Información de seguridad sensible

La información de seguridad sensible ( SSI , por sus siglas en inglés) es una categoría de información sensible pero no clasificada de los Estados Unidos obtenida o desarrollada en la realización de actividades de seguridad, cuya divulgación pública constituiría una invasión injustificada de la privacidad, revelaría secretos comerciales o información privilegiada o confidencial, o sería perjudicial para la seguridad del transporte. No es una forma de clasificación según la Orden Ejecutiva 12958 enmendada. SSI no es una clasificación de seguridad para información de seguridad nacional (por ejemplo, alto secreto, secreto). La protección y el intercambio de SSI se rigen por el Título 49 del Código de Reglamentos Federales (CFR, por sus siglas en inglés) partes 15 y 1520. Esta designación se asigna a la información para limitar la exposición de la información solo a aquellas personas que " necesitan saber " para participar o supervisar la protección del sistema de transporte de la nación. Aquellos con necesidad de saber pueden incluir personas fuera de la TSA, como operadores de aeropuertos, operadores de aeronaves, transportistas ferroviarios, transportistas y receptores de materiales peligrosos ferroviarios, propietarios y operadores de buques y puertos marítimos, propietarios de buques extranjeros y otras personas. ^[1]

SSI se creó para ayudar a compartir información relacionada con el transporte que se considera demasiado reveladora para su divulgación pública entre agencias del gobierno federal, gobiernos estatales, locales, tribales y extranjeros, transportistas aéreos estadounidenses y extranjeros, y otros.

La información designada como SSI no se puede compartir con el público en general y está exenta de divulgación según la Ley de Libertad de Información (FOIA). ^[2]

La SSI se inició en la Ley de Seguridad del Transporte Aéreo de 1974 (Pub. L. No. 93-366), que, entre otras cosas, autorizó a la Administración Federal de Aviación (FAA) a prohibir la divulgación de información obtenida cuya divulgación constituiría una invasión injustificada de la privacidad personal; revelaría secretos comerciales o información comercial o financiera privilegiada o confidencial obtenida de cualquier persona; o reduciría la seguridad de los pasajeros, todo ello a pesar de la Ley de Libertad de Información . El 28 de junio de 1976, la FAA publicó una propuesta para crear el Título 14 del Código de Reglamentos Federales (CFR) Parte 191 titulada "Retención de información de seguridad de la divulgación según la Ley de Seguridad del Transporte Aéreo de 1974". La Parte 191 creó la categoría de información sensible pero no clasificada, ahora conocida como Información de Seguridad Sensible (SSI), y describió la información que debe protegerse de la divulgación, incluyendo "el programa de seguridad de cualquier aeropuerto; el programa de seguridad de cualquier transportista aéreo; cualquier dispositivo para la detección de cualquier dispositivo o arma explosiva o incendiaria; y cualquier plan de seguridad de contingencia".

Menos de un año después del atentado del 21 de diciembre de 1988 contra el vuelo 103 de Pan Am sobre Lockerbie, Escocia , la Comisión Presidencial sobre Seguridad de la Aviación y Terrorismo recomendó mejoras en los boletines de seguridad de la FAA, lo que llevó a la creación de Directivas de Seguridad y Circulares de Información. En 1990, la sección 9121 de la Ley de Seguridad de la Aviación y Expansión de la Capacidad de 1990 (Pub. L. No. 101-508) amplió la 14 CFR Parte 191 para prohibir la divulgación de "cualquier información obtenida en la realización de actividades de seguridad o investigación y desarrollo". La Ley de Mejora de la Seguridad de la Aviación de 1990 (Pub. L. No. 101-604) requirió minimizar el número de personas con acceso a información sobre amenazas, a menudo contenida en directivas de seguridad (SD) y circulares de información (IC). El 21 de marzo de 1997, la FAA revisó la Parte 191 del Título 14 del CFR y cambió su título a "Protección de información confidencial de seguridad". También reforzó la regla existente para proteger la SSI de la divulgación no autorizada, amplió su aplicación a las compañías aéreas, operadores de aeropuertos, compañías aéreas indirectas, compañías aéreas extranjeras y personas, y especificó con más detalle la información protegida para incluir SD, IC y SSI relacionada con inspecciones, incidentes y cumplimiento.

Tras los ataques terroristas del 11 de septiembre de 2001 en los Estados Unidos, el Congreso aprobó la Ley de Seguridad de la Aviación y el Transporte (Pub. L. No. 107-71) conocida como ATSA, que estableció la Administración de Seguridad del Transporte (TSA) del DOT. La ley también transfirió la responsabilidad de la seguridad de la aviación civil de la FAA a la TSA. El 22 de febrero de 2002, la FAA y la TSA publicaron una norma final conjunta que transfirió la mayor parte de las normas de seguridad de la aviación de la FAA, incluida la regulación SSI de la FAA a la TSA como 49 CFR Parte 1520. También especificó con más detalle qué información es SSI y protegió las evaluaciones de vulnerabilidad para todos los modos de transporte. La Ley de Seguridad Nacional de 2002 (Pub. L. No. 107-296) estableció el Departamento de Seguridad Nacional (DHS) y transfirió la TSA del DOT al DHS. La Ley también modificó el Título 49 USC §40119 para conservar la autoridad SSI para el Secretario de Transporte, y agregó la subsección (s) al 49 USC § 114, reafirmando la autoridad de la TSA bajo el DHS para prescribir regulaciones SSI. La TSA y el DOT ampliaron la regulación SSI para incorporar medidas de seguridad marítima implementadas por regulaciones de la Guardia Costera de los EE. UU. y aclarar las disposiciones SSI preexistentes en una regla final provisional (IFR) emitida el 18 de mayo de 2004. La regulación SSI del DOT se encuentra en 49 CFR Parte 15, y la regulación SSI de la TSA permanece en 49 CFR Parte 1520.

La Ley REAL ID de 2005 (Ley Pública N.º 109-13) exigió al DHS que estableciera normas para las licencias de conducir que las agencias federales pudieran aceptar para fines de identificación oficial, incluido el "abordaje en aeronaves comerciales reguladas por el gobierno federal". El Título 6 del CFR, Parte 37, se publicó el 29 de enero de 2008 y exige un plan de seguridad y evaluaciones de vulnerabilidad relacionadas que se definen como SSI y se rigen por el Título 49 del CFR 1520.

La Ley de Asignaciones para la Seguridad Nacional de 2006 (Pub. L. No. 109-90, codificada en 6 USC § 114) requirió que el DHS proporcione políticas para todo el departamento para designar, salvaguardar y marcar documentos como SSI, junto con procedimientos de auditoría y rendición de cuentas. La Ley también requirió que el DHS informe al Congreso sobre el número de Coordinadores de SSI dentro del DHS y proporcione una lista completa de los documentos designados como SSI. También requirió que el DHS proporcione una guía que incluya ejemplos extensos de SSI para definir con más detalle las categorías individuales que se encuentran en la sección 49 CFR 1520.5(b)(1) a (16). La Ley ordenó que dicha guía sirva como base y autoridad principal para proteger, compartir y marcar la información como SSI.

La Ley de Asignaciones para la Seguridad Nacional de 2007 (Pub. L. No. 109-295) exigió al DHS que revisara sus directivas sobre SSI y ordenó la revisión oportuna de las solicitudes de SSI. También contenía requisitos de presentación de informes, exigía un acceso ampliado a SSI en litigios y exigía que toda la información de SSI con más de tres años de antigüedad, y que no estuviera en las categorías actuales de SSI, se divulgara a pedido, a menos que el Secretario del DHS [o su designado] determine por escrito que la información debe seguir siendo de SSI.

La Norma Final de Seguridad del Transporte Ferroviario, publicada en el Registro Federal el 26 de noviembre de 2008, agrega términos relacionados con el ferrocarril y personas cubiertas a la Parte 1520, incluidos los transportistas ferroviarios, las instalaciones ferroviarias, los transportistas y receptores de materiales peligrosos ferroviarios y los sistemas de tránsito ferroviario que se detallan en una nueva Parte 1580. Aunque las evaluaciones de vulnerabilidad ferroviaria y la información sobre amenazas ya eran SSI bajo la Parte 1520, esta norma final ferroviaria especifica que la información sobre investigaciones e inspecciones de seguridad ferroviaria, medidas de seguridad, materiales de capacitación en seguridad, activos críticos de infraestructura ferroviaria e investigación y desarrollo también es SSI.

La reglamentación del SSI enumera 16 categorías de información afectada y permite al Secretario de Seguridad Nacional y al Administrador de la Administración de Seguridad del Transporte designar otra información como SSI. ^[3]

Las 16 categorías de SSI enumeradas en 49 CFR §1520.5(b) son:

1. Programas de seguridad y planes de contingencia.
2. Directivas de seguridad.
3. Circulares informativas.
4. Especificaciones de rendimiento.
5. Evaluaciones de vulnerabilidad.
6. Inspección de seguridad o información investigativa.
7. Información sobre amenazas.
8. Medidas de seguridad.
9. Información de control de seguridad.
10. Materiales de capacitación en seguridad.
11. Información de identificación de determinado personal de seguridad del transporte.
12. Información crítica sobre activos de infraestructura de aviación o marítima.
13. Información de seguridad del sistema.
14. Información comercial confidencial.
15. Investigación y desarrollo.
16. Otra información. (Determinada por escrito por el DHS o el DOT; rara vez se utiliza).

Por ejemplo, la SSI incluye programas de seguridad de aeropuertos y operadores de aeronaves; los detalles de varias medidas de seguridad del transporte aéreo, marítimo o ferroviario, incluyendo la seguridad del perímetro y el control de acceso; procedimientos para la inspección de pasajeros y su equipaje; los resultados de las evaluaciones de vulnerabilidad de cualquier modo de transporte; las especificaciones técnicas de ciertos equipos de inspección y los objetos utilizados para probar dichos equipos; y materiales de capacitación que podrían usarse para penetrar o eludir la seguridad.

La reglamentación de la SSI restringe la divulgación de la SSI a las personas que tienen una "necesidad de saber" (consulte 49 CFR §1520.11), definidas en general como aquellas que necesitan la información para realizar su trabajo en seguridad del transporte, por ejemplo: funcionarios del DHS y la TSA, operadores de aeropuertos, personal de aerolíneas, transportistas ferroviarios, transportistas y receptores de materiales peligrosos ferroviarios, propietarios y operadores de buques y puertos marítimos, y otros como se indica en 49 CFR §1520.7. La SSI no se puede dar al público y está exenta de divulgación según la Ley de Libertad de Información .

La información que recibe la designación SSI incluye, entre otros:

• Programas de seguridad y planes de contingencia relacionados con cualquier programa de seguridad de un operador de aeronave, operador de aeropuerto u operador de base fija.
• Planes de contingencia de seguridad respecto de cualquier embarcación, instalación marítima o zona portuaria.
• Planes de seguridad nacionales o regionales.
• Planes de respuesta a incidentes de seguridad.
• Directivas de seguridad emitidas por la TSA ^[1]
• Diseños de seguridad de licencias de conducir, descripciones de características de seguridad y claves privadas para datos cifrados legibles por máquina contenidos en ellas.
• Información relativa a métodos avanzados de autenticación de licencias de conducir y tarjetas de identificación emitidas por el Estado.
• Planes de seguridad para licencias de conducir y tarjetas de identificación del gobierno estatal.
• Métodos para evaluar vulnerabilidades en documentos seguros emitidos por el gobierno

Un informe de junio de 2005 de la Oficina de Responsabilidad Gubernamental (GAO) de los Estados Unidos titulado "Políticas claras y supervisión necesarias para la designación de información de seguridad sensible (SSI)", criticó los controles de monitoreo de la TSA, diciendo que "la TSA no ha establecido ni documentado políticas y procedimientos de control interno para monitorear el cumplimiento de las regulaciones, políticas y procedimientos que rigen su proceso de designación de SSI, incluido el monitoreo continuo del proceso". ^[3]

El informe de la GAO citó un memorando de la TSA del 14 de octubre de 2004 que decía que la Junta de Política de Seguridad Interna de la agencia reconoció que el manejo e identificación de SSI se había convertido en un problema:

La falta de una oficina central de programas de políticas para SSI ha llevado a confusión y a la clasificación innecesaria de algunos materiales como SSI. El cumplimiento de los requisitos de manejo dentro de la TSA ha sido inconsistente, y ha habido casos en los que SSI ha sido manejado incorrectamente fuera de la TSA. La identificación de SSI a menudo ha parecido ser ad hoc, marcada por la confusión y el desacuerdo dependiendo del punto de vista, la experiencia y la capacitación del identificador. Las restricciones sobre la liberación de SSI y otros problemas relacionados con la política o el manejo de SSI han frustrado ocasionalmente a las partes interesadas de la industria, al Congreso, a los medios de comunicación y a nuestros propios empleados que intentan trabajar dentro de los límites de las restricciones. Se ha dedicado mucho tiempo y esfuerzo a las cuestiones de SSI, y no es probable que el enfoque actual para abordar dichas cuestiones pueda mantenerse. ^[3]

Sin embargo, en un informe del 30 de noviembre de 2007 al Congreso titulado Procesos de la Administración de Seguridad del Transporte para la Designación y Divulgación de Información de Seguridad Sensible , la GAO dijo: "El DHS, principalmente a través de la Oficina de SSI de la TSA, ha abordado todos los mandatos legislativos de la Ley de Asignaciones del DHS de 2007 y ha tomado medidas para satisfacer todas las recomendaciones de nuestro informe de junio de 2005. El DHS revisó su MD (es decir, Directiva de Gestión) para abordar la necesidad de actualizar la guía de SSI, y la TSA ha establecido criterios y ejemplos de SSI más amplios que responden a los requisitos de la Ley de Asignaciones del DHS de 2007 y a nuestra recomendación de 2005 de que la TSA establezca una guía y procedimientos para utilizar las regulaciones de la TSA para determinar qué constituye SSI. Además, la TSA ha documentado los criterios y ejemplos en varias publicaciones para que sirvan como guía para identificar y designar SSI. La TSA también ha compartido su documentación de los criterios y ejemplos con otras agencias del DHS".

El 28 de julio de 2008, la GAO fue aún más lejos y le dijo al Congreso: "El programa de la Administración de Seguridad del Transporte (TSA) sobre la gestión de la información que designa como información de seguridad sensible podría servir como modelo para guiar la implementación de la CUI por parte de otras agencias".

Durante la década de 1980, el Congreso y la Casa Blanca se enfrentaron por acuerdos de confidencialidad que establecían que los empleados podían ser penalizados por revelar información "clasificable" (en lugar de clasificada). El principal argumento en contra era que un denunciante podía ser objeto de represalias mediante una decisión de la dirección de decidir retroactivamente que había revelado información clasificada, aunque no lo fuera cuando se produjo la revelación. La decisión de marcar la información como sensible se habría tomado sólo después de una revelación. Además, esto habría obligado a los empleados que revelaran información a cumplir unos estándares más altos que la persona responsable de marcar la información que debería marcarse como clasificada. En última instancia, se eliminó el aspecto "clasificable" de las políticas de confidencialidad del gobierno.

Sin embargo, la misma situación se ha presentado en el caso del ex alguacil federal de la TSA Robert MacLean contra el Departamento de Seguridad Nacional, que gira en torno a la decisión retroactiva de la TSA de etiquetar una divulgación de MacLean como "Información de Seguridad Sensible", tres años después de que hiciera su divulgación y cuatro meses después de despedirlo. MacLean argumenta que su divulgación estaba protegida por la Ley de Protección de los Denunciantes ; la TSA replica que las divulgaciones de la SSI no están protegidas porque las violaciones de las regulaciones de la agencia ejecutiva son equivalentes a una "violación de la ley". ^[4]

Según este informe de la Cámara de Representantes de 1988. ^[5] "El intento más reciente de la Administración de definir 'clasificable' responsabiliza a los empleados por quienes divulguen información no clasificada, sin notificarles previamente su estatus especial. Según la Orden Ejecutiva 12356, la información clasificada se marca como tal. Sec. 1.5. Incluso la información que está en proceso de determinación de clasificación recibe una marca de clasificación provisional por un período de 30 días. Orden Ejecutiva 12356, Secciones 1.1(c), 1.(e). Por lo tanto, el empleado es consciente de su estatus especial. Sin las marcas de clasificación en la información no clasificada, sin embargo, un empleado no puede estar seguro de que las restricciones de los acuerdos de confidencialidad se apliquen a ese material. En consecuencia, debe consultar con sus supervisores, alertándolos así de la divulgación. Eso invita a un efecto amedrentador. Como señaló la entonces congresista (ahora senadora de los EE. UU.) Barbara Boxer en las audiencias:

Me preocupa que esto obligue a los posibles denunciantes a preguntar a sus superiores sobre las determinaciones de clasificación, lo que tendría como efecto frenarlos.

Sin embargo, cabe señalar una vez más que la información confidencial de seguridad se rige por las normas publicadas. Si se marca correctamente como SSI, un documento advierte claramente al empleado que debe cumplir con los requisitos normativos y las pautas de implementación en materia de divulgación.

En septiembre de 2004, dos miembros del Comité de Asignaciones Presupuestarias de la Cámara de Representantes solicitaron que los auditores examinaran la forma en que el Departamento de Seguridad Nacional está utilizando su autoridad para ocultar al público información sobre seguridad en el transporte. La preocupación es que es necesario proteger el material, pero también es necesario informar al público sobre la información que afecta a su seguridad.

Algunos ejemplos en cuestión fueron:

• La TSA había escrito respuestas a preguntas que fueron designadas como información de seguridad sensible, pero no trató la misma información como sensible el mes anterior.
• La TSA había dicho que cierta información relacionada con la inspección electrónica del equipaje facturado en los aeropuertos era SSI cuando esta información ya había sido expuesta al dominio público.

Se determinó que la aplicación de las normas SSI por parte de la TSA ha dado lugar a algunas disputas sobre los procedimientos de seguridad aeroportuaria, la responsabilidad de los empleados, el control de los pasajeros y los acuerdos de confidencialidad aeroportuaria. Algunos creen que se ha ocultado demasiada información al público sobre algunas de estas circunstancias. ^[6]

La opinión resultante fue que el material sensible necesita ser protegido, pero el público también necesita ser informado de la información que afecta la seguridad. "Aunque la divulgación de cierta información sensible podría poner en riesgo a los ciudadanos y la infraestructura del país, el gobierno federal debe tener en cuenta el interés legítimo del público en, y el derecho a conocer, la información relacionada con las amenazas al sistema de transporte y las vulnerabilidades asociadas. En consecuencia, el acceso a esta información sólo debe limitarse cuando sea necesario para protegerse de quienes representan una amenaza y su capacidad para desarrollar técnicas para subvertir las medidas de seguridad". ^[7]

John Podesta , jefe del equipo de transición presidencial de Barack Obama , dijo a los legisladores estadounidenses el 16 de septiembre de 2008 que durante los siete años anteriores, "la administración Bush ha aumentado el secreto y restringido el acceso a la información a través de una variedad de medios", incluyendo:

• Una explosión en el uso de marcas "controladas no clasificadas", la mayoría de las cuales nunca fueron autorizadas por estatuto, para restringir el acceso a información no clasificada.
• Amenazar a periodistas, denunciantes y otros ciudadanos privados con procesamiento penal por la posesión o publicación de información de seguridad nacional; y emitir órdenes secretas y opiniones legales para proteger acciones ilegales del escrutinio público. ^[8]

El 29 de mayo de 2014, el presidente republicano del Comité de Supervisión y Reforma Gubernamental de la Cámara de Representantes de Estados Unidos, Darrell Issa, y el miembro de mayor rango, el demócrata Elijah Cummings, emitieron un informe muy crítico ^[9] sobre la SSI. En él se citaban las siguientes conclusiones: "La TSA designó incorrectamente cierta información como SSI para evitar su divulgación pública. La TSA divulgó información al público en repetidas ocasiones en contra del consejo de la oficina de la SSI y sin haber presentado la documentación adecuada para explicar la decisión. La estructura y la posición de la oficina de la SSI dentro de la TSA han contribuido a las dificultades que ha encontrado la oficina para llevar a cabo su misión. La TSA ha trasladado la oficina dentro de la estructura organizativa de la agencia varias veces. Un funcionario afirmó que los traslados de la oficina la han relegado efectivamente a una 'oficina desechable'".

En la página 17 del informe, se cita en detalle el caso pendiente ante la Corte Suprema de Estados Unidos, Departamento de Seguridad Nacional contra MacLean: "La divulgación por parte de la TSA de información relacionada con [los Alguaciles Federales del Aire (FAM)] es particularmente irónica dado el trato que la agencia dio al denunciante y ex alguacil del aire Robert MacLean . En 2003, MacLean denunció los planes de la TSA de cancelar la cobertura de los FAM en los vuelos a pesar de la amenaza de un inminente complot de secuestro por parte de Al Qaeda. Numerosos miembros del Congreso expresaron su preocupación y el DHS se retractó de la orden de cancelar la cobertura de los FAM, calificándola de 'error'. ^[10] Tres años después, la TSA etiquetó retroactivamente la información que MacLean había revelado como SSI y despidió a MacLean por su revelación".

El Comité concluyó que "la TSA realizó mejoras significativas en su proceso de designación SSI luego de la investigación del Comité".

En Chowdhury v. TSA, la ACLU impugnó la autoridad de la TSA para retener el SSI a los litigantes civiles y sus abogados en una petición de revisión pendiente ante el Tribunal de Apelaciones del Segundo Circuito de los EE. UU . en Nueva York. La ACLU intentó establecer:

• Si la TSA tiene la autoridad legal necesaria para retener la SSI a los litigantes civiles y sus abogados, cuando la TSA ha determinado que dicha divulgación sería perjudicial para la seguridad del transporte.
• Si el juicio experto de la TSA de retener el SSI a los litigantes civiles y sus abogados constituye "acciones encomendadas a la discreción de la agencia por ley"
• Si una orden final de la TSA sobre SSI priva al demandante en este caso de un interés de propiedad protegido constitucionalmente sin el debido proceso legal.

En mayo de 2005, el Tribunal del Segundo Circuito aún no se había pronunciado sobre el tema. Sin embargo, la Ley de Asignaciones para la Seguridad Nacional de 2007 (Pub. L. No. 109-295), artículo 525(d), exigía: "Que en los procedimientos civiles en los Tribunales de Distrito de los Estados Unidos, cuando una parte que busca acceso a la SSI demuestre que tiene una necesidad sustancial de la SSI pertinente para la preparación de su caso y que no puede obtener el equivalente sustancial de la información por otros medios sin dificultades indebidas, la parte o el abogado de la parte será designado como persona cubierta en virtud de la Parte 1520.7 del Título 49 del CFR para tener acceso a la SSI en cuestión en el caso, siempre que el juez supervisor dicte una orden que proteja la SSI de la divulgación no autorizada o innecesaria y especifique los términos y condiciones del acceso..."