Trackeo de empleados en la red corporativa: una necesidad para la seguridad

A estas alturas de la película nadie pone en duda la necesidad de respetar la privacidad de los empleados de una empresa. ¡Faltaría más! Sin embargo tampoco tiene sentido ignorar que  cada vez son más frecuentes los ataques “user-based” en los que un hacker roba credenciales de acceso de un empleado, de proveedores con bajos niveles de seguridad o incluso teniendo un cómplice que ya está dentro. ¿Para qué romper las barreras de seguridad si puedes encontrar una puerta mal cerrada por la que colarte?

El acceso utilizando las credenciales de un empleado sucede de dos maneras: o las credenciales se roban o tenemos un empleado extremadamente descontento. Lo cierto es que los fallos de seguridad en los que existen fugas de datos se producen en un 82% de los casos  por el error de un empleado (intencionado o no). Este dato es escalofriante y nos obliga a enfrentarnos al hecho de que la monitorización de la seguridad basada en credenciales de paso permite rastrear los accesos y garantizar que quién accedió tenía permiso para hacerlo sin embargo los hackers que obtienen credenciales de empleados de bajo rango son capaces de encontrar vías de paso una vez dentro del sistema. Por tanto si confiamos la monitorización de nuestra seguridad únicamente a los viejos sistemas estaremos ignorando la realidad.

La pregunta que debemos hacernos es cómo adaptar la monitorización de la seguridad a esta nueva realidad. La respuesta, en realidad, es extremadamente sencilla: analítica de perfiles. Comparar la actividad de un usuario contra su perfil, la descripción de su puesto de trabajo, patrones de uso y cualquier otra información de inteligencia automatizada a nuestro alcance permitirá detectar uso fraudulento de credenciales de paso.  Esto no supone más que añadirle una nueva capa de usos a los datos que ya existen. Será necesario establecer nuevos KPI, analizar datos, establecer indicadores, crear perfiles detallados de uso y, cómo no, comunicarlo adecuadamente a los empleados.

Añadir una capa de inteligencia analítica a los datos de acceso de nuestros empleados no sólo es una exigencia de seguridad en el entorno actual si no la mejor manera de poder auditarnos, asegurar las actividades de compliance, proteger a los empleados y a la empresa de reclamaciones por actividades que realmente ha llevado a cabo un hacker  y llevar a cabo un política proactiva de respuesta ante incidentes de seguridad.

Lo que tampoco se nos puede escapar es que el punto más crítico de todo esto es llevar a cabo una comunicación efectiva que logre explicar a los empleados que se llevará a cabo una monitorización exhaustiva del uso que hagan de los recursos de la empresa (la cosa puede complicarse si además estamos en una empresa con políticas Bring Your Own Device –BYOD- o Corporated Owned Personally Enabled –COPE-).  El consejo es el mismo de siempre: transparencia y honestidad. 

Debemos tener no sólo una política interna que explique absolutamente todo esto si no que la misma debe explicarse y ponerse de manifiesto durante el proceso de selección, debe ser firmada y aceptada por nuestros empleados a los que se les debe dar formación que les permita detectar situaciones potenciales de riesgo. Y por supuesto esos datos únicamente se podrán emplear para realizar análisis de seguridad. En definitiva, siempre debe existir un equilibrio pero las nuevas situaciones requieren un nuevo enfoque. Hoy una seguridad corporativa realmente efectiva debe incluir la analítica como una herramienta más.

Mi báscula, mis datos y yo

He desempolvado mi báscula después de la Navidad. Imagino que como la mayoría. Mi báscula es de esas que te miden la grasa corporal, el nivel de líquidos y demás. Creas un perfil en la báscula especificando sexo, edad y altura y ella no sólo te pesa si no que te llama gorda sin el más mínimo pudor: tiene unos simbolitos que te dicen si estás en tu peso, si te has pasado un poco o si te has pasado mucho. Lo que digo: te llama gorda pero con datos, no hay escapatoria ni excusas tipo “tengo los huesos anchos”. Los datos son irrebatibles.

El caso es que después de pesarme llegué a dos conclusiones: la primera es que toca hacer dieta después de estas fiestas si no quiero lanzar mi báscula por la ventana y la segunda es que no tengo claro si lo que nos asusta de los datos es nuestra privacidad o que nos digan las cosas a la cara sin que tengamos opción a poner excusas malas. Digo esto porque en 2014 entre el derecho al olvido y el escándalo de la NSA nos hemos despistado en el debate que realmente afecta a la mayoría de las personas: vamos camino de un mundo de desnudos digitales. Y mucho me temo que no hay derecho a la protección de datos personales capaz de parar eso.

Cualquier analista web podrá confirmar que los datos sobre nosotros son cada vez más fáciles de obtener, de hecho la mayoría los damos nosotros mismos en redes sociales y formularios de registro aquí y allá. También podrán confirmar que los perfiles que se pueden generar sobre cada uno de nosotros son cada vez completos, precisos y acertados. Y yo, con la cabeza puesta en mi báscula, he llegado a la conclusión de que el gran problema de todo esto es que vamos desnudos por la vida y eso da bastante miedo. ¿Significa eso que nos preocupa nuestra privacidad? Sí y no. Sí nos preocupa el día que nos afecta pero no nos preocupa hasta entonces. Entonces lo que cabe preguntarse es si lo que realmente queremos es un derecho a la protección de datos o un derecho de no discriminación en función de los datos.

El problema de todo esto es que no es un asunto sencillo si no extremadamente complejo por varios motivos:

1.- Nuestros datos están por ahí sin control pero no porque las empresas sean mala gente si no porque nosotros hemos dado nuestros datos (¿alguno sería capaz de acordarse de cuantas cesiones ha autorizado?). Invito a una cerveza a cualquiera que mantenga un listado actualizado de las cesiones de sus propios datos.

2.- Nada de cinismos: las empresas necesitan datos sí o sí. ¿Nos hemos vuelto locos? La economía actual exige eficiencia, un tipo de eficiencia alcanzable únicamente gracias a los datos. Podemos negársela, sí pero nuestras empresas no están solas en el mundo si no que compiten contra otras que sí tienen unos regímenes más flexibles en cuanto a privacidad y, por tanto, están en condiciones de ser más competitivas (simplemente porque son más eficientes). 

3.- Los datos permiten tomar decisiones, se supone que buenas decisiones o, al menos, decisiones más conscientes gracias a una mejor información. La cuestión es ¿quién tiene esos datos?, ¿qué decisiones está tomando? y ¿cómo me afectan a mi esas decisiones?.

Volviendo al caso de mi báscula: he sido yo la que me he subido en la báscula y soy yo quién decido si esos datos terminan o no en un repositorio en la nube (léase internet). Esos datos son muy útiles  para mí al facilitarme un control sobre mi peso en el tiempo, estadísticas y relaciones que a simple vista a lo mejor yo sola no detecto y gracias a los cuales podré tomar decisiones prácticas. La gran pregunta es ¿esos datos repercuten en mi vida? Dependiendo de quién los tenga, su capacidad para tomar decisiones y qué decisiones tome sobre mí efectivamente puede ser que me encuentre indefensa si por ejemplo esos datos se usaran por una aseguradora médica para decidir no asegurarme o no cubrir una serie de afecciones, o por parte de un posible empleador porque yo fuera un grupo de riesgo que estadísticamente causa más bajas laborales que el resto. En ese preciso instante tendemos a decir que esos datos afectan a mi privacidad porque son datos de salud.

Pues bien yo creo que lo que nos preocupa no es nuestra privacidad si no las repercusiones que las decisiones que se toman empleando esos datos tienen sobre detalles reales, prácticos y delicados de nuestra vida real. Por tanto vuelvo a la misma cuestión: ¿queremos un derecho de protección de los datos de carácter personal o un derecho de protección a la toma de decisiones discriminatorias basadas en esos datos? El tema es peliagudo porque si los datos son ciertos entonces, ¿es razonable negárselos a quién tiene que tomar una decisión? Por otro lado cabe preguntarse si los datos son Dios o si las personas tienen valor más allá de sus datos. Y en caso de que lleguéis a la misma conclusión que yo ¿cómo compaginar los derechos de todos de una manera razonable?

El debate está abierto, queda mucha tela por cortar (y se cortará, eso seguro) pero es necesario que centremos el debate de manera realista en lo que realmente nos preocupa, nos interesa y lo enhebremos con la vida real en la que la mayoría damos nuestros datos sin el más mínimo pudor a cambio de cualquier cosa que sea gratis. Prometo seguir reflexionando al respecto pero espero hacerlo acompañada de quién quiera aportar su granito de arena así es que, como siempre, los coemntarios son bienvenidos.

Un escenario inventado

El cierre de Google News lleva dando vueltas en mi cabeza hace ya algunas semanas (básicamente desde que Google anunció su cierre como consecuencia de la entrada en vigor de la obligación de pagar a los editores de noticias por enlazarlas). Un absurdo porque a fin de cuentas es pagar por llevar tráfico a esos mismos editores pero en fin, eso es lo que dice la norma.

Lo más curioso es que el tráfico de los diarios españoles ha caído precisamente porque Google News ha dejado de proporcionarles tráfico y a menos tráfico menos ingresos publicitarios. Un ridículo de esos que sólo podemos hacer los españoles. Cuando la economía va mal le ponemos palos a las ruedas de lo que mejor tira: la economía digital. 

El caso es que a los pocos días leía que otro país de la UE (Francia) también sancionaba a Google por otro tema y me acordé de que el 2013 terminó con una sanción de 900.000€ para Google España y se me ocurrió pensar en un escenario inventado: ¿y si Google anunciara mañana que se va de Europa?

Es verdad que Europa es un mercado relevante para Google (de momento) y que las cantidades de las sanciones a un gigante de ese tamaño no le hacen ni cosquillas pero supongamos que Google decidiera echar un órdago a Europa y dijera que se va, ¿qué pasaría? Lo digo más que nada porque si finalmente se aprueba el Reglamento Europeo de Protección de Datos el modelo de negocio de Google se vería seriamente afectado así es que, repito, imaginemos qué pasaría si mañana una empresa como Google decidiera abandonar el mercado Europeo:

• Pues por lo pronto más del 90% de las webs se quedarían a ciegas sin Google Analytics, sería como volver a la edad de piedra desde el punto de vista digital, es verdad que existen otras herramientas de analítica web pero la mayoría son de pago y hay que reconocer que la usabilidad de Google para no técnicos es brutal.
• Claro que eso sería casi lo de menos porque todo el SEO está optimizado para Google Search así es que lo más probable es que, si tenemos una web, nuestros potenciales usuarios no nos encontraran tan fácilmente como antes y estaríamos perdiendo oportunidades de negocio.
• La catástrofe total sería que el servicio Google Mail cerrara, ¿qué pasaría con nuestros registros en otras webs para los que hemos usado cuentas de Gmail? ¿cuánto email marketing dejaríamos de poder hacer? Y todo ello por no hablar de la cantidad de cuentas corporativas montadas cobre el servicio de GMail.
• Podríamos seguir así con todo el catálogo de servicio de Google: YouTube, Drive, Calendar…

Así a priori podríamos pensar que no pasa nada, hay otros prestando estos mismos servicios pero si somos sinceros la realidad es que Google predomina en el mercado sencillamente ofrece los mejores servicios y además sucede otra cosa bastante curiosa: Europa cuenta con grandes compañías que sean capaces de cubrir la demanda que se generaría pero ¿querrían los usuarios pagar por los servicios? No tengo tan claro qué pasaría si la compañía de Mountain View echara un órdago a Europa.

Pero, en serio.. ¿se iría Google de Europa? Bueno hoy por hoy no pero yo siento curiosidad por saber qué elegirían los europeos si sus opciones fueran privacidad o Google. Yo personalmente creo que estamos forzados a entendernos y a encontrar un punto medio porque el mundo ya no es el mismo que hace 20 años. Adaptarse o morir. 

Como decía antes, Europa es un mercado relevante pero no olvidemos que la crisis económica europea está empobreciendo al viejo continente a marchas forzadas y que el eje del poder económico del próximo siglo será Asia. En ese nuevo esquema Europa debe reforzar su posición digital en el mundo y mi deseo para 2015 es que hagamos precisamente eso: tenemos un año entero por delante y espero que nuestros Gobiernos sepan enderezar el rumbo en la dirección correcta. Bienvenidos a 2015.

El peligro real de las cookies no es la privacidad

Hace ahora algo así como dos años y medio que escribí un post sobre la entonces nueva normativa sobre cookies. No es que el post fuera nada especial, simplemente recapitulaba lo que la normativa exigía a las webs que utilizasen cookies. Hay que reconocer que la redacción del art. 22.2 de la LSSI-CE (Ley de Servicios de la Sociedad de la Información y Comercio Electrónico) no es precisamente transparente, claro que una Ley con ese título tampoco podía ofrecer nada simple y sencillo.

A día de hoy la realidad es que, para los usuarios, prácticamente nada ha cambiado las empresas continúan empleando cookies, los usuarios las aceptan y se ven obligados a soportar unos banners horrorosos. 

Vaya por delante que el propósito de la normativa sobre cookies a mi me parece bueno: oiga, si está recabando información sobre mi perfil pues, al menos, dígamelo y pidame permiso. Sin embargo, como tantas otras veces, lo que esta normativa rezuma es falta de entendimiento del negocio digital (que por cierto aporta cada vez más a nuestra economía). Me explico. 

Si uno tiene una tienda a pie de calle se puede ver si pasa mucha o poca gente por delante del escaparate, si se paran a mirarlo, la cantidad de gente que entra en la tienda, cuántos muestran interés por algún artículo de los que vendemos y finalmente cuántos compran. Parece una estupidez lo que estoy diciendo pero cualquier persona que haya trabajado en una tienda sabe que esa información es vital para tomar decisiónes y hacer cambios para intentar mejorar los números, vender más y por tanto ganar más dinero o simplemente sobrevivir. Por el contrario si tenemos una tienda online estamos ciegos. ¿Yo qué sé suánta gente entra en mi tienda web? ¿No sé qué les gusta, qué no, si intentan comprar y abandonan porque hay algo mal diseñado..? Las cookies son el perro guía de cualquier tendero en internet y sin embargo nos empeñamos en dejar al ciego sin perro.

Como decía antes creo que la intención de la normativa sobre cookies es buena. Una cosa es llevar un perro guía y otra muy distinta un perro guía que sea peligroso sin embargo en esto de las cookies, como en el mundo de los perros, todo depende de quién controle las cookies. Las cookies no hacen más que aportar datos y los datos son neutros, la intención con la que usemos esos datos no es neutra. Entonces lo que debemos preguntarnos es, ¿no nos estaremos equivocando de objetivo?

Si tengo un ecommerce saber que un cliente es la tercera vez que viene a mirar el mismo vuelo, en las mismas fechas me dice mucho. Me dice que el tipo está francamente interesado y puedo enviarle un mail para animarle a que compre (al igual que en una tienda física puedo acercarme a él para intentar cerrar una venta). Creo yo, llámenme loca, que es un fin legítimo. Otra cosa es que el tendero utilice esa cookie para subir ligeramente el precio con cada nueva visita dando a entender que el vuelo va subiendo de precio y empujar al usuario a una compra compulsiva jugando con su deseo de adquirir el billete a un precio económico (alguna vez me ha pasado esto y al borrar las cookies de la compañía aérea y buscar el mismo vuelo el precio del billete continuába siendo el mismo del primer día). ¿Son las cookies las malas de la película o las empresas que utilizan los datos que las cookies les proporcionan para fines cuanto menos discutibles?

Y luego está la otra batalla de la que nadie habla pero que existe y es un run-run permanente en las discusiones sobre privacidad y cookies: un altísimo porcentaje de webs emplean la misma herramienta de analítica web: Google Analytics. ¿Porqué? Es gratis, sencilla y extraordinariamente potente. Esto es lo que realmente pone en alerta a Europa: hay un ente que está recogiendo petabites y petabites de información sobre los usuarios y que crean unos perfiles extraordinariamente precisos sobre ellos. Sin embargo creo que nos estamos equivocando en el enfoque: los usuarios utilizan los servicios de Google en masa simplemente porque son buenos. De hecho son muy buenos y no perciben un impacto en su privacidad lo suficientemente potente como para renunciar a esos servicios. Por tanto lo que, en mi modesta opinión, creo que deberíamos plantearnos es si el usuario tiene conocimientos suficientes para tomar una decisión informada sobre el uso de las cookies por parte de las webs que visitan o si teniéndola lo que están haciendo es pasar de todas las advertencias porque consideran que el peligro no es tal. 

Yo tengo algo muy claro: 

• Google ha hecho su trabajo al facilitar una herramienta que permite a los usuarios bloquar el uso de Google Analytics, 
• las webs han incorporado mensajes de advertencias y listados de las cookies que emplean y para qué las emplean
• los usuarios, que tienen la última palabra, continúan navegando y aceptan los avisos sobre cookies sin leerselos en casi la totalidad de los casos

Desde mi punto de vista el problema real que plantean las cookies es su potencial mal uso por parte de las webs de comercio online para personalizar los precios en función del comportamiento del visitante, su ubicación, el dispositivo desde el que se conectan y factores de este estilo. Mi pregunta es: ¿quién está vigilando que esto no suceda?.