DELITOS INFORMÁTICOS

 Delitos Informáticos Generalidades

Introducción:

   Investigar el delito desde cualquier perspectiva es una tarea compleja; de eso no hay duda. Las dificultades que surgen al tratar de aplicar el método científico a la Delincuencia Transnacional y al Crimen Organizado en buena parte ya fueron establecidas en estudios anteriores, pero enfrentar este tipo de delincuencia a todo nivel es la tarea a la que se ve avocada le Ministerio Público por mandato constitucional y por disposición legal. Ahora bien el fenómeno descrito en los últimos tiempos ha tenido un avance significativo tomando en cuenta la manifestación de la globalización, la cual no solo ha tenido beneficios, sino también ha contribuido a la masificación de esta clase de delitos y tecnificado a otra clase de cómo son los llamados Delitos Informáticos.

Generalidades

   El aspecto más importante de la informática radica en que la información ha pasado ha convertirse en un valor económico de primera magnitud. Desde siempre el hombre ha buscado guardar información relevante para usarla después7 . Como señala Camacho Losa, “En todas las facetas de la actividad humana existen el engaño, las manipulaciones, la codicia, el ansia de venganza, el fraude, en definitiva, el delito. Desgraciadamente es algo consustancial al ser humano y así se puede constatar a lo largo de la historia .” Entonces el autor se pregunta ¿y por qué la informática habría de ser diferente? Existe un consenso general entre los diversos estudiosos de la materia, en considerar que el nacimiento de esta clase de criminalidad se encuentra íntimamente asociada al desarrollo tecnológico informático.

Las computadoras han sido utilizadas para muchas clases de crímenes, incluyendo fraude, robo, espionaje, sabotaje y hasta asesinato. Los primeros casos fueron reportados en 1958. Para el profesor Manfred Mohrenschlager este fenómeno ha obligado al surgimiento de medidas legislativo penales en los Estados Industriales donde hay conciencia de que en los últimos años, ha estado presente el fenómeno delictivo

En nuestro país, el fenómeno de la criminalidad informática o de los llamados delitos informáticos, no han alcanzado todavía una importantacia mayor, esto por cuanto no se conoce en nuestro entorno mucho sobre esta clase de infracciones a pesar del efecto de aldea global que estamos viviendo, y la razón de que esta nueva forma de lesión a bienes jurídicos tutelados no sea tomada en cuenta, es por que se ha perdido por parte de la legislación penal nacional la conexión entre ésta y la realidad social actual. (Problema que no solo es en el área Penal si no en todo el ordenamiento jurídico nacional). A continuación se intentará dar una delimitación de este fenómeno de la criminalidad informática.

Las Políticas Gerenciales

   Dentro de los delitos informáticos, podemos decir que la tendencia es que la protección a los bienes jurídicos, se le haga desde la perspectiva de los delitos tradicionales, con una re-interpretación teleológica de los tipos penales ya existentes, para subsanar las lagunas originadas por los novedosos comportamientos delictivos. Esto sin duda da como regla general que los bienes jurídicos protegidos, serán los mismos que los delitos re-interpretados teleológicamente o que se les ha agregado algún elemento nuevo para facilitar su persecución y sanción por parte del órgano jurisdiccional competente. 

De otro lado otra vertiente doctrinaria supone que la emergente Sociedad de la Información hace totalmente necesaria la incorporación de valores inmateriales y de la INFORMACIÓN misma como bienes jurídicos de protección, esto tomando en cuenta las diferencias existentes por ejemplo entre la propiedad tangible y la intangible. Esto por cuanto la información no puede a criterio de Pablo Palazzi ser tratada de la misma forma en que se aplica la legislación actual a los bienes corporales, si bien dichos bienes tiene un valor intrínseco compartido, que es su valoración económica, es por tanto que ella la información y otros intangibles son objetos de propiedad, la cual esta constitucionalmente protegida.

Las Políticas Administrativas 

   En los proyectos relacionados con desarrollo de aplicaciones, deberá aplicarse una metodología formal basada en los enfoques de ciclo de vida de sistemas y orientación a objetos mediante proceso unificado, para asegurar la adecuada administración y desarrollo,

Los servicios ofrecidos por la Unidad de Gestión Informática, se solicitarán formalmente y siguiendo los procedimientos que se emitan para ese fin.

El área de servidores de Red, es de acceso restringido, dadas las características del trabajo que se desarrolla en sus instalaciones. Los funcionarios de las diferentes dependencias podrán ingresar a la oficina del Gestor Informático para efectos de solicitar servicios o consultas, siempre que haya un funcionario de la Unidad de Gestión Informática que los atienda personalmente.

Todos los procesos institucionales de adquisición de recursos informáticos, deberán ser valorados y aprobados previamente por el Unidad de Gestión Informática.

Para el trámite de adquisición de nuevos recursos informáticos, la Unidad de Gestión Informática asesorará y apoyará a la Unidad de Servicios Administrativos, en la definición de las características tecnológicas y evaluación de ofertas mediante recomendaciones técnicas.  Para la adquisición de nuevos recursos, la Unidad de Gestión Informática se fundamentará en los reglamentos y normativas de compras definidos para la Institución o proyecto de cooperación según sea el caso. 

La Unidad de Gestión Informática y la Unidad de Servicios Administrativos velarán porque los recursos informáticos adquiridos sean enviados a y utilizados por la misma Dirección en que surgió la necesidad de compra.

Políticas de personal

    La Unidad de Gestión Informática mantendrá un inventario de equipo con las características de cada uno de ellos, tanto de la sede central como de las oficinas regionales. y La Unidad de Gestión Informática deberá revisar el inventario del equipo por lo menos una vez al año, realizando los cambios que sean necesarios. Hará un informe a la Dirección Administrativa Financiera con copia a la Gerencia General sobre las diferencias y/o deficiencias encontradas.

Toda migración de base de datos deberá ser realizada por personal técnico capacitado interno o personal externo, el cual deberá ser supervisado por un profesional de la Unidad de Gestión Informática. Antes de cualquier proceso de migración se deberán realizar los respaldos respectivos, así como realizar previamente una prueba de la migración en un servidor de pruebas, para garantizar que el proceso de migración funciona correctamente. En las actividades de migración de información a bases de datos, se deberá seguir el procedimiento definido por la Unidad de Gestión Informática para evitar atrasos y complicaciones, así como dejar documentado en una bitácora todo lo realizado para futuras migraciones.

La auditoria del centro de procesamiento de datos

   En estos data centers, indistintamente de que sean públicos, privados o mixtos, se dan una serie de condiciones tanto físicas como lógicas, así como procedimentales y técnicas, que definen la seguridad de dicha infraestructura. Auditarlos puede ser una tarea compleja, porque son instalaciones complejas, luego en este artículo no tiene mucho sentido ver todas y cada una de las distintas posibilidades y desarrollar un plan de auditoría para cada una de las facetas. 

Así que en vez de desarrollar punto a punto un programa de trabajo, lo que haré será detallar lo que suele hacerse mal en un centro de datos, de modo que estas pistas te sirvan de ayuda para poder orientar tu trabajo. Hablaremos de las siguientes categorías: Seguridad física, seguridad lógica, gestión energética y problemas contractuales. En principio tengo previsto dedicar un artículo a seguridad física, otro a lógica y por último uno donde hablaré un poco de gestión energética y asuntos contractuales.

Estrategia para la integración de contra-medidas que faciliten el descubrimiento de delitos informáticos

Pruebas de mecanismos de detección y alarma. 

   Todos los responsables de seguridad física te enseñarán extintores, la sala de contraincendios, los sensores de humedad, de temperatura, de detección de humo y de movimiento. Pero no todos pueden enseñarte pruebas fehacientes de que estos sistemas están siendo probados regularmente y que funcionan como es debido. En muchos países, y por motivos de legislación, es obligatorio realizar pruebas periódicas de los sistemas, pero no asumáis que esto pasa en todos los sitios y que las pruebas son exhaustivas. Dedicad un poco de tiempo a esto

Control de acceso

   es decir, aquellos compartimentos del data center que albergan la infraestructura más valiosa. En una infraestructura de este tipo es deseable siempre tener control en tiempo real de quién entra a dónde, y para qué. No encontrarse con un sistema de control de acceso que genere los registros adecuados y los conserve convenientemente es motivo de incidencia. Se van implantando poco a poco sistemas biométricos y siguen siendo válidos los mecanismos de acceso con tarjetas inteligentes. No os cortéis a la hora de pedir logs de los sistemas de control, y no os extrañe que surjan problemas. Por increíble que parezca, este es un tema donde siempre aparecen incidencias.

Recomendaciones de medidas de seguridad informática y para la privacidad:

• Cambiar la contraseña cada cierto tiempo. Los expertos recomiendan que se usen con elemento alfanuméricos, que sean complicadas. 

• Se recomienda que cada cuenta de email, banco, seguros, etc., tenga una contraseña distinta. 

• No dejes abierta ninguna sesión. Si terminó de revisar las cuentas bancarias o los mails de la empresa, cierre todo. 

• Más si compartes la PC con otras personas. Actualizar los  antivirus. Además de que te proviene de los gusanos que circulan en la Web, te advierte de cualquier correo extraño. 

• Utiliza los cortafuegos: El uso de esto programas te garantiza un acceso seguro a internet. No uses redes públicas para transacciones.

• Son un escenario de riesgo porque los delincuentes del teclado pueden intentar copiar tus claves bancarias. Se recomienda hacerlo por VPN o páginas que contengan HTTP, son seguras. 

• No uses atajos informáticos. Entra de forma directa a la página que desean visitar, más si es la del banco. No uses enlaces o atajos informáticos. Pueden ser una trampa para el robo de tus datos. 

• Valora los datos de los trabajadores. Si tienes una empresa en vital que valores y respaldes los datos de tus trabajadores. Ellos manejan información de consumo interno que puede ser expuesta a terceros si no se respalda y protege.

Los empleados deben conocer las medidas de seguridad contra delitos informáticos

   Otro elemento que deben tener presente las empresas para proteger su  información, es la capacitación constante del personal que allí trabaja, sobre cómo detectar los riesgos tomar medidas de seguridad contra un delito informático. Una empresa que cuide su talento humano deberá invertir en programas de inducción para que sus trabajadores cumplan con medidas importantes de seguridad informática. A mayor valor intelectual de las personas de la empresa, mayor será la innovación y valor de la información que se utilice en la empresa. Por eso debemos tener en cuenta que más riesgos corremos de que un trabajador, colaborador o tercero quiera acceder a la información que se utiliza en los procesos de la empresa. La confidencialidad tiene más valor competitivo que nunca. 

Debe tener el control sobre el uso de dispositivos de almacenamiento masivos y de uso personal. No tiene que haber más dispositivos conectados a las redes y wifi de la empresa de los estrictamente necesarios, y si es posible, que cada trabajador utilice para su teléfono el internet que su propia compañía telefónica le provee, así evitará tener dispositivos no identificados conectados a la red.  Además, una recomendación es implementar software que genere advertencias si detecta que alguna información o dato importante se esté filtrando por medios o dispositivos no autorizados. Debe formarse y alertarse al personal para que estén atentos a cualquier situación atípica con los equipos de Internet o de Wi-Fi dentro de la empresa. 

Cada institución tiene un personal técnico cualificado para hacer frente a las averías que pueda presentarse en la red (igual no, pero deberías). En muchas ocasiones nos encontramos con empresas que valoran altamente sus activos de propiedad intelectual e información confidencial, por destinarse a la venta online de productos y servicios, pero sin embargo la inversión en el departamento de informática, seguridad y redes, es ridícula. Así no se puede garantizar la seguridad de una empresa, pero mucho menos la aportación de valor e innovación en la organización. El desafío principal en estos años, donde internet es el principal medio de venta y de riesgos, es proteger la información y no escatimarse recursos para conseguir el nivel de protección y seguridad informática que se ajuste al valor de la información y datos que queremos proteger. Si algo extraño sucede a causa de un delito informático, puede traerle consecuencias económicas fuertes, además de la pérdida de confianza y reputación de lo que produce.

Motivos que inducen al delito

   Las personas que cometen los “Delitos Informáticos” son aquellas que poseen ciertas características que no presentan el denominador común de los delincuentes, esto es, los sujetos activos tienen habilidades para el manejo de los sistemas informáticos y generalmente por su situación laboral se encuentran en lugares estratégicos donde se maneja información de carácter sensible, o bien son hábiles en el uso de los sistemas informatizados, aún cuando, en muchos de los casos, no desarrollen actividades laborales que faciliten la comisión de este tipo de delitos. 

Con el tiempo se ha podido comprobar que los autores de los delitos informáticos son muy diversos y que lo que los diferencia entre sí es la naturaleza de los delitos cometidos. De esta forma, la persona que “entra” en un sistema informático sin intenciones delictivas es muy diferente del empleado de una institución financiera que “desvía fondos” de las cuentas de sus clientes.

METODOS

   

  la diversidad de comportamientos constitutivos de esta clase de ilícitos es inimaginable, a decir de Camacho Losa, el único limite existente viene dado por la conjugación de tres factores: la imaginación del autor, su capacidad técnica y las deficiencias de control existentes en las instalaciones informáticas, por tal razón y siguiendo la clasificación dada por el estadounidense Don B. Parker más la lista mínima de ilícitos informáticos señalados por las Naciones Unidas, he querido lograr una clasificación que desde el punto de vista objetivo sea lo más didáctica posible al momento de tratar esta clase de conductas delictivas, por lo expuesto anteriormente y sin pretender agotar la multiplicidad de conductas que componen a esta clase de delincuencia y como señala Gutiérrez Francés, es probable que al escribir estas líneas ya hayan quedado sobrepasada las listas de modalidades conocidas o imaginables, que ponemos a consideración del lector en forma breve en que consiste cada una de estas conductas delictivas:

LOS DATOS FALSOS O ENGAÑOSOS

  (Data diddling), conocido también como introducción de datos falsos, es una manipulación de datos de entrada al computador con el fin de producir o lograr movimientos falsos en transacciones de una empresa. Este tipo de fraude informático conocido también como manipulación de datos de entrada, representa el delito informático más común ya que es fácil de cometer y difícil de descubrir. Este delito no requiere de conocimientos técnicos de informática y puede realizarlo cualquier persona que tenga acceso a las funciones normales de procesamiento de datos en la fase de adquisición de los mismos.

MANIPULACIÓN DE PROGRAMAS O LOS “CABALLOS DE TROYA” 

   (Troya Horses), Es muy difícil de descubrir y a menudo pasa inadvertida debido a que el delincuente debe tener conocimientos técnicos concretos de informática. Este delito consiste en modificar los programas existentes en el sistema de computadoras o en insertar nuevos programas o nuevas rutinas. Un método común utilizado por las personas que tienen conocimientos especializados en programación informática es el denominado Caballo de Troya que consiste en insertar instrucciones de computadora de forma encubierta en un programa informático para que pueda realizar una función no autorizada al mismo tiempo que su función normal.

El espionaje informático y robo de software

   FUGA DE DATOS (DATA LEAKAGE)

   también conocida como la divulgación no autorizada de datos reservados, es una variedad del espionaje industrial que sustrae información confidencial de una empresa. A decir de Luis Camacho Loza, “la facilidad de existente para efectuar una copia de un fichero mecanizado es tal magnitud en rapidez y simplicidad que es una forma de delito prácticamente al alcance de cualquiera”

REPRODUCCIÓN NO AUTORIZADA DE PROGRAMAS INFORMÁTICOS DE PROTECCIÓN LEGAL

    Esta puede entrañar una pérdida económica sustancial para los propietarios legítimos. Algunas jurisdicciones han tipificado como delito esta clase de actividad y la han sometido a sanciones penales. El problema ha alcanzado dimensiones transnacionales con el tráfico de esas reproducciones no autorizadas a través de las redes de telecomunicaciones modernas. Al respecto, considero, que la reproducción no autorizada de programas informáticos no es un delito informático, debido a que, en primer lugar el bien jurídico protegido es en este caso el derecho de autor, la propiedad intelectual y en segundo lugar que la protección al software es uno de los contenidos específicos del Derecho informático al igual que los delitos informáticos, por tal razón considero que la piratería informática debe ser incluida dentro de la protección penal al software y no estar incluida dentro de las conductas que componen la delincuencia informática.

CÓDIGO PENAL

     La presente Ley tiene por objeto la protección integral de los sistemas que utilicen tecnologías de información, así como la prevención y sanción de los delitos cometidos contra tales sistemas o cualesquiera de sus componentes, o de los delitos cometidos mediante el uso de dichas tecnologías, en los términos previstos en esta Ley de Venezuela según el articulo 9 de la constitución Bolivariana de Venezuela.

Las sanciones por los delitos previstos en esta Ley serán principales y accesorias. Las sanciones principales concurrirán con las penas accesorias y ambas podrán también concurrir entre sí, de acuerdo con las circunstancias particulares del delito del cual se trate, en los términos indicados en la presente Ley.

Se castiga aquí el acceso o la facilitación el acceso al conjunto o parte de un sistema de información, vulnerando las medidas de seguridad  y sin estar debidamente autorizado. Se ha discutido mucho acerca del bien jurídico que se protege: mientras que parte de la doctrina se decanta por la intimidad, otros entienden que lo que se tutela es la seguridad de los sistemas informáticos (opinión por la que parecen decantarse la mayoría de la doctrina). En cuanto a la conducta típica, la reforma de 2015 introduce una serie de cambios, estableciendo que: "el que por cualquier medio o procedimiento vulnerando las medidas de seguridad establecidas para impedirlo y sin estar debidamente autorizado , acceda o facilite a otro el acceso al conjunto o una parte de un sistema de información o se mantenga en él contra de la voluntad de quien tenga el legítimo derecho a excluirlo, será castigado con pena de prisión de seis meses a dos años". 

Debemos destacar que se penará el simple acceso aunque no se haya accedido a los datos. En cuanto a las medidas de seguridad, habrá que estar al adecuado estado de la técnica, usos o costumbres. Como novedad se habla expresamente de colaboración, por el que se facilita a un tercero el acceso al conjunto o a una parte de un sistema de información. En cuanto al sujeto activo, aunque puede ser realizado por cualquier persona, por sus peculiaridades, en la práctica, lo normal es que sea realizado por un experto en el uso de la informática, o con conocimientos informáticos avanzados. Se prevé una pena de prisión de seis meses a dos años

Entonces entendemos que hoy en día la cantidad de maneras de que se pueden cometer delitos informáticos es bastante amplia por lo que en un mundo tan conectado como el que tenemos debemos seguir ciertas recomendaciones para una mejor gestión de nuestra información en la red y así evitar ser victima de uno de estos delitos.

Autor: Andrés Prada

C.I: 29.544.692