Privacidad y seguridad del cloud como pilar de la transformación digital

Internet. Imagen tomada de: Diario TI.

El cloud computing es uno de los pilares de la transformación digital. En su avance los aspectos relacionados con la seguridad de la nube han dejado de ser una barrera y en ocasiones se han convertido en un factor decisivo a la hora de apostar por un modelo de cloud computing.

La economía mundial pierde alrededor de 3 trillones de dólares al año por ataques de malware y la inteligencia de la nube a gran escala puede ayudar a solventar los desafíos de la seguridad.

Microsoft, a través de su oferta cloud, trabaja para prevenir y minimizar los daños de las amenazas avanzadas de hoy en día.

La compañía invierte del orden de 1.000 millones de euros cada año en tecnología específica de seguridad y concretamente en los entornos de cloud computing.

“La propuesta de valor de Microsoft en el ámbito de la seguridad en el cloud pasa porque somos muy conscientes de que cualquier transformación digital no puede construirse sin confianza y sin el uso de servicios cloud. En este sentido, en Microsoft generamos esa confianza con base a nuestra plataforma tecnológica, la inteligencia de negocio y la relación con nuestros partners y socios”, ha afirmado Héctor Sánchez, director de tecnología de Microsoft Ibérica, en el marco del encuentro #ActitudDigital.

El entorno de plataforma está fundamentado 100% en el sistema operativo Windows 10, cuyas capacidades de seguridad se han disparado frente a otros sistemas operativos. El segundo componente es el servicio cloud de Office 365 con la posibilidad de dar control a los usuarios, a los gestores sobre qué ocurre con su información, en qué momento, cómo controlarla y cómo protegerla. Microsoft Azure constituye la tercera pata de la estrategia de Microsoft en su oferta de plataforma como servicio o infraestructura como servicio, donde las capacidades tecnológicas de identificación, protección de la información y gestión de entornos de claves, entre otros, son fundamentales.

Por otro lado, el cumplimiento regulatorio es una prioridad absoluta para Microsoft. Todo cliente, toda empresa, todo usuario tiene un entorno legal que le compete, ya sea por la zona geográfica donde desarrolla su labor (en el caso de España es la LOPD) o por la industria en la que opera.

“Microsoft lo que está haciendo es trabajar con los reguladores desde la perspectiva de hacerles partícipes de nuestra propuesta tecnológica, de qué es lo que nos falta -hemos aprendido mucho de estos diálogos- para volver a incorporarlo en nuestros procesos y para que las conversaciones de cumplimiento con el usuario final que vaya a utilizar nuestro Office 365 o Azure sean mucho más rápidas al exponerle estas garantías y las certificaciones con las que contamos”, explica Sánchez.

En el caso de la protección de datos, Microsoft es en estos momentos el único proveedor global con una autorización expresa de la Agencia de Protección de Datos española para habilitar la transferencia internacional de datos.

Aumentar la competitividad y la eficiencia

La ciberseguridad debe estar ligada directamente al negocio. No es una cuestión de técnicos, de expertos en tecnología, sino de cómo proteger el negocio, en el que hoy en día la tecnología es una parte consustancial para ser competitivos y eficientes, minimizando los riesgos.

En el encuentro #ActitudDigital Abel González, director en CyberSOC de Deloitte, insiste en la necesidad de seleccionar al proveedor adecuado y defiende la labor que pueden hacer terceras empresas independientes que verifiquen la actuación del proveedor cloud.

Desde Deloitte se entiende la seguridad como un servicio para que el negocio no se pare y funcione de forma óptima 24×7. “Nuestra labor es ayudar a que las empresas funcionen bien y para ello entendemos la seguridad como un servicio, ofreciendo toda una serie de facilidades para que en el día a día se externalicen tareas tediosas o a las que el cliente no puede llegar porque no tiene capacidad”, apunta González.

Deloitte proporciona un servicio de extremo a extremo, que va desde la estrategia, la definición de cómo protegerse, cómo procedimentar y articular la protección y finalmente verificar que esa protección es efectiva.

Por su parte, Sanitas, como compañía usuaria de servicios en la nube -tiene aplicaciones y servicios digitales- defiende este modelo de negocio.

Más allá de la regulación la organización tiene un compromiso de protección de la información con sus clientes. En la decisión de ir al cloud con aplicaciones como Mi Sanitas o su marketplace Sanihub de servicios en la nube los conceptos relativos a la privacidad y la protección de la información son clave.

Iván Sánchez, director de Seguridad de Sanitas, destaca entre las ventajas del modelo de provisión cloud la rapidez y la flexibilidad que permite esta fórmula a la hora de desplegar nuevos servicios.

El directivo también insiste en que las empresas nunca deben olvidar que la responsabilidad acerca de la seguridad de los datos de los clientes que llevan a la nube es de la compañía, no del proveedor de cloud.

Mismo nivel de control que internamente

Miguel Rego, director general del Instituto Nacional de Ciberseguridad (Incibe), señala que las empresas deben incluir la seguridad como un factor crítico a la hora de tomar una decisión sobre la política de cloud computing. Esto pasa por contar con una estrategia corporativa global en torno al cloud.

Hoy en día la mayoría de los proveedores de cloud ofrecen un conjunto de servicios de seguridad que permiten aplicar el mismo nivel de control a la información corporativa que se tiene internamente.

“Sin embargo, todavía a la hora de contratar a un proveedor cloud la seguridad sigue estando entre los factores que menos se tienen en consideración cuando, dada la criticidad que supone la protección de la información, debe ser uno de los valores clave”, explica Rego.

Por su parte, el director de tecnología de Microsoft Ibérica, Héctor Sánchez, concluye que “en ocasiones, las empresas pueden encontrarse con que no pueden proteger por sí mismas los datos como deberían, pero un proveedor cloud sí puede darle ese nivel de protección que la empresa no alcanza”.

Sin este modelo de provisión de tecnología en la nube no habríamos asistido al nacimiento de startups que han revolucionado modelos de negocio. Asimismo, el cloud ha permitido a muchas pymes lanzar productos y servicios competitivos al no tener que abordar inversiones en infraestructura tecnológica.

Tomado de: Silicon

El gobierno alemán podrá espiar las actividades digitales de sus ciudadanos

Privacidad de la información. Imagen tomada de: pixabay.com

Polémica en Alemania después de que el gobierno haya creado un troyano para poder controlar a sus ciudadanos.

El gobierno alemán ha anunciado que ha desarrollado un avanzado troyano con el que podrán espiar a sus ciudadanos, no solo en las actividades que realizan a través de sus ordenadores, sino también en los chats y conversaciones que tienen lugar desde sus móviles.

Un portavoz del ministerio del Interior ha explicado que ahora cuentan con unas posibilidades de control en un campo donde no disponían de ello, informan en Deutsche Welle.

Los críticos a la medida, exponen que el gobierno alemán puede funcionar como un “Gran Hermano”, invadiendo la privacidad de sus ciudadanos, y apuntan que deberían limitarse las funcionalidades del troyano.

Para tranquilizar a los ciudadanos, las autoridades germanas han precisado que para instalar el troyano en el dispositivo de algún sospechoso deberán contar con una orden judicial.

Eso sí, aquellas personas que acaben teniendo el troyano instalado tendrán intervenidas sus actividades digitales, ya que este podrá recopilar datos de sus ordenadores, así como monitorizar cualquier actividad de mensajería desde sus dispositivos móviles.

Tomado de: Silicon.es

Google y WhatsApp respaldan negativa de Apple de instalar puerta trasera en iPhone

Logo de Apple. 

Esta semana, un tribunal estadounidense dio instrucciones a Apple del desactivar la función de auto borrado en el iPhone propiedad de uno de los atacantes en diciembre. El auto borrado de iPhone es una medida de seguridad que, como su nombre sugiere, borra los datos del teléfono cuando se digita repetidamente la contraseña equivocada.

Apple ha objetado el requerimiento del tribunal señalando que el gobierno estadounidense ha dado un paso que pone en riesgo la seguridad de sus clientes. A juicio de la empresa, el requerimiento judicial tiene implicaciones que exceden la investigación del caso, por lo que propone una discusión pública en torno al tema.

En una carta abierta firmada por Tim Cook, CEO de Apple, la empresa manifiesta su “consternación y firme condena frente al acto de terrorismo ocurrido en San Bernardino en diciembre”, recalcando que en todo momento ha apoyado la investigación del FBI, entregando toda la información en su poder, y cumpliendo con requerimientos judiciales y peticiones de entrega de material digital, y poniendo además ingenieros a disposición de las autoridades. La empresa recalca no tener simpatía alguna por los terroristas.

Luego, la empresa señala que el FBI, en realidad, le está pidiendo crear una versión del sistema operativo iOS que desactivaría importantes características de seguridad, para luego ser instalado en el iPhone recuperado durante la investigación. La empresa se opone señalando que este software, en las manos equivocadas, eludiría importantes características de seguridad, con el potencial de acceder al contenido de cualquier iPhone que cualquier persona tenga en su poder. Apple indica que, esencialmente, el FBI le está pidiendo diseñar una puerta trasera para entrar a los dispositivos de Apple.

Respecto de las seguridades dadas por el gobierno en el sentido que el software sólo se había utilizado en este teléfono específico, Apple indica que no hay garantías en tal sentido de que el software sólo sería utilizado en esta oportunidad, una vez que el procedimiento es conocido. En otras palabras, Apple sencillamente no cree en las seguridades dadas por la agencia gubernamental.

La carta abierta ha causado intenso revuelo en Estados Unidos, generando numerosos artículos de opinión y declaraciones en círculos políticos y tecnológicos. Debido a su tamaño y relevancia en el ámbito de las TI, la opinión de Google es importante en tal contexto.

En sus tuits, Pichai manifestó que Google comprende los retos que enfrentan las autoridades, y que la empresa apoya la entrega de información con base en requerimientos emanados en los tribunales de justicia, pero que “es totalmente distinto pedir a las empresas hackear los dispositivos y datos de los clientes”, ya que a su juicio, “sentaría un precedente complejo”.

Por su parte, Jan Koum, CEO y fundador de WhatsApp, publicó un intenso comentario de apoyo a Apple, donde escribe: “no debemos permitir que se establezca este peligroso precedente. Nos estamos jugando nuestra libertad”.

Tomado de: Diario TI

Estados Unidos se compromete a proteger los datos de las empresas europeas

Penny Pritzker Secretaria de Comercio de Estados Unidos. Imagen tomada de: Diario TI

La Unión Europea y Estados Unidos alcanzaron el 2 de noviembre un acuerdo trasatlántico que regula el intercambio de datos. El anuncio causó cierta sorpresa, debido a que había una considerable distancia entre las partes.

Privacy Shield

El nuevo acuerdo, denominado EU-US Privacy Shield, sustituye al pacto Safe Harbour, declarado ilegal por el Tribunal Europeo en octubre de 2015. Para ambas partes ha sido importante establecer un nuevo acuerdo, debido a que numerosas empresas, que operan ambos lados del Atlántico, dependen del flujo e intercambio de datos, y de su regulación.

Según la Comisión Europea, el nuevo sistema asegurará que las empresas estadounidenses, en grado mayor que antes, se obligan a proteger los datos personales de los usuarios europeos.

El acuerdo también implica que el Departamento de Comercio de Estados Unidos, y la Comisión Federal de Comercio (FTC) en grado mayor que antes supervisarán y controlarán el cumplimiento del acuerdo. Entre las medidas adoptadas se incluye la cooperación con autoridades europeas reguladoras de la privacidad de las personas.

Con ello, el acceso por parte de las autoridades estadounidenses a datos personales de usuarios europeos estará regulada por condiciones específicas, limitaciones y transparencia, con lo que se evitará el acceso general y automático a los datos.

Ombudsman

El acuerdo faculta además a los usuarios europeos a dirigir consultas y quejas a un ombudsman específico. Vera Jourová, comisionado de la Unión Europea responsable de protección al consumidor, comenta en un comunicado: “el nuevo acuerdo EU-US Privacy Shield velará por la protección de derechos fundamentales de los europeos, cuando sus datos personales sean transferidos a empresas estadounidenses. Por primera vez, Estados Unidos y la Unión Europea cuentan con seguridades vinculantes de que el acceso de las autoridades a los datos, por motivos de seguridad, estará sujeto a limitaciones específicas, medidas de protección y control. Asimismo, por primera vez los ciudadanos europeos podrán acceder a sistemas de asistencia jurídica sobre la materia”.

Ombudsman: "El defensor del Pueblo (a veces nombrado con el término sueco Ombudsman, comisionado o representante), es una autoridad del Estado encargada de garantizar los derechos de los habitantes ante abusos que puedan hacer los poderes políticos, en su caso, legislativo de ese mismo Estado". Fuente: Wikipedia

Importante para las empresas

Andrus Ansip, comisionado para el mercado interno digital de la Unión Europea, comenta en un comunicado que el acuerdo es importante para las empresas de la región: “nuestras empresas, especialmente las más pequeñas, tendrán la seguridad jurídica que necesitan para ejercer sus actividades a través del Atlántico. Tenemos la obligación de controlar, y estaremos atentos al nuevo sistema, con el fin de asegurarnos de su cumplimiento”.

El acuerdo fue aprobado por los comisionados de la Unión Europea el 2 de febrero, que dieron a Ansip y Jourová el mandato de diseñar en las próximas semanas los aspectos prácticos de su implementación. Estados Unidos, en tanto, diseñará el marco legal y la implementación práctica de mecanismos de control, junto con nombrar su propio ombudsman.

Tomado de: Diario TI

Director de la NSA: “El cifrado es fundamental para el futuro”

Almirante Michael Rogers. Imagen tomada de: Diario TI

Diversos países discuten actualmente la posibilidad de prohibir el cifrado de datos carente de puertas traseras instaladas de fábrica. En Estados Unidos, uno de los principales defensores de las puertas traseras gubernamentales, instaladas en hardware y software para civiles, ha sido el director del FBI, James Comey, quien entre otras cosas ha propuesto prohibir el cifrado end-to-end en teléfonos móviles.

La semana pasada, el estado federado de California comenzó a tramitar un proyecto de ley orientado a prohibir las ventas de smartphones que no puedan ser vulnerados por el propio fabricante a petición de las autoridades. Durante el Foro Económico Mundial, realizado la semana pasada en Davos, Suiza, la Secretaria de Justicia de Estados Unidos, Loretta Lynch, comentó que el gobierno de su país no pide al sector tecnológico la instalación de puertas traseras, sino asegurar a las autoridades judiciales las mismas posibilidades con que cuentan actualmente; es decir, requerir la entrega de información mediante órdenes judiciales.

Lo anterior presupone, indudablemente, que las empresas tecnológicas tengan la capacidad de descifrar la información generada por sus usuarios. Sin embargo, esto no siempre es posible, debido a que los fabricantes no tienen permanentemente acceso a las claves de cifrado utilizadas para cifrar dispositivos o servicios de comunicación.

Diversas grandes empresas TI, entre ellas Apple, se han opuesto a tales planteamientos gubernamentales. En esta oportunidad, su postura ha sido respaldada desde un sector en principio improbable: la Agencia Nacional de seguridad, NSA, en palabras de su director, Mike Rogers.

Durante un evento organizado por el Consejo Atlántico en Washington, D.C. la semana pasada Rogers declaró que, a su juicio, este debate carece de sentido. “El cifrado es fundamental para el futuro”, declaró el director de la NSA, a cuyo juicio es una pérdida de tiempo discutir en qué medida el cifrado es perjudicial y que, por lo tanto, debería ser eliminado. “Lo que cabe preguntarse es como podemos manejar el tema de la mejor forma posible, desde distintas perspectivas”, dijo el almirante.

Rogers puso de relieve que la organización que lidera no sólo tiene un cometido ofensivo, sino también defensivo, en el sentido que debe contribuir a proteger los intereses estadounidenses contra ataques cibernéticos y espionaje electrónico, entre otras cosas.

Protección de la privacidad

El director de la NSA apuntó que las preocupaciones sobre la privacidad y protección de datos nunca habían sido mayores, lo que se suma a las amenazas de actores como el denominado Estado islámico, que se producen de manera paralela a una cierta desconfianza del público frente a sus autoridades.

“En nuestros esfuerzos por conseguir lo anterior; es decir lograr un equilibrio que lo reúna todo, vemos que no se trata necesariamente de elegir lo uno o lo otro. Yo no argumento en el sentido que el único imperativo sea la seguridad, y que todo debe estar supeditado a ella. Tampoco digo que la protección de la privacidad es el único imperativo, y que todo debe estar supeditado a ella”, dijo Rogers en el encuentro. En lugar de ello, indicó que es necesario tener presente ambos elementos, y determinar cuál es el mejor procedimiento posible en el mundo actual, donde los grandes avances tecnológicos conllevan considerables ventajas, pero también una mayor vulnerabilidad: “Tenemos un período difícil frente a nosotros”, observó.

En el siguiente vídeo puede verse la entrevista. Las declaraciones del almirante sobre el cifrado y la protección de la privacidad se producen en un período de cinco minutos de duración, que comienza en el minuto 25 de la grabación.

Cabe señalar que el almirante Mike Rogers no es el único que se ha manifestado reticente a prohibir el cifrado invulnerable. Michael Hayden, quien fuera director de la NSA en el período 2005 a 2006, y director de la CIA entre 2006 y 2009, manifestó recientemente un apoyo irrestricto frente al cifrado. Citado por la publicación The Intercept, Hayden habría dicho en el marco de una conferencia de seguridad realizada en Florida, Estados Unidos: “estoy en desacuerdo con [el director del FBI] Jim Corney. Considero que el cifrado end-to-end es beneficioso para Estados Unidos”. Agregó: “estoy seguro que el cifrado constituye un reto especial para el FBI. Pero, a fin de cuentas, estimó que el cifrado proporciona una mayor seguridad para Estados Unidos, que la alternativa: una puerta trasera”.

“¿Podría alguien darme un ejemplo de una legislación exitosa, diseñada para evitar los avances tecnológicos? Sencillamente no es posible”, concluyó señalando Hayden.

Tomado de:  DiarioTI

Y cuando los menores de las fotos de Facebook e Instagram crezcan, ¿qué?

Redes Sociales. Imagen tomada de: El Tiempo.com

Los padres están creando una biografía digital de sus hijos cuando los exponen en redes sociales, una exhibición que, según expertos en privacidad, será fuente de conflicto cuando esos menores crezcan y exijan la retirada de los contenidos que les atañen. 

La explosión de las redes sociales es un fenómeno relativamente reciente y por el momento no se han producido en España enfrentamientos judiciales entre padres e hijos por el tratamiento que aquellos han hecho de la información de los menores en Internet, pero los expertos en privacidad Samuel Parra y Alonso Hurtado prevén que es cuestión de tiempo que esto suceda. 

Es una verdad universalmente aceptada que el hijo propio es el más guapo y ocurrente de cuantos pisan el planeta. Y en la era de la exposición en Internet, el progenitor quiere compartir con el mundo la alegría de ser responsable de tamaña criatura. 

Una opción respetable, pero que no siempre va precedida de una decisión informada de las consecuencias: la más evidente es que se va conformando una identidad digital del menor, un rastro vital en la red edificado desde el prisma de un tercero, en este caso, sus padres. 

"Esa información o imágenes que se publican van alimentando una biografía digital que, en ocasiones o con el paso del tiempo, puede adquirir más peso que la real. Los ciudadanos deben ser conscientes de que la información que publican hoy —de ellos mismos o de sus hijos— puede revelar detalles importantes sobre sus gustos, preferencias o hábitos", destacan desde la Agencia Española de Protección de Datos (AEPD). 

Ya no es que se enseñen monerías o patochadas que puedan avergonzar al menor cuando crezca —que también: son muy numerosos los vídeos de pequeños que terminan convirtiéndose en virales—, es que se están ofreciendo datos de su personalidad e imágenes que dejan un rastro con el que el sujeto puede no estar cómodo. 

La responsabilidad de los padres 

En España, los progenitores o tutores legales de los niños son los responsables del tratamiento de sus datos personales hasta los 14 años. Una vez cumplida esa edad, el adolescente asume la potestad sobre su información pasada, presente y futura. 

"En teoría, debemos hacer lo que se supone que es mejor para los menores, ahora bien, el día que estos niños sean mayores lógicamente podrán decidir que desean mandar al garete toda su identidad digital", indica Hurtado, abogado del bufete Écija. 

Desde la AEPD recuerdan que los menores son un "colectivo altamente vulnerable" y que los padres tienen la responsabilidad de proteger su derecho a la protección de los datos, por lo que les conmina a publicar información en Internet con "sentido común". 

"Las fotos que se publican en una red social pueden difundirse más allá de lo que se había previsto, ya sea porque no se ha configurado el perfil de forma adecuada o porque al tratarse de información digital es fácilmente copiable y reproducible", enfatizan. 

"Considero absolutamente innecesario tener que estar exponiendo la vida del menor constantemente. Prácticamente desde que nace, incluso antes de nacer", añade Parra, responsable de la firma ePrivacidad. 

El experto subraya que no se sabe adónde puede llegar esa información —"hay gente malintencionada que puede cogerla o modificarla" y los servicios de Internet pueden integrarse en nuevas plataformas en el futuro— ni tampoco la repercusión que le pueda ocasionar al menor el día de mañana. 

Cuando el menor quiere eliminar el contenido 

En el caso de que el adolescente decida, una vez cumplidos los 14 años, que quiere retirar información publicada por sus padres y que atañe a su persona, puede seguir varios pasos. 

El primero, coinciden la AEPD y Parra, es solicitar al progenitor que elimine ese contenido de Internet. El segundo, recurrir a la red social: Facebook, Twitter, Youtube o Instagram tienen herramientas para solicitar la retirada de contenidos. 

Si esas compañías no atienden el requerimiento, entonces el afectado podrá dirigirse a la Agencia Española de Protección de Datos para que tutele su derecho de cancelación. Si por esta vía tampoco lo consigue, entonces podrá acudir a los tribunales. 

"Los conflictos que hayan podido surgir seguro que se han quedado en casa, pero con el paso del tiempo, que habrá millones de menores ya adultos, a lo mejor sí surgen conflictos judiciales. De momento no hay nada. (...) Estoy seguro de que se va a producir, pero todavía es pronto para eso", afirma el experto de ePrivacidad.

Tomado de: 20minutos