muy conocedoras del entorno en el que se mueven; y otro ejemplo más es el reciente caso del bróker Jérôme Kervial en Société Genéralé, aunque el comentario lo dejamos para una próxima entrada.

Para finalizar con esta introducción, lo que este tipo de situaciones ponen de manifiesto es que, más allá de regulaciones o restricciones exógenas, se hace imprescindible que los controles y mecanismos tengan un origen endógeno, que surjan de la propia organización, consciente de los riesgos a los que se enfrenta, tanto ajenos como propios. Conceptual e idealmente, los controles que introducen leyes como SOX no deberían ser algo que “emanase” de organismos ajenos sino que las empresas deberían implantar de “motu propio”.

Si no conocen Google Chrome, es que han estado metidos debajo de una piedra estos últimos días. Para que se den cuenta de la relevancia del asunto, hasta los telediarios dieron la noticia sin que en ella mediase ninguna alusión a los innumerables peligros de Internet (crimen organizado, pederastia, sectas peligrosas, adicción al MSN, etc.). También estarán al tanto, si son habituales de esta página, de nuestra particular paranoia en torno a todo lo que suene a Google. Admito que quizá en algunas ocasiones (pocas) seamos algo desconfiados, pero en cuestiones de privacidad, más vale que sobre que no que falte. Y para qué negarlo, Google no deja de darnos razones para no quitarle la cruz, y luego verán porqué lo digo.

Antes de nada, he de decir que he probado Chrome, y es un buen producto. Tiene sus cosas, lógicas dado el estado “primitivo” de la aplicación, pero lo cierto es que para ser una primera versión beta “a perpetuidad”, como todo lo que Google lanza, tiene cosas muy buenas. Muy buenas, de verdad, sin ironías. Entre otras cosas, es un navegador impresionantemente rápido, sencillo, y lo que más me ha gustado, que aisla las pestañas unas de otras a modo de procesos independientes, de modo que el “cuelgue” de una de ellas no repercute en el resto de pestañas; algo que no entiendo como no se le ocurrió a nadie antes. No, no tengo intención de analizar a fondo la aplicación, ni de entrar en la discusión —muy interesante, sin duda alguna— sobre qué busca Google con este producto a nivel de mercado o qué debería pensar Microsoft de todo esto; eso lo dejo para otros foros. En definitiva, he de admitir que, como casi todo lo que hace Google, es un buen producto con un potencial impresionante.

Desgraciadamente, como (¿casi?) todo lo que hace Google, es un producto que también tiene sus problemas ajenos a cuestiones técnicas. El primero, ya subsanado, fue un “error”, “descuido”, o como quieran llamarlo, en las condiciones de uso (EULA, End User License Agreement), por el que Google adquiría de manera no exclusiva los derechos de uso de cualquier contenido transmitido a través de su navegador; afortunadamente, este sinsentido fue subsanado horas más tarde.

Por otra parte, mucho más interesante, algo que no es un error y sin duda Google no tiene intención de modificar, tenemos los habituales problemas de privacidad, algo lógico dado que el negocio de Google está fuertemente basado en la gestión de la información que almacena de sus usuarios. Lógico pero no necesariamente admisible. En este caso, tal y como reportó CNET hace unos días, se ha sabido que la barra de direcciones del navegador envía a Google los caracteres que tecleas aún cuando no presiones Enter; dicha herramienta, denominada Omnibox, está pensada con la finalidad de proponer al usuario sugerencias procedentes del buscador a medida que éste va tecleando en la barra. Si todo quedase ahí, podríamos considerarlo un mal menor (aunque aún de manera anónima, seguiría siendo una funcionalidad intrusiva), pero lo peor es que el buscador tiene pensado almacenar un 2% de la información que recibe, junto con la IP de la que procede, según comunicó un portavoz de Google a CNET.

Por fortuna, Kriptópolis aporta varias formas de modificar este comportamiento, que empiezan por (a) modificar el buscador por defecto que “propone” las sugerencias o (b) eliminar esta funcionalidad, pasando por (c) utilizar el modo “incógnito” del Google Chrome, y acabando en la elección más radical que es utilizar otro navegador. El problema en este caso es que, aunque exista la posibilidad de desactivar dicha funcionalidad, ésta viene activada por defecto, y la mayor parte de los usuarios no son conscientes de ella ni Google se ha preocupado de decir las cosas lo suficientemente claras. Acabaré diciendo que Google Chrome es un buen producto, incluso un muy buen producto, pero que como casi todo lo que lanza Google últimamente, vuelve a traicionar, esta vez por poco, sí, aquel ya obsoleto lema del buscador que decía “Don’t be evil”.

(Matt Cutts da algunos detalles de cuándo Chrome habla con Google y cuándo no, por si desean echarle un vistazo).

—

a) Con el cursor sobre la barra de navegación, botón derecho, “Editar motores de búsqueda”, seleccionar uno que no sea Google y pinchar en “Establecer como predeterminado”.
b) Con el cursor sobre la barra de navegación, botón derecho, “Editar motores de búsqueda”, y desactivar la opción “Utiliza un servicio de sugerencias para completar…” que aparece al final del cuadro de diálogo.
c) Ctrl + Shift + N.

Como pueden imaginar, se me han acabado las vacaciones, durante las que he intentado mantenerme lo más alejado posible de cualquier dispositivo electrónico, por aquello de desconectar. Podría decirse que lo he conseguido, si dejamos de lado el DVD y la televisión, lo que hará presumiblemente mi vuelta a la rutina laboral un poquito más dura. A pesar de ello, las evidencias me obligan a asumir mi condición profesional y admitir que incluso en vacaciones, la seguridad, la LOPD, los teclados, ratones y demás artilugios y conceptos demoníacos me persiguen, y está demostrado que me alcanzan.

Verán el porqué de lo que les decía. Andaba yo en la piscina de mi pueblo, en bañador, tirado a la bartola, haciendo el zángano de la mejor forma que sé (algo que he perfeccionado hasta límites inhumanos), cuando hablando de esto y aquello, un buen amigo mío me comenta que en su empresa han despedido a un compañero, llamémosle “X”, por fisgonear en los sistemas de la compañía. Como disclaimer previo, diré que únicamente conozco el tema a grandes rasgos (imagínense una conversación a las cuatro de la tarde al borde de la piscina) y ningún detalle, por lo que no esperen conclusiones o reflexiones de peso, ni tampoco tomen la historia en un 100% al pie de la letra.

Podemos empezar diciendo que la empresa de mi amigo tiene al parecer una política bastante restrictiva en el acceso a Internet, limitado a determinadas personas y en determinadas circunstancias. Sin embargo, era casi de dominio público que X disponía de acceso a Internet de estrangis, aunque todo quedaba ahí; incluso parece ser que el responsable de informática conocía este hecho, y era algo aceptado. Un buen día, X tiene un problema con su equipo, y se ve obligado a remitirselo al área de informática, quien constata que no sólo disponía de acceso no autorizado a Internet, sino que además, tenía una recopilación de información corporativa a la que en teoría no tenía acceso; datos de facturación, rentabilidad, ofertas, esto y lo otro. Posteriores indagaciones mostraron que X disponía de hace tiempo de la contraseña de administración de los sistemas, y que todo indica que se había dedicado a bucear por los equipos corporativos y de sus compañeros, copiando información que a priori parecía interesante. Obviamente, X fue despedido tras conocerse todo esto. Una típica historia de terror en toda regla, de esas que nunca pasan.

Como decía, no voy a hacer ningún tipo de reflexión sobre cómo había accedido a la contraseña de administración de los sistemas, sobre si existían o no políticas formales de uso de equipos corporativos o de clasificación de la información, ni sobre si se realizaba un registro de accesos a los sistemas críticos. No conozco los sistemas, ni las personas implicadas, ni el entorno, así que comprendan que me abstenga de emitir valoraciones. Lo que me sorprendió tanto a mí como a mi amigo fue la reacción de parte de sus compañeros de trabajo, que en una frase, puede definirse como “No es para tanto”. Entiendo que las circunstancias personales de X, cuando X es alguien con quien puedes haber tenido una amistad, pueden influir en tu objetividad, pero el caso, y estoy seguro de que estarán de acuerdo conmigo, es que sí es para tanto. Es incluso, y según los grandes rasgos que les he dado, un delito penal.

Por último, me llena de satisfacción y orgullo, que diría aquél, ver que Paloma Llaneza nos menta en su blog con ocasión del Blog Day ’08, el pasado 31 de agosto. A mi no me miren, que era domingo y además apuraba mis últimos minutos de libertad tirado en un sofá. Nada más de momento; seguimos calentando motores. Manténganse a la escucha.