Por Canuto  

GCHQ reconoce que no puede precisar cuántos medios de almacenamiento con posible información sensible perdió. La supervisión británica también señaló fallas de acceso a datos y un error de software que a cinco detenciones portuarias.

***

  • La agencia conoce desde hace años la pérdida de un número muy significativo de unidades, pero solo delimitó un máximo posible y todavía no determinó la cifra exacta.
  • Un bug en una aplicación de GCHQ identificó erróneamente a personas y contribuyó a cinco detenciones portuarias, aunque la IPCO no lo clasificó como un error bajo la ley aplicable.
  • El informe también expresó preocupación por el acceso de un socio extranjero a material periodístico y detalló el grave caso del informante conocido como Agente X en el MI5.

 

 

La agencia británica de inteligencia de señales GCHQ lleva años intentando establecer cuántos dispositivos de almacenamiento extraíbles perdió y dónde podrían encontrarse. Aunque sus registros permiten acotar un número máximo de unidades potencialmente extraviadas, la agencia todavía no cuenta con un total exacto ni con una evaluación completa de qué equipos podrían recuperarse.

La preocupación central es que los medios podrían contener información relacionada con la Ley de Poderes de Investigación, conocida como IPA por sus siglas en inglés. El informe anual de la Oficina del Comisionado de Poderes de Investigación, IPCO, cuestionó que el problema continúe sin una dimensión clara y pidió que la alta dirección mantenga la supervisión y asegure medidas correctivas.

Un recuento pendiente desde hace años

Lord Brian Leveson afirmó que el asunto le preocupa desde que se lo señalaron por primera vez hace varios años. A su juicio, GCHQ aún no ha establecido una comprensión suficientemente clara de la escala, la ubicación y las posibilidades de recuperación de los medios extraíbles perdidos que podrían guardar datos vinculados con la IPA.

Leveson reconoció que localizar las unidades plantea dificultades técnicas y prácticas, pero advirtió que el paso del tiempo vuelve más importante mantener la atención de los directivos y garantizar que las correcciones se ejecuten. También dijo que seguirá vigilando el avance debido a la posible sensibilidad del material, sin afirmar que todos los dispositivos perdidos contengan necesariamente información clasificada.

El informe describe la cantidad como un número muy significativo, pero no ofrece una cifra final. GCHQ delimitó el máximo de dispositivos que podrían faltar y puso en marcha trabajo adicional para encontrar tantos como sea posible; por ahora, ese límite no permite conocer cuántas unidades desaparecieron efectivamente ni dónde están.

La agencia planea implementar un sistema automatizado de seguimiento de activos antes de que termine el año al que se refiere el informe. GCHQ indicó que, cuando entre en funcionamiento, espera poder ofrecer un recuento más preciso; el portavoz también reconoció que el mecanismo anterior para gestionar medios extraíbles no permitía seguir eficazmente los artículos registrados para su uso.

Controles de seguridad y consecuencias de un bug

GCHQ aseguró que actuó conforme a las recomendaciones de la IPCO y que adoptó medidas para corregir las deficiencias de su sistema. La agencia sostuvo que reconoce la importancia de proteger los medios extraíbles y que dispone de varias salvaguardas para reducir los riesgos, mientras que el comisionado mantuvo su preocupación por la falta de una respuesta cuantificable tras varios años.

El informe también planteó inquietudes sobre las protecciones que limitan el acceso de socios extranjeros del Reino Unido a los datos de intercepción masiva recopilados por GCHQ. La IPCO consideró adecuadas las salvaguardas aplicadas a los analistas de la propia agencia cuando consultan información confidencial relacionada con periodistas, sus fuentes y material sujeto a privilegio legal, pero observó problemas en la aplicación de esas reglas a sus socios internacionales.

La mayoría de los socios tenía restricciones apropiadas para acceder a ese material, según la investigación interna descrita en el informe. Sin embargo, la revisión detectó disposiciones inadecuadas respecto de un socio y su acceso a información periodística; tanto GCHQ como la agencia extranjera se comprometieron a corregir la situación.

Otra falla involucró un bug en una aplicación web utilizada por una sección relativamente pequeña del público y empleada por GCHQ para trabajos de descubrimiento de objetivos. El sistema identificó erróneamente a personas como presuntas participantes en actividades terroristas y, aunque el problema alcanzó a un número reducido de individuos, contribuyó a cinco detenciones portuarias bajo la Ley de Terrorismo y causó un grave perjuicio a las personas afectadas.

Detenciones y criterios de la supervisión

Una detención portuaria permite a las autoridades retener a una persona en un puerto, aeropuerto o estación de tren del Reino Unido, así como dentro de una milla de la frontera de Irlanda del Norte. La fuente explica que estas detenciones pueden realizarse sin sospecha; una vez retenidas, las personas deben entregar legalmente las contraseñas de sus dispositivos electrónicos, que pueden quedar incautados hasta siete días.

En algunos casos, las autoridades también toman marcadores biométricos, y negarse a entregar las contraseñas puede acarrear hasta tres meses de prisión. El contexto ayuda a dimensionar el impacto del error informático: las identificaciones equivocadas no fueron solo fallas administrativas, pues expusieron a personas a facultades de investigación y a consecuencias personales y legales.

Pese a ese daño, la IPCO concluyó que el episodio no constituía un error según la definición de la IPA. Su razonamiento fue que la actividad estaba autorizada legalmente bajo una orden de interceptación y que el uso de una metodología de descubrimiento de objetivos involuntaria e imprevisiblemente imperfecta no cumplía con esa definición.

La oficina de supervisión también señaló que, pese a la experiencia técnica de GCHQ, el problema del software no era previsible. Así, el informe distingue entre el perjuicio causado por las identificaciones erróneas y la calificación jurídica del incidente: reconoce el impacto en las personas, pero no determina que la falla constituyera un error legal bajo la IPA.

El MI5 y otros antecedentes de supervisión

Los problemas descritos no se limitan a GCHQ. El informe también abordó el manejo del MI5 de un informante anónimo conocido como Agente X, cuya identidad real nunca se ha divulgado; una investigación de la IPCO concluyó que la agencia lo gestionó pese a saber que era un misógino violento obsesionado con la violencia extrema.

Leveson describió el caso del Agente X como uno de los más graves que ha tratado durante su mandato. Según el informe, el MI5 dio testimonio falso ante el Tribunal Superior y el Tribunal de Poderes de Investigación para proteger a un informante neonazi extranjero que estaba bajo investigación policial por abusar de su pareja, identificada públicamente como Beth.

Las fallas en el seguimiento de equipos tampoco son inéditas en el sector público británico. El artículo recuerda casos anteriores, entre ellos memorias USB con información secreta extraviadas por el Ministerio de Defensa a mediados de los años 2000, funcionarios que perdían habitualmente sus BlackBerry y la pérdida de miles de dispositivos por parte de la policía británica.

Peter Sommer, experto en informática forense y profesor visitante en las universidades de De Montfort y Birmingham City, dijo que la IPCO tiene motivos para preocuparse por la sensibilidad de los datos y la antigüedad del problema. Añadió que incluso discos duros y tarjetas de bajo costo pueden almacenar enormes cantidades de información, y comparó la situación con la necesidad de llevar un control cuidadoso de los datos que se le confían como testigo experto.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA




ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados