Leyes y regulaciones tenemos.
Nos hemos dado cuenta a través de todo este tiempo que hemos tenido muchas empresas tienen que cumplir
con muchas leyes y muchas regulaciones a veces locales a veces internacionales.
Entonces se empieza a poner un poco complicado cuando ya tenemos que cumplir con cinco regulaciones
o cinco o seis leyes algunas locales algunas internacionales y cuando encima de todo esto añadimos estándares
que si bien no son obligatorios en muchas empresas lo tienen que hacer por contrato con un cliente contrato
con un proveedor como por ejemplo ISO veinti siete mil uno cuando agregamos todo esto se empieza a poner
un poco complicado.
Por ejemplo la Ley 81 de Protección de Datos Personales en Panamá.
Esta es una ley que si bien aplica a Panamá posiblemente no aplica en Costa Rica posiblemente no aplica
en Argentina no aplica en Brasil verdad.
Por ejemplo la protección de datos personales la Ley 25 326 de Argentina es una regulación local de
ellos pero no nos afecta en otros países.
Entonces es muy difícil cuando de repente tenemos una multinacional o una empresa multinacional que
tiene presencia en varios países donde tiene que cumplir con ciertas regulaciones locales pero también
con ciertas regulaciones internacionales por ejemplo Socks s o x la famosa Sarbanes-Oxley que es para
temas financieros.
Y cómo puedo mencionar muchísima cosa o cómo etcétera etcétera.
Tenemos la famosa g de PR que vino a hacer una disrupción al mercado porque son temas de protección
de datos de información personal donde las multas van muy muy arriba.
Entonces es esto donde empieza a complicarse porque entonces nos preguntamos qué control se aplica que
control no aplica que el control va aquí que el control vaya.
Y es aquí donde se ponen nos podemos tomar ventaja de las políticas de una empresa porque por ejemplo
podemos crear una política de criptografía y en esta política poner 20 controles que nos van a hacer
cumplir con cinco o seis regulaciones que teníamos en cuenta y las cinco o seis estándares que también
teníamos en cuenta.
Entonces puede llegar a tener una matriz de controles para ver cuál a cual podemos bueno con un solo
control lo podemos hacer podemos dar cumplimiento a cinco leyes por ejemplo entonces pero siempre de
todas maneras se nos vuelve un tema un poco difícil y engorroso y hasta cierto punto un poco imposible
de lograr el tener un control total o poder ver cuáles son todos los controles que debemos de aplicar.
Sin embargo aquí hay dos temas que nos ayudan porque recuérdense que podemos hablar de llegar a casos
incluso penales donde tenemos una demanda tenemos que demostrar que hicimos las cosas bien y cómo lo
demostramos en estos dos conceptos que se llaman Ducruet y dudillas betabel debido cuidado y la debida
diligencia básicamente en pocas palabras educar es haciendo lo que cualquier persona responsable haría
en una situación.
Por ejemplo si yo sé que estoy tomando o guardando datos de tarjetas de crédito de mis clientes pues
algo responsable de hacer sería encriptar la información no utilizar una base de datos opensource de
repente por ahí por ahí que si no sé dependiendo del tema también del riesgo pero de repente comprando
una base de datos un poco más nivel Enterprise Poniendo un árbol enfrente de la base de datos poniendo
un GPS enfrente de la base de datos poniendo un antimalware en el servidor de base de datos poniendo
contraseñas muy difíciles o extensas verdad.
Todo esto básicamente es lo que una persona responsable haría en cualquier situación y la debida diligencia
o el due diligence es el manejo del duque verdad.
Ok entonces sabemos que para poner criptografía necesitamos tener llaves o cómo las vamos a manejar
quién las va a manejar dónde se van a guardar.
Básicamente esa es la relación que existe entre educar y aliña.
Ahora bien estamos conscientes de que cualquier control de seguridad que apliquemos en nuestras empresas
es la única.
O sea lo hacemos con el fin de reducir riesgos.
Esto no significa que vamos a llevar el riesgo a un nivel cero entonces siempre puede haber la posibilidad
de que pase un no filtran información o hay un hackeo.
En general no se caiga el sistema por error humano o por o por un hacker malintencionado puede pasar
algo siempre puede pasar algo.
Estos dos temas nos pueden salvar en corte de cualquier demanda de cualquier proceso penal que se esté
siguiendo en contra de una empresa o en contra de un individuo.
El poder demostrar la debida diligencia y el debido cuidado nos nos puede llegar a salvar.
Luego tenemos las posibles evidencias que se puedan presentar en corte.
Las Cortes prefieren la famosa mejor evidencia.
Es verdad.
Es decir documentos originales son o son preferidos sobre copias u objetos tangibles son preferidos
sobre testimonios orales de verdad básicamente cualquiera que es cualquier evidencia que sea que sea
con criterio con este criterio puede llegar a ser aceptado y se prefiere una ley en una corte.
Ahora el crimen sobre las computadoras el crimen en una computadora puede ser basado en la manera de
que la del sistema de la computadora o la computadora como tal o el sistema de red se relaciona a la
fechoría.
Por ejemplo los sistemas de computación o cualquier computadora o sistemas de red pueden ser objetivos
es decir yo quiero entrar al servidor hackearlo porque sé que hay información importante en ese servidor
o pueden ser usados como armas como herramientas para hacer el crimen verdad de repente yo puedo apagar
cámaras yo puedo hacer una denegación de servicios etcétera etcétera.
Entonces ahora exaltamos un poco a los temas de propiedad intelectual.
Tenemos cinco secciones de bloque puede tratar o contener la propiedad intelectual.
Lo primero son las marcas registradas o las famosas Marks que son asociados más que todo con marketing
verdad.
Por ejemplo los símbolos cuando vemos hay una pequeña una pequeña T.M verdad trademark más que todo
con el tema de símbolos y por ejemplo símbolos de cualquier empresa de Internet que ustedes pueden encontrar
verdad.
Luego tenemos las patentes que básicamente provee un monopolio al que al dueño de la patente para el
derecho de uso de creación o o de venta verdad de la invención del invento en el que estamos hablando
por un periodo de tiempo.
Esto puede variar de país a país.
No les puedo decir un periodo de tiempo específico pero sí hay períodos de tiempo para esto.
Luego tenemos el copyright que representa un tipo de propiedad intelectual que protege la forma de una
expresión artística Basquetour todo por ejemplo música literatura libros código etcétera etcétera.
Luego tenemos las licencias de software que son un contrato entre el proveedor y el consumidor o en
este caso el cliente es decir bueno si la compraste puede ser para toda la vida pero sólo tenés esa
versión si querés actualizar a esta otra versión pues tienes que pagar otra vez.
O puede ser una suscripción anual mensual etcétera etcétera.
Y luego tenemos los droids Secrets o los secretos muy guardados de verdad que son relacionados al negocio.
Por ejemplo la fórmula de cómo se realiza alguna alguna bebida por ejemplo lo que les daba es que toda
la ventaja competitiva.
Ahora bien qué les prestan.
Les plantea este escenario qué pasaría si viene un hacker localizaban Rusia y jaquea a un servidor que
estaba en Estados Unidos pero el servidor contenía información de un cliente en Panamá o en Argentina.
Tenemos tres países ahí con qué ley los juzgamos.
Aquí donde se pone un poquito engorroso y difícil el asunto porque de repente no sabemos con qué ley
lo vamos a juzgar o si hay que extraditarlo o no o si el país tiene extradición o no es un poquito difícil
responder esa pregunta.
Para eso existe la organización de la Cooperación y Desarrollo Económico OCDE Organization for Economic
Cooperation in Development que es considerada exclusivamente europea.
En este caso pero con 30 miembros o sea 30 países alrededor del mundo y qué rutinariamente hace consensos
o saca procedimientos para que se pueda se puedan proceder en estos casos como en el ejemplo que les
acabo de dar para que no vean discrepancias para que no empecemos a inventar cosas que sí que por acá
y por allá no. Ya tenemos un poquito más fácil de usar y también tenemos el Safe Harbor o El Puerto
Seguro la ley de puerto seguro que es básicamente un acuerdo entre Estados Unidos y Europa verdad.
Entonces aquí lo que dice bueno si tu ley europea o tu ley local dice que hay que encriptar información
con este algoritmo y mi ley local dice que en Estados Unidos hay que encriptar la información con otro
algoritmo pues el acuerdo será el algoritmo más fuerte por darles un ejemplo básicamente es un puerto
seguro.
Es como un lugar donde podemos llegar a un acuerdo para ver qué ley o qué vamos a necesitar nosotros
para poder utilizarlo.
Y bajo esta perspectiva tenemos restricciones a la importación exportación.
Ahora bien esto suena un poquito porque está relacionado con países digamos casi de la lista negra o
que sean considerados países en conflicto.
Para esto se desarrolló un arreglo o un tratado que se llama Wassen arrangement que se convirtió al
final en un estándar un estándar para los controles de exportación ahora que exportamos en este caso
estamos hablando de algoritmos criptográficos.
Por qué creen.
Porque los algoritmos criptográficos pueden ser o son considerados un arma dual es decir si bien se
pueden pueden ser utilizados para algo bueno como por ejemplo encriptar información confidencial de
nosotros o o todos los Droit Marx por ejemplo o propiedad intelectual las propiedades intelectuales
acabamos de hablar.
También pueden ser utilizados para un ataque cuando se trata de quebrar un algoritmo siempre se tienen
que tomar en cuenta el factor de trabajo.
Esto lo vamos a ver más adelante más a detalle así que no se preocupen el factor de trabajo es básicamente
la cantidad de recursos necesarios para jaquear o para quebrar una llave gorda o un sistema de criptografía.
Ahora bien hay algoritmos por ejemplo a S 12:56 que el factor de trabajo es inmensamente grande y esto
significa que entonces un atacante podría esconder información que valga la redundancia un posible ataque
que quiera orquestar.
Por ejemplo puede decir bueno vamos a atacar a tal agencia a tal a tal país a tal no sé a tal cliente
o a tal destino vamos a atacarlo y esta va a ser la forma si nos vamos a organizar y todo eso puede
ir encriptado y entonces no se puede ver qué es lo que están haciendo.
Entonces eso podría generar peligro peligro para básicamente las víctimas verdad entonces por eso está
el arreglo ovacionar donde se dice que hay ciertos algoritmos y ciertos tamaños de llave que no pueden
ser utilizados en ciertos países verdad.
Entonces ahora tenemos por último la seguridad y los proveedores tenemos los famosos s las escuelas
perdón Service Level Agreements que es básicamente un contrato de servicio o de calidad de servicio
entre el cliente y el proveedor y los Oleas Operational Level Agreement que básicamente sigue siendo
un contrato entre el cliente y el proveedor solo que en este caso el proveedor es interno.
Por ejemplo yo soy de contabilidad y tengo un Elea con el Departamento de Hite donde el servidor de
contabilidad va a estar arriba a 24 7 no sé algo por el estilo verdad.
Ahora bien esto es bien importante porque cuando yo hago la pregunta siempre ustedes creen que deberíamos
de irnos a la nube o sea migrar nuestro data center de premisas a la nube y la mayoría de veces la respuesta
es sí y yo siempre digo bueno puede ser que sí puede ser que no. Depende depende de qué regulaciones
estoy tratando de cumplir depende de si tengo información de identificación personal depende de muchas
cosas.
Recuérdese que la nube es simplemente la computadora de alguien más.
Entonces cómo podemos asegurar que el proveedor en la nube está tratando la información de forma confidencial
que si es un multi Anansi como estoy seguro de que la base de datos que estoy utilizando está siendo
compartida con otro y de repente a la competencia no sé.
Hay muchas cosas aquí que hay que tomar en cuenta y no sólo simplemente o de forma por default digámoslo
así decir que siempre nos vamos a ir a la nube.
Entonces es aquí donde son muy importantes para los proveedores de verdad no sólo a la nube sino a muchos
otros proveedores como si tenemos un desarrollador de Software un proveedor que nos cuida los datos
etcétera etcétera y tenemos a.
Por último el código de ética el código de ética pues básicamente dice hay que ser una buena persona
con las computadoras es decir que no hay que hacer cosas malas buenas computadoras y ese es el cuadrado
o SC2 nos da un listado específico que les dejo el link acá o donde pueden ir a Irán encontrarlo en
la página 10 ese cuadrado que básicamente por ejemplo el primero no deberíamos de usar la computadora
para lastimar a las personas.
Segundo no deberíamos de interferir con el trabajo de otras personas pues hay un código de ética que
al final cuando se conviertan en miembros dieses Escobar o al obtener su certificación pues van a tener
que firmar y seguir.
Y básicamente eso es todo por hoy espero les haya gustado y nos seguimos viendo muy pronto.