Consideraciones sobre el tratamiento legal de la seguridad informática en el sistema empresarial cubano (página 2)
Enviado por Ing. Maritza Y. Bermúdez Gálvez
Legislación Actual
A partir de la llegada de Internet, y a pesar de lo reducido de su presencia en el ámbito nacional, se tomaron medidas de índole legal para ordenar y regular su uso, así como los medios de trabajo que se utilizan, enfocado principalmente a las computadoras personales de trabajo. La mayoría de estas legislaciones, dan tratamiento al tema de la seguridad informática en las empresas, así como de los medios físicos que elaboran información, entre ellas se destacan las siguientes:
? En el Decreto 209 del 96, se establecen regulaciones para el desarrollo adecuado y armónico, así como los intereses de la defensa y seguridad del país, para el acceso desde la República de Cuba a redes Informáticas de alcance global y en él se define que el Ministerio del Interior será el responsable de dirigir, controlar y aplicar, en el marco de su competencia, la política de Seguridad Informática.
? L a Resolución número 204 de 20 de noviembre de 1996 del Ministerio de la Industria Sideromécanica y Electrónica, que pone en vigor el reglamento Sobre la Protección y Seguridad Técnica de los Sistemas Informáticos.
? La Resolución número 6 del 96. La misma, dictada por el Ministerio del Interior como máximo responsable del estado para dirigir, controlar y aplicar, en el marco de su competencia, la política de Seguridad Informática, pone en vigor el Reglamento sobre la Seguridad informática, dado a cumplimentar las medidas establecidas para la protección y seguridad del Secreto Estatal y la Protección Física y, basado en la necesidad de que esta (La Seguridad Informática) requiere de una disposición que contenga las normas básicas que implementen un sistema de medidas administrativas, organizativas, físicas, técnicas y legales que garanticen la confidencialidad, integridad y disponibilidad de la información que se procese, intercambie, reproduzca y conserve mediante el uso de las tecnologías de información.
? Decreto Ley 199 de 25/11 de 1999. Sobre la Seguridad y Protección de la Información Oficial. Sin lugar a dudas, resulta ser este, el máximo esfuerzo por ordenar de alguna forma el ámbito normativo cubano en materia de seguridad informática, constituyendo la principal razón que motiva la emisión de esta norma, la necesidad de proteger al país ante la actitud agresiva y de constante acecho de las agencias de inteligencia enemigas.
Concuerdo al señalar lo planteado por Noval respecto a las deficiencias, que presenta el Decreto-Ley, en lo concerniente a la seguridad informática.
1. Subordina la importancia de las TICs a que las mismas procesen, conserven, intercambien o reproduzcan información confidencial, dando competencia al MININT y al SIME (hoy MIC) para regular estos procesos.
2. Delegó en el MININT la facultad de realizar y autorizar la realización de las auditorías de Seguridad Informática, existiendo en la actualidad dualidad de funciones con el MAC.
3. Carece de apartado que implique sanciones o demás acciones coercitivas.
Las disposiciones complementarias del Decreto Ley se dirigieron a fomentar en todas las entidades nacionales la elaboración de Planes de Seguridad Informática y de Contingencias. Como era de esperar, los Planes constan de una estructura esquemática, y solo adaptan a las necesidades particulares ciertos aspectos de la actividad.
En muchos casos el Plan de Seguridad Informática y el de Contingencias revisten carácter clasificado, y no son del conocimiento de los usuarios, que no saben que conducta adoptar ante la ocurrencia de hechos que atenten contra la seguridad informática.
Entre estas disposiciones complementarias podemos mencionar las siguientes.
? Res. 4/96 de fecha 22/4/96 del MIC Establece que las operaciones de los servicios de INTERNET dentro del país se regirán por las Resoluciones y Disposiciones vigentes de los Organismos de la Administración Central de Estado correspondiente y de las que a este fin emita el Ministerio de Comunicaciones para el tratamiento de las Redes de Datos.
? Res.57/96 CITMA de fecha 26/6/96 Crea el Registro Nacional de los distribuidores y productores de bienes y servicios de información electrónica para redes de datos, el que se conocerá indistintamente y a todos los efectos como "REGISTRO NACIONAL DE INFORMACION ELECTRONICA PARA REDES DE DATOS".
? Res56 del 99 de 16/6/1999 del Ministerio de Cultura Establecer que toda publicación seriada cubana que pretenda circularse, imprimirse o difundirse por INTERNET deberá contar con la aprobación específica del Registro Nacional de Publicaciones Seriadas para ese fin, independientemente del nodo, institución o país que utilice como vía de ingreso a dicha red.
? Res.1/2000 de fecha 26/12/2000 del Ministerio del Interior que pone en vigor EL REGLAMENTO SOBRE LA SEGURIDAD Y PROTECCION DE LA NFORMACION OFICIAL
? Res No. 2/01 de 5/3/2001 del Ministro del Interior que pone en vigor el Reglamento Sobre el Sistema de Seguridad y Protección Física.
? Res. 188/01 de fecha 15/11/01 MIC Aprobar y poner en vigor la Metodología para el acceso de entidades cubanas a Internet o a otras redes de datos externas a las mismas.
? Res. 269/2002 SIME 23/12/02 Poner en vigor el REGLAMENTO SOBRE LA POLÍTICA DE SEGURIDAD INFORMÁTICA en el Ministerio de la Industria Sideromecánica
? Res. 39/02 de fecha 3/4/02 del MIC Poner en vigor las Políticas de Seguridad Informática del Ministerio de la Informática y las Comunicaciones.
? Res. 65/03 MIC fecha 5/6/03 Toda Red Privada de Datos establecida en el territorio nacional deberá ser inscrita en el registro existente a esos efectos en la Agencia de Control y Supervisión del Ministerio de la Informática y las Comunicaciones, en lo adelante la Agencia.
? Res 180/03 MIC de fecha 31/12/03 Disponer que la Empresa de Telecomunicaciones de Cuba S.A. (ETECSA), emplee todos los medios técnicos necesarios que permitan detectar e impedir el acceso al servicio de navegación por Internet, desde líneas telefónicas que operan en moneda nacional no convertible a partir del 1ro. De enero del 2004.
? INSTRUCCIÓN No.1-04 de 8/7/2004 del SIME Requisitos y Procedimiento a tener en cuenta para el acceso a Internet en las Entidades del SIME.
? Res. 85/04 de 13/12/2004 del MIC Toda "Area de Internet" que brinde los Servicios de Navegación por Internet y/o Correo Electrónico Nacional e Internacional en cualquier tipo de entidad del territorio nacional, deberá estar debidamente registrada a esos efectos en la Agencia de Control y Supervisión del Ministerio de la Informática y las Comunicaciones, en lo adelante Agencia
? Res. 12/05 de 24/1/05 del MIC Poner en vigor los "Requisitos informáticos adicionales para los Sistemas Contables–Financieros soportados sobre las Tecnologías de la Información
Toda esta legislación antes mencionada, como bien se observa, está destinada a proteger cuestiones referentes a la seguridad de informaciones oficiales, medios físicos, a la estrategias de seguridad informática en relación a presencia de virus, accesos no autorizados, desastres y contingencias de diversos ordenes.
No podíamos concluir este análisis sin hacer referencia a nuestro marco penal, como vía idónea para cuestionar y en su caso reprimir las innumerables violaciones que se acontecen en el marco de las TICs, podemos observar como en nuestro país, al igual que en otros muchos países, estas conductas violatorias, no han sido aún objeto de tipificación por parte de nuestra legislación penal o sea en nuestro código penal.
Por tal razón, coincido con los que consideran que la vía más adecuada para enfrentar estas conductas es la revisión de los delitos convencionales previstos en el Código Penal Cubano y atemperar su formulación a las nuevas condiciones en que puede materializarse la acción a través de medios informáticos y en los casos en que esto no sea posible, agruparlas dentro de un nuevo Título dedicado a tutelar como bien jurídico la Seguridad Informática.
Principales problemas del entorno jurídico
La Seguridad Informática es uno de los elementos técnico-jurídico más vinculados a la era de la Información y por ende constituye una de las piedras angulares de toda realización informática que vaya a tener una incidencia social. Las disposiciones de Seguridad Informática son las que permiten contar con sistemas automatizados que cuenten con los requisitos de confidencialidad, integralidad y disponibilidad de la información digitalizada. Por eso un régimen jurídico de Seguridad Informática debe contener las normas que establezcan.
? Las garantías para la confidencialidad.
? Disponibilidad e integridad de los sistemas informáticos.
? La información digitalizada tanto la que se guarda en soportes magnéticos como la que circula por las redes.
? Programas, Datos e Información.
? Servicios de procesamientos de datos.
? Equipos e instalaciones de procesamiento electrónico de datos e información.
? Las principales debilidades y amenazas de los sistemas informáticos.
Por otra parte consideramos que la Seguridad Informática debe ser reconocida legalmente como
medio de prevención de delitos en el entorno informático, por tal razón es necesario establecer las normas que rigen para el registro contable de los medios y recursos informáticos a proteger o medidas de seguridad informática, así como aquellas disposiciones que permitan delimitar el valor patrimonial de los activos protegidos.
No debe faltar en esta previsión legislativa las normas que fijen las medidas de Seguridad Informática que rigen para diversos ámbitos de aplicación:
Administrativo y de organización
Personal.
Entorno físico.
Sistemas electrónicos utilizados en telecomunicaciones.
Equipos y programas de computación.
Asociado a éstos presupuestos enunciados están las normas que establezcan las reglas para la delimitación de los riesgos asociados a los recursos protegibles.
También hay que establecer las disposiciones legales que fijen los parámetros para evaluar la vulnerabilidad del sistema de procesamiento de datos identificados como sujetos de seguridad informática. Especial relevancia tienen las normas para el reconocimiento y otorgamiento de las licencias de Seguridad y las Certificaciones de Seguridad Informática, ya que las certificaciones efectuadas hoy en día por las entidades autorizadas, véase Cámara de Comercio, si bien disponen de autorización para la actividad, la validez del documento electrónico, que se emite, no dispone aún de un sistema integral de reconocimiento legal a diversas instancias, no solo judicial.
Como bien planteara noval en el tema normas jurídicas para la seguridad informática, los planes de estudio actuales son omisos en gran medida en cuanto al conocimiento específico de la informática por los juristas. El aprendizaje de la informática va dirigido más bien a formar operadores de equipos, que se dejan mistificar por los conceptos sobre virus, hackers y seguridad informática.
Está claro que aún ni la más vasta preparación podría preparar a los profesionales del derecho para asumir tarea de índole técnica tan compleja. Para ello se auxiliarán asimismo de los peritos judiciales, y en general de los medios generalmente utilizados para su fin.
Pero lo que obviamente resulta claro es que sin profesionales preparados, poco tendremos que esperar en el futuro inmediato a la hora de aplicar una norma novedosa.
Aún cuando podemos catalogar de fuerte la política del Estado cubano ante los infractores de la seguridad informática, al adoptarse medidas severas ante hechos relevantes, podemos citar aspectos que propician la ocurrencia de estos:
Escasa o nula educación de los jóvenes en aspectos de la ética informática. Esto es de especial peligrosidad en los nuevos Institutos Politécnicos de Informática y en la UCI. Debemos crear gurus y hackers, no piratas ni prehackers.
Irresponsables reportes sensacionalistas en los medios de difusión masiva de incidentes que atentan contra la seguridad informática internacional. En el caso de los hechos ocurridos en el país, se les silencia o atenúa, aún cuando servirían de ejemplos típicos de fallas comunes en los sistemas nacionales.
A pesar de que la política es fuerte, los esfuerzos se encuentran dispersos entre el MININT, el CITMA y el MIC. Solamente un actuar organizado de estas instituciones y una norma uniforme y extensa sobre seguridad informática sentará las bases para un marco legal satisfactorio.
Normas emitidas por el MININT como las relacionadas con el cifrado de datos limitan la posibilidad de que las personas naturales y jurídicas protejan la confidencialidad de la información intercambiada.
Instrumentación interna de la seguridad informática en el sistema empresarial cubano
No obstante los esfuerzos realizados y que se continúan realizando, y los años transcurridos, nuestro país en general y nuestro sistema empresarial en lo particular, enfrentan el terrible desafío que representa el uso de las tecnologías de la información y las comunicaciones así como el universo infinito de violaciones, en sus mas diversas formas de manifestación que se materializan a través o mediante el uso de estas avanzadas tecnologías, todo lo cual representa sin lugar a dudas y, a nuestro juicio uno de los mayores retos para el empresariado cubano en la lucha por el perfeccionamiento del mismo, a fin de lograr la competitividad requerida ante los embates presentes y futuros de este mundo globalizado. Mundo este en el cual, la Seguridad Informática, juega un papel preponderante y definitorio.
Todo lo cual requiere sin lugar a dudas del perfeccionamiento de todas las infraestructuras de nuestro sistema, para enfrentar los cambios cotidianos, elevar los niveles de preparación técnica no solo del personal directamente vinculado al uso de estas tecnologías, sino a todos los que de una forma u otra posean o puedan poseer relación con las mismas, pero enfocados en primer orden hacia la importancia vital que desempeña y desempeñará en el futuro , la seguridad informática para nuestro empresariado y para nuestro país.
En este contexto, consideramos oportuno proponer, los elementos y estructura que a nuestro juicio y derivados de la experiencia practica de los autores, han de tomarse como punto de partida para la implementación de un sistema de seguridad informática en nuestro sistema empresarial, a partir de las disposiciones legales vigentes para tales fines. El mismo deberá contener.
1. Alcance. El mismo se hará extensivo a cada una de las personas con acceso a los medios informáticos que se relacionen en dicho plan.
2. Caracterización del Sistema Informático. Donde se definirán las Características de las Computadoras haciendo énfasis en las que se conectarán a INTERNET así como el Software y el hardware de cada una de ellas.
3. Resultado del análisis de Riesgo Para realizar este Plan de Seguridad Informática se deberá llevar a cabo el estudio y análisis de los riesgos que implicaría la conexión a Internet con el objetivo de identificar los recursos que se afectarían por las violaciones de seguridad y las amenazas a las que están expuestos dichos recursos, de forma tal que dicho análisis nos brinde la información siguiente.
? Determinación precisa de los recursos sensibles de la organización.
? Identificación de las amenazas del sistema.
? Identificación de las vulnerabilidades específicas del sistema.
? Identificación de posibles pérdidas.
? Identificación de la probabilidad de ocurrencia de una pérdida.
? Derivación de contramedidas efectivas.
? Identificación de herramientas de seguridad.
? Implementación de un sistema de seguridad eficiente en costes y tiempo.
4. Las políticas de Seguridad. Resultara indispensable, establecer claramente una política de seguridad que garantice.
? La confidencialidad, integridad y disponibilidad de la información.
? La seguridad requerida de las tecnologías de información de la entidad.
? Neutralizar la recepción o transmisión de informaciones de carácter nocivo.
? Que ningún trabajador operará máquinas o equipos sin estar previamente adiestrado de acuerdo a los planes de adiestramiento vigente y autorizado
? Que el activo informático estará a disposición del personal que esté debidamente autorizado para realizar las auditorias informáticas.
De la misma forma dicha política deberá definir entre otros aspectos.
? La obligación de los trabajadores, respecto al uso de dichos medios técnicos.
? Las prohibiciones relativas al uso de los medios técnicos.
? El o los procedimientos para la implantación de toda nueva versión de un sistema.
? La especificación de no colocar información clasificada en las maquinas con acceso a Internet.
5. Sistema de seguridad informática, En este aspecto, se definirán las áreas a proteger y dentro de estas una especial atención a aquella destinada a la navegación de Internet. De la misma forma se ha de incluir en este acápite el tratamiento a:
? Los Recursos Humanos,
? Los Recursos o Medios Técnicos,
? Medidas y Procesamientos de Seguridad Informática y dentro de estas.
De Protección Física.
De Protección Técnica o Lógica.
? De Seguridad de las Operaciones.
Sistemas de salva de respaldo.
Mantenimiento y reparación de las tecnologías de información.
Control del uso, traslado y entrada de tecnologías de información..
Pruebas de inspección.
Registros. Dentro de estos los siguientes:
– Registro de Software de nueva adquisición.
- Registro de inspecciones:
– Registro y control de los soportes:
- Registro de incidencias de la Seguridad Informática:
– Registro de Control de los Medios Técnicos de Computación:
– De Recuperación ante Contingencias
Planes de contingencia.
En el mismo se realizara una determinación de las vulnerabilidades, entre las que estarán.
? Contaminación con virus informáticos.
? Destrucción o modificación del Sistema Operativo.
? Publicación de información Clasificada o Sensible.
? Fallas del fluido eléctrico.
? Fallas de las comunicaciones.
? Fallas del Hardware.
? Roturas de los Equipos de climatización.
? Denegación del Servicio.
Además de lo cual se incluirán medidas educativas y de concientización, encaminadas a divulgar los aspectos claves que permitan garantizar la seguridad informática, los programas de preparación, las sanciones a aplicar por la violación o inobservancia de lo contenido en el plan en correspondencia a la legislación vigente en materia de disciplina laboral, con independencia a cualquier otra responsabilidad derivada del caso.
Concluida esta exposición de los elementos que de forma general y a nuestro criterio, deberá contener un plan de Seguridad Informática. Haremos referencia a una estructura lógica del mismo.
1. Alcance.
2. Característica del Sistema Informático.
3. Resultados del Análisis de Riesgo.
4. Políticas de Seguridad.
5. Sistema de Seguridad Informática
Anexos
? Programa de Seguridad.
? Listado Nominal de Usuarios con Acceso a Redes de Alcance Global (Internet).
? Registros.
? Código de Ética
Con esta estructura, consideramos que se da cumplimiento al propósito inicial de poner en manos de nuestro empresariado, una herramienta útil de trabajo, que permita facilitar en cierta medida, la implementación de un sistema de seguridad informática, abarcador de los postulados fundamentales y de las necesidades reales de protección y enfrentamiento a las disímiles violaciones que en este campo se generan y puedan generarse en medio del progresivo avance de las tecnologías de la información .
Conclusiones
Con el trabajo que se presenta, hemos pretendido aglutinar un abarcador conjunto de elementos, del acontecer internacional y nacional referente a la normativa en materia de seguridad informática.
Razón por la cual, hemos arribado a las siguientes conclusiones.
Desde el punto de vista practico, el régimen legal concerniente a la seguridad informática establecido en el Decreto Ley 199/99 es insuficiente al no ofrecer la tan necesaria respuesta a nuestro entorno empresarial.
A pesar de los enormes esfuerzos que se realizan tanto en el orden internacional como nacional para desarrollar políticas de seguridad que permitan una mejor gestión de la seguridad informática, inevitablemente tanto la doctrina como la practica, han evolucionado mas despacio que la informática, por demás una de las ramas del desenvolvimiento humano de mayor complejidad y velocidad en su desarrollo.
Una buena parte del empresariado cubano reconocen la importancia de las tecnologías informáticas y dentro de estas, la necesaria implementación de un sistema de seguridad informática, en contraposición a esto, el grado de capacitación de los recursos humanos resulta insuficiente a tales fines.
4. Por el desarrollo y vulnerabilidad que actualmente han alcanzado las TIC, la auditoría informática ha de convertirse en una herramienta vital para garantizar el cumplimiento de los controles internos en todas las entidades del país que utilicen sistemas informáticos.
Los planes de estudio actuales son omisos en gran medida en cuanto al conocimiento específico de la informática y dentro de esta a la seguridad informática, por consiguiente, el aprendizaje de la informática va dirigido más bien a formar operadores de equipos, que se dejan mistificar por los conceptos sobre virus, hackers y seguridad informática.
Recomendaciones
Resulta indispensable la promulgación de normativas legales que amparen la seguridad informática en toda la magnitud de su impetuoso desarrollo
Proveer al empresariado cubano, de los recursos materiales, humanos y financieros indispensables que permitan implementar y a su vez enfrentar las más disímiles conductas violatorias de la seguridad informática.
Implementar en nuestro sistema educacional medio y superior, programas de estudio contentivos de la seguridad informática como vía indispensable para el desarrollo ulterior de nuestro sistema empresarial.
Ofrecer una mayor divulgación especializada en el tema de la seguridad informática, que contemple no solo los principales aspectos del ámbito internacional, sino también del entorno cubano
Potenciar los cursos de superación en nuestro sistema empresarial, dirigido específicamente a esta temática.
Trabajar en la promulgación de una norma jurídica uniforme, bajo los principios de nuestro ordenamiento jurídico, pero atemperada con la legislación internacional, y con el grado de flexibilidad suficiente que permita su adaptación a las diversas variantes derivadas del acelerado avance de las tecnologías informáticas.
Bibliografía
Aguirre, Jorge Ramiro Seguridad Informática y Criptografía Versión 4.1., Universidad Politécnica de Madrid, 01/03/2006.
Alonso, Fernando Benito. Construyendo una Intranet,
Bases generales del perfeccionamiento empresarial en la empresa estatal cubana. 1998.
Castell, Manuel. La Sociedad Red. Alianza Editorial. 1996.
Colectivo de autores. El impacto de las nuevas tecnologías en la vida de la empresa. Cuadernos Cinco Días. Ibermática 2000.
Microsoft TelchNet. 2000.
Miret Biosca, Josep María "Curso de Seguridad Informática y Criptografía" Universidad Politécnica de Madrid.
Morant Ramón, J.L.; Ribagorda Garnacho, A.; Sancho Rodríguez J. SEGURIDAD Y PROTECCIÓN DE LA INFORMACIÓN. Colección de Informática, Editorial Centro de Estudios Ramón Areces, S.A., Madrid, Año 1994 (388 páginas)
Noval Mora, Carlos. Desafíos a las Normas Jurídicas para la seguridad informática en el contexto cubano actual. 2006
Quesada, Jorge. 3INTERNET. Facultad de Economía. U.H. 2001.
Seguridad y protección de la información, Colección de Informática, Editorial Centro de Estudios Ramón Areces, S.A., Madrid. Año 1994 (388 páginas)
Tecnología Empresarial Año 1 No. 2.
TI Magazine. Cómo obtener ventajas competitivas por medio de la información. Diciembre 1998.
Zaldívar, Daniel Austin. Comercio Electrónico y Derecho en Cuba. Una Visión del Entorno. 2007
Legislación Nacional
Ley número 1246 del Secreto Estatal de fecha 14 de Mayo de 1973
Ley número 1321 del 27 de Noviembre de 1976, Ley de Protección Física.
Decreto - Ley no. 186 / 98 "Sobre el sistema de seguridad y protección física"
Decreto Ley 199 de 25/11 de 1999. Sobre la Seguridad y Protección de la Información Oficial
Decreto 299 del Consejo de Ministros, que establece el acceso desde cuba a redes informa ticas de alcance global.
Decreto número 3753 de 17 de enero de 1974.
Decreto número 3787 de 23 de septiembre de 1974
Decreto 209 del 96,
Res. 4/96 de fecha 22/4/96 del MIC
Res.57/96 CITMA de fecha 26/6/96
Res56 del 99 de 16/6/1999 del Ministerio de Cultura
Res.1/2000 de fecha 26/12/2000 del Ministerio del Interior
Res. 4/96 de fecha 22/4/96 del MIC
Res.57/96 CITMA de fecha 26/6/96
Res56 del 99 de 16/6/1999 del Ministerio de Cultura
Res.1/2000 de fecha 26/12/2000 del Ministerio del Interior
Res. 4/96 de fecha 22/4/96 del MIC
Res.57/96 CITMA de fecha 26/6/96
Res56 del 99 de 16/6/1999 del Ministerio de Cultura
Res.1/2000 de fecha 26/12/2000 del Ministerio del Interior
Res No. 2/01 de 5/3/2001 del Ministro del Interior
Res. 188/01 de fecha 15/11/01 MIC
Res. 269/2002 SIME 23/12/02
Res. 39/02 de fecha 3/4/02 del MIC
Res. 65/03 MIC fecha 5/6/03
Res 180/03 MIC de fecha 31/12/03
INSTRUCCIÓN No.1-04 de 8/7/2004 del SIME
Res. 85/04 de 13/12/2004 del MIC
Res. 12/05 de 24/1/05 del MI
| Página siguiente |