PROTEC-DATOS
auditoría técnica
Norma UNE197001:2011 base para las periciales informáticas
En general, en la práctica totalidad de las áreas de conocimiento técnicas, creamos estándares en base la experiencia adquirida y se van formando “de facto” las buenas prácticas que finalmente, cuando se generalizan, pasan a formar estándares y normativas.
Si nos centramos en el mundo de las periciales informáticas, desde que ejerzo como perito judicial he añorado siempre un estándar que conduzca a aportar formalidad y calidad en los informes periciales que entregamos generalmente a abogados y jueces.
La norma UNE 197001:2011 publicado en Marzo de 2011 tiene por objeto el establecimiento de las consideraciones generales que permitan precisar los requisitos formales que deben tener los informes y dictámenes periciales, sin determinar los métodos y procesos específicos para la elaboración de los mismos. Es decir, las normas que el documento final que concebimos para reflejar nuestra investigación.
Desde mi punto de vista el documento permite:
- Dar una estructura común para todas las periciales informáticas.
- Diferencias, de una u otra forma, a profesionales cualificados y que se preocupan por estar al dia en la difícil tarea de ser perito informático.
La norma marca que nuestro documento pericial contemple las siguientes generalidades:
- Título: Identificando al documento de forma clara e inequívoca.
- Documento:
- Identificación y código numérico único, es decir, que un mismo perito no pueda repetir ese número para otra pericial.
- Índice.
- Cuerpo del informe.
- Anexo (si se necesita)
- Todas las páginas del documento deben de estar numeradas.
Respecto de la identificación se define expresamente que:
- Es el elemento que contiene los datos para identificar el informe o dictamen pericial.
- Su contenido debe de incluir:
- Incluir el título y código único de referencia.
- Identificar el destinatario del documento y número de expediente o procedimiento si lo hubiera.
- Identificación del perito, incluyendo nombre y apellidos, DNI, colegio y/o asociación pericial a la que pertenece, dirección, etc.
- Datos de la entidad o personas que han solicitado la pericial.
- Dirección a donde va dirigido.
- Si procede nombre y apellidos del letrado o procurador.
- Fecha de emisión.
Respecto de las tachas o imparcialidad:
- Hacer constar la imparcialidad del perito o bien si está aplicando el sistema de tachas.
El siguiente punto habla del clásico juramento promesa:
- Reflejando claramente que el perito está procediendo bajo juramento o promesa de decir la verdad, actuando con veracidad y con la mayor objetividad posible, básicamente.
- Del mismo deberemos de incluir que estamos en conocimiento de las sanciones penales de no actuar de ese modo.
Respecto del índice general:
- Se explica que su objetivo es facilitar la búsqueda y localización de la información.
- Incluiremos títulos y numeración de los puntos más relevantes de nuestra pericial.
Sobre el tema más importante, el cuerpo de la pericial, se indica que:
- Se asume que es la parte más relevante de la pericial.
- Incluye los resultados de nuestro estudio.
- Debe de ser claramente comprensible. Desde mi punto de vista quiere decir que el juez, abogados y otros profanos en informática deben de entenderlo, por tanto una parte de nuestro esfuerzo debe de ser el hacer comprensible nuestros tecnicismos.
- Contenido, por fin entramos en materia:
- Objeto. Es decir, finalidad de nuestra pericial.
- Alcance. Cuestiones que nos plantea el solicitante y son la base de nuestro estudio.
- Antecedentes. Hechos desarrollados con anterioridad a nuestra pericial y que sirven de base para su realización.
- Consideraciones preliminares. Todo lo que consideremos básico para explicar cómo hemos desarrollado nuestro estudio, bases teóricas de la tecnología utilizada, procedimientos etc. que dan la base para entender como hemos extraído las evidencias y llegado a nuestras conclusiones.
- Documentos de referencia. Todos los documentos que citemos que sirvan de base para justificar nuestra pericial, normas de obligado cumplimiento, buenas prácticas profesionales, etc.
- Terminología y abreviaturas. Incluiremos definiciones, términos y abreviaturas que se usen posteriormente en el documento para explicar nuestro estudio.
- Análisis. Es decir, información que nos permite llegar a las conclusiones:
- Legislación, reglamentación y normativa.
- Investigación realizada.
- Referencias, documentos y muestras de evidencias.
- Razonamientos y justificaciones.
- Conclusiones. Es decir, la finalidad máxima para la que se nos contrata.
- Interpretación técnica y experta sobre los puntos incluidos en el apartado Alcance.
- Anexos.
- Deben de formar parte de la pericial como cualquier otro punto, incluidos en el índice.
- Cualquier documento, nota, fotográfica, etc. que ayude a entender o reforzar el contenido de la pericial.
Espero que los abogados, jueces, etc. comiencen a pensar que probablemente esta norma, aunque escueta en su contenido, debe de ser la base de toda pericial informática y se exija como tal. Desde mi punto de vista solo las periciales que cumplan este estándar deberían de ser admitidas a un perito pues refleja, de uno u otro modo, que el perito está capacitado o por lo menos sigue las normas marcadas para la realización de periciales
Informe de auditoría: período de validez y conservación.
El Reglamento de desarrollo de la LOPD, a partir del nivel medio de seguridad, en su artículo 96 RLOPD, señala que será obligatorio realizar una auditoría que contemple los sistemas de información e instalaciones de tratamiento y almacenamiento de datos y verifique el cumplimiento de las medidas de seguridad reguladas en el Título VIII del RLOPD.
¿Cada cuánto se habrá de realizar la misma?
La respuesta la hayamos en la redacción del artículo 96.1 del RLOPD que señala lo siguiente:
1. Apartir del nivel medio los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento del presente título.
De esta forma, el RLOPD establece la obligación de realizar la misma en el período que va desde que se hizo la última hasta, al menos, dos años después. La definición “al menos cada dos años”, indica claramente que el período entre auditoría no deberá superar nunca los 24 meses, ni transcurrir mas de los 730 días. Esto viene a dejar en evidencia a aquellas entidades que, realizando esta exigencia legal de auditar sus sistemas de información, lo hacen computando solo el año olvidando el mes y el día. Por ejemplo, realizaron la auditoría el 12 de enero del 2010 y creen que tienen todo el 2012 para llevarla a cabo; pero la definición del artículo 96.1 deja claro que la fecha tope para haber realizado la misma se cumplió el 11 de enero del 2012. La realización de una auditoría fuera de esa fecha deberá recoger este hecho como un incumplimiento de la medida de seguridad.
Además, el artículo 96.1 en su continuación recoge la obligación de realizar una auditoría extraordinaria en aquellas situaciones en las que el responsable del fichero realice modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas objeto de verificar la adaptación, adecuación y eficacia de las mismas. Esta auditoria extraordinaria inicia el cómputo de dos años detallado con anterioridad.
¿Qué entendemos por modificaciones sustanciales en el sistema de información? A modo de ejemplo, podemos citar algunos casos: Cambio de sedes; cambios en servidores o estructura de seguridad de la red; cambio de aplicaciones que gestionen los ficheros que contienen los datos personales, etc..
¿Durante cuánto tiempo se deberán conservar dichos informes de auditoria?.
Esta pregunta ya fue respondida por la AEPD en su informe jurídico 0191/2010, y en el mismo se explicó lo siguiente:
El apartado 3 del precepto establece que “los informes de auditoria (…) quedarán a disposición de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las Comunidades
Autónomas”, si bien no se establece el plazo de conservación a disposición de la Agencia de tales informes.
El artículo 44.2 h) de la Ley Orgánica 15/1999 dispone que constituirá infracción grave de la Ley “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dicha infracción prescribirá a los dos años de su comisión, tal y como dispone el artículo 47.1 de la Ley.
Como puede comprobarse, el responsable del fichero y el encargado se encuentran obligados a la realización, siempre que sean de aplicación las medidas de seguridad de nivel medio, como mínimo, de una auditoría cada dos años, siendo precisamente de dos años el plazo de prescripción de la sanción
consistente en no haber cumplido con dicha obligación.
De este modo, en caso de que por esta Agencia se requiriese el último informe de auditoría presentado conforme a lo dispuesto en el artículo 96 del reglamento de desarrollo de la Ley Orgánica 15/1999, la entidad requerida debería siempre tener a disposición de la Agencia un informe emitido durante los dos años anteriores al momento en el que se solicita el requerimiento,siendo éste precisamente el último informe de auditoría al que debería haberse sometido la entidad.
A la vista de lo anterior, teniendo en cuenta los plazos de prescripción y de obligación de sometimiento a la auditoría, el término durante el cual el informe debería estar a disposición de la Agencia Española de Protección de Datos o autoridad autonómica de control competente debería ser el de dos años, da modo que si no se dispusiera de un informe de esa antigüedad la entidad responsable o encargada estaría vulnerando lo dispuesto en la Ley Orgánica 15/1999 y su Reglamento de desarrollo, al no haber sometido los sistemas a una nueva auditoría en el plazo señalado.
En todo caso, y a fin de evitar la posible comisión de una infracción en caso de haberse llevado a cabo una nueva auditoría y no haberse ultimado las conclusiones de la misma, se considera que sería conveniente que en todo caso se encontrase a disposición de la Agencia el último informe de auditoría que se hubiese emitido, no siendo preciso mantener a su disposición los anteriores a aquél.
¿Cuál es el contenido que debe tener un informe de auditoría LOPD?
El informe de auditoría debe, desde un punto de vista general, dictaminar sobre la adecuación de las medidas y controles de seguridad existentes a lo contenido en el RLOPD. Por tanto, deberá identificar las deficiencias que sean observadas, proponer medidas correctoras e incluir recomendaciones por parte del equipo auditor. Igualmente, resulta adecuado y conveniente que se recojan datos, hechos y observaciones en los que se basen los dictámenes alcanzados.
Para poder llevar a cabo la misma, ¿qué deberá tener en cuenta el Responsable de Seguridad de la entidad a auditar?. Lo siguiente:
Soluciones de seguridad para la empresa: auditoría técnica
Conocer el nivel de seguridad de la organización, es el primer paso antes de diseñar e implantar cualquier medida de seguridad.
En la actualidad la seguridad TIC se considera parte integral y necesaria de cualquier empresa u organización, es por ello que muchas empresas están implantando medidas de seguridad con muy diversos objetivos: adecuarse a diversa normativa legal, como la LOPD, implantar un sistema de gestión de la seguridad (SGSI) o proteger los sistemas e infraestructuras de cualquier ataque o amenaza.
Pero independientemente de las razones para mejorar la seguridad, antes de implantar cualquier medida, es fundamental conocer el nivel real de seguridad de la organización, de forma que en base a la información obtenida sea posible diseñar y seleccionar las medidas de seguridad adecuadas, que luego serán implantadas allí donde más se necesitan, o en base a los criterios que se tomen como guía para cada organización y escenario particular.
Para conocer el nivel de seguridad real, uno de los pasos fundamentales, es la realización de una auditoría técnica. Una auditoría técnica es un conjunto de procedimientos y herramientas que un consultor o experto en seguridad combina y aplica allí donde sea necesario para obtener información que le permita conocer el estado o nivel de seguridad de un servicio, sistema o infraestructura.
Las auditorías técnicas hacen referencia a toda la estructura TIC de la organización, y debido a la gran variedad de infraestructuras existentes, la realización de este tipo de auditorías es compleja y requiere de personal muy especializado, aunque en la actualidad el mercado de soluciones de seguridad ofrece multitud de ellas para facilitar la realización de auditorías técnicas.
Existen muchos tipos de auditorías técnicas, tal vez tantos como sistemas e infraestructuras a analizar. A continuación describimos algunos de los tipos de auditorías técnicas:
- Test de Penetración. Es un tipo de auditoría técnica que consiste en un conjunto de pruebas a las que se somete una aplicación, servicio o sistema, con el objetivo de encontrar huecos o fallos a través de los cuales sea posible conseguir acceso no autorizado evitando así los distintos mecanismos de seguridad.
- Auditoría de red. Cuando se quiere conocer el estado de la seguridad de la red corporativa se pueden realizar auditorías especializadas en el análisis tanto de la red de comunicaciones, como de los distintos dispositivos conectados a ella. Estas auditorías permiten analizar toda la red en busca de puertos abiertos, recursos compartidos, servicios o electrónica de red, como los routers o los switches, entre otros. Además, en estas auditorías se emplean herramientas que permiten realizar la catalogación de las infraestructuras conectadas a la red o incluso detectar versiones de dispositivos inseguros, versiones de software o la necesidad de instalar actualizaciones o parches.
- Auditoría de seguridad perimetral. Se trata de un proceso destinado a determinar el nivel de seguridad de las barreras que protegen la red de comunicaciones de una organización de peligros que provienen del exterior y del interior. Podríamos englobarla dentro de la auditoría de red, puesto que está relacionada, aunque está más especializada en detectar fallos de seguridad desde el punto de vista de exterior.
- Auditoría de software. La auditoría de software es un tipo de inspección que ha cobrando gran importancia. Este tipo de auditoría está destinada al análisis de software, detectando fallos de seguridad o vulnerabilidades en todo tipo de aplicaciones o código en general. En la actualidad, las empresas realizan de forma sistemática este tipo de análisis, aunque en muchas ocasiones los fallos son detectados por terceros.
En la actualidad, gracias a las soluciones que podemos encontrar en el mercado de seguridad TIC, la realización de las auditorías técnicas que se han indicado o de otras, se ha simplificado de forma significativa, pero por lo general sigue siendo necesario que las realice personal especializado, por lo que las empresas y organizaciones recurren habitualmente a empresas que ofrecen este tipo de servicios.
Desde INTECO-CERT recomendamos la realización de al menos una auditoría técnica de seguridad al año, de carácter general, con el objetivo de conocer el nivel de seguridad de la organización, detectar fallos de seguridad graves, incumplimientos de las políticas de seguridad o fallos de seguridad que supongan el incumplimiento de normativa de legal, como la LOPD.
Por último, recordar que conocer el nivel real de seguridad de la organización, es el primer paso para decidir dónde y cómo aplicar las medidas de seguridad más adecuadas.
Fuente: Inteco
