aspectos legales para una administraciÓn … legales sob… · extremar las medidas de seguridad...

SUBSECRETARÍA DE LA GESTIÓN PÚBLICA DIRECCIÓN GENERAL LEGAL Y TÉCNICA

ASPECTOS LEGALES PARA UNA ADMINISTRACIÓN

SEGURA DE LA INFORMACIÓN

Dr. Gabriel Ángel Passarelli


INTRODUCCIÓN• Debido al desarrollo de las Tecnologías de la Información y Comunicaciones, la

forma en que los usuarios pueden acceder a la información alojada en

servidores es cada vez mas variada, planteándose así la necesidad de

extremar las medidas de seguridad en aspectos técnicos, administrativos y

legales, considerando a la información como un importante activo con el que

cuentan las Organizaciones para satisfacer sus objetivos. Por tal motivo, al

igual que el resto de los activos organizacionales, debe asegurarse su correcta

protección.

• Es decir que la información provista y las tecnologías que las soportan

representan inversiones valiosas para el Estado, por lo que la Administración

Pública debe prestar suma atención a las áreas de servicios informáticos,

siendo estos sectores claves a los fines del correcto ejercicio de las funciones

del Estado, a los efectos de procurar incrementar la productividad, funcionalidad

y finalidad del Estado, disminuyendo así el tiempo de acción, aumentando la

calidad del servicio con el menor costo y riesgo posible, contribuyendo de esta

manera con la transparencia de los actos de gobierno.


Contra que debe protegerse la información

• La protección de la información debe versar sobre una amplia gama

de amenazas, tanto por cuestiones de casos fortuitos derivados de

acontecimientos naturales (inundaciones, incendios, tormentas

eléctricas, etc.), por hechos del hombre realizados en forma

intencionada (fraude, espionaje, sabotaje, pillaje, etc.) e inclusive

por error u omisión en el manejo de la información (perder, eliminar,

destruir datos en forma involuntaria)

• Estas amenazas a las que se encuentra sometido el tratamiento de

la información deben ser conocidas por todos los responsables de

los sistemas de información y los usuarios en general, a efectos de

establecer controles que permitan minimizar o eliminar el riesgo

asociado a dichas amenazas.


CONTROLES DE SEGURIDAD

• Los controles de seguridad tienen por finalidad impedir el acceso

físico y lógico a los sistemas de información y sus recursos

relacionados con personas no autorizadas o intrusos, como así

también para reducir el riesgos de cambios o destrucción accidental

de datos manipulados por personas autorizadas.

• Estos controles se establecen mediante la implementación de un

conjunto de medidas preventivas, detectivas, disuasivas y

correctivas destinadas a proteger aspectos de

CONFIDENCIALIDAD, PRIVACIDAD, INTEGRIDAD y

DISPONIBILIDAD.


• CONFIDENCIALIDAD: Asegurar que la información sea accesible

solo para personal autorizado.

• PRIVACIDAD: Evitar que trascienda a terceras personas la

información en poder del Estado referida a individuos, protegiendo a

los mismos contra la divulgación indebida de su información personal

y protegiendo al Estado de eventuales responsabilidades en relación

con este tipo de divulgaciones.

• INTEGRIDAD: Proteger la exactitud y plenitud de los sistemas

informáticos y sus recursos asociados, limitando la administración de

los mismos a personas autorizadas y programas de aplicación

aprobados y autorizados, protegiéndolos contra perdida, destrucción o

modificaciones accidentales o intencionales.

• DISPONIBILIDAD: Asegurar que los usuarios autorizados tengan

acceso a los sistemas de información y sus recursos relacionados,

cuando sean requeridos.


Incidencias de las Políticas de Seguridad de la Información (PSI)

1 Aumento de los niveles de seguridad en la administración.

• La implementación de las PSI, permite cumplir con una gestión efectiva de

los recursos de información críticos y administrar los mecanismos de

protección adecuados, determinando que tipo de conductas son permitidas

o prohibidas, redundando en una efectiva reducción de riesgos y

vulnerabilidades, que se traduce en el ahorro de tiempo y dinero,

generando mayor confianza y fortaleciendo la imagen institucional.


2 Mejoramiento continuo

Las PSI describen los aspectos a tener en cuenta en los procesos

para alcanzar objetivos en materia de Seguridad de la Información,

como así también en cuanto a los criterios de revisión y mejoramiento

continuo para su perdurabilidad en el tiempo.

3 Planificación

Mediante la aplicación de las PSI puede crearse una efectiva

planificación de las actividades a desarrollarse dentro del ámbito de la

Administración, con la finalidad de monitorear y dar seguridad a los

procesos de la organización.


LEYES Y NORMAS VIGENTES• Además de las PSI, existen normas en relación

con el tratamiento de la información que deben

tenerse presente, atento a que la violación de

ciertos derechos pueden aparejar la

interposición de acciones civiles o penales.

• Sin pretender realizar una enumeración taxativa,

debe tenerse presente las siguientes normas:


Derechos de propiedad intelectual• Ley de Propiedad Intelectual N° 11.723: Protege los derechos de

autor de obras científicas, literarias y artísticas, incluyendo los

programas de computación fuente y objeto, las compilación de

datos y otros materiales.

• Ley de Marcas N° 22.362: Protege la propiedad de una marca y la

exclusividad de su uso.

• Ley de Patentes e Invenciones y Modelos de Utilidad N° 24.481:

Protege el derecho del titular de la patente de invención para

impedir que terceros utilicen su producto o procedimiento.


Derecho de Propiedad Intelectual del Software

• El software es considerado una obra intelectual que goza de la

protección de la Ley 11.723 de Propiedad Intelectual.

• Esta ley establece que la explotación de la propiedad intelectual

sobre los programas de computación incluirá, entre otras formas,

los contratos de licencia para su uso o reproducción.

• Los productos de software se suministran normalmente bajo

acuerdos de licencia que suelen limitar el uso de los productos a

máquinas específicas y su copia a la creación de copias de

resguardo solamente.

• El Responsable de Seguridad Informática analizará los términos y

condiciones de la licencia, e implementará los correspondientes

controles.


Protección de los Registros de Organismos del Estado

• Los registros críticos del Organismo se protegerán contra pérdida,

destrucción y falsificación. Algunos registros pueden requerir una retención

segura para cumplir requisitos legales o normativos, así como para

respaldar actividades esenciales del Organismo.

• Los registros se clasificarán en diferentes tipos, por ejemplo registros

contables, registros de base de datos, registros de auditoría y

procedimientos operativos, cada uno de ellos detallando los períodos de

retención y el tipo de medios de almacenamiento.

• En caso de utilizarse claves criptográficas asociadas con archivos cifrados

o firmas digitales, se mantendrán en forma segura y estarán disponibles

para su uso por parte de personas autorizadas cuando resulte necesario.


• Se debe considerar la posibilidad de degradación de los medios utilizados para el almacenamiento de los registros. Los procedimientos de almacenamiento y manipulación se implementarán de acuerdo con las recomendaciones del fabricante.

• Si se seleccionan medios de almacenamiento electrónicos, se incluirán los procedimientos para garantizar la capacidad de acceso a los datos durante todo el período de retención, a fin de salvaguardar los mismos contra eventuales pérdidas ocasionadas por futuros cambios tecnológicos.

• Los sistemas de almacenamiento de datos serán seleccionados de modo tal que los datos requeridos puedan recuperarse de una manera que resulte aceptable para un tribunal de justicia, por ejemplo que todos los registros requeridos puedan recuperarse en un plazo y un formatoaceptable.

• El sistema de almacenamiento y manipulación garantizará una clara identificación de los registros y de su período de retención legal. Asimismo, se permitirá una adecuada destrucción de los registros una vez transcurrido dicho período, si ya no resultan necesarios para el Organismo.


Protección de Datos y Privacidad de la

Información Personal• Todos los empleados de la Administración Publica Provincial deberán

conocer las restricciones al tratamiento de los datos y de la información

respecto a la cual tengan conocimiento con motivo del ejercicio de sus

funciones.

• El Organismo redactará un “Acuerdo de Confidencialidad”, el cual deberá

ser suscrito por todos los empleados. La copia firmada del acuerdo será

retenida en forma segura por el Organismo correspondiente.

• Mediante este acuerdo se comprometerá al empleado a usar la información

solamente para el uso específico al que se ha destinado y a no comunicar,

diseminar o de alguna otra forma hacer pública la información a ninguna

persona, firma, compañía, salvo autorización previa y escrita del

Responsable del Activo de que se trate. El “Acuerdo de Confidencialidad”

deberá advertir que determinadas actividades pueden ser objeto de control

y monitoreo. Estas actividades deben ser detalladas a fin de no violar el

derecho a la privacidad del empleado.


En particular, se deberán tener presente las siguientes normas:

• PROTECCIÓN DE DATOS PERSONALES LEY N° 25.326:

Establece responsabilidades para aquellas personas que

recopilan, procesan y divulgan información personal y define

criterios para procesar datos personales o cederlos a terceros.

• DERECHO DE ACCESO: Está previsto en el Art. 14 de la LPDP y

es lo que la doctrina ha bautizado como habeas data. Puede

presentarse en variadas formas, como un reclamo entre

particulares si se trata de un registro privado, como un reclamo

administrativo, si el registro es público.


• DERECHO DE RECTIFICACION, ACTUALIZACION, SUPRESION O

BLOQUEO: El Art. 16 de la ley regula la forma de rectificar,

actualizar, suprimir o bloquear los datos personales que estén

incluidos en una base de datos cuando la información publicada sea

manifiestamente discriminatorio falsos, erróneos o inexactos, como

así también, cuando los datos sean considerados obsoletos o

vetustos.

• PROCEDIMIENTO: Presentado el reclamo por el titular de los datos al

responsable de la base de datos, este último tiene cinco días para

obrar en consecuencia y comprobar la exactitud y veracidad del

reclamo. Si el responsable o usuario del banco de datos no da

cumplimiento a lo requerido en el plazo indicado quedará expedita la

vía judicial.


• EXCEPCIONES: El Art. 17 reza: Los responsables o usuarios de bancos de datos públicos pueden, mediante decisión fundada, denegar el acceso, rectificación o la supresión en función de la protección de ladefensa de la Nación, del Orden y la Seguridad Pública, o de la protección de los derechos o intereses de terceros.

• La información sobre datos personales también puede ser denegada por los responsables o usuarios de bancos de datos públicos, cuando de tal modo se pudieran obstaculizar actuaciones judiciales o administrativas en curso vinculadas a la investigación sobre el cumplimiento de obligaciones tributarias o previsionales, el desarrollo de funciones de control de la salud y del medio ambiente, la investigación de delitos penales y verificación de infracciones administrativas. La resolución que así lo disponga debe ser fundada y notificada al afectado.


• Sin perjuicio de lo establecido en los incisos anteriores, se deberá brindar acceso a los registros en cuestión en la oportunidad en que el afectado tenga que ejercer su derecho de defensa.

• IMPORTANTE: Debemos destacar que la Provincia del Neuquén, mediante Ley N° 2399 , adhiere a la Ley Nacional de Habeas Data. Asimismo, la Ley N° 2307 establece el procedimiento de la Acción de Habeas Data, determinando el Art. 17 de esta norma que las costas del proceso se impondrán a quien resulte vencido y si éste fuera el Estado, será responsable solidariamente el agente que realizó los actos que motivaron la condena.


Confidencialidad. Ley N° 24.766

Impide la divulgación a terceros, o su utilización sin previo consentimiento y de manera contraria a los usos comerciales honestos, de información secreta y con valor comercial que haya sido objeto de medidas razonables para mantenerla secreta.


Ley N° 25.506 – Firma Digital• El reconocimiento del empleo de la firma digital o de la firma electrónica que efectúa

esta ley es esencial para dotar de seguridad jurídica a las transacciones

electrónicas, equiparando la firma ológrafa a la Firma Digital.

• Asimismo, la Ley de F. D. recepciona el principio de neutralidad tecnológica que

tiene por finalidad evitar que la norma quede obsoleta en razón del dinamismo

tecnológico.

• La Firma Digital es el resultado de aplicar a un documento digital un procedimiento

matemático que requiere información de exclusivo conocimiento del firmante.

• Documento Digital: Es una representación digital de actos o hechos con

independencia del soporte utilizado para la fijación, almacenamiento o archivo de

información.

• Mediante Ley N° 2578, la Provincia del Neuquén adhiere a la Ley Nacional de F.D.,

autorizando su uso en todo el ámbito de la Administración Pública Provincial.


Características de la F.D.

• AUTORIA: Permite determinar con certeza la identidad del autor del

documento que lleva dicha firma.

• INTEGRIDAD: La información es completa.

• INALTERABILIDAD: Puede detectarse si la información a sido modificada.

• PERDURABILIDAD: Se mantiene en el tiempo en razón del medio en el

cual ha sido guardada.

• EXCLUSIVIDAD: Se encuentra bajo el control absoluto del suscriptor.

• NO REPUDIO: El firmante no podrá desconocer la firma inserta en el

documento.

• ADHESIÓN: El firmante ha brindado su conformidad a lo indicado en el

documento, como una manifestación de su libre voluntad.


• Código Penal: Sanciona a aquel que teniendo noticias de un secreto cuya divulgación pueda causar daño, lo revelare sin justa causa (Art. 156), al funcionario público que revelare hechos, actuaciones o documentos que por la ley deben quedar secretos (Art. 157), al que revelare secretos políticos o militares concernientes a la seguridad, a los medios de defensa o a las relaciones exteriores de la Nación, o al que por imprudencia o negligencia diere a conocer los secretos mencionados anteriormente, de los que se hallare en posesión en virtud de su empleo u oficio (Art. 222 y 223).

Sanciones Penales


• El delito informático implica actividades criminales que los países

han tratado de encuadrar en figuras típicas de carácter tradicional,

tales como robos, hurtos, fraudes, falsificaciones, perjuicios,

estafas, sabotajes. Sin embargo, debe destacarse que el uso de las

técnicas informáticas han creado nuevas posibilidades del uso

indebido de las computadoras lo que ha creado la necesidad de

regulación por parte del derecho.

• Se considera que no existe una definición formal y universal de

delito informático pero podemos conceptuar a los delitos

informáticos como cualquier acto ilegal en relación con el cual, el

conocimiento de la tecnología informática sea esencial para su

comisión, investigación y persecución.

Ley N° 26.388 sobre Delitos Informáticos


En forma sintética podemos mencionar tres categorías de comportamiento que pueden afectar negativamente a los usuarios de los sistemas informáticos. Las mismas son las siguientes:

• Acceso no autorizado: Es el primer paso de cualquier delito. Se refiere a un usuario que, sin autorización, se conecta deliberadamente a una red, un servidor o un archivo (por ejemplo, una casilla de correo electrónico), o hace la conexión por accidente pero decide voluntariamente mantenerse conectado.

• Actos dañinos o circulación de material dañino: Una vez que se conecta a un servidor, el infractor puede robar archivos, copiarlos o hacer circular información negativa, como virus o gusanos. Tal comportamiento casi siempre se es clasificado como piratería (apropiación, descarga y uso de la información sin conocimiento del propietario) o como sabotaje (alteración, modificación o destrucción de datos o de software, uno de cuyos efectos es paralizar la actividad del sistema o del servidor en Internet).

• Interceptación no autorizada: En este caso, el hacker detecta pulsos electrónicos transmitidos por una red o una computadora y obtiene información no dirigida a él.

• Por último, cabe destacar que las penas se agravan cuando el autor de la conducta típica antijurídica culpable es un funcionario público.


• www.pki.gov.ar

• www.segu-info.com.ar

• www.legislaw.com.ar

• www.cxo-community.com.ar

• Diplomatura en Derecho y Tecnología Módulos II y

III – Universidad Blas Pascal

• Ley de Firma Digital Comentada- Dra. Bibiana Luz

Clara.

Bibliografía


MUCHAS GRACIAS POR SU ATENCIÓN

Gabriel Ángel PassarelliAsesor de Gestión

Secretaría de Estado de la Gestión Públicay Contrataciones del Estado

aspectos legales para una administraciÓn … legales sob… · extremar las medidas de seguridad...

Documents