Seguridad de la información

Utiliza WhatsApp en tu empresa cumpliendo el RGPD y la LOPDGDD

WhatsApp es la aplicación de mensajería instantánea por antonomasia. Según el último informe publicado por eMarketer, cuenta con más de 800 millones de usuarios activos, de los cuales más de 30 millones se encuentran en España. Debido a su amplia adopción por los usuarios, algunas empresas lo utilizan como medio de comunicación, bien sea de manera interna o con los clientes.

Las empresas que decidan utilizar esta herramienta deberán hacerlo cumpliendo con el RGPD, la LOPDGDD y la LSSI y con las condiciones indicadas por Facebook.

WhatsApp Business

Las empresas o autónomos que decidan apostar por esta herramienta de mensajería instantánea deberán utilizar WhatsApp Business (Google Play o App Store) y no la aplicación WhatsApp Messenger, que está diseñada para comunicaciones personales.

WhatsApp Business es una aplicación diseñada para cubrir las necesidades de los negocios. Según indican desde la compañía, ha sido creada para facilitar las comunicaciones con clientes, aportando herramientas que permiten automatizar, ordenar y responder mensajes de forma rápida.

Como sucede con cualquier herramienta de terceros, se han de leer, comprender y  seguir los términos y condiciones especificados por la compañía; de lo contrario, WhatsApp podría suspender la cuenta. El principal motivo por el que se puede suspender una cuenta es utilizar versiones alteradas y aplicaciones no oficiales, aunque también hay otros como difundir spam. Todos estos usos no autorizados se pueden consultar en la sección «Uso aceptable de nuestros servicios».

Utilizar aplicaciones no oficiales es motivo de sanción por parte de WhatsApp, pues supone un riesgo para la privacidad y seguridad, ya que un tercero sin autorización podría estar accediendo a los datos.

Utilizar WhatsApp de manera interna en la empresa

Desde avisar que se está enfermo, informar que se va a llegar tarde, solicitar un cambio de turno, etc., la aplicación de mensajería es utilizada en multitud de empresas de forma interna para comunicarse con el resto de compañeros y personal de la organización. Si el empleador ha creado un grupo para este tipo de comunicaciones internas, debe avisar previamente a todos los miembros. Estos han de poder aceptar o rechazar ser incluidos en dicho grupo libremente, sobre todo si hacen uso de sus teléfonos particulares. Además, los miembros del grupo podrán revocar el consentimiento y ejercer sus derechos en cualquier momento.

En la primera comunicación que se realice con los miembros del grupo es recomendable que figure cierta información legal «primera capa». Un ejemplo de esta primera comunicación sería:

• Responsable: nombre y apellidos del responsable del tratamiento.
• Finalidad: objetivo de la comunicación.
• Legitimación: base jurídica en la que se basa el tratamiento.
• Destinatarios WhatsApp y nadie más, salvo obligación legal.
• Derechos: acceder, rectificar y suprimir los datos, así como otros derechos, tal y como se explica en la información adicional.
• Información adicional: puede consultar la información adicional y detallada sobre protección de datos en la página web: https://www.aepd.es/es/derechos-y-deberes/conoce-tus-derechos 
• Contacto: correo del responsable del tratamiento o del Delegado de Protección de Datos (DPD).

Utilizar WhatsApp para comunicaciones con clientes

WhatsApp puede ser también utilizado como canal de comunicación con clientes o como medio para un primer contacto.

La empresa que desee comunicarse con sus clientes por medio de la aplicación de mensajería instantánea revisará si este tratamiento es lícito, y lo será si cumple con alguna de las condiciones descritas en el artículo 6, licitud del tratamiento, del RGPD. Como precedente se encuentra la resolucióndel Procedimiento E/01824/2019 de la AEPD.  En dicho procedimiento se presentó una reclamación ante la AEPD contra Vodafone España, S.A.U. por parte de un cliente al que la compañía contactó por medio de la aplicación de mensajería WhatsApp sin que este lo hubiera autorizado. El procedimiento terminó siendo archivado por la AEPD, ya que según el artículo 6.1.b) del RGPD, el tratamiento es lícito cuando es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. Otra de estas causas de licitud sería que el usuario hubiera dado su consentimiento.

También se debe cumplir con lo indicado en el artículo 13 del RGPD. En este se indica que el responsable del tratamiento informará al interesado sobre su identidad, los fines del tratamiento para los cuales son destinados los datos personales y la base jurídica en que se apoya, entre otros aspectos.

WhatsApp Business cuenta con una API (Application Programming Interface) que permite implementar diferentes funciones de la aplicación en otros productos software utilizados en la empresa, como es el caso del CRM, para la gestión de la comunicación con los clientes. Dentro de esta API se ofrece a los usuarios una función que permite obtener el consentimiento de los usuarios antes de comenzar a interactuar con ellos por medio de WhatsApp.

WhatsApp Business permite establecer mensajes de bienvenida en nuevas conversaciones o cuando estas tengan una antigüedad superior a 14 días. En este mensaje se recomienda indicar la información básica sobre el tratamiento de datos, denominada «primera capa».

Es recomendable que solamente se use WhatsApp como canal de comunicación a nivel informativo o como envío de publicidad, no como medio para compartir datos personales o información confidencial. Esto se debe a que se escapan del control de la empresa al depender de la política de privacidad de WhatsApp. Además, el responsable, en caso de violación de los derechos, será la encargado del tratamiento de nuestra empresa, tal y como indica el artículo 5 del RGPD.

Cuando se pretendan realizar comunicaciones comerciales por medio de la aplicación, se deberán seguir las pautas que indica el artículo 21 de la Ley de Servicios de la Sociedad de la Información y del comercio electrónico o LSSI:

• Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente, como es WhatsApp, que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.
• El punto anterior no será de aplicación cuando exista una relación contractual previa, siempre que se hayan obtenido de manera lícita y sean empleados para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa similares a los ya contratados.
• El prestador del servicio deberá ofrecer la posibilidad al destinatario de oponerse al tratamiento de sus datos con fines comerciales mediante un procedimiento sencillo y gratuito, tanto en el momento de la recogida como en cualquiera de las comunicaciones.

Otras cuestiones a tener en cuenta al usar WhatsApp Business

Además de las consideraciones legales que conlleva el uso de WhatsApp en la empresa, se deben tener en cuenta otras cuestiones:

• El responsable del grupo deberá utilizar dispositivos seguros y nadie, salvo que haya firmado previamente un acuerdo de confidencialidad, podrá interactuar con el grupo.
• Se formará a los miembros de la organización sobre el correcto tratamiento de los datos personales de los clientes y el uso adecuado de los grupos internos de la organización.
• Si un usuario desea ejercer sus derechos se contactará con WhatsApp informando sobre el derecho que se desea ejercer y se pondrá en copia del correo al interesado.
• Se evaluarán los riesgos para la protección de datos personales (por ejemplo, mediante la herramienta de la AEPD) que implica utilizar esta aplicación o cualquier otra similar antes de implementar su uso para cualquier tratamiento. También se establecerán las medidas técnicas y organizativas necesarias para que su uso sea lo más seguro posible.

Si usas WhatsApp para tu negocio no olvides hacerlo de forma legal. ¿Tienes en cuenta todas estas cuestiones? ¡Protege tu empresa!

Fuente: INCIBE

¿Tu casa también es tu oficina? ¡Protégela!

Actualmente la tecnología que poseemos en nuestros hogares nos permite continuar con nuestras «tareas de oficina» cuando llegamos a casa. Abrir el correo de la empresa para estar al día de las últimas notificaciones recibidas, realizar un pedido a uno de nuestros proveedores o actualizar la lista de clientes son solo algunas de las tareas corporativas que podemos realizar cómodamente desde nuestro hogar. Hasta aquí todo parecen ventajas pero, ¿y si hablamos de la seguridad? ¿Tomamos en casa las mismas precauciones que en la oficina? ¿Realmente conocemos todas las medidas de seguridad que necesitamos? Por si acaso, toma nota y sigue nuestros consejos.

Cómo teletrabajar de manera segura

• No regales tus datos a la primera de cambio. Protege tu equipo y tus dispositivos móviles con credenciales de acceso y diferencia tus cuentas personales de las profesionales. Recuerda utilizar siempre contraseñas robustas y el doble factor de autenticación siempre que sea posible.
• Mantén los sistemas operativos y las aplicaciones actualizados, tanto los que usas profesionalmente como a nivel usuario. Instala software de repositorios oficiales y nunca olvides disponer de un antivirus.
• Cifra tus soportes de información para proteger los datos de tu empresa de posibles accesos malintencionados y garantizar así su confidencialidad e integridad.
• Realiza copias de seguridad periódicas de todos tus soportes para garantizar la continuidad de negocio en caso de que ocurra cualquier incidente de seguridad o cualquier otro posible desastre (robo o pérdida del dispositivo, avería, etc…). Comprueba regularmente que estas copias pueden restaurarse.
• Si necesitas acceder a la información almacenada en los equipos de la empresa, evita el uso de aplicaciones de escritorio remoto. Estas herramientas pueden crear puertas traseras (backdoors) a través de las cuales podría comprometerse el servicio o las credenciales de acceso de usuario y por lo tanto permitir el acceso a los equipos corporativos. Además, al usar este tipo de aplicaciones aceptamos ciertos términos y condiciones de uso que podrían otorgar algún tipo de «privilegio» a las mismas sobre nuestros equipos e información.
• En lugar de las aplicaciones de escritorio remoto, conéctate a tu empresa de forma segura a través de una red privada virtual o VPN, del inglés Virtual Private Network. De este modo, la información que intercambiamos entre nuestros equipos viaja cifrada a través de Internet. Documéntate sobre las diferentes opciones para elegir una VPN segura y que mejor se adapte a tu organización.
• Si en casa disponemos de conexión Wifi, debemos asegurarnos de que la configuración es correcta y segura. Así evitaremos que un ciberdelincuente pueda conectarse a ella y robar nuestra información o la de nuestros clientes.
• Recuerda que aunque trabajes desde casa, siempre debes garantizar la seguridad de tus datos y cumplir con las exigencias de seguridad marcadas por la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
• Si utilizas dispositivos móviles (smartphones, tablets, ordenadores portátiles, etc.) para acceder a tu información corporativa, instala aplicaciones de administración remota. En caso de robo o pérdida, te permiten localizarlo o realizar un borrado de los datos si fuera necesario.
• Si no dispones de una VPN, cuando viajes evita el uso de redes wifi públicas (hoteles, cafeterías, aeropuertos, etc.), utiliza las conexiones 4G/5G en su lugar y accede a servicios utilicen comunicaciones seguras (SSL, HTTPS, etc.).
• Cuando la información deje de ser necesaria para tu organización, debes borrarla de forma segura. Si se trata de soportes no electrónicos (papel, negativos fotográficos, radiografías, etc.) será necesario utilizar una trituradora. Para los soportes electrónicos utiliza el proceso de sobrescritura, si quieres reutilizar el dispositivo, o el de desmagnetización o destrucción física, en el caso de que quieras desecharlo.

Si tu casa a veces también es tu oficina, ahora ya sabes cómo protegerla. ¡Protege tu empresa esté donde esté!

Fuente: Incibe

Qué son las brechas de seguridad, cómo te pueden afectar y cómo protegerte

Te ofrecemos algunos consejos que debes tener en cuenta si crees que tu información puede haberse visto comprometida

Los vehículos en los que nos trasladamos son cada vez más seguros gracias a la eficacia de las medidas de seguridad que incorporan. En cualquier caso, no puede afirmarse que los vehículos sean completamente seguros, ya que el riesgo sigue existiendo. Los sistemas informáticos en los que nuestros datos personales son almacenados y procesados también son cada vez más seguros pero, como cualquier otro producto o servicio, se encuentran sujetos a posibles errores o fallos de funcionamiento que, en ocasiones, pueden terminar afectando a nuestra información personal, permitiendo que otras personas puedan tener acceso a nuestros datos personales. Esto es lo que se conoce como una “brecha de seguridad”.

Sigue leyendo →

La confianza de nuestros clientes no tiene precio

Hace unos días el INCIBE  ha publicado este interesante artículo con el fin de que tomemos conciencia sobre la importancia que tiene en nuestra imagen y reputación las brechas de seguridad y las fugas de datos. Os animo a leer este pequeño artículo y a reflexionar sobre su contenido. Espero que os guste.

https://www.incibe.es/protege-tu-empresa/blog/confianza-nuestros-clientes-no-tiene-precio

Fuente: INCIBE

¿Se puede incluir a un ciudadano en el registro de morosos cuando se ha interpuesto una reclamación ante un órgano arbitral a fin de concluir si la deuda reclamada es cierta o no?.

El artículo 4.3 de la LOPD explicita lo siguiente:

«Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado».

 Este apartado del artículo 4 forma parte del cuerpo del principio de calidad expuesto en la LOPD.

 Por tanto, si se incluyera los datos de un ciudadano en el registro de morosos mientras exista una reclamación ante un órgano arbitral a fin de concluir si la deuda reclamada es cierta o no, y dicha reclamación sea de conocimiento de las partes, no cumpliría con el requisito expuesto en dicho principio de calidad, ya que el dato incluido “no responde a la veracidad de la situación actual del afectado ni a su exactitud…

 La Sección Primera de la Sala de lo Contencioso de la Audiencia Nacional así lo ha confirmado en una sentencia del 30 de mayo de 2012 en la que viene a ratificar, en parte,  la sanción impuesta contra Orange (France Telecom) por la Agencia Española de Protección de Datos, sanción que ascendía a 50.000€, aunque luego fue reducida a 6.000€ por dicho Tribunal.

 Entre los aspectos mas importantes de la sentencia destacamos los siguientes párrafos:

 “El Abogado del Estado sostiene en su escrito de contestación a la demanda que France Telecom instó la inscripción en el fichero Asnef de una deuda de 125 € sin efectuar el previo requerimiento de pago y además, no esperó el resultado de la Junta Arbitral de Consumo a la que acudió el denunciante y pese a que la Junta Arbitral entendió que la deuda existía en su concepto, nada obste a que la AEPD valorase si las inclusiones en los ficheros de morosidad se hicieron cumpliendo o no la normativa de protección de datos y en este caso Orange incluyó los datos del denunciante en el fichero de morosidad pese a que conocía la reclamación administrativa en cuestión.”

 “La AEPD fundamenta también la infracción del principio de calidad de datos, en el hecho de haber incluido France Telecom los datos del denunciante en el fichero Badexcug y haberlos mantenido en el fichero Asnef, por el impago de una factura pese a conocer la existencia de una reclamación administrativa formulada ante los servicios de protección al consumidor de …”

 “La redacción del artículo 38 del RDLOPD, tras la aplicación de la citada STS de 15 de julio de 2010 es la siguiente:

 Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

 a) Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada.

 b) Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación.

 c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.

 3 El acreedor o quien actué por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo a que se refiere el artículo siguiente.

 Es decir, para la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, tanto la redacción actual del precepto como la original requiere al inicio del apartado 1.a) que la deuda sea cierta, exigencia que responde al principio de veracidad y exactitud de los datos recogido en el artículo 4.3 de la LOPD al expresar que » Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado».

FACUA denuncia a Google ante Protección de Datos por exponer mensajes privados de chat

FACUA-Consumidores en Acción ha denunciado a Google ante la Agencia Española de Protección de Datos (AEPD) por un fallo de seguridad en Google Talk, Google Hangout y el chat de Google Gmail que está provocando que se filtren a terceros conversaciones privadas de los usuarios.

La propia compañía reconoció en la mañana del jueves 26 estar investigando «informes que indican un problema con Google Talk». Al final de la tarde del mismo día, la empresa anunciaba que el servicio se había restaurado «para algunos usuarios» y que esperaban «solucionar el problema para todos los demás en breve».

FACUA advierte de que al momento de publicar este comunicado, Google todavía no había confirmado la restauración del servicio por completo.

Numerosos usuarios han manifestado a través de las redes sociales su preocupación por una grave incidencia que ha podido desvelar información confidencial a múltiples destinatarios del servicio que se han encontrado con mensajes ajenos de forma involuntaria.

FACUA ha pedido a la AEPD que realice los controles e inspecciones oportunos para verificar si Google ha incumplido la normativa, obligue a la empresa a corregir esta grave vulneración y le aplique las sanciones correspondientes.

Principio de seguridad de los datos

En su denuncia, FACUA argumenta que Google puede haber vulnerado el «principio de seguridad de los datos», regulado en el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por no contar con las suficientes medidas de seguridad en su red.

La norma establece en este artículo que «el responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos».

Fuente: Facua

Impresiones de la nueva ISO 27000 para 2013

Hay más de 30 normas de la serie ISO 27000, las cuales están en constante cambio porque la seguridad de la información y las mejores prácticas evolucionan constantemente. Estos son los cambios que probablemente ocurrirán en 2013 con estas normas:

ISO/IEC 27001: dado que esta es la norma principal de la serie, su revisión se espera con gran expectación. Fue publicada en 2005, por lo que los cambios seguramente no serán menores. El cambio más grande (además de los controles del Anexo A, véase la norma ISO 27002 a continuación) será en la estructura de la norma. De acuerdo con las directivas ISO anexo SL (anteriormente denominado ISO Guide 83), la estructura de cada estándar de administración debe ser alineado, por lo que el mismo destino tendrá esta revisión de la norma ISO 27001. Estos cambios son visible en la norma ISO 22301, la norma de continuidad de negocio nuevo, que fue la primera en cumplir con la Guía 83.

La fecha de publicación de la norma ISO 27001 no se ha establecido aún, pero podría ser en la segunda mitad de 2013.

ISO/IEC 27002: la revisión de esta norma se publicará junto con la norma ISO 27001, ya que brinda directrices para la aplicación de los controles de la ISO 27001 Anexo A. Por lo tanto, estas dos normas deben alinearse completamente. ¿Cuáles serán las revisiones?

ISO/IEC 27004: este es el estándar que define las métricas de seguridad de la información, en otras palabras, la forma de medir seguridad de la información en una organización. Se ha publicado inicialmente en 2009 entrará en proceso de revisión durante 2013.

ISO/IEC 27006: esta norma define los requisitos para los organismos de certificación que prestan los servicios de auditoría. Como otras normas de auditoria (ISO 19011 e ISO 17021) están actualmente en proceso de revisión. Se espera que la versión revisada de la norma ISO 27006 se publicará en 2013 o 2014.

ISO/IEC 27011: es el estándar que proporciona directrices para la gestión de seguridad de la información en las telecomunicaciones. Como se basa en gran medida en la norma ISO 27002, se revisará una vez que la nueva versión de la norma ISO 27002 se publique. Puede ocurrir en el 2013, pero es más probable en 2014.

ISO/IEC 27014: define la gobernanza de la seguridad de la información, ya que esta norma está, al momento de escribir este artículo en estado FDIS (final), se espera que se publicará en el primer semestre de 2013.

ISO/IEC TR 27016: es el estándar que define la economía organizacional para la gestión de información de seguridad. Dado que esta norma se encuentra todavía en la versión preliminar, es teóricamente posible que se publicará en 2013, sin embargo, 2014 es mucho más realista como un año de publicación.

ISO/IEC 27017: es el estándar que define la seguridad en Cloud Computing. Ya que dependerá en gran medida de revisar la norma ISO 27001 e ISO 27002, a lo sumo se publicará a finales de 2013 o el primer semestre de 2014.

ISO/IEC 27018: es el estándar que va a proporcionar el código de prácticas para el control de la protección de datos para los servicios públicos de Cloud Computing. Similar a la norma ISO 27017, esta norma debe esperar hasta que se publique la norma ISO 27002.

ISO/IEC TR 27019: es la norma que se centra en las directrices de gestión de seguridad para la industria de la energía. Al estar basado en la norma ISO 27002, no se espera que se publicará hasta finales de 2013 o en 2014.

ISO/IEC 27033-5: se encuentra todavía en la fase de borrador, y define cómo utilizar comunicaciones seguras mediante red privada virtual (VPN). Su publicación se espera hacia finales de 2013.

ISO/IEC 27036: está todavía en la fase de borrador y se especifica la forma de regular la seguridad de la información en las relaciones con los proveedores. Esta norma se publicará en cuatro o cinco partes, tres de los cuales podrían ser publicados en 2013 o principios de 2014.

ISO/IEC 27040: define la seguridad de almacenamiento. Está programado para ser publicado en 2013, pero puede ser empujado hasta 2014.

Como se puede ver, muchas normas se publicarán pronto, o por lo menos van a ser revisadas. ¿Quién dice que la seguridad informática es un negocio aburrido?

Fuente: ISO 27001 Standard

Fuente: Segu-Info

CCN-CERT: MAGERIT v3 y 17 nuevas guías STIC

• Libro I – Método
• Libro II – Catalogo
• Libro III – Técnicas

Evita que te rastreen en las redes sociales con estas herramientas

Facebook, Twitter o Google tienen la mayoría de tus datos y hábitos de navegación. También existen cientos de empresas de cobro por publicidad que serían beneficiadas haciendo seguimiento de lo que consumes y compartes en la red. ¿Cómo evitarlo y asegurar tu privacidad?

Técnicas para fortalecer la seguridad de tu correo electrónico