Moderada por José Domingo Martín, director ejecutivo de la Sociedad Española de Radiología Médica, la mesa “Ciberseguridad, Gestión del dato y Modelos de Colaboración en los Eventos Asociativos” contó con la participación de Luis Cordero, director comercial de la Cámara de Comercio, Industria, Navegación y Servicios de Sevilla; Guillermo Obispo, socio fundador de ProtAAPP; y Alberto Berrocal, director de Comunicación de la Asociación Española de Directores de Recursos Humanos (AEDRH).
En la actualidad existen tres patrones generales de gestión del dato: el modelo asiático, en el que el dato pertenece al Estado; el modelo angloamericano, en el que es de la empresa; y el modelo de la Unión Europea, en el que el dato es de la persona, explicó Luis Cordero.
El director comercial de la Cámara de Sevilla hizo hincapié igualmente en la importancia de establecer modelos de colaboración público-privadas para que el dato se pueda reutilizar, que es lo que está legislando actualmente la UE. La Ley de Gobernanza de Datos de la Unión Europea (2022/868) será aplicable a partir del 24 de septiembre de 2023, aunque el Diario Oficial de la UE la publicó el pasado 3 de junio de 2022 y entró en vigor el 23 de ese mismo mes.
En lo que a seguridad del dato se refiere, Guillermo Obispo, socio fundador de ProtAAPP, más conocido en el mundo hacker como “Willy”, abrió su intervención con una breve exposición de las cinco dimensiones de la seguridad de la información:
- Confidencialidad, consistente en que la información esté disponible solamente para las personas que tengan que acceder a ella
- Integridad, que la información se modifique/manipule únicamente por quien debe hacerlo.
- Disponibilidad, que la información esté accesible en el momento en que se requiera y viceversa (que no lo esté cuando no se necesite)
- Autenticidad, tiene que ver con la veracidad de la información
- Trazabilidad, poder rastrear las acciones o modificaciones realizadas sobre una determinada información
En cada una de estas cinco dimensiones, y para cada una de nuestras acciones, estableceremos el nivel de riesgo, pudiendo este ser bajo, medio o alto. En función de esta categorización, aplicaremos unas medidas de seguridad mayores o menores.
En el aspecto regulatorio, en el sector público en la seguridad se trabaja a través de unas normativas de gestión como es por ejemplo la ISO27000.
Respecto a las amenazas en el acceso a la información, Willy destacó el OWASP Top 10, índice que analiza las 10 principales vulnerabilidades en las aplicaciones web, como pueden ser las plataformas de gestión de datos de eventos.
El hacker hizo mención en especial a las tres primeras: la ruptura del control de acceso, la falta de cifrado de comunicaciones inseguras y la inyección, que tiene que ver con la introducción de contenido para sustraer determinada información.
