ante la denuncia de un abogado

Protección de datos indaga si la AN controla los movimientos de su personal y las visitas

El acceso a las diferentes plantas y dependencias del edificio se controla con una tarjeta electrónica. El sistema, asegura un letrado, permite a la policía el rastreo de cada usuario

Las enormes medidas de seguridad que se han instalado en el nuevo edificio de la Audiencia Nacional, en la calle Génova, ha comenzado a dar problemas. Un abogado, José Luis Mazón, ha presentado una denuncia ante la Agencia Española de Protección de Datos en la que asegura que el sistema de acceso elegido, mediante tarjetas electrónicas que abren las puertas de las diferentes dependencias del inmueble, permite a la policía hacer un rastreo de los movimientos de los jueces, fiscales y demás funcionarios que allí trabajan así como de los abogados, testigos, periodistas y público que lo visitan cada día. La agencia ha admitido la denuncia y ha abierto una investigación para comprobar si esos hechos son ciertos.

La denuncia sostiene que, mediante ese sistema de acceso, se puede crear "un fichero ilegal" que permitiría la intromisión de la policía en la vida privada. Las tarjetas electrónicas, que tienen todos los funcionarios del tribunal y que se facilitan a los visitantes en el acceso tras decir el juzgado, sección, fiscalía u oficina a la que se dirigen, permiten, según el denunciante "seguir el rastreo a todo usuario de sus movimientos". Ese sistema de control, según el abogado, es "más grave aún en el caso de los empleados ya que se registra en un fichero carente de base legal su itinerario de horas y lugares por donde se desplazan al tener que utilizar la tarjeta electrónica para ciertos accesos". "Como abogado", relata el documento, "tengo que coger una ficha programada para la planta a la que voy. Esta ficha permite ir guardando los movimientos de las puertas con dispositivo de control electrónico a las que tengo que acceder, de modo que se me hace un seguimiento", mantiene el letrado. "Una cosa es que sea razonable controlar los accesos y otra el seguimiento histórico o su transmisión a una base de datos", añade. La primera vez que se accede al edificio, cada visita está obligada ha hacerse también una foto para el fichero policial.

La Agencia de Protección de Datos ha respondido a la denuncia abriendo una investigación. Se trata, según su respuesta de "actuaciones de inspección". Esas pesquisas, que tendrán una duración máxima de 12 meses, tienen por objeto determinar si existe ese control de movimientos y, en su caso, si debe abrirse un procedimiento sancionador por ello. Además, buscan identificar "la persona u órgano que pudiera resultar responsable".

Críticas al nuevo edificio

El sistema de acceso mediante tarjetas electrónicas se puso en marcha con la apertura del nuevo edificio, en octubre de 2015. Tanto en el viejo inmueble como en el que se utilizó de forma transitoria mientras se acababan las obras, el de la calle Prim, los funcionarios transitaban con total libertad con la única condición de llevar encima su acreditación como personal de la casa. Las visitas tenían que identificarse a la entrada y decir a la policía a qué dependencia concreta se dirigían, aunque, en la práctica, nada impedía que accedieran a otras....LEER NOTICIA COMPLETA.

seguridad y nuevas tecnologías

Cómo blindar la ‘Internet de las Cosas’

La Agencia vasca de Protección de Datos premia la tesis de Jasone Astorga. Se trata del protocolo de seguridad Ladón que protege el acceso por Internet a los sensores de vehículos, farolas o marcapasos, entre otros.

La alavesa Jasone Astorga cumplirá el próximo 31 de julio 35 años. Es madre de dos niños de tres y un año, respectivamente. Le apasiona la lectura y practica deportes tan dispares como el boxeo, squash o natación, aunque, según reconoce, no destaca en ninguno de ellos. Ahora bien, otra cosa es su trabajo, donde esta amurrioarra sí que ha dejado su impronta. Es ingeniera de Telecomunicaciones y profesora adjunta del Departamento de Ingeniería de Comunicaciones de la Escuela de Ingeniería de Bilbao de la UPV/EHU. De hecho, la Agencia Vasca de Protección de Datos acaba de otorgarla un premio por su tesis doctoral, Una contribución a la autenticación y establecimiento de asociaciones de seguridad extremo a extremo para sensores con soporte IP: el protocolo Ladón. En ella plantea un protocolo de seguridad para proteger el acceso en Internet a estos dispositivos (los sensores), cada vez más presentes en muy diversos ámbitos de la sociedad actual.

Están presentes en las ciudades para analizar la contaminación del aire o estudiar el volumen de tráfico; en las luces de escaleras o farolas que, al detectar el movimiento, se encienden de forma automática; en automóviles para indicar al conductor la cercanía de un obstáculo y evitar el choque; en maquinaria industrial para detectar situaciones peligrosas, como el hecho de que una pieza se haya salido de su sitio; e incluso en medicina dentro de los marcapasos. Como explica Astorga, “estamos evolucionando hacia una sociedad en la que cada vez hay más sensores. Están presentes hasta en esas pulseras que te indican las pulsaciones al correr, los kilómetros que has andado, e incluso las horas que has dormido en función de si te mueves mucho o, por el contrario, has tenido un sueño profundo y reparador”.

Esta tesis doctoral propone mecanismos técnicos “de autenticidad, control de acceso y privacidad” para la protección de los datos recogidos en entornos de Internet de las Cosas (Internet of Things, IoT), donde se plantea el despliegue masivo de sensores y la recogida de información de forma ubicua: O, lo que es lo mismo, el protocolo Ladón aporta herramientas de seguridad extrema para proteger el acceso a través de la Red a la información que recogen dichos sensores e incluso proteger la modificación de los parámetros que rigen su propio funcionamiento.

“En banca ya está muy trabajado este campo de la seguridad para operaciones por Internet o cajeros automáticos, como cuando te piden claves para sacar dinero con una tarjeta o efectuar un pago, pero son mecanismos que no sirven para el caso de los sensores porque se trata de servidores de información muy pequeñitos con poca memoria, poca capacidad de procesamiento y funcionan normalmente con baterías”, aclara Astorga. Ésta, con su protocolo, ha otorgado a los sensores “un nivel de seguridad equivalente” al ejemplo bancario citado, ya que se trata de mecanismos especialmente adaptados a las necesidades de dispositivos de capacidades reducidas.

No en vano, su creación se diferencia de otras ya existentes en que es más eficiente en consumo energético, necesidades de procesamiento y de almacenamiento, porque “necesitan poca memoria y procesador y consumen poco”, recalca, sin obviar que “proteger el acceso a los datos de los sensores de una farola puede no resultar vital, pero sí lo es cuando hablamos de marcapasos, por poner un ejemplo”, subraya.

Ésta no es la primera vez que se reconoce la tesis doctoral que Jasone Astorga realizó, bajo la dirección de su profesor Eduardo Jacob. De hecho, tras su presentación y defensa en 2013 recibió el premio Finalista CISCO en Aplicaciones del Internet of Everything (IoE), otorgado por el Colegio Oficial de Ingenieros de Telecomunicaciones, y en 2015, el Premio Extraordinario de Doctorado, concedido por la Comisión de Posgrado de la UPV/EHU.

El premio actual pretende reconocer a las personas e instituciones que se destacan por la labor desarrollada en torno a la protección de datos, y fue entregado a Astorga por Iñaki Pariente de Prada, director de la Agencia Vasca de Protección de Actos, durante la jornada Evolución de la protección de datos en los últimos tiempos y a futuro.

Con todo, la vida del Protocolo Ladón no termina aquí. Y es que Astorga, junto a su profesor, está codirigiendo la tesis doctoral de un alumno suyo que, precisamente, continúa evolucionando su trabajo de cara a aumentar las funcionalidades de autorización a la hora de acceder a un sensor por Internet. “La previsión es que este chico pueda defender su tesis en 2017”, adelanta Astorga, muy agradecida por un galardón que “no me esperaba porque mi trabajo es técnico y el tema de la protección de datos se mueve habitualmente en cubrir ámbitos legales”, sentencia.

Jasone Astorga, como buena vecina de Amurrio, donde sigue manteniendo su residencia, estudió en el Instituto Zaraobe de la villa ayalesa, antes de comenzar su preparación en Ingeniería de Telecomunicaciones en la misma facultad de la que, hoy día, es profesora. “Me licencié en 2004 y luego estuve tres años trabajando en Nexcel SA, pero nunca perdí el contacto con el grupo de investigación de la UPV. Así que cuando en 2007 me dieron la oportunidad de trabajar con ellos no lo dudé. Es más atractivo desarrollar nuevas tecnologías que trabajar con ellas o aplicarlas, aunque todo tiene su encanto”, apostilla.

Agencia de Protección de Datos....LEER NOTICIA COMPLETA.

DERECHO OLVIDO:

Protección de Datos: defensa del derecho al olvido no cambia tras decisión TS

La Agencia Española de Protección de Datos (AEPD) ha indicado hoy que el procedimiento para que los ciudadanos ejerzan el llamado derecho al olvido se mantiene intacto, pese a que el Tribunal Supremo ha dictado que estas quejas han de presentarse ante la matriz estadounidense Google Inc. y no ante Google España.

En cuatro sentencias relativas al derecho al olvido, el Supremo considera que la filial de Google en España no es responsable del tratamiento de los datos personales que difunde, y que las quejas en defensa de este derecho deberán presentarse ante Google Inc.

La AEPD ha emitido una nota informativa en la que se aclara a los ciudadanos que este fallo no modifica el procedimiento para reclamar el derecho al olvido.

Quienes deseen ejercerlo deberán, en primer lugar, solicitar directamente a Google la retirada de información de los resultados mostrados por el buscador cumplimentando el formulario que la tecnológica ha diseñado para tal fin.

Si el ciudadano no está conforme con la decisión adoptada por Google, continúa la AEPD, éste podrá solicitar la tutela de la Agencia.

"La sentencia no supone que los interesados no puedan ejercer sus derechos conforme a lo previsto en la Ley Orgánica de Protección de Datos ni que deje de aplicarse la Ley española. Tampoco modifica los principios y criterios de ponderación que estableció el Tribunal de Justicia de la UE en su sentencia, sino que aclara que el destinatario de las solicitudes deberá ser Google Inc.", sostiene.

El Tribunal Supremo ha hecho públicas hoy cuatro sentencias -que anulan cuatro decisiones previas de la Audiencia Nacional relativas al derecho al olvido- en las que reconoce que Google Spain S.L. no es responsable del tratamiento de los datos personales.

La AEPD ha explicado que los ciudadanos afectados por la anulación de esas cuatro sentencias pueden volver a solicitar el ejercicio del derecho al olvido, en el caso de que Google haya vuelto a indexar los enlaces que en su día retiró.

El Tribunal de Justicia de la UE reconoció en 2014 que los ciudadanos tienen derecho a ser "olvidados" en internet.

Es decir, que pueden reclamar a Google y otros buscadores que retiren de sus resultados de búsqueda los enlaces a informaciones que les perjudican y ya no son pertinentes.

Son Google y las compañías responsables de otros buscadores los que han de evaluar si las peticiones se ajustan a los requerimientos de la sentencia europea....LEER NOTICIA COMPLETA.

Las webs españolas inseguras que pronto serán señaladas por Google  

La compañía va a indicar con un aspa roja aquellas webs en las que detecte que existe algún tipo de problema con el certificado de seguridad, y las que considere que no cumplan con los requisitos mínimos

Google muestra actualmente con un icono de un candado en color verde seguido de HTTPS aquellas URLs seguras que utilizan certificados TLS (seguridad de la capa de transporte) o SSL (capa de conexión segura). Las que no lo hacen, sencillamente, aparecen con un folio en blanco, que viene a decir que la conexión entre el usuario y el servidor no es privada.

Ahora, en un afán por promover los sitios cifrados, el gigante de internet pretende señalar con un aspa roja no sólo aquellas webs en las que detecte que existe algún tipo de problema con el certificado de seguridad, sino con el resto que considere que no cumplan con los requisitos mínimos.

La californiana no está sola. La campaña Encrypt All The Things busca erradicar de una vez por todas el tradicional protocolo HTTP y lleva tiempo presionando a empresas y organizaciones para que cifren sus datos. Mozilla y Apple también han dado pasos en este sentido, e incluso el gobierno de Estados Unidos, el cual ha manifestado su intención de que antes de que acabe este año todos los sitios web .gov incluyan por defecto el protocolo seguro

El objetivo es mostrar con mayor claridad a los internautas que HTTP no es suficiente para proteger sus datos y que, en consecuencia, todo el mundo viaje por la web a través de un canal seguro.

A día de hoy, España está en las antípodas de cumplir esta objetivo.

España suspende en protección de datos

Desde la Administración Pública hasta los principales partidos políticos, pasando por empresas, pequeños comercios e incluso los más prestigiosos despachos de abogados. La lista de páginas webs dentro de nuestras fronteras que no cumplen con el mínimo exigido en cuanto al cifrado de datos se refiere es sorprendentemente extensa. Un ejemplo lo tenemos en la web del Ministerio de Justicia, cuya home principal y la correspondiente a Atención al Ciudadano directamente prescinden del HTTPS, pudiendo incluir el usuario su nombre, apellidos e incluso email mediante un protocolo inseguro. Ocurre lo mismo en la página de Cita Previa del Portal de Salud o el de Atención al Ciudadano, ambas de la Comunidad de Madrid, por poner algunos ejemplos.

Los partidos políticos tampoco se salvan. PP, PSOE y Podemos no utilizan protocolos seguros; la web de Ciudadanos es la única de los cuatro partidos más votados en las últimas elecciones que utiliza un sistema de cifrado considerado seguro para comunicarse con los ciudadanos y afiliados.

Según ha explicado a EL PAÍS el abogado y socio del despacho Abanlex Pablo Fernández Burgueño "los datos que el usuario transmite a través de las páginas que empiezan por HTTP se envían por un conducto no cifrado. Eso significa que un ciberdelincuente podría sustraerlos o modificarlos. Las páginas que empiezan por HTTPS sin embargo, son más seguras. Pero esto no quiere decir que lo sean del todo".

La S del HTTPS, explica el experto, indica que existe activo un sistema de cifrado que hace que los datos que se envían vayan cifrados desde el ordenador hasta el servidor de la empresa. Pero dentro de esta hay varios tipos en función del sistema de cifrado que se utilice. "Actualmente, el único considerado seguro es el SSL TLS 1.2. Todas las versiones anteriores están obsoletas y, por lo tanto, son inseguras", añade.

Esto es lo que ocurre por ejemplo con webs como la de Cita Previa de la Comunidad de Madrid, que utiliza una versión obsoleta de HTTPS, algunos hospitales como el de San Rafael, comercios, grandes despachos de abogados e incluso, paradójicamente, la Agencia Española de Protección de Datos (AEPD).

La web de la AEPD utiliza un certificado SSL obsoleto. En concreto, la versión TLS 1.0. El sitio SSLLabs sin ir más lejos, página web dedicada en cuerpo y alma a clasificar las páginas en función de su seguridad, le ha otorgado la peor nota (F). Siendo la A+ la más alta.

En España también existen multitud de páginas que sí cumplen con unos mínimos de seguridad. Este es el caso de webs como la de la Agencia Tributaria, cuya sede electrónica utiliza el protocolo seguro, el Cuerpo Nacional de Policía y, en general, los bancos y grandes superficies.

¿Qué riesgos conlleva navegar por estas webs?

El protocolo HTTPS se encarga de encriptar los datos intercambiados entre el usuario y el servidor web para que, pongamos por caso, un ciberdelincuente que se encuentre compartiendo la misma red pública en una cafetería o un gobierno represivo no puedan sustraer información sensible.

Este protocolo también garantiza que el usuario se encuentra en la página web que cree estar, y no en otra ficticia cuyo propósito sea el de suplantar su identidad. Una utilidad bastante práctica ya que existen muchos ejemplos de ataques de phishing utilizando páginas web falsas como por ejemplo la de Correos, Starbucks o el mismísimo WhatsApp.

¿Qué implica no tenerlo? Según Josep Albors, director de Comunicación y Laboratorio de Eset, "que la información circule descubierta y pueda ser sustraída por cualquier ciberdelincuente. Los usuarios tienen que mentalizarse de que el protocolo HTTP es inseguro y un peligro real para la web en general".

La razón por la que muchas webs no hayan incorporado este protocolo no es económica, porque además de no ser caro existen iniciativas como Let's Encrypt que lo ofrecen de forma gratuita.....LEER NOTICIA COMPLETA.