Análisis de Riesgos: Eventualidades Amenazantes
LA AMENAZA: “FUGA DE INFORMACIÓN”
La amenaza a la seguridad de la información en cualquier institución varía desde pérdidas por accidente hasta ataques deliberados por:
• Mercenarios de información.
• Hackers de computadoras.
• Periodistas investigativos.
• Sindicatos.
• Crimen organizado.
• Agencias de gobiernos extranjeros.
• Competencia institucional.
EL ESPIONAJE
Esta potencial amenaza va a ser considerada normalmente como parte de la gestión de riesgos de seguridad de la institución, de los cuales, los servicios técnicos de contra medidas de vigilancia deben ser consideradas como un componente integral.
Así como avanza la tecnología y es más accesible, también se encuentran personas con experiencia, corruptas, para darle mal uso. Uno de los facto- res que podría generar un ataque del espionaje institucional, puede ser algún profesional desempleado o mal pagado en algunas empresas privadas, nacionales o extranjeras.
ESPIONAJE ELECTRÓNICO
Actualmente, muchas personas han encontrado una “forma de vida“ al realizar trabajos de espionaje electrónico, considerando además que muchos países no están preparados en sus legislaciones para sancionar este tipo de hechos delictivos, hay que ponerle mucha atención a la prevención de esos ilícitos.
EL RIESGO
Erróneamente, mucha gente considera que la forma más común de ataque de vigilancia técnica, es un aparato de radio frecuencia fácil de colocar. Se sabe y se cree firmemente que existen diversos métodos de ataque a diferentes niveles de protección; algunos de los factores por los cuales se realizan estas acciones de espionaje informativo son:
1. Recolección de información, para planificar y ejecutar un plan en contra de un funcionario o institución específica.
2. Malas medidas de seguridad física o electrónica en el objetivo.
3. Información a cambio de dinero u otras recompensas: “yo te doy, tú me das”.
4. Factores técnicos, sin control, que facilitarían un robo de información.
5. Disponibilidad de equipo o equipos de fácil acceso al área segura.
PERSONAL INVOLUCRADO
Es necesario y básico tener una “auditoría” permanente sobre el o los equipos humanos que participan en un proyecto de seguridad específico, tanto interna como externamente, a tiempo completo. Y proveerlos de entrenamiento y tecnología del más alto nivel táctico, así como de consultores y asesores de experiencia en el tema.
También contar con equipo técnico del más alto nivel táctico, no comercial y que sea revisado y actualizado constantemente. Este equipo puede ser importado de algún país que cuente con la certificación correspondiente.
METODOLOGÍA Y PROCEDIMIENTOS OPERATIVOS
• Investigación de personas, internas, externas y visitantes sobre actividades relacionadas que puedan ser susceptibles a fuga de información confidencial.
• Búsqueda a distancia de radio frecuencias para detectar e identificar mediante equipo especial, señales de cualquier amenaza a la información que esté transmitiendo.
• Realizar un registro electrónico para localizar micrófonos y equipo que emanen señales dentro del rango de frecuencia de 300 Hz hasta 15 KHz.
• Buscar micrófonos cableados, modificación en los teléfonos de uso (que son los más difíciles de detectar).
• Identificar equipos como grabadoras de cassette y micro cámaras.
• Revisar el material de construcción, estructuras prefabricadas, muebles y adornos, esto se realizará con un aparato especializado en detectar equipo no cableado con un segundo y tercer detector armónico, el cual activará cualquier micrófono aun cuando no esté activado.
• Inspección física y electrónica del equipo de comunicación: intercomunicadores, salidas de línea telefónica e Internet y de todos los equipos electrónicos en las áreas designadas de trabajo.
• Inspección física periódica del edificio y oficinas, incluyendo baños, áreas de descanso, salas de visitas y otras. Se deben tomar fotografías para ver los cambios físicos en sus estructuras permanentes.
• En lugares específicos donde se crea apropiado, se colocarán sellos de seguridad y en otros lugares UV, los que serán numerados y chequeados continuamente para evitar ataques de espionaje.
• Para mantener la discrecionalidad y confidencialidad sobre este tipo de operaciones de seguridad y prevención de riesgos, se requiere tratar el tema con una sola persona, las reuniones para intercambio de información deben ser llevadas a cabo en sitios ajenos al área de trabajo con quien se deberá firmar un acuerdo de confidencialidad.
PROCEDIMIENTO AL DESCUBRIR APARATOS DE ESPIONAJE O PERSONAS RELACIONADAS
Al descubrir un robo o intercambio de información se procederá a informar, discretamente, al responsable de la seguridad interna o director del proyecto y se mantendrá el aparato o persona descubierta funcionando para detectar su procedencia o contacto externo. Además servirá de prueba en un caso legal al descubrir a los perpetradores del hecho.
Las operaciones de rastreo y búsqueda se realizarán, preferiblemente, en horario nocturno, fines de semana o días de asueto largo con un tiempo aproximado de tres horas por área de búsqueda.
REPORTE DESPUÉS DE LA OPERACIÓN
Al finalizar una operación de búsqueda, se presentará un reporte confidencial detallado con todos los hallazgos y un listado de los sellos de seguridad colocados y alterados, con las recomendaciones de seguridad a seguir para mantener el nivel de seguridad requerido en las áreas revisadas.
