Guido Rosales Uriona

Perder el control sobre la información que manejan los empleados puede tener consecuencias

Guido Rosales Uriona - GRU — 2010-08-24T01:02:41Z

¿Cuáles son los principales retos del mercado de seguridad, desde el punto de vista de proveedor?

Ahora más que nunca los proveedores debemos cuidar a nuestros clientes y ofertarles las mejores soluciones. Debemos ser conscientes del entorno actual de crisis, en el que los presupuestos son mucho más ajustados y hay cada vez más recortes. Así, toda inversión, incluidas las de tecnología y seguridad, que la empresa no perciba como una necesidad o, incluso, considere un gasto superfluo, van a ser aplazadas o canceladas. Sin embargo, descuidar la seguridad puede acarrear consecuencias muy negativas para las compañías, conllevando pérdidas económicas y de competitividad, por lo que ahora más que nunca se debe apostar por soluciones antispam y de seguridad de contenidos que sean fiables, seguras y asequibles. Sólo las empresas que inviertan en mantenerse a la vanguardia de la tecnología y ofrezcan soluciones efectivas y razonables verán crecer su presencia en el mercado.

Por otra parte, este es un mercado en constante evolución, por lo que los fabricantes debemos ofrecer soluciones innovadoras y a la vez sólidas, adaptadas a las diversas necesidades de las empresas y al cambiante entorno de las amenazas, cada vez más sofisticadas, así como tener en cuenta las nuevas tecnologías y vías de comunicación (redes sociales, web 2.0, móviles y PDA's, etc)

¿Cuáles son los puntos débiles de las empresas?; ¿coinciden con sus principales miedos?

Las compañías deben implantar fuertes políticas de seguridad, y velar por su cumplimiento. Descuidar este aspecto o perder el control sobre la información que manejan los empleados puede tener graves consecuencias y comprometer su seguridad. Los principales riesgos a los que se enfrentan las empresas son el robo de identidad y datos corporativos así como a ataques de spam y malware, que en su gran mayoría persiguen fines lucrativos.

¿Qué tecnologías son las más demandadas?

Las soluciones tradicionales se están mostrando cada vez más insuficientes para hacer frente a los ataques que, cada día mas, combinan diferentes técnicas y vectores de infección. Se están demandando sistemas de protección que van mas allá del antivirus de correo y de navegación e integrar en la misma herramienta el control del spam, el del Spyware, anti- phishing, el filtrado de URL´s por categorías, el filtrado de la mensajería instantánea, de las descargas ftp y P2p, autenticación, cifrado, etc.

¿Hacia dónde apunta el futuro de la seguridad corporativa?

Una solución de seguridad IT de primer nivel debe proteger contra el malware de web y correo y las amenazas día cero a través de un gateway de Internet con capacidad para hacer frente a múltiples vectores de ataques y caracterizado por integrar potentes herramientas anti-spyware y anti-spam, controles a nivel de aplicación y filtrado de URL. La autenticación de usuario basada un simple login y password es la vía de entrada más fácil que cualquier ciberdelicuente puede usar para soslayar las medidas tradicionales de seguridad en el acceso a la red y las conexiones remotas. Dentro del entorno corporativo se hace imprescindible adoptar mecanismos de autenticación fuerte de usuarios para evitar este tipo de ataques.

Autor: CSO

Cinco nuevas estafas en Facebook y Twitter

Guido Rosales Uriona - GRU — 2010-08-24T00:53:00Z

Una encuesta realizada recientemente por AVG Technologies y el CMO Council revela que aunque los usuarios de redes sociales están preocupados por la seguridad de estos sitios, la mayoría de ellos no toma las precauciones necesarias para protegerse. De los 250 usuarios encuestados el 47% había sido vícima de infecciones de malware, y el 55% de phishing. Sin embargo, pese a estas negativas cifras, el 64% de los usuarios no cambia jamás sus contraseñas, el 57% nunca o casi nunca ajusta su configuración de privacidad y el 90% no comunica los problemas de seguridad a las redes sociales en las que participan.

Con estos números sobre la mesa, cualquier CSO querrá que los usuarios de su red estén bien informados de estos riesgos de seguridad y cómo evitarlos. A continuación revisamos los últimos cinco scams detectados en redes sociales.

Ganar dinero con Twitter Esta estafa toma muchas formas, pero siempre hablan de la posibilidad de ganar mucho dinero en Twitter. El reclamo es que cualquiera puede trabajar desde casa y ganar grandes sumas ("¡Hasta 10.000 euros al mes!") con sólo twitear. Suena demasiado bonito para ser cierto, y efectivamente, no lo es. Según Ryan Barnett, director de investigación de seguridad en aplicaciones de Breach Security "no es más que el viejo e-mail de "Gane dinero desde casa cómodamente" trasladado a Twitter".

Breach Security está detectando una gran explosión en este tipo de scams en los últimos meses, quizá debido a la crisis económica. Al contestar al reclamo, los estafadores piden a los usuarios su número de tarjeta de crédito para pagar una pequeña cantidad económica (menos de dos euros), que es el coste de lo que llaman "Kit de iniciación de Twitter Cash". Al pagar por kit, ya tienen el número de tarjeta de crédito y pueden continuar utilizándolo, cargando cantidades mensuales pequeñas sin conocimiento de la víctima, que al final se ve obligada a cancelar la tarjeta para evitar esos cargos.

Eres sexy, mándame un mensaje Las propuestas sexuales son una táctica muy empleada por los spammers desde hace años a través del e-mail, según Graham Cluley, consultor senior de tecnología en Sophos. Cluley afirma que en los últimos tiempos están incrementándose los tweets que parecen proceder de mujeres ligeras de ropa con mensajes incluidos en la propia imagen, más que en los 140 caracteres que admite esta herramienta de microblogging en cada post, para así evitar los filtros antispam de Twitter. Un ejemplo típico es algo parecido a "eres sexy, mándame un mensaje en MSN". El usuario víctima suele acabar en una página para adultos.

"Si finalmente el usuario decide chatear con alguna de estas mujeres en MSN, acabará hablando con un robot que ofrece respuestas típicas de un flirteo online", explica Cluley. "Tratan de reducir costes, y es más fácil tener un programa que se encargue del chat". Se trata de un script que ofrece un "pase gratuito" para la webcam del site, aunque normalmente solicitan un número de tarjeta de crédito y otra información personal para verificar su edad. Por supuesto, dar este tipo de datos coloca al usuario como víctima de posibles fraudes y robo de identidad.

Protéjase de la Gripe A Los delincuentes siempre están atentos a los titulares que inundan prensa y telediarios captando la atención de los usuarios. La preocupación mundial por la Gripe A se lo ha puesto en bandeja, igual que ha ocurrido con la muerte de personajes famosos, como Michael Jackson. Hacer clic en los enlaces de Twitter o Facebook es fácil, sobre todo cuando se trata de URLs abreviados.

Hay muchos servicios gratuitos para recortar direcciones web, a menudo tan largas que no pueden utilizarse en la actualización de estado de Facebook o en el cuadro de 140 caracteres de Twitter. No permiten ver dónde nos va a llevar el link, lo que contribuye a que los usuarios acaben en sites engañosos. Según un reciente informe de Symantec MessageLabs Intelligence, el spam en URLs abreviados es una técnica muy utilizada para la venta de fármacos online.

Algunos de estos servicios para acortar los enlaces web están empezando a filtrar los URL mediante el uso de listas negras, pero todavía no se ha resuelto el problema del todo, especialmente porque ni Twitter ni Facebook disponen de filtros para eliminar los URL abreviados que conducen a sitios engañosos.

Alguien ha comentado tu entrada Leer los comentarios de los amigos es una de las principales características de Facebook. Pero recientemente un investigador de Trend Micro descubrió una estafa de phishing que utilizaba algunas aplicaciones de esta red social con nombres como "Tus fotos" o "Entradas" y comenzaban con una notificación de que alguien había hecho un comentario en un post. Cuando el usuario hacía clic en esa notificación se le llevaba a un sitio falso llamado "fucabook.com" con el mismo aspecto de la página de acceso a Facebook. Si introducía sus datos de acceso para "disfrutar de la funcionalidad de la aplicación" se les robaban las contraseñas y empezaban a hacer spam también a las listas de amigos de las víctimas.

Otras aplicaciones tenían nombres como "Sexo, sexo y más sexo" o "Invitaciones de cumpleaños". Aunque las aplicaciones descubiertas por Trend Micro ya han sido retiradas, unos días más tarde surgían de nuevo con nombre como "Amigos" o "Parejas". Se puede evitar caer en este engaño revisando el URL que muestra el navegador y asegurándonos de que realmente estamos en la red social en la que creemos estar.

Alerta AMBER Más que un scam, se trata de un hoax o bulo cuyo máximo daño consiste en diseminarse inútilmente gracias a la buena fe de las víctimas. En Estados Unidos y Canadá se utilizan las llamadas Alertas AMBER para denunciar el rapto o desaparición de niños. El nombre responde a las siglas America´s Missing Broadcasting Emergency Response y también al nombre de pila de la niña de 9 años que fue raptada y asesinada en Arlington (Texas) en 1996. El caso es que se está popularizando el uso de falsas alertas AMBER en Estados Unidos, donde se dan detalles falsos del posible rapto y se pide a todos los que lo lean que lo den a conocer para ayudar en la resolución del caso. Son mensajes del tipo: "Alerta AMBER en Maine. Niña de tres años secuestrada por un hombre que conduce una furgoneta blanca con matrícula XXX. Publica esto en tu actualización de estado. ¡Podrías salvar una vida!".

Los detalles varían, algunos incluso dan nombres, pero la mayoría son falsos. Aunque realmente no ponen en riesgo la seguridad de los usuarios ni sus datos personales, las autoridades estadounidenses están luchando contra estos bulos porque insensibilizan a la población contra este tipo de alertas y su importancia cuando son reales.

Autor: CSO

Por orden judicial, quitaron un perfil falso de Facebook

Guido Rosales Uriona - GRU — 2010-08-24T00:30:21Z

Fue en una causa iniciada por una persona, luego de ésta que tomara conocimiento de la existencia de un perfil falso en Facebook con su nombre y sus datos personales, y en donde se incluían detalles sobre su orientación sexual.

En la resolución, la magistrada asegura que “existiendo un alto grado de certeza que alcanza una evidencia tal que no admite, prima facie, posibilidad de discusión como asimismo entendiendo que nos encontramos ante una situación de urgencia como se está generando un perjuicio irreparable, previa la constitución de fianza por la suma de $ 30.000, con justificación de solvencia, ofíciese a Facebook Inc. de Argentina a los fines de que dentro del término de tres días procesa a bloquear y cancelar la cuenta existente en la red social Facebook a nombre del actor y se abstenga en adelante de habilitar el uso de enlaces, blog, foros, grupos, sitios de fans en los que se menoscabe u ofenda la imagen e intimidad del actor”.

Asimismo, envió oficio a los buscadores de Internet Google, Yahoo! y Bing, para que “realicen los actos necesarios para la eliminación del nombre e imagen del actor de los resultados de búsqueda con los sitios detallados en autos”.

Para la Justicia, el e-mail es un precontrato de compra

Guido Rosales Uriona - GRU — 2010-08-24T00:25:49Z

La Cámara Comercial indicó que el correo electrónico sin firma digital sirve como prueba de que hubo negociaciones precontractuales de compra por lo que condenó a la empresa IBM a reparar el daño sufrido por quien pretendió venderle gabinetes.

De acuerdo a los jueces, en el caso “Bunker Diseños S.A. c/IBM Argentina S.A. s/ordinario” los correos electrónicos son “un principio de prueba por escrito”.

“En el valor probatorio del correo electrónico ocupan un lugar preeminente a partir de la vigencia de la ley 25.506 los documentos con firma digital, en tanto su valor probatorio es equiparable al de los instrumentos privados y se presume la autoría e integridad del mensaje, correspondiendo a la otra parte destruir tales presunciones”, indicaron los magistrados. Para ver el fallo completo provisto por elDial.com, haga click aquí.

En principio, los jueces reconocieron que “en este caso se trata de documentos que carecen de firma digital a los que no puede otorgarse un valor de convicción preeminente, puesto que el elemento de autenticación o certificación es un requisito esencial de autenticidad”.

Pero los magistrados consideraron que “no existe impedimento para que se ofrezcan como medio de prueba, considerándoselos principio de prueba por escrito como había aceptado la doctrina de los autores antes de la sanción de la ley 25.506”.

“Aunque por no estar firmados no alcancen la categoría de documento privado, es admisible su presentación en juicio para probar un contrato siempre que emanen del adversario, hagan verosímil el hecho litigioso y que las restantes pruebas examinadas a la luz de la sana crítica corroboren su autenticidad”, sostuvieron a continuación.

Y añadiieron que “todos estos elementos permiten inferir la verdad y existencia del hecho constitutivo de la pretensión, esto es: que tuvo lugar una brusca ruptura de las tratativas después de haber sido confirmada la fabricación de los gabinetes por medio de los correos electrónicos”.

Sobre esta base, se configuró para el tribunal “un supuesto de responsabilidad precontractual en razón de haber operado una ruptura intempestiva e injustificada de las tratativas preliminares que es generador de responsabilidad en tanto presuponen un deber general de no causar un daño y el eventual deber de repararlo en caso contrario”.

De todos modos, la Cámara sentenció que “el resarcimiento en los supuestos de responsabilidad precontractual debe limitarse sólo a la reparación del daño al interés negativo, pues como es lógico esta responsabilidad deberá ser menos intensa que la contractual. Tal daño es el que es sufrido por una de las partes por haber confiado en la celebración de un contrato, que se vio frustrada; en cuyo caso debe dejarse al contratante dañado en la misma situación en que estaría de no haberse realizado las tratativas que condujeron al negocio frustrado”.

Por ese motivo, fijaron el monto del resarcimiento en $ 14.300, obtenida de detraer un veinte por ciento de su valor al precio unitario pagado por IBM en agosto de 2001 ($715) y luego multiplicar el resultado de esa operación por la cantidad de unidades fabricadas para ella.

Fuente: iProfesional.com

El Derecho al Olvido digital

Guido Rosales Uriona - GRU — 2010-08-24T00:22:53Z

Entre Google, Facebook, Yahoo y MSN gestionan la información de casi 2.000 millones de personas. Todas estas compañías son estadounidenses y se rigen por la legislación de protección de datos, muy laxa, que reina allí. Sin su permiso, es imposible borrar de la Red aquella multa publicada en un boletín provincial, esa fotografía inconveniente en una red social o, simplemente, dejar de recibir publicidad. Francia, sin embargo, quiere ahora que el olvido digital se convierta en un derecho.

El Gobierno galo ha abierto una consulta pública para que los ciudadanos y empresas interesadas opinen sobre la necesidad de regular el derecho al olvido en Internet. La secretaria de Estado para la Economía Digital, Nathalie Kosciusko-Morizet, lanzó la idea en noviembre pasado y, desde entonces, se ha reunido con empresas de Internet galas y estadounidenses para diseñar un borrador de una carta de derechos.

“En la Red desvelamos cada vez más nuestras vidas, nuestros gustos, nuestras actividades y nuestro comportamiento”, explica Kosciusko-Morizet. Ese rastro se puede seguir por las páginas que visitan los navegantes en la Red, la información que ponen a disposición de los buscadores o lo que publican en las redes sociales. “Sin embargo, la difusión de cierta información personal puede tener un impacto muy negativo en nuestra vida diaria”, añade.

En el dossier que acompaña a la consulta pública, se recuerda una encuesta hecha en EEUU en 2009 que revela la dimensión del problema: el 45% de los empleadores fisgoneaba en Internet sobre el pasado de los candidatos a un puesto, frente al 22% que lo hacía en 2008. Un tercio reconoció que lo que vio en la Red influyó en su proceso de selección.

Francia busca, por un lado, facilitar al máximo un derecho a la supresión de la información sobre una persona que haya sido publicada por terceros y que pudiera perjudicarle en un futuro. Esto afectaría a blogs, redes sociales, sitios de vídeos como YouTube… Por otro lado, la carta busca mejorar la transparencia de la explotación con fines comerciales de los hábitos de navegación de los usuarios.

Publicidad, base del negocio

Tanto Google (que recibe el 70% de las búsquedas de todo el mundo) como Facebook (que está a punto de superar los 500 millones de usuarios) y las demás grandes empresas de Internet usan los datos de sus clientes para sostener su negocio con publicidad personalizada. Otras como Twitter van a empezar a hacerlo y algunas como MySpace ya venden directamente la información de sus afiliados al mejor postor.

Entre los mecanismos que propone la consulta para ejercer el derecho al olvido digital en las redes sociales se está estudiando la necesidad de que la configuración por defecto de los perfiles esté en el nivel máximo de seguridad y confidencialidad. También habilitará el uso de seudónimos y, entre otras propuestas, reconocerá el derecho a un borrado fácil y rápido de la cuenta, haciendo inaccesible su contenido. En la actualidad, aunque se borre un perfil de Facebook, la información seguirá en sus servidores. La consulta está abierta hasta el 31 de mayo y debería desembocar en un acuerdo de autorregulación.

“En la vida real, creas tus datos para algo concreto y se cancelan cuando se agota esa finalidad”, argumenta el director de la Agencia Española de Protección de Datos (AEPD), Artemi Rallo. “Pero en Internet hay una dificultad añadida: entran en juego los motores de búsqueda, Google en definitiva, y generan una multiplicación eterna de la información personal. Rallo pone distintos ejemplos: un ciudadano que durante la Transición fue detenido y hasta condenado y canceló sus datos hace años, o un ahora prestigioso médico que, al comienzo de su carrera, cometió una imprudencia por la que fue juzgado y después indultado. Y por eso, se da la paradoja de que se sabe que fueron condenados porque acabaron siendo indultados. “Los buscadores alteran la línea del tiempo”, alerta Rallo.

Respuesta de Google

Para el buscador señalado, el conflicto no es tanto si hay derecho al olvido digital sino quién es el responsable de ese olvido. “Los buscadores no tenemos la responsabilidad; es de las páginas que albergan ese contenido”, explica la directora de Relaciones Institucionales de Google, Bárbara Navarro. Para el buscador, lo más efectivo es dirigirse a los que pusieron la información en la Red en primer lugar. Navarro hace una reflexión: “Quizás hay que proteger la información antes de ponerla en Internet, no después”.

Es lo que han empezado a hacer juzgados y otros organismos públicos, como los boletines oficiales, en un proceso que se llama “procedimiento de disociación”. En estas publicaciones, los datos personales se convierten en anónimos mediante el uso de iniciales reales o ficticias.

Pero en los últimos tiempos el problema no es tanto la publicación de datos por páginas oficiales o el abuso de grandes empresas. La explosión de las redes sociales está provocando una igual de explosiva presencia de información privada en plazas públicas, como Facebook o Tuenti. El problema es que la legislación sobre privacidad es anterior a las redes sociales.

“El problema es que la ley está diseñada para las empresas y excluye a las personas físicas de su ámbito de actuación”, explica el abogado David Maeztu . Pero desde la AEPD advierten de que la publicación, por ejemplo, de fotografías de un tercero en Facebook podría ser sancionable. Y las obligaciones que impone la norma son desorbitantes para un particular. En 2006, un usuario español tuvo que pagar una multa de 90.000 euros por colgar fotos de otros.

Lo que saben de ti y cómo lo saben

‘Cookies'. Pequeños ‘bichos' en el ordenador. Cada vez que se visita una página, esta instala en el ordenador del usuario un pequeño archivo de texto llamado ‘cookie'. Como mínimo contiene un identificador único que permite a la web que la ha instalado saber quién le está visitando. Con este dato, puede ir a sus servidores y ver qué páginas del sitio se han visto antes o por cuánto tiempo. En origen se diseñaron para facilitar una rápida descarga de las páginas que más se usan, pero ha degenerado en una fórmula para conocer los gustos del internauta y ofrecerle un sitio personalizado. Además de la propia, una web puede ocultar tantas ‘cookies' como anuncios publicitarios tenga.

Ordenador. Números chivatos. Para poder visitar una página, el ordenador debe revelar antes una serie de datos: su dirección IP (que lo identifica en Internet), el ‘hostname', que muestra también qué proveedor de acceso se está utilizando, el sistema operativo, el navegador instalado en el ordenador y la página desde la que se ha llegado. Esta información es necesaria para mantener la estructura y el tráfico de Internet. A cambio, revela excesiva información. Por eso, al menos en Europa, la dirección IP es considerada un dato personal y, por eso, de especial protección.

Intercambio de datos. En busca de la seguridad. Cuando se diseñó Internet no se pensó en la seguridad de las comunicaciones. En particular, el protocolo HTTP, sobre el que funcionan todas las páginas web, envía y recibe la información en formato de texto. Hay muchas técnicas para interceptar esa información en algún punto de la conexión desde el ordenador de origen al de destino. Para reducir el riesgo se impone el cifrado de los datos y usar protocolos de comunicación segura como el HTTPS. Este, habitual en las transacciones financieras, tiene el hándicap de que ralentiza la comunicación.

El historial. El enemigo en casa y fuera. Para una navegación más rápida, las páginas guardan una copia de su versión más reciente en el ordenador del usuario y en servidores repartidos por el mundo. Con esto se consigue que la web se vea antes. A cambio, cualquier persona que acceda al ordenador podrá espiar en esa memoria caché temporal.

Los buscadores. La cúspide de la pirámide. Por su posición central, Google, Bing o Yahoo tienen acceso a toda la información mencionada. Al combinarla con sus sistemas mejoran sus respuestas pero al precio de saber qué, cuándo, cómo y desde dónde busca el usuario. Yahoo ‘anonimiza' estos datos a los tres meses, Bing a los seis y Google a los nueve.

Fuente: Publico.es

En Argentina, Por decreto, el Gobierno refuerza la protección de los datos personales de usuarios

Guido Rosales Uriona - GRU — 2010-08-18T22:55:06Z

Los medios electrónicos y de comunicación hacen que la información prolifere en gran caudal y sin control.

No hay empresa que en la actualidad no maneje bases de datos de clientes, proveedores y recursos humanos.

Tampoco ciudadano que no brinde casi a diario, sus datos personales en encuestas telefónicas, cupones de sorteos, tarjetas de crédito, para dar simples ejemplos. En muchos casos se trata de información sensible y confidencial y puede ser utilizada en forma fraudulenta originando el ilícito que se conoce como robo de identidad.

En este contexto, se generan muchos riesgos. Ninguna empresa se encuentra a salvo de la conducta de un “empleado infiel” o de una filtración de sus sistemas de información que posibiliten un tráfico ilegal de datos, lo que la expondría a sanciones administrativas, penales y civiles. Es raro encontrar personas que se molesten en verificar que sus datos personales sean fehacientes.

Sin embargo, en un momento determinado, les puede llegar una intimación de alguna entidad solicitándole el cumplimiento de una obligación que no contrajeron.

De ocurrir este tipo de delitos, el dolor de cabeza, como mínimo, puede ser el rechazo del pedido de un crédito bancario debido a un historial crediticio negativo.

En esta línea, se publicó el miércoles pasado en el Boletín Oficial el Decreto 1160/2010 que refuerza la idea de que cualquier particular puede hacer una denuncia para poner en funcionamiento el órgano de control de la Ley de Protección de Datos Personales.

Esta norma, conocida también como Ley de Habeas Data, protege el tratamiento de la información privada en poder de las empresas y ordena a las compañías a la adopción de procedimientos y protocolos de seguridad que impidan un “uso incorrecto o desviado” de esa información que pudiera perjudicar a sus titulares.

Hay que tener en cuenta que el tráfico de la misma no termina ahí. También influye en otros aspectos mucho más cotidianos como el propio trabajo y hasta en los llamados telefónicos que cualquier persona recibe en su casa con diversas ofertas publicitarias, a cualquier hora del día y de la semana. Es difícil imaginarlo, pero la importancia de tener un control de estos registros es significativa.

“El decreto establece un procedimiento más específico, tendiente a brindar mayores precisiones en la tarea de investigación y control, con miras a la procedencia de la aplicación de sanciones y al registro de infractores creado en el año 2005”, indicó Horacio Granero, titular de Granero Abogados.

Para Facundo Malaureille Peltzer, socio de Salvochea Abogados, ahora se faculta a la autoridad de aplicación a actuar de oficio o por denuncia de parte. Cualquier particular que vea vulnerados sus derechos puede actuar por sí mismo, recurrir al Defensor del Pueblo, o acercarse a una asociación de consumidores o usuarios”.

El abogado resaltó que es muy importante que se le de legitimación activa a estos últimos porque se ha discutido mucho su actuación, aún en sede judicial.

El socio de Salvochea sostuvo que es clave que el sistema de premios y castigos funcione. “Si esto no ocurre, cualquier mecanismo de protección –en nuestro caso de datos personales- se cae, porque el que lo cumple –convencido o no- no siente la diferencia con el que no lo hace”.

Este decreto le reconoce al Registro Nacional de Protección de Datos Personales facultades relacionadas con la comprobación de la legitimidad de todas las operaciones y procedimientos sistemáticos -electrónicos o no- que permitan la recolección, conservación, orden, almacenamiento, modificación, relacionamiento, evaluación, bloqueo, destrucción y en general el procesamiento de datos personales.

También le otorga potestad respecto a su cesión a terceros a través de comunicaciones, consultas, interconexiones o transferencias y la constatación del funcionamiento adecuado de los mecanismos de control interno y externo del archivo, registro, base o banco de datos para el efectivo resguardo de los datos personales que contiene.

Por otra parte, se aclara la posibilidad del registro de verificar la observancia de las normas sobre integridad y seguridad de datos por parte de los archivos, registros o bancos de datos.

A tal fin se lo faculta a:

La realización de investigaciones e inspecciones Requerir de los responsables o usuarios de bancos de datos y de su tratamiento, información, antecedentes, documentos, programas u otros elementos que estime necesario el organismo. También solicitar el auxilio de los cuerpos técnicos y/o, en su caso, la autorización judicial que corresponda. Realizar inspecciones y labrado del Acta de Inspección pertinente, la que junto con las comprobaciones técnicas que se dispusieren, constituirá prueba suficiente de los hechos así comprobados. Por último, se autoriza al registro a peticionar al juez competente el auxilio de la fuerza pública para realizar el allanamiento de domicilios; la clausura de registros; el secuestro de documentación y toda otra medida tendiente al cabal cumplimiento de la actividad investigativa, implementándose un procedimiento de denuncias en forma personal o a través de Internet de quienes se consideren perjudicados en la protección de sus datos personales y la creación de un Registro de Infractores, cuya nómina, una vez firmes las sanciones, podrá publicarse en el sitio de Internet del organismo.

Granero explicó que estas facultades revitalizan la necesidad de cumplimentar la documentación que respalde la legitimidad de las bases de datos de sus usuarios, lo que redunda indudablemente en la garantía de protección de los datos personales de los individuos, fundamento legal de la norma que posee, además jerarquía constitucional.

“Ojalá esta modificación sea suficiente como para cambiar la inercia de diez años de no cumplimiento con esta ley. Es mi deseo que esta modificación sirva para que la normativa deje las telarañas en la que se encuentra, y sea una norma de cumplimiento activo. Por fin el órgano de control tiene las armas para hacerla cumplir, esperemos lo haga para no repetir otra decena de años para el olvido”, concluyó Malaureille Peltzer.

Casos más frecuentes Hace unos meses, este medio dio cuenta del caso en el que el banco Citibank debió resarcir a una persona por abrir una cuenta -con sus datos- a un tercero, y luego intimarlo al pago del saldo. Este caso pone en el tapete al robo de identidad. La Cámara consideró que la entidad no revisó la veracidad de la información y por eso se originó el litigio.

“La cuestión medular de la sentencia recayó en la función de contralor que recae en la entidad bancaria al momento de abrir una cuenta corriente, porque el mal cumplimiento de los deberes mencionados, acarreó su responsabilidad por los daños ocasionados”, señaló en esa oportunidad Martín Pereyra del estudio Grispo.

“Es muy importante el cuidado que debe tener un banco con los datos de sus clientes, que se corresponde al de un profesional idóneo y experto en la materia. Estamos dentro de lo que se llamar responsabilidad objetiva, ya que los eximentes son mucho más reducidos”, dijo el experto.

Por esto, el abogado afirmó que “en tanto y en cuanto la entidad financiera no cumpla con los extremos exigidos para este tipo de operaciones, como verificar la identidad del cliente, extremar el celo en la averiguación de la solvencia económica y moral del solicitante y verificar la veracidad de la totalidad de los datos, es responsable por los daños y perjuicios que de aquellos incumplimientos se deriven".

Malaureille Peltzer explicó que dentro del área bancaria “la captación de datos o apropiación indebida de éstos ha crecido exponencialmente en los últimos años. Cada vez hay más trampas que pueden implicar la pérdida de datos o de la identidad digital de las personas”.

“Este es un típico problema de robo de identidad”, señaló el especialista y agregó que “los ladrones tienen muchas formas de hacer compras no autorizadas en las cuentas existentes de sus tarjetas de crédito, o de abrir nuevas cuentas utilizando otro nombre, como en el caso bajo análisis”.

Otro tema que preocupa a las empresas es la pérdida de valiosa información por parte de empleados infieles y falta de control.

Dentro de este escenario cobra especial relevancia el uso del e-mail laboral y cómo pueden las compañías supervisar que esta herramienta de trabajo sea correctamente utilizada por sus empleados y no se transforme en una vía para filtrar información.

Para Horacio Bruera, socio de Carranza Torres & Asociados, las medidas de control deben ser “razonables, adecuadas para salvaguardar la confidencialidad de la información y no deben vulnerar los derechos del empleado”.

El abogado agregó que “a diferencia de otras épocas, en que el robo de información confidencial suponía un tortuoso y riesgoso procedimiento, como el ingreso a lugares de acceso restringido o fotocopiados de documentos, hoy en día la distancia que separa el secreto de la divulgación pública es de un clic”.

fuente: iprofesional

Usan la PlayStation 3 para atrapar pedófilos

Guido Rosales Uriona - GRU — 2010-06-11T12:46:03Z

Situación: El pibe suda frente al monitor. Tiene 15 años y con lógica hormonal queda atónito al ver el torso de una pulposa rubia al desnudo. Su interlocutora le hace una suculenta propuesta, encontrarse en la puerta de un hotel en el centro de Morón. Pero al llegar, el joven ya era presa del engaño: la rubia hot se había convertido en un hombre de 38 años que intentó abusar de él.

Cada pervertido deja sus huellas en el mundo digital que pueden reunirse para formar parte de una investigación. En este proceso interviene la informática forense, una rama que ayuda a los abogados y jueces a identificar, preservar y analizar datos almacenados en medios magnéticos y transacciones electrónicas en un litigio judicial o extrajudicial.

“Hasta las consolas de videojuegos como el Playstation pueden guardar datos sobre los movimientos que un pedófilo pudo haber organizado en la Web”, dijo en exclusiva a 24CON Gustavo Presman, director del Estudio de Informática Forense y perito especialista en informática.

Atrapar al abusador virtual

Casos apócrifos como el mencionado se reproducen a diario. El problema está latente y si bien los delitos no tienen datos estadísticos en Argentina, en Europa se estima que la pornografía infantil (asunto que desencadena la mayoría de las veces en abusos) ocupa cerca de 4 millones de zonas virtuales. Según el sitio delitosinformaticos.com, este mercado genera cerca de 1000 millones de euros al mes.

Gustavo Presman, perito.
¿Qué es un perito informático? Gustavo Presman: Es aquel que interviene en cualquier causa que se requiera dilucidar algún tema que tiene que ver con recursos informáticos. Desde lo básico, que puede ser buscar algo en el contenido de una computadora, hasta cualquier elemento digital: impresoras, scanners, teléfonos celulares, dispositivos de GPS, dispositivos de MP3, consolas de video juegos. Son todas computadoras que mantienen información.

¿Cómo se atrapa a un pervertido que encuentra a sus víctimas a través de Internet?
Es complicado de definir porque no siempre se los persigue por un tema informático sino que estos pueden ser parte de otra causa. Pero en resumidas cuentas, existen fuerzas de la ley en todo el mundo que intervienen controlando salas de chat, sitios de intercambio de archivos "peer to peer" y redes sociales en búsqueda de ese tipo de contenido. Se los llama cyberpatrullajes. Y una de sus principales actividades es detectar las direcciones de IP desde donde se están cometiendo estas contravenciones.

Cuando existe un sospechoso, ¿cuál es el procedimiento para identificarlo?
Por ejemplo, cuando la patrulla de la guardia civil española detecta que hay usuarios en Argentina cometiendo delitos, eleva un requerimiento. Este llega a la justicia nacional quien tiene que investigar y tratar de identificar quiénes son los usuarios a partir de la información que ellos envían. Esto puede desencadenar en el secuestro de computadoras y todo tipo de medios digitales como pen drives, cámaras fotográficas, etc.

En el caso de encontrar evidencia, ¿Cómo es su accionar?
Hay que trabajar con mucho cuidado porque en las computadoras vos hacés un clic y borrás un documento que puede resultar una prueba clave. Si bien para los peritos es sencillo recuperarlo con las herramientas apropiadas, uno puede tener la sensación de que esa sencillez apunte a que se pueda eliminar información o que se te pueda plantar información. Incluso copiar archivos con una liviandad que el usuario medio común no se puede dar cuenta. Por eso existen procedimientos especiales y equipos que garantizan que las computadoras secuestradas en allanamientos no fueron modificadas para que todo se pueda hacer en un marco de legalidad.

¿Cuál es el Top 3 de los delitos más comunes?
Desde que existe una ley de delitos informáticos y desde que las computadoras se han difundido masivamente, los delitos se han acrecentado exponencialmente. Los más comunes son: el fraude. El mismo que hace 50 años se hacía con un papel, hoy se hace a través de la utilización de una computadora. Se pueden encontrar rastros en las computadoras desde registros manipulados hasta comunicaciones electrónicas que el usuario pudo haber borrado pero que están ahí latentes para ser recuperados con las herramientas apropiadas. El delito contra la propiedad intelectual: falsificación de productos informáticos, descargas de productos sin las correspondientes licencias. Y tercero: Lamentablemente un delito que está creciendo bastante y que está difundiéndose en todo el mundo es la distribución de pornografía infantil a través de internet.

Antes nombró al Playstation como un elemento que puede deschavar a un pedófilo, ¿Cómo se inspecciona una máquina de este estilo?
Las consolas más modernas además de tener un medio de almacenamiento digital, permiten la conectividad a internet y la posibilidad de jugar entre distintos usuarios. Por lo tanto es una terminal y se puede establecer actividad virtual. Mientras se está jugando, los mismos usuarios podrían estar descargando material o transfiriendo archivos de cualquier tipo de contenido. Las consolas son computadoras disfrazadas.

Fuente: http://24con.elargentino.com/

Implementado un Laboratorio Forense

Guido Rosales Uriona - GRU — 2010-06-01T23:26:42Z

En esencia un laboratorio de informática forense es un conjunto de recursos destinados al análisis científico de evidencia digital. En esta breve definición se encierra varios detalles como ser:

Conjunto de recursos: Comprende recursos de hardware, software, infraestructura y sobre todo gente capacitada.

Análisis Científico: Comprende un conjunto de protocolos aplicados a descubrir, probar o encontrar algo que llega a estar definido por técnicas de investigación científica, donde los resultados deben poder ser repetibles aplicando las mismas variables iniciales.

Sin entrar en mucho detalle conceptual, que puede ser encontrado en muchas fuentes, quiero llegar al punto donde comparto la experiencia adquirida en estos años de estar trabajando con evidencia digital.

Primero: muchas veces pensamos que la evidencia digital debe ser tratada de forma diferente por estar enmarcada en las Nuevas Tecnologías. Eso de Nuevas le da cierto aire de "piedra libre", sin embargo mientras mas analizamos, encontramos similitudes con otras ciencias, otros tipos de laboratorio que nos hacen ver todo el desarrollo existente entorno a este tema. Por supuesto que no estoy generalizando a nivel internacional, sino apuntando a mi querida Bolivia y con cierta seguridad a unos cuantos vecinos en Latinoamericana dado un común denominador existente entre nosotros.

Segundo: Los recursos son medios, herramientas a utilizar para el fin deseado. cuando digo utilizar estoy apuntando a personas que lo hacen, personas que deben estar capacitadas para hacerlo.

Sin ampliar mucho el tema, juntando ambos elementos llegamos a un circulo vicioso. si no tenemos gente con la capacidad de utilizar recursos y métodos científicos para valorar la evidencia digital, no generamos la necesidad de contar con esos recursos, no llegamos a la gente con la capacidad de decisión para implementar laboratorios forenses en Bolivia y consecuentemente no tendremos recursos capacitados. Osea estamos encerrados en el eterno dilema del "huevo y la gallina".

Lastimosamente el desarrollo de la tecnología de información sigue avanzando y es un carro al cual no podemos subir por completo. Lo hacemos en algunas paradas, compramos medios para utilizar pero no pensamos en el mal uso que estos puedan tener. Como que lanzamos la piedra para mas adelante, para el siguiente. Concretamente estamos con políticas de inclusión digital, pero tenemos politicas de descolonizacion cultural. No entiendo si esto es compatible siendo un país consumidor. Queremos borrar el pasado enfrascandonos cada día mas en él.

Por un lado el gobierno regala computadoras, crea un decreto para registrar los celulares, pero por otro la Policía Nacional no termina de implementar sus unidades de lucha contra el crimen digital y ni que decir del Ejercito Nacional que brilla aun mas por su ausencia en toda comunidad de seguridad.

Bueno para no extenderme mucho, adjunto algunas imágenes de esta implementacion.

Con un ultrakit - Conjunto de bloqueadores de escritura

Dictando la capacitacion

Con un FRED-L - Estacion Forense Portatil

Junto a un FRED - Estacion Forense Fija

Dictando el enternamiento.

Curso Oficial Lead Auditor ISO 27001

Guido Rosales Uriona - GRU — 2010-04-14T17:58:46Z

Si bien el entrenamiento no pretende enseñar en una semana todo lo que se debe conocer para ejercer como auditor lider, permite reforzar conocimientos tanto en el campo de la auditoria como en el de seguridad.

Fue una experiencia muy buena y tuve la oportunidad de compartir este tiempo con colegas apasionados por la seguridad de la informacion.

Comparto algunas fotografias:

Curso Oficial de ENCASE en Buenos Aires

Guido Rosales Uriona - GRU — 2010-04-14T17:51:05Z

Si bien el curso es muy util para quienes estan comenzando en este campo, para quienes estamos varios años con la materia y con la herramienta llega a ser la oportunidad de acreditarlo oficial e internacionalmente. Ademas de tener la oportunidad de compartir ideas y experiencias con el instructor, el Ing. Gustavo Presman que sin duda alguna hoy por hoy es el maximo exponente a nivel latinoamerica con experiencia REAL y no solo academica.

El contenido minimo incluia: The main areas covered on Day 1 include: • EnCase Forensic methodology – Creating an EnCase F orensic case file • Navigating within the EnCase Forensic environment • EnCase Forensic concepts – Safeguarding and preserving evidential data • Understanding the concept of digital evidence and its impact on an investigation • The basics of acquiring a forensically sound copy of data from a removable disk • Understanding how computers work – Hardware and associated terminology – The CMOS, BIOS and boot sequence – Interpreting binary and he xadecimal data – The basics of text encoding

The main areas covered on Day 2 include: • NT/FAT File Systems – How these file systems track data on their respective volumes as well as what occurs when a file is created as well as deleted • Acquisition of a hard disk – Write-blocking technologies – Acquisition using a forensically sound Linux operating system » Drive-to-drive acquisition » Network crossover-cable acquisition – Previewing computer systems – Creation of keywords and searching – Basic bookmarking

The main areas covered on Day 3 include: • File types – Discussion of the categories of files/folders and the icons employed by EnCase Forensic • Reviewing search hits and bookmarking – A more detailed discussion of bookmarking and related options • Signature analysis – An automated comparison of the displayed file extension with the actual content of the file • Hash analysis – Using digital signatures to identify/e xclude files without visually examining each one • Installing external viewers • Detailed copy/UnErase options • Restoring evidence – Often required by court order; necessary to recover data and/or examine the operation of the host system in real-time

The main areas covered on Day 4 include: • Archiving and reopening an archived case • Verification of an evidence file • Timeline view • Location and recovery of evidence in unallocated space – Manually – Using EnScript® programs • The importance and practicalities of evidence handling