1/6 Procedimiento Nº: E/00846/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de una brecha de seguridad de datos personales por parte del Responsable del Tratamiento AUTORIDAD PORTUARIA DE ***LOCALIDAD.1 (en adelante APT) con número de registro de entrada ***REGISTRO.1 relativa a datos mostrados a individuo incorrecto, se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: A la vista de la citada notificación de quiebra de seguridad de los datos personales, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación, teniendo conocimiento de los siguientes extremos. ANTECEDENTES Fecha de notificación de la brecha de seguridad de datos personales: ***FECHA.
- Resumen de la notificación: “Acceso a datos del formulario cumplimentado por posibles aspirantes a una oferta de trabajo publicada en ***URL.
- Uno de dichos usuarios, concretamente el usuario que comunico la brecha de seguridad accedió a una URL que le facilito el acceso a los formularios/listados del resto de usuarios dados de alta en la aplicación y a su correspondiente información. Cabe destacar que, en el estudio realizado sobre el incidente, se revisaron los “logs” y la base de datos del sistema vulnerado y el backup, para poder conocer posibles consecuencias de la brecha de seguridad. Con todo ello se pudo constatar que el usuario que comunicó la brecha de seguridad realizó las siguientes actuaciones: - El 02/01/2021 19:36 se crea un CV a nombre A.A.A. con dni ***NIF.1, correo electrónico ***EMAIL.1 e identificador ***IDENTIFICADOR.
- - El 17/01/2021 11:37 se crea un CV a nombre A.A.A.con dni ***NIF.1, correo electrónico ***EMAIL.2 e identificador ***IDENTIFICADOR.
- - El 17/01/2021 12:37, después de diversas búsquedas en la lista, el usuario ***IDENTIFICADOR.2 empieza a borrar un total de 30 registros. - El 17/01/2021 20:45 el usuario con identificador ***IDENTIFICADOR.2 se da de baja a si mismo (y no borra el usuario solamente lo marca de baja). La figura del subdelegado de protección de datos y el director de sistemas de la información de la APT, figuras encargadas para la investigación y resolución de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 brecha de seguridad detectada, exponen que, al analizarla conjuntamente, coinciden en que la actuación del usuario A.A.A. puede considerarse inadecuada y con la intención de materializar un riesgo. Se desprende que hay una clara intención de acceso fraudulento a los datos, pues una vez analizada su actuación que se identificada en el registro de “logs” y que se aporta como prueba documental, se evidencia el aprovechamiento indebido de la brecha de seguridad para realizar el borrado de los datos de 30 usuarios.” Documentación aportada: Informe del incidente, que entre otros incluye el correo electrónico recibido alertando de la brecha de seguridad y un análisis de los logs y los registros del log que reflejan el mencionado borrado de registros de candidatos. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: AUTORIDAD PORTUARIA DE ***LOCALIDAD.1 con CIF Q4367131B RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Solicitada información a la APT de la respuesta recibida se desprende lo siguiente: Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final En fecha 17/01/2021 se recibe en APT un correo electrónico de la persona que se ha citado, usuaria del portal y candidata a puesto de trabajo, en el manifiesta que ha podido acceder a la base de datos visualizando datos como teléfono y direcciones de 636 candidatos. APT indican que en fecha 18/01/2021 la dirección de sistemas de información recibe la solicitud para comprobar los hechos expuestos y se verifica que un usuario que previamente se haya registrado en la plataforma puede acceder a una lista con los datos personales de otros usuarios. Los representantes de APT manifiestan que para mostrar los datos de otros usuarios se debe escribir directamente en la barra de direcciones del navegador la URL y parámetros de la lista, la interfaz no ofrece ningún enlace, menú, botón u otro que lo permita. Las siguientes medidas fueron aplicadas en fecha 18/01/2021: -Pasar el sistema a modo offline. -Copiar los ficheros de log del sistema y base de datos a una ubicación segura. -Estudio de los logs y base de datos de la máquina vulnerada y la del backup del día anterior. Se comprueba que ha habido un acceso no permitido a la vista de lista. También se intentó acceder a los formularios con resultado negativo. -Restaurar la máquina del día anterior para recuperar los datos borrados. -Reconfigurar los niveles de acceso a las listas. -Comprobar que el acceso a las listas y los formularios es correcto según el nivel de acceso del usuario que intenta acceder. -Estudio de logs de los 3 últimos meses para identificar si con anterioridad se ha dado algún otro acceso no autorizado. No hay constancia que se haya producido el incidente antes del día 17/01/
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 -Se crean dos listas con datos irrelevantes y con el nivel de acceso abierto a usuarios registrados para estudiar en días posteriores si se intenta recrear el incidente. -Volver a poner el sistema en producción. -Durante la semana siguiente se estudian los logs para recabar más información en caso de nuevos intentos de acceso a datos. Se recogen evidencias del mismo comportamiento por el mismo usuario los días 20/01/2021 y 25/01/
- -Se cierra el acceso a usuarios no autorizados a todas las listas (la que contiene datos reales y las que contienen datos irrelevantes). - A día 19/01/2021 14:40 se vuelve a poner en producción la aplicación afectada con las modificaciones necesarias para subsanar la brecha de seguridad. - A día 19/01/2021 se crea el informe de resolución con las evidencias necesarias para constatarla. Para evitar que en el futuro se vuelva a producir los representantes de la APT indican que, para evitar en lo posible que se repita el incidente se implantará una política de pruebas más exhaustiva y un sistema de análisis de logs mejorado. Indican que están revisando todas las aplicaciones publicadas al exterior mediante su web para revisar sus políticas de seguridad y sus configuraciones. Respecto de las causas que hicieron posible la brecha El sistema se encontraba mal configurado, permitiendo el acceso a la vista de lista: la opción “lista” del menú de acceso de la aplicación se encontraba configurada como “registered” en lugar de como “gestors”, lo que permitía el acceso a la vista de lista a los usuarios registrados en vez de únicamente a los usuarios gestores. Respecto a los datos cuya seguridad se vio comprometida Los representantes de APT han manifestado en contestación a las preguntas planteadas por la Inspección de Datos que la aplicación muestra dos diferentes vistas, por formularios y por lista, y que los accesos se produjeron sobre la vista de lista, ya que la vista de detalle (formulario cumplimentado por el candidato) estaba bien configurada y solo era visible por el usuario legítimo, por lo que no se produjeron accesos a los formularios ni a los documentos anexos a ellos (siendo el posible documento adjunto el Curriculum Vitae del candidato). Los datos que muestra la lista son básicamente el identificador de usuario, el nombre y apellidos, DNI y datos de contacto, si bien puede configurarse para mostrar más datos, como datos de formación de los candidatos. Como se ha indicado, el usuario que accedió indicó haber podido acceder a 636 y a datos como teléfono y direcciones. Los representantes de APT han indicado en la notificación de brecha que los posibles datos afectados son datos básicos, DNI, datos de localización y de contacto y datos de formación, correspondientes a 636 usuarios. Se ha emitido una notificación de brecha a los afectados. Aportan copia del modelo de documento, emitido por correo electrónico el ***FECHA.
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 APT ha solicitado una declaración al usuario que pudo acceder a los datos para que informe si utilizó los datos, si los reveló a terceros, o si los conserva, aportando la contestación recibida, en la cual el referido usuario indica que accedió de forma fortuita y que cerró el navegador sin modificar, crear o borrar datos y que no quedó dato alguno del acceso a la web en su poder. Los representantes de APT han manifestado que no se tiene constancia de la indexación por buscadores de la información, así como que la aplicación tiene configurado el fichero robots.txt para indicar a los web crawlers que no deben indexar los datos. Respecto de las medidas de seguridad implantadas con anterioridad a la brecha APT ha aportado copia del Registro de Actividades de Tratamiento donde consta el tratamiento denominado “Candidatos para trabajar en la APT”, el Análisis de Riesgos, la política de seguridad, y las medidas técnicas y organizativas de seguridad. Aportan un listado de las medidas de seguridad que aplicaban al tratamiento citado, que incluyen un WAF, acceso exclusivo a través de https, no indexación por buscadores, accesos según perfiles de usuarios, política de contraseñas fuertes, antivirus, y copias de seguridad del servidor. Aportan también copia de auditorías externas realizadas siendo el informe de fecha 11/02/2020, que incluye un análisis de vulnerabilidades. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, que ha afectado a los tres principios de seguridad que se usan para clasificar las brechas, tratándose por tanto de una brecha que afecta a la confidencialidad, la integridad y a la disponibilidad. De la documentación aportada por la empresa en el curso de estas actuaciones de investigación, entre otra, copias del RAT donde consta el tratamiento denominado “Candidatos para trabajar en la APT”, del Análisis de Riesgos, del último informe de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 auditoría externa, fechado 11/02/2020 y en el que se incluye un análisis de vulnerabilidades, de la política de seguridad y las medidas técnicas y organizativas de seguridad. Así como un listado de las medidas de seguridad que se aplicaban al tratamiento, que incluyen un WAF, acceso exclusivo a través de https, no indexación por buscadores, accesos según perfiles de usuarios, política de contraseñas fuertes, antivirus, y copias de seguridad del servidor. Se desprende que, con anterioridad a producirse la brecha, la entidad investigada disponía de medidas de seguridad razonables en función de los posibles riesgos estimados En cuanto al impacto, los datos que se han visto vulnerados son datos básicos, DNI, datos de localización y contacto, así como de formación, siendo el volumen de usuarios afectados de
- Se ha solicitado declaración responsable al autor del acceso no autorizado, en la que afirma, que no creó, borró o modificó datos y que no quedó dato alguno de dicho acceso en su poder. No se tiene constancia de la indexación por buscadores de la información, ni tampoco constan reclamaciones ante esta Agencia por parte de terceros y dada la naturaleza del origen de la brecha, consistente en un error en la configuración de seguridad, que permite a un usuario con nivel de acceso “Registrado” acceder a las listas, su resolución ha sido rápida tras tener conocimiento de su existencia, procediéndose a comunicar la brecha a los interesados. Para evitar que estos hechos se repitan se está revisando la política de seguridad y la configuración de las aplicaciones publicadas al exterior mediante su web, además se implantará una política de pruebas más exhaustiva y un sistema de análisis de logs mejorado. En consecuencia, consta que disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia, no obstante y una vez detectada ésta, se produce una diligente reacción al objeto de notificar a la AEPD, comunicar a los afectados e implementar medias para eliminarla. Por último, se recomienda elaborar un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a AUTORIDAD PORTUARIA DE ***LOCALIDAD.1 con CIF Q4367131B C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es