Copias Windsor

¿Windsor o "El coloso en llamas?

Hace poco estaba haciendo una consultoría sobre un plan de contingencia y el cliente me habló de las copias Windsor, refiriéndose a las copias que se extraen de las oficinas con el fin de evitar desastres mayores del estilo de incendios, inundaciones, terremotos, etc. Me hizo gracia la denominación porque es muy descriptiva.

Hay estudios que dicen que un 70% de las empresas que han sufrido en sus sedes centrales desastres del estilo de lo ocurrido en el Windsor, acaban cerrando a los 3 años. Ya pasó antes en el ataque al World Trade Center de Nueva York. Yo incluso tengo un conocido que fue al paro porque su empresa tenía la sede central en el WTC y tras el desastre tuvieron que cerrar porque no consiguieron una recuperación completa de sus sistemas. Es por ello que dentro de un buen plan de contingencia es imprescindible que haya copias almacenadas en una ubicación física diferente a la de los servidores, habitualmente en las instalaciones de un proveedor especializado con medidas de seguridad física máximas. Las mejores empresas especializadas guardan las copias en una ubicación secreta, desconocida incluso para el cliente, con sistemas de protección resistentes a incendios, inundaciones e incluso ataques nucleares (aunque no sé quién querría recuperar sus copias después de un ataque nuclear...).

La cuestión es que, al extraer los datos al exterior de nuestras instalaciones, debemos asegurarnos contra la pérdida o robo del soporte que utilicemos. Si las copias extraídas contienen ficheros con datos de carácter personal, entonces la legislación es muy clara. En el Reglamento de medidas de seguridad de los ficheros que contengan datos de carácter personal (RD 994/1999) de la AEPD, se detalla explícitamente que el cifrado es obligatorio si los datos son de nivel alto (los relativos a salud, sexualidad, inclinación política y religiosa, etc.). Para los datos de nivel bajo (nombre, dirección, teléfono, etc.) no se requiere y para los de nivel medio (situación financiera, fiscal, etc.) se detalla que deben tomarse medidas para evitar la recuperación de información en un soporte que vaya a ser desechado y, en general, en cualquier soporte que vaya a salir de las instalaciones. Dado que si en un solo registro de un fichero hay un dato de nivel medio o alto, automáticamente todo el fichero pasa a ser de nivel medio o alto, es muy conveniente cifrar TODOS los ficheros con datos de carácter personal que vayan a salir de nuestras instalaciones, por si acaso. Evidentemente, aunque la ley no nos obligue a ello, es altamente recomendable cifrar CUALQUIER dato que salga de nuestras instalaciones, e incluso los que no vayan a salir pero sean susceptibles de robo o pérdida (discos USB o llaves USB con información).

Todos los paquetes de backup más conocidos incorporan la prestación de cifrar las copias de seguridad, sean en cinta (Symantec Backup Exec, CA Arcserve,..) o en disco (Symantec Backup Exec System Recovery, Acronis True image, …). Todos los fabricantes de llaves USB tienen modelos con software de cifrado incorporado. Imprescindible si llevamos información confidencial o datos de carácter personal en ellas.

De todos los algoritmos de cifrado simétrico (el que usa una sola clave para cifrar y descifrar, en contraposición al asimétrico que usa dos claves –la pública y la privada-) que no han sido comprometidos hasta el momento (IDEA, 3DES, AES, etc.), probablemente el recomendado para cifrar las copias de seguridad sea AES, por ser rápido y muy seguro. Usaremos una clave de 192 ó de 256 bits, dependiendo de nuestro nivel de paranoia, y santas pascuas.

Espiar o no espiar

Un buen amigo y colega me ha contado que le han planteado un "trabajillo" derivado de una situación harto común en la empresa desde el advenimiento de este maravilloso mundo de ocio que es Internet: espiar en el PC de un trabajador.

Escenario:

- Una empresa de un tamaño suficientemente grande como para que la gente no vaya muy "estresada" y no se note mucho si alguien está haciendo lo que hace un pez en el agua (nada).

- Un empleado que trabaja menos que un espía sordo.

- Un jefe con la mosca detrás de la oreja porque cree que el empleado se está columpiando en horas de trabajo y usando para ello el sagrado material informático que la empresa le ha puesto a su disposición para trabajar y ser productivo.

- Un informático atareado (mi amigo) al que el jefe le pide que, fuera de horas, espíe en el PC del empleado en busca de pruebas de su escaqueo (e-mail, historial de navegación, archivos descargados).

Hechos:

- La empresa está bien organizada, adaptada a la LOPD y, por tanto, tiene su documento de seguridad de la información y otros documentos sobre el uso de las herramientas informáticas, que han firmado todos los empleados, donde se especifica explícitamente que las herramientas informáticas son puestas por la empresa a disposición del empleado para el uso profesional, única y exclusivamente.

- El informático encuentra mogollón de visitas a páginas pornográficas y e-mails con chistes, fotos y en general todo tipo de pruebas que demuestran irrefutablemente que el empleado trabaja menos que el sastre de Tarzán.

- El jefe, cabreado, echa al empleado y pretende utilizar toda esa información para hacerlo con despido procedente, es decir, sin indemnización.

Pregunta:

- ¿Es viable la pretensión del jefe en la situación descrita?

Respuesta:

- En el Derecho tecnológico existe algo que se antepone a casi todo, y que es el Derecho a la intimidad del trabajador. A no ser que exista sospecha fundada de un delito (espionaje industrial, pedofilia, etc.), y sólo con una orden judicial bajo el brazo, se puede espiar el PC de un empleado. Por tanto, las pruebas obtenidas ilegalmente, como en este caso, más que ayudar al empresario a un despido procedente, pueden hacer que aún tenga que readmitir o incluso, indemnizar al empleado por irrumpir en su intimidad. Lo mismo pasaría con las escuchas telefónicas secretas.

- Es necesario que toda posible irrupción a la intimidad del empleado, como software que analice los e-mails para detectar SPAM, se haga de la manera menos invasiva posible y sin guardar registro del contenido de los mails (esto Google Apps se lo pasa por el forro porque lee los mails para insertar cuñas publicitarias, pero bueno, ellos están en los USA y sólo es para el servicio gratuito).

- Es muy conveniente que la empresa, al igual que la de nuestro ejemplo, tenga el Documento de Seguridad y una versión reducida del mismo que esté firmado por cada empleado advirtiéndole del uso que puede hacer de los sistemas informáticos y de las medidas de seguridad que se utilizan, como la mencionada en el anterior apartado. Esto puede actuar como disuasivo, pero, de todas formas, al final siempre privará el derecho a la intimidad.