UNE 71505; SISTEMAS DE GESTIÓN DE EVIDENCIAS ELECTRÓNICAS
En un entorno en el que la práctica totalidad de organizaciones públicas y privadas basan sus procesos de negocio o de actividad en sistemas digitales, resulta esencial garantizar la disponibilidad de Evidencias Electrónicas válidas y jurídicamente eficaces que permitan proteger de forma adecuada sus intereses y acreditar el cumplimiento de sus obligaciones, siendo necesario un Sistema de Gestión de Evidencias Electrónicas.
Un Sistema de Gestión de Evidencias se encarga de:
• Definir y describir los conceptos de seguridad de información relacionados con evidencias electrónicas.
• Identificar las relaciones entre el sistema de Gestión de Evidencias electrónicas (SGEE) y el Sistema de Gestión de Seguridad de la Información.
• Especificar los controles de seguridad aplicables a la gestión de evidencias electrónicas.
Resumiendo, las razones anteriormente expuestas, la implantación de un sistema de Gestión de Evidencias Electrónicas (SGEE) permite garantizar la disponibilidad de Evidencias Electrónicas válidas, suficientes y jurídicamente eficaces. Para su implantación es necesario basarse en una norma denominada UNE 71505 siendo esta, el marco de referencia de buenas practicas en le gestión de las mencionadas evidencias. Un SGEE también se ocupa de describir los formatos de las evidencias electrónicas y los mecanismos técnicos aplicables para el mantenimiento y preservación de la CONFIABILIDAD, fundamentada en el cumplimiento de la siguiente triple pareja de atributos:
AUTENTICIDAD E INTEGRIDAD, DISPONIBILIDAD Y COMPLETITUD, GESTIÓN Y CALIDAD
La Confiabilidad que, minimiza la posibilidad de cuestionar la veracidad de las evidencias electrónicas se basa en el siguiente conjunto de 3 parejas de atributos:
• Autenticación e integridad.
• Disponibilidad y completitud.
• Calidad y gestión.
La Autenticidad e Integridad de la información garantizan la permanencia a lo largo del tiempo de las propiedades y características originales de la misma información – en el mismo estado en el que se obtuvieron – respecto al contexto, y su estructura y contenido., garantizándose por tanto que dicha información no ha sufrido modificación o alteración.
La Disponibilidad proporciona la garantía de acceso en todas sus dimensiones, en todo momento y a lo largo del tiempo que se considere necesario, con el contexto total a la información, mientas que la Completitud hace referencia a aspectos como la consistencia de la historia en las pruebas aportadas, así como su continuidad y rigurosidad seguidas en cada uno de los procesos.
La Calidad viene dada por aspectos tales como:
• La Calidad del dato o la información inicial; Por ejemplo, la captura de audios sin ruido de fondo o las imágenes de webcam o cámaras de circuito cerrado en función de la limpieza de sus lentes, de su enfoque o de su imagen total o parcial de encuadre.
• La Calidad del método, procedimiento o instrucción empleado para obtener la información necesaria en cada momento y que una vez adquirida sea auditable, repetible, reproducible y justificable.
• La Calidad en el manejo de las fuentes de las potenciables pruebas a obtener, minimizando el manejo de las fuentes originales, documentando para una postrera trazabilidad de las acciones y que – si fuera necesario – un experto pueda formar una opinión sobre la fiabilidad de la evidencia.
• Calidad en la preservación y el análisis, así como La Calidad en la presentación basada en la consistencia de las pruebas, la transparencia y trazabilidad de las acciones llevadas a cabo, la elaboración de unos informes concretos y su legibilidad.
La Gestión proporciona la garantía de que el producto obtenido es conforme a lo esperado, pues se han empleado y utilizado procedimientos previamente planificados y estudiados y que dichos procedimientos posteriormente se han establecido como estándares de gestión habiéndose probado que son exhaustivos, repetitivos, controlados medibles y auditables en todo momento.
La norma UNE 71505 establece los requisitos para la gestión de las evidencias electrónicas a lo largo de todo su ciclo de vida, incluyendo por lo tanto las actividades relacionadas con las siguientes fases de dicho ciclo de vida:
• Generación
• Almacenamiento
• Transmisión
• Recuperación (extracción y exportación)
• Tratamiento (consolidación, agregación, correlación)
• Comunicación de las evidencias electrónicas.
Senior Consultant/Advisor en @govertis
Expertos en Ciberseguridad, Privacidad, IT GRC y Cumplimiento Normativo unificando la perspectiva Legal y Tecnológica.
