Estoy seguro de que a estas alturas todo el mundo ha oído hablar del fallo del TJUE contra Google en relación al llamado "derecho al olvido". Las noticias sobre Google y el derecho al olvido han llegado prácticamente a colapsar los temas de debate de los últimos días en los foros especializados. Sin embargo, estoy bastante decepcionado con todas las aproximaciones que he leído al respecto, ya que, tanto a favor como en contra, se limitan (en los mejores casos) a cuestionar los argumentos, pero sin plantear alternativas.
Personalmente, reconozco que la sentencia me ha sorprendido. Sin entrar en términos técnicos, los buscadores son meros intermediarios, y aceptar que la defensa de la privacidad se puede dirigir contra el mensajero (en lugar de dirigirse contra quien publica realmente la información) me parece peligroso. Si el intermediario tiene que dejar de ser neutral... es cuestión de tiempo que esa falta de neutralidad de subvierta.
Sin embargo, esto no quiere decir que el buscador no tenga ninguna responsabilidad. Obviamente es él quien ordena la información antes de mostrársela al usuario, en base a sus famosos (aunque desconocidos) algoritmos, y por lo tanto quien decide la relevancia del contenido. Y en esa relevancia, en ese orden, creo que es donde puede estar la tercera vía.
En el fondo, olvidar es un proceso natural por el cual nuestros recuerdos van siendo enterrador debajo de otros más recientes, de forma que cada vez sean menos patentes. Mi propuesta sería tan simple (de entender, al menos) como exigir que los buscadores incorporasen en su algoritmo un proceso similar, por el cual el contenido "antiguo" es progresivamente relegado a un puesto inferior en la lista de resultados según va pasando el tiempo. De este modo, el contenido no desaparece, pero sólo quien esté suficientemente interesado en "recordar" va a ser capaz de llegar a la información que busca (o a encontrarse con ella).
De hecho, este planteamiento ni siquiera es nuevo para Google. En su motor de búsqueda de noticias, Google News, ya incorpora esta funcionalidad. ¿Por qué no adoptar el mismo planteamiento? No sólo estarían favoreciendo el "derecho al olvido", sino que además estarían aproximando el funcionamiento del algoritmo al funcionamiento del cerebro humano. ¿No os parece que ganamos todos?
Mostrando entradas con la etiqueta Privacidad. Mostrar todas las entradas
Mostrando entradas con la etiqueta Privacidad. Mostrar todas las entradas
15 mayo 2014
18 febrero 2014
Esteganografía informativa: defendiendo la privacidad ante el Big Data
Reconozco que el título del post no es "apto para todos los públicos", pero creo que resume bastante bien el planteamiento que quiero recoger en este post.
Cada vez es más complejo mantener unos niveles de privacidad elevados en el mundo digital. Bien sea porque nosotros mismos no nos preocupamos por nuestra privacidad, porque la "vendemos" a cambio de servicios o porque directamente hay empresas y/o gobiernos que se encargan de limitarla, la privacidad en el mundo digital es cada vez más ilusoria. Nuestro rastro digital, queramos o no, cada vez es más nítido. Y por si fuera poco, cada vez surgen tecnologías más capaces de rebuscar en ese confuso mar de datos inconexos para extraer información útil que, generalmente, suele estar ligada a nuestra identidad digital. El Big Data no sé si es el presente, pero claramente es el futuro.
El objetivo de la privacidad es, precisamente, el contrario: evitar que la información sobre nuestra identidad digital salga a la luz. Pero como en cualquier otro caso, la defensa siempre va por detrás del ataque. Ocultar nuestros datos mientras otros intentan descubrirlos es una batalla asimétrica en la que siempre vamos a ir varios pasos por detrás.
Frente a este planteamiento, basado en el principio clásico de seguridad por oscuridad, mi propuesta es buscar una alternativa diferente, más en línea con los planteamientos de la seguridad abierta. No obstante, la idea no es nueva. Hay mucha gente que no se preocupa por su privacidad digital porque se considera "una gota en el océano". ¿Y si pudiéramos utilizar ese planteamiento para asegurarnos, de algún modo, que el océano es tan grande que nadie va a poder identificar nuestra gota? Es más... ¿Y si generásemos datos ficticios en forma de progresión geométrica cada vez que se intenta acceder a un dato ligado a nuestra identidad digital?
La idea de ocultar una serie de datos válidos rodeándolos de datos no válidos es precisamente lo que se conoce como esteganografía. La única diferencia sería que en este caso no nos limitaríamos a rodear los datos válidos de datos falsos, sino que dispondríamos de algún sistema capaz de incrementar exponencialmente la cantidad de datos falsos, de modo que se pudiera limitar en gran medida la eficacia de los sistemas de Big Data a la hora de analizar nuestra información personal.
Por supuesto, como todas las buenas ideas, esta no es mía. Simplemente he tratado de extrapolar los principios de un nuevo sistema de "cifrado", Honey Encryption, que descubrí hace unos días, pero cuyos principios no sólo me parecen enormemente innovadores, sino que creo que tienen un prometedor futuro por delante. Ójala veamos en un futuro avances en este tipo de planteamientos... porque creo que por ahí puede venir el futuro de una parte de la seguridad.
Cada vez es más complejo mantener unos niveles de privacidad elevados en el mundo digital. Bien sea porque nosotros mismos no nos preocupamos por nuestra privacidad, porque la "vendemos" a cambio de servicios o porque directamente hay empresas y/o gobiernos que se encargan de limitarla, la privacidad en el mundo digital es cada vez más ilusoria. Nuestro rastro digital, queramos o no, cada vez es más nítido. Y por si fuera poco, cada vez surgen tecnologías más capaces de rebuscar en ese confuso mar de datos inconexos para extraer información útil que, generalmente, suele estar ligada a nuestra identidad digital. El Big Data no sé si es el presente, pero claramente es el futuro.
El objetivo de la privacidad es, precisamente, el contrario: evitar que la información sobre nuestra identidad digital salga a la luz. Pero como en cualquier otro caso, la defensa siempre va por detrás del ataque. Ocultar nuestros datos mientras otros intentan descubrirlos es una batalla asimétrica en la que siempre vamos a ir varios pasos por detrás.
Frente a este planteamiento, basado en el principio clásico de seguridad por oscuridad, mi propuesta es buscar una alternativa diferente, más en línea con los planteamientos de la seguridad abierta. No obstante, la idea no es nueva. Hay mucha gente que no se preocupa por su privacidad digital porque se considera "una gota en el océano". ¿Y si pudiéramos utilizar ese planteamiento para asegurarnos, de algún modo, que el océano es tan grande que nadie va a poder identificar nuestra gota? Es más... ¿Y si generásemos datos ficticios en forma de progresión geométrica cada vez que se intenta acceder a un dato ligado a nuestra identidad digital?
La idea de ocultar una serie de datos válidos rodeándolos de datos no válidos es precisamente lo que se conoce como esteganografía. La única diferencia sería que en este caso no nos limitaríamos a rodear los datos válidos de datos falsos, sino que dispondríamos de algún sistema capaz de incrementar exponencialmente la cantidad de datos falsos, de modo que se pudiera limitar en gran medida la eficacia de los sistemas de Big Data a la hora de analizar nuestra información personal.
Por supuesto, como todas las buenas ideas, esta no es mía. Simplemente he tratado de extrapolar los principios de un nuevo sistema de "cifrado", Honey Encryption, que descubrí hace unos días, pero cuyos principios no sólo me parecen enormemente innovadores, sino que creo que tienen un prometedor futuro por delante. Ójala veamos en un futuro avances en este tipo de planteamientos... porque creo que por ahí puede venir el futuro de una parte de la seguridad.
13 enero 2014
Mi pronóstico: Inseguridad
No, no voy a escribir un post de pronósticos de seguridad para el año 2013. Hoy sólo quiero plantear cuál es mi visión del futuro que nos espera, aprovechando que esta mañana he leído un par de artículos muy interesantes y que, en conjunto, me temo que plantean una visión bastante pesimista del futuro que nos espera en términos de seguridad.
El primero es un post en el que Enrique Dans afirma que, nos guste o no, los avances tecnológicos van más rápido que la seguridad, y que la inseguridad asociada a esta situación no va a detener su evolución. El segundo es un post de David Maeztu en el que, pronosticando un futuro en el que nuestro coche será capaz de denunciarnos automáticamente por exceso de velocidad, plantea un panorama en el que la legislación no sólo no nos va a proteger de esa inseguridad asociada a los avances tecnológicos, sino que probablemente la acabe amparando (al menos, en términos de privacidad).
Mi pronóstico es pesimista porque, sintiéndolo mucho, comparto gran parte de las visiones anteriores. No creo que la seguridad sea una prioridad en la sociedad moderna, y por lo tanto ni tecnólogos ni legisladores creo que le vayan a dar una importancia que la sociedad no le da. La pirámide de Maslow de nuestra sociedad ha cambiado, y la seguridad/privacidad ha perdido peso. Nuestra sociedad está dispuesta a sacrificar parte de los niveles de la base a cambio de conseguir un poco más de aquello que está en la cúspide de la pirámide.
Ante este panorama no creo que se pueda hacer mucho. La respuesta de libro serían programas de formación, trabajos de concienciación, pero... Acaso sirve de algo nadar contra corriente? A veces pienso si no sería mejor dejarse llevar, y simplemente tratar de minimizar los daños. Si en la eterna lucha contra el riesgo vemos que no podemos ganar, no deberíamos cambiar nuestra estrategia y tratar de aprovecharnos de él?
Será que hoy me he levantado pesimista...
El primero es un post en el que Enrique Dans afirma que, nos guste o no, los avances tecnológicos van más rápido que la seguridad, y que la inseguridad asociada a esta situación no va a detener su evolución. El segundo es un post de David Maeztu en el que, pronosticando un futuro en el que nuestro coche será capaz de denunciarnos automáticamente por exceso de velocidad, plantea un panorama en el que la legislación no sólo no nos va a proteger de esa inseguridad asociada a los avances tecnológicos, sino que probablemente la acabe amparando (al menos, en términos de privacidad).
Mi pronóstico es pesimista porque, sintiéndolo mucho, comparto gran parte de las visiones anteriores. No creo que la seguridad sea una prioridad en la sociedad moderna, y por lo tanto ni tecnólogos ni legisladores creo que le vayan a dar una importancia que la sociedad no le da. La pirámide de Maslow de nuestra sociedad ha cambiado, y la seguridad/privacidad ha perdido peso. Nuestra sociedad está dispuesta a sacrificar parte de los niveles de la base a cambio de conseguir un poco más de aquello que está en la cúspide de la pirámide.
Ante este panorama no creo que se pueda hacer mucho. La respuesta de libro serían programas de formación, trabajos de concienciación, pero... Acaso sirve de algo nadar contra corriente? A veces pienso si no sería mejor dejarse llevar, y simplemente tratar de minimizar los daños. Si en la eterna lucha contra el riesgo vemos que no podemos ganar, no deberíamos cambiar nuestra estrategia y tratar de aprovecharnos de él?
Será que hoy me he levantado pesimista...
16 diciembre 2013
Seguridad Vs Privacidad. O estamos equivocados?
La realidad es que seguridad y privacidad son prácticamente lo mismo. La única (aunque gran) diferencia entre ambos conceptos está en el foco: la privacidad se preocupa por las personas, la seguridad se preocupa por las organizaciones (empresas o incluso estados). O dicho de otro modo: si aplicásemos todos los conceptos que maneja una de las disciplinas al foco de la otra, estaríamos hablando de lo mismo.
Siendo conscientes de la gran proximidad entre ambas disciplinas todavía puede sorprender más ese antagonismo percibido. Si la privacidad consiste en levantar los muros de mi casa y la seguridad supone añadir una valla exterior, no deberían ser dos planteamientos convergentes en lugar de divergentes?
Por añadir otro argumento más a esta visión, no deberíamos olvidarnos del hecho (trivial, pero importante) de que las organizaciones están compuestas por personas. Por lo tanto, si protegemos la seguridad de las personas, no estaríamos protegiendo también la seguridad de la organización? Por qué en la ilustración montan la seguridad de la organización destruyendo la privacidad de los individuos?
Vistos los argumentos anteriores, el planteamiento clásico de seguridad Vs privacidad no tendría ningún sentido si no fuera por un aspecto importante, y es que la seguridad trata de proteger a la organización INCLUSO de sus propios miembros. La valla de la ilustración no está completa, ya que en realidad debería ser una valla doble con otro frente hacia el interior. Y es precisamente bajo ese planteamiento, consistente en que los propios miembros de la organización también pueden ser una amenaza, cuando tiene sentido que uno de los objetivos de la seguridad sea conocer lo mejor posible a estas potenciales amenazas, tratando de limitar por tanto la seguridad de las personas en favor de la seguridad de la organización.
Y precisamente es en este punto en el que quería plantear un par de reflexiones que me parecen importantes, aunque no sé si fáciles de responder. La primera es en torno al debate sobre las organizaciones y las personas que las componen. ¿Qué es lo que hay exactamente entre esas dos vallas, para que tengamos que protegerlo "contra" (y a costa de la privacidad de) los miembros de la organización? Y la segunda es sobre la forma de aplicar la seguridad. ¿Nos estamos planteando estrategias complementarias o alternativas de tipo "zanahoria" (recompensas, incentivos, etc.) en relación al personal de la organización, o sólo estamos planteando estrategias de tipo "palo" a la hora de aplicar la seguridad?
En definitiva, creo que el debate de seguridad contra privacidad no hace sino ocultar otros debates más profundos, como es el de la definición de las estrategias en las que basamos la aplicación de la seguridad, y en última instancia el eterno debate entre personas físicas y jurídicas y las consecuencias sociales de su disociación. No os parecen estos debates mucho más apasionantes?
25 septiembre 2012
Faldas y privacidad
Lo que a veces no nos paramos a pensar es en lo que hay detrás de ese tópico. Y no estoy hablando de la teoría económica de la longitud de las faldas, sino de los motivos que llevan a las madres a insistir a sus hijas en que se tapen más. Sencillamente, consideran que están exponiendo demasiado su intimidad, al menos más de la que ellas consideran aceptable. Olvidando, por cierto, que ellas mismas hicieron lo mismo en su juventud...
En definitiva, creo que es evidente que cada generación tiende a mostrar en público más aspectos íntimos que la generación anterior. Las faldas, escotes o trajes de baño no son sino una representación muy gráfica de este hecho. Y la aparición de las redes sociales no ha hecho más que trasladar esta realidad al ciberespacio.
Mientras unos pocos (generalmente en la edad adulta) nos empeñamos en que las redes sociales implementen mayores medidas de privacidad, vemos escandalizados cómo las nuevas generaciones (nativos digitales, no lo olvidemos) no se preocupan por la cantidad de información íntima que publican en ellas. Y observamos cómo, incomprensiblemente para nosotros, no hacen prácticamente uso de las opciones de privacidad ni siquiera cuando saben que existen. Olvidando que no hacen sino trasladar a su realidad cotidiana los mismos principios que nosotros, en nuestra juventud, aplicamos a la nuestra: lucir un poco más de palmito tratando de conseguir un poco más de atención e interés por parte de los jóvenes del sexo opuesto de nuestro entorno. Al fin y al cabo, las únicas diferencias son que nuestro entorno físico era mucho más reducido que el suyo virtual, y que las posibilidades de "parecer interesantes" que tienen ellos van mucho más allá de los centímetros cuadrados de piel que estén dispuestos a enseñar.
Bajo ese punto de vista, creo que las estrategias que utilizamos para inculcar principios de privacidad entre las nuevas generaciones no son las más eficaces. Insistimos una y otra vez en que conozcan las opciones de privacidad que existen, en que sean conscientes de los peligros que acechan... ¿Acaso el clásico dicho de que "hay mucho violador suelto" ha amedrentado alguna vez a una joven para cambiar su indumentaria por una más "recatada"?
Me temo que la única estrategia que a medio plazo puede servir para tratar de inculcar una cierta preocupación por la privacidad en las nuevas generaciones es la de fijar el umbral mínimo socialmente aceptable. Lo mismo que una joven nunca estaría dispuesta a salir a la calle "vestida como una p..." (ojo, bajo su criterio, no bajo el de su madre), creo que nuestra aspiración debería ser la de definir ese nivel de privacidad mínimo que "una persona decente" no debería superar. Con la dificultad añadida no sólo de definir ese nivel (que siempre va a ser menor que el que nos gustaría), sino de lograr asociarlo a una figura "socialmente rechazable", como en el caso anterior. Y mientras tanto, resignarnos a ver cómo los jóvenes de hoy en día están dispuestos a enseñar a todo el mundo partes de sí mismos que a nosotros nos parecen íntimas y personales. Al fin y al cabo... no ha sido siempre así?
23 abril 2012
Anonimato on-line
Hace unos días leí una noticia que me pareció bastante interesante. Parece que Google quiere patentar los "perfiles fantasma", una especie de perfil virtual asociado al personal y que se podría utilizar para navegar con múltiples identidades (o con identidad anónima) por la web, con la capacidad de mostrar esos alter-ego a quien nosotros decidiésemos.
La idea, de ser correcto el planteamiento, me parece muy interesante. Por un lado, existiría la capacidad de crear identidades virtuales permanentes específicas por entorno, de modo que sería posible aislar la actividad on-line profesional y privada, por ejemplo, manteniendo un control uniforme sobre ambas. Por otro lado, sería posible crear perfiles completamente anónimos, de modo que los más paranoicos pudieran hacer uso de múltiples perfiles zombi para sentir su intimidad a salvo. Y además cabría la posibilidad de "descubrir" esas múltiples identidades a personas específicas, gestionando de forma dinámica la pertenencia de cada "amigo" a los diferentes círculos (o a varios de ellos).
En cualquier caso, es obvio que siempre quedaría una duda. Si esos perfiles están relacionados entre sí a través de una herramienta proporcionada por Google... No podría Google trazar la actividad completa de todos los perfiles en conjunto en un momento dado? En definitiva... ¿Creemos que a día de hoy Google mantiene en vigor su famoso lema "don't be evil"?
La idea, de ser correcto el planteamiento, me parece muy interesante. Por un lado, existiría la capacidad de crear identidades virtuales permanentes específicas por entorno, de modo que sería posible aislar la actividad on-line profesional y privada, por ejemplo, manteniendo un control uniforme sobre ambas. Por otro lado, sería posible crear perfiles completamente anónimos, de modo que los más paranoicos pudieran hacer uso de múltiples perfiles zombi para sentir su intimidad a salvo. Y además cabría la posibilidad de "descubrir" esas múltiples identidades a personas específicas, gestionando de forma dinámica la pertenencia de cada "amigo" a los diferentes círculos (o a varios de ellos).
En cualquier caso, es obvio que siempre quedaría una duda. Si esos perfiles están relacionados entre sí a través de una herramienta proporcionada por Google... No podría Google trazar la actividad completa de todos los perfiles en conjunto en un momento dado? En definitiva... ¿Creemos que a día de hoy Google mantiene en vigor su famoso lema "don't be evil"?
10 abril 2012
Internet: lo que no vemos
En vacaciones mucha gente cambia su comportamiento on-line. Dejamos de lado las webs profesionales y las sustituimos por webs de viajes, de juegos on-line, de ocio en general... Nuevas páginas web, más interesantes y atractivas que las habituales... y muchas veces más peligrosas.
En general, no somos conscientes de la cantidad de tráfico web que generamos con nuestra navegación. Y no me refiero al contenido de las webs que visitamos, sino a la cantidad de información que genera nuestra navegación, y que sirve para monitorizar nuestro comportamiento. Pongamos como ejemplo las páginas web de tres medios de comunicación generalistas:
Qué quiere decir esto? Que cada vez que accedemos a una página web (prácticamente a cualquiera), no sólo estamos cargando información de esa web, sino de muchas otras, y a la vez enviando información sobre nosotros a una gran variedad de destinatarios diferentes al dueño de la web visitada.
Toda esta navegación "encubierta" puede suponer un importante riesgo para nuestra privacidad e incluso para nuestra seguridad. Por tanto, cuantas más webs visitemos más probabilidades habrá de toparnos con una empresa anunciante "poco ética", que utilice esa información de manera ilegítima. Probabilidades que aumentan al visitar webs más minoritarias, que generalmente se preocupan menos de la ética de las empresas de anuncios contratadas. Y este problema puede llegar a ser un problema de seguridad, porque aunque la página visitada pueda ser en principio segura (y en general las de la mayoría de las empresas conocidas lo son), basta que una de las webs de los anunciantes haya sido infectada para que los banners que se cargan desde la web principal puedan contener un virus que a través de esa web llegue a nuestro ordenador.
Por lo tanto, la conclusión es muy sencilla. En vacaciones, extremar las precauciones.
En general, no somos conscientes de la cantidad de tráfico web que generamos con nuestra navegación. Y no me refiero al contenido de las webs que visitamos, sino a la cantidad de información que genera nuestra navegación, y que sirve para monitorizar nuestro comportamiento. Pongamos como ejemplo las páginas web de tres medios de comunicación generalistas:
- ABC: Proporciona información a 3 redes de anunciantes (Dedicated Networks, Nielson y TradeDoubler) y a 5 compañías específicas (Doubleclick, Comscore Beacon, Netratings Site Census, Google Analytics y ChartBeat) que rastrean la información de los visitantes.
- El Mundo: Proporciona información a 4 redes de anunciantes (AudienceScience, Dedicated Networks, Nielson y TradeDoubler) y a 4 compañías específicas (Doubleclick, Omniture, Netratings Site Census y Revenue Science) que rastrean la información de los visitantes.
- El País: Proporciona información a 4 redes de anunciantes (24/7 Real Media, Dedicated Networks, Invite Media y Smart Adserver) y a 5 compañías específicas (Doubleclick, Omniture, Real Media, Invite Media y Comscore Beacon) que rastrean la información de los visitantes.
Qué quiere decir esto? Que cada vez que accedemos a una página web (prácticamente a cualquiera), no sólo estamos cargando información de esa web, sino de muchas otras, y a la vez enviando información sobre nosotros a una gran variedad de destinatarios diferentes al dueño de la web visitada.
Toda esta navegación "encubierta" puede suponer un importante riesgo para nuestra privacidad e incluso para nuestra seguridad. Por tanto, cuantas más webs visitemos más probabilidades habrá de toparnos con una empresa anunciante "poco ética", que utilice esa información de manera ilegítima. Probabilidades que aumentan al visitar webs más minoritarias, que generalmente se preocupan menos de la ética de las empresas de anuncios contratadas. Y este problema puede llegar a ser un problema de seguridad, porque aunque la página visitada pueda ser en principio segura (y en general las de la mayoría de las empresas conocidas lo son), basta que una de las webs de los anunciantes haya sido infectada para que los banners que se cargan desde la web principal puedan contener un virus que a través de esa web llegue a nuestro ordenador.
Por lo tanto, la conclusión es muy sencilla. En vacaciones, extremar las precauciones.
06 abril 2010
Integridad virutal y real
La integridad suele ser una de las dimensiones de la seguridad a la que, pese a que todo el mundo la valora especialmente, no se le suele prestar demasiada atención a la hora de aplicar medidas de seguridad. En general, es algo que se da por hecho, y muchas veces son otras las dimensiones de la seguridad las que centran nuestra atención. Por esa especial importancia suelen ser tan sonados los incidentes relacionados con la misma, y por esa insuficiente atención suelen aflorar las críticas a la seguridad cada vez que ocurren.
El problema es que, poco a poco, estos incidentes de seguridad informática que atentan contra la integridad de la información, normalmente materializados en los famosos defacements de páginas web, están pasando del entorno corporativo al entorno personal, aumentando exponencialmente el daño potencial que pueden llegar a causar. Porque ahora ya no nos podemos limitar a pensar en los hijackings de la web personal del político de turno, sino que tenemos que empezar a pensar en los robos de identidades digitales de personas "anónimas", en la modificación malintencionada de cualquiera de las múltiples páginas web en las que un individuo "moderno" puede tener colgada información personal. Por eso, leer noticias como que ya se empiezan a producir asesinatos virtuales en facebook nos debería llevar a pensar que de algún modo deberíamos ser capaces de controlar de manera más eficiente la integridad de la información que cada uno genera en la red. Esto no quiere decir que en la red no puedan existir bulos, chismes y habladurías, igual que ocurre en el mundo real, pero no podemos perder de vista que la información en la red es persistente y replicable exponencialmente. De modo que la falta de integridad entre la información del mundo real y la del mundo virtual puede tener efectos muchísimo más grandes que si el incidente se limitase al mundo real. Porque un simple error en un estado civil o la publicación en el muro de un comentario inapropiado en un momento de enfado puede llegar a tener efectos demoledores sobre la vida de cualquier individuo. Y claro, todavía no hay sistemas que sean capaces de verificar la integridad de la información virtual con la del mundo real...
Para terminar, ya que el tema puede dar mucho de sí, sería necesario pensar si todas las entidades (los propios individuos, las empresas, las administraciones públicas, ...) deberían asumir la misma responsabilidad por fallos de integridad (podemos llamarle veracidad) entre la información existente en su versión virtual y la información existente en el mundo real. Tanto acerca de la propia entidad como acerca de otras. ¿Hasta qué punto una organización puede (Y/o debe) ser responsable de la información digital que mantiene sobre terceros? ¿Tiene el mismo grado de responsabilidad una empresa privada que una administración pública? ¿A quién corresponde el mantener actualizada (íntegra) dicha información? Aprovechando que los próximos días me pasaré por el Tecnimap, trataré de indagar sobre estas cuestiones. A ver qué os puedo contar a la vuelta...
El problema es que, poco a poco, estos incidentes de seguridad informática que atentan contra la integridad de la información, normalmente materializados en los famosos defacements de páginas web, están pasando del entorno corporativo al entorno personal, aumentando exponencialmente el daño potencial que pueden llegar a causar. Porque ahora ya no nos podemos limitar a pensar en los hijackings de la web personal del político de turno, sino que tenemos que empezar a pensar en los robos de identidades digitales de personas "anónimas", en la modificación malintencionada de cualquiera de las múltiples páginas web en las que un individuo "moderno" puede tener colgada información personal. Por eso, leer noticias como que ya se empiezan a producir asesinatos virtuales en facebook nos debería llevar a pensar que de algún modo deberíamos ser capaces de controlar de manera más eficiente la integridad de la información que cada uno genera en la red. Esto no quiere decir que en la red no puedan existir bulos, chismes y habladurías, igual que ocurre en el mundo real, pero no podemos perder de vista que la información en la red es persistente y replicable exponencialmente. De modo que la falta de integridad entre la información del mundo real y la del mundo virtual puede tener efectos muchísimo más grandes que si el incidente se limitase al mundo real. Porque un simple error en un estado civil o la publicación en el muro de un comentario inapropiado en un momento de enfado puede llegar a tener efectos demoledores sobre la vida de cualquier individuo. Y claro, todavía no hay sistemas que sean capaces de verificar la integridad de la información virtual con la del mundo real...
Para terminar, ya que el tema puede dar mucho de sí, sería necesario pensar si todas las entidades (los propios individuos, las empresas, las administraciones públicas, ...) deberían asumir la misma responsabilidad por fallos de integridad (podemos llamarle veracidad) entre la información existente en su versión virtual y la información existente en el mundo real. Tanto acerca de la propia entidad como acerca de otras. ¿Hasta qué punto una organización puede (Y/o debe) ser responsable de la información digital que mantiene sobre terceros? ¿Tiene el mismo grado de responsabilidad una empresa privada que una administración pública? ¿A quién corresponde el mantener actualizada (íntegra) dicha información? Aprovechando que los próximos días me pasaré por el Tecnimap, trataré de indagar sobre estas cuestiones. A ver qué os puedo contar a la vuelta...
23 noviembre 2009
Si no cumples con tu perfil
Es cierto, las redes sociales cada vez están más de moda. Es más, yo creo que es el momento de dejar de pensar que son una moda y empezar a pensar en que, sencillamente, nuestras vidas se están "digitalizando". Es un proceso lento, muy irregular y muy poco homogéneo, pero creo que es un proceso imparable. Poco a poco, todos tendremos que ir aprendiendo a convivir con nuestras "dos vidas", la física (la de toda la vida, o la real, como dirían algunos) y la digital, virtual o como quiera que se acabe llamando la vida que "vive" nuestra identidad digital, que queramos o no también es parte de nosotros.
¿Cuál es el problema de llevar esta "doble vida" (real y virtual)? Sencillamente, que esa duplicidad es una falacia. En realidad esa doble vida no existe, son sólo dos visiones de una vida única, la nuestra. Dos visiones distintas, desde perfiles diferentes, pero de una única realidad.
El problema de la "doble vida" no es nuevo. De hecho, es tan antiguo como la sociedad en la que vivimos. Todos tenemos distintos perfiles en la vida real: el profesional, el personal, el familiar... Perfiles distintos, en los que tratamos de potenciar distintas características, pero que normalmente siempre tratamos de que sean coherentes entre sí. Al fin y al cabo, no es tan difícil que los distintos perfiles acaben mezclándose, y si algo tenemos claro es que detrás de cada perfil siempre está uno mismo.
El problema con nuestros perfiles digitales es que a veces nos olvidamos de que nos siguen representando a nosotros. Y de que son perfiles mucho más ubicuos, persistentes y permeables, con muchas más posibilidades de mezclarse y expandirse. Y claro, si no son coherentes entre sí y con los de la "vida real", podemos tener un problema...
Ese problema de falta de coherencia entre perfiles es el que ha tenido la protagonista de la noticia que acabo de leer, acerca de una chica que ha perdido la pensión por depresión por estar alegre y de fiesta con sus amigas. Parece que su perfil "profesional real" (de baja por depresión) no era coherente con su perfil "personal virtual" (fotos en facebook de fiesta con las amigas), y debido a esa incoherencia la empresa aseguradora ha decidido suspender la remuneración que tenía asignada.
No voy a entrar en la pertinencia o no del hecho, y menos voy a analizar la legalidad o no de la decisión, sobre todo desde el punto de vista de las leyes españolas. Prefiero quedarme sólo con el fondo del asunto: ¿estamos preparados para gestionar adecuadamente nuestros perfiles digitales? ¿Hasta qué punto puede ser "la seguridad" la herramienta para llevar a cabo esta gestión? Y lo que es más importante: ¿Existen los medios para hacerlo? ¿O estamos intentando ponerle puertas al campo? Si alguien quiere hacer comentarios al respecto, ya sabe que aquí puede hacerlo.
¿Cuál es el problema de llevar esta "doble vida" (real y virtual)? Sencillamente, que esa duplicidad es una falacia. En realidad esa doble vida no existe, son sólo dos visiones de una vida única, la nuestra. Dos visiones distintas, desde perfiles diferentes, pero de una única realidad.
El problema de la "doble vida" no es nuevo. De hecho, es tan antiguo como la sociedad en la que vivimos. Todos tenemos distintos perfiles en la vida real: el profesional, el personal, el familiar... Perfiles distintos, en los que tratamos de potenciar distintas características, pero que normalmente siempre tratamos de que sean coherentes entre sí. Al fin y al cabo, no es tan difícil que los distintos perfiles acaben mezclándose, y si algo tenemos claro es que detrás de cada perfil siempre está uno mismo.
El problema con nuestros perfiles digitales es que a veces nos olvidamos de que nos siguen representando a nosotros. Y de que son perfiles mucho más ubicuos, persistentes y permeables, con muchas más posibilidades de mezclarse y expandirse. Y claro, si no son coherentes entre sí y con los de la "vida real", podemos tener un problema...
Ese problema de falta de coherencia entre perfiles es el que ha tenido la protagonista de la noticia que acabo de leer, acerca de una chica que ha perdido la pensión por depresión por estar alegre y de fiesta con sus amigas. Parece que su perfil "profesional real" (de baja por depresión) no era coherente con su perfil "personal virtual" (fotos en facebook de fiesta con las amigas), y debido a esa incoherencia la empresa aseguradora ha decidido suspender la remuneración que tenía asignada.
No voy a entrar en la pertinencia o no del hecho, y menos voy a analizar la legalidad o no de la decisión, sobre todo desde el punto de vista de las leyes españolas. Prefiero quedarme sólo con el fondo del asunto: ¿estamos preparados para gestionar adecuadamente nuestros perfiles digitales? ¿Hasta qué punto puede ser "la seguridad" la herramienta para llevar a cabo esta gestión? Y lo que es más importante: ¿Existen los medios para hacerlo? ¿O estamos intentando ponerle puertas al campo? Si alguien quiere hacer comentarios al respecto, ya sabe que aquí puede hacerlo.
24 marzo 2009
Seguridad y redes sociales: el tema de moda
Pues sí, hay que reconocer que la seguridad en las redes sociales es un tema que está de moda dentro del sector. Y no es para menos.
Hace un par de meses, INTECO publicaba un estudio sobre la privacidad de los datos personales y la seguridad de la información en las redes sociales online, en el que se analiza con rigor y bastante profundidad la problemática asociada a este entorno.
La semana que viene, la cátedra UPM APPLUS+ de seguridad y desarrollo de la sociedad de la información, CAPSDESI, organiza un seminario gratuito sobre el tema, que también podrá ser seguido por Internet tanto en directo como en diferido (módulos I, II, III, IV, V, VI y VII disponibles a partir del día 7).
No hay más que hacer una búsqueda de noticias sobre estos temas para darse cuenta de que no sólo hay cientos de noticias en el último mes al respecto, sino que prácticamente a diario aparecen noticias al respecto en algún medio digital de habla hispana. Y eso por no hablar de los miles de blogs con comentarios al respecto que nos podemos encontrar...
¿Realmente es tan importante el tema? ¿Hasta qué punto estamos ante una "moda" o frente a "algo más"? Y lo que es más importante ¿Sirve de algo esta "explosión" de referencias al respecto?
La verdad es que me resulta difícil realizar una valoración objetiva. Creo que sí es importante abordar el tema, que realmente el debate debería llegar a ser un tema de "actualidad", aunque es obvio que, dada la temática del blog, tengo predisposición a ello. Pero por otra parte también tengo la incómoda sensación de que a veces hay más de oportunismo y de comentario fácil al respecto de lo que me gustaría reconocer. Sobre todo a la hora de escuchar o leer ciertos análisis, en muchas ocasiones clones unos de otros que sólo tratan de "llenar un espacio" sin tratar de profundizar en la compleja casuística que hay por debajo.
Y el problema, en el fondo, creo que radica en que muchos de nosotros no terminamos de entender las redes sociales. Sobre todo si pensamos en jóvenes, adolescentes y niños que hacen un uso despreocupado de ellas. Analizamos el problema de la seguridad y de la privacidad desde fuera, desde nuestro propio punto de vista, y creo que eso es un error. Tengo la sensación de que la clave no está en descubrir la nota exacta que tiene y/o tiene que tener la seguridad en las redes sociales, sino en analizar por qué muchos usuarios están dispuestos a "sacrificar" dicha seguridad a cambio de los beneficios que obtienen de su uso. Porque mientras no hagamos el esfuerzo de tratar de entender a los usuarios de estas redes, a esos que desde nuestro punto de vista tienen un nivel de riesgo que "no deberían estar dispuestos a asumir", nunca conseguiremos el que creo que debe ser el objetivo de todas estas referencias: que los usuarios "normales", los de a pie de calle, sean capaces de valorar esos riesgos y puedan decidir con todas las consecuencias si están dispuestos o no a asumirlos. Y a partir de ahí, a ver cuáles son los resultados...
Hace un par de meses, INTECO publicaba un estudio sobre la privacidad de los datos personales y la seguridad de la información en las redes sociales online, en el que se analiza con rigor y bastante profundidad la problemática asociada a este entorno.
La semana que viene, la cátedra UPM APPLUS+ de seguridad y desarrollo de la sociedad de la información, CAPSDESI, organiza un seminario gratuito sobre el tema, que también podrá ser seguido por Internet tanto en directo como en diferido (módulos I, II, III, IV, V, VI y VII disponibles a partir del día 7).
No hay más que hacer una búsqueda de noticias sobre estos temas para darse cuenta de que no sólo hay cientos de noticias en el último mes al respecto, sino que prácticamente a diario aparecen noticias al respecto en algún medio digital de habla hispana. Y eso por no hablar de los miles de blogs con comentarios al respecto que nos podemos encontrar...
¿Realmente es tan importante el tema? ¿Hasta qué punto estamos ante una "moda" o frente a "algo más"? Y lo que es más importante ¿Sirve de algo esta "explosión" de referencias al respecto?
La verdad es que me resulta difícil realizar una valoración objetiva. Creo que sí es importante abordar el tema, que realmente el debate debería llegar a ser un tema de "actualidad", aunque es obvio que, dada la temática del blog, tengo predisposición a ello. Pero por otra parte también tengo la incómoda sensación de que a veces hay más de oportunismo y de comentario fácil al respecto de lo que me gustaría reconocer. Sobre todo a la hora de escuchar o leer ciertos análisis, en muchas ocasiones clones unos de otros que sólo tratan de "llenar un espacio" sin tratar de profundizar en la compleja casuística que hay por debajo.
Y el problema, en el fondo, creo que radica en que muchos de nosotros no terminamos de entender las redes sociales. Sobre todo si pensamos en jóvenes, adolescentes y niños que hacen un uso despreocupado de ellas. Analizamos el problema de la seguridad y de la privacidad desde fuera, desde nuestro propio punto de vista, y creo que eso es un error. Tengo la sensación de que la clave no está en descubrir la nota exacta que tiene y/o tiene que tener la seguridad en las redes sociales, sino en analizar por qué muchos usuarios están dispuestos a "sacrificar" dicha seguridad a cambio de los beneficios que obtienen de su uso. Porque mientras no hagamos el esfuerzo de tratar de entender a los usuarios de estas redes, a esos que desde nuestro punto de vista tienen un nivel de riesgo que "no deberían estar dispuestos a asumir", nunca conseguiremos el que creo que debe ser el objetivo de todas estas referencias: que los usuarios "normales", los de a pie de calle, sean capaces de valorar esos riesgos y puedan decidir con todas las consecuencias si están dispuestos o no a asumirlos. Y a partir de ahí, a ver cuáles son los resultados...
22 septiembre 2008
Cesiones al Gran Hermano
La verdad es que hoy no tengo muchas ganas de escribir. Y no porque el tema no sea interesante, sino porque creo que deberíais ser vosotr@s, los lectores, los que escribais.
Últimamente parece que Google está en boca de todos. Nuevo navegador (por cierto, os dejo un link a una comparativa de navegadores que me ha gustado), nuevo sistema operativo para móviles, nueva política de retención de datos, ... Y de fondo, el eterno debate sobre si Google es o no el nuevo Gran Hermano. Al respecto, una de las opiniones más equilibradas que he leído es la de Asbel López, que hace referencia a un aspecto fundamental desde mi punto de vista: la cesión de información a Google es voluntaria. ¿Estais de acuerdo con esta postura? ¿Cambia algo el hecho de que los usuarios sean o no conscientes de esa cesión?
Otro de los aspectos sobre los que me gustaría incitar a la reflexión es el relativo a la significancia individual. Está claro que un árbol en medio de una estepa destaca claramente. Pero si ese mismo árbol está en medio de un bosque de árboles ya no destaca, sólo es uno más, y toda la curiosidad que podía despertar ese árbol tiende a desaparecer. ¿Creéis que cambia algo el hecho de que la información recopilada de cada individuo sea sólo una más entre los millones de individuos de los que se tienen datos? ¿Tendría importancia la existencia de un tratamiento diferenciado de la información de ciertos individuos particulares? ¿Y la no diferenciación de nadie?
Por último, sólo me queda volver a recordar que, desde mi punto de vista, el concepto de privacidad de las nuevas generaciones está cambiando. ¿Cuál es el valor que damos a nuestros datos personales? ¿Es un valor objetivo o subjetivo? ¿Cuál es el valor que tiene la información? No olvidemos que hoy en día también se comercia con la información...
Últimamente parece que Google está en boca de todos. Nuevo navegador (por cierto, os dejo un link a una comparativa de navegadores que me ha gustado), nuevo sistema operativo para móviles, nueva política de retención de datos, ... Y de fondo, el eterno debate sobre si Google es o no el nuevo Gran Hermano. Al respecto, una de las opiniones más equilibradas que he leído es la de Asbel López, que hace referencia a un aspecto fundamental desde mi punto de vista: la cesión de información a Google es voluntaria. ¿Estais de acuerdo con esta postura? ¿Cambia algo el hecho de que los usuarios sean o no conscientes de esa cesión?
Otro de los aspectos sobre los que me gustaría incitar a la reflexión es el relativo a la significancia individual. Está claro que un árbol en medio de una estepa destaca claramente. Pero si ese mismo árbol está en medio de un bosque de árboles ya no destaca, sólo es uno más, y toda la curiosidad que podía despertar ese árbol tiende a desaparecer. ¿Creéis que cambia algo el hecho de que la información recopilada de cada individuo sea sólo una más entre los millones de individuos de los que se tienen datos? ¿Tendría importancia la existencia de un tratamiento diferenciado de la información de ciertos individuos particulares? ¿Y la no diferenciación de nadie?
Por último, sólo me queda volver a recordar que, desde mi punto de vista, el concepto de privacidad de las nuevas generaciones está cambiando. ¿Cuál es el valor que damos a nuestros datos personales? ¿Es un valor objetivo o subjetivo? ¿Cuál es el valor que tiene la información? No olvidemos que hoy en día también se comercia con la información...
30 abril 2008
Privacidad en la web 2.0
La semana pasada participé en una interesante discusión acerca del uso y difusión de la web 2.0, con una visión orientada a analizar las consideraciones de seguridad y privacidad en la nueva Internet (blogs, nanoblogs, redes sociales, etc). La postura predominante era, en resumidas cuentas, ser cauto con la información personal que se suministra vía web, y tratar de reducir los riesgos de exposición pública de dicha información.
En relación a ese tema hoy he leído un interesante artículo acerca de los riesgos de participar en redes sociales. Un artículo que alerta sobre la necesidad de leer con atención la "letra pequeña" de las cláusulas que aceptamos cada vez que accedemos a sitios web, a ciertas funcionalidades avanzadas o a cualquier tipo de ventaja adicional cuyo uso tenemos que aceptar explícitamente. Porque el riesgo no es ya que ciertos plugins o aplicaciones adicionales puedan saltarse las restricciones que creemos tener, sino que nosotros hemos aceptado explícitamente esa posible vulneración de nuestra privacidad. Y todo por no pararnos a leer con detenimiento las cláusulas antes de hacer clic sobre el "acepto" de turno.
Y es que de fondo el problema que se plantea no es nuevo. Se trata, sencillamente, de confiar o no confiar en la empresa que provee el servicio que queremos utilizar. ¿Por qué la gente confía en eBay para proporcionarle los datos de su tarjeta de crédito, pero no lo hace cuando accede a estafas-on-line.com, si ambas webs funcionan bajo https con certificado reconocido? Sencillamente, porque de la primera se fían y de la segunda no. ¿Han leído las cláusulas de ambas webs antes de decidirse? Probablemente no. Pero como la empresa que hay detrás de dicha web está catalogada socialmente de "confiable", nadie teme por el uso que se vaya a hacer de los datos cedidos. Incluso aunque las cláusulas puedieran (no sé si es el caso) alertar de una cesión de datos a una empresa de desarrollo de perfiles de consumo, por ejemplo.
Un caso que va más allá de la confianza en el depositario de los datos personales es el uso que, de forma automática, puedan hacer terceras partes de los datos "públicamente" accesibles en la web. Ese es otro de los motivos aparentemente esgrimidos para que 8 de cada 10 europeos desconfíe de Internet. En este caso se desconfía de las empresas que disponen de medios para "rastrear" y consolidar los datos de individuos particulares. Ahora bien, ¿Cuántos de esos datos han sido obtenidos directamente por esa empresa, y cuántos "cedidos" por otras? ¿Cuántos de ellos deberían ser privados? Si presuponemos que la "cesión" de esos datos es correcta (el buscador de turno ha obtenido exclusivamente datos públicos, ya que en caso contrario la responsabilidad estaría en manos de la empresa que los ha dejado "accesibles" incumpliendo su política de privacidad), el problema ya no es la privacidad de esos datos, presuntamente públicos, sino de las consecuencias que puede tener su consolidación. Si una determinada persona publica en twitter que está visitando el evento euskalsex, y existe información pública de que dicha persona pertenece a una red social relacionada con la moda, y en concreto con ropa interior infantil... ¿Es posible que alguien pueda relacionar ambas fuentes y deducir algún tipo de asociación con pornografía infantil? ¿Debe el buscador "registrar" estas asociaciones? ¿Qué tipo de confianza debe depositarse en empresas cuyo negocio sea la consolidación de información personal? ¿La característica de pública de cierta información personal debe estar ligada exclusivamente a la finalidad para la que se ha hecho pública?
En definitiva, la privacidad se está viendo expuesta a nuevos riesgos cuya origen está, fundamentalmente, en la des-perimetrización (de-perimeterisation en inglés), o eliminación progresiva de las barreras para el flujo de información, independientemente de que dichas barreras sean necesarias o establecidas a propósito. ¿Nos llevará el futuro de la web 2.0 a un nuevo concepto de privacidad? ¿Seremos capaces de desarrollar soluciones que permitan su pervivencia tal y como hoy la conocemos en un mundo cada vez más interrelacionado? Ya lo iremos viendo...
En relación a ese tema hoy he leído un interesante artículo acerca de los riesgos de participar en redes sociales. Un artículo que alerta sobre la necesidad de leer con atención la "letra pequeña" de las cláusulas que aceptamos cada vez que accedemos a sitios web, a ciertas funcionalidades avanzadas o a cualquier tipo de ventaja adicional cuyo uso tenemos que aceptar explícitamente. Porque el riesgo no es ya que ciertos plugins o aplicaciones adicionales puedan saltarse las restricciones que creemos tener, sino que nosotros hemos aceptado explícitamente esa posible vulneración de nuestra privacidad. Y todo por no pararnos a leer con detenimiento las cláusulas antes de hacer clic sobre el "acepto" de turno.
Y es que de fondo el problema que se plantea no es nuevo. Se trata, sencillamente, de confiar o no confiar en la empresa que provee el servicio que queremos utilizar. ¿Por qué la gente confía en eBay para proporcionarle los datos de su tarjeta de crédito, pero no lo hace cuando accede a estafas-on-line.com, si ambas webs funcionan bajo https con certificado reconocido? Sencillamente, porque de la primera se fían y de la segunda no. ¿Han leído las cláusulas de ambas webs antes de decidirse? Probablemente no. Pero como la empresa que hay detrás de dicha web está catalogada socialmente de "confiable", nadie teme por el uso que se vaya a hacer de los datos cedidos. Incluso aunque las cláusulas puedieran (no sé si es el caso) alertar de una cesión de datos a una empresa de desarrollo de perfiles de consumo, por ejemplo.
Un caso que va más allá de la confianza en el depositario de los datos personales es el uso que, de forma automática, puedan hacer terceras partes de los datos "públicamente" accesibles en la web. Ese es otro de los motivos aparentemente esgrimidos para que 8 de cada 10 europeos desconfíe de Internet. En este caso se desconfía de las empresas que disponen de medios para "rastrear" y consolidar los datos de individuos particulares. Ahora bien, ¿Cuántos de esos datos han sido obtenidos directamente por esa empresa, y cuántos "cedidos" por otras? ¿Cuántos de ellos deberían ser privados? Si presuponemos que la "cesión" de esos datos es correcta (el buscador de turno ha obtenido exclusivamente datos públicos, ya que en caso contrario la responsabilidad estaría en manos de la empresa que los ha dejado "accesibles" incumpliendo su política de privacidad), el problema ya no es la privacidad de esos datos, presuntamente públicos, sino de las consecuencias que puede tener su consolidación. Si una determinada persona publica en twitter que está visitando el evento euskalsex, y existe información pública de que dicha persona pertenece a una red social relacionada con la moda, y en concreto con ropa interior infantil... ¿Es posible que alguien pueda relacionar ambas fuentes y deducir algún tipo de asociación con pornografía infantil? ¿Debe el buscador "registrar" estas asociaciones? ¿Qué tipo de confianza debe depositarse en empresas cuyo negocio sea la consolidación de información personal? ¿La característica de pública de cierta información personal debe estar ligada exclusivamente a la finalidad para la que se ha hecho pública?
En definitiva, la privacidad se está viendo expuesta a nuevos riesgos cuya origen está, fundamentalmente, en la des-perimetrización (de-perimeterisation en inglés), o eliminación progresiva de las barreras para el flujo de información, independientemente de que dichas barreras sean necesarias o establecidas a propósito. ¿Nos llevará el futuro de la web 2.0 a un nuevo concepto de privacidad? ¿Seremos capaces de desarrollar soluciones que permitan su pervivencia tal y como hoy la conocemos en un mundo cada vez más interrelacionado? Ya lo iremos viendo...
Suscribirse a:
Entradas (Atom)
