A punto de dejar atrás el proclamado Mes Europeo de la Ciberseguridad (2021), aprovechamos para hacer algunas consideraciones respecto a un tema que, a pesar de las evidencias que tenemos día a día, no acaba de arraigar en la conciencia de los usuarios, de las empresas ni incluso de la Administración Pública.
El lema de la campaña de este año es “Antes de hacer clic, piensa”. Es un eslogan simple pero, precisamente por eso, fácil de recordar y cargado de sentido. La seguridad empieza por conocer todas las consecuencias que puede tener un clic a un enlace que de primeras nos puede parecer inofensivo. A partir de aquí, tenemos que ser conscientes de que la seguridad empieza por un mismo.
“Los ciberataques ponen en riesgo nuestros negocios, nuestras infraestructuras críticas, nuestros datos y el funcionamiento de nuestras democracias”, asegura el Vicepresidente europeo por la Promoción de nuestro Modo de Vida Europeo.
Estamos abocados, cada vez mes, a vivir en un mundo digital (otro día hablaremos de los “metaversos”, entornos donde se interactua social y económicamente con unos avatares, a través de un apoyo lógico en un ciberespacio; al paso que vamos, las películas de ciencia ficción que hemos visto hasta ahora se quedarán muy cortas en sus expectativas) y los ciberdelincuentes aprovechan cualquier vulnerabilidad de nuestro entorno digital para aprovecharse.
Según el último informe de la aseguradora HISCOX, la proporción de víctimas de un ciberataque aumentó del 38% al 43%; una de cada seis empresas víctimas de un ciberataque dicen que su supervivencia está amenazada; los presupuestos de TIC dedicados a la ciberseguridad han subido un 63% y el ransomware se ha convertido en una cosa frecuente: más del 50% de las empresas afectadas pagaron un rescate.
La pandemia ha hecho aumentar los riesgos exponencialmente. El teletrabajo, llevado a cabo de forma precaria obligados por las circunstancias, ha supuesto la exposición de vulnerabilidades de las empresas. Falta de protocolos, de cultura de la ciberseguridad y de recursos TIC han llevado al límite a muchos autónomos, empresas e, incluso, a la Administración Pública (recordamos el ataque al SEPE del marzo pasado que se repitió el junio).
Y todavía tenemos que ser más cautelosos que nunca con el teléfono móvil dado que ya son la principal vía de entrada de ciberataques corporativos en España (aproximadamente el 41% del total de los producidos en el 2021).
Los ataques son de diversa naturaleza: desde el clásico virus informático hasta el cada vez más presente ransomware, pasando para comprometer el mail corporativo, ataques DDoS y pérdidas de datos. Y el phishing continúa siendo la estrella.
En España, INCIBE, el CCN (Centro Criptològico Nacional), la OSI (Oficina de Seguridad del Internauta) y is4k (Internet Segura for KIDS) son los principales recursos públicos en materia de ciberseguridad. En Cataluña, además, disponemos de la Agencia de Ciberseguridad de Cataluña.
Como siempre, y ahora más que nunca, cuidaos!
Derecho y empresa en entornos digitales
¿Facebook? ¿Qué sorpresa?
Frances Haugen, de 37 años, que trabajaba como responsable de producto en el equipo de integridad cívica de Facebook (FB), fue entrevistada domingo por CBS. Dijo que los documentos que filtró demostraban que Facebook priorizaba repetidamente el "crecimiento por encima de la seguridad". Facebook dijo que las filtraciones eran engañosas y que habían pasado por alto las investigaciones positivas realizadas por la compañía.
Cómo dice el titular, ¡qué sorpresa! Ya hace muchos años que FB es fuente de controversia por sus prácticas que se pueden calificar, como poco, de oscuras o de delictivas directamente. Recordamos el famoso escándalo de Cambridge Analytica con el uso de información de millones de usuarios sin su consentimiento para comercializarlos ilegalmente con terceros. Desde tratar a las personalidades de manera diferente según sesgos interesados hasta ser acusado de dar una respuesta “débil” a las preocupaciones de sus trabajadores sobre el tráfico de personas, pasando por afrontar demandas de sus propios accionistas o hacerse autopublicidad a través de los feeds de noticias de los usuarios para mejorar su imagen. Todo son ejemplos de mala praxis como poco. Whatsapp, compartiendo información de los usuarios con FB, y Instagram acusada por las adolescentes de hacerlas sentir mal con su cuerpo, tampoco se libran.
Y, mientras tanto, el penúltimo susto lo hemos sufrido esta misma semana con la caída simultánea de toda la red de FB (además de FB, cayeron Whatsapp, Instagram, Messenger y Oculus) y la interrupción de los servicios que ha afectado a millones de usuarios. Incluso a trabajadores de FB que no se podían comunicar entre ellos y que tuvieron que usar herramientas alternativas de la competencia. Está claro que esto deber una cuestión del karma. No hay otra.
Y decía penúltimo susto porque, y todavía no ha acabado la semana, ayer se publicaban informaciones que aseguran que están a la venta datos personales de más de 1.500 millones de usuarios de FB en foros de hackers. Si la noticia se confirma, ya que siempre conviene ser cauteloso con este tipo de información, definitivamente, esta no es la semana de Marck Zuckerberg.
A propósito de todo esto, podemos hacer un par de reflexiones sobre la marcha. La primera, obvia, es que el modelo de negocio de FB necesita regularse. Parece evidente que la autoregulación por parte de las big-tech (no hablamos solo de FB) no funciona. Estas compañías han experimentado, en veinte años, unos crecimiento exponenciales que se los ha proporcionado unos poderes y una influencia (sobre usuarios, empresas y, incluso, gobiernos) extraordinarios, sustentados con unos rendimientos económicos fabulosos. No había estado nunca al alcance de nadie poder dirigirse simultánea e instantáneamente a miles de millones de habitantes con cualquier mensaje sin ninguna traba. Y, además, poder hacer con los datos personales, literalmente, lo que les interese en cada momento.
La segunda reflexión, también obvia, es que, en este estado de la cuestión y a modo individual, tenemos que poner nuestros medios para preservar nuestra privacidad. Conductas adecuadas, protocolos, herramientas y todo aquello que esté a nuestro alcance lo tenemos que poner en marcha por nuestra cuenta.
Como siempre, cuidaos!
Videovigilancia, despido y protección de datos
En una reciente sentencia, el Tribunal Supremo ha admitido que un despido se pruebe con un video que vulnera la protección de datos. El Supremo afirma que la grabación puede ser admisible en un procedimiento laboral aunque en otro procedimiento se establezca que atenta contra la normativa de privacidad. Esta diferenciación tiene importantes consecuencias, como veremos a continuación.
El caso se dio cuando una empresa de seguridad despidió a un guardia de seguridad por transgresión de la buena fe contractual, fraude, abuso de confianza y deslealtad al no llevar a cabo las tareas encomendadas (revisión de vehículos en la entrada del recinto) por la empresa y firmar y librar los registros diarios como que efectivamente se habían hecho.
Según la resolución conocida días atrás, lo relevante es que el trabajador conocía la existencia del sistema de videovigilancia y que la grabación es válida como prueba, sin perjuicio que la empresa pueda tener otras responsabilidades en el ámbito de la normativa de protección de datos. En consecuencia, el Supremo obliga a repetir el juicio en el que las imágenes no fueron admitidas como prueba.
La Sala de lo Social del Supremo recuerda que el artículo 89.1 de la Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) establece que, en el supuesto de comisión flagrante de un acto ilícito por parte del trabajador, y siguiendo la sentencia del TEDH conocida cómo López Ribalda II, se entenderá cumplido el deber de informar cuando exista un dispositivo informativo con datos pertinentes y claramente visible. No es obligado especificar “la finalidad exacta que se ha asignado al control en cuestión”.
Al empresario, pero, es a quien le corresponde aportar las pruebas necesarias para demostrar la veracidad de los hechos imputados a la carta de despido. En esta línea, el Supremo añade que, de acuerdo con el artículo 24.2 de la Constitución, el empresario tiene derecho a utilizar “los medios de prueba pertinentes para su defensa”.
Dice también la sentencia que el hecho de que las cámaras fueran de Ifema y no de Securitas puede ser relevante desde el punto de vista de la protección de datos pero no tiene que llevar a impedir que Securitas aporte en un juicio laboral unas grabaciones que pueden ser necesarias para satisfacer la carga de la prueba que sobre ella recae.
En este caso, el Supremo entiende que la prueba era “una medida justificada, idónea, necesaria y proporcionada al fin perseguido” satisfaciendo así las exigencias de proporcionalidad que imponen la jurisprudencia del constitucional y el TEDH.
Por todo el expuesto, el Supremo admite el recurso de casación planteado por la empresa y devuelve el asunto al juzgado de lo Social que resolvió en primera instancia, mandando que celebre un nuevo juicio admitiendo las grabaciones como prueba.
Esta resolución abre una puerta interesante cuando asegura que “nuestro examen se ha de ceñir a si la prueba debió o no admitirse, sin que deba extenderse a si se cumplieron todos los requerimientos de la legislación de protección de datos, tanto desde la perspectiva de la relación de la empresa con el trabajador despedido, como de la relación entre Securitas e Ifema”.
Como siempre, cuidaos!
¿Es obligatorio contestar a las demandas de empleo?
Estamos en unas circunstancias económicas que hace que las demandas de empleo sean bastante elevadas. Las empresas reciben un número creciente de currículums, muchos de ellos no solicitados, que se tienen que gestionar, entre otros, desde el punto de vista de la Protección de Datos. A raíz de una resolución de la AEPD, hoy nos ocupamos de uno de ellos: la obligatoriedad de la empresa de informar sobre que hará con el CV.
Hasta ahora, no responder a los candidatos que se inscriben a una oferta de trabajo ni informarle del tratamiento que tendrán sus datos personales es un práctica habitual en las empresas por diferentes razones: falta de protocolos, de información, desinterés o, simplemente, saturación de trabajo.
Pero esta situación puede cambiar radicalmente porque la Agencia Española de Protección de Datos (AEPD) acaba de sancionar a una empresa con 2.000€ de multa por no identificar de forma apropiada al responsable del tratamiento, ni comunicar al candidato la posibilidad de ejercer sus derechos ante el responsable del tratamiento, ni el destino que iban a tener sus datos. Además, la entidad reclamada no disponía de Delegado de Protección de Datos (DPD).
El trámite se efectuó por WhatsApp, lo cual nos pone en alerta porque cuando abrimos un canal de comunicación nuevo, como puede ser un sistema de mensajería frente al convencional correo electrónico, tenemos que ser cuidadosos e implantar un protocolo en la empresa que tenga en cuenta las particularidades y especificaciones del canal para evitar sorpresas posteriores. En el presente caso, el candidato contactó por teléfono y remitió el CV por WhatsApp, sin recibir acuse de recibo.
El candidato remitió a la AEPD los pantallazos con los mensajes intercambiados por WhatsApp, en las que no aparece ninguna información relativa al tratamiento de los datos. La empresa reclamada no procedió a presentar alegaciones ni pruebas en el plazo de audiencia por lo cual la Agencia continuó con el procedimiento.
La AEPD considera que se ha infringido el artículo 13 del RGPD que hace referencia a la información sobre el tratamiento que se tiene que facilitar a los interesados cuando los datos personales provienen de él mismo, así como el resto de información necesaria para garantizar un tratamiento de datos leal y transparente.
Otro día hablaremos del resto de obligaciones que tenemos hacia los candidatos como la manera y el tiempo de conservación de los currículums y de los protocolos que la empresa tiene que tener implantados para dar respuesta a las candidaturas. Pero lo que nos tiene que quedar claro es que tenemos que estar bien asesorados y cumplir con nuestras obligaciones. De otro manera, podemos ser sancionados y, lo que es peor, sufrir una pérdida reputacional que puede costar mucho de recuperar.
Mientras tanto, ¡cuidaos!
¿Smishing?
INCIBE alertaba ayer de una nueva amenaza de smishing, es decir, SMS que suplantan la identidad para capturar tus datos. La entidad afectada en este caso es el BBVA. Se ha detectado una campaña de envío masivo de SMS fraudulentos que, simulando provenir del BBVA, informan que la cuenta ha sido desactivado y piden al empresario o trabajador que pinche sobre un enlace para verificar la información.
Naturalmente, si sigues el enlace te piden tus credenciales de acceso a la cuenta a fin de “verificarlas”. A partir de aquí, tenemos un problema.
Entre las muchas amenazas que nos rodean en el ámbito de la Ciberseguridad, el smishing puede ser del que menos se habla. Y, curiosamente, la media de usuarios desconfía menos de un SMS que, por ejemplo, un correo electrónico que, como ya sabemos a estas alturas, puede ser malicioso (phishing). Y estas no son las únicas, ni mucho menos. Recientemente, Microsoft alertaba de una nueva estafa que usa archivos de Excel maliciosos. Correos electrónicos falsos, llamadas que se hacen desde centros ilegales y código que incluye malware en las hojas de Excel forman parte de la estrategia para llevar a cabo el ataque.
Y las empresas, ¿Qué tienen que hacer para gestionar los incidentes de seguridad?
La gestión de incidentes de seguridad es una tarea capital para poder minimizar cualquier amenaza que pueda vulnerar la seguridad de nuestra empresa. Conviene recordar aquí que vulnerabilidad es una debilidad o fallo en un sistema de información que puede permitir un ataque. Y amenaza es toda acción que aprovecha una vulnerabilidad para atentar contra la seguridad de un sistema de información. Nuestra obligación, por lo tanto, es conocer las amenazas (cuestión externa) y evitar las vulnerabilidad (cuestión interna).
Cuando hablamos de incidentes de seguridad y su gestión, tenemos que considerar, como mínimo, las siguientes cuestiones:
- Definir una Política de gestión de los incidentes que incluya un plan de respuesta.
- Conocer els Diferents tipus d’incidents per poder identificar-los i preparar-nos
- Conocer los Pasos para la gestión de los incidentes, para ofrecer una respuesta adecuada y minimizar los posibles efectos adversos en la organización
- Aprender sobre Medidas preventivas adicionales que aumenten nuestras posibilidades de éxito
- Preparar un Plan de contingencia y continuidad, asegurando una respuesta rápida y poder recuperar rápidamente la actividad del negocio
En temas de Ciberseguridad no podemos bajar la guardia. Tanto a nivel personal como profesional y empresarial, tiene que ser una de nuestras prioridades. Tengamos presente que un incidente de seguridad puede arruinar nuestra reputación y todos nuestros esfuerzos.
Como siempre, ¡cuidaos mucho!
YouTube vs. Industria Cultural Europea
El Tribunal de Justicia de la Unión Europea (TJUE) considera que YouTube no es responsable de las infracciones de “copyright” de sus usuarios. La plataforma de video, propiedad de Google, solo vulnera los derechos de autor en determinados casos, como, por ejemplo, si contribuye a promocionar al público el acceso a contenidos protegidos.
Dice el Tribunal que la plataforma no es responsable de los contenidos protegidos por derechos de autor puestos a disposición del público por los usuarios. Solo sería responsable si contribuye activamente a proporcionar acceso al público a estos contenidos o no toma medidas activas para eliminarlos.
La batalla entre la Industria Cultural Europea y las plataformas digitales viene de lejos. La disrupción tecnológica provocada en la industria audiovisual por estos operadores (YouTube, Spotify, Instagram, Uploaded, ...) obliga necesariamente a cambiar las reglas del juego, e, incluso, el juego mismo.
Y decimos que viene de lejos porque el fallo da respuesta a dos demandas planteadas en Alemania. La primera, interpuesta por un productor musical el 2008, alegaba que se habían subido a la plataforma varios fonogramas sobre los que tenía la titularidad de diferentes derechos. La segunda, interpuesta por Elsevier a la empresa Cyando (de intercambio de archivos) el 2013, por poner diferentes obras a disposición de los usuarios, sin autorización.
En la sentencia examinada, el TJUE entiende que “los operadores de plataformas en línea no hacen por sí mismos una comunicación al público de los contenidos protegidos por derechos de autor puestos ilegalmente en línea por sus usuarios”. Eso sí, esta exención de responsabilidad solo es aplicable en los casos que las plataformas no contribuyan a facilitar el acceso a estos contenidos que infringen los derechos de autor o que, una vez informadas de su existencia, no rueguen medidas activas para eliminarlos. La sentencia sigue el criterio de responsabilidad prevista en la Directiva sobre Comercio Electrónico que entiende que no hay responsabilidad si el papel de la plataforma es neutro, automático y pasivo.
La sentencia no es el final, más bien es el principio de una larga batalla de la que tiene que dar como resultado un equilibrio justo entre las partes en conflicto (plataformas vs. Industrias). Se tiene que tener en cuenta, además, otras cuestiones, como la que plantean grupos de derechos civiles preocupados por la posible censura de gobiernos autoritarios y los riesgos por la libertad de expresión con propuestas como la instalación de filtros a las plataformas para evitar que los usuarios suban contenidos con derechos de autor (u otros que no interesen a determinados grupos).
El tema no es baladí y hay que seguirlo con atención. Como siempre, nos jugamos mucho.
Cuidaos!
¿Y las contraseñas?
Podríamos traducir libremente del inglés el término “pawned” como “comprometido”. El sitio web ofrece un servicio gratuito para que el usuario pueda comprobar si su dirección de correo electrónico o contraseñas aparecen en sus listas y, en consecuencia, si sus claves han sido comprometidas y conviene cambiarlas inmediatamente.
¿Por qué son importantes las contraseñas?
Acceso a la gestión de la información, utilización de servicios como la banca en línea o compras por internet son tres ejemplos cotidianos en los que usar contraseñas adecuadas resulta imprescindible.
Si pueden suplantar nuestra identidad, pueden tener acceso a nuestra información confidencial (por ejemplo, la almacenada en el cloud con documentos, fotos y videos, etc.), entrar en nuestra cuenta bancaria (con consecuencias imprevisibles) o hacer compras importantes que tendremos que pagar nosotros.
¿Qué tenemos que hacer?
La mayoría de consejos que se pueden dar son de sentido común. Sobre todo, de aquello que no se tiene que hacer. Post-it en el monitor, bajo el teclado, libretas con lista de claves, ... son prácticas que ya hace tiempo tendrían que estar desterradas.
En cualquier caso, conviene insistir.
- No compartir la contraseña con nadie.
- Contraseñas robustas (al menos 8 caracteres, mayúsculas, números, símbolos, ...
- No usar la misma contraseña en diferentes servicios. Por ejemplo, la del banco y la de Facebook (FB).
- No entrar en un servicio con la cuenta de Google o FB. Si este se ve comprometido, el atacante tendrá acceso a todos los servicios que dependen de esta cuenta. Y de otros muchos porque, estéis seguros, lo probarán con todos.
- Cuidado con las preguntas de seguridad. Solo tú deberías conocer la respuesta (y que no se pueda deducir de tus redes sociales, como la fecha de nacimiento, nombre de la mascota, etc.).
- Usar siempre que sea posible el doble factor de autenticación (2FA).
- Utilizar gestores de contraseñas. Hay muchas opciones en el mercado a precios muy asequibles.
¿Qué pasa si nuestra cuenta aparece a haveibeenpwned.com?
Pues obviamente estamos ante una situación comprometida y tenemos que actuar inmediatamente.
Primero identificando los correos y contraseñas que han sido expuestos. A continuación, usando un gestor, generar contraseñas fuertes y diferentes por todos los servicios comprometidos, empezando por los más críticos (primero el banco antes que FB) y cambiarlas todas.
Cuidaos!
Claves sobre la Protección de Datos en el trabajo
La Agencia Española de Protección de Datos ha publicado una guía sobre protección de datos y relaciones laborales. El documento encara cuestiones como la consulta del empleador en las redes sociales, los sistemas internos de denuncias (whistleblowing), el registro de la jornada laboral, la protección de datos de las víctimas de acoso al trabajo, los de las mujeres supervivientes a la violencia de género o el uso de tecnología wearable como elemento de control.
La protección de datos en el ámbito laboral siempre ha sido rodeada de polémica. Hasta hace poco, pero, se mantenía en la colisión de los derechos fundamentales del trabajador respecto a su intimidad con el uso – y muchas veces abuso- de la tecnología por parte de la dirección empresarial. El acceso indebido a las comunicaciones electrónicas del trabajador (caso Barbulescu) o la utilización indiscriminada de las cámaras de vigilancia son dos de los ejemplos más conocidos.
La Agencia aborda ahora temas de mucha actualidad. Por ejemplo, el uso de las redes sociales por parte de los departamentos de selección de personal que no tienen permiso para indagar en los perfiles de los candidatos, ni durante el proceso de selección ni durante la ejecución del contrato, aunque el perfil sea de acceso público. La empresa, incluso, no está legitimada para solicitar “amistad” a los candidatos para que proporcionen acceso a contenidos de sus perfiles.
En cuanto a los sistemas internos de denuncias, se admiten denuncias anónimas y, cuando no lo sea, la confidencialidad de la información y del denunciado tienen que preservarse. Solo se podrán acceder a estos datos en caso de procedimientos disciplinarios y notificaciones a las autoridades de hecho constitutivos de ilícito penalti o administrativo.
Respeto al registro de jornada laboral, la AEPD recomienda que este sea lo menos invasivo posible, sin que sea de acceso público ni visible por todos. Y esta información no se puede usar para finalidades diferentes como, por ejemplo, geolocalizar al trabajador.
La Agencia se ocupa también de las víctimas de acoso al trabajo y de la violencia de género, otorgando a todos los efectos la consideración de categoría especial de los datos personales, considerándolos datos sensibles que requieren una protección reforzada.
La Agencia recuerda que la única base jurídica que legitima el tratamiento de los datos es la ejecución de un contrato de trabajo (además del imperativo legal o por un convenio colectivo). Y hay que facilitar la información correspondiente, explicar los derechos que asisten a los trabajadores en esta materia y como ejercerlos.
Son todos temas relevantes en el ámbito laboral que, empresarios y trabajadores tienen que tener muy presente en el día a día.
Cuidaos!
IA, Marketing y Protección de Datos
IA, Marketing y Protección de Datos
La inteligencia artificial (IA), en contraposición a la natural, se la inteligencia llevada a cabo por las máquinas. Marvin Minsky asigna a la inteligencia artificial la “realización de sistemas informáticos con un comportamiento que en el ser humano calificaríamos de inteligente”. Está destinada a resolver los tipos de problemas que, hasta ahora, estaban reservados a los seres humanos.
Las aplicaciones cotidianas de la IA son cada vez más frecuentes: cuando hablamos con un asistente de voz (Alexa) que aprende de nuestros gustos, consultamos una ruta en tiempo real en Google Maps, aplicaciones de streaming como Spotify o Netflix aprenden de nuestras preferencias y de nuestra actividad para hacernos recomendaciones. Y que decir del inefable Facebook que, un estudio de La Universidad de Stanford concluyó que la red social podía juzgar nuestra personalidad mejor que los amigos o la familia, e incluso, mejor que nosotros mismos. Todo a partir de un determinado número de likes (y no demasiados).
Cómo es natural, la IA tiene una infinidad de campos de trabajo. Uno de ellos, y uno de los más importantes, es el marketing digital. Entre las capacidades necesarias para desarrollar una estrategia de marketing digital, hay una imprescindible que es la capacidad analítica. Y aquí la IA resulta imprescindible para, por un lado, conocer las motivaciones, los objetivos, las aspiraciones y el comportamiento de los usuarios y, por el otro, el análisis de los resultados de todas las actividades de marketing que llevamos a cabo.
La IA nos puede ayudar, por ejemplo, en el análisis predictivo (podemos avanzarnos a las necesidades del usuario para ofrecerle productos y servicios incluso antes de que sea consciente); en la gestión de clientes (CRM) para gestionar leads (clientes potenciales) y convertirlos, vía embudo de ventas, finalmente en clientes; naturalmente, podemos usar IA para publicidad digital nativa usando cookies (o píxeles de FB), chatbots y técnicas de Machine Learning. Incluso nos puede ayudar en la generación de contenidos gracias a la tecnología de Procesamiento del Lenguaje Natural (PLN).
Y todo esto de la IA parte de datos, de nuestros datos, para dar resultados. Y, como son nuestros datos, ha generado, como dice la AEPD, muchas dudas entre usuarios, especialistas, autoridades y la industria en relación a aspectos de cumplimiento normativo, respecto a los derechos de los interesados y seguridad jurídica de todos los intervinientes.
No hay duda de los inmensos beneficios que nos reporta ya la IA y los que nos reportará en el futuro. Pero hace falta que tengamos presente que no todo vale y que nuestra privacidad es la última frontera de la tecnología. Traspasada esta, el futuro será muy complicado.
Cuidaos!