Seguridad de los menores en la red (II): Modelo de seguridad

Para hablar de protección adecuada de los menores en la red, debemos en primera instancia definir un modelo de seguridad que represente todo aquello en lo que vamos a trabajar, desde el qué queremos proteger hasta el cómo hacerlo; algo similar a un análisis de riesgos particularizado para el caso que nos ocupa, y como siempre, en todo modelo de seguridad, lo primero que debemos plantearnos para diseñarlo es la identificación del objetivo de protección, lo que llamamos TOP (Target of protection). Una vez dispongamos de un TOP claramente identificado necesitamos poner en negro sobre blanco las amenazas a las que está expuesto, es decir, necesitamos identificar la taxonomía de amenazas, entendida como la lista de situaciones que pueden poner en peligro a nuestro objetivo de protección.

Identificada en primera instancia la taxonomía de amenazas -sin duda se podrá modificar con el tiempo-, necesitaremos evaluar el riesgo asociado a cada posible incidente o cada escenario de siniestro, preguntándonos cuál es la probabilidad de que este incidente ocurra y, en el caso de ocurrir, cuáles serían sus consecuencias, su impacto. A partir del análisis de riesgos que identifica el riesgo intrínseco de nuestro objetivo de protección, deberemos evaluar los controles o salvaguardas que queremos establecer en caso de que el riesgo intrínseco identificado resulte inadmisible para nosotros; como siempre, mediante la aplicación de controles convertiremos el riesgo intrínseco existente en un riesgo residual aceptable.

En términos generales, podemos considerar que existen tres grandes familias de controles o salvaguardas: mecanismos de protección, que intentan evitar la materialización de incidentes de seguridad, mecanismos de detección, cuya función es detectar incidentes cuando las medidas de protección no han funcionado y mecanismos de respuesta, para la intervención en caso de detección de un incidente de seguridad. Personalmente, me gusta desdoblar los mecanismos de protección en disuasión y prevención y los mecanismos de respuesta en respuesta y recuperación, por lo que en general suelo hablar de cinco grandes grupos de controles o salvaguardas.

En los tiempos que corren es evidente que uno de los objetivos de protección de gobiernos y de la sociedad en general son los menores en el uso de las nuevas tecnologías. Como no puede ser de otra forma, los menores, como objetivo de protección, necesitan el diseño de un modelo de seguridad acorde a su realidad y por tanto, una vez identificado el TOP -que en este caso que es el menor, con diferente realidad en función de la edad- es necesario definir el resto de componentes del modelo de seguridad. Una de las cuestiones más importantes a la hora de definir este modelo de seguridad para menores es la identificación de la taxonomía de amenazas que afectan al menor en el uso de las tecnologías de la información y las comunicaciones. Dentro de esta taxonomía de amenazas tendremos que incluir sin duda situaciones como acceso a contenidos inapropiados, ciberbullying, grooming, sexting, robos de identidad, etc., y sobre todo deberemos tener en cuenta que la taxonomía de amenazas que afecta a los menores está cambiando de forma constante.

En función de la taxonomía de amenazas identificada en un momento determinado haremos una evaluación del riesgo intrínseco, el que tiene nuestro TOP por el hecho de ser un menor y hacer uso de las TIC. Es en este momento en el que estaremos ya preparados para empezar a implantar medidas de control -salvaguardas- para mitigar el riesgo al que está expuesto nuestro objetivo de protección. Tal y como hemos visto, las salvaguardas serán de cinco tipos: disuasión, prevención, detección, respuesta y recuperación.

En el caso que nos ocupa, el de los menores y el uso que estos hacen de las nuevas tecnologías, las últimas reformas del código penal son, por sí mismas, medidas de disuasión que esperemos sean eficaces. Además de este tipo de medidas disuasorias se pueden aplicar otras, como la puesta en marcha de iniciativas globales por parte de los gobiernos con el objeto de proteger este segmento de población tan frágil.

Las medidas de prevención son importantísimas, ya que de entrada son capaces de limitar el riesgo en un gran número de casos. Sistemas de control parental, antivirus actualizados, herramientas antimalware, sistemas de protección de la red del hogar basados en cortafuegos o en sistemas de detección de intrusos específicamente diseñados para redes domésticas, etc. Desgraciadamente, no es suficiente con las medidas de protección, y no sólo porque estas funcionen mejor o peor, sino porque tenemos que contar siempre con el factor humano, en este caso el de los menores, que suele ser uno de los puntos débiles de todo modelo de seguridad. Necesitaremos por tanto mecanismos de detección que nos ayuden, como madres, padres o tutores, a identificar posibles situaciones de riesgo y que nos permitan actuar en consecuencia. Deben ser en este caso mecanismos, algunos de ellos, diseñados específicamente para este modelo de seguridad.

Cuando los mecanismos de detección, ya sean automáticos o manuales, actúan necesitamos definir una vía de respuesta. En este caso trabajamos ya con un posible incidente declarado y es imperativo el proveer a la víctima del posible incidente de una vía de soporte o ayuda especializada y de confianza. Es decir, ante un posible problema es necesario que el menor tenga un mecanismo de comunicación seguro con un equipo de personas capaces de prestarle la ayuda que necesita. Finalmente, una vez se ha respondido al incidente de forma adecuada, debemos centrarnos en la recuperación, ya sea ésta técnológica, psicológica o de cualquier otro tipo.

En definitiva, un modelo de seguridad debe contemplar todas y cada una de las piezas con el fin de ser lo más eficaz posible en primera instancia y lo más eficiente posible en segunda. En este post hemos hablado de un modelo orientado a la protección de menores en la red, pero seguiremos hablando de los modelos de seguridad.

Seguridad de los menores (I)

El otro día leía detenidamente una noticia que me dejó pensativo. No porque no estuviese de acuerdo. Ni siquiera porque no fuese algo que pudiese ocurrir. Todo lo contrario. Leía que un juez, haciendo uso de la ley, imponía a un padre de un adolescente una multa en base a la falta de cumplimiento del deber “in vigilando” que se le exige a un padre, como responsable de su hijo menor de edad.

El caso es que al padre en cuestión el juez le impuso una multa de 5.000 euros porque su hijo arremetió en la red social tuenti contra una niña a la que, de hecho, no conocía de nada. Fue un recurso fácil para hacerse el gracioso y a la niña le supuso un trauma del que tardará en recuperarse. Técnicamente es un caso de “ciberbullying” o ciberacoso.

¿Qué debemos hacer los padres con este tipo de comportamientos? ¿Cómo nos podemos enterar de lo que hacen nuestros hijos en las redes sociales? Por una parte es evidente que debemos vigilar el comportamiento de nuestros hijos en la sociedad puesto que somos responsables del mismo y es nuestro deber educarlos, pero, por otra, ¿cómo podemos hacer eso sin saltarnos su derecho a la intimidad o a la privacidad?

Hace poco, en relación a un proyecto de seguridad de menores en el que estamos trabajando, mantuvimos una reunión con un grupo de fiscales que nos insistían en que los menores tienen los mismos derechos que los adultos en este sentido, es decir, no podemos interferir sus comunicaciones sin que ellos lo sepan y por supuesto, no podemos obviar su derecho a la intimidad, así que ¿cómo podemos enterarnos de los riesgos que acechan a nuestros hijos en su uso cotidiano de las nuevas tecnologías? No hablamos de sistemas de control parental, ni de herramientas antivirus, ni antimalware, necesitamos una nueva generación de sistemas de ayuda a los padres o tutores que nos alerten de los riesgos, que nos avisen cuando algo va mal.

[Read more…]

Google Car

¿Se imaginan ustedes que sea cierto todo lo que se está hablando sobre el «coche fantástico de los señores de Google»? ¿Se imaginan que dentro de unos años recorramos las carreteras de nuestro país en coches sin conductor?

cocheYo sí que me lo imagino. Estoy seguro que lo imagino de una forma totalmente distinta a la que va finalmente a ser pero lo veo venir: carreteras con balizas, ciudades «tageadas» (vaya palabro) con sensores activos o pasivos por todas partes, sistemas de telecontrol y telemedida controlados por grandes sistemas tolerantes a fallos o capaces de prever problemas en tiempo de ejecución….

Todo esto no esta tan lejos como podemos creer, y para muestra podemos ver los proyectos de ciudades inteligentes que se están desarrollando por muchas latitudes. Por ejemplo en Málaga podemos ver las habitaciones inteligentes de las que hemos hablado, o podemos analizar proyectos como FastFix, liderado por S2 Grupo, en el que se está investigando, aplicando técnicas complejas de correlación en sistemas tolerantes a fallos, que se actualizan en caso de un mal funcionamiento.

[Read more…]

S2. Seguridad y Sostenibilidad

Cuando se habla de sostenibilidad parece que todos estamos de acuerdo en que el desarrollo de la Sociedad de la Información es la opción más adecuada para conseguir una economía productiva, competitiva y eficaz, por la vía del aumento de la productividad y la integración de la innovación como motor de la empresa. Todos damos por sentado que estos factores son necesarios para garantizar la sociedad del bienestar y por tanto la calidad de vida de los ciudadanos de los países desarrollados.

El propio desarrollo de la Sociedad de la Información debe ser sostenible en sí mismo para, a través suyo, poder garantizar la sostenibilidad de la sociedad en uso conjunto.

¿Cómo podemos definir una Sociedad de la Información sostenible? Teniendo en cuenta que:

  • Debe estar disponible
  • Debe ser confiable
  • Debe ser segura
  • Debe ser ubicua
  • Debe ser cómoda y accesible
  • Debe ser asequible
  • Debe regularse

Lo que no tiene sentido es que malhechores y sinvergüenzas de todo tipo campen a sus anchas por “La Sociedad de la Información”, nuestra sociedad virtual, haciendo el mal a diestro y siniestro. Tenemos que aprender a protegernos virtualmente, tenemos que proteger nuestros bienes virtuales, tenemos que desarrollar leyes y equipos profesionales especializados en garantizar un uso seguro de los servicios de la era de las comunicaciones. Necesitamos trabajar mucho para ello. Los profesionales, diseñando servicios que cumplan los principios anteriores. Los gobiernos, legislando para que la justicia pueda hacer su trabajo. Jueces y abogados, formándose para no quedarse boquiabiertos cuando presentamos ante sus narices un delito en la red y los ciudadanos preparándose para entender cómo funcionan sus nuevas vías de comunicación y para poder hacer frente a los granujas de la red que, hoy por hoy, disfrutan del anonimato que les proporciona su propia cobardía.

Nosotros, desde nuestro rincón en el mundo, estamos trabajando para crear una sociedad que entre de pleno derecho y sin miedo en la Sociedad de la Información, en la sociedad de las redes sociales en la sociedad más libre y democrática que puede existir. Desde estas líneas queremos anunciar nuestro compromiso continuado con una Sociedad Sostenible y Segura (Compromiso S2: Sostenibilidad y Seguridad), porque no entendemos una sociedad sostenible en la que la seguridad no esté presente en todas sus dimensiones.

Este compromiso los estamos materializando en proyectos de Responsabilidad Corporativa, de los que daremos cumplida información en cuanto nos sea posible, y en líneas de I+D+i para el desarrollo de nuevos servicios y productos.

Si alguno de nuestros lectores tiene alguna sugerencia en esta línea estaremos encantados de escucharla y, si es el caso, estudiarla.

Habitaciones inteligentes

El mes pasado asistimos, en las jornadas de Eficiencia Energética organizadas por el Club de Excelencia en Sostenibilidad en Port Aventura, a una serie de conferencias en las que se presentaban mejores prácticas de grandes empresas en esta materia. Las jornadas fueron francamente interesantes y una de las conclusiones a las que llegamos al final de las jornadas es la importancia creciente de las técnicas de monitorización y gestión en tiempo real en este amplio campo, que, por si no lo saben ustedes, es una de las líneas en las que más estamos investigando y desarrollando en S2 Grupo desde la óptica de la “Seguridad de los Procesos”.

Entre las prácticas expuestas nos llamó mucho la atención la siguiente por su originalidad y por los aspectos del proyecto relacionados con la intimidad de las personas. Una de las cadenas de hoteles importantes de nuestro país ha presentado una iniciativa que desde el punto de vista de la eficiencia energética es original y muy interesante. El proyecto en cuestión es la Habitación Inteligente en la que las habitaciones del hotel en cuestión se monitorizan con el objetivo de analizar los perfiles de comportamiento de los clientes: se mide en tiempo real la temperatura y humedad, el consumo eléctrico, el consumo de agua fría y caliente y otros parámetros que pueden resultar de interés. El resultado es impresionante ya que el análisis de datos pasados nos permiten establecer patrones de comportamiento y por ejemplo premiar al cliente en el caso de que su consumo esté por debajo de lo que se considera normal para una época del año determinada o con unas condiciones atmosféricas determinadas, es decir, por el uso responsable de los recursos.

Si todo este historial lo ligamos a la tarjeta de fidelización de cliente que la cadena de hoteles tiene, resulta que asociado a la tarjeta en cuestión se puede almacenar una serie de parámetros que definen, con cierto detalle, nuestros gustos y costumbres en aras a dar un servicio cada vez más personalizado al cliente, lo que en mi opinión resulta impresionante. Personalmente creo que todo esto es bueno siempre y cuando los responsables de los proyectos de este tipo sean muy conscientes de lo que tienen entre manos y demuestren que es así abiertamente para que los clientes nos quedemos tranquilos.

La Ley Orgánica de Protección de Datos exige muchas cosas al respecto. Los datos recogidos mediante todo tipo de sensores en una habitación de un hotel, incluido los canales de televisión que nos gusta ver, definen sin duda alguna el perfil de la persona o las personas que ocupan la habitación y por tanto son, a priori, datos de nivel medio con los requisitos de seguridad que el Reglamento de la LOPD exige al respecto. Al margen del pequeño detalle de que el Responsable del Fichero tiene que implantar las medidas de seguridad apropiadas, a cada cliente, se le deberá solicitar permiso para almacenar y tratar toda esa información y por supuesto se le deberá indicar claramente la finalidad del tratamiento y si los datos en cuestión se van a ceder a algún tercero con cualquier finalidad. Conociendo lo permisivos que somos habitualmente los ciudadanos al conceder el consentimiento, me atrevo a decir que este último punto no supondría en su caso ningún problema, y menos cuando la negación de dicho consentimiento tenga como consecuencia la imposibilidad de estancia en el hotel o la inhabilitación de esta tecnología, ya que, ¿quién quiere ir a un hotel de última tecnología para no hacer uso de ella?

Claro ustedes seguro que pensarán que el equipo de ingenieros que han diseñado este servicio habrá analizado en detalle la LOPD y las consecuencias legales del servicio que están diseñando y montando. En las jornadas se hizo una pregunta en esta línea. ¿Cual creen ustedes que fue la respuesta? En fin, se trata evidentemente de un prototipo y como tal, seguro que el equipo que está desarrollando el mismo tomará buena nota, tanto de los aspectos comerciales del proyecto, como de los aspectos legales asociados al mismo. Veremos cómo evoluciona y lo comentaremos cuando encontremos novedades al respecto.

Los Numerati de la seguridad

Impresionante término acuñado por Stephen Baker en su libro «Los Numerati. Lo saben todo de ti«. El propio título no deja indiferente al lector.

Ahora bien, ¿es recomendable su lectura? En mi opinión el libro como tal es un poco aburrido, aunque el concepto de base es apasionante y puede poner los pelos de punta a cualquiera. Al margen de los casos que analiza, con demasiado detalle para mi gusto, hay otros muchos, incluso más interesantes, que ni siquiera menciona. Por tanto, siempre en mi modesta opinión, el libro, en su conjunto, se hace bastante pesado, pero en el inicio del mismo, la realidad a la que hace mención en el libro, es escalofriante, y es ésta precisamente la razón por la que recomiendo su lectura ya que en él Baker nos descubre un inframundo apasionante para los que nos dedicamos al mundo de la seguridad y, sin duda, tenebroso para los que simplemente son usuarios de las tecnologías de la información y las comunicaciones.

Los Numerati lo saben todo de nosotros. Analizan trillones de datos diariamente para establecer perfiles de usuarios, de compradores, de votantes y un largo etcétera. Legiones de ingenieros y matemáticos que escudriñan la red en busca y captura de información que permita establecer patrones de comportamiento, grupos de perfiles de usuarios, grupos de individuos. Los primeros de esta saga, o al menos los primeros famosos, fueron Sergey Brin y Larry Page, cofundadores de Google.

[Read more…]

Los casos de pornografía infantil en la red crecen un 1000 por cien

Es la cifra que dijeron el otro día en las noticias de la sexta que había crecido la pornografía infantil, un 1000%. Sí, no es un error tipográfico: mil por cien. Profesores, policías, pediatras, abogados, médicos, ingenieros, arquitectos, empresarios, etc., no parece que haya un perfil claro. Lo único en lo que coinciden el 90% de los involucrados en estos casos es que son hombres. ¿Nos estamos volviendo locos? ¿Es que, de verdad, aquellos de estos que estén consumiendo este tipo de «producto» piensan que no van a ser cazados? ¿Tan poco inteligentes son? Si por lo que parece están tan preparados profesionalmente ¿por qué infravaloran y dudan del trabajo de los profesionales que quieren ponerlos a buen recaudo? Por otro lado, ¿qué estamos haciendo tan mal para que estas cifras crezcan de forma tan alarmante?

Hay muchas cosas que se pueden hacer para cazar a estos tipos. Somos capaces de poner trampas. La red esconde a los «malos» pero también sirve para esconder a los “buenos” que quieren desenmascarar a estos individuos. ¿Acaso creen que lo que hacen no está tan mal? La pornografía infantil existe porque hay quien está dispuesto a pagar por ella. Podría decirse que es incluso peor el comportamiento de quien cobardemente consume estos contenidos protegido por una pantalla de ordenador, que aquel que los produce. Soy un convencido de que la Red es el mayor vehículo de libertad que ha inventado el hombre pero a veces me pregunto, después de oír noticias como esta, si el precio que tenemos que pagar no es demasiado alto. Desde estas líneas quiero lanzar un grito contra toda esa gente, mayoritariamente hombres, que a la luz de un flexo y por la noche se convierten en cómplices y autores de tan execrables delitos.

Un modelo de seguridad se conforma a través de distintos tipos de salvaguardas. En mi opinión, las mejores son sin duda las medidas de disuasión, porque evitan el problema desde su origen. Pues bien, si esta pequeña entrada en este blog sirve algún día para disuadir a alguien, bienvenido sea. Lo que es seguro es que los que se metan en este tipo de “líos” van a acabar a buen recaudo y de esto no tengo la menor duda ya que todos estamos manos a la obra y en este caso, el primero, el propio legislador.

A nivel internacional, la Convención de las Naciones Unidas sobre los Derechos del Niño, ratificada por España por Instrumento de 30 de noviembre de 1990, comprometió a los Estados firmantes en el cumplimiento efectivo de tales derechos.

La Unión Europea, por su parte, ha aprobado a lo largo del tiempo diferentes instrumentos jurídicos dirigidos a propiciar una mayor seguridad en la utilización de Internet y las nuevas tecnologías mediante la lucha contra los contenidos ilícitos y nocivos, principalmente en el ámbito de la protección de las personas menores de edad, con el fin de crear un entorno de utilización más seguro, que impida un uso inadecuado o ilícito, especialmente en el caso de los delitos contra las personas menores, del tráfico de seres humanos o de la difusión de ideas racistas o xenófobas.

De hecho ya en el año 2000, concretamente en la Decisión del Consejo, de 29 de mayo de 2000, relativa a la lucha contra la pornografía infantil en Internet estableció la necesidad de que los Estados miembros adoptarán medidas con el fin de:

  • alentar a los usuarios de Internet a indicar a las autoridades represivas los casos de presunta difusión de material pornográfico infantil en Internet;
  • garantizar que las infracciones cometidas sean investigadas y sancionadas, gracias a la creación de unidades especializadas, por ejemplo en los servicios represivos;
  • garantizar la rápida reacción de las autoridades represivas cuando reciben información sobre presuntos casos de producción, tratamiento, difusión y posesión de material pornográfico infantil.

Además, también se estableció que los Estados miembros deberían comprobar regularmente si la evolución tecnológica exige la modificación de su procedimiento penal en el ámbito de la lucha contra la pornografía infantil en Internet, y, para facilitar la colaboración entre los Estados, se difundiría una lista de puntos de contacto nacionales, disponibles las 24 horas del día, y de unidades especializadas, debiéndose informar a Europol de los presuntos casos de pornografía infantil y organizándose reuniones entre los servicios especializados nacionales.

Posteriormente en la “Decisión Marco 2004/68/JAI” del Consejo, de 22 de diciembre de 2003, relativa a la lucha contra la explotación sexual de los niños y la pornografía infantil se establecían claramente cuáles eran los comportamientos punibles que constituyen una «infracción relacionada con la pornografía infantil», se realicen mediante sistemas informáticos o no:

  • producción de pornografía infantil;
  • distribución, difusión o transmisión de pornografía infantil;
  • ofrecimiento o facilitación por cualquier otro medio material de pornografía infantil;
  • adquisición o posesión de material de pornografía infantil.

También en esta decisión marco se establecían que las sanciones penales previstas por cada Estado deberían incluir una pena privativa de libertad de al menos entre uno y tres años. En los casos de determinadas infracciones con circunstancias agravantes dicha pena tendrá una duración de al menos cinco a diez años. La Decisión Marco proporciona una lista de circunstancias agravantes, sin perjuicio de otras circunstancias establecidas en la legislación nacional cuando:

  • la víctima sea un niño que no haya alcanzado la edad del consentimiento sexual según el Derecho nacional;
  • el autor haya puesto en peligro de forma deliberada o por imprudencia temeraria la vida del niño;
  • la infracción se haya cometido empleando violencia grave contra el niño o causándole un daño grave;
  • la infracción se haya cometido en el marco de una organización delictiva según la definición de la Acción Común 98/733/JAI.

La Constitución Española establece en su artículo 39, como uno de los principios rectores de la política social y económica, la protección a la familia y a la infancia, llamando a los poderes públicos a asegurar la protección integral de las hijas y los hijos y afirmando que «los niños gozarán de la protección prevista en los acuerdos internacionales que velan por sus derechos».

En este sentido, este mismo año España ha traspuesto la Decisión Marco 2004/68/JAI mediante la publicación de la Ley Orgánica 5/2010, de 22 de junio, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal que, fundamentalmente en las modificaciones de sus artículos 183 y 189, establece lo recogido en la normativa europea.

Son, por tanto, numerosos, los instrumentos que tenemos para luchar contra este efecto indeseado de la red de redes. Lo que tenemos que conseguir es aplicarlos en toda su extensión y aislar a esos individuos que hacen de Internet un vehículo para la comisión de estos delitos.

Nosotros vamos a seguir trabajando activamente por la seguridad de los más pequeños en la red y estaremos encantados de colaborar en cuantas iniciativas y medidas se lancen en esta dirección. Estoy seguro de que entre todos conseguiremos reducir al máximo este problema con el fin de hablar de cifras de reducción del 1000 por cien en lugar del aumento equivalente.

Cloud computing, el análisis de riesgos y los “servicios dinámicos” de seguridad

A estas alturas todos estaremos de acuerdo en que nos enfrentamos a cambios singulares en la forma de entender la gestión de las infraestructuras TIC. La irrupción de los servicios de cloud computing, y con ellos la IAAS “Infraestructure as a service”, va a provocar en los próximos años una reestructuración de gran calibre en este tipo de servicios, en buena parte consecuencia del desarrollo masivo de los servicios de virtualización que nos permite cambiar nuestras máquinas virtuales de CPD o datacenter en un abrir y cerrar de ojos, al menos teóricamente.

Todo esto tiene unas implicaciones en materia de seguridad de proporciones colosales. Los modelos de seguridad actuales, fundamentalmente “estáticos”, tienen que evolucionar a modelos de seguridad “dinámicos” adaptados a las necesidades de los servicios en la nube, porque esta tendencia no tiene vuelta atrás. No se trata de que opinemos si es mejor o peor la seguridad de los servicios “cloud”, se trata de que diseñemos servicios de seguridad adecuados a esta realidad, que como todo tiene aspectos positivos y aspectos negativos.

Ganamos en algunas cosas. Uno de nuestros puntos débiles en la seguridad ha sido siempre la disponibilidad y la continuidad de negocio. En este caso, en la nube, con escenarios de siniestro complicados como la caída de un datacenter por un desastre natural, la solución parece al alcance de cualquiera y los RTO parecen asumibles por cualquier tipo de negocio. Es evidente que hay muchas cosas que rediseñar en los servicios de seguridad en la nube.

Tomemos el caso de Google que tenía, en 2008, 36 localizaciones para sus centros de procesos de datos con entornos virtualizados que les permite cambiar estas ubicaciones de forma, digamos, “ágil”. Uno de sus objetivos es, lógicamente, minimizar el coste de hospedaje de su infraestructura y dado que podemos asumir que en un datacenter el 50% del coste es el coste energético de la refrigeración, entenderemos que los gestores de la infraestructura de Google busquen términos de eficiencia energética cada vez mejores. Por lo que hemos leído el factor PUE (Power use efficency) alcanzado por Google es impresionante: 1,21 de media. Esto supone que cada watio útil que llega a una máquina que da servicio a sus clientes necesita 1,2 watios de consumo real. Evidentemente esto se puede conseguir haciendo uso de datacenters que requieren poco uso energético para refrigerar las maquinas y por tanto llevándose, por ejemplo, los sistemas a localizaciones frías que utilicen aire del ambiente para refrigerar las salas técnicas. Todo esto se puede además complicar utilizando estrategias tipo “follow the moon” mediante las que buscamos tarifas nocturnas de consumo energético y por tanto tarifas económicas que, en definitiva, permiten reducir el coste de suministro eléctrico de la máquina y directamente el coste del servicio.

Si en este entorno empezamos a pensar en seguridad la primera reacción es la de estupefacción. Si ya es complicado conseguir un nivel de seguridad adecuado en entornos estáticos desde el punto de vista físico, si el entorno lógico, con la virtualización, es un entorno altamente cambiante y además el físico también, el resultado es directamente un manicomio especializado en la práctica de torturas, como medida terapéutica, para los profesionales de la seguridad.

Evidentemente este escenario que se nos viene encima no es compatible con las prácticas de seguridad actuales de la mayor parte de las empresas especializadas en este tipo de servicio. Este escenario nos está pidiendo a gritos que adaptemos las políticas, los procedimientos, los controles, los sistemas de monitorización y gestión de la seguridad a estos entornos que cambian a una velocidad endiablada.

Pensemos, por ejemplo, en un análisis de riesgos tradicional. En nuestra opinión, los análisis de riesgos tradicionales son ya de por si poco útiles, sobre todo si hacen uso de metodologías pesadas y complejas como puede ser el caso de algunas metodologías que todos conocemos ;-). Vaya por delante que son metodologías muy valiosas y que conforman un buen punto de partida teórico, pero que en mi opinión no pueden ser utilizadas de forma práctica sin los matices pertinentes. ¿Por qué? Básicamente porque nos enfrentamos a entornos en continuo cambio. Cuando se diseñaron este tipo de metodologías se hicieron pensando en infraestructuras manejables, con evoluciones tranquilas, y en las que revisar el análisis de riesgos periódicamente una vez al año podía ser suficiente. Estas no son las hipótesis de partida a las que nos enfrentamos hoy y por tanto estas metodologías no sirven cuando las aplicamos tal cual fueron diseñadas.

Nos enfrentamos a entornos cambiantes desde el punto de vista lógico, con continuas variaciones que tienen impactos en la estrategia de seguridad clarísimos y por si fuera poco, en virtud de lo comentado en la introducción de esta entrada, nos enfrentamos también a entornos físicos cambiantes. En estas circunstancias las amenazas son variables, sus probabilidades también y por tanto los riesgos también. En definitiva, dentro del marco de servicios dinámicos de seguridad al que nos hemos referido, tendremos que diseñar metodologías ágiles de análisis de riesgos en tiempo real.

Mucho vamos a tener que trabajar para poder definir un marco global de productos y servicios de seguridad dinámica en este nuevo entorno, y mucho tienen que opinar lectores asiduos de este blog en esta materia… pasen en cualquier caso, ya sea pasados por agua o no, un buen fin de semana.

Éramos pocos y llegó el “Kindle DX”

No malinterpreten el título de este post. A diferencia de algunos “elementos” del mercado no estoy, ni mucho menos, en contra de los libros electrónicos y menos del dispositivo de Amazon. Todo lo contrario, fui de los primeros en adquirir uno. Invertir en un libro electrónico es invertir en salud y si no lo creen ustedes no duden en preguntarle a mi espalda. Tengo muchas ganas de que mis hijas puedan ir al colegio con una mochila en la que lo más pesado sea su bocadillo o su zumo, aunque creo que tendré que esperar a que estén en la Universidad a juzgar por la reacción que las editoriales españolas están teniendo en esta materia. En mi modesta opinión es una vergüenza, pero es lo que tenemos.

Mostrada mi postura claramente a favor de semejante utensilio del siglo XXI he de hacer una puntualización a mi apoyo. Un apoyo, por tanto, condicional, con alguna fisura fruto de la falta de previsión de los fabricantes o de los ingenieros que lo diseñaron y que se está resolviendo con las últimas versiones del software que se están publicando (versión 2.5.2).
No sé si ustedes se han parado a pensar en el impacto que sobre la sociedad van a tener, o están teniendo ya, los libros electrónicos. Creo que va a ser una revolución a corto plazo equivalente a la de la fotografía digital. El impacto en todos los ámbitos de la sociedad ya se está empezando a notar. Hasta hace no mucho los libros electrónicos eran unas maquinitas con una utilidad incuestionable para los devoradores de novelas, libros de bolsillo, ensayos y demás piezas literarias.

Los que queríamos el libro electrónico como dispositivo simultáneamente de ocio y negocio le encontrábamos algunas pegas, sobre todo por lo relacionado con el tamaño y la calidad de visualización de documentos en tamaño A4, fundamentalmente documentos en formato pdf. Pero los libros electrónicos de 10 pulgadas ya han irrumpido en nuestras vidas y con ellos llegó un nuevo capítulo de preocupación para los que nos dedicamos a la seguridad.

¿Por qué a los señores de Amazon no se les ocurrió inicialmente dotar de algún mecanismo mínimo de seguridad al Kindle DX? Si de verdad se postula este dispositivo para llevar una versión digital del Quijote o el último documento de auditoría de seguridad entregado por nuestro equipo externo de consultores ¿no creen ustedes que debería haberse pensado desde el principio en algún mecanismo de seguridad que garantizase la confidencialidad de la información contenida en el mismo? ¿Qué pasa si al director de RRHH de una gran empresa le roban su Kindle con una versión de la aplicación inferior a la 2.5.2 donde, con el fin de aprovechar los ratos muertos del aeropuerto, había guardado el borrador del ERE que se está diseñando o la lista de los empleados que van a ser despedidos durante este ejercicio? Amazon lo ha intentado resolver hace poco tiempo con su nueva versión de la aplicación pero, ¿qué está ocurriendo con el resto de libros electrónicos?

Pero aquí no termina la historia. Como ustedes supongo sabrán Kindle hace uso de una maravillosa red global, Whispernet, mediante la cual estos dispositivos están permanentemente conectados. Esto tiene en si mismo utilidades incuestionables de las cuales hago uso con cierta frecuencia, como por ejemplo “comprar” libros en el portal de Amazon con un solo click y con una seguridad cuestionable, pero también nos permite recibir en nuestro dispositivo correos electrónicos a través de una cuenta gratuita que se nos proporciona con la compra del dispositivo. La seguridad que nos propone Amazon para que los correos sean lícitos es la de dar de alta listas blancas de remitentes de correo. ¿Creen ustedes que es esto suficiente? La respuesta es evidente: NO y si no miren ustedes la figura adjunta que muestra una utilidad mediante la cual enviar correos haciendo uso de una cuenta falsa. Además, la estructura de la cuenta de los clientes es una estructura estándar y por tanto fácilmente deducible en un gran número de casos. El envío de correos electrónicos a esa cuenta tiene muchísima utilidad y un pequeño coste asociado. El problema radica en la falta de seguridad de este mecanismo. A priori cualquiera, con ciertos conocimientos perfectamente alcanzables, te puede enviar un documento que como por arte de magia aparece en tu kindle. Esto quiere decir que en “mi” dispositivo puede aparecer un documento “incómodo” sin haberlo cargado yo y sin tener posibilidad de saber quién lo ha introducido en el sistema. ¡¡Vaya!! Esto puede tener algunas utilidades curiosas más allá incluso del coste asociado que lleva, simplemente hace falta dejar volar un poco la imaginación, ¿no creen?

Al margen de este “pequeño” detalle otra cuestión a tener muy en cuenta por la propia existencia de esa “conexión global” es la seguridad de la conexión inalámbrica en si misma o la capacidad que tiene el propio Amazon de acceder a todos los dispositivos del mundo y, por ejemplo, eliminar un determinado documento o actualizar el firmware en remoto como ya ha ocurrido.

En fin, creo que a pesar de que el Kindle DX es un magnífico instrumento lleno de posibilidades, también creo que en las versiones actuales del dispositivo debemos de llevar bastante cuidado con el uso que del mismo hacemos sobre todo cuando de trabajo se trata. Mientras tanto suplicaremos para que los ingenieros que desarrollan aplicaciones o productos en la era digital se acostumbren, de una vez por todas, a hacer desde el principio un catálogo de “CASOS DE ABUSO” en paralelo al maravilloso catálogo de “CASOS DE USO” que seguro ya hacen. ¿Por qué no se dedican a pensar brevemente en cómo se pueden “mal usar” los dispositivos que diseñan? O mejor aún ¿Por qué no contratan empresas especializadas (dicho sea de paso, como S2 Grupo :), repletas de profesionales que dedican su inteligencia y su tiempo a pensar precisamente en esto?
Disfruten señores de sus libros electrónicos pero, por favor, con “sentido común”

¿Qué pasa con la Seguridad y el Cloud Computing?

Algunos tuvimos la oportunidad de celebrar el pasado día mundial de Internet con una mesa redonda sobre Cloud Computing en la que participaron ocho personalidades de distintas multinacionales, de las que solo una de ellas era española. La mesa redonda estuvo moderada por la Consejera de Justicia y Administraciones Públicas de la Generalitat Valenciana y la verdad es que fue bastante interesante, e incluso yo diría que pertinente y adecuada en los tiempos que corren, tanto por la forma, como por el fondo.

Cloud es una moda. Todos estaban de acuerdo en que ya no es una utopía. Es una realidad, pero una realidad de moda. También parecían estar todos de acuerdo que una de las grandes ventajas que tiene este nuevo paradigma (así lo presentan algunos) es la reducción de costes. “Es una nueva forma de hacer outsourcing en un entorno global y virtual”, decían algunos. “Es una forma clara de reducir costes e incluso de incrementar la productividad”, decían otros. La verdad es que en medio de todas estas afirmaciones, vertidas incluso en ocasiones con pasión, yo me preguntaba si no será este otro de esos conceptos que usan las grandes firmas para seguir haciendo negocio con cosas que el resto de los mortales no acaban de entender.

En mi humilde opinión Cloud Computing es un concepto muy interesante que seguro ya tiene y tendrá aplicaciones en diversos campos, ahora bien, la solución a todos los problemas no es el Cloud Computing, ni siquiera es un modelo de gestión o una tecnología disruptiva equivalente, como algunos defienden, a la aparición de Internet. Para empezar, porque es un modelo que ya funciona en la red desde hace tiempo y porque lo único que se ha hecho es bautizarlo con un nombre pegadizo que estoy seguro moverá cifras millonarias en los próximos años.

Se habla de la consolidación de unos cuantos Data Centers gigantes a nivel mundial como proveedores de servicios en la nube y su connivencia con unos cuantos operadores y algunos proveedores de aplicaciones en la misma nube. Se habla del traslado de cantidades ingentes de información a la nube, de información de todo tipo y color, se habla de los inmensos beneficios que le puede suponer para una empresa de tamaño medio hacer uso de este modelo, e incluso, alguno se atreve a poner un ejemplo dónde los ahorros de costes superan el 50%, citando incluso la organización en cuestión.

Yo no sé si esto será exacto o si será una “realidad aumentada”, pero ¿alguien se ha parado a pensar lo que realmente significa esto? ¿Alguien se ha parado a pensar en las implicaciones de seguridad que puede tener el traslado indiscriminado del conocimiento de las organizaciones de todo tipo a la nube? ¿Alguien se ha parado a pensar en el riesgo de la concentración de activos y conocimiento para una compañía o para un estado? Si a veces no pueden las organizaciones confiar en sus propios equipos, ¿por qué van a hacerlo en los equipos de terceros de forma masiva e indiscriminada? ¿No creen ustedes que aunque este modelo tiene y va a tener sentido para algún tipo de aplicaciones e información no lo puede tener nunca para otro?

Yo creo que como siempre se han hecho algunos análisis interesados de las virtudes de este concepto y que se han propagado a los cuatro vientos sus ventajas, pero también creo que no se ha contado de la misma forma sus inconvenientes, aunque me consta que si se han analizado. No hay más que ver el estudio que ha publicado recientemente la Cloud Security Alliance (CSA) [PDF] donde tímidamente o superficialmente (como quieran ustedes llamarlo) analizan los principales problemas de seguridad con los que se encuentra el Cloud Computing llevado a sus extremos. Cloud Computing es por tanto una moda con grandes virtudes y con grandes defectos. Si no se desarrolla con sumo cuidado, el mismo concepto es, en sí mismo, una amenaza para la seguridad de las organizaciones. No conté las palabras que se usaron en la mesa redonda pero les aseguro que la palabra Seguridad salió muchas veces y la usaron todos los participantes en la mesa redonda, incluyendo algunos invitados del público. Evidentemente esto quiere decir algo, ¿no creen?

Seguro que seguiremos hablando del recién nacido “Cloud” porque va a dar mucho juego….