¡Cuidado con los bancos sin cerraduras!

Se imagina usted que en su sucursal bancaria dejaran el dinero de los depositantes directamente en los mostradores, sin protección ni vigilancia?... ¿Que las puertas de la sucursal no tuvieran cerraduras, ni existieran sistemas de control para proteger aquello que tiene valor?

Mucho me temo que ese banco perdería su confianza y que usted cambiaría rápidamente a otro de la competencia. Claro que si esa práctica fuera común entre las entidades financieras, lo que nunca habría llegado a existir es un sector indispensable para la actividad económica.

Hoy existe un activo cuyo valor es equiparable y a veces muy superior a los fajos de dinero: la información.

De que la información correcta esté disponible en el lugar y momentos adecuados depende el que usted cobre su sueldo o pensión, su familia reciba el tratamiento médico adecuado, haya luz cuando usted pulsa el interruptor o que un criminal reciba su merecido castigo en lugar de estar acechando a sus hijos en la siguiente esquina. El que sus datos personales estén adecuadamente custodiados no sólo protege su derecho a la privacidad, sino que impide que los criminales puedan usarlos para hacerle daño.

Pero la información no se guarda en cajas fuertes, ni se transporta en furgones blindados, sino que se procesa en los llamados sistemas de información, y se transporta y accede a ella a través de las redes de comunicación. El hecho de que no veamos ni podamos tocar la información como si fueran billetes, ni tampoco las puertas, cámaras y guardas jurados que la vigilan, nos hace más difícil valorar si la organización que custodia nuestros datos merece nuestra confianza o deberíamos huir despavoridos llevándonos lo nuestro.

Por desgracia, esa misma dificultad que tenemos para comprobar de primera mano las medidas de seguridad de los sistemas informáticos puede hacer que distintas organizaciones, empresas o administraciones no dediquen a la seguridad de la información los medios necesarios, que siempre deben ser proporcionales al riesgo y al valor de aquello que se custodia. Como la seguridad tiene un coste, la actual situación de crisis económica puede empeorar la situación pues puede parecer más fácil recortar en lo que no se ve que en lo que enseguida detecta el cliente o ciudadano.

Al igual que en el caso del banco que no custodie adecuadamente el dinero de sus depositantes, todos aquellas entidades, públicas o privadas, que no apliquen las medidas de prudencia y seguridad razonables y proporcionadas al valor de la información que custodian y los servicios que dependen de ella, podrían ser acusadas al menos de negligencia y pedírseles responsabilidades por el daño causado.

El ordenamiento jurídico español se ha dotado de dos normas legislativas que inciden directamente en la seguridad de la información, y que los máximos responsables de organizaciones públicas o privadas deberían conocer, pues es a ellos a quienes se pide cuentas: la Ley Orgánica de Protección de Datos (LOPD) que afecta a todas la entidades por igual, y el Esquema Nacional de Seguridad (ENS) que afecta a todas las Administraciones públicas. El desconocimiento no exime ni de culpa ni de responsabilidad.

Hay que reconocer que las actuaciones relacionadas con la seguridad de la información, incluyendo la implantación de las medidas necesarias para cumplir con la legislación, no son tareas sencillas, y requieren personal especializado que no todas las organizaciones pueden tener en plantilla. Por ello los responsables de las entidades que manejan datos privados pueden verse en la necesidad de acudir a profesionales que les orienten y ayuden sobre la mejor manera de cumplir con la ley y con lo que es razonable para sus organizaciones.

El Instituto de Tecnologías de la Comunicación (INTECO) tiene como misión aportar valor e innovación a la sociedad a través del desarrollo de proyectos que contribuyan a reforzar la confianza en los servicios de la Sociedad de la Información en España. Por ello entre sus actividades está la de prestar servicios de consultoría en seguridad de la información a las administraciones públicas, lo cual realiza como medio propio que es de la Administración General del Estado.

Adicionalmente INTECO también promueve la mejora y expansión del sector privado empresarial de servicios relacionados con la seguridad de la información, para lo cual impulsó la creación de la Agrupación Empresarial Innovadora para la Seguridad de la Redes y los Sistemas de Información (AEI Seguridad), que agrupa a diversas empresas del ramo para innovar en servicios que puedan hacer frente a la velocidad con la que aparecen las necesidades y retos en las tecnologías de la información.

Pero, independientemente de quien esté disponible para dar soporte o ayuda, la responsabilidad sobre la seguridad de los datos y los sistemas que los soportan es de quienes los administran. Los ciudadanos debemos mostrarnos muy exigentes para que se cumplan las leyes y se tomen las medidas de seguridad adecuadas para proteger nuestra información. De no ser así, al final, el daño lo sufriremos nosotros.