WhatsApp tampoco se libra
Nos encanta esta aplicación de mensajería instantánea, formar grupos, explicar nuestra vida, enviar fotos de todo tipo, la inmediatez que supone. Vale, pero… ¿alguien ha pensado qué pasaría con toda esa información que regalamos alegremente en caso de filtración de datos?
Pues esa fuga que teóricamente nunca iba a pasar, ya ha pasado. Al menos así lo asegura la publicación CyberNews. No es cualquier medio. Se trata de una publicación online que se basa en investigaciones para ayudar a las personas a vivir su vida digital de forma segura. Por eso sus noticias nos merecen toda la confianza.
Los investigadores de CyberNews utilizan técnicas de hacking de sombrero blanco para encontrar amenazas y vulnerabilidades de seguridad en todo el mundo. Y recientemente han denunciado que un grupo de ciberdelincuentes supuestamente ha robado los datos de millones de teléfonos móviles con cuenta en WhatsApp, en todo el mundo. Hablamos de nada menos que 487 millones de números de teléfonos. De ellos casi 11 millones serían de números españoles. En este perverso ranking por países se encuentran Egipto (45 millones), Estados Unidos (32 millones), Italia (35 M) o Francia (20 M). Y así hasta 84 países. España ocuparía el puesto 15.
El robo de estos datos tendría el objetivo de realizar ataques de smishing (simular un mensaje de SMS) y vishing (suplantar una llamada) y así exponer a sus legítimos dueños a diversos ciberriesgos suplantando también su identidad.
Meta, empresa propietaria de WhatsApp, aseguró que todo esto no tenía ninguna razón de ser porque la publicación no indica cómo se han obtenido esos datos y que hay más de 2.000 millones de usuarios de WhatsApp en todo el mundo, por lo que cualquier lista de teléfonos de países de todo el mundo incluiría inevitablemente números de WhatsApp.
Sin embargo CyberNews detectó que el pasado 16 de noviembre los ciberdelincuentes había puesto un anuncio en un foro de la comunidad de piratería BreachForums. En él ponían a la venta una supuesta base de datos de 2022 con 487 millones de números de teléfonos. El precio de los datos de Estados Unidos era de 7.000 doláres y el del Reino Unido 2.500 dólares.
Podéis leer la noticia de CyberNews AQUÍ.
Y como siempre prevención
Como podéis ver, WhatsApp tampoco se libra. Este tipo de ataques no es nada nuevo. De hecho, siempre que se acercan fechas clave de compras online (Navidad, Black Friday, Cyber Monday, San Valentín, etc.) suele haber ciberdelincuentes que intentan robar datos.
Por lo tanto debemos preguntarnos lo que debemos hacer cuando nuestros datos están comprometidos para evitar que el delito vaya a más.
Aunque en este blog ya hablamos profusamente de todo ello, os recordamos que lo primero debería ser el tema de las contraseñas. Una filtración con una contraseña igual para varios lugares significa que se multipliquen las opciones de robar datos de otras cuentas que tengamos. Así que:
- Una contraseña para cada cuenta que tengamos. Si eso es un problema para vosotros, la buena opción es la siguiente:
- Usar un gestor de contraseñas.
- Implementar el doble factor de autenticación en todos nuestros servicios. No siempre depende de nosotros, porque hay todavía muchos servicios que no lo tienen implementado. Pero si lo tienen, no dudéis en implementarlo.
- Sospechar siempre de un desconocido que quiera contactaros por WhatsApp.
- Sospechar de las llamadas recibidas de números infinitos, a no ser que tengamos un familiar viviendo en la India.
Y como más vale prevenir, lo más importante debería ser confiar en alguna empresa de ciberseguridad, como es el caso de TECNOideas. Como ejemplo, os pasamos unas ideas para que intentéis evitar que os pase todo esto.
1.- Averiguar si vuestro número de teléfono ha estado en una lista de filtración de datos. Escribid el número con el prefijo de país en ESTE ENLACE.
2.- Instalaros un software de seguridad en vuestro smartphone. La Oficina de Seguridad del Internauta recomienda varias aplicaciones. Tenéis el listado AQUÍ.
3.- Instalaros la aplicación CONAN MOBILE. Creemos que es imprescindible. Ha sido desarrollada por el INCIBE y se ofrece a través de la OSI (Oficina de Seguridad del Internauta). Es un software que no actúa como un antivirus, pero es capaz de revisar configuraciones, permisos, etc…y os ayudará, y os hará participes de la seguridad de vuestro dispositivo. Un gran poder, conlleva una gran responsabilidad, como diría…
4.- ¡¡CONTACTADNOS!! que para eso estamos.
Imagen principal: Imagen de 6519582 en Pixabay.
- Published in Aplicaciones de mensajería, Ataques / Incidencias, Consultoría, General, Hazlo tu mismo, Medios de comunicación, Noticias, Productos
¡Esos malditos algoritmos!
Hay palabras que a duras penas sabemos lo que significan, pero están en boca de todos. Una de las más usadas con el desarrollo de la tecnología es “algoritmo”. Y es que gobiernan totalmente nuestra vida sin que ni siquera seamos conscientes de ello. Pero… ¿qué pasa con los sistemas algorítimicos que utiliza la Administración? ¿Todo lo que averiguan de nosotros es legal? ¿Cumplen la ley?
La Real Academia Española, en su primera acepción, define algoritmo como “Conjunto ordenado y finito de operaciones que permite hallar la solución a un problema”.
Aunque la definición, lógicamente, es correcta, en los sistemas informáticos las cosas no son tan sencillas. Basta con intentar saber como actúa y posiciona el famoso “algoritmo de Google” para que nos demos cuenta de lo complejo que puede llegar a ser. En la actualidad los algoritmos gobiernan las redes sociales, los portales informáticos, las Apps, los smartphones, las puntuaciones de los videojuegos o el averigüar los asientos libres de un avión o tren al comprar un billete. Y claro, por todo ello, hay muchas familias de algoritmos. Tenéis mucha información sobre lo que es un algoritmo en la Wikipedia.
Los algoritmos de la Administración
Suele decirse que los datos son el petróleo del siglo XXI. Además de Google, seguramente quien maneja más datos de ciudadanos es la Administración. Quizá por ello y para que el manejo de esos datos fuera el adecuado, se creó el Esquema Nacional de Seguridad. A pesar de ello, pocas administraciones se han certificado, pero en la actualidad se exige a las empresas que trabajen con datos de la Administración, como podéis ver en este artículo.
No suele hablarse mucho de ello, pero las diferentes administraciones también usan, lógicamente, algoritmos. Y la Fundación Éticas, que se ocupa de la defensa de los derechos digitales, a través de su Observatorio de Algoritmos con Impacto Social (OASI), se ha ocupado de investigar los sistemas algorítmicos utilizados por distintos organismos públicos.
Así descubrimos VioGén, un sistema que detecta el riesgo de reincidencia de agresores en casos de violencia de género; Riscanvi, usado en Cataluña para calcular la probabilidad que tiene un preso en libertad de voler a reincidir o VERIPOL, que se encarga de detectar denuncias falsas.
Pero hay muchos más, que afectan a todos los ciudadanos, como es el caso de la identificación facial o el de los servicios sociales, que clasifican a las personas según sus necesidades o urgencias.
También hemos conocido que el chatbox de la Seguridad Social es ISSA, y parece que deja bastante que desear. BOSCO regula el bono social. En el ámbito laboral, los que están en búsqueda de empleo deben saber que existe el algoritmo SEND@.
Podéis leer un artículo sobre todos estos ejemplos en la web ZonaMovilidad.es un portal especializado en tecnología móvil del que ya hemos hablado en otras ocasiones. Y en la zona del OASI de la web de l a Fundación Éticas tenéis un listado de un centenar de algoritmos de diversos países con la explicación de su uso y por parte de quien.
¿Están fuera de la ley los algoritmos que usa la Administración?
Lógicamente hemos querido ir un poco más allá para ver si todos estos algoritmos cumplen la ley. Y para ello le hemos pedido a Inma Barrufet, abogada especializada en Tecnologias de la Información y la Comunicación y colaboradora habitual de TECNOideas que nos de su opinión. A continuación podeís leer sus comentarios.
La Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público regula las relaciones entre los propios órganos de la Administración pública. Entiéndase por organismo público cualquier institución que esté participada por capital público, desde un Ayuntamiento, pasando por organismos públicos hasta sociedades participadas de capital público. Dicha normativa regula la interoperabilidad y cooperación entre las propias administraciones públicas, sometidas a los siguientes principios:
- Lealtad institucional.
- Adecuación al orden de distribución de competencias establecido en la Constitución y en los Estatutos de Autonomía y en la normativa del régimen local.
- Colaboración: deber de actuar con el resto de Administraciones públicas para el logro de fines comunes.
- Cooperación: cuando dos o más Administraciones publicas, asumen compromisos en aras de una acción común.
- Coordinación: cuando una Administración pública y, singularmente, la Administración General del Estado, tiene la obligación de garantizar la coherencia de las actuaciones de las diferentes Administraciones públicas afectadas por una misma materia para la consecución de un resultado común, cuando así lo prevé la Constitución y el resto del ordenamiento jurídico.
- Eficiencia en la gestión de los recursos públicos, compartiendo el uso de recursos comunes, salvo que no resulte posible o se justifique en términos de su mejor aprovechamiento.
- Responsabilidad de cada Administración pública en el cumplimiento de sus obligaciones y compromisos.
- Garantía e igualdad en el ejercicio de los derechos de todos los ciudadanos en sus relaciones con las diferentes Administraciones.
- Solidaridad interterritorial de acuerdo con la Constitución.
Las Administraciones públicas tienen ingentes masas de datos de sus administrados y necesitan darles un uso práctico para obtener el máximo de información del contribuyente. Para ello, se han hecho acopio de la tecnología de inteligencia artificial, el big data y algoritmos muy tecnificados que entran en tromba en la privacidad de las personas y la confidencialidad de las comunicaciones. Hemos de tener en cuenta que en un mundo global como el actual, los datos solo deben usarse para fines legítimos y con expreso consentimiento de su propietario.
Los chatbots del internet de las cosas (IoT) automatizan las respuestas a las preguntas de los ciudadanos. Con un sencillo software reconocen a los individuos por sus rasgos personales, se canalizan los estados de ánimo, la ansiedad, la alegría, la depresión… Pasando por el reconocimiento facial y biométrico de las personas, en nombre de la más estricta seguridad de los ciudadanos.
Con el fin de mejorar las comunicaciones electrónicas, la seguridad de los pagos y la supuesta integridad de todo este mapa tecnológico se deja a un lado y se olvidan plenamente los derechos individuales de las personas, lo más preciado que se tiene como ser humano: la privacidad, el derecho a la intimidad y al secreto de las comunicaciones, conceptos consagrados en nuestra Constitución.
Si como sociedad estamos dispuestos a sacrificar la intimidad personal por una supuesta seguridad legal y física, entonces adelante. Pero en el momento que tal sacrificio solo se canaliza por el beneficio de unos pocos en detrimento del propio individuo, es cuando se debería hacer un parón en el camino para poner negro sobre blanco el detrimento de la más estricta intimidad personal por un falso avance social.
Existe un gran conflicto entre la recopilación de datos masivos y la privacidad. Por un lado se quiere y se necesita avanzar para no impedir el desarrollo tecnológico, que dicho sea de paso, nos aporta muchos beneficios. Pero por otro lado, con menos datos existe menos pérdida de privacidad. Es necesario investigar más profundamente salvaguardas legales que anonimicen datos estructurados que protejan al ciudadano.
Como habréis observado, no nos queda otra que exclamar ¡Esos malditos algoritmos! Pero el margen de maniobra que nos queda es prácticamente cero, cuando la Administración obliga a que cantidad de trámites se hagan online. En consecuencia todos nuestros datos pasan a estar en una nube sideral, muy dificilmente accesible a la ciudadanía. Hemos de ser conscientes que muchas decisiones importantes de nuestra vida de administrados dependen de unos algoritmos que deciden lo que las distintas Administraciones públicas van a hacer con nuestros trámites y peticiones.
Imagen principal: Gerd Altmann en Pixabay
- Published in Consultoría, Estudios, General, Normativa, Noticias, Privacidad, Seguridad, Tecnología
Mañana empieza IntelCon, el congreso online gratuito de ciberinteligencia
Un año más nos citamos con IntelCon, el importante evento que organiza la Comunidad de Ciberinteligencia Ginseg. Este año tiene lugar del 26 al 29 de julio y las inscripciones todavía están abiertas. Para hablarnos de todo ello charlamos con Iván Portillo, analista sénior de ciberinteligencia y docente y con Wiktor Nykiel, ingeniero de ciberseguridad, emprendedor y docente. Ambos son miembros destacados de la Comunidad Ginseg.
Antes de nada, si alguno de vosotros todavía no sabe lo que es IntelCon, os invitamos a ver las ponencias y talleres de las ediciones anteriores en su canal de Youtube.
Como seguro que os va a interesar, no debéis esperar más y registraros ya en el congreso de este año AQUÍ.
Y para tener toda la información, os presentamos la entrevista conjunta que mantuvimos con Iván Portillo y con Wiktor Nykiel.
IntelCon sigue siendo un congreso abierto a la participación. Ya en abril abristeis el CFP o Call for Papers, como os anunciamos en este mismo blog. ¿Cómo ha ido este año? ¿Habéis recibido muchas propuestas? ¿Estáis contentos con el nivel de las mismas?
En este punto quiero destacar la gran participación y excelente involucración de todos los ponentes. Volvemos a los dos tracks en simultáneo con una agenda llena de sorpresas y casi sin hueco para los propios descansos. Como novedad este año, aparte de las magníficas ponencias y talleres, hemos incluido mesas redondas donde expertos nos van a dar una visión desde perspectivas que se complementan, estad atentos que se abrirán los horizontes de la percepción que se puede tener sobre la disciplina.
¿Cómo hacéis la selección?
Tenemos un proceso de revisión que incluye valorar el contenido de la ponencia, la novedad o aporte a la comunidad de la temática propuesta y las referencias del ponente y participación en otros congresos. Con estos parámetros elaboramos una lista de las ponencias y talleres que consideramos aptas y confirmamos a los ponentes su participación. En la medida de lo posible involucramos a la propia comunidad Ginseg para que valore las ponencias más interesantes y se puedan priorizar los temas de más interés para todos los participantes.
¿Podéis destacarnos algunos temas que aparezcan como más interesantes o novedosos en esta edición? ¿Y algún ponente destacado?
Respondiendo a las temáticas interesantes, tenemos muchas, nos va a tocar mirar los videos después del congreso para poder revisar los que nos hayamos perdido por estar en paralelo. En lo que más se focaliza es en temáticas de OSINT, Cyber Threat Intelligence, análisis y obtención, como desinformación y relación con el conflicto de Ucrania o los tan importantes aspectos legales de las ciberamenazas.
“El objetivo de IntelCon es difundir conocimiento de calidad
en la materia de ciberinteligencia, cibervigilancia, inteligencia de amenazas,
OSINT, SOCMINT, VirtualHUMINT, DeepWeb, respuesta a incidentes,
técnicas de análisis, herramientas, ciberamenazas…”
Como ponentes destacados, no seríamos capaces de mencionar a uno o dos, porque todos tienen un valor increíble para nosotros, por la dedicación y amplio conocimiento que comparten en esta edición del congreso de ciberinteligencia.
Si tuviéramos que mencionar, destacaríamos la amplia lista, ya que gracias a ellos podemos repetir edición con más fuerza que nunca, así que gracias a Agustin Bignú, Ana Isabel Corral, Ana Páramo, Antonio Javier Maza, Antonio Maldonado, Arnaldo Andrés Sierra, Belén Delgado Larroy, Carlos Caballero, Carlos Cilleruelo, Carlos Diaz, Carlos Seisdedos, Casimiro Nevado, Claudia Castillo, David Moreno, Eduvigis Ortiz, Edwin Javier Peñuela, Eugenia Hernández, Eva Moya, Francisco Carcaño, Gemma Martínez, Gonzalo Terciado, Javier Junquera, Javier Rodríguez, Javier Valencia, Jezer Ferreira, Joan Martínez, Joan Soriano, Jon Flaherty, Jorge Coronado, Jorge Martín, José Dugarte, Josep Albors, Juan Carlos Izquierdo Lara, Juan Maciel, Julián Gutiérrez, Lennart Barke, Lorien Domenech, Malachi Cecil, Manuel Huerta, Marc Rivero, Matías Grondona, Miguel Ángel Liébanas, Mikel Rufian, Nounou Mbeiri, Pablo González, Pablo López, Pablo San Emeterio, Pino Penilla, Roberto González, Salvador Gamero, Susana Lorenzo, Tabatha Torres, Vicente Aguilera y, bueno, claro, también estamos nosotros, ja, ja, ja… Debemos dar gracias a todos por hacer posible esta tercera edición.
de la Comunidad Ginseg.
También ofrecéis talleres y otras muchas cosas. ¿Podéis explicarnos un poco más detalladamente todo el contenido? Seguro que interesa a nuestra audiencia.
Aquí según hemos comentado, se añade además de las ponencias y talleres, mesas redondas que esperamos que aporten una perspectiva diferente sobre la materia, involucrando la vista que requeriría el nivel más estratégico o ejecutivo y que esperaría de un producto de inteligencia así como la perspectiva desde el punto de vista empresarial mostrando las capacidades de empresas especialistas en el sector como la perspectiva del CISO que podría ser uno de los referentes de estos servicios.
Ya hemos hablado en varias ocasiones de la Comunidad Ginseg, organizadora del congreso. ¿Nos recordáis los puntos básicos de vuestros objetivos?
Claro. Los tres pilares de Ginseg son:
1. Colaboración en comunidad hispanohablante.
2. Formación, difusión y concienciación
3. Investigaciones y desarrollo de herramientas.
Para el primer punto, lo que hacemos es crear esta comunidad y hacerla participe de todas las iniciativas. Cada día suben las cifras de seguidores en nuestros perfiles de redes sociales y en el grupo de Telegram (https://t.me/ginseg), pero lo realmente importante es el valor humano detrás de cada una de las personas que suma para que todos podamos crecer.
Referente al segundo punto, e IntelCon es un ejemplo claro, nuestro objetivo es difundir conocimiento de calidad en la materia de ciberinteligencia, cibervigilancia, inteligencia de amenazas, OSINT, SOCMINT, VirtualHUMINT, DeepWeb, respuesta a incidentes, técnicas de análisis, herramientas, ciberamenazas entra otras.
Y en cuanto al tercero, dejaremos un punto de misterio que ampliaremos en futuras entrevistas…
La formación es uno de los pilares de la Comunidad. ¿Cómo veis los cambios que se van produciendo en la Formación Profesional, en temas como ciberseguridad, con la implicación de las empresas, etc.?
Nos parece muy positivo toda la formación, tanto reglada como no reglada, que está saliendo en torno a la ciberseguridad. Esto denota que cada vez tendremos más profesionales preparados para la demanda que se hace cada vez más evidente. En torno a ciberinteligencia, siendo una disciplina más de nicho, queda bastante trabajo por delante, pero se va viendo progreso a buen ritmo.
Desde la perspectiva de la empresa poner en práctica lo aprendido en todas estas formaciones en un entorno real es un requerido, que al final nos formamos para ser mejores profesionales, realizar nuestro trabajo de una forma más eficiente con las herramientas y metodología adecuada, incrementando nuestro valor y a la vez nuestro salario por destacar de esta forma en el mercado laboral.
Resumiendo, la formación de calidad es clave para incrementar nuestro valor y con ello subir nuestras horquillas salariales, que al final tenemos que comer y darnos nuestros caprichos.
Hablando de empresas, también en el Congreso IntelCon hay empresas implicadas. ¿Cómo conseguís mantener vuestros principios e independencia con la necesidad de tener empresas que colaboren y patrocinen el congreso?
Las empresas que participan nos ayudan a seguir impulsando y difundiendo nuestro cometido de compartir contenidos de calidad a través de marketing y anuncios patrocinados en medios especializados y redes sociales. Con esto conseguimos aún más personas que descubren la disciplina y se enamoran de la misma. Ya lo hemos vivido con varias personas que agradecen la iniciativa, afirmándonos que gracias a IntelCon, han profundizado más en la temática para finalmente reenfocar su carrera profesional y empezar en este sector. Al final estos comentarios nos ayudan a seguir impulsando esta iniciativa y a seguir haciendo el nexo entre estas empresas que buscan talento y los participantes del congreso.
TECNoideas apoya un año más este congreso. ¿Cómo valoráis nuestra aportación?
Contar con el apoyo de empresas como la vuestra, desde la primera edición y año tras año, primero nos enorgullece y segundo nos ayuda a seguir promoviendo y mejorando en el desarrollo de este punto de obligado encuentro para todos los interesados en ciberinteligencia, cibervigilancia y OSINT. Estamos enormemente agradecidos y esperamos seguir contando con vosotros en futuras ediciones.
“Cruzamos los dedos para que el uso del Kit Digital sea más utilizado en la parte ciber,
ya que se da un aporte de valor innegable que puede que de entrada se valore menos,
pero cualquier incidente serio o secuestro de datos para pedir un rescate a una pyme
puede acabar en su bancarrota o cese de actividad.”
Parece que ahora la ciberseguridad está en boca de todo el mundo. ¿Cuál es vuestra opinión del Kit Digital? ¿Vale tal y como se plantea o se queda corto?
Respecto a este punto, nos parece una excelente iniciativa apostar y apoyar el entorno digital, así a las pymes y autónomos participantes se les da un soplo de aire fresco para poder mejorar sus capacidades digitales. Creemos que para poder valorar la eficacia de este Kit Digital habría que revisar las estadísticas de uso de estos fondos, si se destinan más a hacer marketing, SEO, webs, CRM o si realmente estas cuestiones ya las tienen cubiertas las empresas que piden esta ayuda y se centran en mejorar capacidades, incluyendo la ciberseguridad como una de ellas. Aquí creemos que se está haciendo más foco y publicidad en lo primero y puede que la ciberseguridad no sea de un interés inmediato para un autónomo o una pequeña empresa si no se ha hecho la concienciación adecuada y que prefieran usar los fondos para hacerse la web y posicionarla en buscadores para intentar vender más. Cruzamos los dedos para que el uso de este Kit Digital sea más utilizado en la parte ciber, ya que se da un aporte de valor innegable que puede que de entrada se valore menos, pero cualquier incidente serio o secuestro de datos cifrando los mismos para pedir un rescate a una pyme puede acabar en su bancarrota o cese de actividad y eso, evidentemente, no se lo deseamos a nadie.
Hasta aquí esta entrevista que esperamos os haya gustado, pero sobre todo os haya despertado las ganas de seguir estos 4 días de congreso.
Todas las jornadas son de tarde y hay dos salas, así que tendréis que escoger.
Tenéis todo el programa, los ponentes, agenda, horarios, etc. AQUÍ.
Pero no olvidéis que todos los temas los tendréis después del congreso en las diferentes plataformas y canales de la comunidad, como esta plataforma de formación y recursos.
Aumento de litigios por problemas en la protección de datos y ciberseguridad
Se ha publicado recientemente en el BOE el nuevo Esquema Nacional de Seguridad (ENS), una certificación necesaria para toda empresa que trabaje con la Administración.
La nueva regulación se adapta a las diferentes leyes estatales y europeas e incide en el papel de los CISO. ¿Y dónde queda el papel del delegado de protección de datos (DPD)?
¿Qué es un CISO?
Es la persona encargada de la seguridad de los sistemas de la información. La ley obliga, en determinados casos, a tener esta figura en plantilla, siendo un activo muy valioso, que debe integrarse dentro de la estructura y organigrama de la empresa, a alto nivel.
Tiene que organizar la ciberseguridad de la compañía y es el responsable máximo del tema, así como el interlocutor con la Administración, incluidos los trámites cuando hay un percance.
No hay que olvidar que cualquier empresa, pequeña o grande, de cualquier sector, tiene una gran exposición de sus activos. Si estos no se protegen, puede llevar a la pérdida de partes valiosas de la empresa y, por supuesto, puede afectar a la continuidad del negocio.
Quin és el problema?
La realidad del CISO no se corresponde con lo expuesto. ¿Cuenta con los recursos necesarios? ¿Se recorta su presupuesto desde áreas como dirección o finanzas, que poco saben de ciberseguridad? ¿Es un cabeza de turco? ¿Tiene que estar siempre en alerta? ¿Sufre burnout? Son muchos los problemas que puede tener un CISO, como podéis ver en este artículo publicado en nuestro blog. Quizá por todo ello, se permite que el CISO pueda ser externo a la empresa o incluso que forme parte de otra compañía de servicios de ciberseguridad.
Casos reales. ¿Es el CISO siempre el responsable?
Os explicamos a continuación un par de casos reales, de problemas con mayúsculas de dos empresas muy conocidas y con implantación global.
• CISO de SolarWinds.
SolarWinds es una empresa estadounidense con sede en Austin (Texas) y que desarrolla software para empresas. Unos piratas informáticos llevaron a cabo un ataque a la cadena de suministro a través de SolarWinds y violaron las redes de varios departamentos del gobierno de EE.UU., incluida la agencia a cargo del arsenal de armas nucleares del país. Todo eso como parte de una campaña mundial de ciberespionaje de meses de duración revelada en diciembre de 2020. Parece el caso más claro de “cabeza de turco”, por la resonancia que tuvo el caso, y porque le acusaron de negligencia. Resultado: lo demandaron por nada más y nada menos que 1.500 millones de dólares.
• CISO de UBER.
Este caso es diametralmente opuesto al anterior. Encubrió un posible pago de ransomware. Recordamos que pagar a ciberdelincuentes es delito. Y a este delito abría que añadir que si había sido negligente en su cargo, doble error.
Acabamos dejando claro el concepto de NEGLIGENCIA. Según la Real Academia Española es:
1. f. Descuido, falta de cuidado.
2. f. Falta de aplicación.
Conocer la legalidad
Como podéis ver, y siguiendo nuestro título de hoy, Aumento de litigios por problemas en la protección de datos y ciberseguridad las leyes cobran un protagonismo esencial. Por eso nos pusimos en contacto con uno de los despachos profesionales más especializado en Derecho Tecnológico: Tecnogados, con el que colaboramos asiduamente. Y les pedimos que nos explicaran su visión de estos temas. Y el resultado es este post compartido que estáis leyendo. Como venimos de casos reales, retoman el tema con un caso real vivido directamente.
En Tecnogados estuvimos muy atentos a la resolución de la Agencia Española de Protección de Datos, la nº E/09159/2020, respecto a la brecha de privacidad que sufrió la empresa Mapfre.
En dicha resolución, se puede leer la actuación de la compañía en relación al ataque que sufrió por la infección de un ransomware, y como la empresa una vez puesta la denuncia pertinente, comunico los hechos al INCIBE y CCN-CERT, así como publicó lo acaecido en su web y redes sociales.
De las actuaciones llevadas a cabo pudimos ver como la empresa, una vez detectado el virus, realizó una búsqueda en la web de VirusTotal y como en esa fecha el malware también era indetectable.
Mapfre también obtuvo las evidencias forenses necesarias para detectar el origen de la infección, con el fin de evitar posibles reinfecciones.
En relación a las medidas proactivas que tenía implementadas, consta que la compañía estaba suscrita a un código de conducta en materia de protección de datos y contaba con un plan de contingencia. El conjunto de actuaciones, como no pudo ser de otra manera, acabo con el archivo del expediente.
¿Y qué queremos haceros ver con todo esto? Pues que el trabajo en materia de ciberseguridad (CISO) va unido de la mano al del delegado de protección de datos (DPD). Donde el primero dice que medidas técnicas aplicar y, el segundo, que información proteger respecto a datos personales o potencialmente identificables.
Ambas figuras CISO y DPD también deberían tener una obligada colaboración, respecto a que medidas implementar en ciberseguridad y privacidad, desde el diseño y por defecto, donde la anticipación y la proactividad sean un valor para garantizar el cumplimiento normativo y así cumplir con el Reglamento Europeo de Protección de Datos, en relación a principios como la minimización de información para cumplir la finalidad del tratamiento o implementar medidas que permitan cumplir efectivamente el ciclo de vida del dato y el efectivo ejercicio del derecho de supresión del interesado.
Respecto al ENS y en relación al perfil de nuestros lectores, aquí cabría traer a colación que pasa con aquellas pymes que trabajan para la Administración, sobre todo en dos aspectos.
Primero, que requisitos tienen que cumplir estas empresas con relación al trabajo que llevan a cabo a entidades públicas y que medidas tiene que aplicar.
En este sentido, sería interesante que la Autoridad pertinente estandarizará procedimientos de cumplimiento para que cualquier proveedor de servicios de la Administración supiese que medidas tiene que aplicar.
Pero, en segundo lugar, también sería interesante para los entes públicos, el saber que requisitos tendrían que sacar en sus concursos, para que el candidato pueda garantizar un nivel óptimo de cumplimiento en materias como la ciberseguridad y la privacidad y que estos pudieran ser un factor determinante para la adjudicación del trabajo.
Por último, indicar que teniendo que ser el CISO y el DPD personas distintas dentro de la organización conforme al ENS, su labor, sin embargo, es totalmente complementaria donde, por un lado, uno aporta el conocimiento técnico y el otro garantiza el cumplimiento normativo.
Imagen principal: Pete Linforth en Pixabay
- Published in Ataques / Incidencias, CISO, Consultoría, Formació, Historia, Normativa, Noticias, Protección de datos, Seguridad
No hay que caminar solo
Acuerdo, trato, asociación, partner, socio, colaborador… son algunas de las palabras usadas en el lenguaje empresarial para definir una alianza. Y es que cada vez es más necesario que las empresas trabajen con otras compañías. Hoy os presentamos nuestra alianza con ProDuctum Business Development services.
Un muy buen motivo para que una compañía decida caminar junto a una empresa como TECNOideas es el haber descubierto que la ciberseguridad ya es tan importante para el desarrollo de negocio como el cashflow, las ventas o los recursos humanos. Por nuestra parte, tenemos claro que las alianzas son la mejor solución para que nuestros servicios puedan llegar a un público más directamente. Los que nos seguís desde hace tiempo, ya sois conscientes que estamos presentes en algunos países de América Latina, a base de tener acuerdos con empresas locales de México o Chile, por ejemplo.
Ahora hemos dado un paso más hacia nuestra política de acuerdos y para ello hemos escogido caminar con ProDuctum BDs y firmar un acuerdo de colaboración profesional. Ellos amplían sus servicios y nosotros llegamos a una serie de empresas que buscan crecer e internacionalizarse. Para ello van a necesitar certificarse en seguridad de la información (ISO 27001 y Esquema Nacional de Seguridad), respetar la protección de datos o poner el foco en asegurar su información, la llamada ciberseguretat.
¿Qué es ProDuctum BDs, qué ofrece y cómo lo hace?
ProDuctum BDs es una plataforma de profesionales senior reconocidos que se han especializado en el Desarrollo Sostenible de Negocio a través del soporte a PROCESOS DE INTERNACIONALIZACIÓN. De ahí su apellido de Business Development services.
Gracias a este equipo que aporta conocimiento y experiencia, ProDuctum BDs puede acompañar a cualquier empresa en el proceso de internacionalización integral, además de ofrecer asesoramiento integral de negocio, aunque no se quiera llegar a poner en marcha dicha Internacionalización. De hecho el Business Development se ha convertido ya en una disciplina internacional muy reconocida. Agrupa diversas técnicas y competencias personales y profesionales. Uno de los expertos más reputados en este campo es Paul Van den Brande, que tiene publicados varios libros y artículos sobre el tema.
Entre los servicios que ofrece destacamos:
- Revisión del modelo de negocio y plan ejecutivo de gestión.
- Plan de Acción: para que resulte eficaz y efectivo, ayudan en el desarrollo, optimización e implementación.
- Implementación de la metodología Profit Margin Management.
- Desarrollo y habilitación de recursos humanos.
- Servicios de apoyo y guía jurídica y financiera en mercados destino.
¿Cómo lo hacen?
La personalización es fundamental. Y eso se traduce en:
- Escucha activa. Comunicación continua, transparente, clara y honesta.
- Transmisión de conocimiento y experiencias útiles para los equipos y las empresas.
- Métodos de trabajo y herramientas eficaces y efectivos.
- Flexibilidad de actuación.
- Soporte en la búsqueda de la financiación.
Podéis conocer más ampliamente todos los servicios y método de trabajo de ProDuctum BDs AQUÍ.
También podéis contactar con Xavier Hernando, que es su CEO.
La aportación de TECNOideas
La alianza que hemos firmado permite que se amplíen los servicos ofrecidos, ya que incorporamos nuestra experiencia en la transformación digital y en posibilitar la implementación de un Plan de Seguridad a largo plazo, junto o independiente de las certificaciones de la norma ISO 27001 y del Esquema Nacional de Seguridad (ENS), que muchas empresas necesitan para crecer y facturar más.
- Published in Certificaciones, Consultoría, General, Noticias, Serveis
¿Cualquier tiempo pasado fue mejor?
Imaginad que un día despertáis y al entrar en la rutina diaria ponéis una cinta de casete en un walkman para ir a hacer footing (que no running). Al llegar a casa escogéis un vinilo de los Stones para activaros. Y por la noche elegís una cinta de VHS para ver una película en vuestro magnetoscopio.
Este viaje al pasado puede incorporar ahora una cosa del presente más absoluto: cintas magnéticas para almacenar datos en lugar de subirlos a la nube. ¿Qué os parece?
No estamos hablando de ciencia ficción. Resulta que las cintas magnéticas que no hace tantos años convivían con nosotros con total armonía, vuelven. El principal motivo de la desaparición del mercado de estas cintas fue su degradación, ya que poco a poco el metal perdía su magnetismo.
Por otro lado ahora se fabrican con una tecnología conocida con el pomposo nombre de Linear Tape-Open o LTO, que desarrollan varios fabricantes, como IBM, HPE o Quantum. Se trata de una evolución de las cintas magnéticas de antaño, gracias a la evolución de disciplinas como la física, óptica, magnetismo o química.
Mejor una cinta magnética que almacenar en la nube: ¡ellas no están conectadas a Internet!
Y ahora viene lo nuevo que explica el aumento vertiginoso de las cintas magnéticas para almacenar datos: ¡¡no están conectada a Internet!! Por mucho que subamos nuestros archivos a la nube, sabemos (o deberíamos saber), que también presenta riesgos. Sin ir más lejos, el ransomware también vive bien en la nube.
Tanto es así que el almacenamiento de datos en cinta magnética creció un 35% en 2021. Son datos que recoge la revista sueca SweClockers, especializada en computadoras y hardware de computadoras.
Las ventajas de almacenar en cintas, además de no estar conectadas a Internet, son su bajo precio en relación a su enorme capacidad de almacenar datos. También se muestran ideales para archivos digitales, que a menudo dependen de sistemas automatizados. Otra ventaja es que en la actualidad ya no se corre el riesgo de perder datos con el tiempo, cosa que sí ocurre con discos duros y tarjetas SD, dos componentes que suelen usar las empresas al migrar sus datos a la nube. Y hay más, como la eficiencia energética, su escalabilidad, etc.
Pero no todo el monte es orégano y las cintas también tienen algunos problemas. Sólo pueden leer datos y escribirlos de forma secuencial, dos pasos que no se pueden hacer de forma simultánea. Por ello, su proceso de lectura es lento.
Otro posible problema es que se ven afectadas por incendios o inundaciones, aunque las empresas suelen fiarlas a compañías especializadas en su mantenimiento.
Para los nostálgicos y para los jóvenes que deseen saber mucho más sobre las cintas magnéticas, os invitamos a visitar la web de la Asociación Internacional de Archivos Sonoros y Audiovisuales (IASA). Esta institución, creada en 1969 y con sede en Ámsterdam, tiene miembros de 70 países y se dedica a conservar registros sonoros y audiovisuales.
La Conferencia anual de la IASA 2022 versará sobre “Los Archivos del futuro: Abiertos, sustentables y equitativos”.
Se celebrará en la Fonoteca Nacional de México y el Instituto de Investigaciones Bibliotecológicas y de la Información (IIBI) de la Universidad Nacional Autónoma de México (UNAM), del 26 al 29 de septiembre.
Aceptar cookies sin saber como funcionan: eso debería ser el pasado
Las cookies son resúmenes de información de nuestras visitas a páginas web. Dichos códigos pueden almacenar diferentes tipos de información según nosotros le demos permiso o no.
¿Os podéis creer que todavía hoy aceptamos galletas sin saber como funcionan?
O sea que cada vez que entramos en una web y empezamos a clicar ACEPTAR, ACEPTAR, ACEPTAR… estamos regalando información. Puede que no tengamos otra alternativa. Y puede que no nos importe.
Pero lo que debería ser imperdonable es que hoy en día el 57% de los usuarios españoles admita que no tiene ni idea de para que sirven las galletas. Y hasta un 60% acepta las cookies sin saber que tipo de permisos estamos dando al navegador de turno, o a la empresa con la que interaccionamos.
Estas cifras son las que aparecen en un estudio que ha realizado Avast, la popular compañía que posee un software de seguridad y antivirus del mismo nombre. Avast ha aprovechado este informe para hacer una divertida campaña de concienciación.
Bajo el hashtag #AcceptAllCookies?, una chef pastelera prepara una deliciosa receta de galletas de almendras, limón y canela. Y claro, el paralelismo con las galletas dfigitales es evidente, incluso al explicar la receta y sus ingredientes de seguridad. La podéis ver en este enlace.
Para terminar con las cookies, os recomendamos volver a leer este artículo que publicamos en este blog en 2020, sobre el uso de las galletas según los nuevos criterios de la AEPD de entonces y que sigue vigente.
Imagen principal: Nikita Korchagin en Pexels.
- Published in Consultoría, Estudios, General, Noticias, Productos
Una Game Boy para robar coches
Los que tengais unos añitos recordaréis, sin duda con añoranza, la famosa Game Boy, con la que infinidad de niños y no tan niños jugaban horas y horas. Ahora los que juegan con ella (o mejor dicho con un sucedáneo de ella), son ciberdelincuentes que la utilizan para abrir coches y robarlos.
No es la primera vez que os alertamos de la pobre seguridad que ofrecen los automóviles conectados, especialmente por sus sistemas keyless, los que permiten la apertura y arranque manos libres o abrir el maletero cuando llevas un bulto para cargarlo ahí. O si lo preferís, los que han dejado de usar la tradicional llave por un dispositivo o llavero o incluso un smartphone. Una ventaja obvia para los propietarios de los automóviles, pero poco segura, si no se tiene el “aparato” securizado.
Técnicamente no es ningún secreto. Se basa en transmisores y receptores de corto alcance, ubicados en el nuevo sistema de apertura y en el propio vehículo y que, lógicamente, se comunican entre ellos.
Y sí, como os decimos, ya hemos publicado algunos artículos al respecto. El último, titulado “¿Se roban más coches por culpa de la cibertecnología?”, lo podéis leer AQUÍ.
¡Qué tiempos los del Tetris!
Vale por adelantado deciros que nuestro CEO es un romántico tecnológico y que todavía es capaz de pasarse algunas horillas jugando, cual friki, con su Super Nintendo y las aventuras de Mario Bros y por supuesto con su Game Boy, que se compró para disfrutar plenamente del juego del Tetris. No os extrañe, porque debemos recordaros que ese juego sigue siendo uno de los preferidos del público. Y que a pesar de su edad (fue lanzado en junio de 1984), goza de buena salud. En enero de 2010, por ejemplo, se anunció que se habían vendido más de 100 millones de unidades para teléfonos móviles desde 2005.
Pues bien, todo eso viene a cuento porque jugando, jugando, tres individuos británicos robaron varios automóviles simplemente simulando que jugaban con una Game Boy cerca de los coches.
que les permitió acceder al interior.
Vayamos por partes: en realidad no era una Game Boy, ya lo habréis supuesto. Entonces, ¿qué era? La historia de este caso, que no es nueva, se dio a conocer en octubre de 2021. Una empresa búlgara había diseñado un software para hacer auditorías de seguridad en automóviles. Su finalidad era ayudar a mecánicos y electricistas de vehículos a hacer su trabajo. El precio en el mercado rondaba los 23.000 euros. La pandilla de tres ladrones británicos se dieron cuenta que el aparato en cuestión cabía perfectamente en la carcasa de una Game Boy, lo que les permitió estar cerca del automóvil que querían robar tranquilamente, sin despertar sospechas. Solamente tardaban unos segundos en conseguir abrir la puerta y unos pocos más en ponerlo en marcha. De esta forma robaron varios SUV de marcas asiáticas, especialmente cinco Mitsubishi Outlanders cuyo valor ascendía a más de 220.000 euros.
El distribuidor de este software, que es un ruso, incluso realizó un vídeo para demostrar lo fácil que era usar el software. La historia terminó con la detención de los tres ladrones treintañeros por parte de la policía, que se había extrañado que en la ciudad de Leeds se robaran tantos coches de la misma marca. Si tenéis curiosidad por ver estos vídeos o leer la noticia en un medio, os invitamos a que la leíais en HackerCar, una publicación especializada en motor y ciberseguridad.
No os resignéis, hay solución y se llama TISAX
Quizá os preguntaréis el por que ahora os contamos eso si ya era un tema conocido que había saltado a los medios hace unos meses. La respuesta es fácil: estamos ya en 2022 y eso significa que según el Reglamento Europeo de Seguridad de Vehículos, a partir de este año, ningún automóvil sin el certificado de ciberseguridad se podrá comercializar. Os lo contamos también en un artículo de octubre de 2020 que podéis consultar AQUÍ.
Nuestra intención es advertiros de lo que viene y que estéis muy atentos a las nuevas reglamentaciones y a los vehículos que queréis adquirir. No todo es escoger vehículo eléctrico o de gasolina; de hidrógeno o híbrido, sino que cosas como la ciberseguridad deben estar en vuestro pensamiento en el momento de escoger.
Tampoco queremos que os asustéis. Los robos de coches siempre han estado ahí y no podíamos esperar… ¿o sí?… que los vehículos hiperconectados no iban a ser objeto del deseo de los amigos de lo ajeno. Lo que debéis saber es que las marcas de automóviles van cumpliendo las exigencias de seguridad, no sólo física de los ocupantes, sino también de las conexiones tecnológicas. Para ello se crean respuestas a estos incidentes que os narramos. Una de las mejores herramientas es la nueva normativa TISAX. Pronto os hablaremos de ella, pero os avanzamos que verifica el cumplimiento de los criterios clave de IT. Algo así, para entendernos, como una ISO 27001 aplicada al mundo del automóvil.
TECNOideas se ha especializado también en las certificaciones ISO 27001, como ya sabéis. Así que no os perdáis nuestro blog, porque pronto os hablaremos más ampliamente de TISAX, porque alguno de nuestros técnicos ya está familiarizándose con él.
Por cierto, debo deciros que nuestro CEO ha colgado la Game Boy. Ahora está en una vitrina, para deleite de los amantes de los primeros juegos que nos convirtieron en frikis tecnológicos.
- Published in Consultoría, General, Normativa, Seguridad
ICB Consulting o cuando asociarse sí vale la pena
Los expertos de casi todas las áreas empresariales coinciden en aconsejar dos parámetros fundamentales para cualquier pyme o despacho profesional: la especialización y la asociación. Asociarse con semejantes para crear sinergias, escucharse y en definitiva ayudarse. El objetivo no es otro que el Win2Win.
Todo esto viene al caso para deciros que TECNOideas se ha asociado a la empresa ICB Consulting. Y como creemos firmemente en esta consultora, pensamos que es interesante que vosotros también la conozcáis.
ICB Consulting lleva más de diez años trabajando en tres áreas bien definidas:
● M&A. Compra y venta de empresas. Fusiones y adquisiciones.
● Soluciones algorítmicas inteligentes en estrategia empresarial y financiera.
● Digitalización y Blockchain. Automatización 4.0. Robotización Móvil Autónoma (AMR) de empresas.
Al ser una consultora estratégica de operaciones, experta en guiar y enseñar a afrontar los nuevos retos, aporta soluciones rápidas y eficientes a las empresas necesitadas de una estrategia empresarial y financiera. Es decir, apuntalan a las empresas, analizan sus proyectos, vencen sus retos y las lanzan hacia el éxito.
85 despachos asociados.
Imagen de Gerd Altmann en Pixabay.
Pero lo más interesante de todo esto es que lo realizan integrando profesionales expertos en la mayoría de sectores y perfiles industriales o empresariales. De este modo han conseguido una red que está presente en 26 países con 85 despachos asociados. Este es el equipo de ICB Consulting.
En España tienen sede en las principales ciudades. De esta forma, cualquier empresa extranjera que quiera establecerse en nuestro país se sentirá bien arropada, guiada y asesorada para importar su modelo de negocio y adaptarlo al mercado español. Y esto es válido para cualquiera de los 26 países donde están presentes.
Al asociarnos con ellos TECNOideas da un paso más hacia su internacionalización al tiempo que aporta su experiencia en temas de ciberseguridad y certificaciones a una empresa global y muy bien implantada en toda España.
Así que ahora tenéis una oportunidad: si tenéis pensado algún proyecto o reto de cualquier índole en vuestra empresa, podéis poneros en contacto con ellos para que valoren en su justa medida el proyecto, como mejorarlo y llevarlo a cabo.
Para tener más información o contactar con ICB Consulting podéis entrar AQUÍ.
- Published in Consultoría, General, Noticias, Serveis, Sobre TECNOideas
¿Cómo gestiona vuestra empresa o despacho profesional los certificados digitales de terceros?
Desde hace algún tiempo se habla mucho de los certificados digitales. Se trata de un medio que garantiza la identidad de una persona, empresa o entidad en Internet. Permite realizar trámites con la Administración y otros portales, de forma más segura, rápida y cómoda. Para los autónomos y sociedades es fundamental contar con un certificado digital, ya que la Agencia Tributaria obliga a presentar una serie de documentos de forma telemática. Pero… ¿cómo gestiona vuestra empresa o despacho profesional los certificados digitales de terceros?
El problema de los certificados digitales llega cuando es un gestor o un despacho profesional o una empresa que se ocupa de todos los trámites de sus clientes. Y….
● … ¿qué pasa entonces? Lo que suele ocurrir es que solicitan una copia y la contraseña del certificado digital a sus clientes.
● ¿Y qué ocurre? Que ese certificado y su contraseña va de mano en mano cada vez que alguien de la oficina debe hacer un trámite. Porque normalmente el que se ocupa de la Seguridad Social es uno y el que hace la declaración de la renta es otro. Y así sucesivamente, porque son muchas las gestiones con la Administración: realizar consultas y/o peticiones, enviar documentación o firmar documentos para la Agencia Tributaria, la Dirección General de Tráfico y muchas otras. Así lo explican en la web de Holded, un útil programa de gestión para empresas, y que nosotros usamos en nuestro día a día.
● ¿Y si el trabajador de la empresa teletrabaja? Pues se lleva el certificado y la contraseña a su ordenador personal
–si no tiene de empresa– para realizar los trámites desde su domicilio.
● ¿Dónde guarda la empresa este certificado? Normalmente en una carpeta que forma parte de un árbol de clientes donde se acumulan los certificados de todos ellos.
● Pero eso, ¿cumple la ley de Protección de Datos? Evidentemente, no.
● ¿Y a efectos de ciberseguridad, qué nivel de seguridad es ese? Está claro, ¿no? ¡Ninguno!
● ¿Qué ocurre si es despacho profesional, gestoría o empresa desea certificarse con la ISO 27001, otra normativa, o pasar una auditoría externa? Pues que no va a poder ser. Uno de los primeros ítems que se precisa es tener muy bien preservado los datos sensibles como es un certificado digital.
¿Qué es exactamente un certificado digital?
Un certificado digital no es más que un fichero informático firmado electrónicamente por un prestador de servicios de certificación, como podéis leer en la Wikipedia. Normalmente existen dos claves, una privada y otra pública y trabajan de forma complementaria.
Tenéis información al respecto en el portal de la administración electrónica del Gobierno AQUÍ.
Estos certificados digitales se pueden obtener en diferentes lugares, pero el más usado y típico es obtenerlo a través de la Fabrica Nacional de Moneda y Timbre, siguiendo las instrucciones que encontraréis en su web. El trámite es relativamente sencillo, aunque a veces parece que cuesta sacarlo. Por supuesto hay que pagarlo, entre 14 y 29,04 euros, para las personas jurídicas.
Otra cosa importante es que hay que estar atento a su caducidad, que suele estar en torno a los dos años. Puede renovarse hasta dos meses antes de la fecha final.
¿Cómo gestionar estos certificados?
Se suelen guardar como copia, en una carpeta, casi siempre sin contraseña, tanto en el repositorio, como en el mismo certificado. El certificado se instala localmente en cada máquina de cada usuario, lo que implica que las gestiones se deben hacer con el mismo navegador con el que se ha obtenido o importado. Con él se se suelen realizar una o varias peticiones, al año, trimestre o mes, según las necesidades de cada cual. Pero ¡cuidado!, porque normalmente la trazabilidad, gestión, y control, es ínfimo.
Hay que saber que el mercado ofrece varias opciones para gestionar los certificados digitales, tanto propios como de terceros, tanto integrados en programas de gestión, como en webs, aplicativos o a través de servidores on-premise, o en cloud. No os asustéis por estos términos. Un software on-premise no significa otra cosa que se instala en los servidores y dispositivos locales de las empresas, a diferencia del cloud, en cuyo caso los servidores están en la nube.
Nosotros, ya que era una necesidad constatada de nuestros clientes, hemos empezado a trabajar con uno de los mejores softwares, Redtrust, que es de una empresa española, adquirida el año pasado por la empresa de Estados Unidos, Keyfactor.
Redtrust es una solución que permite el uso seguro, controlado y centralizado de los certificados digitales de vuestra empresa y vuestros clientes, sin que estos lleguen a estar almacenados en las estaciones de trabajo de los usuarios.
Su software permite hacer todo lo que necesita una empresa con muchos certificados, TANTO SUYOS COMO DE TERCEROS, ya sea a través de una solución en servidor propio, dentro de la empresa, o en una máquina virtual o cloud. El listado de acciones es enorme, pero aparte de subirlos a un repositorio seguro, etiquetarlos, asignarles usuarios o grupos, se puede dar permisos de uso, de firma, a usuarios, a URLs concretas o acciones.
Si el usuario que tiene que hacer alguna gestión tiene muchos certificados asignados, puede, antes de realizar dicha gestión, buscar en el agente que se instala, los certificados a usar, para que no tenga que mirar el listado interminable en la ventana emergente que sale en este tipo de acciones.
Finalmente tenemos avisos por uso debido o indebido, o un registro con todas las acciones, para auditar todas las acciones y ver si concuerdan. Esto nos evitará, duplicidades (o muchas más) instalaciones de certificado, que cualquiera pueda consultar datos, o lo que es peor, realizar acciones no demandas, y sobre todo tener un control exhaustivo de nuestros certificados, y de su caducidad, para adelantarnos, y evitarnos las engorrosas gestiones de una vez caducados.
¿Es vuestro caso?
¿Gestionáis multitud de certificados digitales y no sabéis cómo controlarlo?
Pensad que sois responsables de esos certificados y de las acciones que se realicen.
Así que si necesitáis ayuda con este tema no lo dudéis y poneros en contacto con nosotros.
TECNOideas puede daros este servicio, de forma aislada si lo deseáis. Es decir que no es necesario que nos ocupemos de vuestras redes para daros este servicio,
aunque sí es recomendable, claro.
Imagen principal: Gert Altmann en Pixabay.
- Published in Anàlisi forense, Consultoría, Privacidad
Protección de datos en el sector energético
Uno de los temas del verano está siendo la factura de la luz. Las increíbles subidas de precio de las empresas que nos proveen de electricidad están fuera de la comprensión de la ciudadanía. Eso ha motivado una gran cantidad de preguntas de los consumidores a las empresas y simulaciones de cambios de compañía. Pero nadie se ha preocupado de saber si todos estos datos que les damos tan tranquilamente están seguros. ¿Sería posible que todas estas empresas, además de facturarnos a unos precios desorbitados, también negociaran con nuestros datos? Sin duda hay que vigilar la protección de NUESTROS datos en el sector energético.
Con la Ley Orgánica de Protección de Datos, todas estas empresas que manejan gran cantidad de datos personales debe tener especial cuidado y adaptarse a la normativa.
Las empresas del sector energético, tanto distribuidoras como comercializadoras, poseen muchos datos personales de sus clientes (entre los que se encuentra el DNI o el número de cuenta bancaria) por lo que es muy importante que cumplan esta Ley.
Acciones que deben realizar las compañías del sector energéticas para adaptarse a la normativa
- Realizar un registro de actividades de tratamiento
- Elaborar un análisis de riesgos
- Realizar una evaluación de impacto
- Firmar los contratos con terceros
- Incluir los textos legales en la página web
- Solicitar el consentimiento a los clientes
- Facilitar los derechos de los usuarios
- Firmar los contratos con los empleados
- Nombrar un DPD
Contratos con terceros
El sector de la energía es uno de los que más trabaja con terceros. Existen muchos comparadores de tarifas de energía que nos permiten contratar las mejores tarifas del mercado a través de intermediarios, los cuales se encargan de todo.
Pero estos intermediarios también deben cumplir la Ley y se requiere un doble consentimiento, así como una afirmación explícita de para qué da permiso el cliente para usar sus datos.
Sin embargo, las grandes comercializadoras de energía están obligadas a facilitar y controlar la Protección de Datos de esos intermediarios.
Página web
En la actualidad existen muchas comercializadoras que no tienen oficinas físicas, sino que ofertan sus servicios mediante su página web. Si se ofrecen los servicios a través de una página web se deben incluir en ella los textos exigidos por la ley de Protección de Datos y la LSSI:
- Aviso legal
- Política de privacidad
- Política de Galetes
Consentimiento de clientes
Cuando un cliente realiza un contrato, se le debe pedir un consentimiento explícito para usar sus datos. Sin embargo, la nueva normativa obliga a que esto sea retroactivo, teniendo que firmar dichos consentimientos los clientes ya en activo.
Este consentimiento se puede solicitar de dos formas:
- En la web: si el cliente introduce los datos en la web, debe existir una casilla desmarcada por defecto que le permita aceptar esa política de privacidad.
- En la empresa: Si se realiza en una oficina, debe firmar un documento en el que se le informe acerca de:
– Quién es el responsable del tratamiento
– Para qué se van a usar los datos
– Si los datos van a ser cedidos a terceros
– Cómo puede ejercer sus derechos ARCO
Derechos de los usuarios
La Ley dota a los clientes de una serie de derechos sobre sus datos personales, entre los que se incluyen los siguientes:
- Acceso a sus datos personales
- Rectificación si los datos son incorrectos
- Supresión si los datos son tratados de forma ilegal o ya no son necesarios para la finalidad para la que fueron recogidos
- Limitación del tratamiento de sus datos
- Portabilidad de los datos
- Oposición a un uso posterior con fines de prospección comercial, investigación científica o histórica, estadísticas…
- No ser objeto de decisiones individualizadas automatizadas
Toda empresa energética debe dar a sus clientes métodos para que ejerzan estos derechos. Estos medios se deben indicar en el documento de consentimiento a firmar por los clientes y en la política de privacidad de la página web.
Imagen principal: VV1ntermute en Pixabay
- Published in Consultoría, General, Mantenimiento, Noticias, Protección de datos
Català 
Español