Archivo de la categoría: Seguridad

La máquina Enigma en España


Máquinas Enigma españolas

Máquinas Enigma españolas

Reproduzco de la edición de hoy del periódico El Pais el interesante reportaje El arma secreta de Franco.

Su autor es Rafael Moreno Izquierdo, profesor de Periodismo en la Universidad Complutense de Madrid (España) y se ha publicado el 12 de octubre de 2008 en el Suplemento Domingo (aunque la fecha de El Pais Digital es 11/10/2008).

Una investigación de EL PAÍS descubre en una oficina del Ejército de Tierra un lote de las máquinas Enigma, que, compradas a Hitler, permitieron al bando nacional encriptar mensajes.

Franco contó durante la Guerra Civil con un arma secreta que le permitió estar conectado de forma segura y permanente con sus principales generales para coordinar las ofensivas bélicas y mantener a los militares republicanos ciegos sobre sus intenciones. Era una especie de máquina de escribir que consistía en un sofisticado sistema de cifrado para su tiempo fabricado por la Alemania nazi y denominado Enigma. EL PAÍS ha encontrado estas máquinas secretas españolas, que han permanecido ocultas más de 70 años.

En una oscura oficina del cuartel general del Ejército de Tierra, muy cerca de la plaza de Cibeles, se acumulan 16 cajas de madera que hasta un chamarilero despreciaría. Sin embargo, el brigada que nos acompaña las toma con cuidado. Una a una. No sólo por su peso, unos 11,5 kilos, sino porque es consciente de que entre sus manos tiene una pieza de historia. Carecen de cañones y explosivos, pero desempeñaron un papel trascendental para que los nacionales ganaran la contienda. Las deposita sobre una larga mesa de madera de una sala de reuniones contigua. Todas son iguales. De 30 centímetros de largo, 28 de fondo y 15 de alto. Sin marcas exteriores, pero con cerradura. Cuando ha puesto varias, las abre. Se asemejan a las máquinas de escribir de nuestros abuelos. Esas que guardamos como reliquia. De color negro, destacan tres filas de teclas con 26 letras del alfabeto y los guarismos del 0 al 9 en blanco. Carecen de carro y de rodillo para colocar el papel. En su lugar hay un panel con las mismas letras que se iluminan y, además, sobresalen varios rotores con muescas que giran y unas minúsculas ventanas, a través de las que se aprecia una letra o un número. Estamos delante de uno de los objetos más deseados y buscados por expertos, coleccionistas y, sobre todo, criptógrafos, los dedicados a ingeniar métodos para enviar y recibir mensajes de forma segura. La máquina Enigma es, por excelencia, la pieza más deseada en ese mundo de secretos, a pesar de que no fuera la más perfecta, ni la más manejable ni, por supuesto, la más segura. Casi todos hemos visto las películas Enigma (2003) y U-571 (2001), que cuentan cómo los aliados obtuvieron máquinas Enigma para conocer las posiciones y movimientos de los temibles submarinos alemanes durante la II Guerra Mundial, pero pocos saben que esta guerra encubierta comenzó en los campos de batalla españoles, al ser nuestra Guerra Civil, la primera contienda donde se puso en práctica esta máquina de cifrado. Además, en muy escasas ocasiones se han descubierto tantas juntas porque había órdenes estrictas de destruirlas para que no cayeran en manos del enemigo. España fue un caso excepcional. Británicos, soviéticos y estadounidenses recuperaron algunas al final de la guerra, pero hasta ahora se conocía muy poco del destino de las Enigmas españolas. Y lo más sorprendente es su perfecto estado.

La historia de estas Enigmas comienza en el verano de 1936. En esa época, España no era, ni mucho menos, una potencia criptográfica, y la manera de ocultar sus comunicaciones telegráficas y radiales -fueran militares o diplomáticas, entre Madrid y las embajadas en el mundo- consistía en libros de cifra que transformaban la información (texto claro para los expertos) en otro ininteligible (texto cifrado) según una clave formada por conjuntos de números y letras. Entonces se carecía de sistemas mecánicos.

Hoy sabemos que Londres rompió, como dicen los criptoanalistas, los códigos y las claves españolas durante la I Guerra Mundial (1914-1918) gracias a penetrar clandestinamente en la Embajada española en Panamá y robar su libro de cifra. El 24 de agosto de 1918, los británicos entregaron fotocopias del mismo a la Oficina de Cifra de Estados Unidos -conocida como MI-8 o Black Chamber-, dirigida por el mítico criptógrafo Herbert O. Yardley, quien se puso inmediatamente manos a la obra. En escasas semanas y con la ayuda de una espía infiltrada como secretaria en la delegación española en Washington, a la que se bautizó con el nombre de Señorita Abbott, Yardley logró descifrar la clave -que denominó Número 74- y, a partir de entonces, los estadounidenses pudieron conocer los telegramas enviados por el presidente del Gobierno español, conde de Romanones, o su ministro de Estado (Exteriores), Eduardo Dato-. Algunos de ellos pueden hoy consultarse en las carpetas almacenadas en los Archivos Nacionales de Estados Unidos en Maryland.

Conscientes o no de estas debilidades, el Gobierno de la República hizo gestiones para adquirir en Europa las más modernas máquinas de cifra y mejorar la seguridad de sus comunicaciones. En 1931, el embajador en Berlín recibió una oferta para adquirir máquinas Enigma, modelo A, a un precio unitario de 600 marcos (unos 1.000 euros actuales). Sin embargo, se desechó esta opción y se optó por comprar tres máquinas tipo Kryha por 1.000 marcos cada unidad -una para el Ministerio de Estado, otra para la Embajada en Berlín y una de reserva-, que al final fueron del modelo de bolsillo Liliput. Tres años después, en 1934, el Ministerio de Estado autorizó otra compra, esta vez a través del consulado en Copenhague, de dos aparatos más por 414 pesetas.

El levantamiento del 18 de julio representó un gran reto en el campo de las comunicaciones. Sus principales líderes -Mola, Franco, Queipo de Llano- necesitaban desesperadamente intercambiar información sobre su situación y previsiones a través de la radiotelegrafía, al no estar conectadas sus zonas de operaciones. El problema radicaba en que ninguno de ellos podía utilizar los códigos y claves que tenían en servicio. Era imprescindible improvisar mecanismos mucho más seguros que los anteriores para que no pudieran ser leídos por los republicanos. Las primeras semanas fueron de confusión y precariedad, hasta el extremo de utilizarse incluso diccionarios impresos comerciales para generar los mensajes cifrados. Confirmada la necesidad de prepararse para una larga contienda, ambos bandos pusieron énfasis en la normalización de las cuestiones de cifra. Aun así no fue algo fácil, y el desconcierto llegó hasta tal extremo, que durante los primeros ocho meses de Guerra Civil, las dos marinas -la nacionalista y la republicana- usaron los mismos códigos (basados en el código Perea), aunque con algunas variaciones.

El punto de inflexión en el bando nacionalista se produce en noviembre de 1936. Las tropas de Franco habían tomado Badajoz y ampliado su ocupación en el norte, pero quedaron detenidas en Madrid. El generalísimo asumió que la guerra requería de ofensivas coordinadas en distintos frentes y una dirección centralizada. Por ello solicitó a Alemania la venta de 10 máquinas Enigma, que llegaron rápidamente para ser distribuidas: ocho entre las máximas autoridades militares y dos para los representantes nacionalistas en Berlín y Roma «para su inteligencia» con el Gobierno de Burgos. Una de las unidades se quedó en el Gabinete de Cifra del Cuartel General del Generalísimo; otra, en la Secretaría General de Estado, y el resto fueron enviadas con extremas medidas de seguridad a las principales unidades militares (Ejército del Norte, jefe de las fuerzas militares de Marruecos, Ejército del Sur, Cuerpo del Ejército de Galicia, Comandancia General de Baleares, etcétera). Algunas de estas primeras máquinas forman parte del lote descubierto en el Estado Mayor del Ejército de Tierra, y tienen como números de serie K-203, K204, K-205, K-206. K-207. K-208, A-1232, A-1233, A-1234, y A-1235.

Hitler ya había decidido entonces su firme apoyo a Franco, pero en este campo de la criptografía no fue tan generoso como en otros y no envió a España sus modelos más avanzados. Al contrario que con los carros de combate o los cazas, Berlín vendió a los nacionalistas el modelo comercial de la Enigma, muy inferior a los usados poco después por la Wehrmacht, la Abwehr y las SS. El Alto Mando Alemán era consciente del riego que corría si alguna de las máquinas caía en manos de británicos o soviéticos y, probablemente, no tenía demasiada confianza en los españoles, pues cualquier descuido dejaría esta arma secreta al descubierto.

La máquina Enigma fue creación de Hugo Alexander Koch, un ingeniero holandés que la patentó en 1920, pero que, por problemas económicos, tuvo que venderla a Arthur Scherbius y a Richard Ritter, quien a su vez se asociaron con el berlinés Willie Korn para crear la empresa Enigma Chiffiermaschinen AG. La primera versión A, orientada para asegurar las comunicaciones empresariales, se presentó en Berna en 1923. A pesar de su poco éxito, fabricaron tres modelos más comerciales (B, C, y D) antes de poner las miras en las Fuerzas Armadas y el Gobierno alemán. La primera en adoptarlo para cifrar sus comunicaciones fue la Kriegsmarine en 1926. Dos años después lo hizo el Ejército de Tierra, y a partir de 1935, el del Aire, la Gestapo, las SS y todas las organizaciones públicas alemanas, incluido su servicio secreto y de inteligencia. El Ejército alemán llegó a contar con más de 30.000 en funcionamiento, aunque se calcula que se llegaron a fabricar más de 200.000 unidades de todos los modelos.

La versión militar de la Enigma se distingue de la comercial por disponer de panel de conexiones y, en algunos casos, de un rotor más. Era considerado como un invento genial porque creaba para cada mensaje su propia clave, por lo que algunos opinaban que era el cifrador ideal, al considerarse imprevisible e indescifrable. Hay que recordar que entonces no existían ordenadores y todo el cálculo de posibilidades tenía que hacerse a mano. Los alemanes introdujeron durante la guerra innumerables modificaciones, lo que impidió que Moscú lograra su desciframiento, aunque sí lo lograron británicos y estadounidenses.

El modelo vendido a los españoles fue el D, es decir, el más avanzado dentro de la gama comercial y similar al que Berlín cedió a los italianos antes de que comenzara la guerra mundial, y posteriormente, a los suizos. En diciembre de 1939, los marinos italianos cedieron algunas a la Armada española para coordinar junto con Alemania el supuesto bloqueo de las costas españolas acordado por la Sociedad de Naciones.

El cifrado con la máquina Enigma representaba un proceso largo y pesado. Requería dos operarios que debían trabajar conjuntamente: uno pulsaba las letras, operación relativamente lenta, ya que las teclas debían presionarse con mucha fuerza para girar los rotores, y otro registraba la letra cifrada, que se encendía en el panel superior de bombillas. Las máquinas comerciales como las españolas contaban con tres rotores, mientras que el modelo militar rediseñado contaba con otros sistemas añadidos. Para descifrar los mensajes enviados se usaba el mismo sistema, pero al revés.

El encargado de recepcionar las máquinas y adiestrar a los operarios nacionales fue el comandante Antonio Sarmiento, miembro del Estado Mayor y jefe de la Oficina de Escuchas y Descifrado del Cuartel General del Generalísimo, y cuyo nombre ha sido desconocido hasta hace muy poco. En un informe redactado en Salamanca en noviembre de 1936 y guardado en el EMAD, Sarmiento describe cómo usar las máquinas y explica los ajustes necesarios para el correcto cifrado de los mensajes. «Para dar una idea del grado de seguridad que se consigue con estas máquinas», afirma, «basta decir que el número de combinaciones posibles de acordar se eleva a la fabulosa cifra de 1.252.962.387.456». En este documento se menciona otra máquina más, la K-202, que algunos afirman fue la usada por el Gabinete de Cifra del Cuartel General de Franco.

No hay fotos de operarios utilizándola, ni documentación alguna sobre los mensajes que se cifraron, pero está claro que fueron usadas para las comunicaciones más sensibles entre Franco y sus generales más significativos. También está probado que el Generalísimo la llevaba cuando se trasladaba al frente en su puesto de mando móvil Terminus y siempre la mantuvo muy cerca. Su funcionamiento fue tan satisfactorio -los republicanos nunca pudieron des-cifrarla- que, en enero de 1937, coincidiendo con la toma de Málaga por el cuerpo expedicionario italiano y la ofensiva nacionalista sobre Jarama, el Gobierno de Burgos adquirió 10 unidades más del mismo modelo (de la K-287 a K-294, más las K-225 y K-226).

Josep Ramón Soler Fuensanta, uno de los mayores conocedores de temas criptográficos españoles y autor de un reciente libro sobre el tema en unión de Francisco Javier López-Brea Espiau, afirma, asimismo, que la Legión Cóndor, la fuerza aérea enviada por Hitler a España, utilizó para sus comunicaciones máquinas Enigma del modelo comercial, y no las militares que usaron durante la II Guerra Mundial. Hay constancia de que el Grupo Imker, el componente terrestre de la Legión, manejó cinco máquinas Enigma que facturó a España a un coste de 617 marcos, o su equivalente de 2.122,48 pesetas, y 22 Enigma para el Ejército a un coste unitario de 525 marcos alemanes. Al ser facturadas por Berlín se supone que se quedaron en España tras abandonar las tropas alemanas nuestro territorio en 1939.

El caso más curioso relacionado con estas máquinas durante la contienda civil española se refiere a la desaparición de una de ellas, la número K-203, adquirida dentro del primer lote y asignada en un principio a la Secretaría General de Estado. Poco después se decide que tiene que ser enviada a Roma. Se acordó remitirla a finales de noviembre o a principios de diciembre de 1936 y en dos envíos distintos, por un lado, la máquina, y por otro, el manual de funcionamiento. Sin embargo, en diciembre de 1937 se echa en falta que la delegación continúe utilizando sólo claves y libros de códigos y nunca haya enviado telegramas con cifrado mecánico. Al final se decidió dar carpetazo al asunto.

El número exacto de Enigmas españolas continúa siendo una incógnita. El criterio más extendido es que se adquirió aproximadamente medio centenar, aunque lo más probable es que hayan sobrevivido cerca de 30, algunas incluso en manos privadas. Las investigaciones de EL PAÍS aseguran que, además de las 26 localizadas en el Cuartel General del Ejército -algunas de las cuales han sido ya distribuidas por diversos museos militares regionales y pronto serán accesibles al público-, existe más de una docena en lo que hoy es el Estado Mayor Conjunto (EMAD) y en el Centro Nacional de Inteligencia (CNI). Se supone, incluso, que la Armada pueda custodiar varias más.

Es una incógnita hasta cuándo las máquinas Enigma estuvieron en servicio en España. Según algunas fuentes, fueron retiradas a comienzos de la década de los cincuenta. A partir de entonces fueron recogidas y abandonadas en una buhardilla del Palacio de Buenavista, hasta que hace unos meses, haciendo un inventario, alguien descubrió esas cajas de madera y decidió conservarlas.

Seguridad Jurídica en Medios de Pago


Mañana y pasado (7 y 8 de octubre de 2008) participaré en el evento Seguridad Jurídica en Medios de Pago organizado por el IIR.

Mis módulos (3 y 4) los impartiré la tarde de mañana y seguiré la mañana del miércoles.

MODULO 3
Gestión del fraude y evidencias electrónicas. Métodos especiales de autenticación

MODULO 4
Implicaciones jurídicas de la contratación electrónica mediante DNIe y otros certificados

En unos dias, el 15 y 16 de Octubre de 2008 tambien participaré en el Seminario Especificaciones Técnicas de la nueva normativa de Facturación Electrónica (facturae) organizado por IIR España, Institute for International Research y que lo desarrollamos completamente personas de Albalia Interactiva

Posteriormente,  el 28 y 29 de Octubre de 2008 tambien participaré en el Seminario PCI DSS organizado por IIR España, Institute for International Research, junto con Lara Fiorani (PCI DSS Technical Manager de Visa Europa) y Pedro Sánchez (Director de Seguridad de ATCA).

Peritos informáticos e Ingenieros forenses


Es un título de post quizá un poco pretencioso, pero es lo que quisiera destacar del artículo que ayer publicó El Pais, con la pluma de Jesús García.

‘Colgar’ delitos en Youtube se paga

Los usuarios de Internet se creen libres, pero la Red ya no es el territorio de la impunidad – Policía e investigadores privados tienen cada vez más medios para rastrear huellas y cazar a los infractores

JESÚS GARCÍA 13/08/2008

Un novio despechado que cuelga fotos de su ex, ligera de ropa, en una página de contactos. Un joven que intenta batir récords de velocidad con su coche tuneado por una carretera comarcal, lo graba y lo comparte con la audiencia mundial de Youtube. O una mujer que exhibe, en su blog personal, fotos de sus amigos sin que éstos lo sepan. Estos comportamientos se han extendido con Internet. Por ignorancia o temeridad, sus autores se creen libres de actuar así sin que haya consecuencias. Pero los responsables policiales, los abogados expertos en delitos informáticos y las asociaciones de usuarios lo tienen claro: Internet no es un oasis de impunidad. Ojo porque, advierten, delinquir en la Red se paga.

«Al usar Internet, la gente cree que todo vale. Y ocurre lo contrario: se persigue cualquier delito», opina Jordi Bertomeu, abogado experto en la materia. Su confianza se basa en una certeza: la Red deja rastros. El más evidente, la dirección IP. Es un número que identifica el ordenador, una suerte de DNI con el que los investigadores llegan al lugar desde el que se envía la información y cazan a su autor.

Hay otras fórmulas. El contenido de una imagen delictiva (vídeo, fotografía) ofrece una ingente información que, analizada, resulta reveladora. El estilo de escritura también puede ser, en el caso de amenazas vertidas desde un correo electrónico o un foro anónimo, una pista definitiva.

El portal de vídeos Youtube, propiedad de Google, es ahora un depósito de material delictivo. No es el único, pero su popularidad lo ha situado como destino preferente para que cientos de usuarios vuelquen allí gamberradas que, a veces, resultan ser actividades castigadas en el Código Penal.

Ramón, una persona con esquizofrenia de 46 años, sufrió en sus carnes la perversión de la Red cuando, hace meses, unos chicos le grabaron con cámara mientras se burlaban de él. No tardaron ni dos minutos en colgarlo en Youtube. Su familia, de Móstoles (Madrid), consiguió que se retirara la ofensa. En abril pasó algo parecido en Martorell (Barcelona). Tres chicos obligaron a un discapacitado psíquico a romper baldosas con la cabeza, hacer flexiones y consumir droga, mientras captaban la escena con el móvil. Fueron detenidos y las imágenes, apartadas de la circulación.

«En las webs hay cosas que han pasado toda la vida, como los críos que se pegan en el colegio. La diferencia es que, ahora, eso se difunde por puro exhibicionismo», opina el abogado Carlos Sánchez Almeida. «Una paliza puede ser un delito de lesiones. Pero si esa paliza se publica en Internet, se convierte en un delito de incitación a la discriminación», señala.

La policía detuvo, semanas atrás, a unos jóvenes por mantener relaciones sexuales con una menor en un parque de Asturias. La adolescente accedió a practicar sexo, e incluso consintió que la grabaran. Los chicos, por tanto, no fueron detenidos por abuso sexual, sino por un delito contra el derecho a la propia imagen, ya que el vídeo corrió de un teléfono a otro hasta aterrizar en Internet.

Almeida y otros letrados reclaman que la Fiscalía intervenga de oficio en los casos más graves, los que afectan a menores y a discapacitados. «Lo primero es proteger su intimidad. Después ya se verá si hay o no delito», subraya. Hace unas semanas, la Fiscalía de Menores de Granada pidió a Google que indemnice con 1.300 euros a dos menores (un supuesto agresor y su víctima) que protagonizaron una riña en Armilla. Las imágenes fueron colgadas en Youtube, lo que, a juicio de la Fiscalía, supuso «un grave menoscabo de la dignidad» de los dos menores.

El volumen de material susceptible de ser perseguido penalmente crece día tras día. Lo mismo que la sensación de descontrol, de que el vídeo eliminado hace una semana puede estar ahora en otro portal de Internet. Los responsables policiales cuentan con ello. Y tratan de achicar terreno. El Cuerpo Nacional de Policía (CNP) ha creado Grupo de Redes Abiertas. Bajo ese llamativo nombre trabajan decenas de agentes que se pasan el día enganchados a la Red. Hacen lo que buenamente pueden. Cuando no atienden la denuncia de un individuo o una empresa, bucean por el océano de Internet en busca de indicios.

«Esto es inacabable. Aunque fuésemos mil, no llegaríamos a todo. Los delincuentes van a más, por eso es importante que el ciudadano colabore y, si ve una agresión, lo denuncie», admite el jefe de la Brigada de Investigación Tecnológica de la Policía, Enrique Rodríguez. Los funcionarios de este grupo están pendientes de la actualidad. Se produce un curioso efecto llamada: «Esto va por modas. La gente ve una conducta en la tele y la imita. A raíz de un ataque a una tienda de chinos, empezamos a observar agresiones similares en otros locales. Lo mismo pasó con las peleas entre niños en clase, las palizas a mendigos o las carreras de coches».

Rodríguez asegura que, «contra la opinión común de la gente, Internet no es anónimo; siempre deja un rastro». Dice que la policía dispone de medios para perseguir cualquier delito, pero prefiere no dar detalles para «evitar que los malos tengan pistas».

La inmensidad de Internet ha abierto las puertas a los investigadores privados. Mientras la policía concentra sus recursos en casos con impacto criminal (distribución y consumo de pornografía infantil, grandes estafas online, agresiones a menores o discapacitados) el sector privado se ha volcado en las empresas. Éstas han multiplicado las denuncias por fuga de información, competencia desleal o injurias. Y los investigadores les echan un cable. Uno de los más reconocidos es Abraham Pasamar, perito informático y director general de la empresa de investigación digital Incide.

«Un individuo que sepa algo de informática puede lograr que los comentarios difamantes sobre una empresa aparezcan en Google antes que su web corporativa», sentencia Pasamar. Por eso, recomienda a las empresas que, antes que nada, acudan al notario «para dejar constancia de que esa injuria estaba ahí, en esa página, tal día y a tal hora».

La prueba del delito no es suficiente: hay que ir a por el autor. Y hay herramientas para dar con él. «En Youtube, el delincuente cuelga la prueba de su delito, y eso es una gran ventaja. Un analista forense puede sacar punta a cualquier cosa: si aparece un reloj o un calendario, podemos saber en qué país se ha grabado el material», indica Julián Inza, presidente de Albalia Interactiva y coordinador del Foro de Evidencias Electrónicas. El autor exhibe, por lo general, su nombre de usuario. De modo que, «con un poco de picardía», se puede saber en qué otro lugar de la Red ha participado ese mismo usuario-ciudadano.

El cotejo de los escritos también ha ayudado a resolver decenas de casos. El abogado Bertomeu narra uno real: «Un clásico: el hombre que cuelga fotos provocativas de su antigua pareja en una web de contactos. Se hizo pasar por ella. Lo curioso es que siempre se despedía con la expresión ‘besicos’ y dejaba un espacio entre la última sílaba y el signo de interrogación. Comparamos esos mensajes con otros escritos de la mujer y dimos en el clavo». Otro recurso útil es estudiar la metadata, es decir, averiguar con qué programa se elabora un archivo.

Las investigaciones llevan, con frecuencia, hasta el responsable. Pero en el camino hay obstáculos y a menudo cuesta avanzar. Para empezar, la naturaleza de Internet: «Una vez que el contenido está en la Red, es difícil tener la certeza de que ha desaparecido del todo», señala el presidente de la Asociación de Usuarios de Internet, Miguel Pérez. Los afectados ven que «el contenido lesivo tarda mucho tiempo en retirarse, o que salta a otras páginas web», explica el jefe de la unidad de delitos informáticos de los Mossos d’Esquadra, Rubén Mora. Y entonces, el denunciante se cansa.

Cuando el prestador de servicios de Internet colabora con la policía, los tiempos de espera se acortan. Por colaborar se entiende aquí algo muy concreto: que Google (por ejemplo) retire, motu proprio, un contenido nocivo. En casos de alarma social (pederastia) las propias páginas web se prestan a ayudar de inmediato. Pero no siempre es tan fácil. Hay diferencias de clase. «En las grandes empresas todo está profesionalizado y se puede llegar a un acuerdo. Un blogger particular puede llegar a ser muy combativo», incide Sánchez Almeida.

Los prestadores de servicios suelen quedarse al margen en delitos como los de injurias o contra la propiedad intelectual. Y es normal que así sea, razona Alejandro Negro, abogado del bufete Cuatrecasas: «Ellos no supervisan contenidos, de modo que no tienen por qué responder de lo que el usuario publique en una página», subraya.

La clave, de todos modos, radica en conseguir la dirección IP: es lo que, al final, permitirá a los agentes llegar hasta el usuario. Es «el trabajo más laborioso», precisa Sánchez Almeida. Aunque los investigadores pueden conocer por sí mismos algunas IP, al final «siempre hay que pasar por el aro del requerimiento judicial», subraya Pasamar. Un juzgado debe solicitar a la compañía telefónica que facilite esa dirección. «Se produce una colisión entre el derecho a la tutela judicial efectiva y el derecho a la intimidad. Todo el mundo está de acuerdo que la protección de la intimidad de un delincuente ha de tener un límite», precisa el responsable del Foro de Evidencias Electrónicas.

Rodríguez, el jefe policial, asegura que en ocasiones hay que actuar de urgencia. Como en el caso de un chico que estuvo jugando 15 horas seguidas en la Red. El administrador le advirtió de que no podría seguir jugando. «Amenazó con suicidarse. El operador facilitó la información y se localizó al chaval». Con asuntos menores es más complicado. «Tenemos una ley de protección de datos muy garantista. Las empresas se ven entre la espada y la pared, porque si facilitan datos, la Agencia de Protección de Datos les regaña», argumenta Rodríguez.

Todo ello, sin tener en cuenta que los infractores disponen de vías de escape. Así, pueden conectar su ordenador a un sistema wifi (o sea, un acceso a Internet inalámbrico) para colgar los contenidos delictivos. Ya se han dado casos. «La gente usa el wifi gratis de los hoteles para hacer maldades. Te tomas algo desde el bar y, ¿quién te va a pillar? Lo mismo si vas a un cibercafé», bromea Pasamar. Eso ha llevado la confusión a algunas investigaciones. Se ha dado la paradoja de que un juez ha solicitado una dirección IP y se han visto implicados en una investigación personas que nada tenían que ver con los hechos. Por lo general, el enredo se resuelve rápidamente. A un hombre con conexión wifi le interrogaron sobre sus supuestas actividades ilícitas en una empresa. Fue como si le hablaran en chino: no entendía nada. Por fortuna para él, atinó a precisar que su vecino trabajaba, casualidades de la vida, en esa empresa. Voilà.

La escasa formación de la mayoría de jueces tampoco ayuda a resolver los casos, coinciden diversos letrados. Muchos magistrados ignoran el vocabulario y las cuestiones técnicas que sólo un perito informático les puede aclarar. Por eso reclaman que se creen juzgados especializados. «O, al menos, que los jueces dispongan de un grupo de expertos que les orienten», dice Pasamar.

Las populares redes sociales (tipo Facebook) ponen en contacto a amigos y promueven el intercambio de información. También estas webs se han convertido, sin pretenderlo, en un terreno espinoso. Existe la costumbre de colgar fotos de amigos en la Red sin su permiso. De nuevo, asoman la inocencia y la temeridad. «Partimos de la base de la buena fe de la gente. Otra cosa es que yo pida expresamente que se retire mi foto y no se haga. Eso podría ser una infracción al derecho a la imagen», indica Bertomeu, que pide «un equilibrio entre los nuevos usos de Internet, el Derecho y las nuevas tecnologías».

Otra fuente de conflicto son los foros, donde los usuarios suelen descargar su ira. Algunos comentarios que allí se vierten pueden constituir un delito. En opinión de los expertos, la justicia no puede pedir responsabilidades a los gestores de la web que los contiene: es imposible ejercer un control previo porque, además, se trata de sistemas automatizados de publicación de comentarios. El 70% de los casos que atiende la policía catalana son por injurias, calumnias o amenazas.

«Los jóvenes poseen herramientas potentes, pero no tienen claro qué límites no deben traspasar. Y se pueden encontrar con que, un día, la policía les vaya a buscar a casa y ellos no sepan qué han hecho mal. Es un problema de educación en la tecnología», dice el presidente de la asociación de usuarios. Y añade: «Hay que transmitir el mensaje de que la legalidad en Internet existe».

Julián Inza cita un ejemplo real que da a entender la magnitud del «rastro» dejado en Internet: el FBI investigó la muerte de la esposa de un pastor. En principio, parecía una muerte natural: para superar una dolencia, la mujer había consumido una medicación que resultó incompatible con los antibióticos que ya ingería para combatir otra enfermedad. «Los agentes rastrearon el ordenador de la familia. ¿Y qué encontraron? Pues que el pastor había buscado en Google información sobre esos medicamentos. La percepción de impunidad, de que nunca pasa nada, hace que la gente sea imprudente. Y no nos engañemos: para los que investigamos, ya nos va bien que sea así».

Las empresas, las que más denuncian

– Las empresas son las que más denuncias presentan ante los cuerpos policiales; la mayoría, por presuntas injurias y calumnias vertidas en la Red por usuarios anónimos.

– Los expertos recomiendan recabar pruebas físicas del presunto delito, copias de comentarios y vídeos.

– Algunas empresas disponen ya de una nueva figura profesional, el ?oficial de evidencias electrónicas?, encargado de preparar y custodiar las pruebas.

– Pese a la demanda de las empresas, la policía centra sus prioridades en los delitos más graves: pornografía infantil, grandes estafas en Internet y las agresiones a personas especialmente vulnerables, como ancianos, discapacitados y menores.

 

Disponible la norma ISO 27005:2008


Desde el pasado 4 de Junio, se encuentra disponible la norma ISO de la familia 27000, destinada al análisis y gestión de riesgos relacionados con la seguridad de la información.

ISO/IEC 27005:2008 (Information technology — Security techniques — Information security risk management) proporciona una guía para la gestión de riesgos de seguridad de la información. Da soporte a los conceptos generales incluidos en ISO 27001 y ha sido diseñada por el JTC 1/SC 27 para ayudar en la tarea de gestión de la seguridad de la información basada en una aproximación de gestión de riesgos. Es recomendable conocer los conceptos, modelos, procesos y terminología de ISO27001 e ISO27002 para entender el nuevo estándar ISO 27005:2008.

La norma de gestión de riesgos es aplicable a todas los tipos de organizaciones (empresas, organismos guvernamentales y sin ánimo de lucro) interesadas en gestionar los riesgos que puedan suponer la vulneración de la seguridad de la información de la entidad.

Aviation Security


La normativa de la Unión Europea que he mencionado estos dias tiene su origen en la de ICAO, la Organización Internacional de Aviación Civil.

Por ello me ha parecido interesante este artículo de Doug Newhouse del 3 de abril de 2007 y que he visto en TREND (Travel Retail Executive News Digest).

ICAO’s new retail security guidelines in full

The International Civil Aviation Organisation (ICAO) has issued its guideline recommendations to its 189 member airports for the specifications of tamper-evident bags plus «proposed security principles for retail liquid, aerosol and gel items for airport retailers and manufacturers”.

While these guidelines carry no obligation on the part of any country to comply, they are expected to be widely adopted as most ICAO guidelines are by international airports.

The new guidelines contain one or two «optional additions» to existing practice such as the inclusion of a security device – meaning a hidden graphic – inside the bag and a green coloured logo on the outside.

Section five of this document is also of particular significance, entitled: “proposed security principles for retail liquid, aerosol and gel items for airport retailers and manufacturers”. These guidelines say that all liquids, gels and aerosols (LAGs) should be handled in accordance with ICAO’s recommendations contained in State letter AS 8/11-06/100 dated 1 December 2006:

a) All LAGs should be carried in containers with a capacity not greater than 100 ml each (or the equivalent in other volumetric measurements, e.g. fluid ounces);

b) Any LAGs carried in a container larger than 100 ml are not to be accepted, even if the container is only part-filled;

c) Containers with LAGs should be placed in a transparent re-sealable plastic bag of a maximum capacity not exceeding one litre. The containers must fit comfortably within the transparent plastic bag, which should be completely closed;

d) Each passenger is permitted to carry only one such bag which is to be presented separately for screening;

e) All conventional security controls and checks, including random hand searches of passengers and cabin bags, are applicable;

f) Flight crew in uniform and on duty the day(s) of the journey are exempted from these restrictions; and

g) Exceptions are allowed for medications, baby milk/foods and special dietary or other medical requirements as enumerated in paragraph 2 of this document.

1.2 LAGs, in any volume, purchased at airport retail outlets or on board aircraft during the day(s) of the journey should not be allowed through security screening points unless they:

a) are carried in a Security Tamper-Evident Bag (STEB); and

b) have been protected from unlawful interference by a process of supply chain security, including the application of appropriate security measures at manufacturers and warehouses, during the delivery process for both LAGs and STEBs from the warehouse to the airport retail outlets and aircraft outlets, and while in stock/on display at those outlets.

ICAO notes: For the purpose of this document, liquids, gels and aerosols are referred to as LAGs and include but are not limited to: water and other drinks, soups, syrups, jams, stews, sauces and pastes; foods in sauces or containing a high liquid content; creams, lotions, cosmetics and oils; perfumes; sprays; gels including hair and shower gels; contents of pressurized containers, including shaving foam, other foam and deodorants; pastes including toothpaste; liquid-solid mixtures; mascara; lip gloss or lip balm; and any item of similar consistency at room temperature.

Empty containers with a capacity greater than 100 ml are permitted. Indicative size of the one litre re-sealable plastic bag: 20.5 cm x 20.5 cm or 25 cm x 15 cm, or equivalent.

1.3 ICAO’s security guidelines, available in the ICAO Security Manual for Safeguarding Civil Aviation Against Acts of Unlawful Interference (Doc 8973) may be adopted for the development of specific measures and incorporated, if needed, into the relevant airport and airline security programmes, regulated agent regimes and quality control measures. A set of minimum security principles for manufacturers and retailers of LAGs and STEBs is in paragraph 5 of this document.

1.4 A harmonized validation template will be available on the ICAO AVSECNET secure website for use by States. Ensuring compliance with the security measures applied to LAGs and STEBs within a State is a matter for the State concerned. Recognition of the robustness of LAGs and STEBs security in another State (or States) could be conducted via bilateral, multilateral or other arrangements as appropriate, which could include on-site verification.

2. EXEMPTIONS FOR MEDICATIONS AND SPECIAL DIETARY REQUIREMENTS, INCLUDING BABY FOODS.

2.1 Passengers.
2.1.1 Liquids, aerosols and gels of any kind carried in containers with a maximum volume of 100ml should be placed in the one litre bag.

However exemptions may be granted for LAGs which cannot be so carried, but which are needed during the journey, either for essential medical purposes or to meet special and essential dietary needs. When required to do so, the passenger or staff member should provide proof of authenticity of the exempted liquid.

2.1.2 This paragraph describes procedures which airports and airlines should follow in order to establish whether LAGs claimed to be essential may be taken by passengers through search points. Persons may be sensitive about medicines they are carrying, and so will need similarly sensitive handling.

If, having followed the procedures in this guidance, doubts remain about the provenance of a LAG, the person in question should be told that they cannot take it into the cabin of the aircraft. It follows that, since the LAG was regarded as essential, he or she should also be advised not to fly.

a) Journey: The liquid is to be used during the journey refers to the journey of the person and so should not, per se, be linked to the length of the flight. A passenger may only be taking a one-hour flight, but may be taking medicine greater than 100 ml.

If the medicine is being carried in a container of more than 100 ml, whether or not it fits into the litre bag is irrelevant. He or she should be asked why the medicine is needed in this amount, and whether it could not be carried in the aircraft hold. Only if the responses give the necessary assurance should the LAG’s carriage in the cabin be permitted.

b) Medical purposes: Liquids required for medical purposes should be interpreted as meaning liquid medicines, both prescribed by a doctor and bought over-the-counter. In determining if medicine with a total volume of over 100ml is indeed essential to be carried in the cabin, and that the amount being carried is no more than is necessary for the trip, the passenger should be questioned on the nature of the medicine; the reasons why it is claimed as essential; the dosage; and the frequency of dose necessary.

However, in principle, derogations for over-the-counter medicines (e.g. nose sprays, cough medicines, contact lens solution) should be more restrictive in the quantity of liquid that is permitted since these are not “life-or death” medicines.

In addition, liquids that are not medicines but are used for medical purposes are permitted, examples of which include ice (if used to maintain the temperature of, for example, a transplant organ), blood or blood products, and even “normal” liquids if their use is justified on medical grounds (e.g. an autistic traveller that “needs” to have a particular brand of drink).

c) Dietary needs: Liquids as a special dietary need should be interpreted as meaning those foods without which the passenger’s health is threatened. Examples include baby food (provided, of course, that a baby is travelling), or foods such as special diets for lactose-intolerant passengers, or gluten-intolerant passengers.

Where the volume of baby food is deemed excessive for the length of the journey, it is not to be allowed through the screening point. Baby products may include: baby milk; sterilised water; baby juice; baby food in liquid, gel or paste form; and wet wipes.

d) Proof of authenticity: When requested to do so, the passenger should provide proof of authenticity of the exempted liquids. It should be established that the name on the label of the prescription medication matches the name on his/her boarding pass.

Where the medication is non-prescription, a determination on reasonable amounts is required. Reasonable amounts include what is required for length of the flight taking into account possible delays and flight diversions. If doubts are felt about the quantity of liquid being carried by a passenger, or that the liquids are for medical purposes or special dietary needs, then a plausibility check should be performed.

The passenger could be invited to sample the items or rub them on their skin to prove they are safe (hydrogen peroxide-based explosives are caustic, and thus could not be safely tasted or rubbed onto the skin).

For medicine prescribed by a doctor, the passenger should be able to show that it is for his/her own use, for example by having their name on the label of the medicine or a note from a doctor. When verifying the proof of authenticity, the following should be taken into consideration:

1) A passenger should not be asked to taste their medication if the dosage/usage instruction or advice from their doctor indicates that it would be dangerous to do so;

2) Passenger should not be made to taste any medication, either their own or their child’s, against their wishes;

3) For children’s prescription medication, the accompanying adult passenger should not be asked to taste the medicine, verification should instead be sought through questioning;

4) If a container is marked in grams, it may be assumed that 100g corresponds to 100 ml; and

5) Where a passenger has been asked to rub a small amount of the LAG onto their skin, the passenger’s skin should be monitored for at least two minutes to see if a reaction occurs.

2.2 Airport Staff
2.2.1 The personal items of airport staff entering a security restricted area and on board an aircraft (i.e. beverages, perfumes, cosmetics, medications and other similar items) should be subjected to the same restrictions and exemptions as passengers.

However, tools of the trade are exempt from LAGs restrictions. Tools of the trade are defined as articles in a person’s possession which are required for the lawful purpose for which he or she is in the sterile area. Tools of the trade may include items such as cleaning products, sealants, degreasers, glues, paints and oils.

2.3 Exempt Persons
2.3.1 The State may decide to exempt from LAGs restrictions (e.g. law enforcement officers and emergency personnel responding to a crisis).

3. TECHNICAL SPECIFICATIONS FOR STEBS.
3.1 Material to be used.

– transparent (high impact low density polyethylene (LDPE) or equivalent);
– recyclable and environment-friendly products if possible; and
– size and thickness (minimum of 50 microns) to be adjusted to the needs.

3.2 On the top face of the STEB
3.2.1 Closure:
– red tamper evident tape (minimum 30 mm tape with 40 mm release liner);
– high tack pressure sensitive self adhesive; and
– integral security device/hidden graphic to show if tampered with.

3.2.2 Border:
– side and bottom weld be no less than 15 mm width in red; and
– printed border of minimum 5 mm with «DO NOT OPEN», airport name, or any other continuous message or design which may bleed over the edge of the bag.
(Optional – integral security device/hidden graphic to show if borders are tampered with.)

3.2.3 Message:
– security sign in green in the middle of the security box; and
– box in red at bottom stating «Do not open until final destination -contents may be confiscated if bag is tampered with».

3.2.4 Confirmation/identification features:
– Receipt space (or jacket, optional) inside the bag visible in the top left of the security box.
The receipt should contain the following information:

a) date of purchase (dd/mm/yy or dd/mm/yyyy);

b) place of purchase (State, airport, airline) using international codes;
c) flight number(s) and name of passenger, if possible;

d) number and list of items purchased and placed in the STEB.

3.2.5 Origin of the bag:
– State three-letter code to determine the State of origin where the STEB was provided to the passenger, or airline international code (for duty free sales on board) to determine the origin of the STEB;
– Manufacturer name (in full pending ICAO’s registration number); and
– Inventory code and security code or device to protect STEB at retailers and shops.

3.3 On the back face of the bag.
– Individual airport/retailers/other branding or logos.

4. OPERATIONAL CONSIDERATIONS FOR THE USE OF THE STEB.
4.1 Ideally, and in order to facilitate the visual inspection, only LAGs purchased at airport shops, and potentially subjected to security screening at a later stage of the journey, should be placed in the STEB. Other items which might not be confiscated should either be placed in another (regular) bag or, if placed inside the STEB, should not compromise the visual inspection performed at security screening points during the journey. No items other than those purchased at the airport shop should be placed in the STEB.

4.2 Receipts should be inside the STEB, face visible from outside, and securely placed in the left top of the security box (either with a jacket inside the bag, or fixed accordingly). If the receipt has moved and is not visible for security screening purposes, the bag will have to be opened and its contents may be confiscated (or placed in a new STEB by security staff at the security screening point).

4.3 State or airline and manufacturer codes are placed by the manufacturers. Inventory and security codes are the responsibility of the retailers. STEBs should be distributed to authentic parties only.

5. PROPOSED SECURITY PRINCIPLES FOR RETAIL LIQUID, AEROSOL AND GEL ITEMS FOR AIRPORT RETAILERS AND MANUFACTURERS.
5.1 Security measures during manufacture and warehousing.
5.1.1 In order to ensure the security integrity of LAGs and STEBs, the following security measures are recommended for implementation at the warehouse where retail LAGs and STEBs are consigned:

a) Access control system, including screening procedures, allowing only authorized personnel into the premises, including verification of staff and visitors’ identities (for airport staff, Standard 4.2.6 of Annex 17, Eighth Edition, is applicable);

b) Surveillance systems (i.e. CCTV or equivalent) to monitor activities in the warehouse for preventing intrusion, tampering with and thefts of goods, or interference in processes; and

c) Access control system upon exit from the warehouse so that nothing could be substituted or used to prepare an act of unlawful interference (for airport staff, exit control measures could be carried out when exiting the Security Restricted Area).

5.2 Security measures during shipments.
5.2.1 Only sealed bins/containers and/or trucks should be used for shipments of LAGs or STEBs to airport shops or airline outlets. Any LAGs or STEBs taken out of the warehouse must be accompanied by appropriate documentation and a delivery manifest, which should be retained for possible future audit.
Security tamper-evident bags at airport shops or airline outlets should always be protected and under surveillance before being used by authorized staff. Staff at airports with access to LAGs and/or STEBs should be subjected to appropriate background checks and physical search regime.
5.3 Quality control.
5.3.1 All security measures for LAGs and STEBs should normally be incorporated into relevant security programmes (retailer security programme if considered as regulated agent according to Standard 4.6.3 of Annex 17, Eighth Edition, airport security programme and operator security programme for airline outlets).

In addition, technical assessments/tests of the security measures on premises should be conducted in order to maintain an adequate level of protection.

Retailers are encouraged to discuss such assessments/tests with the Appropriate Security Authority or Airport Authority. If a security breach is detected, security/duty supervisors, and the Appropriate Security Authorities or the police should be immediately alerted so that appropriate actions are taken. Any suspicious parcels should be dealt with under standard operating procedures.

5.3.2 Details on the implementation of the above-mentioned principles are being developed in the ICAO Security Manual, Seventh Edition, Volume IV.

Secret Law is a non-existing Law


Las Leyes secretas son Leyes que no existen.

Es de cajón. Es la base de la seguridad jurídica. De donde surge la norma «el desconocimiento de la ley no exime de su cumplimiento» (o literalmente «1. La ignorancia de las leyes no excusa de su cumplimiento.» artículo 6 del Código Civil español).

A este respecto me hago eco de este artículo «Beyond Imagination» en el blog «EU Referendum»

Used as we are to the machinations of our supreme government in Brussels, there is very little that surprises us. But this one, even by EU standards, is a gem beyond imagining – a law produced by the commission which, although everybody was expected to obey it, it refused to publish.

To its credit, this Kafkaesque situation was picked up by the European Court of Justice, specifically by the Advocate General, Eleanor Sharpston – the British barrister who prosecuted metric martyr Steve Thoburn on behalf of Sunderland Council.

The case itself, which attracted uncommonly robust condemnation from Mz Sharpston, concerned a Dr Gottfried Heinrich. On 25 September 2005, he had committed the heinous crime of boarding a passenger airliner at Vienna-Schwechat Airport carrying as part of his cabin baggage some tennis racquets which he intended to use on his holiday.

He had been stopped at the security control and warned that these were «prohibited items» but nevertheless did board with the tennis racquets in his baggage, only to be summarily ordered off the aircraft.

The point – to which Mz Sharpston took very great exception – was that there was no way that Dr Heinrich could possibly know that his tennis racquets were prohibited items.

Although such items were listed in the Annex to Commission Regulation (EC) No 622/2003 of 4 April 2003 «laying down measures for the implementation of the common basic standards on aviation security», the commission had decided that the Annex should not be published. It should only be made available «to the appropriate authorities». This was even despite two amending regulations stating, in their recitals, the need for passengers to be clearly informed of the rules relating to prohibited items.

Dr Heinrich brought proceedings before the Unabhängiger Verwaltungssenat im Land Niederösterreich (Independent Administrative Chamber for the Land of Lower Austria) which referred questions to the ECJ asking whether regulations or parts thereof «can have legally binding force if they have not been published in the Official Journal».

The ECJ had no hesitation in finding that the commission was in clear breach of Article 254 of the EC Treaty, which provides that regulations shall be published in the Official Journal. Mz Sharpston noted that the duty to publish regulations is, «unequivocal and without exception» and thus considered that the failure to publish constituted «a violation of an essential procedural requirement, resulting, at the very least, in invalidity.»

However, given that that non-publication had been neither accidental nor unintentional, Mz Sharpston suggested that the Court should go further and declare the regulation to be non-existent.

The «persistent and deliberate disregard of the mandatory publication requirement of Article 254 EC», she said, was one «whose gravity is so obvious that it cannot be tolerated by the Community legal order.» Such a step, she added, «would make it very clear that non-publication of regulations or parts thereof – all the more so when deliberate – is unacceptable in the legal order of the European Union.»

Certainly, judgements do not get more unequivocal than that, and this one makes delicious reading. But there is a coda to the story.

The only organ of our loathsome British media to report the ruling (so far) is The Times. Yet, over a by-line from David Charter in Brussels, it offers the headline: «Airlines rebuked over hand luggage racket». And, with the airlines almost completely in the frame, all we get on the EU commission on its secret Annex is that it has «agreed to publish the full list soon.»

Just precisely what does the commission have to do to get criticised in this town?

Incompetencia y normativa secreta


Ayer viajé desde Atenas (Grecia) a Larnaca (Chipre). En el Aeropuerto de Atenas sufrí, una vez más, una de las arbitrariedades a las que da lugar el Reglamento Secreto.

Al acceder al control de embarque me incautaron un destornillador de relojero de punta roma de 2 centímetros de longitud (sin contar el mango aislante de 4 centímetros, 6 en total). Estuve más de media hora en la zona de control pidiendo que me lo devolvieran ya que no es uno de los objetos prohibidos en el Reglamento (CE) no 622/2003 de la Comisión de 4 de abril de 2003 por el que se establecen las medidas para la aplicación de las normas comunes de seguridad aérea e incluso pidiendo la presencia de la policía que tiene la última palabra. El policía finalmente lo autorizaba si el comandante de la nave daba permiso, lo cual era un requisito imposible de cumplir, ya que en el embarque no hay finger (se accede al avión mediante el típico autobús-jardinera) ni hay posibilidad de hablar con el comandante de forma previa al ambarque.

Al argumento de que una de las llaves del llavero que llevaba era más larga que el destornillador, el operario a cargo del control (no el policía) argumentó que su normativa no decía nada sobre llaves y sí hablaba de «herramientas».

Cuando le expliqué el alcance del Reglamento, reconoció que ignoraba su existencia y contenido y que se regía por la normativa griega (en forma de resumen, no en formato oficial). Aunque me la mostró, tuve algunos problemas para leer el griego, que amablemente me tradujo.

Curiosamente, cuando subía el equipaje de mano al compartimento correspondiente, a bordo del avión, me percaté de que mi esposa traía en su bolso (abierto y a la vista) una de las sombrillas de madera que compramos cuando visitamos la Acrópolis. El soporte principal de la sombrilla, una vara de madera de unos 15 milímeros de diámetro y unos 60 centímetros de largo, tiene, desde cualquier punto de vista, mucho mayor valor como arma que mi destornillador de relojero.

El problema no es el valor real de la herramienta (unos 3 euros) sino la indefensión de los ciudadanos ante normas arbitrarias e inútiles que tienen que interpretar operarios sin criterio, en base a resúmenes cuya redacción es ambigua y poco fiel a la letra y al espíritu de la normativa europea.

Es curioso, ante un tema de seguridad, los criterios de seguridad son irrelevantes. Solo importan ciertos elementos formales sobre cuya discusión se excluye al ciudadano que padece esta arbitrariedad.

El presente anexo es secreto y no se publicará en el Diario Oficial de las Comunidades Europeas


Ya he explicado en el pasado mi opinión sobre lo mal hecho que está el reglamento sobre seguridad aérea. Al respecto, he apoyado el planteamiento de David Raya. Opino en esto básicamente lo mismo que J.L. Prieto. Hace unos días, aventuraba que podría quedar derogada la norma que impide transportar líquidos en los aviones.

Lo cierto es que ¡es realidad! La norma ha cambiado recientemente y han desaparecido los controles sobre el equipaje de mano.

Esta es la secuencia normativa de los anexos secretos, según lo que he podido recopilar:

Como se puede ver, en el último enlace se dice textualmente:

Las medidas previstas en el Reglamento (CE) no 622/2003 deben revisarse a la luz de la evolución de la técnica, su incidencia en el funcionamiento de los aeropuertos y su efecto sobre los pasajeros. Las nuevas investigaciones han puesto de manifiesto que las ventajas de regular el tamaño del equipaje de mano no compensarían su incidencia en el funcionamiento de los aeropuertos y su efecto sobre los pasajeros. Por consiguiente, esta regla, que debía aplicarse a partir del 6 de mayo de 2008, debe ser suprimida.

Recomiendo llevarse impreso el texto del boletín oficial, para mostrárselo al personal del control de los aeropuertos, para el caso de que no lo conozcan, y así podamos evitarnos molestias mutuamente.

Como veis, se van dando pasos en la dirección correcta. En este sentido es interesante el artículo de Dominique AGUILAR: La legalidad del reglamento de aplicación sobre seguridad aérea cuestionada.

Lo reproduzco por su interés, aunque os invito a visitar su página con abundante Información sobre la actualidad de la Unión europea y el Derecho Comunitario

En el marco de las medidas de lucha contra el terrorismo la Unión europea adoptó en 2002 un reglamento cuyo objeto es «establecer y aplicar las medidas comunitarias adecuadas para prevenir actos de interferencia ilícita contra la aviación civil» (1).

Varios reglamentos han sido posteriormente adoptados por la Comisión europea a fin de dar aplicación al reglamento, particularmente en cuanto a las normas básicas comunes relativas a las medidas de seguridad aérea. El primer de estos es el reglamento nº 622/2003 que dispone en su segundo considerando: « De conformidad con el Reglamento nº 2320/2002 y para prevenir actos ilegales, las medidas fijadas en el anexo al presente Reglamento deberían ser secretas y no publicarse » (2). El mismo considerando esta incluído en los reglamentos posteriores y, aunque todos ellos prevean que « No obstante, los pasajeros deben estar claramente informados de las normas relativas a los artículos que está prohibido introducir en las aeronaves», los textos publicados no conteníen una lista de los artículos prohibidos accesible para el público.

La legalidad del reglamento de aplicación aérea fue cuestionada por un pasajero que había sido interceptado en septiembre de 2005 en el control de seguridad del aeropuerto de Viena-Schwechat porque su equipaje de mano contenía raquetas de tenis y que se trataba supuestamente de artículos prohibidos. No obstante Gottfried Heinrich embarcó en el avión con las raquetas en su equipaje. Los agentes de seguridad le mandaron entonces desembarcar.

Posteriormente, el Sr. Heinrich interpuso un recurso ante el Unabhängiger Verwaltungssenat im Land Niederösterreich y el tribunal austriaco remitió varias cuestiones prejudiciales al Tribunal de Justicia de las Comunidades Europeas para saber si el si el reglamentos o partes de ellos tienen fuerza jurídica obligatoria a pesar de no haber sidos publicados en el Diario Oficial.

Las disposiciones relevantes del Derecho comunitario relativas a la publicación o al acceso del público a los documentos de las instituciones de la Unión Europea son

  • el artículo 254 CE que dispone:«1.Los reglamentos, las directivas y las decisiones adoptados con arreglo al procedimiento previsto en el artículo 251 … se publicarán en el Diario Oficial de la Unión Europea […] 2. Los reglamentos del Consejo y de la Comisión, así como las directivas de estas instituciones que tengan como destinatarios a todos los Estados miembros, se publicarán en el Diario Oficial de la Unión Europea […] 3. Las demás directivas, así como las decisiones, se notificarán a sus destinatarios y surtirán efecto a partir de tal notificación.»
  • el artículo 255 CE que establece: «1.Todo ciudadano de la Unión, así como toda persona física o jurídica que resida o tenga su domicilio social en un Estado miembro, tendrá derecho a acceder a los documentos del Parlamento Europeo, del Consejo y de la Comisión, con arreglo a los principios y las condiciones que se establecerán de conformidad con los apartados 2 y 3. 2.El Consejo, con arreglo al procedimiento previsto en el artículo 251, determinará los principios generales y los límites, por motivos de interés público o privado, que regulan el ejercicio de este derecho de acceso a los documentos, en el plazo de dos años a partir de la entrada en vigor del Tratado de Ámsterdam. 3. Cada una de las instituciones mencionadas elaborará en su reglamento interno disposiciones específicas sobre el acceso a sus documentos
  • y el Reglamento que preve las modalidades de acceso a los documentos a fin de « garantizar de la manera más completa posible el derecho de acceso del público a los documentos y determinar los principios generales y los límites que han de regularlo de conformidad con el apartado 2 del artículo 255 del Tratado CE» (3).

Aunque el Tribunal de Justicia no haya todavía juzgado el asunto, es posible tener un indicio del contenido de la futura sentencia gracias a las conclusiones de la Abogada general (4).

Esta preconiza que el reglamento se declare inexistente con motivo de que la irregularidad que vicia al Reglamento nº 622/2003 (en su versión modificada) –vulneración persistente e intencional de los requisitos de publicación obligatoria del artículo 254 CE, apartado 2, respecto a la sustancia íntegra del Reglamento– es de una gravedad tan evidente que no puede ser tolerada por el ordenamiento jurídico comunitario » (punto 108 de las conclusiones).

La Abogada general recuerda que el Tribunal de Justicia ha declarado que el principio de seguridad jurídica se opone, en general, a que un acto comunitario comience a producir efectos en una fecha anterior a la de su publicación, y que ese principio sufre escasas excepciones (5). Y concluye : « En consecuencia, es limitado el soporte jurisprudencial a favor de la tesis de que los actos jurídicos comunitarios pueden tener efectos jurídicos incluso cuando aún no han sido publicados » (punto 82). A fortiori, cuando nunca se ha pretendido publicarlos…Más, la jurisprudencia relativa a la obligación de notificar las decisiones individuales a las personas a quienes se aplican censura la falta de notificación anulando la decisión.

Resulta, pués, que el deber de publicar los reglamentos es «inequívoco y no admite excepciones«. Un anexo es parte integrante de un acto legislativo, y disponer lo contrario permitiría que el legislador eludiera los requisitos de publicación mediante el simple expediente de establecer disposiciones sustantivas en un anexo no publicado. Esto es precisamente lo que sucedió en el presente asunto : « el lector no puede averiguar los efectos del Reglamento sin conocer el anexo, ya que éste contiene la sustancia íntegra del Reglamento ». La explicación otorgada por la Comisión para justificar la ausencia de publicación es insuficiente.Pero «una motivación más completa tampoco habría bastado para exceptuar la completa publicación del reglamento», subraya la Abogada general que califica además la postura de la Comisión de « absurda » (punto 66) (6).

Esta demostración « implacable » debería lógicamente tener por consecuencia que el Tribunal adopte las conclusiones de su Abogado general y, como esta lo propone, declare el reglamento inexistente. Pero cabe recordar que la opinión del Abogado General no vincula al Tribunal de Justicia .

14/04/2008


1 – Reglamento nº 2320/2002 de 16 de diciembre de 2002 por el que se establecen normas comunes para la seguridad de la aviación civil, DO L 355).

2 – Reglamento (CE) nº 622/2003 de la Comisión, de 4 de abril de 2003, por el que se establecen las medidas para la aplicación de las normas comunes de seguridad aére, DO L 89

3 – Reglamento nº 1049/2001 de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión, DO L 145

4 – 10/04/2008, Conclusiones del Abogado general en el asunto C-345/06, Gottfried Heinrich

5 – Por ej :13/11/1990, C-331/88, Fedesa y otros; 2/10/1997, C-259/95, Parlamento/Consejo; 28/11/2006, C-413/04, Parlamento/Consejo

6 – La Comisión publicó en enero de 2004 un comuinicado de prensa (Comunicado de prensa de la Comisión IP/04/59 de 16 de enero de 2004) dando una lista de articulos prohibidos en aviones. Como lo subraya la Abogada general : « Si la Comisión pensaba que el artículo 8 del Reglamento nº 2320/2002 le exigía mantener en secreto la lista de los artículos prohibidos, la publicación de un comunicado de prensa era una infracción flagrante de ese artículo. Si por el contrario la Comisión pensó que la lista de los artículos prohibidos quedaba al margen del artículo 8, debería sin duda haberla publicado en el Diario Oficial ».
Sin el texto del anexo no publicado no es posible saber si la lista del comunicado de prensa reproduce exactamente la lista de los artículos prohibidos en dicho anexo. Es de notar que las raquetas de tenis…no figuran como artículos prohibidos en esa lista.

Prevención de fugas y pérdidas. La información, bajo control


Con 2 convocatorias (Madrid, 24 de junio de 2008 y Barcelona, 26 de junio de 2008), la Revista SIC, la más veterana de las especializadas en seguridad de la información, organiza el evento Respuestas SIC.

La estructura prevista de este VIII Respuestas SIC incluirá tres bloques. En el primero, conformado por dos ponencias, a cargo de las compañías PricewaterhouseCoopers y Davinci, se tratará de enfocar este creciente problema y vislumbrar una posible solución sistemática, que pasa por la realización de una clasificación de la información en función de su criticidad para el negocio, la actividad y frente al riesgo de incumplimiento de leyes y normas (en estos frentes, dicha clasificación suele atenerse preferentemente al criterio de confidencialidad), y al establecimiento de controles internos sobre la información, los usuarios y los posibles medios de fuga.

El segundo bloque consiste en mostrar cuáles son, hoy día, las aproximaciones tecnológicas de la industria para ayudar a que las organizaciones puedan controlar el correcto acceso, uso, tránsito y seguimiento de su información corporativa. Para ello siete compañías de referencia en la materia (Check Point, McAfee, RSA, Symantec, Trend Micro, Websense y Zitralia) mostrarán el estado del arte de sus catálogos especializados para atender este frente de protección, sea mediante soluciones globales, sea mediante soluciones orientadas a la red o a los puestos finales.

El tercer y último epígrafe lo conformará una mesa redonda en la que usuarios de organizaciones de nuestro país –en esta ocasión cualificados expertos del área de riesgos y seguridad de la información de Bankinter, Caja Madrid y Gas Natural– debatirán sobre su visión al respecto, tanto en lo concerniente a los límites de los escenarios actuales como a las necesidades futuras, que, a su entender, demandará el intercambio informativo y de actividad mercantil de las entidades públicas y privadas que operan con TIC, con un enfoque realista y moderno del uso autorizado de la información, y su pertinente seguimiento y control.

El evento es gratuito. pero es imprescindible inscribirse. Más información en el 915758324

Derogada la norma que impide transportar líquidos en los aviones


Este es un titular que me gustaría que fuera verdad y por el que voy a apoyar todas las iniciativas que ayuden a conseguirlo.

Como la de David Raya que debe superar múltiples inconvenientes en cada viaje. Cuenta su odisea en el Aeropuerto de Berlín en su blog «Luchando por una Europa más justa«.

De su caso se ha hecho eco Avui, a través de una entrevista en la que se resume bastante bien de lo que va esta lucha por derogar la normativa que restringe los líquidos en los aviones.

Por mi parte ya dije lo que pensaba en mi artículo sobre el Reglamento (CE) 1546/2006 de la Comisión de 4 de octubre de 2006, en el que hacía referencia a otra lucha en el mismo sentido desarrollada por Ignasi Guardans, diputado en el Parlamento Europeo.