HSM y UPT en PCI-DSS


Con estas nuevas siglas, PCI Security Standards Council refuerza la seguridad de la información para el pago con tarjetas agregando dispositivos de pago adicionales a las normas existentes

Además de los requisitos de seguridad para los dispositivos de introducción de PIN (PIN Entry Devices) ahora se añaden terminales de pago no atendidas (UPT, Unattended Payment Terminal) y módulos de seguridad (HSM, Hardware Security Devices

El PCI Security Standards Council, un organismo global de normas abiertas que gestiona las Normas de seguridad de la información de la industria de pagos con tarjeta (DSS, Data Security Standard) requisitos de seguridad para los dispositivos de entrada de PIN (PED, PIN Entry Devices), así como para la norma de seguridad de la información para las aplicaciones de pago (PA-DSS, Payment Application Data Security Standard), ha anunciado la inclusión de dos nuevos tipos de dispositivos en la industria de pagos para el programa PED. Los terminales de pago no atendidos (UPTs) y los módulos de seguridad del hardware (HSMs)  ahora pueden someterse a pruebas rigurosas y un programa de certificación para garantizar que cumplan con las normas de la industria para garantizar la confidencialidad de los datos sensibles en el pago con tarjeta durante cualquier punto de la transacción.

El Consejo también conservará una lista de UPTs y HSMs aprobados, aportará documentación y formación para los laboratorios que evalúen estos dispositivos y será una fuente única de información para los proveedores de dispositivos y sus clientes.

Los requisitos de seguridad PED están diseñados para garantizar la seguridad de las transacciones globales basadas en el número de identificación personal (PIN) y se aplican a dispositivos que aceptan la introducción de un PIN.

Hasta ahora, los requisitos se centraban en los dispositivos de los puntos de venta tradicionales que operan en un ambiente que es atendido por un comerciante, cajero o vendedor.

Los UPTs son dispositivos de pago no atendidos que incluyen máquinas de autoservicio expendedoras de tickets, kioscos, expendedoras de combustible y máquinas expendedoras automáticas.

Los fabricantes producen los PIN pads cifradores (EPPs, encrypting PIN pads) que se encuentran en los UPTs y los someten a evaluación por los laboratorios aprobados, y las marcas de las tarjetas de pago requieren el uso de EPPs aprobados por PCI SSC. Tener nuevos requisitos de prueba normalizados UPT facilitará la protección de los participantes en la industria de tarjetas de pago.

Los HSMs son dispositivos criptográficos seguros que se pueden usar para la traducción de PINs, personalización de tarjetas, comercio electrónico o para la protección de datos y no incluye ningún tipo de interfaz con el titular de la tarjeta. Agregar los UPTs y HSMs en los requisitos de prueba de seguridad PCI SSC hace posible que el Consejo brinde a los laboratorios de prueba un proceso de evaluación más eficiente para lograr la conformidad de estos dispositivos criptográficos.

“Los dispositivos de entrada de PIN exceden las típicas terminales POS con las que todos estamos familiarizados y que continuamente estamos expandiendo en más y más zonas”, afirmó Bob Russo, gerente general de PCI Security Standards Council. “Cualquier dispositivo que procesa números de identificación personal es un eslabón importante en la cadena de transacción. Al incluir tanto UPTs como HSMs en los Requisitos de Seguridad PED, el Consejo está reafirmando su compromiso para desarrollar normas adicionales que cumplan con las necesidades de la industria y que garanticen seguridad y protección continuas a los consumidores”.

Además de las marcas de tarjetas fundadoras, el Consejo consta de una variedad de organizaciones en la industria de pagos que tienen la oportunidad de contribuir con el desarrollo y mejora continua de las normas PCI. Se estimula a los fabricantes de UPTs y HSMs a que se unan al Consejo como Organización Participante. Aquellos que se unan tendrán la oportunidad de revisar y aportar su opinión sobre los requisitos y procesos preliminares para probar y certificar que los dispositivos UPT y HSM son seguros y protegidos. El Consejo emitirá un conjunto final de requisitos y documentación a fines de 2008.

El PCI Security Standards Council nació de la iniciativa de las marcas de las tarjetas de pago más importantes como American Express, Discover Financial Services, JCB, Mastercard Worldwide y Visa International para proporcionar un foro transparente en el que todos los interesados dispongan de información adecuada en relación con los continuos desarrollos, mejoras y la distribución de la norma de seguridad de la información (DSS), los requisitos de seguridad para el dispositivo de entrada de PIN (PED) y la norma de seguridad de la información para las aplicaciones de pago (PA-DSS). Los comerciantes, bancos, procesadores y proveedores de puntos de venta son constantemente invitados a unirse como Organizaciones Participantes

Nueva estructura organizativa en la CAN (Caja de Ahorros de Navarra) para crecer


Logo CAN - Caja de Ahorros de Navarra

Logo CAN - Caja de Ahorros de Navarra

Caja Navarra ha presentado el pasado 24 de julio de 2008 su nuevo modelo organizativo, que sienta las bases internas para potenciar el crecimiento nacional e internacional de la Banca Cívica.

Caja Navarra ha desarrollado un gran crecimiento orgánico con la apertura de 150 Canchas en los últimos tres años, alcanzado las 370 en la actualidad. Para aprovechar todo este potencial instalado en la red comercial, se han creado dos grandes áreas de negocio ‘retail’ en España: el Área de Particulares y Pymes Norte y el Área de Particulares y Pymes Centro Este. Esta nueva estructura permitirá una mayor cercanía de la dirección tanto a las personas de la organización, como a las operaciones.

Además, se crean dos unidades de negocio emergente: la Banca de Inversión y Gestión de Patrimonios, así como la unidad de Internacional, Grandes Empresas, e I+D. El Plan Estratégico Cantera avanzaba que en 2010 Caja Navarra tendrá un 5% de sus clientes en mercados fuera de España.

También se ponen en marcha dos grandes áreas de servicios. La primera, de Servicios Corporativos, dependiente de Dirección General, que se encargará de fortalecer los procesos internos en un grupo que va adquiriendo mayor dimensión, nacional e internacional.

La segunda, de Servicios a Clientes que centraliza todos los servicios que tienen que ver con créditos y préstamos, así como su gestión posterior. Este agrupamiento hará posible dar una respuesta integral a los clientes con nuevos servicios como, por ejemplo, los servicios de consolidación; y ayudar, por otra parte, al mantenimiento de una buena calidad crediticia de la cartera de clientes.

Órganos de dirección ejecutiva

El Comité de Dirección de Caja Navarra pasa a estar integrado por Joaquín Arbeloa*, Carlos Ayesa*, Roberto Ducay*, Susana García, Enrique Goñi*, Iñaki Iraizoz*, Rosa Jaso*, Francisco Lana*, José Luis Larríu, Cristina Mendía*, Juan Oderiz*, Alberto Pascual*, Juan Plaza, Amaya Rández. Como apoyos al comité de dirección están Javier Tellechea, Alberto Aniz e Ignacio Olábarri. (Las personas marcadas con * forman el Comité de Dirección Permanente).

Además del Comité de Dirección, se crea un órgano más amplio, el Comité de Desarrollo de la Estrategia que está integrado por, además de los ya citados, José Miguel Albizu, Domingo Almaraz, Iñigo Alli, Alberto Aniz, Adela Arroyuelos, Guillermo Catalán, Enrique de Mulder, Juancho Esquíroz, Iñigo Jodrá, Eduardo Llamazares, Javier Martínez, Manuel Moleón, Dámaso Munárriz, Ignacio Olabarri, Laura Urquizu y Javier Zornoza.

Desde el punto de vista de nuevos nombramientos, Roberto Ducay, que pasa a dirigir la nueva Área de Servicios Corporativos, ha sido nombrado Director General Adjunto. Joaquín Arbeloa, que en adelante dirigirá el Área de Particulares y Pymes Norte, ha sido nombrado a su vez Director General Adjunto. Iñaki Iraizoz y Rosa Jaso, responsables en el Área de Innovación e Implantación Estratégica, han sido nombrados Subdirector General y Subdirectora General Adjunta respectivamente. Por su parte, Juan Plaza, Ignacio Olábarri y Alberto Aniz han sido nombrados Subdirectores Generales Adjuntos. Y, finalmente, Adela Arroyuelos ha sido nombrada subdirectora.

Registros de empresas que reciben facturas electrónicas


Sorprende que el impulso que está recibiendo en España la factura electrónica a través de las administraciones públicas no tenga un reflejo de mayor cuantía en los registros oficiales de empresas receptoras de facturas.

En estos momentos, las empresas que desean recibir facturas electrónicas pueden inscribirse en estos registros:

Por otro lado, es posible consultar automáticamente las empresas que reciben facturas electrónicas, a través de web services mediante los protocolos SOAP o XML-RPC.

Está disponible un manual de uso del web service

Está claro que hay que difundir estos registros como primer paso para que las empresas los empleen.

«Redes y Procesos» progresa en su configuración


Según Información de Comfia, se ha ratificado el preacuerdo con las condiciones laborales de las dos empresas a que da lugar la escisión de Sistema 4B, «Redes y Procesos» y la propia «Sistema 4B»

Los trabajadores de 4B ratifican en asamblea la firma del preacuerdo que determina las condiciones laborales de las dos empresas.

11-07-2008 – Sistema 4B ha procedido a la escisión de parte de su actividad para dar cumplimiento a las indicaciones del Banco Central Europeo y del proyecto de Zona Unica de Pagos para el Euro (Single Euro Payments Area – SEPA), que establecen la necesidad de separar la gestión de la red y el procesamiento de los servicios; creándose una nueva empresa Redes y Procesos a la que pasarán el 90% de los trabajadores de 4B.

Durante los últimos cuatro meses los sindicatos han estado negociando un acuerdo que asegurase las condiciones salariales y laborales de los trabajadores de las dos empresas en el nuevo marco normativo que resulta de aplicación, esto es, el convenio colectivo de Oficinas y Despachos de Madrid.

Dicho acuerdo recoge esquemáticamente los siguientes contenidos:

  • Compromiso de continuidad de los puestos de trabajo.
  • Entrega personalizada de carta de subrogación de obligaciones de la nueva empresa, con reconocimiento expreso de la categoría y la antigüedad a todos los efectos incluidos los indemnizatorios.
  • Mantenimiento de todos los acuerdos de mejora suscritos entre la representación sindical y la empresa relativos a permisos retribuidos, turnos y festivos, lactancia y conciliación de la vida laboral y familiar.
  • Tabla de conversión de las categorías entre los convenios.
  • Establecimiento de un complemento personal, no compensable ni absorbible y sí revalorizable anualmente, por la diferencia entre el salario de Banca y el de Oficinas y Despachos.
  • Establecimiento de un complemento de antigüedad, no compensable ni absorbible y sí revalorizable anualmente, por el importe que cada cuál viniera percibiendo por dicho concepto. Consolidándose la parte proporcional del trienio en curso.
  • Se reconoce igualmente la parte proporcional de los ascensos en curso por antigüedad que habrían de consolidarse antes del 31-12-2010.
  • Revisión salarial con efectos desde el 01-01-2008 con los mismos criterios que los establecidos en el actual Convenio de Banca.
  • Anticipo a cuenta de la subida salarial de los años 2009 y 2010 del 2%.
  • Mantenimiento de las actuales condiciones del Convenio de Banca en: jornada, horarios, vacaciones, licencias, seguro de vida, anticipos y prestamos, horas extras y guardias.
  • En las prestaciones complementarias se mantiene el 100 % en enfermedad. Se mantiene igualmente el complemento de viudedad y orfandad, y no se dispone en el acuerdo del complemento de jubilación para aquellos trabajadores que ingresaron antes de marzo de 1980.
  • Establecimiento de nivel mínimo para los nuevos ingresos.
  • Mantenimiento de la representación sindical y constitución de la comisión de seguimiento del proceso de escisión.

Tras la aprobación (sin ningún voto en contra y ocho abstenciones) de la firma del preacuerdo en una asamblea en la que han participado más de 150 trabajadores, se procede a la firma pacto.

CONCIBANK (Consulting in Civic Banking) es la nueva consultora creada por Caja Navarra para impulsar su modelo en latinoamérica


Caja Navarra va a poner en marcha, a partir del mes de septiembre de 2008, su consultora CONCIBANK (Consulting in Civic Banking). Esta consultora estará especializada en la implantación de modelos de Banca Cívica. El principal objetivo es Latinoamérica, ya que el propio Banco Interamericano de Desarrollo (BID) ha mostrado su interés en apoyar a Caja Navarra en el desarrollo de esta actividad. Según el BID, la implantación de modelos basados en la Banca Cívica, favorecen, además del desarrollo financiero, la movilización y el desarrollo social, y esto resulta especialmente interesante en países emergentes. También el World Council of Credit Unions (WOCCU), con base en Washington, ha mostrado su interés por el proyecto de implantación de modelos de Banca Cívica en países hispanoamericanos. CONCIBANK se centrará en América Latina, pero también se contemplan, como mercado objetivo, los países del Este de Europa y otras zonas emergentes.

Enrique Goñi - Foto del New York Times

Enrique Goñi - Foto del New York Times

Estos primeros intereses en CONCIBANK han surgido durante la gira internacional llevada a cabo por Enrique Goñi para presentar el modelo estratégico diferencial de Caja Navarra. De hecho, distintos ejecutivos de Caja Navarra, liderados por el propio Goñi, llevan todo 2008 y parte de 2007 haciendo un ‘roadshow’ internacional sobre el modelo de negocio de CAN, Banca Cívica. Este ‘roadshow’ ha llevado la Banca Cívica ante los principales organismos financieros internacionales, como el Fondo Monetario Internacional o el Banco Mundial, y a los principales foros económicos y sociales, como la cumbre mundial del GRI en Ámsterdam, o la Annual Retail Banking Conference celebrada recientemente en Jacksonville (Florida). En este periplo se ha detectado una gran oportunidad de negocio a nivel internacional para modelos basados en Banca Cívica. La futura expansión internacional de Caja Navarra, de la que da cuenta su plan estratégico, llevará de forma orgánica la Banca Cívica a los lugares donde CAN se implante. Allí donde no llegue directamente, prestará sus servicios de consultoría CONCIBANK.

Los servicios que prestará CONCIBANK se agruparán en torno a tres ejes: implantación de modelos de negocio basados en la participación y la transparencia; programas específicos de desarrollo de negocio en nuevos segmentos (emprendedores, mujer…); y, por último, estrategias de crecimiento y fidelización a través de la creación de redes sociales. Estos servicios se prestarán tanto a entidades financieras, como a agentes económicos de economía social.

CONCIBANK tiene previsto emplear en sus dos primeros años de actividad a 20 personas y desarrollará su trabajo desde las oficinas internacionales de Caja Navarra en Nueva York, Londres y países del Este.

La normativa de seguridad aérea no tiene por qué ser secreta


Es un aspecto que sufrimos en cada viaje en avión. Claro que queremos que haya seguridad, pero con 2 dedos de frente.

«Los reglamentos de la Comisión y del Consejo, así como las directivas de estas instituciones que tengan como destinatarios a todos los estados miembros, se publicarán en el Diario Oficial de la Unión Europea». según el artículo 254 del Tratado Constitutivo de la Unión Europea

Ya he tratado estos temas en artículos anteriores.

«El Periódico» ha publicado la información «secreta», y, por lo que se ve, no hay ninguna razón para el «secretismo»:

 

 

+

Aviation Security


La normativa de la Unión Europea que he mencionado estos dias tiene su origen en la de ICAO, la Organización Internacional de Aviación Civil.

Por ello me ha parecido interesante este artículo de Doug Newhouse del 3 de abril de 2007 y que he visto en TREND (Travel Retail Executive News Digest).

ICAO’s new retail security guidelines in full

The International Civil Aviation Organisation (ICAO) has issued its guideline recommendations to its 189 member airports for the specifications of tamper-evident bags plus «proposed security principles for retail liquid, aerosol and gel items for airport retailers and manufacturers”.

While these guidelines carry no obligation on the part of any country to comply, they are expected to be widely adopted as most ICAO guidelines are by international airports.

The new guidelines contain one or two «optional additions» to existing practice such as the inclusion of a security device – meaning a hidden graphic – inside the bag and a green coloured logo on the outside.

Section five of this document is also of particular significance, entitled: “proposed security principles for retail liquid, aerosol and gel items for airport retailers and manufacturers”. These guidelines say that all liquids, gels and aerosols (LAGs) should be handled in accordance with ICAO’s recommendations contained in State letter AS 8/11-06/100 dated 1 December 2006:

a) All LAGs should be carried in containers with a capacity not greater than 100 ml each (or the equivalent in other volumetric measurements, e.g. fluid ounces);

b) Any LAGs carried in a container larger than 100 ml are not to be accepted, even if the container is only part-filled;

c) Containers with LAGs should be placed in a transparent re-sealable plastic bag of a maximum capacity not exceeding one litre. The containers must fit comfortably within the transparent plastic bag, which should be completely closed;

d) Each passenger is permitted to carry only one such bag which is to be presented separately for screening;

e) All conventional security controls and checks, including random hand searches of passengers and cabin bags, are applicable;

f) Flight crew in uniform and on duty the day(s) of the journey are exempted from these restrictions; and

g) Exceptions are allowed for medications, baby milk/foods and special dietary or other medical requirements as enumerated in paragraph 2 of this document.

1.2 LAGs, in any volume, purchased at airport retail outlets or on board aircraft during the day(s) of the journey should not be allowed through security screening points unless they:

a) are carried in a Security Tamper-Evident Bag (STEB); and

b) have been protected from unlawful interference by a process of supply chain security, including the application of appropriate security measures at manufacturers and warehouses, during the delivery process for both LAGs and STEBs from the warehouse to the airport retail outlets and aircraft outlets, and while in stock/on display at those outlets.

ICAO notes: For the purpose of this document, liquids, gels and aerosols are referred to as LAGs and include but are not limited to: water and other drinks, soups, syrups, jams, stews, sauces and pastes; foods in sauces or containing a high liquid content; creams, lotions, cosmetics and oils; perfumes; sprays; gels including hair and shower gels; contents of pressurized containers, including shaving foam, other foam and deodorants; pastes including toothpaste; liquid-solid mixtures; mascara; lip gloss or lip balm; and any item of similar consistency at room temperature.

Empty containers with a capacity greater than 100 ml are permitted. Indicative size of the one litre re-sealable plastic bag: 20.5 cm x 20.5 cm or 25 cm x 15 cm, or equivalent.

1.3 ICAO’s security guidelines, available in the ICAO Security Manual for Safeguarding Civil Aviation Against Acts of Unlawful Interference (Doc 8973) may be adopted for the development of specific measures and incorporated, if needed, into the relevant airport and airline security programmes, regulated agent regimes and quality control measures. A set of minimum security principles for manufacturers and retailers of LAGs and STEBs is in paragraph 5 of this document.

1.4 A harmonized validation template will be available on the ICAO AVSECNET secure website for use by States. Ensuring compliance with the security measures applied to LAGs and STEBs within a State is a matter for the State concerned. Recognition of the robustness of LAGs and STEBs security in another State (or States) could be conducted via bilateral, multilateral or other arrangements as appropriate, which could include on-site verification.

2. EXEMPTIONS FOR MEDICATIONS AND SPECIAL DIETARY REQUIREMENTS, INCLUDING BABY FOODS.

2.1 Passengers.
2.1.1 Liquids, aerosols and gels of any kind carried in containers with a maximum volume of 100ml should be placed in the one litre bag.

However exemptions may be granted for LAGs which cannot be so carried, but which are needed during the journey, either for essential medical purposes or to meet special and essential dietary needs. When required to do so, the passenger or staff member should provide proof of authenticity of the exempted liquid.

2.1.2 This paragraph describes procedures which airports and airlines should follow in order to establish whether LAGs claimed to be essential may be taken by passengers through search points. Persons may be sensitive about medicines they are carrying, and so will need similarly sensitive handling.

If, having followed the procedures in this guidance, doubts remain about the provenance of a LAG, the person in question should be told that they cannot take it into the cabin of the aircraft. It follows that, since the LAG was regarded as essential, he or she should also be advised not to fly.

a) Journey: The liquid is to be used during the journey refers to the journey of the person and so should not, per se, be linked to the length of the flight. A passenger may only be taking a one-hour flight, but may be taking medicine greater than 100 ml.

If the medicine is being carried in a container of more than 100 ml, whether or not it fits into the litre bag is irrelevant. He or she should be asked why the medicine is needed in this amount, and whether it could not be carried in the aircraft hold. Only if the responses give the necessary assurance should the LAG’s carriage in the cabin be permitted.

b) Medical purposes: Liquids required for medical purposes should be interpreted as meaning liquid medicines, both prescribed by a doctor and bought over-the-counter. In determining if medicine with a total volume of over 100ml is indeed essential to be carried in the cabin, and that the amount being carried is no more than is necessary for the trip, the passenger should be questioned on the nature of the medicine; the reasons why it is claimed as essential; the dosage; and the frequency of dose necessary.

However, in principle, derogations for over-the-counter medicines (e.g. nose sprays, cough medicines, contact lens solution) should be more restrictive in the quantity of liquid that is permitted since these are not “life-or death” medicines.

In addition, liquids that are not medicines but are used for medical purposes are permitted, examples of which include ice (if used to maintain the temperature of, for example, a transplant organ), blood or blood products, and even “normal” liquids if their use is justified on medical grounds (e.g. an autistic traveller that “needs” to have a particular brand of drink).

c) Dietary needs: Liquids as a special dietary need should be interpreted as meaning those foods without which the passenger’s health is threatened. Examples include baby food (provided, of course, that a baby is travelling), or foods such as special diets for lactose-intolerant passengers, or gluten-intolerant passengers.

Where the volume of baby food is deemed excessive for the length of the journey, it is not to be allowed through the screening point. Baby products may include: baby milk; sterilised water; baby juice; baby food in liquid, gel or paste form; and wet wipes.

d) Proof of authenticity: When requested to do so, the passenger should provide proof of authenticity of the exempted liquids. It should be established that the name on the label of the prescription medication matches the name on his/her boarding pass.

Where the medication is non-prescription, a determination on reasonable amounts is required. Reasonable amounts include what is required for length of the flight taking into account possible delays and flight diversions. If doubts are felt about the quantity of liquid being carried by a passenger, or that the liquids are for medical purposes or special dietary needs, then a plausibility check should be performed.

The passenger could be invited to sample the items or rub them on their skin to prove they are safe (hydrogen peroxide-based explosives are caustic, and thus could not be safely tasted or rubbed onto the skin).

For medicine prescribed by a doctor, the passenger should be able to show that it is for his/her own use, for example by having their name on the label of the medicine or a note from a doctor. When verifying the proof of authenticity, the following should be taken into consideration:

1) A passenger should not be asked to taste their medication if the dosage/usage instruction or advice from their doctor indicates that it would be dangerous to do so;

2) Passenger should not be made to taste any medication, either their own or their child’s, against their wishes;

3) For children’s prescription medication, the accompanying adult passenger should not be asked to taste the medicine, verification should instead be sought through questioning;

4) If a container is marked in grams, it may be assumed that 100g corresponds to 100 ml; and

5) Where a passenger has been asked to rub a small amount of the LAG onto their skin, the passenger’s skin should be monitored for at least two minutes to see if a reaction occurs.

2.2 Airport Staff
2.2.1 The personal items of airport staff entering a security restricted area and on board an aircraft (i.e. beverages, perfumes, cosmetics, medications and other similar items) should be subjected to the same restrictions and exemptions as passengers.

However, tools of the trade are exempt from LAGs restrictions. Tools of the trade are defined as articles in a person’s possession which are required for the lawful purpose for which he or she is in the sterile area. Tools of the trade may include items such as cleaning products, sealants, degreasers, glues, paints and oils.

2.3 Exempt Persons
2.3.1 The State may decide to exempt from LAGs restrictions (e.g. law enforcement officers and emergency personnel responding to a crisis).

3. TECHNICAL SPECIFICATIONS FOR STEBS.
3.1 Material to be used.

– transparent (high impact low density polyethylene (LDPE) or equivalent);
– recyclable and environment-friendly products if possible; and
– size and thickness (minimum of 50 microns) to be adjusted to the needs.

3.2 On the top face of the STEB
3.2.1 Closure:
– red tamper evident tape (minimum 30 mm tape with 40 mm release liner);
– high tack pressure sensitive self adhesive; and
– integral security device/hidden graphic to show if tampered with.

3.2.2 Border:
– side and bottom weld be no less than 15 mm width in red; and
– printed border of minimum 5 mm with «DO NOT OPEN», airport name, or any other continuous message or design which may bleed over the edge of the bag.
(Optional – integral security device/hidden graphic to show if borders are tampered with.)

3.2.3 Message:
– security sign in green in the middle of the security box; and
– box in red at bottom stating «Do not open until final destination -contents may be confiscated if bag is tampered with».

3.2.4 Confirmation/identification features:
– Receipt space (or jacket, optional) inside the bag visible in the top left of the security box.
The receipt should contain the following information:

a) date of purchase (dd/mm/yy or dd/mm/yyyy);

b) place of purchase (State, airport, airline) using international codes;
c) flight number(s) and name of passenger, if possible;

d) number and list of items purchased and placed in the STEB.

3.2.5 Origin of the bag:
– State three-letter code to determine the State of origin where the STEB was provided to the passenger, or airline international code (for duty free sales on board) to determine the origin of the STEB;
– Manufacturer name (in full pending ICAO’s registration number); and
– Inventory code and security code or device to protect STEB at retailers and shops.

3.3 On the back face of the bag.
– Individual airport/retailers/other branding or logos.

4. OPERATIONAL CONSIDERATIONS FOR THE USE OF THE STEB.
4.1 Ideally, and in order to facilitate the visual inspection, only LAGs purchased at airport shops, and potentially subjected to security screening at a later stage of the journey, should be placed in the STEB. Other items which might not be confiscated should either be placed in another (regular) bag or, if placed inside the STEB, should not compromise the visual inspection performed at security screening points during the journey. No items other than those purchased at the airport shop should be placed in the STEB.

4.2 Receipts should be inside the STEB, face visible from outside, and securely placed in the left top of the security box (either with a jacket inside the bag, or fixed accordingly). If the receipt has moved and is not visible for security screening purposes, the bag will have to be opened and its contents may be confiscated (or placed in a new STEB by security staff at the security screening point).

4.3 State or airline and manufacturer codes are placed by the manufacturers. Inventory and security codes are the responsibility of the retailers. STEBs should be distributed to authentic parties only.

5. PROPOSED SECURITY PRINCIPLES FOR RETAIL LIQUID, AEROSOL AND GEL ITEMS FOR AIRPORT RETAILERS AND MANUFACTURERS.
5.1 Security measures during manufacture and warehousing.
5.1.1 In order to ensure the security integrity of LAGs and STEBs, the following security measures are recommended for implementation at the warehouse where retail LAGs and STEBs are consigned:

a) Access control system, including screening procedures, allowing only authorized personnel into the premises, including verification of staff and visitors’ identities (for airport staff, Standard 4.2.6 of Annex 17, Eighth Edition, is applicable);

b) Surveillance systems (i.e. CCTV or equivalent) to monitor activities in the warehouse for preventing intrusion, tampering with and thefts of goods, or interference in processes; and

c) Access control system upon exit from the warehouse so that nothing could be substituted or used to prepare an act of unlawful interference (for airport staff, exit control measures could be carried out when exiting the Security Restricted Area).

5.2 Security measures during shipments.
5.2.1 Only sealed bins/containers and/or trucks should be used for shipments of LAGs or STEBs to airport shops or airline outlets. Any LAGs or STEBs taken out of the warehouse must be accompanied by appropriate documentation and a delivery manifest, which should be retained for possible future audit.
Security tamper-evident bags at airport shops or airline outlets should always be protected and under surveillance before being used by authorized staff. Staff at airports with access to LAGs and/or STEBs should be subjected to appropriate background checks and physical search regime.
5.3 Quality control.
5.3.1 All security measures for LAGs and STEBs should normally be incorporated into relevant security programmes (retailer security programme if considered as regulated agent according to Standard 4.6.3 of Annex 17, Eighth Edition, airport security programme and operator security programme for airline outlets).

In addition, technical assessments/tests of the security measures on premises should be conducted in order to maintain an adequate level of protection.

Retailers are encouraged to discuss such assessments/tests with the Appropriate Security Authority or Airport Authority. If a security breach is detected, security/duty supervisors, and the Appropriate Security Authorities or the police should be immediately alerted so that appropriate actions are taken. Any suspicious parcels should be dealt with under standard operating procedures.

5.3.2 Details on the implementation of the above-mentioned principles are being developed in the ICAO Security Manual, Seventh Edition, Volume IV.

Secret Law is a non-existing Law


Las Leyes secretas son Leyes que no existen.

Es de cajón. Es la base de la seguridad jurídica. De donde surge la norma «el desconocimiento de la ley no exime de su cumplimiento» (o literalmente «1. La ignorancia de las leyes no excusa de su cumplimiento.» artículo 6 del Código Civil español).

A este respecto me hago eco de este artículo «Beyond Imagination» en el blog «EU Referendum»

Used as we are to the machinations of our supreme government in Brussels, there is very little that surprises us. But this one, even by EU standards, is a gem beyond imagining – a law produced by the commission which, although everybody was expected to obey it, it refused to publish.

To its credit, this Kafkaesque situation was picked up by the European Court of Justice, specifically by the Advocate General, Eleanor Sharpston – the British barrister who prosecuted metric martyr Steve Thoburn on behalf of Sunderland Council.

The case itself, which attracted uncommonly robust condemnation from Mz Sharpston, concerned a Dr Gottfried Heinrich. On 25 September 2005, he had committed the heinous crime of boarding a passenger airliner at Vienna-Schwechat Airport carrying as part of his cabin baggage some tennis racquets which he intended to use on his holiday.

He had been stopped at the security control and warned that these were «prohibited items» but nevertheless did board with the tennis racquets in his baggage, only to be summarily ordered off the aircraft.

The point – to which Mz Sharpston took very great exception – was that there was no way that Dr Heinrich could possibly know that his tennis racquets were prohibited items.

Although such items were listed in the Annex to Commission Regulation (EC) No 622/2003 of 4 April 2003 «laying down measures for the implementation of the common basic standards on aviation security», the commission had decided that the Annex should not be published. It should only be made available «to the appropriate authorities». This was even despite two amending regulations stating, in their recitals, the need for passengers to be clearly informed of the rules relating to prohibited items.

Dr Heinrich brought proceedings before the Unabhängiger Verwaltungssenat im Land Niederösterreich (Independent Administrative Chamber for the Land of Lower Austria) which referred questions to the ECJ asking whether regulations or parts thereof «can have legally binding force if they have not been published in the Official Journal».

The ECJ had no hesitation in finding that the commission was in clear breach of Article 254 of the EC Treaty, which provides that regulations shall be published in the Official Journal. Mz Sharpston noted that the duty to publish regulations is, «unequivocal and without exception» and thus considered that the failure to publish constituted «a violation of an essential procedural requirement, resulting, at the very least, in invalidity.»

However, given that that non-publication had been neither accidental nor unintentional, Mz Sharpston suggested that the Court should go further and declare the regulation to be non-existent.

The «persistent and deliberate disregard of the mandatory publication requirement of Article 254 EC», she said, was one «whose gravity is so obvious that it cannot be tolerated by the Community legal order.» Such a step, she added, «would make it very clear that non-publication of regulations or parts thereof – all the more so when deliberate – is unacceptable in the legal order of the European Union.»

Certainly, judgements do not get more unequivocal than that, and this one makes delicious reading. But there is a coda to the story.

The only organ of our loathsome British media to report the ruling (so far) is The Times. Yet, over a by-line from David Charter in Brussels, it offers the headline: «Airlines rebuked over hand luggage racket». And, with the airlines almost completely in the frame, all we get on the EU commission on its secret Annex is that it has «agreed to publish the full list soon.»

Just precisely what does the commission have to do to get criticised in this town?

Incompetencia y normativa secreta


Ayer viajé desde Atenas (Grecia) a Larnaca (Chipre). En el Aeropuerto de Atenas sufrí, una vez más, una de las arbitrariedades a las que da lugar el Reglamento Secreto.

Al acceder al control de embarque me incautaron un destornillador de relojero de punta roma de 2 centímetros de longitud (sin contar el mango aislante de 4 centímetros, 6 en total). Estuve más de media hora en la zona de control pidiendo que me lo devolvieran ya que no es uno de los objetos prohibidos en el Reglamento (CE) no 622/2003 de la Comisión de 4 de abril de 2003 por el que se establecen las medidas para la aplicación de las normas comunes de seguridad aérea e incluso pidiendo la presencia de la policía que tiene la última palabra. El policía finalmente lo autorizaba si el comandante de la nave daba permiso, lo cual era un requisito imposible de cumplir, ya que en el embarque no hay finger (se accede al avión mediante el típico autobús-jardinera) ni hay posibilidad de hablar con el comandante de forma previa al ambarque.

Al argumento de que una de las llaves del llavero que llevaba era más larga que el destornillador, el operario a cargo del control (no el policía) argumentó que su normativa no decía nada sobre llaves y sí hablaba de «herramientas».

Cuando le expliqué el alcance del Reglamento, reconoció que ignoraba su existencia y contenido y que se regía por la normativa griega (en forma de resumen, no en formato oficial). Aunque me la mostró, tuve algunos problemas para leer el griego, que amablemente me tradujo.

Curiosamente, cuando subía el equipaje de mano al compartimento correspondiente, a bordo del avión, me percaté de que mi esposa traía en su bolso (abierto y a la vista) una de las sombrillas de madera que compramos cuando visitamos la Acrópolis. El soporte principal de la sombrilla, una vara de madera de unos 15 milímeros de diámetro y unos 60 centímetros de largo, tiene, desde cualquier punto de vista, mucho mayor valor como arma que mi destornillador de relojero.

El problema no es el valor real de la herramienta (unos 3 euros) sino la indefensión de los ciudadanos ante normas arbitrarias e inútiles que tienen que interpretar operarios sin criterio, en base a resúmenes cuya redacción es ambigua y poco fiel a la letra y al espíritu de la normativa europea.

Es curioso, ante un tema de seguridad, los criterios de seguridad son irrelevantes. Solo importan ciertos elementos formales sobre cuya discusión se excluye al ciudadano que padece esta arbitrariedad.