Ponencia en CONPilar Conferencia de seguridad informática en Zaragoza Susana González Ruisánchez 12/03/2016 www.conpilar.es

1. Zaragoza
12 marzo 2016
#CONPilar
Conferencias Seguridad
y la 1ª Hack&Beers Zaragoza

2. Cómo ser hacker sin pasar por
el banquillo…
Con cuidado!
Susana González Ruisánchez
Directora Hiberus LegalTech

3. • Abogado en ejercicio desde 1994,
actualmente dirijo Hiberus Legal Tech
consultora de derecho tecnológico de
Hiberus Tecnología
• Derecho Digital (Seguridad de la
información y seguridad informática,
protección de datos, propiedad
intelectual e industrial, cumplimiento
legal de empresas de base tecnológica.
Consumo - Comercio electrónico,
Menores en la red, Plataformas de
pago, servicios y productos bancarios
• Management, Gestión de la innovación
tecnológica y de procesos, Compliance
Officer
• Estrategia de marketing digital y plan
de comunicación corporativo.
• Análisis, gestión e implementación de
la Innovación tecnológica,
mentorización y viabilidad proyectos
empresariales emprendedores de base
tecnológica.
• Adjunta a presidencia de ENATIC
(Asociación de Expertos Nacionales de
la Abogacía TIC), Coordinadora de la
Comisión de Comunicación.
• Miembro de junta fundadora de
ANPHACKET (Asociación nacional de
profesionales del hacking ético,
juristas y miembros de seguridad del
estado).
• Docente en II Curso de Experto
Profesional en Derecho Tecnológico e
Informática Forense de la Universidad
de Extremadura
• Promotora/organizadora de #CONPilar,
primera conferencia en Zaragoza de
ciberseguridad, hacking y nuevas
tecnologías
Who Am I

4. Who Am I cuando me desespero
con Murphy
"Todas las piezas deben unirse sin ser forzadas.
Debe recordar que los componentes que está
reensamblando fueron desmontados por usted, por lo
que si no puede unirlos debe existir una razón.
Pero sobre todo, no use un martillo"
Manual de mantenimiento de IBM, año 1925

9. Conjunto de técnicas a través de las
cuales se accede a un sistema informático
Vulnerando las medidas de seguridad
establecidas originariamente.
Accediendo libremente porque carece
de medidas de seguridad
Con autorización del titular del
sistema, ficheros, archivos o datos
Ilícito
Zona
Gris
Lícito
Hacking

10. Elementos del hacking
Intrusión, penetración, allanamientoAcceso
Lícito
Hacking ético
Ilícito ()
Sistema
informático
Equipo, elemento componente o redes
de comunicación.
Con autorización
para el acceso
Sin autorización o
justificación para el acceso
o el exceso respecto de la
autorización obtenida
Ilícito Cracking /
Ciberdelincuente

11. Lícito
Hacking ético
Ilícito ()
Hacker = Auditor en
seguridad informática.
Es un experto, un
entusiasta apasionado
que puede dedicarse a la
informática, o no.
Cree que es un deber
compartir información.
Cracker= Delincuente
Es un usuario destructivo
busca vulnerar sistemas
sin permisos, con la
finalidad de robar
datos, espiar, destruir
información, modificar
páginas web o cometer
algún otro ciberdelito.
La ética del hacker y el espíritu de la era de la
información

12. Lícito
Hacking ético
“El ordenador nació para resolver
problemas que antes no existían"
Bill Gates

13. Lícito
Hacking ético
Ilícito ()
El hacker no causa problemas.
Advierte los problemas.
Soluciona problemas.
No utiliza sus resultados en su
beneficio.

14. Lícito
Hacking ético
Ilícito ()
El límite siempre está
donde está la diferencia

15. Ilícito ()
¿Dónde está el límite?
¿Dónde está
la
diferencia? Diversa intención
Diversas formas de
realizar su actividad
Diversos intereses
Causar daños, revelar
secretos o apoderarse
de datos sin
consentimiento.
Advertir de
vulnerabilidades de
seguridad para evitar
un ataque o robo de
datos
Instalación de virus
Extorsión económica

16. Ilícito ()

17. Ilícito ()
Pon un
hacker en tu
vida
Prevención y protección en materia
de seguridad y datos
Consolidar una buena
defensa
Estructurar una prueba
sólida y ágil
Conocer nuestras vulnerabilidades
antes de que puedan hacerlo los
verdaderos atacantes
Conocer qué recursos aplicar para
bloquear ataques o defendernos de
amenazas que pueden poner en
riesgo nuestra información
Definir el alcance de un ataque si
lamentablemente ya se ha producido
Delimitar qué activos han sido
afectados e implantar medidas para
remediar y mitigar riesgos

19. Ilícito ()
Pon un hacker
en tu vida
Cracking
En qué consiste
Acceso ilícito
Instalación de virus
Extorsión económica

20. En qué consiste
Cracking
Internet
Smartphones
Otras tecnologías
telemáticas

21. En qué consiste
Cracking
Cualquier usuario que
almacena datos en un
sistema informático

22. Ilícito ()
Reacción ante un incidente
Denunciar ante las FCSE
Comunicar el acceso ilícito
a los posibles afectados
Reforzar las medidas de
seguridad de los sistemas

23. Cuál es el problema
Acceso inconsentido
Sin autorización se produce una vulneración de los
sistemas de seguridad y del derecho a la intimidad
La norma actual no diferencia formas de actuación,
ni finalidades, ni intenciones.

24. Ilícito ()
Pon un hacker
en tu vida
Las normas siempre van por
detrás de la realidad

25. Ilícito ()
Pon un hacker
en tu vida
Cualquier usuario que
almacena datos en un
sistema informático
La ley
prohíbe
Vulnerar sistemas informáticos
Realizar modificaciones en
los sistemas sin
autorización
Quebrantar las medidas de
protección de software
Legislar cuestiones digitales
de forma analógica.
Las pruebas que antes eran
físicas ahora navegan por la red.

26. Cualquier usuario que
almacena datos en un
sistema informático
La ley
prohíbe
Vulnerar sistemas informáticos
Realizar modificaciones en
los sistemas sin
autorización
Penaliza la labor investigadora de
los hackers que trabajan con temor
La ley es para todos la misma Ninguna ley puede prever todos los
casos hipotéticos o posibilidades
Facilita combatir la ciberdelincuencia
Trata de proteger al usuario frente a
los peligros de la Red

27. Ilícito ()
Cualquier usuario que
almacena datos en un
sistema informático
Vulnerar sistemas informáticos
Realizar modificaciones en
los sistemas sin
autorización
Intrusismo informático y privacidad
Descubrimiento y revelación de secretos

28. Ilícito ()
Pon un hacker
en tu vida
Cracking
Cualquier usuario que
almacena datos en un
sistema informático
Qué dice la ley?
Es delito
Violación/revelación del secreto y
difusión a terceros
Sustracción, utilización o
modificación de datos de
carácter personal
Difusión, revelación o cesión a
terceros de datos, hechos o
imágenes captadas ilegalmente

29. Ilícito ()
Pon un hacker
en tu vida
Cracking
Cualquier usuario que
almacena datos en un
sistema informático
Qué dice la ley?
Es delito
Introducirse, acceder o facilitar a
otro el acceso a un sistema de
información o mantenerse en el mismo
Interceptar transmisiones no públicas
de datos informáticos
Producir, distribuir o adquirir
programas o contraseñas que faciliten
la comisión de estos delitos

30. Ilícito ()
Pon un hacker
en tu vida
Cracking
Cualquier usuario que
almacena datos en un
sistema informático
Qué dice la ley?
Acceso
inconsentido
Vulnerar sistemas informáticos
Realizar modificaciones en
los sistemas sin
autorización
Quebrantar las medidas de
protección de software

31. Ilícito ()
Pon un hacker
en tu vida
Cualquier usuario que
almacena datos en un
sistema informático
Con cuidado…
No deberá considerarse delito el hacking ético
cuando no se cumplan todo los requisitos legales:
- Cuando no se rompa la seguridad.
- Cuando el acceso a datos o programas informáticos
no derive en apoderarse de ellos.
- Cuando no se acceda y/o mantenerse dentro de un
sistema contra la voluntad del legítimo propietario.

32. Importante
Estos delitos se hayan en la regulación de
delitos contra la intimidad, el derecho a la
propia imagen y la inviolabilidad del domicilio
Avisando al afectado no se difunde la intimidad
personal o profesional de nadie
No incurrir en apoderamiento de datos
Cuasicontrato de gestión de negocios ajenos

33. Ilícito ()
Art. 1887 CC
Un salvavidas
Cuasicontrato de gestión de
negocios ajenos sin mandato
Requisitos
Que el asunto no se exija por la
ley que lo concluya un determinado
sujeto.
Que se obre sin autorización
expresa o tácita, pero sin
contradicción del titular
Que el asunto gestionado sea ajeno
Que el acto sea puramente
voluntario y lícito

34. <And ALWAYS remember_>
<I am a hacker_>
<handshake_> ;-)
<You all are hackers_>
<We are CyberSecurity Experts_>
<A hacker is NOT a CyberCriminal_>

35. And now…
Powered by