Iurismatica - Derecho TICs

Desde el “Observatorio de la Seguridad de la Información perteneciente al Instituto Nacional de Tecnologías de la Comunicación (INTECO), se nos informa de la presentación del “Estudio sobre incidencias y necesidades de seguridad en las pequeñas y medianas empresas españolas (PYME)” publicado en Enero de 2008. En este informe se presenta una visión de la situación y necesidades la PYME en materia de seguridad, haciendo una comparativa con la Gran Empresa y formulando recomendaciones de actuación a los diferentes actores implicados.

Del estudio destacaría 2 hechos, el primero de ellos, lo titularía “el hombre es el único animal que tropieza 2 veces en la misma piedra”:

Es destacable el hecho de que las PYME, a pesar de declarar haber sufrido un número elevado de incidentes de seguridad, consideran que éstas no han tenido consecuencias destacables, no siendo capaces de monetarizar las perdidas de tiempo y recursos provocados por la incidencia. Esto explica que el 85% de las pymes participantes en el estudio afirmen no cambiar sus hábitos o sistemas de seguridad tras sufrir un incidente de este tipo.

Asimismo es destacable el bajo cumplimiento de la normativa de protección de datos en las PYMES detectado por el INTECO:

Un resultado significativo y que confirma la idea anterior es el hecho de que, a pesar de que tan sólo un 7% de las pequeñas y medianas empresas declaran desconocer la normativa sobre protección de datos (LOPD), existen grandes diferencias en la aplicación de ésta (un 81,6% de las grandes empresas afirma haber realizado una auditoria de seguridad frente a un 17,7% de PYMES que lo han hecho).

El estudio, que recomiendo su lectura, analiza las diferencias existentes al respecto entre la PYME y la gran empresa española, al comparar los resultados de encuestas realizadas en ambos colectivos: 265 encuestas a pequeñas y medianas empresas y 282 grandes empresas españolas.

Fuente: INTECO

Ayer Jose Antonio del Moral publicaba una reseña del estudio realizado por McAfee sobre el estado del Typo-squatting en el año 2007. Este estudio (que recomendamos su lectura) pone de relieve algunos aspectos importantes de este tipo de actividad, muestra el círculo del dinero que genera el “typo-squatting” y muestra a España como una potencia en este sentido puesto que aparece en el tercer peusto sólo superada por Gran Bretaña y Portugal, aunque me sorprende que no aparezca EEUU en el estudio puesto que aunque tenga su propia normativa Anticybersquatting Consumer Protection Act siempre ha estado a la cabeza en este tipo de actividad. Asimismo es curioso observar como (siempre según el estudio de McAfee) las actividades que más “ataques” reciben son los portales de juegos, medios de comunicación, aerolíneas, contenido adulto y tecnología. Si nos fijamos en España, según el estudio las webs que más sufren esta actividad son:

El informe concluye estableciendo una lista de “ganadores” y “perdedores” que genera el Typosquatting. Según McAfee dentro de los perdedores se encontrarían los consumidores por la pérdida de tiempo, las marcas comerciales por la pérdida de dinero que les genera que potenciales consumidores sean redirigidos a otros productos o incluso el dinero que tienen que pagar a “typosquatter” para redirigan el tráfico a sus marcas, así mismo aparecen como perdedoras las grandes y pequeñas empresas. Entre los ganadores, McAfee sitúa a los “especuladores” de dominios por los ingresos generados en el parking, a las empresas que ofrecen servicios de parking de dominios, a los buscadores por las ganancias que les genera el tráfico y a los agentes registradores por la gran cantidad de variantes de nombres de dominio que se registran.

El pasado mes de septiembre, el Instituto Nacional de Tecnologías de la Comunicación (aka INTECO) presentó el Estudio sobre la Seguridad de la Información y e-Confianza en el ámbito de las Entidades Locales (sí ya lo sé han pasado 2 meses, así que no es una noticia reciente, pero el día a día a veces produce que amontonemos ciertos estudios e informes por falta de tiempo, pero lo importante es de vez en cuando retomarlos y leerlos tranquilamente) que pretendía proporcionar una visión actualizada dele stado y necesidades de seguridad y confianza digital de las entidades locales en España que identifique los principales riesgos a los que están expuestos sus sistemas de información y comunicaciones. Del estudio que han realizado a 471 Ayuntamientos y 49 Diputaciones, Consells y Cabildos me quedo con las siguientes fortalezas en seguridad por parte de los Entes Locales:

• Elevada concienciación sobre la importancia de la seguridad de los sistemas de información.

• Asignación de un responsable de seguridad de cara al cumplimiento de la normativa de protección de datos de carácter personal e inclusión de cláusulas en los contratos.

• Control de los equipos y recursos informáticos mediante un inventario de activos, controles de protección y acceso físico a los mismos y políticas de gestión de identificación, contraseñas y autenticación de usuarios remotos, salvo en los gobiernos municipales de pequeño tamaño.

• Prevención y detección de software malicioso y actualizaciones de sistemas operativos y aplicaciones.

A su vez han identificado una serie de oportunidades de mejora:

• Incrementar el presupuesto destinado a la seguridad de la información, más acentuada en los gobiernos locales de pequeños municipios, que son los que precisan una mayor inyección de recursos.

• Reforzar las acciones formativas, políticas para el correcto uso de correo electrónico y de controles criptográficos, mayor control de riesgos de seguridad, planes de continuidad del negocio (salvo en entes locales de grandes y medianos municipios), etc.

• Mejorar el cumplimiento normativo de la protección de datos personales en entidades de pequeños y medianos municipios, ya que no se realizan auditorías periódicas.

Del estudio uno de los puntos que me ha resultado más curioso es que las áreas de seguridad más valoradas por los expertos consultados son las de Seguridad de lso Activos y Seguridad de los Datos. Dentro de estas áreas, las prácticas de seguridad consideradas más relevantes han sido la de la mesa despejada y la pantalla bloqueada para reducir el riesgo de acceso no autorizado. Medidas que siempre he recomendado y no me he cansado de repetir cada vez que hemos realizado algún tipo de actuación en Ayuntamientos a la hora de asesorar en materia de protección de datos de carácter personal. Os recomiendo el informe