El GCHQ ha perdido miles de unidades de almacenamiento con datos sensibles y enfrenta críticas por la falta de control sobre ellas. El informe de IPCO también revela fallos en la protección de datos compartidos con socios extranjeros y errores de software que causaron detenciones injustificadas. Adicionalmente, se denuncian graves irregularidades de MI5 en la gestión de un informante violento.





Miles de unidades de almacenamiento del GCHQ que contienen datos sensibles se han perdido durante años, y la agencia británica de inteligencia de señales aún no puede explicar dónde están.

Según el informe anual de la Oficina del Comisionado de Poderes de Investigación (IPCO), los funcionarios conocen la desaparición de las unidades de almacenamiento desde hace años, y estas podrían contener datos relacionados con la Ley de Poderes de Investigación (IPA).

"Sigo preocupado de que el GCHQ aún no haya establecido una comprensión suficientemente clara de la escala, ubicación y recuperabilidad de los medios extraíbles perdidos que pueden contener datos relacionados con la IPA, a pesar de que los problemas subyacentes fueron llamados mi atención hace varios años", escribió el comisionado de poderes de investigación Lord Brian Leveson.

"Si bien reconozco los desafíos técnicos y prácticos implicados, el paso del tiempo sin un recuento exhaustivo aumenta la importancia de un enfoque sostenido de la alta dirección y una remediación asegurada. Dada la sensibilidad potencial del material involucrado, continuaré monitoreando el progreso de cerca".

Descrito como "un número muy significativo", el informe señala que el GCHQ ha delimitado el número máximo de unidades potencialmente perdidas, pero desconoce la escala exacta del problema.

La agencia se ha embarcado en "un programa de trabajo adicional" para localizar la mayor cantidad posible de dispositivos perdidos, que incluye la implementación de un sistema automatizado de seguimiento de activos para finales de año. Tras su puesta en marcha, afirmó que podrá proporcionar un número más preciso de unidades perdidas.

Un portavoz del GCHQ declaró: "Como ha informado la IPCO, nuestro sistema de gestión de medios extraíbles no era anteriormente lo suficientemente robusto para rastrear eficazmente los elementos registrados para su uso. La IPCO tiene razón al señalar las fallas en los datos que producía el sistema, y hemos tomado medidas contra todas sus recomendaciones.

"Reconocemos la importancia de la seguridad de los medios extraíbles en nuestros sistemas y disponemos de una serie de medidas para mitigar los riesgos que plantean estos elementos. Los hallazgos del informe han sido abordados exhaustivamente y se han tomado todas las medidas necesarias para corregir este problema".

Perder dispositivos importantes no es un logro exclusivo del GCHQ. A lo largo de los años han surgido innumerables historias similares en todos los rincones del sector público, como el Ministerio de Defensa británico que extravió unidades USB con información secreta a mediados de la década de los 2000, funcionarios que perdían rutinariamente sus terminales BlackBerry, y la policía del Reino Unido que también perdió miles de dispositivos.

Las unidades de almacenamiento desaparecidas constituyen solo una de las diversas transgresiones de la agencia destacadas por la IPCO en su informe.

También existen "preocupaciones significativas" sobre las laxas salvaguardas utilizadas para restringir a los socios extranjeros del Reino Unido al acceder a los datos interceptados masivamente recolectados por el GCHQ.

La IPCO quedó satisfecha con la forma en que el GCHQ aseguró que sus propios analistas cumplieran las salvaguardas sobre el acceso a material confidencial relacionado con el periodismo, fuentes periodísticas e información legal privilegiada.

Sin embargo, hubo preocupaciones sobre cómo se aplicaron estas mismas salvaguardas a sus socios internacionales, que tienen acceso a su llamado "producto" de interceptación de datos masivos.

El informe señala que la mayoría de los socios estaban restringidos adecuadamente para acceder a dicho material, aunque una investigación interna encontró que había acuerdos inadecuados respecto a un socio y su acceso a material periodístico.

Tanto el GCHQ como la agencia extranjera se comprometieron a rectificar la situación.

El GCHQ también fue cuestionado después de que un error de software en una aplicación web "utilizada por una sección relativamente pequeña del público" identificara erróneamente a individuos que se pensaba que participaban en actividades terroristas.

La agencia identificó y reportó la falla en el software, que utilizaba para "trabajos de descubrimiento de objetivos", y aunque solo afectó a un pequeño número de personas, los errores llevaron a cinco detenciones en puertos realizadas bajo la Ley de Terrorismo y causaron un "perjuicio grave" a las víctimas.

Una detención en puerto, para los no iniciados, implica que las fuerzas del orden detengan a un sospechoso en un puerto, aeropuerto, estación de tren del Reino Unido, o dentro de una milla de la frontera con Irlanda del Norte, y puede llevarse a cabo sin sospecha previa.

Una vez detenidas, las personas tienen la responsabilidad legal de proporcionar las contraseñas de sus dispositivos electrónicos, que pueden ser incautados hasta por siete días y, en algunos casos, se les pueden tomar sus marcadores biométricos.

El incumplimiento puede conllevar una pena de prisión de tres meses.

La IPCO dictaminó, sin embargo, que en última instancia no se cometió ningún error según lo definido por la IPA.

“Esto se debe a que la actividad fue autorizada legalmente bajo una orden de interceptación y la adopción de una metodología de descubrimiento de objetivos involuntaria e imprevistamente imperfecta no constituyó tal error”, afirmó el informe.

A pesar de la vasta experiencia técnica de la agencia, la IPCO señaló que el problema que afectaba al software no era previsible.

El GCHQ no fue el único infractor entre la comunidad de inteligencia del Reino Unido (UKIC), siendo el mal manejo por parte del MI5 del infame caso del Agente X el centro de atención del informe. El Agente X era un informante anónimo del MI5 cuya identidad real nunca ha sido revelada públicamente.

Una investigación secreta de la IPCO, así como el informe, revelaron que el MI5 gestionó al Agente X a pesar de saber que era un misógino violento obsesionado con la violencia extrema.

Lord Leveson afirmó que "el caso del Agente X es tan grave como cualquier cosa con la que haya lidiado como Comisionado", después de que el MI5 presentara pruebas falsas ante el Tribunal Superior y el Tribunal de Poderes de Investigación para proteger a un informante neonazi extranjero que estaba bajo investigación policial por abusar de su pareja, referida públicamente como "Beth".

Fuente:
TheRegister