Crimen genérico o crimen electrónico, que
agobia con operaciones ilícitas realizadas por medio de Internet o que tienen
como objetivo destruir y dañar ordenadores, medios electrónicos y redes de
Internet. Sin embargo, las categorías que definen un delito informático son aún
mayores y complejas y pueden incluir delitos tradicionales como el fraude, el
robo, chantaje, falsificación y la malversación de caudales públicos en los
cuales ordenadores y redes han sido utilizados. Con el desarrollo de la
programación y de Internet, los delitos informáticos se han vuelto más
frecuentes y sofisticados.
LOS
RIESGOS INFORMÁTICOS
El riesgo es una condición del mundo real,
en el cual hay una exposición a la adversidad conformada por una combinación de
circunstancias del entorno donde hay posibilidad de pérdidas. Los riesgos
informáticos son exposiciones tales como atentados y amenazas a los sistemas de
información.
TIPOS
DE RIESGOS:
1. Riesgos de integridad.
2. Riesgos de relación.
3. Riesgos de acceso.
4. Riesgos de utilidad.
5. Riesgos en la infraestructura.
6. Riesgos de seguridad general.
7. Concentración de procesamiento
de aplicaciones mas grandes y de mayor complejidad.
8. Dependencia en el personal
clave.
RESUMEN
DE LA LEY DE DELITOS INFORMÁTICOS DE VENEZUELA
Recientemente se publicó la Ley sobre
Delitos Informáticos ("la Ley"), cuyo objetivo es proteger los
sistemas que utilicen tecnologías de información, así como prevenir y sancionar
los delitos cometidos contra o mediante el uso de tales tecnologías (Gaceta
Oficial N° 37.313 del 30 de octubre de 2001). Se trata de una ley especial que
descodifica el Código Penal y profundiza aún más la incoherencia y falta de
sistematicidad de la legislación penal, con el consecuente deterioro de la
seguridad jurídica.
La Ley define los términos tecnología de
la información, sistema, data, documento, computadora, hardware, firmware,
software, programa, procesamiento de datos o de información, seguridad, virus,
tarjeta inteligente, contraseña y mensaje de datos.
La ley presenta varias
deficiencias y problemas, entre los que podemos mencionar los siguientes:
(i) Utiliza términos en el idioma
inglés, cuando la Constitución solo autoriza el uso del castellano o lenguas
indígenas en documentos oficiales;
(ii) No tipifica delito alguno
relativo a la seguridad e integridad de la firma electrónica y a su registro;
(iii) La terminología utilizada
es diferente a la de la Ley de Mensaje de Datos y Firmas Electrónicas, tal como
se observa en la definición que hace del mensaje de datos con lo que se
propicia un desorden conceptual de la legislación en materia electrónica;
(iv) Repite delitos ya existentes
en el Código Penal y en otras leyes penales, a los cuales les agrega el medio
empleado y la naturaleza intangible del bien afectado;
(v) Tutela los sistemas de
información sin referirse a su contenido ni sus aplicaciones;
(vi) No tutela el uso debido de
Internet; y
(vii) Establece principios
generales diferentes a los establecidos en el libro primero del Código Penal,
con lo cual empeora la descodificación.
La Ley, que pretende ser un
Código Penal en miniatura, pero carece de la sistematicidad y exhaustividad
propias de tal instrumento, elabora cinco clases de delitos:
1) Contra los sistemas que
utilizan tecnologías de información;
2) Contra la propiedad;
3) Contra la privacidad de las
personas y de las comunicaciones;
4) Contra niños y adolescentes y;
5) Contra el orden económico.
1) Los delitos contra los
sistemas que utilizan tecnología de información son los siguientes:
a) El acceso indebido a un
sistema, penado con prisión de uno a cinco años y multa de 10 a 50 unidades
tributarias (UT);
b) El sabotaje o daño a sistemas,
incluyendo cualquier acto que altere su funcionamiento, penado con prisión de
cuatro a ocho años y multa de 400 a 800 UT, que aumentará a prisión de cinco a
diez años y multa de 500 a 1.000 UT si para su comisión se utiliza un virus o
medio análogo. Si se trata de sabotaje o daño culposo, la pena se reduce entre
la mitad y dos tercios. Si se trata de sabotaje o acceso indebido a sistemas
protegidos, la pena aumenta entre la tercera parte y la mitad;
c) La posesión de equipos o
prestación de servicios para actividades de sabotaje, penado con prisión de
tres a seis años y multa de 300 a 600 UT;
d) El espionaje informático, que
incluye la obtención, difusión y revelación de información, hechos o conceptos
contenidos en un sistema, penado con prisión de tres a seis años y multa de 300
a 600 UT. Si el delito se comete para procurar un beneficio para sí o para
otro, la pena aumenta entre un tercio y la mitad. El aumento será de la mitad a
dos tercios si se pone en peligro la seguridad del Estado, la confiabilidad de
la operación de las personas afectadas o si como resultado de la revelación
alguna persona sufre un daño;
e) La falsificación de documentos
mediante el uso de tecnologías de información o la creación, modificación o
alteración de datos en un documento, penado con prisión de tres a seis años y
multa de 300 a 600 UT. Si el delito se comete para procurar un beneficio para
sí o para otro, la pena aumenta entre un tercio y la mitad. Si el hecho resulta
en un perjuicio para otro, el aumento será de la mitad a dos tercios
2) Delitos contra la propiedad:
La técnica legislativa utilizada en este caso es incorrecta, pues a delitos ya
previstos en la codificación penal se les crea una supuesta independencia,
cuando la única diferencia existente es el medio utilizado (electrónico en
lugar de mecánico o material) y la naturaleza del bien tutelado, que en este
caso es intangible, mientras que en los bienes muebles es física. En esta clase
se incluyen:
a) El hurto, que consiste
básicamente en apoderarse de un bien o valor tangible o intangible de carácter
patrimonial, sustrayéndolo a su tenedor mediante el acceso, intercepción,
interferencia, manipulación o uso de un sistema que utilice tecnologías de
información, penado con prisión de dos a seis años y multa de 200 a 600 UT;
b) El fraude realizado mediante
el uso indebido de tecnologías de información, penado con prisión de tres a
siete años y multa de 300 a 700 UT;
c) La obtención indebida de
bienes o servicios mediante el uso de tarjetas inteligentes (tarjetas de
crédito, de débito o de identificación que garanticen el acceso a un sistema
reservado u otras similares, penado con prisión de dos a seis años y multa de
200 a 600 UT;
d) El manejo fraudulento de
tarjetas inteligentes, o la creación, duplicación o incorporación indebida de
datos a registros, listas de consumo o similares, penado con prisión de cinco a
diez años y multa de 500 a 1.000 UT. La misma pena será impuesta a quienes sin
tomar parte en los hechos descritos se beneficien de resultados obtenidos;
e) La apropiación indebida de
tarjetas inteligentes, penado con prisión de uno a cinco años y multa de 10 a
50 UT. La misma pena se impondrá a quien reciba o adquiera dichas tarjetas
f) Provisión indebida de bienes o
servicios utilizando una tarjeta inteligente, a sabiendas de que dicho
instrumento ha sido falsificado, está vencido o ha sido alterado, penado con
prisión de dos a seis años y multa de 200 a 600 UT;
g) La posesión de equipos para
falsificaciones, penado con prisión de tres a seis años y multa de 300 a 600
UT.
3) Los delitos contra la
privacidad de las personas y las comunicaciones son los siguientes:
a) La violación de la privacidad de la data o información de carácter personal que se encuentre en un sistema que use tecnologías de información, penado con prisión de dos a seis años y multa de 200 a 600 UT. Esta pena se aumentara de un tercio a la mitad si como consecuencia del delito descrito resulta un perjuicio para el titular de la información o para un tercero;
b) La violación de la privacidad
de las comunicaciones, penado con prisión de dos a seis años de prisión y una
multa de 200 a 600 UT;
c) La revelación indebida de
datos o información obtenidos por los medios descritos en los literales a) o b)
anteriores, penado con prisión de dos a seis años y multa de 200 a 600 UT. Esta
pena se aumentara de un tercio a la mitad si el delito se cometió con fines de
lucro o si resulta en un perjuicio para otro.
El tema de la privacidad ha sido
uno de los mas discutidos en los ordenamientos jurídicos extranjeros, debido a
los derechos humanos. Principalmente, en cuanto a los dos primeros puntos. Las
discusiones se han concentrado, básicamente, en la posibilidad de que el
empleador revise las conversaciones y envío de datos de los empleados que
utilizan como medio el sistema del empleador, así como la propiedad de la
información contenida en del sistema del empleador. Con relación al tercer
punto, el tema se ha centrado en la posibilidad de que el dueño de un sistema
venda información personal de los usuarios del sistema con fines de
comercialización.
4) Los delitos contra niños y
adolescentes son los siguientes:
a) La difusión o exhibición de
material pornográfico sin la debida advertencia para que se restrinja el acceso
a menores de edad, penado con prisión de dos a seis años y multa de 200 a 600
UT; y
b) La exhibición pornográfica de
niños o adolescentes, penado con prisión de cuatro a ocho años y multa de 400 a
800 UT.
5) El último tipo contempla los
delitos contra el orden económico, que son los siguientes:
a) La apropiación indebida de
propiedad intelectual mediante la reproducción, divulgación, modificación o
copia de un software, penado con prisión de uno a cinco años y multa de 100 a
500 UT.
b) La oferta engañosa de bienes o
servicios mediante la utilización de tecnologías de la información, penado con
prisión de uno a cinco años y multa de 100 a 500 UT, sin perjuicio de la
comisión de un delito más grave.
Además de las penas principales
indicadas anteriormente, se impondrán, sin perjuicio de las establecidas en el
Código Penal, las siguientes penas accesorias:
(i) El comiso de equipos,
dispositivos, instrumentos, materiales, útiles, herramientas y cualquier otro
objeto que haya sido utilizado para la comisión de los delitos previstos en los
artículos 10 y 19 de la Ley (posesión de equipos o prestación de servicios de
sabotaje y posesión de equipos para falsificaciones).
(ii) Trabajo comunitario por el
término de hasta tres años en los casos de los delitos previstos los artículos
6 y 8 de la Ley (acceso indebido y favorecimiento culposo del sabotaje o daño).
(iii) La inhabilitación para el
ejercicio de funciones o empleos públicos; para el ejercicio de la profesión,
arte o industria; o para laborar en instituciones o empresas del ramo por un
período de hasta tres años después de cumplida o conmutada la sanción
principal, cuando el delito se haya cometido con abuso de la posición de acceso
a data o información reservadas, o al conocimiento privilegiado de contraseñas,
en razón del ejercicio de un cargo o función público, del ejercicio privado de
una profesión u oficio, o del desempeño en una institución o empresa privada.
(iv) La suspensión del permiso,
registro o autorización para operar o para ejercer cargos directivos y de
representación de personas jurídicas vinculadas con el uso de tecnologías de
información, hasta por el período de tres años después de cumplida o conmutada
la sanción principal, si para cometer el delito el agente se valió de o hizo
figurar a una persona jurídica.
(v) Además, el tribunal podrá
disponer la publicación o difusión de la sentencia condenatoria por el medio
que considere más idóneo.
En conclusión, la Ley llena parcialmente un vacío legislativo en una materia de mucha importancia. Sin embargo, múltiples deficiencias y problemas en la técnica legislativa empleada y los conceptos usados, así como diversas lagunas y contradicciones, la hacen insuficiente como complemento del resto de la legislación, por lo que será necesario hacer una nueva tipificación de forma sistemática y exhaustiva, en el nuevo Código Penal que se adelanta en la Asamblea Nacional.
En conclusión, la Ley llena parcialmente un vacío legislativo en una materia de mucha importancia. Sin embargo, múltiples deficiencias y problemas en la técnica legislativa empleada y los conceptos usados, así como diversas lagunas y contradicciones, la hacen insuficiente como complemento del resto de la legislación, por lo que será necesario hacer una nueva tipificación de forma sistemática y exhaustiva, en el nuevo Código Penal que se adelanta en la Asamblea Nacional.
POSICIÓN
DE LA AUDITORIA ANTE LOS DELITOS INFORMÁTICOS
Destacar la importancia que tiene el saber
presentar profesionalmente los informes de auditoria computacionales. El
auditor tiene que ser muy cuidadoso al plasmar en libro, documento o escrito
porque es como dar un sello personal. Procedimientos para elaborar el informe.
En el informe de auditoria, también llamado dictamen, se reportan las
situaciones encontradas durante la evaluación, pero se deben incluir las causas
que originan esas situaciones y las posibles sugerencias para solucionar los
problemas encontrados. Los procedimientos para elaborar dicho informe se compone
de los siguientes pasos.
1. Aplicar instrumentos de
recopilación
2. Registrar el formato de
situaciones encontrada.
3. Comentar las situaciones
encontrada con los auditados.
4. Analizar, depurar y corregir
las desviaciones encontradas.
5. Presentar informe y dictamen
final a los directivos de la empresa.
6. Comentar las situaciones
encontrada con los auditados.
Una vez identificada las siguientes
situaciones encontrada, es responsabilidad del encargado de la auditoría
comentar cada una de esas desviaciones con el personal responsable de la
operación o sistema de información o función auditada. Además, comentarlo con
los auditados esto permite preparar las posibles soluciones para esas
desviaciones.
Encontrar causas de las desviaciones con
los auditados: También se recomienda encontrar de manera más fidedigna y
confiable las causas que generan cada una de las desviaciones, a fin de
reportarla en el informe lo más apegado posible a la realidad. Es necesario
tener pendiente que al conocer las desviaciones que se le imputan, el auditado
tratara de defenderse, señalando las causas que generaron cada una de las
desviaciones encontradas, así directamente al escuchar la voz del auditado el
auditor puede comprobar o ratificar las causas que había planteado. No
obstante, como es natural, en las reuniones muchos de los auditados trataran de
evadir o justificar su responsabilidad en las desviaciones e incluso, en
algunos casos extremos, pueden hasta negar la existencia o conocimiento de la
situación que se le imputa.
Elaboración del informe final y el
dictamen del auditor: En ese informe el auditor solo debe incluir lo más
relevante de la evaluación, incluyendo su opinión. En este informe es que
denota la importancia de su actividad al señalar en qué situación estaba la
empresa o departamento antes de la evaluación por los auditores. El informe es
algo práctico y corto, cabe aclarar que la razón de plasmar este informe en tan
poco espacio es que los directivos de una empresa, por lo general, tienen poco
conocimiento del el lenguaje que se maneja en los sistema computacionales.
Paola Irazabal
