La Seguridad Informática y el Control Interno, algunos criterios y apreciaciones en las entidades que no poseen (página 2)

El Decreto-Ley ya
especificado,  tiene como objetivo,
establecer y regular el Sistema para la
Seguridad y
Protección de la Información Oficial,  cuyas
normas deben
cumplimentar tanto los órganos organismos, entidades o
cualquier otra persona natural o
jurídica residente en el territorio nacional, como las
representaciones cubanas en el exterior. Pero marquemos
aquí nuestro tema, en el caso de una entidad que no posea
información clasificada pero este en el trafico mercantil
opere equipos computarizados y llegue incluso a tener más
de 10 o 20 microcomputadores en red o sin ellas aquellas
donde incluso nadie ocupa la plaza de informático, por que
no esta diseñada o por que los servicios de
reparación y mantenimiento
están subcontratados, con una de las entidades que se
dedican ha esto o que por cualquier razón tengan la plaza
vacía a pesar de tenerla.   

El Sistema para la Seguridad y Protección de la
Información Oficial, según como es visto por el
decreto  comprende la clasificación y
desclasificación de las informaciones, las medidas de
seguridad con los documentos
clasificados, la Seguridad
Informática, la Protección
Electromagnética, la Protección
Criptográfica, el Servicio
Cifrado y el conjunto de regulaciones, medidas, medios y
fuerzas que eviten el
conocimiento o divulgación no autorizados de esta
información.

 La apreciación en profundidad de este tema nos
hace recapacitar sobre el concepto
¿Cuándo no estemos hablando de entidades que
posean información oficial confidencial o no que
ocurre?, ¿En que posición quedad entonces,
la parte que es componente de las Tecnologías (el
Hardware, o
componente duro de la
computadora) que se supone que al estar adquirida por una
entidad  estatal y que esta debe velar por su
protección y seguridad?, ¿Será acaso que no
es necesaria la regulación del control de esta
parte y solo es necesaria la regulación y  control la
información que en ellas se guarda? O ¿Si como bien
especifica el Decreto Ley, se detectan problemas
vinculados a alguna de las variantes de la clasificación
de la información que aquí se
regulan?[1]

Se puede apreciar por tanto que   Seguridad Informática va mas allá de todas
aquellas medidas técnicas
que se toman directamente sobre la computadora,
 la red privada de la empresa y los
parámetros de trabajo con
los medios
electrónicos,  para esta norma es un concepto
más abarcador. Pero así y todo cabria preguntar
¿Estamos siendo realmente previsores, para que la
información oficial de cada entidad estatal sea realmente,
protegida salvada y eficazmente inalterable?, o
¿Serán estas aun insuficientes para el control real
de lo que sucede en las entidades una vez que se emplea una
computadora una red y hasta soportes de
otro tipo?.

Para resolver la duda planteada en relación con la
protección de los Hardware, algunos plantean que los
medios materiales,
activos fijos y
la protección en sentido general,  se realiza
mediante el Decreto Ley 186, dentro de los que se incluiria por
que no los Hardware.

  Si  tomamos un ejemplo: 

Decreto Ley 186, en su  CAPITULO
III, referido a la "Responsabilidad De Los Organismos,
Órganos Y Entidades", describe en su artículo
10.- Los Jefes de los organismos y órganos, son los
máximos responsables de la
organización y control del Sistema de Seguridad y
Protección en el aparato central, instituciones
adscriptas y entidades subordinadas, de acuerdo a lo que se
establece en el presente Decreto-Ley y, para ello:

a) determinan las formas organizativas a adoptar para
garantizar los servicios de seguridad y protección, y su
alcance;

b) complementan con las medidas organizativas de control y
fiscalización de la actividad productiva o de servicios,
el Sistema de Seguridad y Protección que adopten;

c) incluyen en sus planes económicos anuales y
perspectivos, los recursos
financieros y materiales que se destinan a garantizar la
seguridad y protección;

d) aseguran, que las medidas de seguridad y
protección se contemplen desde el inicio del proceso
inversionista de nuevas construcciones, remodelaciones y
ampliaciones; y,

e) garantizan la preparación del personal de
seguridad y protección.

Seria demasiado pensar que lo planteado en esta norma
realmente puede controlar ese particular, las tecnologías
de la información poseen una gama muy propia de trabajo
sus mantenimientos, su integración composición y existencia
no tienen nada que ver con los medios básicos de
rotación o los activos fijos de
una empresa,
su único punto de coincidencia es que son medios y tienen
un valor en
precio.

Es sin dudas un esfuerzo grande el realizado por la
resolución 127 del 2007 del MIC, que si trabaja las
tecnologías de la información  y no solo
cuando existe información clasificada pero lamentablemente
no solo queda en el marco de una acción
orientadora y metodológicamente, necesaria  del
ministerio rector de este tema,  sino que irrumpe el templo
de la no cobertura legal definir la acción de control que
deberá tenerse con estos medios, que aun falta. La
imposición de un Plan de Seguridad
Informático obligatorio, donde cada entidad deberá
definir  como proteger desde sus medios hasta sus redes, no resulta lo
concretamente viable como para decir que se protegen de la
acción de personas
inescrupulosas.     

Resulta interesante apreciar como a los efectos del el Decreto
Ley No. 199/99 El Ministerio del Interior será el
organismo encargado de regular, dirigir y controlar la
aplicación de la política del Estado y del
Gobierno en
cuanto a la Seguridad y Protección de la
Información, y para el cumplimiento de estas funciones se le
otorgan una serie de atribuciones expresadas en el:

Artículo No. 4: El Ministerio del
Interior es el organismo encargado de regular, dirigir y
controlar la aplicación de la política del estado y
del gobierno en cuanto a la seguridad y protección de la
información oficial y para el cumplimiento de estas
funciones, tiene las  atribuciones siguientes:

a) dictar normas y procedimientos en
materia de
seguridad y protección  de la información
oficial.

b) establecer los requisitos para elaborar el plan de
seguridad informática, el plan de contingencia, 
así como el plan de seguridad y protección de la
información oficial clasificada y el plan  de
evacuación, conservación y destrucción de la
información oficial para situaciones excepcionales  y
otras que puedan poner en riesgo la
seguridad y protección de la información
oficial.

c) certificar aquellas entidades que brinden servicio de
seguridad informática y criptográfica a terceros,
así como la utilización, distribución o comercialización de herramientas
de seguridad informática.

d) regular y aprobar la producción de productos
criptográficos, la aplicación de los sistemas de
protección criptográfica y la
investigación y desarrollo
científico de esta disciplina.

e) realizar inspecciones,  auditorias y
controles de la seguridad y protección a la
información oficial, incluyendo la criptográfica y
la seguridad informática.

f) promover la formación de personal calificado y el
desarrollo de la ciencia y
la tecnología  en materia de seguridad y
protección a la información oficial, la seguridad
informática y la criptografía.

g) realizar las acciones
necesarias para cumplir y hacer cumplir los objetivos y
funciones determinadas en el presente decreto ley, tal y como se
establece en el articulo 66 de la constitución de la
República de Cuba.

 También  de ello se desprende que
será este el órgano de más alto rango para
la supervisión y control de esto, lo que de
igual modo determina pues que sea emitida por el,  la
Resolución No. 6/96 MININT del 8/11/96 "Reglamento sobre
Seguridad Informática". Pero en el fondo el control es
solo reducido a la información sensible para el estado
cubano, pero el resto de la información  que
igualmente es sensible ya que sería la base de auditorias
internas de controles ¿Quién La recoge comprueba o
supervisa?. Esta acción simple es la base de evitar causas
y condiciones de las actividades delictivas económicas
frecuentes en cualquier entidad estatal como
evitarlas[2]. 

En este tema igualmente la resolución 127/07, vuelve ha
realizar un esfuerzo, pero en nuestro criterio no esta en sus
posibilidades regular esto aunque habla sin dudas de las acciones
que cada entidad deberá realizar para que se controlen
estos medios y de los penalidades por las violaciones. 

La Base Legal Vigente, en la Seguridad e
Informática:

§        
Decreto Ley 199/99. Sobre la Seguridad y Protección
de la Información Oficial Clasifica.

§        
Decreto Ley 186 de fecha  17 de junio
de 1998, "Sobre El Sistema De Seguridad Y Protección
Física"

§        
Resolución 2328/89. MINBAS. Reglamento para el
procesamiento de la Información Clasificada y Ordinaria en
los medios de Computación.

§        
Resolución 6/96 MINNIT. Reglamento sobre
Seguridad  Informática.

§        
Resolución 204/96. Industria Sidero Mecánica. Reglamento sobre la
Protección y Seguridad Técnica de los sistemas.

§        
Resolución  188/2001 Metodología para el Acceso de las Entidades
Cubanas  a Internet o a otras redes de
datos.

§        
Resolución 65 /2003 Inscripción de las redes
en Agencia de Control y Supervisión del MIC.

§        
Resolución 1/2000. MININT. Reglamento sobre la
Seguridad y Protección de la Información
Oficial.

§        
RESOLUCIÓN No. 127 /2007 del MIC, "Reglamento De
Seguridad Para Las Tecnologías De La
Información"

III- El 
Control
Interno en la actividad  de la Seguridad
Informática, en entidades donde no se conserve
información clasificada y se posea tecnologías de
la información

La Resolución 297 del Ministerio de Finanzas y
Precios
emitida el 23 de Septiembre del 2003 pone en vigor nuevos
criterios para la elaboración de un Sistema de Control
Interno adaptado a las condiciones específicas de cada
entidad.

Los manuales que
conforman el Sistema de Control Interno dependen de las
actividades y funciones que realiza una entidad para el
cumplimiento de su Objetivo Social Para organizar y administrar,
se precisa diseñar el funcionamiento de cada una de las
operaciones y
actividades que se realizan.  Se requiere para ello, tener
en cuenta todos aquellos elementos que posibilitan que las
operaciones, transacciones y actividades se ejecuten de manera
homogénea por las unidades organizativas de la entidad y
que cada dirigente, funcionario y trabajador conozca no
sólo las especificaciones organizativas y técnicas
de su trabajo, sino también el alcance de sus funciones y
responsabilidades.

Los Manuales de Procedimientos constituyen el medio mediante
el cual se logra documentar el funcionamiento integral de una
entidad.  Además contribuyen al logro de la independencia
de los trabajadores en el desempeño de sus funciones al disponer de
todas las instrucciones necesarias para realizar su trabajo desde
todos los puntos de vista.

Uno de los Manuales lo es sin dudas el Manual de
Seguridad e Informática de la entidad, donde la
institución deberá regular todos y cada uno de sus
acciones para el empleo
explotación y uso de las tecnologías de la
información, es sin dudas una eficaz herramienta de
control y supervisión del accionar de la entidad en
cualquiera de las esferas de la actividad empresarial;  Pero
¿Regulara aquí la
administración, los especialistas que lo elaboran y
sobre todo los que participan en la actividad aquellas acciones
que darán pie a la realización de 
pequeños actos delictivos o el simple desvió de los
recursos del estado? ¿Estaremos en condiciones reales de
obstaculizar y frenar nosotros mismos de forma independiente la
acción ilegal que estamos
transitando?[3] .

El proceso de implementación de la resolución
297/03, ha sido uno de los Objetivos estatales más
abordado y encomendado a las autoridades empresarial de la
sociedad
cubana, al punto de llegar a proyectarse acciones de carácter nacional para su ejecución
como controles nacionales y hasta la instrumentación de regulaciones normativas,
una de ellas es  la Resolución 26 del 2006, del
MAC  de 25 de enero del 2006. 

Componente No. 4 Información y Comunicación Normas de Información y
Comunicación.

Información y responsabilidad.

·        
Revisar si se encuentran debidamente documentados y
autorizados por la autoridad
competente, los sistemas de información, tanto manuales
como informáticos, utilizados en la entidad.

·        
Comprobar si está definida la responsabilidad en la
revisión, aprobación y actualización de los
sistemas de
información utilizados por la organización.

·        
Verificar si se le suministran a los directores, jefes de
departamentos y especialistas a cada nivel la información
necesaria para cumplir con sus responsabilidades, de acuerdo con
los plazos de entrega establecidos en el sistema de
información de la entidad.

·        
Examinar si la información externa es recibida y
emitida en tiempo, de
acuerdo con los plazos establecidos.

Contenido, calidad, flujo de
la información y flexibilidad al cambio.   

·        
Verificar si la entidad tiene diseñado el (los)
flujo(s) de información y si su contenido está
debidamente actualizado, a partir de los cambios ocurridos en el
entorno interno y externo de la entidad, tanto desde el punto de
vista normativo como organizacional.

·        
Comprobar el cumplimiento de los procedimientos previstos en
el sistema de información referidos a la detección,
recepción y procesamiento de la información
externa, relacionada con las:

-                          
condiciones del mercado interno y
externo;

-                          
clientes y proveedores,
tanto nacionales como extranjeros; y

-                          
cambios normativos de los órganos y organismos de la
Administración del Estado facultados para
ello.

·        
Evaluar la utilización del presupuesto
aprobado para adquirir, mejorar o desarrollar nuevos sistemas de
información sustentados o no en las tecnologías de
información.

La Resolución 26 en cuestión solo reafirma que
será la entidad con la formación y difusión
de los valores
éticos y morales  entre sus trabajadores,
funcionarios y dirigentes la que pondrá fin a los
problemas en la actividad de la seguridad. ¿Será la
ética
los valores y la
conciencia hoy la
que impida que personas inescrupulosas con cargos o sin
ellos,  pero con acceso a los medios computarizados los
empleen, alteren y
utilicen?[4]    
  

Pero la resolución ya mencionada habla de un
término que en esta esfera de la Seguridad
Informática, resulta importante y muy manejado Plan de
Seguridad Informática, la Resolución 6 del MININT,
refiere entonces los Planes rectores de la actividad.

VARIANTES DE DELITOS  en la Seguridad
Informática

1.      
Pérdidas de información por violación de
normas.

2.      
Robo de Información.

3.      
Mensajes en cadena.

4.      
Mensajes subversivos y de contenido c/r.

5.      
Contaminación con virus
informáticos.

6.      
Fraude financiero.

7.      
Apropiación de claves de acceso.

8.      
Robo de computadoras,
accesorios y soportes.

DEFICIENCIAS más comunes detectadas en las
auditorias Responsable de Seguridad Informática:

No está concebido el cargo.

Se designa a un personal no calificado.

No cuenta con el equipamiento y los derechos necesarios para
realizar sus funciones.

El Plan de Seg. Informática no se encuentra actualizada
o no refleja la realidad.

No se realiza el análisis de riesgos.

No se planifican las inspecciones y/o auditorias internas.

Deficiente seguridad física en locales (servidores y
áreas).

No se realizan las salvas de la información.

Antivirus no instalados o no actualizados.

No implementar, en los servidores, directivas de cuentas y
contraseñas.

No revisar periódicamente las trazas de los eventos que se
producen en las redes.

Poco dominio de la
Base Legal de la Seguridad Informática

Responsable de Seguridad Informática:

PLANES RECTORES establecidos para la Seguridad
Informática

•         
Plan de Seguridad Informática: Documento
básico que establece los principios
organizativos y funcionales de la actividad de Seguridad
Informática , a partir de las políticas
y conjunto de medidas aprobadas sobre la base de los resultados
obtenidos en el análisis de riesgo previamente
realizado.

•         
Plan de Contingencia: Documento básico contenido
dentro del Plan de Seguridad Informática, donde se
establecen las medidas para restablecer y dar continuidad a los
procesos
informáticos ante una eventualidad o desastre.

Pero en esencia la profundidad, de la ejecución es solo
competencia de la
entidad ya que en cada uno designa y establece que será el
máximo dirigente de la entidad, 

IV- La presencia 
en el Sistema de Dirección y Gestión
Empresarial y Papel, de esta actividad en el desarrollo del
mismo

La  implementación del Sistema  de
Dirección y Gestión
Empresarial definido en sus  Bases Generales Del
Perfeccionamiento Empresarial, puestas en vigor por el Decreto
ley 187 para la  empresa estatal
cubana, modificadas hoy por los Decreto Ley No. 252 y 
Decreto Ley No. 281 relacionados con  "Sobre La
Continuidad Y El Fortalecimiento Del Sistema De Dirección
Y Gestión
Empresarial Cubano"   y  "Reglamento Para
La Implantación Y Consolidación Del Sistema De
Dirección Y Gestión Empresarial Estatal"
respectivamente, constituyen la guía y el instrumento de
dirección para que las organizaciones
empresariales puedan, de forma ordenada, realizar las
transformaciones necesarias con el objetivo de lograr la
máxima eficiencia y
eficacia en su
gestión.

El perfeccionamiento de la empresa estatal tiene como objetivo
central incrementar al máximo su eficiencia y competitividad, sobre la base de otorgarle las
facultades, y establecer las políticas, principios y
procedimientos, que propendan al desarrollo de la iniciativa, la
creatividad y
la responsabilidad de todos los jefes y trabajadores.

 El Perfeccionamiento Empresarial, se rige por las
políticas del Partido Comunista de Cuba, del Estado y del
Gobierno, tiene como objetivo supremo garantizar el desarrollo de
un sistema empresarial organizado, disciplinado, ético,
participativo, eficaz y eficiente, que genere mayores aportes a
la sociedad socialista y que todas las empresas se
conviertan en organizaciones de alto reconocimiento social.

Es decir el  Perfeccionamiento Empresarial, constituye
hoy la fuente más eficaz y dinámica de lograr buenos resultados con el
empleo de todos los recursos de la entidad laboral.

En el Decreto Ley No. 281, en su  Capítulo
XVII,  referido al Sistema Informativo

Artículo 634: Cada empresa debe contar
con un reglamento de la información, tanto interna como
externa, …..

Artículo 635: La empresa que utilice
sistemas
contables-financieros soportados sobre las tecnologías
de la información  (los soportes de respaldo de la
información y los programas
respectivos),  se deberán mantener en condiciones de
operatividad como  establece la legislación
vigente.

Artículo 636: El director general de
la organización superior de dirección o la empresa
son los únicos facultados para establecer nuevas
informaciones técnicas cambiando o modificando el sistema
actual. Las solicitudes de información establecidas por
los jefes de los Organismos superiores deberán cumplirse
en tiempo y forma.

La acción del  Perfeccionamiento Empresarial,
sobre la Seguridad Informática, resulta al igual que el
resto de los mecanismos empleados, resulta en especial
insuficiente para un control real donde solo se reitera la
propuesta de autonomía empresarial y desarrollo
individual[5].

El papel del Empresario en
la esfera de la  Seguridad Informática:

La acción del  Empresario, sobre la Seguridad
Informática, resulta al igual  de significativa
importancia en el esta el centro de la acción Empresarial
no funcionaria el sistema ni la actividad misma, ni las medidas
administrativas físicas y de otro tipo de no existir una
figura de responsabilidad respeto y que sea
capas de aplicar las políticas y tareas de la
dirección empresarial.

   Ahora bien si el resto de los mecanismos
empleados, resultan insuficientes para un control real de los
medios y tecnologías de la información  donde
solo se reitera la propuesta de autonomía empresarial y
desarrollo individual. El empresario como figura rectora del
trabajo de la entidad resulta ser el eje de la acción
positiva o no de la entidad estatal concreta

V-
Conclusiones

1.                 
No existe legislación específica para la
protección de los Hardware, dentro del sistema de
seguridad de las entidades estatales,  que no poseen
información clasificada, a pesar del esfuerzo de la
resolución 127 del 2007 del MIC,  quedándose
sin protección legal real.

2.                 
No existe legislación que controle que la
información sensible de la entidad estatal dígase
Balance económico, inventario de
medios de rotación, estado de los útiles y
herramientas actas del Consejo de Dirección y del
Comité de Control Interno tengan la 
protección adecuada.  

3.                 
La proyección de medidas que obstaculicen la acción
ilegal de trabajadores, funcionarios y dirigentes que deseen
emplear la actividad estatal y en específico la que se
forma a partir del uso de las Computadoras y las
tecnologías de la información   es
meramente  conciente.  

4.                 
Que los manuales los procedimientos, establecidos como mecanismos
de control Interno,  son diseñados por la propia
empresa y controlados por ella misma y sus órganos
colegiados, los que de forma conciente darán las soluciones de
la situación que pueda formarse.

5.                 
El SDCE, diseñado y fortalecido que representa el
 nivel más grande en sentido general, para la empresa
estatal  es aun insuficiente en el control real de las
disímiles situaciones que podrían generar la
ocurrencia de delitos,
violaciones e ilegalidades dentro del trabajo con los medios
Informáticos.   

Autor:

Lic. Leoncio Abreu Aday

Abogado de la Consultoría Jurídica

Transconsul.

Lic. Edrisis Yaser Morales Jova

Abogado de la ONBC, Santa Clara 1

[1] Esta es  la primera
conclusión del trabajo no existe legislación
especifica para la protección de los Hardware, cuando no
hablamos de entidades que no posean información
clasificada. A pesar del esfuerzo de la resolución 127 del
2007 del MIC

[2]Esta es  la
conclusión No 2  del trabajo, no existe
legislación que controle que la información
sensible de la entidad estatal dígase Balance
económico, inventario de medios de rotación, estado
de los útiles y herramientas actas del Consejo de
Dirección y del Comité de Control Interno tengan
la  protección adecuada. Ya que el ministerio del
Interior es rector de la información oficial, cada entidad
de lo suyo según la 127 y quienes supervisan, comprueban y
conservan de manera rotundamente segura la información de
la entidad y que podría ser de uso incluso de
comprobaciones y auditorias
internas       

[3] Esta sería la 
conclusión No 4 del trabajo:  la proyección de
medidas que obstaculicen la acción ilegal de trabajadores,
funcionarios y dirigentes que deseen emplear la actividad estatal
y en especifico la que se forma a partir del uso de las
Computadoras y las tecnologías de la
información   es meramente  conciente, a
pesar a la implementación de los sistemas de
control Interno que resultan mejor que la ley cuando son
concientes y de pleno conocimiento
por sus actores principales   

[4] La conclusión 
No 5 sería que los manuales los procedimientos de control
son diseñados por la propia empresa y controlados por ella
misma y sus órganos colegiados.

[5] Esta es la sexta
conclusión de Trabajo con un nivel más grande de
control en sentido general pero SDCE es aun insuficiente en el
control real de las computadoras sus componentes y de realizarse
sería el ideal ya que seria el conciente pero ¿Se
hace?