Descubrimiento electrónico: la evidencia digital y sus retos empresariales

Introducción

Procesar conductas punibles en un mundo digital establece un reto técnico, administrativo y legal para la gobernabilidad de cualquier nación o empresa. Por tanto, conocer con claridad la estructura técnica de los elementos materiales probatorios en medios tecnológicos, sus medidas de aseguramiento y estrategia de presentación se convierte en una prioridad para todos los operadores de la administración de justicia y los profesionales del derecho en un país o corporación.

En este contexto, toma especial importancia, establecer y desarrollar protocolos que permitan identificar, recoger y custodiar los rastros electrónicos propios de cada escena del crimen digital o situación corporativa particular, de tal forma que al presentarse en audiencia no se encuentren reparos o anotaciones que puedan llegar a desvirtuar la misma, privilegiando el espacio de la duda razonable que actúa a favor de los posibles involucrados.

En este sentido, es fundamental establecer una base conceptual técnica de buenas prácticas y estrategias que, desde el punto de vista técnico y con miras al soporte jurídico posterior, puedan brindar a la entidades del estado y a la sociedad en general, una confianza razonable de los procedimientos aplicados para asegurar elementos materiales probatorios digitales a los que pueda tener acceso tanto los particulares como los servidores públicos en el ejercicio de sus funciones.

En consecuencia, los temas relacionados con la computación forense y el descubrimiento electrónico se advierten como dos elementos fundamentales tanto en la administración de justicia como en el ámbito corporativo respectivamente, para comprender con mismo nivel de certidumbre cómo ocurrió un incidente informático, sus móviles y posibles participantes, así como establecer y ubicar la información electrónicamente almacenada relevante para preparar a una organización frente a demandas o litigios donde este tipo de datos digitales son claves para plantear los argumentos requeridos para reclamar o reconocer los derechos de las personas naturales o jurídicas. (CANO 2010, cap. 7)

Entendiendo el descubrimiento electrónico

Hablamos entonces de una disciplina cercana a la computación forense que denominamos “descubrimiento electrónico” o en inglés “electronic discovery”, e-discovery. Una breve definición de qué es e-discovery sería: procedimiento legal donde se le ordena a una de las partes involucradas la producción de pruebas electrónicas. Generalmente el resultado de este procedimiento implica el análisis de un amplio número de dispositivos electrónicos o medios de almacenamiento, para recabar la evidencia electrónica requerida. (ISF 2008, pág 2)

En este contexto, se revela el deber que tienen las organizaciones de preservar información relevante, para anticiparse a un posible litigio jurídico. Por tanto, las empresas deben establecer políticas de retención de información electrónica para eventos como: injurias (preservación de datos de empleados o clientes ante injurias, especialmente aquellas donde la empresa pueda aparecer como negligente), despidos (registros de pagos, préstamos, liquidaciones salariales, prestaciones) e incidentes donde estén involucrados ejecutivos de la empresa (políticas conservación electrónica de las actuaciones de los ejecutivos, particularmente cuando ya no están en la empresa). (CIO EXECUTIVE BOARD 2011b, pág. 10)

Ciclo de vida del descubrimiento electrónico en la empresa

En línea con lo anterior, el abogado especializado en temas de información electrónicamente almanacenada (IEA), Michael R. Arkfeld, en su libro “Electronic discovery and evidence. 2011 -2012 Edition”, publicado por LawPartner publishing, LLC., establece un ciclo de vida para desarrollar el concepto de descubrimiento electrónico en una empresa, siguiendo cinco pasos fundamentales basado en el modelo de e-discovery de FULBRIGHT y JAWORSKI, para balancear la administración del riesgo corporativo y la estimación y contención de los costos, propios del tratamiento de la información electrónica en una organización. Los pasos son: (ARKFELD 2011, cap.3)

Paso 1: Identificar, preservar y recolectar

Identificar, se adelanta de manera paralela con la acción de “preservar”, se entiende como el tipo, fuente y localización de toda la IEA que debe ser preservada. Es importante anotar, que basado en la naturaleza del caso que se lleve se define el tipo y las fuentes de IEA requeridas, considerando todo el tiempo los costos de localizar y convertir la IEA en formatos legibles y usables que permitan una presentación adecuada frente a los terceros y autoridades involucradas.

Preservar, la obligación de preservar puede provenir de diferentes fuentes: leyes, estatutos, regulaciones u órdenes de cortes. Dependiendo del tipo de regulaciones o exigencias legales, el deber para preservar las pruebas o evidencia se establece cuando el litigio es: razonablemente anticipado, razonablemente predecible, inminente o pendiente. En este sentido, para minimizar el riesgo de la destrucción de la evidencia y evitar sanciones, la evidencia digital debe ser preservada tan pronto como se notifique por la parte sobre las potenciales reclamaciones que se pueden presentar. (ARKFELD 2011b, sección 7.9)

Recolectar, es el proceso de reunir potenciales datos relevantes para ser procesados y revisados. En este sentido, considerando la gran cantidad de IEA almacenada en múltiples ubicaciones, con variedad de formatos, se debe asegurar que el procedimiento que se establezca para ello, sea comprensivo y legalmente defendible. Es importante anotar que dado el incremento de datos informáticos almacenados fuera del control directo de la empresa, generalmente en dispositivos personales o en la nube, se cuenta con un reto adicional en este proceso de recolección. (CIO EXECUTIVE BOARD 2011b, pág. 11)

Paso 2: Filtrar y convertir a Información electrónicamente almacenada (IEA)

Filtrar significa reducir y asegurar la precisión de la IEA. Esto es, aplicar una serie de criterios que permitan afinar lo requerido según el caso, efectuar revisiones más focalizadas y mantener controlados los costos de producción de la evidencia. En este sentido, las consideraciones claves que se sugieren para adelantar este paso son:

Negociación del cumplimiento

La premisa en este punto es reunirse y acordar con el abogado de la contraparte los alcances de la preservación de la IEA con el fin de limitar los costos de producción y mantenimiento de la misma. En este sentido, se sugiere que durante la negociación esté presente el personal del área de tecnología de información, o si la negociación se torna tensa o difícil, asistirse de una tercera parte neutral.

Considerar las protecciones legales

Existen declaraciones y disposiciones legales que dan forma y moderan las peticiones de IEA, evitando la extralimitación en su solicitud, incluso considerando el hecho que no esté razonablemente accesible. Los tribunales revisan con detalle las peticiones de protección efectuadas por la parte, para establecer si ésta es una carga, no es excesivamente amplia o pertinente, o no está razonablemente accesible, y así establecer si se autoriza o no dicha solicitud.

Filtrado de la IEA

Este proceso reduce el tamaño de la población de IEA disponible. El proceso de filtrado responde a una “valoración temprana del caso” o su revisión “analítica”. Se estima que aproximadamente entre el 75 y 95 por ciento de los datos inicialmente recolectados en respuesta a una solicitud de descubrimiento electrónico, será eliminada pues no responde a lo requerido y podrá ser filtrada para su no revisión posterior.

Siguiendo lo establecido en Judges’ Guide to Cost-Effective E-discovery (http://www.ediscoveryinstitute.org/JudgesGuide/ (Consultado: 11-01-2012), detallamos algunos de los métodos técnicos conocidos para efectuar filtrado de IEA:

• Limitar la búsqueda de términos (palabra clave, expresiones booleanas y sistemas de búsqueda conocidos) a nombre específicos, fechas y código predictivo.

• Limitar hacia archivos específicos (Word, Excel, PDF, etc) filtrado por extensión (.pdf, .docx, .pst, etc)

• Reducir la duplicación de archivos.

• Remover los archivos conocidos del sistema, de las aplicaciones y software base utilizando para ello la lista general de estos archivos provista por el NIST – National Institute of Standard and Technology (para comparar sus respectivas firmas de HASH)

• Revisar cadenas de texto en correos electrónicos.

• Analizar los nombres de dominio

• Establecer una muestra de la IEA disponible para determinar la relevancia para el caso y el costo de su procesamiento.

Conversión de la IEA

La conversión es un proceso de extracción de los datos de usuario, texto o metadata de los archivos que representan la IEA. Durante la extracción se convierten en un formato para ser importados en otras aplicaciones; eventualmente los datos se convierten en imágenes o se imprimen en papel para revelarlos y presentarlos en una corte. Es importante anotar que durante este momento la IEA no se convierta a archivos PDF o TIFF, sin antes cursar la revisión inicial de la relevancia de la misma.

Paso 3: Revisar y analizar

Luego de filtrar la información no relevante, los profesionales del derecho deben revisar los datos seleccionados para determinar los subconjuntos necesarios, que no sean de acceso privilegiado, para responder a lo solicitado. El costo real del descubrimiento electrónico no es la solicitud o la adquisición de datos, sino el costo del profesional que asiste la revisión de la información para almacenar o localizar información confidencial o reservada antes de su revelación.

En este sentido, generalmente este paso se apoya en herramientas informáticas como los sistemas automatizados para soporte de litigios (Automated litigation support systems – ALS), los cuales cuentan con capacidades de búsqueda y acceso a documentos, reorganización de hechos, registro de análisis previos, puntos de vista entre otros, que permiten colaborar con el equipo de apoyo al proceso jurídico.

Paso 4: Revelar y “Formularios o formas”

Para adelantar este paso es importante establecer la forma para recibir o divulgar la IEA. En este contexto, se detallan a continuación algunos criterios relevantes:

• ¿La IEA es susceptible para hacer búsquedas? Los archivos en formato nativo, bases de datos, texto plano, etc. son susceptibles de búsquedas, pero es probable que deban ser convertidos a un formato conveniente para efectuar las mismas.

• ¿La metadata de la IEA está incluida en el formato? Existen algunos formatos de archivo que no contienen metadata.

• ¿Es posible identificar o resaltar la información privilegiada o confidencial? En los archivos con formato nativo, no es posible identificar esta información sin cambiar el archivo. Es viable con algún código o funcionalidad indicar que la información confidencial se ha retirado electrónicamente.

• ¿Es posible sellar los documentos a ser divulgados? Se recomienda utilizar firma digitales o algoritmos de hash para asegurar la autenticidad de los documentos requeridos para presentarse.

Es importante anotar que si la contraparte en su requerimiento no especifica la forma o formularios para producir la IEA, la otra debe producir o entregarla en la forma o con los formularios con los cuales ordinariamente administrada o razonablemente utilizada. Por tanto, la otra parte no debe producir o entregar la misma IEA en más de una forma.

Paso 5: Presentar

Este es el paso final, que incluye la planeación de la presentación de la evidencia siguiendo el procedimiento legal establecido. Para ello, debe considerar los equipos de apoyo disponibles en recinto de las audiencias, asegurando que se cuenta con el software y hardware requerido para ilustrar con detalle lo requerido durante el despliegue de la presentación.

En razón con lo anterior, resulta conveniente desarrollar al interior de las organizaciones una política o lineamiento corporativo relacionado con la información electrónicamente almacenada de tal forma que se identifique sus periodos de retención, los procedimientos asociados y la persona encargada de la IEA, que permitan recuperar su información para reconstruir los eventos relacionados con reclamaciones o solicitudes que impliquen algún tipo de proceso en el contexto jurídico o empresarial.

Retos emergentes para el descubrimiento electrónico

Avanzar en una estrategia corporativa de descubrimiento electrónico, define un reto en sí misma dado que se hace necesario vincular al menos tres vistas que permitan sintonizar los esfuerzos para beneficio de la organización: el negocio, la tecnología de información y los referentes de conservación y archivo. Cada uno de ellos, establece connotaciones particulares que articuladas en el proceso de sustentación de pruebas informáticas, fortalece y asegura la posición de la organización frente al ciclo de vida del descubrimiento electrónico.

En razón con lo anterior, se presentan tres retos claves (CORPORATE EXECUTIVE BOARD 2011) para considerar a nivel organizacional con el fin de visualizar los aspectos sensibles que deben mantenerse en la agenda de los responsables organizacionales de asegurar una posición apropiada de la empresa frente a litigios con información electrónicamente almacenada.

1. Mapa de datos e información de la organización

Este es un elemento crítico frente al descubrimiento electrónico. Contar con un inventario o mapa de información de una empresa, exige de ésta un alto nivel de madurez en conservación y archivo, así como la declaración de la información como un activo de la corporación. Mientras esto no sea la constante, las organizaciones mantendrán un espíritu reactivo frente a requerimientos legales con registros electrónicos.

2. Información almacenada o residente dentro de dispositivos móviles o en equipos propios de terceros que prestan servicios

Con la alta penetración de dispositivos electrónicos móviles como teléfonos inteligentes y tabletas, las organizaciones cambian su forma de movilizarse frente a la IEA. Ahora la información no permanece en los equipos de cómputo personal, sino que viajan en los medios móviles, generalmente sin un control definido y bajo la responsabilidad del usuario del dispositivo tecnológico. Sin una adecuada orientación y guía en la empresa en este tema, muchas serán las brechas sobre fuga y/o pérdida de información que se reportarán en las empresas.

3. Información generada y distribuida a través de redes sociales

La expresión natural de los seres humanos, ahora a través de la web 2.0, es una característica nativa de los ciudadanos en la red. Por tanto, es claro que los empleados de una organización mantengan estrecha relación con sus comentarios y apreciaciones publicadas a través de sus blogs y redes sociales. En razón con lo anterior, controlar o asegurar este tipo de información, o mantener su trazabilidad, se convierte en un reto de confianza, ética y procedimientos empresariales, que los trabajadores deben asumir con toda la formalidad del caso, para limitar posibles acciones o declaraciones que puedan atentar contra el buen nombre o imagen de la corporación.

Reflexiones finales

Cuando hablamos de evidencia digital en el contexto empresarial generalmente la podemos asociar con aquella requerida para sustentar o probar algún evento, acción o situación organizacional que permita tener la certeza de que algo ha ocurrido, para lo cual el artefacto tecnológico que la produce, cuenta con las estrategias de seguridad y control requeridas para conocer de primera mano el usuario, sus perfiles, los procedimientos asociados y los mecanismos de monitoreo que acompañan el uso del mismo.

Sin embargo, esta realidad solamente se hace evidente cuando un hecho desafortunado ocurre, particularmente asociado con un incidente de seguridad de la información que manifiesta alguna vulnerabilidad, falla o error en algún momento o accionar de los sistemas de información disponibles en la organización. En este sentido, las investigaciones informáticas se convierten en las primeras solicitantes de información para esclarecer los hechos acontecidos y es allí, cuando la computación forense toma la mayor relevancia como esa disciplina especializada que revisa y analiza sistemas informáticos y dispositivos electrónicos que generan, procesan y almacenan evidencia electrónica para determinar la ocurrencia del hecho y dar la explicaciones científico-técnicas de lo que ha ocurrido.

De otra parte y tan relevante como encontrar a los atacantes, sus rastros y acciones realizadas, se tiene el descubrimiento electrónico como la estrategia legal informática de la organización, que permite proteger los intereses de ésta, frente a litigios o reclamaciones, donde los soportes documentales solicitados se encuentran en formato electrónico y se hace necesario aportarlos siguiendo las formalidades de ley requeridas y mantener la vista del proceso en los hechos y no en las evidencias electrónicas que se aportan al mismo.

En consecuencia, no solamente se requiere una vista criminalística sobre la evidencia digital en las organizaciones, sino una vista legal informática que, recabando en los riesgos propios de las empresas en sus diferentes relaciones de negocio, corporativas y con terceros, pueda establecer los elementos documentales electrónicos que soportan las mismas y prepararse para enfrentar un eventual proceso jurídico donde la información electrónicamente almacenada es factor determinante para lograr un fallo a favor o en contra de ésta.

Finalmente, el descubrimiento electrónico como disciplina emergente que busca una comprensión más sistémica de la evidencia digital, más allá de los procesos propios de la justicia criminal, requiere mayor investigación y relevancia para que pasando de una vista focalizada en los aspectos civiles del derecho, se incorpore al ordenamiento jurídico general de las naciones, como factor clave de éxito en la formulación de modelos de administración de evidencia digital tanto en el sector público como privado.

Referencias

ARKFELD, M. (2011) Electronic discovery and evidence. 2011-2012 Edition. LawPartner Publishing, LLC.

ARKFELD, M. (2011b) Guide for legal hold. LawPartner Publishing, LLC.

CANO, J. (Autor y Coordinador) (2010) La evidencia digital y el peritaje informático en Colombia. Editorial Temis – Uniandes.

CORPORATE EXECUTIVE BOARD (2011) E-discovery tools. IREC Executive cheat sheet series. Disponible en: http://www.irec.executiveboard.com (requiere suscripción)

CORPORATE EXECUTIVE BOARD (2011b) The IT Manager’s guide to E-Discovery. Information Risk Executive Board Council. Disponible en: http://www.irec.executiveboard.com (requiere suscripción)

FULBRIGHT y JAWORSKI (?) eDIG: E-Discovery and Litigation Readiness. Disponible en:

http://www.fulbright.com/index.cfm?fuseaction=description.subdescription&site_id=1197&id=1195 (Consultado 15-10-2012)

INFORMATION SECURITY FORUM - ISF (2008) ISF Briefing: Electronic Evidence. Documento interno Disponible en: https://www.securityforum.org/whatwedo/publicresearch/ (Requiere suscripción)

Pronósticos de seguridad de la información para 2012

Cada año los múltiples eventos y fenónemos propios de la seguridad de la información nos revelan aspectos nuevos y creativos de las diferentes formas en las cuales la inevitabilidad de la falla se hace presente. Durante el 2011 esta situación no ha sido diferente, hemos experimentado diferentes vistas de errores, vulnerabilidades y fallas que nos muestran cada vez más que somos tan seguros como el eslabón más débil de la cadena.

Por tanto, cada vez más se hace más exigente tratar de predecir qué pasará con las tendencias de la inseguridad en los años venideros, pues su movimiento no probabilístico y asimétrico, deja en evidencia al mejor analista, que trate de modelar sus inciertos patrones y describir las líneas poco visibles de su trayectoria.

Considerando lo anterior y con la alta probabilidad de andar por caminos insospechados, trataremos de hacer una visión propositiva sobre las variaciones y efectos de la inseguridad de la información considerando las tendencias actuales reportadas hasta el momento y que prometen seguir o variar en el 2012.

A continuación cinco pronósticos de lo que puede pasar durante 2012 frente a las tendencias y manifestaciones de la inseguridad de la información.

1. Formalización de la certificación en seguridad de la información de terceras partes

Con el paso de los años la función de tecnología de información ha venido evolucionando dando paso a una fuerte tendencia hacia la administración de los recursos de tecnología con terceros. En este sentido, la operación, el aseguramiento y control de los servidores, enrutadores, aplicaciones, servicios de seguridad y control de acceso se ha venido entregando a proveedores especializados que, considerando su labor crítica frente a la estrategias de los negocios, desarrollan sus actividades para movilizar de manera confiable y continua los procesos que soportan la generación de valor de la empresa.

En este contexto, durante los siguientes años se verá una importante tendencia en la certificación formal de la operación de los terceros frente a los temas de seguridad de la información, que si bien se ha venido adelantando utilizando otros referentes o buenas prácticas, se prevé el uso de una nueva norma de la serie ISO 27000, denominada ISO/IEC 27036 — Guidelines for security of outsourcing, la cual establece una serie de requisitos particulares que los terceros deben asegurar para certificar una adecuada prestación de servicios con estándares de seguridad de la información debidamente aplicados y probados. (CHICKOWSKI 2011)

2. El hacktivismo como estrategia moderna para reclamar atención de los estados y las empresas

Durante los últimos años hemos venido observando una serie de comportamientos y manifestaciones en la red, donde las redes sociales y nuevas expresiones digitales se convierten en la forma natural a través de la cual los individuos expresan su opiniones y levantan su voz para llamar la atención sobre aspectos de la vida cotidiana. En este sentido, eventos como los ocurridos en Egipto, España y diversos países de latinoamérica nos muestran la capacidad de convocatoria y sinergia que se puede desarrollar a través de la red para poner en alerta a ciudades, gobiernos y naciones, frente a situaciones de la realidad nacional que merecen atención por parte de las autoridades respectivas. (CIO UPDATE 2011)

Las manifestaciones asistidas desde lo que podríamos llamar un hacktivismo digital incorrecto (LIZAMA 2005), donde una parte de la población insatisfecha con algunos hechos de su realidad (privilegiando los contexto políticos y sociales, más que los tecnológicos), se asesora de especialistas en el manejo de temas tecnológicos, para efectuar acciones perturbadoras que afectan activos digitales claves de las naciones, es una clara tendencia que los ciudadanos digitales, han encontrado para manifestar su inconformidad sobre aquello que no les parece adecuado o injusto frente a la comunidad o población afectada.

Anonymous, Lulzsec y nuevas expresiones de este tipo de hacktivismo será una tendencia clara en los próximos años, pues los nacidos digitales han entendido que la red es una forma de expresión que alcanza todos los niveles sociales y se visualiza en las altas jerarquías del estado y de las organizaciones. (CANO 2011) La tecnología de información es un medio para revelar la inconformidad y mantener atención sobre aquellas cosas importantes para la ciudadanía y las personas que no tienen voz.

3. Ecosistema tecnológico: necesidad competitiva o nuevo vector de ataque.

La computación en la nube, las redes sociales y la computación móvil advierten una realidad concreta, un escenario real donde los gobiernos, las organizaciones y las personas estarán conviviendo y compartiendo riesgos frente a una creciente demanda de servicios, información instantánea y procesamiento de grandes volúmenes de datos. (RAYWOOD 2011)

En este escenario, se plantea un elemento emergente que se denomina un ecosistema tecnológico, un lugar donde tenemos la participación de terceros que administran y movilizan la información y los datos, según las consideraciones de los servicios contratados con cada uno de ellos. Si bien, son múltiples las ventajas de este tipo de ambientes, también se hace necesario desarrollar nuevas propuestas de aseguramiento tanto en aplicaciones, datos e infraestructura, que permitan aumentar el nivel de confianza que este nuevo modelo requiere.

Forrester (WANG 2011) y otras empresas han venido revisando conceptos asociados con los modelos base de seguridad como Bell-LaPadula, para repensar la seguridad de la información en un ecosistema tecnológico, como es el concepto de etiquetas de alta seguridad (high-water mark principle – Mayor información en: WEISSMANN 1969 ) que exigen al tercero con el que se interactúa se sintonice con las exigencias de seguridad y control requeridas para la transacción (la idea es concentrarse en la transacción, los datos y su movilidad, más que en el dispositivo como tal). Sin embargo, aún estamos en las primeras etapas de reconocimiento y análisis de estas nuevas propuestas, que poco a poco deben madurar para reconocer en el ecosistema tecnológico una forma pensar la seguridad en un ambiente dinámico, poroso y móvil.

4. Nuevos retos jurídicos frente a nuevas realidades de las tecnologías de información

Conforme avanzamos en esta nueva década del segundo milenio, los alcances de la tecnología de información exigen nuevos y mejores entendimientos de sus usos en el contexto social. En este sentido, los retos jurídicos naturales como los derechos humanos en internet, la privacidad, el derecho a la información, los activos digitales personales, los derechos de autor, el manejo de la imagen y las marcas, la democracia digital y la participación ciudadana de los individuos entre otros, han venido tomando matices inesperados, que exigen de los nuevos y experimientados juristas respuestas novedosas para entablar nuevos debates y propuestas que den cabida a una realidad social, digital y sin fronteras. (LEVINSON 2011)

En este contexto, durante los siguientes años los estados y las escuelas de leyes tendrán el reto de conciliar los derechos constitucionales de las personas en las múltiples manifestaciones de las tecnologías de información y las decisiones nacionales que demanden un balance general del estado para mantener el orden y el control de la sociedad y el país en general. Esto es, encontrar y descifrar esa zona gris donde los individuos deben mantener buenas prácticas para respetar las libertades e individualidades de los ciudadanos y las regulaciones necesarias para proteger los bienes jurídicamente tutelables y las acciones requeridas que las autoridades necesitan para mantener el equilibrio en el estado social de derecho, ahora en un sociedad de la información y el conocimiento.

5. Mayor visibilidad de los sistemas de control, mayor responsabilidad en su aseguramiento

Durante muchos tiempo los sistemas de control industrial fueron elementos claves propios de instalaciones con operaciones especializadas cuyo funcionamiento cerrado, específico y poco conocido, se asociaba con un mundo restringido a una comunidad técnica, con entrenamiento especial y lenguaje de máquina. Conforme ha venido avanzando la tecnología este tipo de sistemas ha venido integrándose a las redes corporativas como otros elemento más de la misma, con protocolos semejantes a los estándares y transmisiones cada vez más homogéneas.

Considerando lo anterior, la visibilidad de los sistemas de control ha aumentado, lo cual significa un mayor nivel de exposición que requiere la atención tanto de los especialistas en estos temas como de los de riesgos y seguridad de la información. Es importante anotar, que este llamado exige un trabajo conjunto entre los tres mundos: la seguridad, los riesgos y los sistemas de control, pues se hace necesario entender la realidad de la disponibilidad de éstos últimos y las operaciones que realizan, para que desde la vista de riesgos y la especialidad de los sistemas de control, se desarrolle y actualicen los modelos de seguridad y control que requieren las instalaciones y los diseños de los sistemas mencionados. (ENISA 2011)

Los eventos que se ha venido presentando en los últimos años, donde los protagonistas han sido sistemas de control avanzado, en facilidades con operaciones sensibles, nos indican que se debe avanzar en un reconocimiento de los vectores de ataque que se han indentificado y desarrollar estrategias de aseguramiento que anticipen posibles variantes de lo que ha ocurrido, así como respuestas planeadas que enfrenten situaciones inesperadas, para lo cual las prácticas de gestión de incidentes de seguridad de la información y de pérdida de continuidad pueden ser útiles para contener y mantener la confiabilidad de las operaciones.

Reflexiones finales

La seguridad de la información es un proceso exigente y dinámico que requiere la habilidad de sus responsables para mantener en movimiento su creatividad frente a la inseguridad, no sólo para crear la sensación de confiabilidad requerida por los usuarios frente al tratamiento de la información, sino para que vinculando, a estos últimos en la conquista de la asimetría de la inseguridad, se construya de manera conjunta una distinción concreta y evidente de un ambiente controlado y confiable, mas no seguro.

Sólo nos queda observar el desarrollo del 2012, para ver cómo la inseguridad de la información nos cuestiona y nos hace meditar nuevamente y así, pensar de manera distinta para abrirle la puerta a las posibilidades, esas que no son otra cosa que el insumo de la inevitabilidad de la falla, fuente que debe alimentar permanentemente el instinto y la mente del responsable de la seguridad de la información.

Referencias

LEVINSON, M. (2011) Why Law Enforcement Can't Stop Hackers. CIO Magazine. Diciembre Disponible en: http://www.cio.com/article/print/694071 (Consultado: 4-01-2012)

RAYWOOD, D. (2011) 2012: security predictions for the future of mobile, cloud, attacks, data loss and big data. SC Magazine UK. Diciembre Disponible en: http://www.scmagazineuk.com/2012-security-predictions-for-the-future-of-mobile-cloud-attacks-data-loss-and-big-data/article/220301/ (Consultado: 4-01-2012)

CHICKOWSKI, E. (2011) 2012 compliance checklist. Security professionals need to consider these best practices and new compliance requirements as they ring in a new year. Dark Reading Magazine. Diciembre. Disponible en: http://www.darkreading.com/taxonomy/index/printarticle/id/232200757 (Consultado: 4-01-2012)

ENISA (2011) Industrial control systems security. Recommendations for Europe and member state. Disponible en: http://www.enisa.europa.eu/media/press-releases/industrial-control-systems-security-recommendations-for-europe-member-states (Consultado: 4-01-2012)

CIO UPDATE (2011) Fortinet’s Top 8 security predictions for 2012. CIO Update. Diciembre. Disponible en: http://www.cioupdate.com/technology-trends/fortinets-top-8-security-predictions-for-2012.html (Consultado: 4-01-2012)

LIZAMA, J. (2005) Hackers en el contexto de la sociedad de la información. Facultad de Ciencias Políticas y Sociales. Tesis doctoral. Disponible en: http://descargas.segu-info.com.ar/tesis/hackers-sociedad.zip (Consultado: 4-01-2012)

CANO, J. (2011) Voces de la inseguridad de la información. Algunas reflexiones desde la academia. Computerworld Colombia. Agosto.

WANG, C. (2011) The extended enterprise: A security journey. Forrester Research. Disponible en: http://www.forrester.com/rb/Research/extended_enterprise_security_journey/q/id/60179/t/2 (Requiere suscripción)

WEISSMAN, C. (1969) Security controls in the ADEPT-50 time-sharing system. AFIPS Conference Proceedings Fall Joint Computer Conference. pp. 119—133. Disponible en: http://dl.acm.org/citation.cfm?id=1478574 (Requiere suscripción)

Función y propósito de la seguridad de la información

Revisando reflexiones elaboradas por R. Ackoff (en su libro: Differences that make a difference) alrededor de qué es una función y qué es un propósito, encontramos muchas reflexiones que pueden ser de utilidad para el responsable de la seguridad de la información. Mientras una función es el uso de algo que puede tener alguna cosa, tener un propósito implica hacer selecciones y tomar opciones para hacer que ese algo se movilice.

En este sentido, desarrollar una función de seguridad de la información en la empresa es establecer los mecanismos, estrategias y acciones que nos permiten hacer realidad las metas operativas de la seguridad de la información representadas en prevención de ataques, control del spam, revisión y control antivirus, aseguramiento de firewalls, entre otras temáticas, que lo que buscan es medir la efectividad y eficiencia de las implementaciones de hardware y software para proteger la infraestructura tecnológica de riesgos que atenten contra la confidencialidad, integridad y disponibilidad.

Todo lo anterior, se podría implementar sólo como una vista operativa y funcional, aún sin un propósito específico, y tendría efectos positivos en la exigente labor de administración de la seguridad de una organización. Sin embargo, esta postura, no respondería a la necesidad de anticipación requerida y demandada por la organización para movilizar la transformación de la empresa e incrementar el nivel de protección de la información requerido por el negocio ahora y en el futuro.

Cuando la seguridad de la información tiene un propósito, tiene un fundamento, un sueño que lograr y unas metas para cumplir, es capaz de movilizar elementos organizacionales como tiempo, personas y finanzas, para destruir lo que las personas “creen” y renovar lo que las personas “hacen”; haciendo visible un cambio de paradigma en el tratamiento de la información, es decir, pasar de “algo” que alguien hace por mí, a “algo que es parte inherente de mi”.

Materializar este tipo de paradigmas implica no solamente entender la función de seguridad de la información per se, sino encontrar un sentido práctico a la protección de los activos de información, como una manera de hacernos responsables reales en el tratamiento de la información, para tomar las opciones y selecciones conscientes que incrementen la percepción de tranquilidad y seguridad de los activos identificados, clasificados y puestos a disposición de una organización y sus metas grandes y ambiciosas.

Cuando hablamos de la función de seguridad de la información en una organización, sin tener en cuenta su propósito, es hablar de una serie de actividades y acciones que no tienen claramente un sentido o direccionamiento, a pesar de que éstas funcionen de la manera prevista. De igual forma, contar con el propósito motivador de la seguridad en una organización, pero no tener acceso a los recursos suficientes para movilizarlo, se convierte en un buen ejercicio académico que motiva a pocos y no convence a muchos. En este sentido, cada vez que nos hacemos “de mayor edad”, y más pausados en nuestras reflexiones, debemos renovar nuestro niño interior, ese que está libre de autorestricciones y se dejar sorprender con las nuevas lecciones de la inseguridad de la información.

Adicionalmente, si agregamos un símil sobre lo que venimos reflexionando y para ello utilizamos el concepto de una “caja de herramientas”, podemos notar que la función de aquella, entre otras que le podemos asignar, es poder custodiar y mantener funcional los elementos disponibles allí. Si esto es cierto, el poder de la "caja de herramientas" (en este caso de la seguridad de la información) no está en su diseño, ni funcionalidad; está en el propósito que alguien le ha asignado, en las decisiones y opciones que se han tomado para continuar entendiendo las acciones de la inseguridad de la información, teniendo como referente base las declaraciones y protocolos legales propios que las brechas de seguridad de la información imponen a la empresa.

Tener propósitos en la vida y vivirlos con intensidad cada día, es encontrar la fuente de la disciplina, la energía para hacer que las cosas pasen y el libro de la sabiduría para tomar las opciones requeridas y necesarias que permitan elevar nuestro potencial. Si lo anterior es cierto, el responsable de la seguridad de la información, entendiendo el valor propio de las implementaciones tecnológicas y la realidad de las mediciones, podrá responder de manera ágil y contundente a las preguntas políticas que exigen los ejecutivos de la empresa, preguntas que no son otra cosa, que una expresión de las necesidades y expectativas que ellos tienen para proyectarse en su mercado o sector de negocio.

Así las cosas y como quiera que aún debemos cruzar el umbral de las decisiones de presidencia y/o junta directiva, es importante recorrer el camino del propósito desde la realidad interna de la empresa, para formular estrategias operativas que, reconociendo el valor estratégico de la información, sean capaces de cautivar las metas de negocio y sus decisiones estratégicas, desde las prácticas diarias de protección de la información.

El fraude a través de medios tecnológicos. Más que predicciones, algunos pronósticos sobre su evolución

Introducción

Con frecuencia escuchamos hablar sobre el fraude, sobre como personas desarrollan actos intencionales o causados por omisión para engañar a otros, con resultados que generalmente terminan con una pérdida para alguien y una ganancia para un delincuente. El fraude es tan antiguo como la humanidad, la capacidad de traicionar, adulterar, falsificar, suplantar, de efectuar una acción con “dolus”, es decir, con ardid, treta o artimaña, está enraizada en cada una de los seres humanos en mayor o en menor medida, según su estructura de bienes libremente elegidos y su inclinación natural a lo menos bueno.

En ese sentido, tratar de establecer un patrón o perfil de los defraudadores pasa primero por identificar algunas situaciones que se presentan alrededor de las personas, que pueden llevar a la materialización de un fraude. Sin perjuicio de lo anterior, es importante anotar que los indicadores que se presentan a continuación son sencillamente una lista de consideraciones y alertas extraídas de las mejores prácticas internacionales, que generalmente han coincidido con una posterior ejecución de actividades ilícitas que terminan en apropiaciones de bienes tangibles o intangibles en las organizaciones y daños concretos en ellas.

Banderas rojas o alertas sobre el fraude

De acuerdo con la ACFE – Association of Certified Fraud Examiners, ésta son algunas banderas rojas (indicadores o alertas que pueden facilitar la materialización de un fraude) detalladas en su informe anual sobre el fraude a nivel global:

• Problemas de adicción (sustancias psicoactivas o problemas con el juego)

• Dificultades financieras o altas deudas personales

• Viviendo más allá de sus propios medios

• Divorcio reciente o problemas familiares (con los hijos, hermanos, etc)

• Problema legales pasados (no relacionados con el fraude)

• Irritabilidad inusual, sospechosa o defensiva

• Frecuentes reclamos acerca de pago de cuotas o préstamos

• Frecuentes reclamos acerca de la falta de autoridad

• Reusar o no busca alcanzar una promoción en la empresa

• Inusual asociación cercana con vendedores o clientes

• Presión excesiva de la familia o sus pares para tener éxito

• Presión excesiva por su rendimiento dentro de la organización

• Control excesivo relacionado con el trabajo, falta de voluntad para compartir asignaciones o aceptar la supervisión

• Inestabilidad en las circunstancias de la vida (cambios frecuentes de trabajo, cambios frecuentes de residencia, etc)

• Renuencia a tomar vacaciones

• Actitud negociante permanente (sagaz y sin escrúpulos)

• Historia de otros problemas relacionados con su trabajo (por ejemplo, bajo rendimiento o problemas éticos)

Si analizamos con detalle esta lista (parcial de alertas) encontramos que muchas de ellas hacen relación con situaciones y contextos personales que llevan a los individuos a ejecutar conductas que ponen a prueba su estructura de valores y principios. Cualquiera de las condiciones detalladas, debe someterse a un análisis detallado dado que cada persona y realidad son diferentes y muchas veces, lo que aparentemente es una alerta de los que pueda estar sucediendo, puede ser una condición de excepción para un individuo particular.

Como quiera que estos síntomas manifiestan conductas que llaman la atención para la gerencia de las organizaciones, es importante anotar que se hace necesario revisar igualmente, aquellas garantías que la empresa debe brindar a sus colaboradores, para generar un ambiente sano y psicológicamente estable que permitan el ejercicio adecuado del desarrollo individual y profesional de sus empleados.

El perfil de defraudador

En consecuencia con lo anterior, es importante anotar que, si bien es claro que debemos tener precaución frente a los juicios de valor ante situaciones o alertas como las mencionadas anteriormente, es igual de importante establecer aquellas características propias y más relevantes de las personas que pueden llegar a cometer un fraude. En este sentido, la firma KPMG en su estudio sobre la caracterización del defraudador publicado en 2011, anota de manera específica, algunas de ellas, como resultado de la encuesta realizada a nivel global. Ellas son:

• Generalmente son hombres

• Entre 36 y 45 años de edad

• Cometen el fraude en contra de su propio empleador

• Generalmente trabajan en el área de Finanzas o en un cargo relacionado con las finanzas

• Por lo general es un representante de la Dirección

• Cuenta con más de 10 años de servicio en la empresa

• Es una persona que a menudo comparte con otros.

Es interesante observar que los resultados muestran claramente que aquellas personas con mayor tiempo en la organización son más proclives a conductas ilícitas, posiblemente porque conocen con claridad los aciertos y debilidades de las medidas de control, y adicionalmente, saben hasta donde pueden llegar sin llegar a comprometerse y salir sin ninguna implicación. Igualmente, el rango de edad que se establece, nos habla de una persona que técnicamente ya ha alcanzado su madurez profesional y busca establecer un futuro más reposado y tranquilo, por lo cual contar con solidez y libertad financiera se vuelve algo clave para ellos y sus familiares.

Llama la atención que es el área financiera donde en mayor medida se identifican los casos de fraude, pues al estar allí la circulación de especies monetarias y la forma como la organización efectúa sus operaciones, se vuelve más detallado y más agudo el análisis de los posibles delincuentes para efectuar sus actividades ilícitas. En este contexto, los controles internos de operación y las estrategias de seguridad y control son un elemento fundamental para mantener un ambiente monitorizado, asegurado y con trazabilidad de lo que ocurre (un detalle de las actividades de control se puede encontrar en el informe de la ACFE mencionado previamente). Con esto la idea, es reducir las ocasiones o escenarios que motiven actividades que puedan afectar la caja de la organización.

Revisando la naturaleza del fraude

Identificar el perfil de posible delincuente y contextualizarlo aún en un ejercicio organizacional son actividades que dan cuenta de la necesidad de seguir de cerca las tendencias que la inseguridad misma nos plantea en el entorno corporativo y de actuación general. De igual forma, se hace cardinal, estudiar cada uno de los fraudes para adelantar las caracterizaciones de las pérdidas en sí mismas, que nos permitan afinar aún más las estrategias para cerrarle la brecha a aquellos que aún persistan en apropiarse de los bienes de las organizaciones.

En consecuencia y siguiendo los resultados del estudio realizado por la firma Deloitte sobre el fraude a nivel global, podemos advertir una priorización de la naturaleza de los fraudes identificados, que revelan tendencias sugestivas, que nos permiten visualizar los gustos y motivaciones de los defraudadores o mejor aún, sus movilizadores más frecuentes para concretar sus actos. Los resultados son:

1. Robo de activos físicos

2. Robo de información

3. Fraude en la contratación

4. Corrupción y soborno

5. Fraudes externos

Como se puede apreciar los tres primeros resultados nos manifiestan que son los activos físicos, los temas de la información y la contratación los que con mayor frecuencia son materializados por los delincuentes. Esto nos indica que cada vez más se hace imperioso contar con buenas prácticas para el tratamiento de la información, para evitar que caiga en las manos equivocadas y con ella se puedan motivar actuaciones que lleven a pérdidas significativas en las empresas. No es de extrañar, que todo aquello donde se manejen grandes volúmenes de dinero sea susceptible de incidentes de fraude. En este sentido, los controles y buenas prácticas de contratación se vuelven factores críticos de éxito para alcanzar mayor transparencia y agilidad en las empresas y mitigar la brecha de posibles ilícitos que se quieran o puedan plantear.

Es importante anotar, que no es posible tener un contexto organizacional sin incidentes o sin fraudes, pues la ocasión para el riesgo siempre se presenta en mayor o menor medida y siempre habrá personas con debilidades de personalidad y con estructuras de valores débiles, los cuales serán terreno fértil para la inseguridad y la inclinación propia de nuestra naturaleza caída.

Fraude a través de los medios tecnológicos

De otra parte, como toda evolución natural de los fenómenos delincuenciales, éstos han encontrado en la tecnología un vehículo eficaz para materializar sus acciones, pues la velocidad, la presencia anónima que se tiene, el alcance de sus actos y la limitada preparación de los entes de policía judicial, configuran un escenario motivador para repensar nuevamente sus estrategias y avanzar en el desarrollo de nuevos modelos para defraudar a los individuos y organizaciones.

En consecuencia, las acciones relevantes que se puedan adelantar por parte de los entes investigadores para dar con la identificación y modus operandi de los delincuentes a través de medios tecnológicos, es un reto que implica reconstruir un escenario de fraude y encontrar las evidencias informáticas relacionadas con el mismo. Si bien, las organizaciones hoy cuentan con diferentes elementos de seguridad y control en sus operaciones, cuando no trasladamos al mundo de internet, éstos pierden claramente su efectividad, dada la heterogeneidad de ambientes y configuraciones existentes que posiblemente no sigan las buenas prácticas que se exigen frente al aseguramiento de las infraestructuras y aseguramiento de flujos de información.

Amén de lo anterior, el reporte de la encuesta global de fraude 2011 realizado por la firma Ernst & Young corrobora esta situación, cuando establece que una tercera parte de los participantes en la encuesta advierten de los altos costos que implica la revisión exhaustiva de correos electrónicos (u otra información electrónicamente almacenada) con el fin de ofrecer asesoría legal efectiva, dejando a las organizaciones un sabor agridulce de lo que requiere hacer para procesar o judicializar a un posible delincuente en la organización. El mismo informe anota que se evalúa la disminución de los presupuestos en estos temas dado que en muchas ocasiones estos esfuerzos resultan infructuosos frente al resultado final de proceso jurídico y la reparación para la organización.

En línea con lo comentado previamente, los delincuentes utilizan igualmente los medios sociales informáticos para generar expectativas, rumores o desinformación que le permitan tener una posición más estratégica para avanzar en sus métodos de fraude. En este escenario, las redes sociales son el medio más expedito para generar situaciones premeditadas que impacten la imagen y buen nombre de las empresas. Mal utilizadas son tácticas de inteligencia que pueden desviar la atención o generar tráficos de información sensibles que comprometan las prácticas de negocio de las empresas y por ende, su posicionamiento dentro de un sector empresarial.

Lo anterior se confirma en el reporte global sobre el fraude 2011 desarrollado por la firma Kroll, donde se advierten estrategias utilizando la tecnología o internet para afectar la imagen de las firmas y ocasionar daños emergentes que comprometan la estabilidad de las empresas. Particularmente se habla del caso de la British Petroleum y el incidente internacional del derrame de crudo en el Golfo. En este sentido, el informe afirma:

“(…) En 2010, BP recibió un ataque online por cómo manejaba el derrame en el Golfo de México. Además de campañas en su contra en blogs y en Facebook, la compañía debió luchar contra mensajes enviados desde una cuenta falsa de Twitter, el aparentemente “real” BPGlobalPR. En un punto, la cuenta de relaciones públicas falsa en Twitter tenía más seguidores que la real. El desafío para BP fue responder a un ataque desde varios flancos en Internet. No había un único ISP ni sitio web para ocuparse de los varios ataques. (…)”

Avances interdisciplinarios para entender el fraude a través de medios tecnológicos

Todos estos elementos comentados nos hablan claramente que existe una nueva evolución del fraude y la inseguridad en los diferentes contextos empresariales; que la delincuencia continua observado y aprovechando los adelantos informáticos y las oportunidades que ofrecen los desarrollos tecnológicos, para evolucionar rápidamente, sin dejar margen de reacción a los entes de seguridad y control tanto de las empresas como de los estados.

Pese a lo mencionado, se vienen adelantando importantes avances a nivel jurídico, criminológico y criminalístico que nos permiten avizorar nuevas condiciones y actividades para enfrentar a la delincuencia en un mundo digital e interconectado. El entendimiento jurídico de las escenas asociadas con crímenes de alta tecnología comienza a arrojar los primeros resultados, los cuales se advierten en nuevas propuestas de regulación que buscan asegurar mejor la información y los datos, para lo cual las organizaciones debe tomar las medidas del caso, no para interpretar dicha norma, sino para afianzar sus prácticas en este sentido.

Como parte de este análisis interdisciplinario, se viene generando propuestas para continuar cercando a los delincuentes, para decirles que estamos preparados para enfrentar los retos propios de una delincuencia organizada e interconectada. Es así que, trabajos como el de los doctores VASIU nos permiten continuar aprendiendo y repensando los elementos legales a considerar frente al fraude a través de medios tecnológicos. Dichos elementos:

• El conocimiento e intención de cometer fraude

• El acceso a un computador protegido o excediendo su autorización

• La obtención de un beneficio para el que comete el fraude

Nos muestran que es posible avanzar en una vista sistémica de la inseguridad, de las motivaciones de los facinerosos informáticos y sus técnicas apalancadas en tecnologías emergentes.

Fruto de estos avances se han venido formulando leyes en los diferentes países que poco a poco permean las agendas legislativas y ponen de manifiesto que las inseguridad de las calles y los “raponazos” callejeros, son tan relevantes como la inseguridad de la información en internet y los “raponazos” electrónicos que día a día ocurren en la “ciudad” que es Internet.

Reflexiones finales

Así las cosas y como quiera que la mente humana puede desarrollar las más bellas expresiones de alegría, cariño y generosidad, así como diseñar y explotar las más oscuras, egoístas y perversas intenciones, se hace necesario hacer un llamado a todas las naciones para que se desarrolle un frente común de contención y acción que haga de internet un lugar más sano y generoso con todos sus habitantes, con las prácticas de negocio y con los niños, población que generalmente es la más vulnerable.

Debemos propender y confirmar que nuestras acciones en internet, son tan reales como nuestras actuaciones en la vida cotidiana y por tanto, no podemos soslayar nuestros principios y valores habituales por el solo hecho de estar “conectado a internet”. La cultura de que “todo se puede” en internet, no debe ser la norma que se erija frente a la transformación social que exige nuestra actual sociedad, pues de hacerlo estaríamos avocados a una degeneración del tejido humano que afectaría las buenas intenciones y las posibilidades que trae consigo la tecnología para las empresas, los individuos y las naciones.

Ackoff en su libro “Differences that make a difference” establece que una cosa es hacer un pronóstico (en inglés forecast) y otra hacer una predicción. Mientras un pronóstico es una declaración de un futuro esperado basado en una proyección de qué ha pasado y qué pasa hoy, una predicción es una declaración de un futuro esperado que no está basado en hechos y datos, sino en las creencias acerca de lo que se prevé, sus causas o generadores. En otras palabras, la predicción puede ser sobre cosas que no han ocurrido en el pasado y los pronósticos basados en estadísticas y métodos de proyección normalizados y verificables.

En este contexto, todos los reportes e informes que hemos comentado en este documento nos hablan sobre pronósticos acerca del fraude en sus diferentes manifestaciones, como una forma de establecer líneas de investigación y acción que nos permitan caminar cerca de los movimientos conocidos de los delincuentes. Predecir las tendencias y comportamientos del fraude en un mundo gobernado por las comunicaciones y la información instantánea, es una apuesta abierta y sin límites para encontrar en la inseguridad de la información nuevas razones para continuar aprendiendo, es decir, lanzarnos a experimentar la incertidumbre y declarar que no sabemos.

Referencias

ACKOFF, R. (2011) Differences that make a difference. Editorial Triarchy Press.

VASIU, L. y VASIU, I. (2004) Dissecting computer fraud: from definitional issues to a taxonomy. Proceedings of the 37th Hawaii International Conference on System Sciences. Disponible en: http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.108.9517 (Consultado: 23-10-2011)

KROLL (2011) Global Fraud Report. Mayo. Disponible en: http://www.krollconsulting.com/media/pdfs/Kroll_Global_Fraud_Report_May_2011_Spanish_Final.pdf (Consultado: 23-10-2011)

ERNST & YOUNG (2011) Global Fraud Survey. Disponible en: http://www.ey.com/Publication/vwLUAssets/EY_11th_GLOBAL_FRAUD_Survey/$FILE/EY_11th_GLOBAL_FRAUD_Survey.pdf (Consultado: 23-10-2011)

DELOITTE (2011) Global Fraud Survey 2011. Disponible en: http://www.deloitte.com/assets/Dcom-Lebanon/Local%20Assets/Documents/FAS/Deloitte%20%20GCC%20Fraud%20%20Survey%202011.pdf (Consultado: 23-10-2011)

KPMG (2011) Who is the tipical fraudster? Disponible en: http://www.kpmg.com/EE/en/IssuesAndInsights/ArticlesPublications/Documents/Forensic-Fraudster-Survey-WEB.pdf (Consultado: 23-10-2011)

ACFE (2010) Report to nations on occupational fraud and abuse. 2010 Global Fraud Survey. Disponible en: http://www.acfe.com/uploadedFiles/ACFE_Website/Content/documents/rttn-2010.pdf (Consultado: 23-10-2011)

3765 Lecciones aprendidas: Más que pecados de obra u omisión

Revisando los resultados de la investigación realizada por la Digital Forensic Association denominada “The Leaking Vault 2011”, encontramos nuevas y renovadas razones para insistir en el estudio y profundización de la inseguridad de la información, como la fuente misma de ideas para continuar asegurando la información en las empresas.

Este estudio analizó más de 3765 incidentes reportados en más de 33 países a nivel global entre el año 2005 y 2010, identificando interesantes hallazgos que nos sugieren marcos de acción para mantenernos cerca de la inevitabilidad de la falla, bien por fenómenos eminentemente tecnológicos como por comportamientos inadecuados.

A continuación mencionamos algunos resultados relevantes del estudio con el fin de plantear ciertas reflexiones que nos permitan intentar acercarnos al fenómeno de la fuga y/o pérdida de la información y entender mejor su asimetría en el contexto empresarial.

• Los vectores más representativos para la pérdida y/o fuga de información son los computadores portátiles, las técnicas de hacking y los documentos impresos.

• Se perfila el web como un nuevo vector para pérdida y/fuga de la información.

• Dejar los portátiles y documentos impresos desatendidos son comportamientos que potencian la pérdida y/o fuga de la información

• No se cuenta con la trazabilidad de los documentos desde que la información se genera hasta su disposición final.

• El malware es la técnica más utilizada para crear entornos que materialicen la pérdida y/o fuga de la información.

• La pérdida de información está generalmente asociada con personal externo o terceros contratados, mientras la fuga de la información, tiene una fuerte asociación con empleados de las empresas.

• Existe un bajo reporte público de las brechas de seguridad (pérdida y/ fuga de información) por parte de las empresas en los diferentes países.

• Se identifica una tendencia de exposición de datos relacionados con registros médicos en la muestra analizada.

• Dentro de los datos que generalmente se exponen con las brechas de seguridad son: Número de seguro social, Número de licencia de conducción, número de la tarjeta de crédito, número de la cuenta bancaria, fecha de nacimiento y datos médicos.

Considerando estos hallazgos retomemos algunas meditaciones que generalmente se detallan en diferentes medios y documentos sobre esta realidad de la pérdida y/o fuga de la información.

El estudio indica que los portátiles, las técnicas de hacking y los documentos impresos son los vectores de ataque más comunes y responsables por más del 90% de los incidentes. En este sentido, sin considerar las técnicas de hacking, son nuestros comportamientos frente al aseguramiento de los portátiles y los documentos impresos, el que genera la mayor vulnerabilidad y oportunidad para que la inseguridad se materialice en diferentes contextos de la realidad organizacional y personal.

Cuántas veces hemos enviado una impresión con documentos clasificados como sensibles o restringidos, cuántas veces hemos dejado el computador portátil desatendido, cuántas veces nos siguen recordando la necesidad de asegurar estos comportamientos y aún continuamos abriéndole posibilidades a los atacantes para que se hagan dueños de la información clave de la empresa o creando el entorno para que, incluso nuestra información personal sea utilizada con fines ilícitos o fraudulentos. Si bien la fuga y/o pérdida de la información no podrá erradicarse por completo, si podemos mantener un umbral cerrado y conocido que nos permita cercar a la inseguridad de la información en terrenos conocidos y claramente abiertos para que la impunidad no sea la protagonista cada vez que se revele un evento de éstos.

Con la alta interacción que tenemos ahora con el WEB y las posibilidades de descarga y carga de información en sitios alternos, la información tiene un flujo inesperado y muchas veces no controlado que genera brechas de seguridad que pueden llegar a comprometer el buen nombre de la empresa o la persona. Tómese un momento para pensar qué pasaría si información de un nuevo producto, o una nueva patente se expone en un sitio en internet y es accedida por terceros sin autorización. Qué pasaría si fotos comprometedoras, que tenemos al interior de nuestros equipos, fuese transportada y expuesta sin nuestra autorización en un perfil de facebook. Estas y otras situaciones nos deben mantener alerta y consciente del aseguramiento de la información y de los protocolos que ésta debe seguir cuando se autorice su movimiento dentro o fuera del dominio de la organización o persona.

De otra parte, los atacantes, sabiendo que las personas son susceptibles de movilizar cuando aparecen nuevos servicios, atractivas ofertas en internet y, sobre manera propuestas de acceso a información privilegiada con pocas exigencias, desarrollan a través de código malicioso estrategias y entornos que buscan tener el control de la máquina o dispositivo de almacenamiento de información con el fin de acceder sin autorización a información personal o corporativa. Esta técnica se aprovecha, nuevamente y en gran medida, de nuestros comportamientos inadecuados frente a la protección de nuestros equipos portátiles o de escritorio. La falta de higiene informática es una de las responsable del gran número de infecciones y plagas informáticas, que pasan entre otras por botnets, gusanos, software espía dado que tenemos una “falsa sensación de seguridad” pues al conectarnos a internet creemos que no somos objetivo de interés de los intrusos, cuando en realidad es todo lo contrario.

Es muy revelador encontrar que la pérdida de información está asociada con los terceros de confianza de la empresa. Con frecuencia encontramos acuerdos de confidencialidad firmados con los contratistas a los cuales poco se les hace seguimiento o auditoría, generando espacios de incertidumbre en el manejo mismo de la información sensible de las empresas. Si bien es importante tener estrategias contractuales para mantener la responsabilidad del tercero frente al manejo de la información, cobra mayor relevancia poder  incluir dentro del modelo de seguridad de la información de la empresa la forma como las empresas contratistas deben darle tratamiento a la información y asegurar el seguimiento y aplicación de las directrices que sobre el particular se den.

De otra parte, se anota que la fuga de información se presenta con mayor frecuencia relacionada con el personal interno de la empresa. Este hallazgo nos habla de muchas posibilidades para analizar. Por un lado, podemos pensar en los aspectos éticos y de cumplimiento de los empleados, elementos propios de la lealtad empresarial, no necesariamente asociados con consideraciones legales, sino de identidad corporativa. Por otro, una falta de consciencia de los empleados de la empresa frente al manejo de la información y sus implicaciones; frente a su personal y con sus grupos de interés. Por tanto, si bien las organizaciones adelantan esfuerzos ingentes para incorporar la cultura de riesgos en el tejido social empresarial, se hace necesario insistir en la comunicación del valor de la información como activo estratégico de las corporaciones y elemento fundamental para soportar la ventaja competitiva de la empresa.

Si bien, en los países desarrollados se viene dando una tendencia por revelar las brechas de seguridad que se han presentado en las organizaciones, como una forma de responsabilidad social y empresarial con sus clientes, en nuestros países en vía de desarrollo, no logramos despegar del todo para seguir esta buena práctica. Por el momento, los reportes de incidentes de seguridad se conocen por “chismes” o “comentarios de pasillo” que se filtran en conversaciones con terceros en los sitios menos indicados: ascensores, restaurantes, filas de acceso a bancos, salas de espera, en general en sitios públicos o por descuidos de pantallas de computadores sin filtros de privacidad que exponen un “secreto” de alguna empresa o persona.

Como bien nos dice la sabiduría popular: “no hay nada oculto entre cielo y tierra que no se llegue a saber”, si debemos establecer los canales oficiales para que la información fluya de la manera más adecuada, en el contexto indicado y sin juicios de valor, para que se informe conforme se es requerido y con los detalles necesarios. No se trata de esconder lo que ha ocurrido, sino de entregar de la mejor forma la información para continuar avanzando en las estrategias de aseguramiento de la información en los procesos de negocio de las empresas.

Ver en un informe internacional que en el análisis de los incidentes se encuentra en la mayoría de las ocasiones información relacionada con datos médicos es realmente inesperado. Estamos acostumbrados a que las brechas de seguridad expongan datos corporativos, secretos industriales o elementos claves de estrategias de empresas, pero que en su mayoría sean datos relacionados con los registros de los galenos sí que es novedad. Esta tendencia en los países desarrollados se explica por la alta relación que existe de estos datos con el acceso a información complementaria de la persona: cuentas bancarias, estados de préstamos, pago de impuestos, identificación personal, entre otras, que son claves para establecer estrategias de suplantación y generar fraudes a nombre de terceras personas.

Si bien lo anterior nos debe llamar la atención frente a los efectos que esto tiene en la vida de las personas, estamos a tiempo para que en nuestras economías emergentes se tomen las medidas requeridas frente a la protección de datos personales, como una primera iniciativa que asegure y fortalezca las prácticas de seguridad y control frente al tratamiento de esta información. Así mismo, sea esa la motivación para que cada uno de nosotros continúe aprendiendo que la información es un activo esencial de nuestra relación social en el siglo XXI y la moneda fundamental de nuestra interacción en un mundo interconectado y abierto como lo es internet.

El informe no indica con detalles aspectos relacionados con las redes sociales, móviles (ahora tabletas, dispositivos de lectura, entre otros) o computación en la nube como otros drivers para las brechas de seguridad de las empresas y las personas, sin embargo es claro que estos tres elementos son parte de los nuevos vectores de la pérdida y/o fuga de la información, pues al estar en permanente movimiento y sin un aparente control, el ciclo de vida de la información no tendrá elementos suficientes para mantener la trazabilidad de las operaciones o tratamiento que se le haga a ésta, dejando la puerta abierta a inesperados eventos que ya empiezan a manifestarse en el mundo actual.

En consecuencia, este estudio, que de manera exhaustiva y formal revela tendencias que intuitivamente conocíamos, nos pone de manifiesto que la ecuación de la inseguridad se conjunta alrededor de la información, la inevitabilidad de la falla y los medios informáticos, con un multiplicador o inhibidor fundamental como son los comportamientos humanos.

En este sentido, que todas estas lecciones aprendidas de los 3765 incidentes puedan empezar a modificar el ADN corporativo de la cultura de las organizaciones frente al tratamiento de la información y nos haga a cada uno de nosotros sensibles a los movimientos de nuestra maestra la inseguridad, para que nuestros próximos “pecados” frente uso de la información, bien sean de obra u omisión, sean un nuevo comienzo para pensar diferente y superar las rutinas defensivas propias de aquellos que “buscan culpables” y no nuevas oportunidades para aprender.

ISACA Latin CACS 2011 - Una experiencia para desafiar una región

Introducción

Se comenta en los medios informativos y por los analistas económicos internacionales que Latinoamérica es y será un destino natural para los capitales y oportunidades de los grandes inversionistas del mundo. Los temas de minería, explotación de hidrocarburos, biodiversidad y nuevos capitales humanos calificados, hacen de las Américas un lugar privilegiado para desarrollar nuevas iniciativas en el contexto de los negocios emergentes basados en servicios financieros, telecomunicaciones, servicios de consultoría, investigación y desarrollo, entre otros.

En este contexto, poder asistir a uno de los eventos latinoamericanos más importantes en temas de auditoría, seguridad y control en sistemas de información, es una forma de comprender la dinámica de una región que atenta a los cambios globales y sus crisis, es capaz de mantener el paso firme frente a los retos de cumplimiento, aseguramiento y gobierno corporativo que su contexto le demanda.

Durante los días 3 al 5 de octubre de 2011, Puerto Rico fue sede de presentaciones y talleres que se desarrollaron en el contexto del LatinCACS que anualmente programa ISACA para todos los interesados de la región que quieren comprender mejor los retos que la dinámica empresarial demanda frente a las tecnologías de información y comunicaciones.

La jornada académica estuvo animada por temas relevantes para las empresas de la región como son la “gestión del valor de TI”, la seguridad en los sistemas SCADA, la computación en la nube, la ciberseguridad y la ciberdefensa y los temas de privacidad de los empleados. Cada de uno de estas temáticas, desarrolladas por destacados profesionales de la región revelan la necesidad de avanzar con celeridad en cada uno ellas, como factores direccionadores del desarrollo de las empresas y naciones hacia mejores y mayores estándares de productividad y rentabilidad corporativas.

Gestión del valor

Cuando se habla de la gestión del valor de TI, es importante aclarar que podemos invocar los conceptos de ISACA en su modelo de VAL IT, así como otros relevantes en otras disciplinas administrativas que van a contribuir a un mejor entendimiento de este reto de las organizaciones actuales. Es claro, que la alta gerencia de las empresas reconoce en TI un elemento clave dentro de su gestión, pero que aún no desarrolla su potencial para elevar sus conversaciones a nivel de las juntas directivas.

En este contexto las conferencias desarrolladas en el evento, plantearon entre otras tesis, un concepto de valor como la relación existente entre la satisfacción de las expectativas de las partes interesadas y los recursos utilizados para ello. Esta definición, establece el reconocimiento de las esperanzas o deseos de la alta gerencia sobre el negocio, para a la luz de los riesgos de servicios, proyectos e innovación, la empresa cuente con un factor diferenciador que le permita apalancar su modelo de generación de valor.

De igual forma, cuando de construir, desarrollar, comunicar y proteger el valor, la tecnología cuenta con un factor fundamental, que si bien parece desalineado con la estrategia de negocio, encuentra en ella la fuente misma de las ideas que le permita evolucionar de ser un proveedor de servicios a un aliado de negocio. Esta última frase, que frecuentemente se escucha en los eventos internacionales, es el gran desafío de los gerentes o vicepresidentes de tecnología: poder educar a la gerencia en cómo la tecnología genera diferencia, más que cómo ésta es capaz de generar mayores ahorros.

De la mano con lo anterior, otro renombrado profesional en gobierno de TI, profundizó lo ya planteado en el contexto de la competitividad de los países, particularmente los latinoamericanos. Para este especialista, la competitividad la define “el que menos pierde en el contexto de un mercado” o dicho de otra forma “aquella empresa que genera resultados arriba del promedio de manera sostenida”. En el escenario actual de incertidumbres y desbalances macroeconómicos mundiales, la tecnología de información funge como un habilitador de alianzas y encuentros entre diferentes empresas, con el fin de marcar la diferencia ya no sólo individual, sino colectiva en el contexto de las realidades internacionales.

La tecnología de información y comunicaciones como fuente de creatividad y coordinación de iniciativas empresariales debe responder rápidamente a los cambios, so pena de convertirse en el mediano o largo plazo en un “commodity” perfectamente copiable y sustituible, dado su fuerte influencia y uso para fortalecer elementos como velocidad, calidad y costos que benefician la operación de las corporaciones. Así las cosas, la tecnología de información, como quiera que ésta debe ser funcional y operacional frente a los retos del día a día de las empresas, también se hace necesario repensar sus aproximaciones conceptuales y lenguajes corporativos, para que asegurando la disponibilidad de la infraestructura, pueda proteger el valor de la empresa, incrementar la agilidad de la transformación de la organización y ascender en su discurso al cuerpo empresarial de las juntas directivas.

El reto de los SCADA

Por otra parte los sistemas SCADA o Supervisory Control and Data Adquisition, son elementos fundamentales de las infraestructuras críticas de las naciones como son entre otras: los sistemas de distribución de energía, de derivados de los hidrocarburos, de funcionamiento de acueductos y otros servicios, así como de sistemas de transporte y emergencia de muchos países. Estos sistemas, por demás complejos e finamente interconectados con la realidad de tableros de distribución, válvulas de presión, medidores de temperatura o sistemas cerrados de televisión o control de acceso, establecen un reto de gobierno frente a la seguridad de la información de una empresa.

Estos sistemas, que si bien están automatizados y articulados con sistemas de información especializados, poco a poco han venido siendo objeto de ataques informáticos básicos y sofisticados, generando en las diferentes empresas encargadas de éstos, una incertidumbre creciente que obliga a sus responsables a una revisión completa del aseguramiento de los mismos. Dentro de los riesgos más relevantes para esta infraestructura tenemos: código malicioso, revelación no autorizada de datos críticos, modificación y manipulación no autorizada de datos sensibles, negación del servicio, acceso no autorizado a los registros de auditoría y modificación de los mismos.

Si bien para el mundo de los sistemas de información tradicionales, del trinomio de la seguridad de la información (confidencialidad, integridad y disponibilidad) las confidencialidad y la integridad son, en su orden, elementos claves para asegurar, en los sistemas SCADA dada la necesidad de funcionamiento permanente y generación de información en tiempo real, la disponibilidad se vuelve la fuente misma de las actividades para el aseguramiento de estos sistemas.

Sin perjuicio de lo anterior, los eventos recientes relacionados “armas informáticas” desarrolladas para poner en tela de juicio las protecciones hasta el momento desarrolladas para los sistemas de control, como es el caso de Stuxnet, un código malicioso capaz de tomar control de sistemas de control y telemetría, nos muestra que se hace necesario repensar el modelo de seguridad y control de estos sistemas y formular estrategias que correspondan con el reto de su operación ahora en redes IP y con exposición en las redes nacionales.

Dentro de las mejores prácticas establecidas para estos sistemas tenemos: monitoreo y aseguramiento de los registros de auditoría, biometría, firewalls, sistemas de detección de intrusos, detección y eliminación de código malicioso, criptografía asimétrica, control de acceso basado en roles y sobre manera, una alta sensibilización del personal que opera esta plataforma con el fin de asegurar el correcto entendimiento de la responsabilidad frente a la protección de estos sistemas y los impactos de eventos inesperados no sólo para la organización, sino para la nación.

Las reflexiones en la nube

Adicionalmente, fueron muchos momentos dedicados para comprender la computación en la nube y sus diversas aplicaciones e impactos. Muchos profesionales de Latinoamérica ven esta tendencia una importante posibilidad y forma de generar factores diferenciadores con tecnología, mucho de ello apalancado por el factor costos, pero se hace necesario una revisión juiciosa y sosegada para evaluar frente a las necesidades y retos empresariales, los riesgos que implica necesariamente entregar la información y los datos a terceros.

Por un lado las reflexiones se orientaron por el lado de la clasificación de la información, la protección de la misma y las implicaciones del tráfico transnacional de información personal (muchas veces no consentida) que genera incertidumbres para las empresas y los reguladores de las naciones. Por otro, se cuestionó los modelos actuales de seguridad y cumplimiento que podría derivar en movimientos de firma de auditores o personas certificadas a diferentes puntos del mundo para asegurar que el Cloud Service Provider o proveedor de servicios en la nube, cumple con lo establecido en el contrato y hace su mejor esfuerzo para limitar los impactos de posibles incidentes que se presenten.

En este escenario, se concluye que aún no se alcanza la madurez necesaria de la evolución de este modelo, de tal forma que aquellos que tomen la decisión de subirse a la nube, deberán estar alertas frente al tratamiento de incidentes que se presenten allí, los elementos de análisis forenses que se deban generar y los incumplimientos normativos, bien por acción u omisión se pudiesen presentar frente a la realidad de la información de las organizaciones. Existen algunos referentes internacionales que se sugieren para continuar aprendiendo de estos retos como son la guía de controles del Cloud Security Alliance y la guía de aseguramiento de control de ISACA IT Control for Cloud Computing.

Repensando la defensa de las naciones

Acciones internacionales como las creadas por Anonymous en diferentes países latinoamericanos revela un creciente interés en ese nuevo reto de gobernabilidad de las naciones denominado ciberseguridad y ciberdefensa. Luego de un largo exilio de los temas de defensa nacional, concentrados en realidades de campo operacional y de inteligencia tradicional, las naciones comienzan a comprender que existe un nuevo campo de acción y una nueva forma de impactar la realidad. Esta realidad convocada desde las redes sociales, interconectada con dispositivos móviles y reflejados en servidores y equipos en la nube, nos muestra el empoderamiento de las nuevas generaciones frente a una realidad digital que nos supera y nos cuestiona.

La ciberseguridad, como desarrollo de prácticas operacionales de protección y control, y la ciberdefensa, como la capacidad desarrollada por las naciones para defender sus activos de información estratégicos e infraestructura crítica nacional, son conceptos que poco a poco se deben incorporar en el lenguaje de los profesionales de gobierno de TI, no como una forma extendida de gobernar la tecnología de información en el contexto nacional, sino como una disciplina independiente que apalanca la gobernabilidad de una nación, la protección de los ciudadanos y las instituciones en un contexto global.

Si hoy a nivel internacional es una norma tener buenas prácticas en temas de gobierno corporativo, las naciones deben concretar esfuerzos para desarrollar estructuras que le permitan gobernabilidad a las naciones en el siglo XXI en un contexto digital; es decir, más allá de un nombre e identidad nacional, se hace necesario desarrollar programas nacionales de prácticas de protección de información, reconocimiento de las fronteras y condiciones de seguridad y control de la nación y sobre manera, la declaración abierta y fundamental que eleve a la información, como un bien jurídico y estratégico de la nación en todas sus actividades.

Si bien los países desarrollados han venido avanzando en el desarrollo y operación de planes para la ciberseguridad y ciberdefensa, es necesario que nuestra región inicie su camino en esta aventura, que implica necesariamente repensar el estado-nación en las consideraciones constitucionales de las naciones, para comprender que la defensa de nación no solamente cubre aire, mar, tierra, sino la red y sus confines, como una nueva frontera para proteger los derechos de los ciudadanos y de las nuevas generaciones que ahora viven en internet.

La privacidad: un derecho individual y corporativo

Finalmente y no menos importante, tenemos los temas de privacidad, protección de datos personales y la realidad del acceso a la información privada de los empleados en las empresas. Los retos jurídicos que esto implica, recaen en los avances jurisprudenciales de los países latinoamericanos donde el derecho de “habeas data”, se conjuga en primera persona (natural) frente al “conocer, actualizar y rectificar” que de igual forma tienen las personas jurídicas en los ordenamientos constitucionales latinoamericanos.

Si bien, podemos desarrollar contextos de acceso seguro, acordados y revisados con los titulares del dato, ellos jamás renuncian a su derecho constitucional de privacidad, que en cualquier momento podrán invocar, si ven vulnerados sus derechos frente a la información que sobre ellos, un tercero tiene acceso. No podemos ignorar, que frente a este debate del acceso o no a la información personal, existe la condición natural de los agentes de inteligencia de los gobiernos, los organismos de seguridad del estado y las solicitudes judiciales que autorizan a entes de policía judicial, como actores fundamentales que requieren, bajo el imperio de la ley, asegurar la información necesaria para actuar en derecho frente a las amenazas o retos de seguridad nacional.

Sin un consenso aparente en estas reflexiones, pronto Colombia tendrá una nueva ley de protección de datos personales que exigirá a cada una de las empresas desarrollar un manual de prácticas que muestre su compromiso y aseguramiento frente al acceso a los datos personales que manejen las organizaciones. Esto necesariamente deberá generar un esfuerzo colectivo de las empresas, que orientado por un nuevo desafío de cumplimiento, deben abordar la problemática de la protección de la información de manera general y, ahora en particular, para los datos de carácter personal.

Este tipo de iniciativas frente a la privacidad de la información no son nuevas en la región, sin embargo son generalmente inadvertidas por las áreas de tecnologías de información y seguridad de la información, dado el limitado monitoreo de los avances normativos en la materia que ejercen tanto el área jurídica como el área de tecnología. En este sentido, una relación más fluida entre las dos disciplinas y un trabajo interdisciplinario entre ellas, podrá generar nuevas y sostenibles ventajas competitivas frente a los retos empresariales donde la tecnología de la información es parte fundamental de la estrategia para desequilibrar los mercados.

Reflexiones finales

Así las cosas y aunque durante los días del evento se presentaron otros temas, igualmente relevantes para enriquecer el trabajo de los profesionales de seguridad y control, así como para los auditores de tecnología de información y altos ejecutivos empresariales, las reflexiones aquí representadas crearon en la audiencia memorias y enlaces frente a su realidad actual, para persuadir y motivar nuevas fronteras y retos corporativos y así, encontrar con cada uno de sus ejecutivos y profesionales, eso que deseamos y aquello que queremos ser: cruzar el umbral de la inercia corporativa y lanzarnos a escribir el futuro con letra imprenta y misteriosamente cursiva.

Peritos Informáticos. Testigos expertos frente a la inseguridad de la información

Introducción

Cada vez más escuchamos que se adelantan procesos jurídicos donde se solicitan elementos materiales probatorios informáticos como parte de los componentes requeridos para identificar lo que realmente ocurrió. En este contexto, al igual que en la realidad norteamericana se hace necesaria la participación del “computer expert witness” o lo que en nuestro ordenamiento jurídico denominamos “peritos informáticos” o "expertos en informática forense" según reza el artículo 236 del Código de procedimiento penal Colombiano, Ley 906 de 2004.

Siguiendo una serie de reflexiones publicadas por Bruce A. Olson (ver referencias), experimentado abogado y especialista en computación forense, vamos a revisar algunas consideraciones claves que los “peritos informáticos” deben tener en cuenta para participar de manera adecuada en el desarrollo de audiencias y juicios donde se presenten materiales o componentes informáticos.

Un perito informático, de acuerdo con las reglas federales para manejo de la evidencia de USA, se define como “testigo calificado que por su conocimiento, habilidades, experiencia, entrenamiento o educación puede declarar o dar una opinión sobre una materia técnica, científica o especializada…”, el cual está allí para asistir al jurado y los participantes de la audiencia en el entendimiento de la evidencia y así establecer las claridades requeridas para tomar las decisiones respecto del caso en estudio.

En consecuencia con lo anterior, las reglas federales previamente mencionadas detallan las exigencias propias que deben considerarse en la opinión del perito informático, como son: “1. El testimonio deben estar basado en la suficiencia de hechos y datos, 2. El testimonio es producto de principios y métodos confiables y finalmente 3. El testigo ha aplicado los principios y métodos de manera confiable a los hechos de caso.” Por tanto, el perito informático califica como un profesional acreditado que utilizando el método científico es capaz de verificar o no hipótesis o cuestionamientos particulares siguiendo las exigencias de la disciplina científica; nunca para encontrar la verdad, que es algo que escapa al método en sí mismo. (*)

Acreditando al testigo experto en informática

En este sentido, parte del proceso que se surte en un proceso judicial es la acreditación de nuestro testigo experto, para lo cual Olson establece algunas características y condiciones básicas que permitan adelantar esta fase sin mayores dificultades. En primer lugar, al entregar su hoja de vida, asegure que todo lo que está allí es real y es susceptible de verificarse, pues su contraparte revisará cuidadosamente todas sus credenciales para evidenciar cualquier inconformidad o inconsistencia. Seguidamente, si cuenta con publicaciones efectuadas (las efectuadas en los últimos diez años), adjunte las mismas preferiblemente solicitándolas directamente al editor de la revista o cuerpo editorial de la publicación, de tal forma que pueda preparar un “dossier” claro y preciso que pueda ser revisado por un tercero.

De otro lado, entregue la información relacionada con sus títulos académicos y formación adicional que tenga; con las certificaciones indique la fuente de las mismas, la forma como se obtuvo, quien fue el patrocinador de la misma (si así ha sido) y la duración del entrenamiento. Así mismo, el detalle de su experiencia laboral, detallando la empresa, cargo desempeñado, logros particulares y motivos por los cuales se terminó el contrato con la empresa (si así ha sido). Recuerde, que todo esto será objeto de revisión, investigación y escrutinio por parte de la contraparte. Por tanto, prepárese para enfrentar cualquier cuestionamiento sobre algún inconveniente que haya tenido en su pasada vida laboral, pues deberá responder frente a la audiencia por los mismos, si hubiere lugar.

Finalmente si hubiese participado en otros casos semejantes, tenga en cuenta en cuales, el número del proceso y los expedientes concretos para mantener la trazabilidad de sus participaciones y testimonios, los cuales igualmente serán revisados por terceros.

Presentando los hechos analizados

Una vez se encuentra acreditado el “computer expert witness”, se debe asegurar una estrategia metodológica para presentar su informe científico sobre los hechos revisados, de tal forma, que siga las exigencias propias del testimonio de los expertos (ver (*)). En esta línea, Olson sugiere que el perito informático desarrolle su presentación con los siguientes elementos:

1. Inicialmente basado en su formación académica y entrenamientos, establezca los elementos conceptuales sobre los cuales se basa su reporte.

2. Presente los hechos fundamentales que fueron objeto de sus análisis.

3. Detalle y describa los procedimientos aplicados, técnicas de verificación y herramientas tecnológicas utilizadas.

4. Detalle el proceso de verificación de la toma de los datos informáticos y las condiciones en las cuales se adelantó dicho proceso.

5. Presente el análisis de los datos recolectados frente a los hechos de la investigación.

6. Entregue las conclusiones relacionadas con los hechos investigados.

Es importante que el perito tenga en cuenta que podrá ser controvertido por su contraparte, para comprometer la credibilidad de su informe y las opiniones que allí se encuentran establecidas. Por tanto, usted deberá sujetarse a los hechos y mantener la tranquilidad que la da la aplicación sistemática y científica de sus métodos, los cuales podrán ser revisados por cualquier persona y llegar a conclusiones equivalentes.

Al igual que en Colombia, en Norteamérica es claro que la participación de un especialista en temas de tecnología en un proceso jurídico, puede darse de dos formas: experto consultado o testigo experto. En el primer caso, es un llamado que le hace la corte al profesional para que ilustre a la audiencia sobre conceptos o claridades técnicas requeridas, que particularmente en el caso de USA, no es necesario que se conozca la identidad del mismo. En el segundo caso, el testigo experto hace parte del caso, sus informes son opiniones que se adjuntan al expediente y son susceptibles de verificación y controversia. En Colombia, el perito informático puede ser objeto de recusación (ver artículos 150, 151 y 152 de Código de Procedimiento Civil – disponible en: http://www.secretariasenado.gov.co/senado/basedoc/codigo/codigo_procedimiento_civil_pr005.html ), lo que implica que este profesional se encuentra expuesto durante el proceso, por lo cual se hace necesario contar con seguros de actuación profesional, que protejan a estos auxiliares de la justicia frente a imponderables que puedan afectar sus actividades relacionadas con sus testimonios basados en elementos materiales probatorios informáticos.

El informe pericial

Las reglas federales para el manejo de la evidencia norteamericana establece el contenido mínimo del informe que deben entregar los “computer expert witness”:

1. Una declaración completa sobre las bases y razones que expresadas por el testigo.

2. Los hechos y los datos considerados por el testigo para formarse su opinión.

3. Cualquier documento que haya utilizado para resumir o apoyar su opinión.

4. Las calificaciones académicas del testigo, incluyendo la lista de todas las publicaciones de su autoría en los últimos 10 años.

5. Una lista de los casos en que haya participado y declarado en calidad de experto en juicio.

6. Una declaración del pago efectuado por el análisis realizado y el testimonio en el caso.

Como podemos ver en la justicia norteamericana se exige que este profesional exponga de manera transparente sus conclusiones frente a los hechos, indicando todos los elementos colaterales alrededor de su contratación (si fuese el caso), así como la experiencia que este pudiese tener en casos anteriores. En Colombia, el informe pericial no tiene una estructura establecida por ley, sin embargo, se sugiere considere entre otros elementos los siguientes: (CANO 2009, pág.174-175)

1. Encabezado que identifique de manera clara y concreta, la solicitud efectuada, los participantes, código de identificación del caso, clasificación de la información y nombre de los investigadores.

2. Introducción donde se describa la conducta o hechos que se investigan, los alcances de la pericia y el objetivo mismo de los análisis realizados.

3. Validación y verificación de la cadena de custodia donde se especifica qué se recibe, de quién, en qué fecha, los objetos y sus características, marcas y seriales, peritos que reciben, identificador del caso, entre otros aspectos.

4. Procedimientos de preparación y adecuación de la evidencia recibida donde se detalle el proceso forense, la preparación de los medios, las herramientas utilizadas, la verificaciones del caso y los detalles de los análisis a realizar.

5. Análisis de la evidencia que muestre la ejecución de las herramientas utilizadas sobre las copias autenticadas de las evidencias recolectadas.

6. Hallazgos o hechos identificados como resultado de la aplicación de las herramientas tecnológicas que hablan generalmente de archivos, sitios en los medios, información recuperada, entre otros aspectos.

7. Conclusiones sobre los hechos investigados, sin juicios de valor, basados en los hechos y datos recolectados con las herramientas informáticas establecidas.

8. Firma de los analistas o peritos como forma de refrendar sus hallazgos y procedimientos aplicados sobre el material probatorio entregado.

Como podemos observar, cada una de las vistas establece elementos complementarios que invitan a los lectores a relacionar lo mejor de cada práctica y establecer sus propios formatos que permitan hacer mucho más formal y menos controvertible sus informes periciales frente la exigente crítica de su contraparte.

Declarando en la audiencia

La presentación del informe o declaración del testigo informático experto, es darle la oportunidad a los abogados para hacer todas las preguntas que él o ella quiera, claro está sujeto a las normas del procedimiento establecido, para que el perito responda en consecuencia. Recuerde que no es la oportunidad para decir todo lo que usted sabe del caso, sino la forma puntual y particular en la cual le dará respuesta a las preguntas que se le formulen y la forma en que será interrogado.

En razón con lo anterior, todas las respuestas que el perito detalle y comente serán parte del registro de la audiencia y no habrá momentos previstos para dejar declaraciones “fuera de los registros” de la corte. Esto significa, que todo lo que se mencione durante su intervención tendrá valorado dentro del proceso mismo y será sujeto de contrainterrogatorio si así se decide por alguna de las partes.

En Colombia existen algunas condiciones para interrogar y contrainterrogar al perito, las cuales conviene conocer para estar preparados frente a las condiciones y características que exhiba la contraparte frente a las declaraciones de este profesional:

Ley 906 de 204 Código de Procedimiento Penal (Disponible en: http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=14787)

Artículo 417. Instrucciones para interrogar al perito. El perito deberá ser interrogado en relación con los siguientes aspectos:

1. Sobre los antecedentes que acrediten su conocimiento teórico sobre la ciencia, técnica o arte en que es experto.

2. Sobre los antecedentes que acrediten su conocimiento en el uso de instrumentos o medios en los cuales es experto.

3. Sobre los antecedentes que acrediten su conocimiento práctico en la ciencia, técnica, arte, oficio o afición aplicables.

4. Sobre los principios científicos, técnicos o artísticos en los que fundamenta sus verificaciones o análisis y grado de aceptación.

5. Sobre los métodos empleados en las investigaciones y análisis relativos al caso.

6. Sobre si en sus exámenes o verificaciones utilizó técnicas de orientación, de probabilidad o de certeza.

7. La corroboración o ratificación de la opinión pericial por otros expertos que declaran también en el mismo juicio, y

8. Sobre temas similares a los anteriores.

El perito responderá de forma clara y precisa las preguntas que le formulen las partes.

El perito tiene, en todo caso, derecho de consultar documentos, notas escritas y publicaciones con la finalidad de fundamentar y aclarar su respuesta.

Artículo 418. Instrucciones para contrainterrogar al perito. El contrainterrogatorio del perito se cumplirá observando las siguientes instrucciones:

1. La finalidad del contrainterrogatorio es refutar, en todo o en parte, lo que el perito ha informado.

2. En el contrainterrogatorio se podrá utilizar cualquier argumento sustentado en principios, técnicas, métodos o recursos acreditados en divulgaciones técnico científicas calificadas, referentes a la materia de controversia.

Reflexiones finales y conclusiones

Finalmente el testigo experto informático deberá prepararse no solamente desde el punto de vista técnico frente a su reporte y los cuestionamientos de su contraparte, sino desde el punto de vista psicológico y emocional de tal forma que pueda mantener una posición tranquila y sana frente a las estrategias que el abogado de la defensa o la fiscalía, emprendan para desacreditarlo o desestabilizarlo y debilitar los resultados del informe presentado.

Como hemos podido revisar y advertir, convertirse en un testigo experto en informática o perito informático y someterse el exigente ejercicio de ser un efectivo auxiliar de la justicia en temas de alta tecnología, no solamente requiere el conocimiento técnico propio de la formación académica y la experiencia aplicada del mismo, sino de un estudio profundo del sistema de administración de justicia, su bondades y limitaciones, que le permitan a este profesional, conocedor de los procedimientos y técnicas científicas para el aseguramiento de las pruebas documentales informáticas, entregar los resultados de sus análisis frente a los hechos investigados, para que la verdad procesal brille basada en los hechos y los datos.

Referencias

Artículos de Brian Olson - http://www.dfinews.com/authors/4833

CANO, J. (2009) Computación Forense. Descubriendo los rastros informáticos. Ed. AlfaOmega.

Ley 906 de 204 Código de Procedimiento Penal - Disponible en: http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=14787