La AEPD e INTECO extenderán la multa de Google a Apple

Actualización: Esto fue una broma del día de los Santos Inocentes en España

Según parece no va ser Google el único gigante informático norte-americano que sufra una sanción de la Agencia Española de Protección de Datos, y Apple será el primero de una larga lista de compañías que van a sufrir multas impuestas desde España por incumplimiento de la LOPD.  Recordemos que a Google se le impuso un pago de 900.000 por no ser claro en su política de privacidad sobre cómo es el tratamiento de los datos de los clientes que realiza. Ahora, el siguiente que ha entrado en la lista de la Agencia Española de Protección de Datos ha sido Apple.

Según se apunta en el El País hoy, el director de la AEPD y Miguel Rego - flamante nuevo director de INTECO, organismo centrado en la seguridad de los individuos y las empresas estatales -, se ha trabajado conjuntamente en definir una "linea de actuación clara ante los subterfugios legales que utilizan las grandes compañías tecnológicas". Según parece, en el caso de Apple se va a tener en cuenta para su sanción:

1) El establecimiento de unos Términos de Servicio no acordes a la legislación española: donde se obliga a los usuarios a firmar claúsulas no acordes al derecho nacional. 

2) La opacidad sobre el almacenamiento de los datos en los servicios iCloud: donde las fotografías y documentos de los usuarios podrían abandonar las fronteras cibernéticas del estado Español para acabar en CPDs extranjeros. 

3) La resistencia al tratamiento de datos ofrecido a los clientes: ya que se ofrecen pocas o nulas herramientas para que el usuario ejerza su derecho a consulta, rectificación o eliminación de datos de carácter personal.

Para la AEPD e INTECO las empresas como Apple son parte fundamental del engaño que fuerzan a sus clientes, ya que no solo ponen términos de servicio poco claros y lejos del entendimiento de los clientes que persiguen, sino que además tienen datos claros de todos los clientes que han pulsado "He leído y comprendo los términos del acuerdo" sin ni tan siquiera haber hecho clic para visualizarlos.

Figura 1: D. Miguel Rego en el momento de la entrevista sobre la posible sanción a Apple

"Estas prácticas se tienen que acabar, tenemos que mandar un mensaje claro para que se respeten los derechos los ciudadanos españoles y europeos", dijo D. Miguel Rego de INTECO. Desde Seguridad Apple seguiremos atentos el devenir de los acontecimientos.

El Juez Bermúdez usa el iPad en Justicia ¿Es seguro?

Nos ha sorprendido esta imagen que se pudo ver el viernes 18 en el Telediario 2 de Televisión Española. La imagen muestra al juez Javier Gómez Bermúdez de la Audiencia Nacional en mitad de un juicio mirando algo en un iPad. Conociendo las limitaciones de cifrado del iPad que permiten extraer contraseñas en caso de robo o extravío en seis minutos y los problemas que tiene con el cumplimiento del Esquema Nacional de Seguridad en ciertos entornos, nos llamó la atención.

Evidentemente, el juez, como ciudadano que es de España, tiene derecho a usar tantos dispositivos como desee, pero.... ¿pensáis que sería responsables tener configurada la cuenta de correo electrónico del ministerio de justicia a la que lleguen informes confidenciales relativos a casos en el juzgado? Desde luego, el que la tenga en mitad del juicio hace presuponer que, evidentemente, está almacenando en ella algún dato relativo a la vista de ese . Eso, o está prestando atención a otras cosas - mirando, por ejemplo, la hora, su correo personal, los periódicos del día o su agenda -.

La verdad es que la imagen es impactante. Hay que recordar que este juez, que lleva casos de lucha anti-terrorista, utiliza guardaespaldas porque, evidentemente, puede ser un objetivo. Teniendo en cuenta que se conoce que ETA está focalizando esfuerzos tecnologías de la información, como lo demostró la detención del  jefe informático por parte de los cuerpos de seguridad, hay que pensar en la posibilidad de un ataque a sus sistemas de información.

En un ataque a cualquier sistema informática, la primera fase que se realiza es la de recogida de información sobre la tecnología que usa el objetivo, como vimos en el ejemplo de detectar LogMeIn. Para ello, en cualquier proceso de explotación informática, se realizan las fases de footprinting y fingerprinting, pero en este caso, con la imagen, es totalmente innecesario realizar esas fases porque se sabe que está utilizando un iPad. Alguien podría hacer, por ejemplo, un ataque Man in the Middle forzando una conexión GRPS al no existir una opción de forzado de uso únicamente de conexiones seguras 3G.

Por lo que pudiera suceder, desde luego recomendamos al señor juez que procure tomar todas las medidas de seguridad que pueda, no configurar cuentas en aplicaciones con contraseñas que sean utilizadas en otros servicios, que no utilice patrones de construcción de contraseñas, que tenga activado un código complejo de acceso al dispositivo, que tenga las opciones de Wipe activas y que, en el momento que sospeche que ha perdido o ha sido robada su iPad borre todo remotamente.

Desde luego, los jueces son los que mejor conocen la ley, y hemos de suponer que si está usando iPad es porque ha evaluado todos los aspectos legales - repito: suponemos- pero no dejó de llamarnos la atención la imagen ¿Y vosotros qué opináis al respecto de que los jueces hagan uso público del iPad en sus trabajo y tuvieran informes confidenciales sabiendo que no se puede cifrar el disco duro?

[Whitepaper] iPad: Puntos que se incumplen de la Ley de Protección de Datos y el Esquema Nacional de Seguridad

En la actualidad no es inusual que un dispositivo como iPad, que presentaba originalmente el doméstico como su mercado potencial, se incorpore a entornos corporativos como un sistema informático más y para una utilización profesional del mismo. Sin embargo, y en lo que a la seguridad de la información se refiere, las necesidades de cumplimiento de las organizaciones no son las mismas que para un usuario particular. Por lo tanto, es necesario evaluar por parte de las empresas las condiciones de uso para este nuevo tipo de tecnologías.

En relación a lo anterior, desde Informática 64 se ha realizado un análisis, y se ha emitido el correspondiente informe asociado, evaluando el cumplimiento de un par de las normativas exigibles para este tipo de dispositivos en las empresas situadas en territorio nacional. Para ello se ha tomado como referencia, tanto la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD) y su Reglamento de Desarrollo, como el Esquema Nacional de Seguridad (ENS) en el ámbito de la administración pública electrónica, con tecnologías iPad.

El análisis realizado toma como premisa la aplicación de las medidas técnicas exigidas por ambas normas, evaluando su cumplimiento y teniendo en consideración para ello tanto las funcionalidades propias del dispositivo como de las aplicaciones que para éste pueden ser descargadas desde Apple Store. Las pruebas se han realizado sin modificar las condiciones de garantía proporcionadas por el fabricante. También se han tenido en consideración las recomendaciones que éste proporciona para su uso y gestión en entornos empresariales.

Se plantean, en los análisis realizados, distintos escenarios de uso, donde un iPad por sus características de movilidad pudiera ser un elemento fundamental en las operaciones de un usuario. Las pruebas llevadas a cabo atienden a los siguientes aspectos técnicos: Autenticación, almacenamiento, cifrado, comunicaciones, trazabilidad y medidas de protección.

Las medidas técnicas evaluadas han sido tratadas desde dos perspectivas diferentes. Por una parte, el uso local del dispositivo y por otra la utilización del mismo en un entorno de red. De igual modo, los resultados del análisis han tenido en consideración las limitaciones impuestas por el sistema iOS incorporado en el dispositivo. Finalmente en el estudio se ha intentado localizar la existencia de alternativas viables que permitan el cumplimiento de las medidas exigidas.

Tras la realización del análisis y de las diferentes pruebas que éste ha incorporado, se llega a la conclusión de que no es aconsejable la utilización de iPad para el tratamiento de datos de carácter personal en un entorno profesional y de empresa. La falta de mecanismos de autenticación local o los sistemas de trazabilidad son algunas de las problemáticas críticas que se han encontrado para que un iPad pueda ser utilizado para la gestión y almacenamiento de información sujeta a LOPD. La movilidad de este tipo de dispositivos, los hacen propicios para utilizarlos fuera del trabajo, sin embargo sus características no son adecuadas para el cumplimiento normativo tal y como se ha indicado.

Una circunstancia similar se da en el cumplimiento del ENS, donde a algunos requisitos ya exigidos por la LOPD, se suman otros como los de gestión, inventariado, operacionales y de protección que no son adecuadamente atendidos por este tipo de dispositivos. Algunas de las carencias pueden ser subsanadas mediante la adquisición de elementos adicionales, pero en múltiples escenarios y por las propias características técnicas del dispositivo, no se llega al cumplimiento de norma necesario. Las concurrencias de medidas específicas para estos dispositivos, sumadas a las generales de toda la organización, incrementarán los costes tanto económicos como operacionales, teniendo en ocasiones que plantear sistemas duales de administración.

Aunque la utilización de dispositivos iPad en determinados sectores pudiera ser atractiva, hay que calibrar adecuadamente su utilización cuando concurran necesidades de cumplimiento normativo. El análisis realizado y cuyos resultados se reflejan en el documento, permitirá tener la visión de qué aspectos de normativa son cumplimentados y cuáles no. En cualquier caso no debe olvidarse en ningún momento que la ley no aplica soluciones parciales, se cumple o no se cumple.

Puedes descargar el documento completo desde la siguiente URL: iPad: LOPD y ENS. El autor, Juan Luís G. Rambla, es también el escritor del libro sobre la Implantación de la LOPD en la empresa y Consultor de Seguridad en Informática64.