E-02062-2018

1/5 Expediente Nº: E/02062/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinados los escritos presentados por el MINISTERIO DE JUSTICIA (S.G. DE NUEVAS TECNOLOGIAS DE LA JUSTICIA) relativos al seguimiento de las medidas preventivas planificadas para garantizar la no repetición del incidente de seguridad en el sistema LexNET, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de declaración de infracción de Administraciones Públicas de referencia AP/00066/2017, consecuencia de la notificación de la existencia de un incidente de seguridad en el sistema LexNET, presentada por el Subdirector General de Nuevas Tecnologías de la Secretaría General de la Administración de Justicia (en lo sucesivo SGNTJ), en el que se manifestaba:  El incidente afectó al buzón de correo de los usuarios de LexNET y consistía en que mediante la modificación deliberada de la dirección URL del navegador, cambiando los dígitos de identificación del usuario, se podía acceder a los buzones de otros usuarios. Dicha identificación consta de 10 dígitos, por lo que para acceder a un buzón concreto hay que conocer el identificador asociado a dicho usuario.  En la SGNTJ se tuvo conocimiento del incidente de seguridad el día 27 de julio de 2017 al recibirse aviso de un usuario de LexNET. La brecha aparece en una versión de LexNET puesta en producción el 20 de julio de

1. La primera acción que se tomo fue verificar que el incidente existía y, a continuación, se resolvió a las 5 horas desde la detección del incidente.  No existen expedientes completos en LexNET, sino notificaciones, que es la información que ha quedado comprometida. El tipo de acceso no autorizado que permite la brecha habilita visualizar el buzón del tercero al que pertenece el identificador, pero no abrir una comunicación que no haya sido previamente abierta por el usuario legítimo.  En relación con los hechos, se habían iniciado investigaciones internas para determinar lo sucedido. SEGUNDO: A lo largo de la tramitación del procedimiento, la SGNTJ enunció las cincuenta y ocho medidas preventivas planificadas para garantizar la no repetición del incidente de seguridad, y que se agrupan en las siguientes categorías: la Oficina de Seguridad, un convenio de colaboración con el CCN, la creación de un Centro de Control, la creación de una Oficina de Gestión del Servicio, la mejora de la calidad del código, la revisión de la ejecución de comandos o el acceso a datos, la revisión de la gestión de la autenticación, el filtrado adecuado de datos, la revisión de los esquemas de autorización, la prevención de suplantación al usuario, la eliminación de la posibilidad de filtrado de datos sensibles, la actualización de los componentes software, la mejora de la configuración de seguridad de los sistemas de información, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 mejora de estrategias de detección de ataques y otros aspectos organizativos y legales. Sin entrar en esta resolución a describir los detalles técnicos de la misma, por evidentes motivos de seguridad, se tiene constancia que veintisiete de dichas medidas ya se han implementado, mientras que el resto de ellas se encuentran en desarrollo o fase de pruebas. La SGNTJ ha ido informando de dicho progreso durante la tramitación del procedimiento y se consideran que son medidas adecuadas para el caso que nos ocupa. TERCERO: Si bien en el procedimiento en el que se declaró la infracción del MINISTERIO DE JUSTICIA (Subdirección General de Nuevas Tecnologías de la Justicia) por haber infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave, se consideró que se han tomado las medidas adecuadas para evitar que se volviese a producir un incidente de seguridad como el que había tenido lugar, sí se inició este expediente con la finalidad de ir conociendo el avance en la implementación de las medidas adoptadas. CUARTO: La Subdirección General de Inspección de Datos se dirigió a la SGNTJ, en fecha 18 de abril de 2018, solicitando que, con una periodicidad, al menos trimestral, se remita informe de actualización con los avances, desarrollos e incidencias que se vayan produciendo en la ejecución del Plan de medidas. En fecha 9 de julio de 2018, la SGNTJ remitió el primer informe de seguimiento de las medidas que se estaban incorporando al sistema LexNET; en el que se incluía un cuadro detallado con la información relativa a los riesgos, criticidad y priorización, así como las salidas y pruebas a realizar en las medidas que se encontraban en curso y en planificación. Mientras que en las medidas finalizadas se informaba de la evaluación realizada. En los tres meses transcurridos, destacaban la firma del Convenio de Colaboración con el Centro Nacional de Inteligencia, con fecha 5 de junio de 2018, que supuso la finalización de 3 medidas de carácter organizativo del Plan de Seguridad de LexNET. El Plan de Seguridad de LexNET está compuesto de 69 medidas, distribuidas en 5 líneas de actuación, que se resumen a continuación. En el anexo I se puede consultar el cronograma detallado de cada medida. De estas 69 medidas 58 ya han finalizado (84,1%), 7 en curso (10,1%) y 4 planificadas (5,8%). Con fecha 9 de octubre de 2018, la SGNTJ remitió el segundo informe de seguimiento de las medidas que se estaban incorporando al sistema LexNET, señalando que en los tres meses transcurridos se habían realizado nuevas mejoras en la configuración de los servidores; implantando un sistema de correlación de eventos y, el 3 de septiembre de 2018, se puso en funcionamiento el Centro de Control permitiendo la monitorización en tiempo real de los sistemas de información, y en especial de LexNET. En fecha 9 de enero de 2019, la SGNTJ remitió el tercer informe de seguimiento de las medidas que se estaban incorporando al sistema LexNET, señalando que en esos tres meses anteriores, los esfuerzos se habían centrado en la ejecución del análisis de riesgos completo del sistema LexNET y en el proceso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 renovación de las infraestructuras tecnológicas de la SGNTJ, el cual, se completará en
2. Asimismo, se habían comenzado los ciclos de pruebas con los integradores del sistema LexNET y los trabajos de configuración del módulo WAF, el cual, provee protección contra diversos ataques, permite monitorizar tráfico de red, así como realizar análisis en tiempo real. La aplicación de estas medidas hace foco en incrementar el nivel de protección del sistema de información LexNET respecto de ejecuciones de código y subida de archivos al servidor, además de ayudar al bloqueo de vulnerabilidades conocidas y desconocidas. Además, se ha implantado una plataforma para la gestión de incidentes y amenazas de ciberseguridad a través de técnicas de correlación compleja de eventos (recibe los eventos, procesa la información, analiza las alertas generadas, presenta la información relativa a los procesos monitorizados y permite la visualización de indicadores). Esta medida aumenta la efectividad en la prevención y detección temprana de explotación en posibles brechas de seguridad alertando y permitiendo actuar al personal a cargo de los sistemas para impedir ataques y posibles fugas de información. Cabe destacar que estas medidas no sólo dotan de un alto nivel de protección al sistema LexNET, sino a todos los servicios de negocio que se prestan a la Administración de Justicia, fortaleciendo la capacidad de prevención, detección y respuesta a incidentes y proporcionando un servicio en la gestión y operación de seguridad acorde a las exigencias de los profesionales y ciudadanos que se relacionan con la Justicia. Por último, a lo largo del primer semestre de 2019 se espera finalizar el túnel de cifrado en el dispositivo balanceador para aplicar medidas anti-intrusión que permitirá implementar el resto de medidas dependientes (confidencialidad de la información en el tránsito https, aplicación de la guía CCN-STIC 820 y configurar en modo prevención los cortafuegos de aplicación). En fecha 10 de abril de 2019, la SGNTJ ha remitido un cuarto informa, tan completo como los anteriores, en el que se resalta que, el 30 de marzo de 2019 se llevaron a cabo las tareas necesarias para finalizar el túnel de cifrado en el dispositivo balanceador. Con esta actuación se permite incrementar sustancialmente el nivel de seguridad en las comunicaciones del sistema LexNET, así como la protección de ejecuciones de código malicioso y el bloqueo de posibles ataques resultado de la explotación de vulnerabilidades conocidas y desconocidas. Con estas últimas actuaciones se dan por finalizadas las actividades derivadas del Plan de Mejora de la seguridad del sistema LexNET. Si bien dos de las medidas incluidas en el Plan se encuentran en curso, su seguimiento se realiza dentro del marco del Plan director de Seguridad de la SGNTJ, al no tratarse de medidas exclusivas del sistema LexNET. Añaden que desde la Oficina de Seguridad de la SGNTJ se sigue trabajando en la mejora continua de la gestión de la seguridad de todos los sistemas de información incluido LexNET. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 En consecuencia, por parte de la Subdirección General de Nuevas Tecnologías se considera finalizada la ejecución de las actuaciones incluidas en el Plan de Seguridad de LexNET, dando continuidad al proceso de securización del sistema dentro de la actividad diaria de la Oficina de Seguridad. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La Subdirección General de Nuevas Tecnologías tuvo conocimiento de un incidente de seguridad el día 27 de julio de 2017 al recibirse aviso de un usuario de LexNET. La brecha aparece en una versión de LexNET puesta en producción el 20 de julio de
3. La primera acción que se tomo fue verificar que el incidente existía y, a continuación, se resolvió a las 5 horas desde la detección del incidente. La Subdirección General de Nuevas Tecnologías, notificó la quiebra de seguridad a la Agencia Española de Protección de Datos, el día 28 de julio de
4. Al detectar la brecha de seguridad, las acciones que se tomaron fueron: - El equipo técnico evaluó, comprobó, confirmó e inició el análisis de la solución de la incidencia informada. - La solución consistió en incorporar mecanismos de validación de permisos en los accesos a todos los elementos del sistema. - La solución se validó para todos los tipos de buzones LexNET. Posteriormente se validó por el Personal de Pruebas y Calidad. El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), (en lo sucesivo RGPD) indica que las violaciones de la seguridad de los datos personales pueden entrañar daños y perjuicios físicos, materiales o inmateriales para las personas físicas. El responsable del tratamiento debe comunicar al interesado sin dilación indebida la violación de la seguridad de los datos personales en caso de que puede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 entrañar un alto riesgo para sus derechos y libertades, y permitirle tomar las precauciones necesarias. La Subdirección General de Nuevas Tecnologías, notificó a esta autoridad de control la quiebra de seguridad que se había detectado, en fecha 28 de julio de
5. La quiebra fue detectada con anterioridad a la plena aplicación del RGPD, que se produjo el día 25 de mayo de 2018, no siendo obligatoria su notificación. La Subdirección General de Nuevas Tecnologías, ha expuesto, detalladamente, a lo largo de un año desde que finalizó el procedimiento instruido por el problema que se había producido en el sistema LexNET, todas las actuaciones realizadas tras la detección de la quiebra de seguridad y para evitar que se produjera de nuevo, así como reforzar las medidas de seguridad existentes. La Subdirección General de Nuevas Tecnologías, ha cumplido lo establecido en el RGPD, al notificar la brecha de seguridad detectada; aún con anterioridad a ser plenamente aplicable el mencionado Reglamento. Además, ha dado información detallada de lo que ha realizado durante un año. En supuesto presente, del examen de las medidas adoptadas por el MINISTERIO DE JUSTICIA (S.G. DE NUEVAS TECNOLOGIAS DE LA JUSTICIA), se constata que han incorporado nuevas medidas para evitar una quiebra de seguridad, de conformidad con lo establecido en el RGPD. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos SE ACUERDA:
6. PROCEDER AL ARCHIVO de las presentes actuaciones.
7. NOTIFICAR la presente Resolución al MINISTERIO DE JUSTICIA (S.G. DE NUEVAS TECNOLOGIAS DE LA JUSTICIA). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1 c) de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es