156 SEGURITECNIA Marzo 2010

Artculo Tcnico
procesador, al hogar, la escuela, el au-
tomvil, los electrodomsticos y todo
tipo de artilugios empotrados y m-
viles. Tambin proliferaron los perif-
ricos: impresoras, escneres, plotters,
unidades backup, grabadoras de DVD,
cmaras digitales, telfonos IP, etc.
Mientras escribo estas lneas hay en el
mundo ya ms dispositivos compu-
terizados (aparatos compuestos por
CPU y chips de memoria) que seres
humanos. Y si no, pronto los habr.
c) Internet y las redes de alta velocidad
se han convertido en el canal prima-
rio para el intercambio de informa-
cin destinada a gran variedad de
usos. El despliegue de la red mundial
trae consigo una mayor eficacia de
las comunicaciones a travs del co-
rreo electrnico, la web, la telefona
IP y un sinfn de utilidades de transfe-
rencia de datos. Tambin son nuevas
las amenazas a las que el usuario se
halla expuesto: ataque de delincuen-
tes informticos, robo de informacin,
estafas por Internet, suplantacin de
identidad, mobbing, etc.
Es raro el profesional que trabaja por
su cuenta abogados, ingenieros, dise-
adores, traductores, peritos judiciales,
etc.- que no tiene que depender del or-
denador. Obligado por el progreso tec-
nolgico, ha tenido que convertirse ya
no en usuario experto, sino en un espe-
cialista en proceso de datos y, lo quiera
o no, en un gestor de informacin de
acceso reservado: correspondencia co-
mercial, sentencias de los tribunales,
extractos del Registro Mercantil, infor-
mes mdicos, testamentos y otros ins-
trumentos confidenciales pasan por el
escritorio del autnomo igual que por
un bufete de abogados o una notara.
Aparte de las obligaciones sealadas
por la ley, normalmente se exige un se-
creto absoluto en relacin con el conte-
nido de esos documentos.
Aunque cumplamos con diligencia, el
problema est en que compartimos in-
La confidencialidad en la Sociedad de
la Informacin, misin imposible?
Guardar el secreto profesional se vuelve
cada vez ms difcil. Aparte del deterioro
de los valores tradicionales, la culpa la
tiene el impresionante avance de las
Tecnologas de la Informacin. Cuando
todo funcionaba a base de hard copies
no haba problema. Sin embargo, la re-
volucin informtica de la segunda mi-
tad del siglo XX ha supuesto una suce-
sin de cambios, con tres tendencias
principales:
a) En primer lugar, ha tenido lugar un
crecimiento ms que exponencial del
volumen de datos generados por el
ser humano. En el ao 2006 se crea-
ron alrededor de 161 exabytes de in-
formacin digital (1 exabyte = 10
18

bytes, o un milln de gigabytes). Esto
equivale a tres millones de veces la
informacin contenida en todos los li-
bros escritos a lo largo de la Historia.
Tngase en cuenta que en el mundo
se publican ms de 3.000 libros al
da. En 2007, la masa de informacin
producida, capturada, digitalizada,
transmitida o copiada excedi, por
primera vez, la capacidad total de al-
macenamiento disponible. De seguir
a este ritmo, es posible que a co-
mienzos del ao 2011 la informacin
existente en el mundo llegue a dupli-
carse cada 72 horas. Un tsunami de
unos y ceros que, junto con el con-
sumo energtico, pone duramente a
prueba las actuales infraestructuras
informticas.
b) Los ordenadores son ya un ele-
mento ms de la vida cotidiana. Del
polgono de tiro migraron a la ad-
ministracin de las multinacionales,
y de all, tras la explosin cmbrica
que supuso la invencin del micro-
Francisco Lzaro Domnguez
Intrprete Jurado de Alemn.Experto en Seguridad de Datos e Informtica Forense
Proteccin de datos para el profesional y la
pequea empresa
Herramientas informticas, riesgos y mtodos
158 SEGURITECNIA Marzo 2010
Artculo Tcnico
cesitamos costosos sistemas de cintas
robotizados, cualquier soporte barato
nos sirve: discos duros externos, uni-
dades ZIP, un segundo disco duro, pen-
drives y copias en CD y DVD (de buena
calidad, por duplicado y conservados
segn las indicaciones del fabricante!).
Haga un backup, actualcelo peridi-
camente una vez por da, semana o
mes, dependiendo de su actividad-.
Y que sea para hoy mismo. No lo deje
ah, flotando en la zona muerta de los
buenos propsitos. De otro modo,
tarde o temprano, lo lamentar.
Si el usuario trabaja con datos valio-
sos, para empezar debera tener cui-
dado con las cadas de tensin. NTFS,
el sistema de archivos utilizado por
Windows XP, Vista y Windows 7, puede
reparar durante el arranque las estruc-
turas de datos corrompidas por un apa-
gado irregular del sistema, pero no hay
que confiar demasiado: nada nos ga-
rantiza una recuperacin al 100%
3
. Un
SAI (fuente de alimentacin ininterrum-
pida) resulta de gran ayuda, ya que nos
permite disponer de diez minutos para
guardar los archivos y detener el sis-
tema de manera ordenada en caso de
que se produzca un apagn.
Hoy da todo el mundo tiene antivi-
rus. Panda suele ser la norma, pero al-
gunos usuarios se quejan de proble-
mas de rendimiento por el elevado con-
sumo de recursos del programa. Los
productos de BitDefender y Avira Anti-
vir este ltimo fabricante dispone de
una versin gratuita para uso no comer-
cial- son una buena alternativa: peque-
os, eficaces y discretos. Hay otras op-
ciones. Busque en Internet un software
que se adapte a sus necesidades
4
. Lo
importante es tener actualizados los ar-
chivos de firmas
5
. Deje que el programa
los descargue siempre que sea necesa-
rio, aun al precio de tener que aguan-
tar algo de publicidad. Lo que es bueno
para el desarrollador de antivirus lo es
tambin para usted.
Tampoco deber descuidar otras me-
didas de proteccin: cortafuegos y pro-
gramas contra el software espa otra
plaga de Internet-, como la herramienta
Ad-adware de Lavasoft
6
. Igual de im-
presa, un tipo atltico, calvo y vestido
con chaqueta de corte italiano, se mete
el pulgar en la boca y te mira como
un nio de tres aos. Luego sucede lo
peor: Murphy ataca, la pantalla empieza
a mostrar signos raros y tenemos que
mandar el disco duro a Madrid para que
un especialista recupere lo que pueda a
cambio de tarifas abusivas.
Menudos hroes de la sociedad de la
informacin que estamos hechos. So-
mos la fuerza de choque mejor entre-
nada para hacer frente a una invasin
de troyanos? Y lo peor es que jams
aprendemos. A veces sera mejor que
nos dejaran seguir viviendo en la inopia.
Vaymonos a dormir tranquilos. Como,
de todas formas, la probabilidad de un
incidente informtico es tan pequea
Por otro lado, si de verdad quieren cu-
rarse de esta pereza que nos impide te-
ner un backup en condiciones, hay un
remedio que no falla: llamen a OnData,
Recovery Labs o cualquiera de las em-
presas que se dedican a la recuperacin
de datos borrados y pidan que les en-
ven un fax con la lista de precios.
Lo que les suceda al sistema opera-
tivo y a los programas no importa: ah
estn los discos de instalacin y las li-
cencias. Pero los datos son la sangre del
negocio. Sin ellos hay que bajar la per-
siana y comenzar de nuevo. Si quere-
mos hacer las cosas bien la solucin cae
por su peso: copias de respaldo. No ne-
o est prohibido, y de qu manera los
jueces responden ante conflictos que
el sentido comn quiz preferira ver
resueltos de otro modo. Las resolucio-
nes son firmes y marcan pautas para
el futuro. En sus conferencias, el ex-
perto Bruce Schneier no pierde oca-
sin de repetir que la seguridad infor-
mtica no es un producto sino un pro-
ceso. Nosotros diramos ms: toda una
cultura, una guerra preventiva contra
los costes y la prdida de imagen, in-
cluso un castigo de Dios impuesto al
hombre como penitencia por haber
abandonado el paraso terrenal de la
mquina de escribir y el fax: manten-
drs seguros los archivos con el sudor
de tu frente y horas quitadas a la placi-
dez del sueo.
Exposicin al riesgo
Bajemos a la trinchera digital para ha-
cer frente a algunas situaciones en que
la prdida de datos se manifiesta trau-
mticamente y de manera inesperada.
Antes de que el hacker comience a ba-
rrer puertos en su router ADSL, el usua-
rio habr tenido ocasin de pagar cara
la falta de una poltica de copias de res-
paldo. Los hay que tienen un disco duro
funcionando durante aos, dejando
que se atiborre con documentos, hojas
de clculo, bases de datos, nminas, co-
rreo electrnico, etc. Cuando pregun-
tas por el backup, el gerente de la em-
Artculo Tcnico
suma de dinero. Tambin es necesaria
una gestin adecuada de soportes da-
tos que incluya todos los aspectos ope-
rativos relacionados con los mismos:
desde la adquisicin hasta la elimina-
cin, pasando por la instalacin, el ma-
nejo, los privilegios de acceso y el tras-
lado fsico de los mismos.
Cifrando datos con TrueCrypt
Que exista riesgo de prdida de datos
no quiere decir que el usuario deba re-
nunciar al transporte de archivos me-
diante un disco duro externo o una
llave USB. Puede utilizar soportes en-
criptados. TrueCrypt
16
es un software gra-
tuito que permite codificar un volumen
(disco duro externo, pendrive, tarjeta de
memoria, DVD, etc.), de modo que, en
caso de prdida o robo, nadie pueda
ver lo que hay dentro. Este es el pro-
cedimiento que yo utilizo para trasla-
dar datos desde la oficina al ordenador
de mi casa. El manejo es simple y trans-
parente al usuario
17
. Tan slo se nece-
impacto negativo de todas estas medi-
das sobre la moral de la empresa. Qu
opinaran ustedes de un jefe de RRHH
que, para evitar que los empleados infrin-
jan la normativa antitabaco, mandase ins-
talar temporizadores en el interruptor de
la luz del cuarto de bao?
Aqu la tecnologa no resulta tan til
como una cultura de responsabilidad
adecuada. El personal de la empresa
debe tener claro que los datos son tan
importantes como el capital de la em-
presa de hecho, lo son en la Era del
conocimiento-, y apropiarse de ellos
equivale a cometer un delito tan grave
como el robo de una mquina o una
El problema que suponen dispositivos
como los mencionados en manos de tra-
bajadores desleales es uno de los gran-
des temas de la seguridad corporativa, y
nada fcil de resolver, por cierto. Natural-
mente, la direccin puede quitar las dis-
queteras de los ordenadores o desactivar
el acceso a dispositivos USB en el regis-
tro de Windows
13
, pero este obstculo se
sortea fcilmente con un Live-CD
14
(Kno-
ppix, Ubuntu, OpenSuSe, RescueCD, etc.). El
simple hecho de arrancar un ordenador
desde un soporte live permite saltar por
encima de cualquier proteccin existente
en el sistema, incluyendo la contrasea
del administrador
15
. Por no mencionar el
El peligro que suponen los discos duros fuera
de control es real y bastante ms probable que la
amenaza de hackers a travs de la Red
'&3*"*/5&3/"$*0/"-%&4&37*$*04%&
3&4$"5&13&7&/$*/%&*/$&/%*04:
1305&$$*/'3&/5&"$"54530'&4
Mahringer ConsuItores de Ierias InternacionaIes, S.L.
infoQhf-spain.com 7If.: +34 91 713 01 46
www.interschutz.de
162 SEGURITECNIA Marzo 2010
Artculo Tcnico
de aos de trabajo, de experiencia pro-
fesional, del fondo de comercio de su
empresa. No es conveniente tomar
medidas para asegurar su proteccin?
La informacin es el activo empresa-
rial ms valioso. La dinmica que pre-
side el crecimiento del volumen de da-
tos se puede resumir en pocas frases:
cuanto mayor es la facilidad con que
disponemos de la informacin, ms
tendemos a compartirla. Cuanto ms
la compartimos, ms oportunidades
existirn de que alguien la emplee de
forma no autorizada. Si nuestro negocio
o nuestra actividad profesional depen-
den de la informacin y no podemos
controlar las comunicaciones, ni prote-
gemos la privacidad, entonces tenemos
un problema.
Lo ms importante: no venda ni re-
gale ordenadores usados, y, sobre todo,
quteles el disco duro. No permita que
un disco con el que ha estado traba-
jando durante aos se aleje de sus ma-
nos. No lo subaste en eBay ni lo done a
una ONG. Coja el destornillador y saque
ese disco. Hgalo usted mismo. Ade-
lante, es ms fcil de lo que cree. Gur-
delo para siempre, inutilcelo, destruya
sus platos y desrmelo. Le parece exa-
gerado? Tal vez no me haga caso la
cantidad de discos duros usados que
cial. Clientes y Administraciones Pbli-
cas continuarn planteando exigencias
paranoicas. Por tanto, conviene seguir
con atencin todo lo que suceda en
el mbito de la proteccin de datos. El
usuario dispone de una excelente gua
en el citado libro de Microsoft Ibrica:
La Proteccin de Datos Personales. So-
luciones en Entornos Microsoft.
El inmovilizado material que solamos
guardar en archivadores y cajas de car-
tn se halla hoy concentrado en el in-
terior de una carcasa metlica de trece
centmetros de largo por siete y medio
de ancho y tres de espesor que pesa
algo ms de un kilo. Tambin cabe en
un pendrive no ms grande que el dedo
meique. Las posibilidades de copia,
y tambin de prdida o robo, son in-
versamente proporcionales al tamao.
Los soportes de datos incluyen no sola-
mente los documentos elaborados por
la empresa, sino tambin la contabili-
dad, facturas, correspondencia comer-
cial, archivos de clientes y proveedo-
res, memorias de traduccin y, lo que es
ms importante, gran cantidad de do-
cumentos originales escaneados por
los clientes y enviados por correo elec-
trnico. Me va a decir usted que todo
esto no son ms que unos y ceros? No
se trata de un simple disco duro, sino
sita una contrasea, y una vez mon-
tado el volumen las operaciones con
archivos -copia, escritura, borrado- se
llevan a cabo mediante arrastrar y pe-
gar. TrueCrypt incluye diferentes algo-
ritmos de cifrado (AES, Serpent, Twofish)
y permite encriptar la propia particin
del sistema operativo en Windows
XP y Vista-, con lo que la prdida de
un ordenador porttil con datos valio-
sos no genera otros perjuicios que los
derivados de la sustitucin del hard-
ware. En pases como Estados Unidos,
cuyas leyes en materia de seguridad
de datos son particularmente seve-
ras, la encriptacin ofrece la ventaja
de que, en caso de que el soporte se
extrave, no es necesario dar parte de
ello en virtud de la normativa full dis-
closure. Aparte de TrueCrypt, el usua-
rio dispone de otras herramientas, gra-
tuitas y de pago, que pueden resultar
tiles para proteger datos mediante ci-
frado. Como en el caso de los antivirus,
le animo a que busque en Internet la
solucin que mejor se adapte a sus pre-
ferencias.
Conclusiones
Se aproximan tiempos decisivos para la
relacin entre la pequea empresa y las
tecnologas de la informacin y las tele-
comunicaciones, que es tanto como de-
cir para todo el mundo. Las exigencias
de la ley son perentorias. En un con-
texto algo ms amplio, el perfecciona-
miento de los estndares de seguridad
es inevitable en una poca histrica
marcada por la lucha contra el terro-
rismo, el trfico de drogas, la delincuen-
cia internacional, el blanqueo de capita-
les, la piratera de producto y otros ene-
migos de la civilizacin. Los intereses
del pueblo y la Seguridad del Estado
deben estar por encima de todo. Aun-
que en el futuro esto llegara a cambiar
y tuviera lugar una reaccin contra los
excesos del poder, volvindose a valo-
rar las libertades cvicas por encima de
la seguridad, no por ello disminuiran
los requerimientos en materia de confi-
dencialidad y calidad de la informacin.
El volumen de datos continuar cre-
ciendo a un ritmo ms que exponen-
SEGURITECNIA Marzo 2010 163
Artculo Tcnico
aparecen tirados por ah son prueba de
que la gente no se toma en serio la ad-
vertencia-. All usted. Simplemente he
querido darle un buen consejo basado
en mi propia experiencia.
No piense que por utilizar una he-
rramienta de borrado seguro la cosa
cambia. Estos programas funcionan
bien, haciendo desaparecer sin posi-
bilidad de recuperacin todos los da-
tos mediante el procedimiento de ma-
chacarlos con varias capas de infor-
macin aleatoria. Pero, cmo estar
seguro de que no quedan copias del
archivo en otras ubicaciones del disco
duro, la papelera de Windows (incluso
despus de haberla vaciado), carpetas
temporales o el archivo de paginacin
de memoria? Y si su ordenador utiliza
Windows 2000, XP o Vista sobre un sis-
tema de archivos NTFS, los metadatos
y otras informaciones correspondien-
tes al archivo borrado (propietario, fe-
cha y hora de creacin, modificacin,
ltimo acceso, etc.) permanecern en
la MFT
18
. Aunque no pueda leerse el
contenido, se sabr que el archivo es-
tuvo en su ordenador. Cuestin par-
ticularmente delicada para quienes
ponen a sus archivos nombres des-
criptivos como morosos_y_otros_in-
deseables. xls, dios_qu_tonto_es_
mi_jefe.doc o turismo_rural_con_
la_bailarina_del_liceo.rtf.
No es buena idea compartir estacio-
nes de trabajo. Windows XP y Vista al
igual que los sistemas Unix- admiten
perfiles y usuarios, cada uno de ellos
con sus privilegios de acceso, su con-
trasea, archivos protegidos y dems.
Pero nada se halla a salvo de la curio-
sidad de un usuario experimentado en
el manejo de un live-CD con la ltima
distribucin Linux. Disponiendo de ac-
ceso directo al hardware no hay ms l-
mite que la imaginacin del intruso.
Los hackers son como las chicas malas:
llegan donde se proponen. A prop-
sito, los hay muy jvenes. Puede que
en estos momentos uno de ellos est
detrs de usted mirando la pantalla
del ordenador, mientras se desabro-
cha el anorak y deja a un lado la car-
tera del cole. S
Pies de pgina
1. Tambin asociaciones culturales, ONG, fundaciones benficas e, incluso, comunidades
de vecinos tienen ficheros registrados en la AEPD.
2. J.M. Alonso, J.L. Garca Antonio Soto, David Suz, Jos Helguero, M Estrella Blanco, Miguel
Vega y Hctor Snchez: La Proteccin de Datos Personales. Soluciones en entornos Mi-
crosoft. Microsoft Ibrica S.R.L. (2009).
3. El journaling, mtodo de seguridad a base de transacciones atmicas utilizado por al-
gunos sistemas de archivos como NTFS, Linux Etx3 y ReiserFS, restablece la integridad de
las estructuras de datos, deshaciendo las operaciones de escritura incompletas y devol-
viendo el sistema de archivos al estado inmediatamente anterior a las mismas.
4. http://www.av-comparatives.org/
5.Firmas: cadenas de caracteres que el software antivirus reconoce como caractersticas de
un determinado programa parsito y que le sirven para identificarlo y tomar medidas
contra l. La difusin de virus polimrficos y encriptados durante los ltimos aos ha he-
cho que la estrategia basada en la simple deteccin de cadenas de caracteres haya que-
dado obsoleta. Los antivirus actuales utilizan un enfoque ms amplio que incluye tc-
nicas heursticas, vigilancia de puertos y comportamiento atpico, e, incluso, inteligen-
cia artificial.
6. http://www.adaware.es/
7. Que posiblemente exista, pero no sea tan sofisticada ni espectacular como pretenden ha-
cernos creer la prensa y los informes de la Comisin Europea.
8. La Informtica Forense es una especialidad tcnica que se ocupa de obtener, investigar y
documentar duplicados de soportes de datos informticos con el fin de extraer pruebas
vlidas para los departamentos de Seguridad de las empresas, la Polica o los tribunales.
9. Simson Garfinkel y Abi Shelat: Remembrance of Data Passed. A Study of Disk Sanitiza-
tion Practices, Data Forensics January/February 2003 (http://computer.org/security/).
10. Este disco duro proceda de un ordenador bastante antiguo, pero se hallaba en unas
condiciones fsicas perfectas y, junto a los datos del propietario, tena intactos todos los
archivos del sistema, de modo que extraje una imagen del medio y, con la ayuda de una
herramienta de cdigo libre llamada qemu, me fue posible convertirla en un disco vir-
tual compatible con VMware. Utilizando despus este conocido software, cre una m-
quina virtual y, a los pocos minutos, dispuse de una rplica del ordenador, con su sis-
tema DOS 6.0, su flamante Windows 3.1 y un conjunto de utilidades prehistricas (Word
2.0, Symphony, etc.), pudindolas contemplar en pantalla exactamente igual a como las
vea aos atrs el propietario de la mquina desechada.
11. El autor del presente artculo ya no dispone de los resultados de su investigacin con los
soportes de datos que se mencionan. Al no estar seguro de la situacin legal en Espaa
en cuanto a estas operaciones practicadas con una informacin procedente de otras
personas, en la cual haba datos perfectamente clasificables como de naturaleza perso-
nal conforme a los criterios de la LOPD, decidi borrar todas las imgenes de los medios,
los archivos recuperados, protocolos y notas. nicamente conserva el stock de discos du-
ros y varias tarjetas de memoria para cmara digital adquiridas en eBay.
12. Guy Bunker, Gareth Fraser-King: Data leaks for Dummies, Wiley Publishing (2009).
13. O dejar los puertos USB inutilizados con pegamento, como ha llegado a hacer algn
empresario con muy poco tacto.
14. Un live-CD es una distribucin Linux que arranca desde el mismo soporte (CD, DVD,
llave USB o disco duro externo) sin necesidad de instalar nada en el disco duro.
15. Pero, afortunadamente, no los volmenes encriptados: otra de las ventajas de utilizar
TrueCrypt en la particin del sistema operativo.
16. http://www.truecrypt.org
17. Transparente quiere decir que la tarea de encriptacin se ejecuta en segundo plano sin
que el usuario advierta nada, salvo por la ventana abierta o el icono en la barra de ta-
reas de Windows.
18. MFT = Master File Table (Tabla Principal de Localizacin de Archivos); es la estructura de
datos de la cual se sirve un sistema de archivos NTFS para localizar los archivos dentro de
un volumen.