Els orígens d'Internet i la Web
La societat de la informació es recolza en les tecnologies de la informació i la comunicació (TIC). La seva infraestructura bàsica, Internet, té un precursor històric molt concret: ARPANET, la xarxa pionera de commutació de paquets, desenvolupada el 1969 per l'agència ARPA del Departament de Defensa dels Estats Units. Va ser la primera xarxa operativa d'aquest tipus i el precursor directe d'Internet. No s'ha de confondre amb xarxes acadèmiques posteriors dels anys vuitanta com BITNET, NSFNET (xarxa troncal de la National Science Foundation) o CSNET (xarxa universitària de ciències de la computació).
Internet, com a infraestructura de xarxa, és diferent de la World Wide Web, el sistema d'hipertext que la va fer accessible. El seu inventor va ser Tim Berners-Lee, investigador del CERN, que la va proposar el 1989. No s'ha d'atribuir ni a Vint Cerf (coautor del protocol TCP/IP, base tècnica d'Internet, però no de la Web), ni a Bill Gates (fundador de Microsoft), ni a Steve Jobs (fundador d'Apple).
Un concepte actual clau és l'IoT (Internet de les Coses, Internet of Things): la connexió a internet d'objectes quotidians capaços de recollir, enviar i rebre dades de manera autònoma, més enllà d'ordinadors i mòbils. No es limita a una xarxa local, ni a servidors institucionals, ni a la xarxa telefònica.
Amenaces de ciberseguretat
L'estudiant ha de distingir amb precisió els principals tipus de programari maliciós i tècniques d'atac, perquè les respostes juguen amb matisos:
- Ransomware: xifra els arxius de la víctima (o bloqueja el sistema) i exigeix un pagament o rescat econòmic per alliberar-los.
- Troià: es disfressa de programa legítim per infiltrar-se; no xifra necessàriament arxius.
- Cuc informàtic: s'autoreplica i es propaga per la xarxa.
- Adware: mostra publicitat no desitjada, sense xifrar arxius ni exigir rescat.
Pel que fa a tècniques d'engany i interceptació:
- Phishing: suplanta la identitat d'una entitat de confiança, habitualment mitjançant correus o missatges fraudulents, per obtenir dades personals o bancàries.
- Pharming: manipula el sistema de resolució de noms de domini per redirigir la víctima a un web fals.
- Spoofing: suplanta una adreça de xarxa o de correu.
- Sniffing: intercepta de manera passiva el trànsit de dades d'una xarxa.
La protecció de dades personals
La norma de referència és el RGPD (Reglament General de Protecció de Dades), que és el Reglament UE 2016/679, la normativa europea que regula el tractament de les dades personals a tota la Unió, d'aplicació directa a tots els estats membres, inclosa Espanya. No regula l'accés a internet de banda ampla, ni es limita a les administracions públiques, ni és una norma específica de comerç electrònic.
Entre els seus principis destaca la minimització de dades: només s'han de tractar les dades adequades, pertinents i limitades a allò estrictament necessari per a la finalitat perseguida. El RGPD no reconeix cap «maximització» de dades, exigeix un principi de limitació del termini de conservació (no la conservació indefinida) i requereix una base legítima per a cada tractament (no habilita cessions automàtiques entre administracions sense consentiment o una altra base legal).
Els organismes de ciberseguretat i protecció de dades
En l'àmbit català, dos organismes són clau:
- El CESICAT (Centre de Seguretat de la Informació de Catalunya) és el centre de referència en ciberseguretat de la Generalitat, encarregat de coordinar la seguretat de la informació de les administracions catalanes i de respondre davant incidents informàtics. No gestiona el registre civil, no expedeix certificats digitals ni supervisa mitjans de comunicació.
- L'Autoritat Catalana de Protecció de Dades (APDCAT) és l'autoritat de control en l'àmbit de les administracions públiques catalanes i les entitats locals de Catalunya, sense perjudici de les competències generals de l'AEPD.
En l'àmbit estatal convé distingir tres organismes:
- L'Agència Espanyola de Protecció de Dades (AEPD): autoritat general a Espanya, però no en exclusiva (en l'àmbit autonòmic català actua l'APDCAT).
- L'INCIBE (Institut Nacional de Ciberseguretat): organisme públic estatal que fomenta la ciberseguretat entre la ciutadania i les empreses.
- El CCN-CERT (Centre Criptològic Nacional): depenent del Centre Nacional d'Intel·ligència, se centra en el sector públic i els sistemes de defensa.
La diferència principal entre l'INCIBE i el CCN-CERT és, per tant, el seu públic objectiu: l'INCIBE atén sobretot ciutadania i empreses; el CCN-CERT, el sector públic i de defensa. Tots dos són organismes públics i d'àmbit estatal (no limitats a un territori), i cap dels dos és el regulador del RGPD ni de l'IoT.
Punts clau
- ARPANET (1969), del Departament de Defensa dels EUA: precursor d'Internet, primera xarxa de commutació de paquets.
- World Wide Web (1989): inventada per Tim Berners-Lee al CERN. Diferent d'Internet.
- IoT: connexió a internet d'objectes quotidians que intercanvien dades.
- Ransomware = xifra i demana rescat; troià = es disfressa; cuc = s'autoreplica; adware = publicitat.
- Phishing = suplanta entitat de confiança per correus fraudulents; pharming = manipula el DNS; spoofing = suplanta adreça; sniffing = intercepta trànsit.
- RGPD (Reglament UE 2016/679): normativa europea de dades personals; principi de minimització.
- CESICAT: ciberseguretat de les administracions catalanes. APDCAT: protecció de dades a les administracions catalanes.
- INCIBE = ciutadania i empreses; CCN-CERT = sector públic i defensa (Centre Nacional d'Intel·ligència).
