Archivo de la categoría: Seguridad

COBIT 5


Gestionar las Tecnologías de la Información (TI) consiste en tomar decisiones operativas dentro del gobierno de las TI. La gestión de la TI se refiere a los aspectos operativos para el suministro de productos y servicios de TI en la forma más eficaz.

La gestión de la TI se lleva a cabo mediante la adopción de buenas prácticas, ampliamente usadas, que proceden de diversas fuentes como son:

  • Los estándares como ISO 9000, ISO 20000, ISO 27001, ISO 25999 e ISO 38500, que son un conjunto de criterios que ayudan a desplegar y comprobar operativas de gestión saludables en relación con alguna de las lineas de actividad de las empresas, en particular en el uso o comercialización de soluciones TIC. Estos estándares pueden estar basados en prácticas de la industria existentes, u originados por investigación (académica).
  • Las prácticas de la industria (ITIL®, COBIT®, CMMI®, eSCM-SP, PRINCE2TM, PMBOK®, M_o_R®, eTOM®, Six Sigma…) que son un conjunto de guías usadas en la industria.
  • La experiencia interna, también llamada conocimiento propietario.

COBIT-5-ISACAEl estándar COBIT (Control Objectives for Information and related Technology) ofrece un conjunto de “mejores prácticas” para la gestión de los Sistemas de Información de las organizaciones. El objetivo de COBIT es brindar buenas prácticas a través de un marco de trabajo de dominios y procesos, y presentar las actividades de una manera manejable y lógica. Estas prácticas están enfocadas más al control que a la ejecución.

La primera edición fue publicada en 1996; la segunda edición en 1998; la tercera edición en 2000 (la edición on-line estuvo disponible en 2003); y la cuarta edición en diciembre de 2005, y la versión 4.1 estuvo disponible desde mayo de 2007. La última versión del estándar COBIT, versión 5, aparece en el año 2012.

Mantenido por ISACA (en inglés: Information Systems Audit and Control Association) y el IT GI (en inglés: IT Governance Institute), tiene una serie de recursos que pueden servir de modelo de referencia para la gestión de TI, incluyendo un resumen ejecutivo, un framework, objetivos de control, mapas de auditoría, herramientas para su implementación y principalmente, una guía de técnicas de gestión.

COBIT presenta un enfoque al negocio que radica en vincular las metas de negocio con las metas de TI, brindando métricas y modelos de madurez para medir sus logros, e identificando las responsabilidades asociadas de los propietarios de los procesos de negocio y de TI.

COBIT presenta, asimismo, un enfoque respecto a procesos de acuerdo a las fases del ciclo de Deming, ofreciendo una visión de extremo a extremo de la TI, ayudando a identificar los recursos esenciales para el éxito de los procesos, es decir, aplicaciones, información, infraestructura y personas.

La nueva versión del COBIT se basa en cinco principios clave:

  • Principio 1: Satisfacer las necesidades de las Partes Interesadas.
  • Principio 2: Cubrir la organización de principio a fin. Integrando el Gobierno corporativo con el Gobierno de las TI. Orientación al negocio.
  • Principio 3: La aplicación de un único marco de trabajo integrado.
  • Principio 4: Habilitación de un enfoque holístico. Para conseguir una Gestión y Gobierno de las TI con eficiencia y eficacia.
  • Principio 5: La separación la Gestión de Gobierno.

COBIT 5 ayuda a las empresas de todos los tamaños aportando una beneficios tales como:

  • Mantener la información de alta calidad para apoyar las decisiones de negocios.
  • Alcanzar los objetivos estratégicos y obtener los beneficios de negocio a través del uso efectivo e innovador de las TI.
  • Lograr la excelencia operativa a través de una aplicación fiable, eficiente de la tecnología.
  • Mantener los riesgos relacionados con TI a un nivel aceptable.
  • Optimizar los servicios el coste de las TI y la tecnología.
  • Apoyar el cumplimiento de las leyes, reglamentos, acuerdos contractuales y las políticas.

Segurinfo España 2014


El próximo 27 de febrero de 2014 tiene lugar Segurinfo España 2014 (XXXIV Congreso y Feria Iberoamericana de Seguridad de la Información) en el Espacio Fundación Telefónica (Calle Gran Vía 28 – entrada por calle Fuencarral 3).

Lo organiza USUARIA – Asociación Argentina de Usuarios de la Informática y las Comunicaciones, y colaboramos varios especialistas en seguridad informática en el comité académico.

El evento se extiende desde las 8:00 de la mañana hasta las 14:00 y aunque estamos cerrando algunos detalles de la agenda los contenidos previstos son los siguientes:

09:00 APERTURA
Gobierno de España, Organización de Estados Americanos (OEA), Telefónica

09:20 Novedades legislativas. Lo que se nos viene encima
* Miguel Ángel Amutio (Ministerio de Hacienda y Administraciones Públicas)
* Aitor Cubo (Secretaría de Estado de Administraciones Públicas)

10:05 Esquema Nacional de Ciberseguridad
* Oscar Pastor Acosta (ISDEFE)

10:50 Un ciberespacio abierto, protegido y seguro
* Antonio Sepúlveda Carrero (Instituto Nacional de Tecnologías de la Comunicación – INTECO)

11:10 BREAK

11:30 Seguridad en redes SCADA para Infraestructuras Críticas
* Samuel Linares (Industrial Cybersecurity Center – CCI)
* Javier Yañez (Socio de Consultoría en AUREN Auditores y Asesores)
* Javier Diéguez (Indra)

12:15 Déficit de los especialistas en ciberseguridad
* Arturo Ribagorda Garnacho (Universidad Carlos III)
* Jorge Ramió (Universidad Politécnica de Madrid)
* Carlos Fragoso (One eSecurity)
* Juan Carlos Batanero (AMETIC)
* Juan Díaz-Andreu (Norman Broadbent)
Moderador: Jacinto Canales (CCII – Consejo General de Colegios Profesionales de Ingeniería Informática de España)

13:15 Responsabilidad de la Administración Pública frente a la Ciberseguridad
* Javier Candau (CCN-CNI)
* Oscar Pastor Acosta (ISDEFE)
Moderador: (Instituto Nacional de Tecnologías de la Comunicación – INTECO)

14:00 CIERRE

Espero veros en el evento.

Cuento con algunas invitaciones profesionales, por si alguien las necesita. Contactad conmigo con margen suficiente.

 

Securmática 2013 tendrá lugar los días 23, 24 y 25 de abril


Securmática 2013 tendrá lugar los días 23, 24 y 25 de abril en su tradicional sede del Campo de las Naciones de Madrid, el Hotel NOVOTEL

El Congreso de Seguridad de la Información, en su edición 24 (vigesimocuarta), pretende aportar luz sobre dos puntos esenciales: la seguridad en el ciberespacio y la adopción de medidas de seguridad y lucha contra el fraude en las empresas.

Por una lado, la forma en la que están organizando en España los frentes público y privado de la gestión de la seguridad en el ciberespacio: lucha contra la criminalidad, freno al ciberespionaje industrial y la sustracción de otras informaciones de valor, configuración de los Planes Estratégicos Sectoriales para Infraestructuras Críticas, desarrollo de las capacidades de la ciberdefensa militar y estado del arte del difícil equilibrio entre la privacidad y la seguridad en la posible nueva legislación de la UE.

Y por otro,  la presentación de iniciativas y proyectos cuya finalidad es la lucha contra el fraude, la seguridad de la información y la continuidad de actividades y negocio, ya sea por imperativo legal, ya por responsabilidad social o cumplimiento de requisitos/recomendaciones sectoriales admitidas por los mercados.

Money Appdate, de Aurigae, nueva solución de alertas financieras inteligentes en el smartphone


  • Money-AppdateAurigae lanza al mercado un servicio completo para la gestión de avisos bancarios que acabará con las alertas por SMS.
  • La nueva tecnología incrementa la seguridad y reduce dramáticamente los costes al sacar provecho de las notificaciones push de los smartphones

Ya es posible organizar todas las alertas financieras (reintegros en cajeros, pagos en comercios, ingresos de nómina, compra y venta de valores, códigos de verificación para transferencias online, transacciones de comercio electrónico, vencimientos de préstamos, …), con Money Appdate, una sencilla y potente aplicación para smartphones.

Con esta aplicación se controlan mejor las alertas financieras por parte de los usuarios y es posible para las entidades financieras participantes añadir servicios personalizados.

El coste del servicio para los bancos es una fracción del que supone la gestión de SMS, y cuenta con múltiples posibilidades, ya que no se aplican sus limitaciones, como por ejemplo la del número de caracteres del mensaje .

La herramienta aporta funcionalidades como el envío de datos seguros, la posibilidad de incluir información adicional para cada alerta (datos del producto, geolocalización de la operación, teléfonos de contacto, …) e incluso publicidad o informaciones personalizadas.

Además, cada entidad tendrá la oportunidad de definir y personalizar operaciones disponibles para los usuarios, por tipo de producto y tipo de alerta. Por ejemplo el bloqueo de una tarjeta, la restricción de operar en determinadas áreas geográficas, establecer límites de dispensación en cajeros, etc.

Todo ello desde un Panel de Control Remoto específico de la entidad financiera de uso sencillo para los administradores informáticos designados.

Desde el punto de vista del usuario, las principales ventajas son: organización de las alertas recibidas, seguridad en los datos, economía, reacción ante alertas de cambios de cotización de valores, o datos de interés.

Y destacadamente, detección de fraudes y reacción ante ellos mediante las operaciones que los bancos le permitan realizar nada más recibir una alerta (como por ejemplo, el bloqueo de la tarjeta).

En definitiva, Money Appdate es una potente herramienta que ahorra costes a las entidades financieras y permite dar un valor añadido a los clientes de bancos, contribuyendo a mitigar el fraude en los medios de pago.

SSL: Error de concepto en Gmail. Lo correcto: mejor cifrar (con certificados sub-standard) que no cifrar


Algunos usuarios de Gmail aprovechan la posibilidad de recoger su correo en otras cuentas y consolidarlas en una única interfaz de usuario.

Si el prestador del servicio de correo electrónico cuenta con una conexión SSL, Google se posiciona en plan tikismikis, e implide el acceso al correo si se utiliza un certificado autofirmado o un certificado de un Prestador de Servicios de Certificación que no está en el repositorio de Mozilla.

Este es el texto explicativo del mensaje de error: Utilizar siempre una conexión SSL (conexión segura) para recuperar mensajes de correo electrónico:

Si la cuenta de correo electrónico con la que obtienes mensajes admite la encriptación SSL1 (capa de conexión segura o Secure Sockets Layer), puedes seleccionar esta opción para que toda la información se envíe a través de una conexión segura.

Si seleccionas esta opción y tu proveedor de correo electrónico admite SSL, Gmail te avisará de que hay un error en la configuración. En este caso, al hacer clic en Mostrar detalles del error se mostrará, probablemente, un Error de protocolo. Antes de continuar, tendrás que desmarcar esa selección.

¿Cuáles son las ventajas de SSL?

Gmail utiliza la seguridad SSL “estricta”. Por eso, siempre preferimos que el servidor remoto de tu otro proveedor de servicios tenga un certificado SSL válido, pues ofrece un nivel más alto de seguridad y una protección mayor de tus datos.

¿Qué hago si veo un mensaje de error?

Te aconsejamos que te dirijas al servicio de atención al cliente de tu otro proveedor de correo electrónico y que les describas el error para que te ayuden a configurar su SSL. Si no se soluciona el error, inhabilitaremos la obtención de tus mensajes y dejaremos de recuperarlos de tu otra cuenta. Como solución alternativa, puedes inhabilitar el uso de SSL en Gmail: ve a la pestaña Cuentas e importación de la configuración de tu correo y desmarca la opción Utilizar siempre una conexión SSL (conexión segura) para recuperar mensajes de correo electrónico. Pero eso implica que tu contraseña y dirección de correo ya no se enviarán protegidas por Internet, así que no te recomendamos que inhabilites esa opción.

¿Qué autoridades certificadoras admite SSL?

No aceptamos certificados autofirmados. Solo consideramos válidos los certificados emitidos por una autoridad de certificación (CA) válida, como son las incluidas en la lista de CA de Mozilla.

  1. SSL: Una SSL (del inglés «Secure Socket Layer» o capa de conexión segura) es una manera de cambiar datos mediante códigos mientras viajan por Internet, como tu nombre de usuario y tu contraseña, de manera que los datos permanecen seguros y son privados.

El SSL es un protocolo que utiliza una clave de sesión para cifrar la información que viaja y evitar que transite «en claro» por los sistemas informáticos intermedios. La clave de sesión se cifra con la pública del ordenador de destino, extraída del certificado, de modo que solo este es capaz de descifrar la información (usa la clave de sesión descifrada con su privada).

El Certificado no aporta mucho: aporta un incremento extra de seguridad en casos de ataques man-in-the-middle (en los que el atacante puede usar un certificado autofirmado tan imposible de verificar como el autofirmado «legítimo» que usa el servidor de correo) y un chequeo de coincidencia de los datos de dominio que figuran en el certificado con los reales (que no es muy util salvo que intervenga un PSC «de los de verdad»).

La verdadera utilidad del SSL es el cifrado, y por eso, muchos sistemas advierten del riesgo de los certificados autofirmados, o caducados, o referidos a URLs que no coinciden con la real, dejando que el usuario tome la decisión final de aceptarlos. O no.

Gmail toma la decisión por el usuario al adoptar la política de seguridad que impone la modalidad «estricta» de SSL y como opción para el usuario ofrece la posibilidad de usar conexiones sin cifrar.

En mi opinión, lo correcto es explicar los riesgos, y dejar que sea el usuario que tome la decisión, porque es mejor usar conexiones cifradas aunque los certificados sean «sub-standard» que conexiones sin cifrar.

Por cierto, aunque el correo se obtenga por una conexión cifrada, esa no es la verdadera aportación del SSL en relación con IMAP o POP3, ya que el correo transita sin cifrar entre servidores SMTP. La verdadera aportación es que la clave de usuario se cifre al inicio de la comunicación.

Periodo de vigencia del CSV (Código Seguro de Verificación)


En relación con la implementación de la Ley 11/2007 por parte de las administraciones públicas surgen preguntas como ¿Durante cuanto tiempo se pueden ver en la sede electrónica los documentos electrónicos a través del Código Seguro de Verificación?

La normativa desarrollada no contempla todas las opciones y los organismos tienen que tomar decisiones. Para fijar criterio a la hora de trabajar en las implantaciones de la administración electrónica conviene tener en cuenta los conceptos de la diplomática digital.

En relación con la pregunta indicada, hay que decir que el CSV debe conservarse para siempre. El acceso al documento se limita por la política de gestión documental de la entidad, y debe poder hacerse siempre, bien en la sede electrónica original, bien en el organismo a cargo del archivo.

Hay que hacerse a la idea de que el CSV equivale al número de protocolo de los notarios.

En el ámbito notarial, se puede solicitar copia simple o auténtica de un documento a partir de su matriz en el propio notario que lo protocolizó (cuya identidad equivale a la de la sede electrónica del organsmo) o bien en su sucesor en el protocolo, o bien en el sistema de archivo a largo plazo de protocolos.

En el caso de las administraciones públicas, siempre debe quedar definido en la política de gestión documental el órgano ante el que se puede solicitar el documento una vez superada la fase administrativa en la que el procedimiento esta «vivo» o dentro de los plazos de prescripción.

Y para el «handout» de documentos electrónicos auténticos, cuando deban hacerse cargo de ello los archivos a largo plazo, debe firmarse entre el organismo cedente y el cesionario un documento que refleje las técnicas de preservación documental electrónica previas y futuras y los controles de integridad (hashes y timestampings) de los documentos (o colecciones) transferidos.

Atenea Interactiva organiza cursos de Diplomática Digital. Se puede contactar con el 902 365 612 o el 917160555 para solicitar un curso in-company o para inscribirse en el próximo seminario abierto sobre este tema.

Firma electrónica en zEnterprise EC12


Recientemente IBM ha lanzado el nuevo sistema «mainframe» zEnterprise EC12, con clara orientacion hacia entornos de private cloud, con disponibilidad de muchísima potencia de cómputo en entornos de múltiples tipos de procesadores, sistemas operativos y cargas de trabajo.

El zEnterprise EC12 ofrece nuevos niveles de rendimiento y capacidad para consolidación de múltiples sistemas  y crecimiento a gran escala, compatibilidad con la nueva generación de equipamiento de  seguridad para firma digital, el nuevo HSM (Hardware Security Module) Crypto Express 4S, análisis avanzado de reconocimiento de patrones para el control inteligente de la funcionalidad de los componentes del sistema, nueva opción para instalaciones en  suelo no técnico y despliegue de tecnologías híbridas de procesamiento para diferentes sistemas operativos y todo tipo de cargas de trabajo distribuidas, incluyendo las específicas de mainframe (z/OS , z/VM , z/VSE , z/TPF, y Linux on System z).

En el Mainframe se equipa la cabina de entrada salida compatible con interfaz PCIe Gen2 (Peripheral Component Interconnect Express Generation 2) al que se conecta cada adaptador Crypto Express4S que da soporte a todas las funciones del modelo de adaptador criptográfico anterior Crypto Express3.

Este adaptador se puede configurar a través de la consola HMC (Hardware Management Console) de tres formas distintas:

  1. Como coprocesador CCA: IBM Common Cryptographic Architecture (CCA) coprocessor
  2. Como coprocesador PKCS#11: IBM Enterprise PKCS #11 (EP11) coprocessor
  3. Como Acelerador (Accelerator)

El adaptador se ha certificado de acuerdo con los estándares  FIPS 140-2 Security Level 4 y Common Criteria EAL 4+.

A través de CPACF (Central Processor Assist for Cryptographic Function) función que no implica coste al habilitarla en el sistema, puede gestionar los siguientes algoritmos criptográficos:

  • Algoritmos de hash (Secure hash algorithms) SHA-1, SHA-224, SHA-256, SHA-384, y SHA-512 habilitado en todos los servidores con unidades de proceso  (PUs – processor units) definidas como  CPs, IFLs, zIIPs, or zAAPs.
  • Cifrado Simétrico
    • Data Encryption Standard (DES)
    • Triple Data Encryption Standard (TDES)
    • Advanced Encryption Standard (AES) con claves de 128-bits, 192-bits, y 256-bits
  • Control de Integridad (Secure Hash Algorithms)
    • SHA-1: 160 bit
    • SHA-2: 224, 256, 384, and 512 bit
  • Control de Integridad (MAC)
    • Single-length key MAC
    • Double-length key MAC

El soporte  IBM Enterprise PKCS #11 (EP11) IBM Enterprise Public-Key Cryptography Standards (PKCS) #11 está basado en la especificatión v2.20 de PKCS #11 y se incluye enlos sistemas operativos  z/OS y z/VM medianteICSF (Integrated Cryptographic Service Facility).

El soporte criptográfico es de especial interés en banca, ya que permite, por ejemplo gestionar las funciones de seguridad de las tarjetas EMV, o cifrar la información relevante sobre tarjetas y titulares que exige el cumplimiento de la normativa PCI DSS.

Gracias al soporte PKCS#11 permite utilizar el sistema de firmas electrónicas zBackTrust de Albalia (con soporte para CAdES, XAdES y PAdES) en z/OS además de en Linux on System z.

La solución zBackTrust es la única disponible a nivel mundial con soporte nativo para mainframe en equipos z9, z10 z196, z114 y  zEC12 y capacidad de gestionar las citadas formas de firma, aunque IBM ofrece un tipo de unidad integrable en los bastidores zEnterprise que también permite realizar la funconalidad de firma electrónica con sus propias funciones criptográficas externalizadas del sistema principal (Datapower).

El sistema zBackTrust de Albalia se puede instalar sobre entornos de gestión de transacción para Java como WebSphere , Weblogic y Tomcat y soporta de forma nativa las diferentes funcionalidades de la norma DSS   (Digital Signature Services) de OASIS, de modo que la gestión de la firma electrónica se puede llevar a cabo de forma centralizada para toda la organización mediante webservices que se pueden invocar desde entornos Linux, Apple y Windows.

El sistema zBackTrust está disponible bajo diferentes tipos de licencias:

  • System
  • Site
  • Enterprise
  • Cloud

lo que permite que se pueda disponer de múltiples instancias de ejecución sin coste adicional.

El sistema zBackTrust puede contratarse a través de IBM, a través de INSA o directamente a través de Albalia, contactando con el 91 716 0555 de España (+34 917160555).

Otros artículos relacionados:

Comunicación en la cadena de suministro en REACH y CLP


En virtud de los Reglamentos REACH y CLP, todos los agentes de una cadena de suministro de una sustancia o preparado químico deben comunicar a los agentes anteriores y posteriores de la cadena de suministro cierta información. Para que existan evidencias de las comunicaciones en caso de inspección, es recomendable que las comunicaciones se lleven a cabo mediante sistemas de correo electrónico certificado semejantes a Noticeman. Cabe recordar que las sanciones de aplicación en caso de incumplimiento son superiores a 6.000 €

Hacia los Agentes anteriores. Todos los agentes de una cadena de suministro de una sustancia o preparado deben transmitir al agente o distribuidor inmediatamente anterior, de acuerdo con el artículo 34, la información siguiente:

  • Información nueva sobre propiedades peligrosas, independientemente delos usos de los que se trate.
  • Cualquier otra información que pueda poner en entredicho la idoneidadde las medidas de gestión de riesgos identificadas en la Ficha de Datos de Seguridad (FDS) que se les haya facilitado. Esta información se refiere sólo a los usos identificados.

Hacia los Agentes posteriores. Los proveedores de una sustancia, como tal o en forma de preparado, que no están obligados a facilitar una Ficha de Datos de Seguridad (FDS), deben proporcionar al destinatario la información siguiente, de acuerdo con el artículo 32:

  • El número de registro de cada sustancia (como tal o de las que forman parte del preparado).
  • Si la sustancia está supeditada a autorización y los datos de toda autorización concedida o denegada, según el título VII de la norma.
  • Los datos de toda restricción impuesta, según el título VIII de la norma.
  • Cualquier otra información disponible y pertinente sobre la sustancia que permita identificar y aplicar las medidas adecuadas de gestión de riesgos.

Esta información se debe facilitar gratuitamente como máximo en el momento de efectuar el primer suministro de una sustancia a partir del 1 de junio de2007.

Los proveedores de artículos que contienen sustancias que reúnen los criterios para ser incluidas en la lista de sustancias sujetas de autorización (cancerígenas, mutagénicas,  tóxicas, PBT…) en una concentración superior al 0,1% en peso/peso, deben facilitar al destinatario del artículo la información suficiente que permitasu uso inocuo, de acuerdo con el artículo 33. Los proveedores deben actualizar la información anterior en los casos siguientes:

  • Tan pronto como se dispone de información nueva que puede afectar las medidas de gestión de riesgos, o de información nueva sobre peligros.
  • Cuando se ha concedido o denegado una autorización.
  • Cuando se impone una restricción.

El Reglamento REACH establece una serie de requisitos nuevos con respecto al uso de sustancias químicas y la comunicación entre proveedores y clientes.

Uno de estos nuevos requisitos es la demostración de «uso seguro«, lo que implica que todos los usos actuales de todas las sustancias que se deben registrar en la Agencia ECHA deben ser identificados por la entidad que registra la sustancia (Fabricante o Importador) o comunicados a éste. Es el Proceso de Alineación de Usos. Tras  este proceso, la entidad que registra tiene que investigar si los usos identificados pueden considerarse seguros. Este análisis se realiza en el proceso de  Evaluación de la Seguridad Química (CSA, Chemical Safety Assessment).

En la Evaluación de la Seguridad Química, el Fabricante o Importador debe demostrar el uso seguro de la sustancia a lo largo de todo su ciclo de vida (fabricación, formulación, uso final, residuo). El resultado de esta evaluación es un conjunto de Condiciones Operativas y Medidas de Gestión de Riesgos que ayudan a conseguir un uso seguro. Esta información se plasma en el Escenario de Exposición, que se comunicará después del registro, a través de las Hojas de Datos de Seguridad Ampliadas (extSDS). Es obligación legal de los Usuarios Intermedios seguir las instrucciones estipuladas en el Escenario de Exposición.

El «uso» de una sustancia química, que, desde el punto de vista del Reglamento  REACH, es cualquier actividad (por ejemplo procesamiento, formulación, mezcla, llenado y producción de un artículo) que se lleva a cabo con una sustancia de forma individual o formando parte de un preparado, puede ocasionar alguna forma de «exposición» de los seres humanos o el medio ambiente. De la exposición se deriva una forma de contacto de los seres humanos y/o el medio ambiente con sustancias químicas, mientras que el contacto puede ocurrir a corto o largo plazo, una sola vez o a menudo, en baja o alta concentración.

Para la seguridad industrial y la protección de los seres humanos (trabajadores y consumidores), así como del medio ambiente, la forma, la duración y la concentración en la que se aplican las sustancias con características perjudiciales, es crucial. En este contexto, «uso seguro» significa que el Usuario Intermedio puede demostrar que las exposiciones son muy pequeñas o inexistentes, de manera que no se espera que puedan tener efectos nocivos en los seres humanos y el medio ambiente.

El «uso seguro de los productos químicos» es el objetivo fundamental del Reglamento REACH. Un paso importante para conseguir el uso seguro es evaluar todas las exposiciones potenciales. Tanto Fabricantes e Importadores como sus clientes, en el rol de Usuarios Intermedios, tienen obligaciones al respecto. El Uso Seguro depende de varias condiciones previas: buen conocimiento de las propiedades de la sustancia, de las condiciones de uso, de cualquier exposición, así como del desarrollo e implementación de las medidas de gestión de riesgo apropiadas para controlar adecuadamente los riesgos. Mientras que la Evaluación de la Seguridad Química (CSA) valora si los usos previstos para una sustancia son «seguros», es el Escenario de Exposición (ES) el que describe las condiciones para el uso seguro de una sustancia, en particular las condiciones de uso seguro y las medidas de gestión de riesgos.

Para estructurar la gran cantidad de usos diferentes de sustancias y preparados presentes en diferentes sectores de la industria, la Agencia ECHA ha desarrollado un sistema para describir los usos de forma estandarizada y estructurada. Es el llamado «Sistema Descriptor de Usos» y se basa en cinco categorías. Cada categoría incluye descriptores predefinidos, que combinándose forman una breve descripción del uso. Las cinco categorías son: sector de uso (SU), categoría de producto químico (PC), categoría de proceso (PROC), categoría de artículo (AC) y categoría de emisión medioambiental (ERC).

En la cadena de suministro, una sustancia química atraviesa diferentes sectores industriales y comerciales antes de llegar a su destino final. En el marco de REACH, cada sector representa un uso identificado. A menudo, el ciclo de vida incluye una o más fases de formulación en la industria química, y una o más fases de distribución en el sector comercial.

La ECHA estableció cinco grupos principales de usuarios que desempeñan algún rol a lo largo del ciclo de vida de la sustancia: fabricantes de sustancias químicas (por ejemplo transformando unas sustancias en otras) [SU8/9], compañías (formuladores) que mezclan productos químicos (sin transformarlos en otras sustancias) [SU10], usuarios finales industriales, que utilizan el producto químico en sus procesos de fabricación [SU3], usuarios finales profesionales [SU22] y usuarios domésticos particulares [SU21] que aplican las sustancias o preparados.

  • La Categoría de Producto Químico caracteriza el uso de una sustancia por el tipo de preparado para uso final (por ejemplo lubricante, detergente, adhesivo) en el que se sabe que va a ser utilizada la sustancia. Esto se basa en la consideración de que el uso de un preparado está relacionado estrechamente con el potencial de exposición.
  • La Categoría de Proceso agrupa las formas en que una sustancia es utilizada o transformada en el producto subsiguiente (preparado o artículo). Las técnicas de aplicación o los tipos de proceso tienen un impacto directo en la exposición esperada y, por lo tanto, en las medidas de gestión de riesgo necesarias.
    En el caso de sustancias peligrosas procesadas en artículos, el fabricante o importador de la sustancia puede considerar necesario especificar qué tipos de artículos están cubiertos en el CSA y los ESs. Por ejemplo, supondrá una diferencia en términos de exposición, si una sustancia se utiliza en el acabado textil de tejidos (contacto con la piel, lavado frecuente) o como componente de placas aislantes en el ámbito de la construcción.
  • La estimación de la emisión es el proceso en el que se cuantifican las emisiones al medio ambiente durante las etapas del ciclo de vida de un producto químico, teniendo en cuenta los diferentes tipos de usos durante esas etapas del ciclo de vida, las diferentes vías de propagación de la emisión, los receptores ambientales y la distribución espacial de las emisiones. Para ajustar al máximo la estimación de emisión y hacerla asequible para la recopilación de datos en la cadena de suministro, se han desarrollado las categorías de emisión medioambiental (ERCs). Las ERCs enumeran las características de un uso, basándose en diferentes aspectos relevantes desde una perspectiva medioambiental.

Relacionado:

No se emitirán certificados para sitios web para más de 4 años


La industria de certificación para sitios web que facilita el cifrado SSL/TLS se reúne periódicamente bajo la organización CAB (CA-Browser) Forum y acuerda las normas que se aplican en toda la industria SSL/TLS.

Una de estas normas es la eliminación de los certificados SSL/TLS con una validez de más de 4 años.

Esto aplica en todo el sector a partir del 1 de julio de 2012. Los certificados emitidos por RapidSSL, Symantec, Thawte y Geotrust, entre otras ya no estarán disponibles para períodos mayores de 4 años a partir del 13 de junio de 2012.