domingo, 9 de diciembre de 2018

Las gemas del infinito y los principios de tratamiento de datos personales


He releído "Thanos Quest" y el "Guantelete del Infinito" de Jim Starlin esta mañana.

Después se me ha ocurrido repasar quién tiene las gemas del infinito en las películas y compararlo con quién las tiene en el cómic.
Así me sirve para la revisión de películas de Marvel que me hago en las fiestas del solsticio de invierno para olvidarme de que es navidad.

Luego me ha venido esta idea a la cabeza de que las gemas del infinito se corresponden con los principios de tratamiento de datos de carácter personal y al final de la tabla explico el motivo.

La tabla podría ser un spoiler. No menciono nada del argumento de las películas ni del cómic. Pero sí que digo dónde están las gemas hasta que Thanos las consigue y en qué películas salen.
En los cómics, la ubicación de las gemas se explica en "Thanos Quest", incluida la utilidad de cada gema.


Gema del tiempo: Permite alcanzar el pasado primordial y contemplar el más distante futuro.


En las películasEn el cómic
Ubicación: En el Ojo de Agamotto del gran Hechicero Supremo que es el Doctor Strange.
                       
Color: Verde     

Películas en las que aparece:
Doctor Strange (2016)
Infinity War (2018)
Vengadores: Endgame (2019)                                                      
Ubicación: El Jardinero
Un arcano preocupado por la belleza floral que acelera sus ciclos de crecimiento gracias a la gema.

Color: Roja







Gema del espacio: Con ella la distancia es un concepto intelectual. Se puede estar donde se quiera.


En las películasEn el cómic
Ubicación: Primero la tiene Cráneo Rojo y
termina custodiada en Asgard.

Color: Azul

Películas en las que aparece:
Capitán América Primer Vengador (2011)
Los Vengadores (2012)
Thor. El Mundo Oscuro (2013)
Thor Ragnarok (2017)
Infinity War (2018)
Vengadores: Endgame (2019)                                    
Ubicación:  El Corredor.

Color: Morado


                                                                             






Gema de la mente: Ningún pensamiento es secreto. Cada mente está abierta a examen. Se pueden alcanzar y sentir los sueños y esperanzas de cada ser del universo.

En las películasEn el cómic
Ubicación: en el cetro de Loki. Una vez recuperada, en la frente de Visión.

Color: Amarillo

Películas en las que aparece:
Los Vengadores (2012)
Capitán América. El soldado de invierno. (2014)
Los Vengadores. La era de Ultrón (2015)
Infinity War (2018)
Vengadores: Endgame (2019)
Ubicación: El Gran Maestro

Color: Azul



                                                                       


Gema del poder: Extrae la energía de los límites del infinito. Es el pegamento que apoya el poderío de las otras gemas.

En las películasEn el cómic
Ubicación: Xandar, protegida por el Cuerpo Nova

Color: Morado

Películas en las que aparece:
Guardianes de la Galaxia (2014)
Infinity War (2018)
Vengadores: Endgame (2019)                                                                                                                                                                                          
Ubicación: El Campeón, en el planeta Tamarata.

Color: Rosa. O morado. Suele ser mi sobrina de 6 años la que me aclara la diferencia. 





Gema del alma: Es un instrumento de manipulación. Se pueden retorcer las almas de los enemigos a su merced, por ejemplo, para convertir una raza de seres pacíficos e inteligentes en caníbales.

En las películasEn el cómic
Ubicación: Planeta Vormir.               
Custodiada por Cráneo Rojo.

Color: Naranja.

Películas en que aparece:
Infinity War (2018) 
Vengadores: Endgame (2019) 
                                               
Ubicación:  El Intermediario
Prisionero de los señores del Caos y el Orden.

Color: Verde




Gema de la realidad: Las leyes de la física pierden su significado y pueden ser alteradas.


En las películasEn el cómic
Ubicación: en el éter haciendo poderoso al maloso elfo oscuro Malekith

(Offtopic: los elfos oscuros, por lo general, son malosos, pero la grandeza y bondad de Dritz Do'urden de los Reinos Olvidados compensa a todos los demás elfos oscuros). 

Y luego en Sapiencial, en la colección de El Coleccionista.

Color: Rojo

Películas en las que aparece:
Thor. El mundo Oscuro (2013)
Infinity War (2018)
Vengadores: Endgame (2019) 

Ubicación: en posesión de El Corredor.                                                                   
Color: Amarillo                                                                                                                                                                                                                                               











      


Entonces, si hacemos la frikada de relacionar cada gema del infinitivo con un principio de tratamiento de datos, la correlación sería la siguiente:

El principio de licitud, lealtad y transparencia es la gema del poder:

Cuando se le facilita al titular del dato información legal y transparente, se garantizar su poder de controlar sobre sus datos. Además Thanos diría que es "adhesivo" que permite controlar las otras gemas o, en este caso, un correcto tratamiento de los datos.

El principio de limitación de la finalidad con la gema la mente:

Cada tratamiento de los datos tiene que estar sujeto a examen para garantizar que se tratan con fines determinados y explícitos, igual que está sujeto a examen cada pensamiento de la mente con esta gema.

El principio de  minimización de datos con la gema del espacio 
En esta meto el mapeo un poco forzado, no voy a mentir, vendría a ser que, si el principio implica recoger estrictamente los dato necesarios para la finalidad del tratamiento, cuanto menos datos se traten, menos espacio ocupan. Ya he dicho que iba forzado.

El principio de exactitud con la gema de la realidad. 
Este es más fácil, si el principio implica que los datos tienen que ser exacto y no ser alterados, la gema de la realidad implica que tienen que ser reales.

El principio de limitación del plazo de conservación con la gema del tiempo
Si los datos sólo pueden ser conservados durante el tiempo necesario para su finalidad de tratamiento, esto es por un tiempo determinado. Encaja literal con la gema.

El principio de integridad y confidencialidad con la gema del alma
La gema del alma es un instrumento de manipulación, si en este principio estamos hablando de evitar que los datos permanezcan íntegros y que no puedan ser manipulados, también encaja de lleno (pero a la inversa :))



sábado, 20 de enero de 2018

El viaje del héroe en la gestión de riesgos


El concepto de "El viaje del héroe" fue definido por Joseph Campbell a quien le dio por estudiar mucha mitología durante toda su vida y descubrió un patrón, una serie de principios, que gobiernan la narración de las historias e incluso la conducta de la vida. Según Christopher Vogler en su libro "El viaje del escritor", basado en los estudios de Campbell sobre El Viaje del Héroe:
"resulta difícil eludir la sensación de que, en efecto, el viaje del héroe existe en alguna parte, existe de algún modo como una realidad eterna...".
La cuestión con este Viaje del Héroe, con esta estructura eterna, es que cualquier historia, cualquiera, tiene un hilo narrativo basado en una serie de etapas que son las que marco en negrita en el siguiente párrafo:


Los héroes se nos presentan en el mundo ordinario, donde reciben la llamada a la aventura. Y aunque inicialmente se muestra reticentes y rechazan la llamada, sin embargo, un mentor, los anima a cruzar el primer umbral. Ahí encontrarán pruebas, aliados y enemigos. Para posteriormente aproximarse a la caverna más profunda, atravesando un segundo umbral, donde empezará su odisea o calvario. Y se apoderarán de su recompensa para ser perseguidos en el camino de regreso al mundo ordinario. Al cruzar el tercer umbral, experimentarán una resurrección, vivencia que les transforma, y retornarán con el elixir, una bendición o un tesoro del que se beneficiará el mundo ordinario.

Para verlo en ejemplo práctico, si tomamos La Guerra de las Galaxias (Episodio IV) nos encontramos a nuestro héroe, Luke Skywalker, en el mundo ordinario siendo un granjero en un planeta perdido de la mano de dios. Y recibe la llamada a la aventura a través de un mensaje de la princesa Leia oculto en R2-D2. Pero rechaza la llamada porque debe quedarse ayudando a sus tíos en la granja. Y entonces aparece el mentor que es Obi  Wan para darle a Luke la espada láser que perteneció a su padre. Y finalmente atraviesa el primer umbral, empujado por la muerte de sus tíos, cuando los soldados del imperio queman su granja. En la cantina conoce a enemigos y a aliados que le acompañarán en el viaje, como Han Solo. Y a partir de la cantina comienzan las pruebas de Luke para ser un Jedi. El héroe se aproxima a la caverna más profunda, en este caso Luke y sus aliados se ven en la Estrella de la Muerte donde van a tener que rescatar a la princesa Leia. Y entonces sucede la odisea o calvario, ese duro momento cuando Luke, Leia y demás compañeros se encuentran atrapados en el triturador y no sabemos si saldrán vivos de ahí y tampoco si Luke morirá ahogado al ser atrapado por el monstruo en el agua. Una vez que el héroe sobrevive al calvario puede hacerse con la recompensa, en este caso, los planos de la Estrella de la Muerte, que pueden permitir encontrar el punto flaco de la nave para reventarla. Y ya, casi al final de nuestra historia en la que - como diría gritando una abuela vecina mía cuando la llaman a cenar ("espera hija que está ya en la cumbre la película") - nos situamos en el camino de regreso, cuando a Luke y Leia les toca huir de un Darth Vader muy cabreado que les persigue. Y de ahí a la batalla final que, tras ser ganada por el héroe, experimenta la resurrección. Para poder retornar con el elixir que es su aportación para restablecer el equilibrio en la galaxia. Cualquier novela, película, cómic, historia, tiene una estructura similar. No tiene que ser en orden secuencial, no tiene que ser una etapa detrás de otra, algunas pueden darse en paralelo. Algunas pueden ser tan breves o sutiles que parece que no están. Pero desde que integré en mi estructura mental que cualquier historia tiene estas etapas, soy capaz de vez el hilo secuencial en cualquier historia. Incluso en una Tesis Doctoral sobre "Modelos de elementos finitos explícitos para explosiones en estructuras reticuladas de hormigón armado con aplicaciones al estudio del colapso en edificios". En esta tesis está el camino del héroe. En más de un sentido. Y hoy me ha vuelto a pasar. Me hallaba esta tarde empollando la metodología de gestión de riesgos de privacidad publicada por el CNIL y de repente me he dado cuenta "¡es el viaje del héroe!".  Yo lo veo claro:
Resulta que un riesgo es un hipotético escenario que describe el modo en que las fuentes de riesgo pueden explotar una o varias vulnerabilidades en los activos de apoyo que contienen los datos personales. Y eso en un contexto de amenazas  que permite que ocurra un evento temido sobre datos personales, lo cual genera impactos en la privacidad de los datos de las personas físicas. Ahí están las etapas del viaje del héroe:
  • Tenemos a nuestro héroe: el dato de carácter personal
  • Que está en su mundo ordinario: bajo el control de su titular que no divulga el dato a cualquiera.
  • Y es llamado a la aventura: por ejemplo, una empresa desarrolladora y propietaria de una aplicación informática que le puede decir al titular del dato si tiene gases. (podría llegar a pasar. ¿Por qué no?)
  • Pero rechaza la aventura: el dato que no se siente seguro en manos de un tercero, siendo además información sensible como el de flatulencias de su titular.
  • Y aparece el mentor: el clausulado de información y consentimiento de la aplicación es muy largo, tiene muchas palabras legales. Sí. Parece serio y dice que velan por la seguridad. Y de esta manera el dato cruza el primer umbral y decide ponerse en manos de la empresa
  • Y así conoce a los aliados, los activos de apoyo en los que va a quedar bien almacenado que, en este caso, es el servidor de la empresa. Y conoce a los enemigos: las vulnerabilidades que pueden explotar los activos de apoyo a través de un parche desactualizado del sistema operativo que permite un inyección de código malicioso.
  • Y nuestro héroe se aproxima a la caverna más profunda cuando es ubicado, por error, en una base de datos a la que tiene acceso todo el personal de la empresa. Y justo en ese momento, aparece una fuente de riesgo, un trabajador muy cabreado con la empresa que ha discutido con su superior y quiere irse a la competencia. Y se da cuenta de que tiene acceso a esos datos compartidos con él por error y se empieza a fraguar en su cabeza la idea que puede venderlos si los extrae de la base de datos. Y ahí llegamos a la odisea o calvario de nuestro héroe, cuando se produce un evento temido que es el acceso ilegítimo al dato personal, es decir, el acceso ilegítimo a nuestro héroe por parte del trabajador cabreado.
  • Y entonces, en una revisión periódica programada por la empresa para los casos en que se producen cambios significativos en los sistemas de información, justo en el camino de regreso de nuestro héroe, cuando el trabajador cabreado se dispone ya a secuestrarle al día siguiente, la persona responsable de seguridad se da cuenta de que los permisos de la base de datos están mal otorgados y establece una medida de control, lo cual evita que se produzca un impacto en la organización con el robo del dato: nuestro héroe. Quien sobrevive a su secuestro por parte del trabajador cabreado. Y así nuestro héroe se hace con la recompensa que es el haber sobrevivido a un contexto de amenazas que hubieran provocado un serio impacto en nuestro héroe que hubiera percibido una clara invasión en su sensación de privacidad.  Y todo gracias a una revisión periódica programada.
  • Y así, tras librarse por los pelos de ver expuesta su privacidad, nuestro héroe experimenta la resurrección y vuelve con el elixir que es sentirse seguro en manos de la empresa propietaria de la aplicación y la gestión del riesgo residual.
Es El Viaje del Héroe. Yo lo veo claro

lunes, 8 de enero de 2018

Metodologías para gestión de riesgos en materia de protección de datos en trajes de super héroes


Esta es una versión alternativa de un post menos friki que he publicado hoy en Linkedin. Lo que añado aquí en azul son las aclaraciones fundamentales para que se entienda en el contexto de este blog :)
La aplicación del RGPD y el concepto de la privacidad por defecto y desde el diseño nos va a meter de lleno en la aplicación de metodologías de análisis de riesgo que no nos pillará de nuevas a aquellos que venimos aplicando desde hace tiempo normas estándares de seguridad que vienen de la línea de las 27K.
Cuando Cisco tiene que hacer un traje para The Flash sabiendo que va a enfrentarse a metahumanos que tienen poderes desconocidos, por defecto y desde el diseño, introduce toda una serie de funcionalidades al traje para evitar riesgos que pueda sufrir The Flash al enfrentarse a los malos. Para ello ha aplicado una análisis de posibles maldades que le pueden hacer los malos.

¿Qué es un análisis de riesgos? Es un proceso sistemático que nos permite identificar los riesgos a los que está expuesta, por ejemplo, una organización. En definitiva, en líneas generales, un análisis de riesgo implica:

  • Definir un alcance, es decir, el ámbito sobre el cual se va a llevar a cabo el análisis de riesgos.
  • Identificar los activos que quedan incluidos dentro de dicho alcance.
  • Identificar las amenazas que afectan a dichos activos.
  • Identificar vulnerabilidades
  • Identificar salvaguardas
  • Evaluar el riesgo
  • Tratar el riesgo.
El INCIBE publicó un post en el que resumía éstos pasos aplicados al ámbito de la seguridad de la información que pueden servir como punto de partida para tener un contexto de ejemplo. Puede consultarse aquí.
Por ejemplo, si el alcance del análisis es "tipos de malos a los que puede enfrentarse Ironman teniendo en cuenta las capacidades de su traje". El activo incluido en el alcance es: el propio Tony Stark, es decir, su supervivencia a la hora de enfrentarse a un villano. 
Las amenazas posibles: ataque por visión láser; ataque por lanzamiento de meteorito; ataque por objeto contundente. 
Las vulnerabilidades posibles pueden ser: resaca por ingesta de alcohol de Tony Stark, Tony Stark está descentrado porque Pepper Post no le entiende; Tony Stark tiene un mal día porque le han pinchado las ruedas del coche. 
Las salvaguardas posibles pueden ser: Jarvis tiene todos los parches de seguridad actualizados; Jarvis tiene a punto el piloto automático; Jarvis tiene los mapas del GPS actualizados; Jarvis se encarga de mandar flores a Pepper. 
A la hora de evaluar el riesgo ya contamos con los elementos anteriores para poder evaluar la probabilidad y el impacto, por ejemplo:
  • La amenaza de que Iron Man sea atacado con un objeto contundente se materializa 3 veces al mes.
  • El impacto, es decir, el daño derivado de la materialización de la amenaza implica un gasto en reparaciones del traje de Iron Man que tiene consecuencias leves porque Tony Stark es multimillonario.
  • Calculamos el riesgo con las variables de la probalidad y el impacto.
Y a partir de ahí tratamos el riesgo que implica, por ejemplo, añadir funcionalidades nuevas al traje de Iron Man para que el objeto contundente no destroce el traje.

Si nos llevamos el análisis de riesgos al ámbito de la protección de datos el alcance aplica a la identificación de riesgos, en las operaciones de tratamiento de datos personales que se van a llevar a cabo por parte de una organización. ¿Fácil no? :D

¿Qué es un análisis de evaluación de impacto en materia de protección de datos?
Está precisamente relacionado con la realización de un análisis de riesgos. La Agencia Española de Protección publicó en el año 2014 una “Guía para la evaluación de impacto en la protección de datos personales” en la que establece: "Y entre las herramientas más útiles para avanzar en la privacidad desde el diseño se encuentran las Evaluaciones de Impacto en la Privacidad o en la Protección de Datos, más conocidas como PIAs, por sus siglas en inglés (Privacy Impact Assessments), que se han desarrollado fundamentalmente en países anglosajones, donde ya existen metodologías consolidadas para su realización. Una PIA o una Evaluación de Impacto en la Protección de los Datos Personales (EIPD) es, en esencia, un ejercicio de análisis de los riesgos que un determinado sistema de información, producto o servicio puede entrañar para el derecho fundamental a la protección de datos de los afectados y, tras ese análisis, afrontar la gestión eficaz de los riesgos identificados mediante la adopción de las medidas necesarias para eliminarlos o mitigarlos."
Por ejemplo, si detectamos que el riesgo de que Jean Grey siga siendo un miembro de la patrulla X es muy peligroso porque es muy posible que se le vaya la pinza y, por tanto, implica un alto riesgo para el resto de sus compañeros, tendríamos que hacer un análisis de evaluación de impacto para establecer qué medidas de seguridad son necesarias para que Jean Grey pueda seguir siendo parte del grupo, o bien, determinar que no puede seguir siendo miembro de la Patrulla X

Lo que también añade la Guía de la Agencia es que: "no es ni puede ser el objetivo de esta Guía el proporcionar criterios ni metodologías para definir cuantitativamente los niveles de riesgo de cada una de las situaciones descritas y de cualesquiera otras que pudieran aparecer como fuentes de riesgo para la privacidad al realizar una EIPD. Estas valoraciones han de ser llevadas a cabo en función del producto o servicio de que se trate, de las circunstancias de tratamiento de los datos, de los destinatarios de los mismos, de las tecnologías utilizadas, etc."
Esto quiere decir que Cisco no puede saber de entrada todas las contramedidas que puede poner en el traje de The Flash. Sólo cuando sabe a qué metahumano va a enfrentarse puede poner las medidas en el traje.

¡Andá! ¿Y entonces? ¿Se puede entender que las actuales medidas que establece el Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos y las clasificación en niveles de medidas de seguridad básico, medio y alto es una metodología de análisis de riesgos aplicable para la protección de datos de carácter personal? ¡No! las medidas del RDLOPD no son una metodología. Lo que viene al recoger el RDLOPD es la enumeración de medidas, pero no especifica el enfoque basado en el riesgo que está recogido en el RGPD. Esta pregunta se la han hecho también directamente a la Agencia Española de Protección de Datos en la 9ª sesión anual abierta. Ante la pregunta: ¿Puede considerarse el Título VIII del RLOPD como metodología de análisis de riesgo? La respuesta de la Agencia fue: "Si lo que se plantea es si la división en tres niveles de seguridad efectuada por el artículo 81 del RLOPD es suficiente para valorar el riesgo la respuesta debe ser negativa. Este “enfoque” únicamente atiende a la tipología del responsable o de los datos tratados, pero no atiende a los riegos concretos que pueden afectar a los derechos de las personas ni tiene en cuenta (salvo alguna excepción, como la referida a los datos especialmente protegidos) los riesgos potenciales a los que se refiere el RGPD Luego, efectivamente, las medidas del RDLOPD no son una metodología de análisis de riesgo para analizar el impacto en materia de privacidad.
Es decir, que aunque Cisco tenga una imaginación desbordante en la que pueda imaginarse todas los posibles metahumanos a los que va a enfretarse The Flash, no puede saber a qué riesgos concretos se va a enfrentar hasta que aparece el malo de turno en el capítulo para poder meterle los juguetes al traje.

La Agencia de Protección de Datos, en la guía comentada menciona algunas metodologías cuya aplicación puede ser posible: "Por su relevancia y adaptación al caso específico de la privacidad, se puede hacer mención a la publicación Methodology for Privacy Risk Management de la Commission Nationale de l’Informatique et des Libertés (CNIL); a MAGERIT (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información), he- rramienta creada por el Consejo Superior de Administración Electrónica para asistir a los distintos organismos públicos en este ámbito pero que es perfectamente utilizable también por el sector privado; Risk IT (ISACA) o ISO 27005" En principio, según uno de los post relacionados con el análisis de riesgos publicados por la Agencia Española de Protección de datos: "En este sentido, la Agencia está ultimando una Guía de análisis de riesgo que se publicará en breve junto a un catálogo de cumplimiento normativo.” En cualquier caso, la herramienta Pilar basada en la metodología Magerit ya incluye un módulo específico para el RGPD desde el pasado 12 de diciembre. Y quien sí se ha puesto mucho las pilas desde hace muchos años para facilitar el análisis de riesgos y ahora aplicado a la privacidad es el CNIL, el equivalente a la Agencia de Protección de Datos en Francia. En este caso la metodología de análisis de riesgos está basada en EBIOS. Además han liberado una aplicación bajo licencia GPL 3 (mola mucho el CNIL ;)) para la elaboración de análisis de evaluación de impacto por si tenéis curiosidad.