En general, en la práctica totalidad de las áreas de conocimiento técnicas, creamos estándares en base la experiencia adquirida y se van formando “de facto” las buenas prácticas que finalmente, cuando se generalizan, pasan a formar estándares y normativas.
Si nos centramos en el mundo de las periciales informáticas, desde que ejerzo como perito judicial he añorado siempre un estándar que conduzca a aportar formalidad y calidad en los informes periciales que entregamos generalmente a abogados y jueces.
La norma UNE 197001:2011 publicado en Marzo de 2011 tiene por objeto el establecimiento de las consideraciones generales que permitan precisar los requisitos formales que deben tener los informes y dictámenes periciales, sin determinar los métodos y procesos específicos para la elaboración de los mismos. Es decir, las normas que el documento final que concebimos para reflejar nuestra investigación.
Desde mi punto de vista el documento permite:
La norma marca que nuestro documento pericial contemple las siguientes generalidades:
Respecto de la identificación se define expresamente que:
Respecto de las tachas o imparcialidad:
El siguiente punto habla del clásico juramento promesa:
Respecto del índice general:
Sobre el tema más importante, el cuerpo de la pericial, se indica que:
Espero que los abogados, jueces, etc. comiencen a pensar que probablemente esta norma, aunque escueta en su contenido, debe de ser la base de toda pericial informática y se exija como tal. Desde mi punto de vista solo las periciales que cumplan este estándar deberían de ser admitidas a un perito pues refleja, de uno u otro modo, que el perito está capacitado o por lo menos sigue las normas marcadas para la realización de periciales
El Reglamento de desarrollo de la LOPD, a partir del nivel medio de seguridad, en su artículo 96 RLOPD, señala que será obligatorio realizar una auditoría que contemple los sistemas de información e instalaciones de tratamiento y almacenamiento de datos y verifique el cumplimiento de las medidas de seguridad reguladas en el Título VIII del RLOPD.
¿Cada cuánto se habrá de realizar la misma?
La respuesta la hayamos en la redacción del artículo 96.1 del RLOPD que señala lo siguiente:
1. Apartir del nivel medio los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento del presente título.
De esta forma, el RLOPD establece la obligación de realizar la misma en el período que va desde que se hizo la última hasta, al menos, dos años después. La definición «al menos cada dos años», indica claramente que el período entre auditoría no deberá superar nunca los 24 meses, ni transcurrir mas de los 730 días. Esto viene a dejar en evidencia a aquellas entidades que, realizando esta exigencia legal de auditar sus sistemas de información, lo hacen computando solo el año olvidando el mes y el día. Por ejemplo, realizaron la auditoría el 12 de enero del 2010 y creen que tienen todo el 2012 para llevarla a cabo; pero la definición del artículo 96.1 deja claro que la fecha tope para haber realizado la misma se cumplió el 11 de enero del 2012. La realización de una auditoría fuera de esa fecha deberá recoger este hecho como un incumplimiento de la medida de seguridad.
Además, el artículo 96.1 en su continuación recoge la obligación de realizar una auditoría extraordinaria en aquellas situaciones en las que el responsable del fichero realice modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas objeto de verificar la adaptación, adecuación y eficacia de las mismas. Esta auditoria extraordinaria inicia el cómputo de dos años detallado con anterioridad.
¿Qué entendemos por modificaciones sustanciales en el sistema de información? A modo de ejemplo, podemos citar algunos casos: Cambio de sedes; cambios en servidores o estructura de seguridad de la red; cambio de aplicaciones que gestionen los ficheros que contienen los datos personales, etc..
¿Durante cuánto tiempo se deberán conservar dichos informes de auditoria?.
Esta pregunta ya fue respondida por la AEPD en su informe jurídico 0191/2010, y en el mismo se explicó lo siguiente:
El apartado 3 del precepto establece que “los informes de auditoria (…) quedarán a disposición de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las Comunidades
Autónomas”, si bien no se establece el plazo de conservación a disposición de la Agencia de tales informes.
El artículo 44.2 h) de la Ley Orgánica 15/1999 dispone que constituirá infracción grave de la Ley “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dicha infracción prescribirá a los dos años de su comisión, tal y como dispone el artículo 47.1 de la Ley.
Como puede comprobarse, el responsable del fichero y el encargado se encuentran obligados a la realización, siempre que sean de aplicación las medidas de seguridad de nivel medio, como mínimo, de una auditoría cada dos años, siendo precisamente de dos años el plazo de prescripción de la sanción
consistente en no haber cumplido con dicha obligación.
De este modo, en caso de que por esta Agencia se requiriese el último informe de auditoría presentado conforme a lo dispuesto en el artículo 96 del reglamento de desarrollo de la Ley Orgánica 15/1999, la entidad requerida debería siempre tener a disposición de la Agencia un informe emitido durante los dos años anteriores al momento en el que se solicita el requerimiento,siendo éste precisamente el último informe de auditoría al que debería haberse sometido la entidad.
A la vista de lo anterior, teniendo en cuenta los plazos de prescripción y de obligación de sometimiento a la auditoría, el término durante el cual el informe debería estar a disposición de la Agencia Española de Protección de Datos o autoridad autonómica de control competente debería ser el de dos años, da modo que si no se dispusiera de un informe de esa antigüedad la entidad responsable o encargada estaría vulnerando lo dispuesto en la Ley Orgánica 15/1999 y su Reglamento de desarrollo, al no haber sometido los sistemas a una nueva auditoría en el plazo señalado.
En todo caso, y a fin de evitar la posible comisión de una infracción en caso de haberse llevado a cabo una nueva auditoría y no haberse ultimado las conclusiones de la misma, se considera que sería conveniente que en todo caso se encontrase a disposición de la Agencia el último informe de auditoría que se hubiese emitido, no siendo preciso mantener a su disposición los anteriores a aquél.
El informe de auditoría debe, desde un punto de vista general, dictaminar sobre la adecuación de las medidas y controles de seguridad existentes a lo contenido en el RLOPD. Por tanto, deberá identificar las deficiencias que sean observadas, proponer medidas correctoras e incluir recomendaciones por parte del equipo auditor. Igualmente, resulta adecuado y conveniente que se recojan datos, hechos y observaciones en los que se basen los dictámenes alcanzados.
Para poder llevar a cabo la misma, ¿qué deberá tener en cuenta el Responsable de Seguridad de la entidad a auditar?. Lo siguiente:
Conocer el nivel de seguridad de la organización, es el primer paso antes de diseñar e implantar cualquier medida de seguridad.
En la actualidad la seguridad TIC se considera parte integral y necesaria de cualquier empresa u organización, es por ello que muchas empresas están implantando medidas de seguridad con muy diversos objetivos: adecuarse a diversa normativa legal, como la LOPD, implantar un sistema de gestión de la seguridad (SGSI) o proteger los sistemas e infraestructuras de cualquier ataque o amenaza.
Pero independientemente de las razones para mejorar la seguridad, antes de implantar cualquier medida, es fundamental conocer el nivel real de seguridad de la organización, de forma que en base a la información obtenida sea posible diseñar y seleccionar las medidas de seguridad adecuadas, que luego serán implantadas allí donde más se necesitan, o en base a los criterios que se tomen como guía para cada organización y escenario particular.
Para conocer el nivel de seguridad real, uno de los pasos fundamentales, es la realización de una auditoría técnica. Una auditoría técnica es un conjunto de procedimientos y herramientas que un consultor o experto en seguridad combina y aplica allí donde sea necesario para obtener información que le permita conocer el estado o nivel de seguridad de un servicio, sistema o infraestructura.
Las auditorías técnicas hacen referencia a toda la estructura TIC de la organización, y debido a la gran variedad de infraestructuras existentes, la realización de este tipo de auditorías es compleja y requiere de personal muy especializado, aunque en la actualidad el mercado de soluciones de seguridad ofrece multitud de ellas para facilitar la realización de auditorías técnicas.
Existen muchos tipos de auditorías técnicas, tal vez tantos como sistemas e infraestructuras a analizar. A continuación describimos algunos de los tipos de auditorías técnicas:
En la actualidad, gracias a las soluciones que podemos encontrar en el mercado de seguridad TIC, la realización de las auditorías técnicas que se han indicado o de otras, se ha simplificado de forma significativa, pero por lo general sigue siendo necesario que las realice personal especializado, por lo que las empresas y organizaciones recurren habitualmente a empresas que ofrecen este tipo de servicios.
Desde INTECO-CERT recomendamos la realización de al menos una auditoría técnica de seguridad al año, de carácter general, con el objetivo de conocer el nivel de seguridad de la organización, detectar fallos de seguridad graves, incumplimientos de las políticas de seguridad o fallos de seguridad que supongan el incumplimiento de normativa de legal, como la LOPD.
Por último, recordar que conocer el nivel real de seguridad de la organización, es el primer paso para decidir dónde y cómo aplicar las medidas de seguridad más adecuadas.
Fuente: Inteco