Sophos: “Cumplir la normativa no garantiza la seguridad”

Los servidores web de una gran cantidad de ayuntamientos, sobre todo de localidades de menor tamaño, no son seguros, lo que significa que los datos de los ciudadanos están en riesgo de ser interceptados.

Utilizar una versión SSL obsoleta, ser vulnerables a ataques Poodle o Freak y utilizar certificados que no son confiables son las principales vulnerabilidades detectadas en un estudio en el que han colaborado la empresa de seguridad Sophos, junto a Securízame, y Abanlex, un despacho de abogados. El estudio se titula “Informe sobre la necesidad legal de cifrar información y datos personales” y la principal conclusión es que 9 de cada 10 ayuntamientos en España no cuentan con suficientes medidas de seguridad.

Las vulnerabilidades antes mencionadas permiten: espiar las comunicaciones de las víctimas para obtener datos confidenciar; accedr al sistema y robar información de múltiples usuarios; obtener datros de acceso para proceder al robo de datos; descifrar la comunicación y proceder al robo de información mediante la suplantación del usuario.

A destacar el uso de certificados firmados por la Fábrica Nacional de Moneda y Tiembre (FNMT) que algunos de los navegadores más utilizados, como Mozilla Firefox o Google Chrome, no pueden verificar, lo que hace saltar las alertas de conexiones no seguras.

Una inseguridad que cumple con la normativa

Lo más curioso es que los autores del informe sugieren que no por ser inseguros, los servidores web de esos ayuntamientos han dejado de cumplir con la normativa. Como asegura Pablo Teijeira, Director General de Sophos Iberia, “actualmente aún existe una gran diferencia entre cumplir una ley y contar con un operativo de seguridad que realmente sea seguro y proteja la información sensible de todos los ciudadanos. Desde un punto de vista puramente legal es posible decir que casi todos los Ayuntamientos cumplen con la normativa”.

El problema, continúa diciendo Teijeira es que “la seguridad es un ecosistema que cambia rápidamente y que ha dejado atrás la legislación vigente”.

Se proponen algunas soluciones para reducir los riesgos existentes tanto para ciudadanos como para instituciones:

• Actualizar y configurar de forma correcta los diferentes servicios afectados
• Apoyarse en fabricantes de seguridad que ofrezcan un acceso seguro a las aplicaciones que no necesitan ser modificadas o actualizadas
• El cifrado de los ficheros que contengan datos personales, protegiendo la información ante un robo físico de los dispositivos que contienen los datos

Cifrado sí o sí

Bajo el título de un informe que muestra las debilidades de un alto porcentaje de ayuntamientos, se esconde también otro objetivo: desmitificar el proceso de cifrado de datos.

“Cifrar no es complicado, el coste es asequible y los beneficios se muestran desde el inicio”, aseguran los autores del informe, añadiendo que hoy en día es más sencillo cifrar que lo que era en 2006 y que las herramientas de cifrado son cada vez más comunes.