1st Security Blogger Summit

Mañana en Madrid se organiza el 1st Security Blogger Summit, el primer encuentro internacional sobre Seguridad Informática que se celebrará en España. Allí se llevará a cabo una mesa redonda que agrupará a los líderes del sector de la seguridad en Internet. En ella participarán importantes especialistas internacionales en seguridad como: Bruce Schneier, gurú y nº1 mundial sobre temas de Seguridad, Steve Ragan responsable de la sección de Seguridad en The Tech Herald, Andy Willingham, Profesional IT del Sector Financiero y autor del blog Andy IT Guy y Byron Acohido, periodista tecnológico de USA Today. Además, también estarán presentes en esta mesa redonda prestigiosos profesionales españoles como Josu Franco (moderador), Corporate Customer Unit Director de Panda Security, Ero Carrera (Chief Research Officer de Collaborative Security en VirusTotal - Hispasec), Antonio Ortiz co-fundador de Weblogs SL y redactor de ERROR500 y Javier Villacañas, Redactor Jefe de la Cadena COPE y fundador de “ A Todo Chip” un blog en el que ofrece a diario, desde febrero de 2007, noticias sobre la actualidad tecnológica.

Para aquellos que estéis interesados y podáis asistir, la inscripción se realiza aquí.

I'd like Windows 7 y la nuevas opciones de seguridad.

He podido descargar e instalar la versión Beta de Windows 7 y las primeras impresiones son muy buenas. Teniendo en cuenta donde lo tengo funcionando, que es un pequeño ultraportatil con un giga de ram sobre una partición de 14 GB, este sistema operativo si hace Wow!. La interfaz gráfica es rápida, la gestión de ventanas tiene novedades y el consumo de recursos muy razonable. Todavía no he podido darle mucha caña pero la primera experiencia convence.

Además, lo puedo comparar con mi añorado Windows XP SP3 que está también instalado en este equipo y creo que por primera vez, ya hay una seria amenaza que puede hacer retirar XP del mercado. Además, en este ultra pórtatil venía con Suse Linux y no aguanté ni una semana con él. No quiero excusarme pero no soy un usuario de los que le gusta teclear mucho y menos de los que para acceder a ventanas en la interfaz gráfica tiene que esperar un tiempo que a estas alturas del mercado, se me hacía insufrible. A eso había que añadir cuelgues aleatorios que congelaban el equipo, imposibilidad de configurar partes del hardware, etc. Soy sólo un usuario normal, tengo conocimientos de Linux elementales pero esta distro no parece que sea para un perfil muy básico. Ubuntú parece algo más amigable aunque habría que comparar los rendimientos contra XP y Windows 7 para ver si realmente es o no competitivo.



Respecto a la seguridad, por lo poco que he podido revisar, tengo gratas noticias:
- El escudo de aviso de "riesgos para la seguridad" es configurable, con lo que ahora podemos decidir de qué queremos recibir notificación.
- El gestor de avisos UAC también es configurable y no como en vista, que tenías que habilitar o deshabilitar. Ahora hay cuatro opciones dependiendo de la severidad de los cambios que deseas monitorizar.
- El firewall ya es bidireccionar e imagino que stateful como el anterior. Ahora podemos establecer reglas por interfaz, por dominio de conexión, por programa, por puerto.
- El sistema operativo se hace también cargo ahora de las copias de seguridad y puede gestionarlas.
- Mejoras en el control parental.

Adjunto algunas capturas de pantalla:

Día Europeo de la Protección de Datos

Como estos últimos años, hoy es el Día Europeo de la Protección de Datos. Como conmemoración a este hecho, la Agencia Española de Protección de Datos ha elaborado una entrada en su Web con información muy básica sobre qué es eso de la "protección de datos" y cuales son nuestros derechos como ciudadanos. Hay un sencillo vídeo en flash aquí y mucha más información en AEPD: Día Europeo de la Protección de Datos.

También la gente de S2 Grupo ha elaborado un sencillo post con un par de puntos que todo el mundo debe conocer y que pueden ser consultados en Son "tus" datos. Recomiendo leer la entrada pero como resumen quedaría:

Los datos de carácter personal son, como indica su nombre, de la persona. Es decir, suyos, de ustedes. Usted, y sólo usted, es el propietario de sus datos personales; para bien o para mal, le pertenecen, y excepto en algunas cuestiones puntuales, tiene el derecho de decidir qué se hace con ellos. No lo olviden. Sus datos son suyos.

El cumplimiento de la LOPD por parte de una empresa busca a) garantizar el adecuado tratamiento de los datos personales custodiados, y b) asegurar el cumplimiento de la legislación aplicable, con objeto de evitar las posibles sanciones de la AEPD. Cualquier persona que gestiona datos de otras personas debe entender que tratar datos correctamente es más que una obligación legal; es su pequeña aportación al ejercicio de un derecho constitucional, su participación en la defensa de los derechos no sólo propios sino también de los de sus conciudadanos. Es, de alguna forma, la aplicación de ese lema que dice aquello de “No hagas a los demás lo que no quieres que te hagan a ti”.

Sobre este último punto, en su momento ya publiqué para la revista INFORMAS del Ilustre Colegio de Ingenieros en Informática de la Región de Murcia cual era mi opinión personal. De este artículo hace ya casi cuatro años pero la situación es similar o peor, dado que el nuevo R.D. 1720/2007 establece más medidas y más requisitos para los encargos de tratamiento que siguen sin ser conocidos, y obviamente por tanto, incumplidos.

También es interesante la aportación que ha realizado el Instituto Nacional de Tecnologías de la Comunicación (INTECO). En su misión de promover y difundir la cultura de la seguridad de la información y sensibilizar e informar sobre la protección de datos personales ha publicado la Guía para entidades locales: cómo adaptarse a la normativa sobre protección de datos, que ha sido elaborada por el Observatorio de la Seguriad de la Información de INTECO con la colaboración de la Federación Española de Municipios y Provincias y la Agencia Española de Protección de Datos.

Esta guía tiene como objetivo resolver dudas y ayudar a los profesionales de los Ayuntamientos, Diputaciones, Consells y Cabildos insulares en la implantación de la normativa y cumplimiento de las obligaciones derivadas de la Ley Orgánica de Protección de Datos (LOPD) y el nuevo Reglamento de Desarrollo (RDLOPD). Los gobiernos locales, como administraciones que manejan y tratan datos de carácter personal de los ciudadanos, están obligadas a asegurar a través de sus profesionales el derecho fundamental a la protección de sus datos personales reconocido por la Constitución Española. El documento puede descargarse aquí.

Guía sobre el control parental del Inteco

El Observatorio de Seguridad de la Información del INTECO acaba de publicar una guía sobre qué es y cómo se configura el control parental en los diferentes sistemas operativos.
En este blog ya he comentado en anteriores veces algunas aplicaciones interesantes para este propósito.
Sin embargo, esta guía, como explica la Web del Inteco, "ofrece a padres y tutores información necesaria para activar y configurar las herramientas de control parental de los sistemas operativos. Informa acerca de los extremos y parámetros a configurar para que los menores en su acceso a Internet no resulten afectados por ataques provenientes de terceros ni sometidos a contenidos no adecuados para los mismos."

Podéis descargarla en este enlace.

Aunque las recientes versiones de los sistemas operativos incluyen cada vez más funcionalidades al respecto, se requiere también este tipo de funcionalidades en los programas de mensajería instantanea que son a día de hoy, los servicios de más exito entre menores y por tanto, la primera linea de batalla donde debe trabajar el control parental. Para concienciarse, sólo hay que recordar el anuncio de la Red Europea INSAFE que puede verse en la dirección Safenet2.com.

Calculadora para valorar vulnerabilidades

Sergio Hernando ha publicado un extenso y excelente artículo sobre la importancia de la gestión de parches y la necesidad de hacer una valoración a medida sobre la relevancia de cada actualización, para no convertir a la seguridad en una amenaza.

La gestión de parches tiene por objetivo ponderar el riesgo que supone el sistema parcheado frente a los efectos colaterales o secundarios que puede tener la instalación de nuevo software en los sistemas en producción.
El texto de Sergio puede ser leido en Boletines de seguridad != gestión de seguridad.
Al respecto también quería dar a conocer un sistema de valoración de vulnerabilidades que es fruto del consenso de varias compañías y empresas preocupadas por normalizar un criterio de cualificación de las vulnerabilidades. Este sistema, conocido como Common Vulnerability Scoring System (CVSS) usa cuatro conceptos para dar una puntuación final sobre lo relevante que puede ser una vulnerabilidad.