Estos son los perfiles más demandados en Ciberseguridad
Repasamos cuáles son las habilidades más demandadas para los profesionales que se dedican a la ciberseguridad y cómo puedes formarte en ellas. Con el incremento de las amenazas cibernéticas, que además están en constante evolución, la necesidad de profesionales de ciberseguridad nunca ha sido tan alta. Según nuestro Mapa del Empleo, la demanda actual de estos perfiles supera los 1.200 puestos vacantes y, según los datos de los últimos tres meses, irá en aumento en los próximos años. Vamos a explorar los perfiles más solicitados en este campo, proporcionando información sobre los rangos salariales, experiencia y habilidades necesarias. Si hacemos un repaso del tipo de puestos con mayor número de vacantes en el ámbito de la ciberseguridad son dos los que acumulan mayor oferta: TOP 5 habilidades digitales en ciberseguridad Las cinco habilidades digitales más solicitadas por las empresas, no importa su tamaño ya sean pymes o grandes corporaciones, para los perfiles expertos en el ámbito de la ciberseguridad, según el Mapa del Empleo son: Formarse en ciberseguridad, una apuesta segura de cara al futuro En los últimos años, mientras que la demanda de estos perfiles ha ido en aumento, el número de profesionales en este sector no ha variado. Las empresas necesitan cubrir cientos de puestos y hay escasez de estos profesionales. Podría interesarle: Así serán las ciberamenazas que más guerra darán en 2024 El gráfico muestra el número de profesionales especializados en ciberseguridad en la actualidad, frente al número de profesionales del resto de funciones (datos de profesionales registrados en tecnoempleo.com). Estos datos ponen de manifiesto la necesidad real de contar con personas formadas en el ámbito de la ciberseguridad de ahí que la formación y especialización en esta área es una puerta de entrada al mercado laboral. Para conocer, según tu perfil profesional, las competencias que necesitarías para optar a puestos de ciberseguridad, el Orientador Profesional Virtual puede guiarte de forma gratuita. Cuando tengas claro las habilidades que necesitas desarrollar, puedes aprender online y gratis con el programa formativo Conecta Empleo. FUENTE: Fundación Telefónica. »Estos son los perfiles más demandados en Ciberseguridad» Fundacióntelefónica.com. 23/10/2023. (https://www.fundaciontelefonica.com/noticias/5-habilidades-ciberseguridad/).
Latinoamérica mira todavía con desconfianza la IA, pese a su “potencial gigante”
Los avances de la IA están transformando la sociedad, pero en Latinoamérica, persiste la desconfianza debido a limitaciones en el acceso, el miedo a la pérdida de empleos y la reticencia a compartir datos. Los rápidos avances de la inteligencia artificial (IA) y su aplicación para diversas tareas y a nivel empresarial están transformando de forma acelerada la sociedad, pero en Latinoamérica todavía “existe un alto nivel de desconfianza” hacia ella, dijo este viernes a EFE un experto de la región en esta nueva tecnología. Las “grandes limitaciones para acceder” a esta tecnología en la región, el “temor de los empleados a perder sus trabajos” y, sobre todo, una “desconfianza general” a la hora de compartir los datos personales son factores que impiden su desarrollo, precisó Alejandro Anderlic, director de Asuntos Gubernamentales y Políticas Públicas de la compañía tecnológica Salesforce. Podría interesarle: Inteligencia artificial, ciberseguridad, robótica y transformación digital entre los empleos del futuro Esta empresa estadounidense de software basado en la nube participa hoy en el Simposio anual de la Sociedad de las Américas/Consejo de las Américas (COAS, en inglés), que celebra esta noche su gala de entrega de los Premios Bravo 2023. En entrevista con EFE, Anderlic apuntó que en ese contexto de desconfianza generalizada hacia la IA en la región, el 76,8 % cree que compartir sus datos personales “implica más riesgos que beneficios”, además de existir el factor del “bajo nivel de ciberseguridad”. Riesgos de la IA y ética El argentino reconoce que la IA, si bien tiene un “potencial gigante”, presenta riesgos. Por ello, Salesforce propugna una “inteligencia artificial ética” referida al buen uso de la tecnología, ya que esta no es buena o mala, todo “depende del uso que le demos”. Desde 2018, Salesforce cuenta con una “oficina de uso Ético y Humano” enfocada en desplegar una IA “confiable, responsable, inclusiva y transparente”, que rinda cuentas por medio de un Consejo Asesor de Uso Ético. El también abogado por la Universidad Católica Argentina destacó el carácter de “herramienta poderosa” de la IA para “ayudar, gracias a su capacidad de procesamiento, a proponer ideas y contenidos que las personas pueden desarrollar”. A nivel empresarial, las aplicaciones potenciales de la IA “son enormes”, por ejemplo, para programar reuniones, organizar archivos, gestionar tareas administrativas, escribir códigos, diseñar productos o crear contenidos y estrategias de mercadotecnia. Lea también: 5 beneficios de implementar la Inteligencia Artificial en Ciberseguridad Incluso sirve para prestar servicios de atención al cliente a través de chatbots o acelerar descubrimientos científicos, una automatización de tareas, como las mencionadas arriba, que permite a los equipos ser “más productivos y eficientes”, subraya Anderlic, quien fue director de asuntos corporativos en Microsoft. La Cuarta Revolución Industrial y la brecha No dudó en afirmar que nos encontramos inmersos en la Cuarta Revolución Industrial, donde la IA, el aprendizaje automático, la computación en la nube, el análisis de datos y el internet de las cosas (IoT) “están generando un profundo impacto en nuestra forma de vida en el mundo laboral”. Una revolución que se distingue por tres factores clave que la diferencia de las anteriores: en primer lugar, la “asombrosa velocidad del cambio”; luego, un “impacto” que no se limita a la tecnología en sí, sino que “está transformando profundamente los sistemas interconectados en nuestra sociedad”, desde la política hasta la economía y la forma en que operan los países. Preguntado si la IA puede agrandar la brecha social, Anderlic explicó que en América Latina este es un tema muy importante. Por eso, Salesforce considera fundamental “la democratización” de esta tecnología, que pasa porque todos tengan acceso a la tecnología y sus beneficios. “América Latina tiene un gran potencial en este frente, pues cuenta con la capacidad humana y es un semillero de ideas que pueden potenciar a la región”, puso de relieve. FUENTE: Agencia EFE. »Latinoamérica mira todavía con desconfianza la IA, pese a su “potencial gigante”» Gestion.pe. 21/10/2023. (https://gestion.pe/tecnologia/inteligencia-artificial-latinoamerica-mira-todavia-con-desconfianza-la-ia-pese-a-su-potencial-gigante-ciberseguridad-noticia/).
Así serán las ciberamenazas que más guerra darán en 2024
2023 va aproximándose a su fin. Este año está siendo bastante intenso respecto a ciberamenazas, pero todos esos incidentes están permitiendo a los expertos e investigadores dibujar las líneas que caracterizarán los próximos ejercicios. La firma Check Point Software ha compartido algunas predicciones para 2024, enfocándose en seis áreas clave. Para esta compañía merecen especial atención los ataques con inteligencia artificial y aprendizaje automático. Así, anticipa un aumento de incidentes impulsados por IA, con ciberdelincuentes adoptando esta tecnología para desarrollar rápidamente nuevas variantes de malware y ransomware. Estas innovaciones también se verán en defensa, no solo en ataques. A su vez, se espera que haya inversiones significativas en IA para contrarrestar las amenazas avanzadas. El impacto de la regulación en el uso ético y responsable de la IA será un factor clave en la evolución de las estrategias defensivas. La cadena de suministro y las infraestructuras críticas seguirán siendo una diana para los actores de amenazas. La adopción de modelos de confianza cero en la cadena de suministro se intensificará, exigiendo verificación independientemente de la ubicación de la conexión. Las evaluaciones más estrictas de proveedores externos serán esenciales para evitar riesgos. Fortalecer los protocolos de seguridad en la cadena de suministro será crucial para prevenir ataques a proveedores más pequeños. Ataques DDoS pueden aumentar ante conflictos geopolíticos como Ucrania vs Rusia o Israel vs Palestina Con la guerra de Ucrania activa y el conflicto de Israel y Palestina es muy probable que las actividades hacktivistas, especialmente los ataques DDoS, se incrementen, siendo parte integral de la ciberguerra. Los objetivos de los hacktivistas pueden enmascarar motivos comerciales, desdibujando las líneas entre el hacktivismo y actividades delictivas. Es esperable que los ciberdelincuentes elijan el ransomware como fuente de ingresos para financiar otras actividades. La compañía también espera que la tecnología deepfake -que puede recrear a otras personas diciendo o haciendo cosas que no han hecho o dicho- va a utilizarse cada vez más como arma para influir en opiniones y acciones perjudiciales. En este sentido, los cibermalos pueden servirse de ella para realizar sofisticados ataques de ingeniería social. Podría interesarle: 8 de cada 10 empresas han sido víctimas del robo de identidad empresarial: estas son sus consecuencias El phishing seguirá al alza, aunque los actores de amenazas usarán tácticas avanzadas, potenciadas por IA, volviéndolas más personalizadas y efectivas, lo que dificultará su detección. En este sentido, CheckPoint predice un crecimiento de ataques originados por robo de credenciales en lugar de la explotación de vulnerabilidades. En este marco los ciberseguros evolucionarán, gracias también a la IA. Esta transformará la evaluación de la ciberresiliencia en seguros, permitiendo servicios directos de ciberseguridad. El enfoque preventivo reducirá primas, incentivando la acción proactiva contra ciberataques. Ransomware que no cesa El ransomware merece un apartado especial por la frecuencia de sus ataques. En la primera mitad de 2023 ha habido 48 grupos informando públicamente sobre la vulneración y extorsión de más de 2.200 empresas. Incidentes notables, como el ataque a MGM Resorts, evidencian las consecuencias masivas y costosas de estos ataques. El próximo año, se espera un aumento en la adopción de tácticas living off the land, aprovechando herramientas legítimas del sistema para ataques sigilosos. A pesar de los esfuerzos por reforzar la seguridad, los incidentes de pérdida o filtración de datos pueden incrementarse, especialmente debido a la creciente dependencia de plataformas SaaS. «El uso de la inteligencia artificial hará que el ransomware sea cada vez más avanzado. Las empresas necesitan evolucionar su enfoque de seguridad para mantenerse a la vanguardia», advierte Mario García, director general de Check Point Software para España y Portugal. CheckPoint advierte de que en este panorama de amenazas en constante evolución, las empresas deben priorizar la seguridad, exigir mejores prácticas a sus proveedores y adoptar soluciones de ciberseguridad colaborativas. Con el auge de amenazas potenciadas por IA, los modelos de confianza cero y la tecnología deepfake, la inversión en medidas integrales se vuelve más crucial que nunca. FUENTE: Payo, Alberto. »Así serán las ciberamenazas que más guerra darán en 2024» Escudodigital.com. 22/10/2023. (https://www.escudodigital.com/ciberseguridad/mayores-ciberamenazas-2024_56914_102.html).
8 de cada 10 empresas han sido víctimas del robo de identidad empresarial: estas son sus consecuencias
Los ataques de robo de identidad empresarial aumentaron sustancialmente el último año. Las consecuencias son catastróficas. Conforme las compañías adoptas nuevas tecnologías, la industria se hace testigo del preocupante aumento de los ataques cibernéticos. Los cuales no solo afecta individuos, sino también a organizaciones, convirtiéndose en víctimas del robo de identidad empresarial. Y a su vez, poniendo en riesgos su operaciones internas, seguridad e integridad de datos confidenciales. Los piratas informáticos tienen una razón clara para tomar como objetivo a dichas empresas; obtener grandes beneficios e información valioso. Estos van desde datos personales de clientes, hasta secretos comerciales y propiedad intelectual. De manera que puedan usarlos para generar ganancias financieras ilícitas, extorsionando a la empresa o vendiendo la información a terceros. Fraude financiero o estafas De acuerdo con la encuesta de Global Know Your Business (KYB) de Trulioo. Un alarmante 79% de las empresas a nivel mundial son víctimas de robo de identidad empresarial. Esto conforme las organizaciones se adaptan a nuevos entornos digitales, brindándoles a los ciberdelincuentes la oportunidad de aprovechar brechas o medidas de seguridad mal implementadas. Estas van desde contraseñas débiles o fáciles de adivinar, software desactualizado, falta de departamentos de seguridad o acceso no controlado a datos confidenciales. Uno de los principales impactos de esto siendo el fraude financiero o estafas. Ya que utilizan la información robada para realizar transacciones fraudulentas, compras en línea o transferencias bancarias no autorizadas a nombre de la empresa. Extorsión a las víctimas del robo de identidad empresarial Un ejemplo destaca, sería la violación de seguridad de T-Mobile a finales del 2022, la cual le contó US$ 350 millones de dóalres. En la que los piratas informáticos obtuvieron acceso a la base de datos, incluyendo archivos personales y detalles de tarjetas de crédito. Posteriormente, afirmando que tenían “información completa de más de 100 millones de usuarios” de la compañía. Es así como los ciberdelincuentes extorsionaron a la empresa por más de 270 mil dólares. A cambio del subconjunto de datos que contenía más de 30 millones de números de seguridad social y licencias de conducir. Por su parte, la empresa enfrentó pérdidas financieras significativas y una disminución en la confianza de sus clientes. Un claro ejemplo del impacto del robo de identidad empresarial. Suplantación de identidad El robo de datos personales o empresarial también puede usarse para suplantar una identidad y realizar actividades fraudulentas. Ya que los estafadores pueden abrir cuentas bancarias, realizar transacciones comerciales o cometer actos delictivos bajo el nombre de la empresa afectada. Todo esto a través de la obtención de información confidencial. Lea también: ¿Hacia un ‘abismo cibernético’ de la seguridad en 2024? Un ejemplo de este tipo de ataques sería la violación de seguridad a 23andMe, donde robaron datos genéticos de personas pertenecientes al servicio. Desde nombres y apellidos, direcciones de corre electrónico y fechas de nacimiento, hasta información relacionada a la ascendencia y el historial genético de los usuarios. Básicamente, todo los elementos necesarios para suplantar la identidad de una persona. Espionaje industrial o filtración de propiedad intelectual En esta práctica, una empresa intentaría obtener información o datos confidenciales de su competencia. Esto a través de grupos de piratas informáticos, quienes violentarían las comunicaciones electrónicas y utilizarían técnicas de ingeniería social en los empleados del objetivo. Lo que puede tener un impacto masivo, resultando en pérdida de propiedad intelectual valiosa para la compañía. Por ejemplo, una empresa de tecnología líder que desarrolle un nuevo producto, invirtiendo mucho tiempo y recursos como resultado. Mientras que un hacker accede a sus sistemas y roba los datos relacionados con el mismo, los cuales se venden a un tercero interesado. En este sentido, un competidor desleal que pagaría una gran suma de dinero por la información. Pausa indefinida en las operaciones y daño de reputación comercial El robo de identidad empresarial es extremadamente peligro y tendría consecuencias devastadoras para empresas que no se preparan adecuadamente para responder a estos incidentes. Así pues, viéndose obligadas a pausar indefinidamente sus operaciones y solicitar una investigación exhaustiva,así como una revisión completa de sus procesos internos. Pero eso no es todo. Ya que aparte de las pérdidas económicas directas, el robo de identidad empresarial tiene un impacto negativo en la relación con los clientes finales. Si se produce un robo de identidad, se generará un profundo descontento que impulsará la desconfianza. Lo que a su vez dañaría su reputación como marca, afectando la retención de futuros clientes. FUENTE: Martorell Delgado, Sergio. »8 de cada 10 empresas han sido víctimas del robo de identidad empresarial: estas son sus consecuencias» Larazon.es. 22/10/2023. (https://www.larazon.es/emergente/8-cada-10-empresas-han-sido-victimas-robo-identidad-empresarial-estas-son-sus-consecuencias_2023102265323695a1cbe00001728d4b.html).
¿Hacia un ‘abismo cibernético’ de la seguridad en 2024?
El próximo año se presenta complicado desde el punto de vista de la seguridad. Al menos éstos son los pronósticos de Check Point, que alerta acerca de la apertura de un “abismo cibernético” en 2024, donde confluirán amenazas como ciberataques dirigidos por inteligencia artificial (IA) y aprendizaje automático, a la cadena de suministro e infraestructuras críticas; ataques perpetrados por estados-nación, auge de la tecnología deepfake armada y mantenimiento de los ataques de phishing. Este vaticinio se fundamenta en la avance de las actividades delictivas, que crecieron con fuerza en la primera mitad de 2023. Por ejemplo, ha detectado un aumento del 8% en los ciberataques semanales a nivel global en el segundo trimestre, lo que supone el mayor volumen en dos años. Además, destaca la evolución de amenazas ya conocidas, como el ransomware y el hacktivismo. En ese sentido, señala que las organizaciones de ciberdelincuentes están modificando sus métodos y herramientas para infectar a empresas de todo el mundo. Y remarca que incluso los dispositivos de almacenamiento USB han recuperado popularidad como vehículo para propagar malware. Asimismo, hace hincapié en el salto que ha dado el ransomware. Check Point indica que 48 grupos informaron de que habían vulnerado y extorsionado públicamente a más de 2.200 empresas en el primer semestre de 2023. A modo de ejemplo, recuerda que este año se han producido varios casos de gran repercusión, como el ataque contra MGM Resorts, que condujo al cierre de los principales sitios de Las Vegas durante varios días y cuya reparación probablemente costará millones de dólares. En cuanto a sus predicciones para 2024, se dividen en las siguientes seis categorías. IA y aprendizaje automático La compañía prevé un aumento de los ciberataques dirigidos por IA, ya que habrá más delincuentes que adoptarán esta tecnología para acelerar y ampliar las funcionalidades de sus herramientas, ya para un desarrollo rápido más rentable de nuevas variantes de malware y ransomware o para utilizar tecnologías deepfake, con el fin de llevar el phishing y los ataques de suplantación de identidad al siguiente nivel. No obstante, remarca que la IA también se puede aprovechar para mejorar la seguridad. De hecho, apunta que ya se han realizado importantes inversiones en IA para la ciberseguridad y adelanta que esta tendencia continuará en 2024. Podría interesarle: Ciberseguridad: El nuevo reto gerencial Por otra parte, pone el acento en el impacto de la regulación en torno a la IA, ya que tanto en Europa como en Estados Unidos se han dado pasos importantes en esta dirección.” A medida que se desarrollen estos planes, se producirán cambios en la forma en que se utilizan estas tecnologías, tanto para actividades ofensivas como defensivas”, afirma Check Point. Ataques a la cadena de suministro e infraestructuras críticas Se espera un aumento de los ciberataques contra infraestructuras críticas, en particular aquellos en los que están implicados estados-nación. Check Point augura que esto provocará un cambio hacia modelos de zero trust o confianza cero, que exigirán la verificación de cualquier persona que intente conectarse a un sistema, independientemente de si está dentro o fuera de la red. Además, señala que será esencial que las empresas se adelanten a los nuevos marcos legales, ya que los gobiernos van a introducir normativas de ciberseguridad más estrictas para proteger la información personal. Asimismo, advierte que la alta tasa de incidentes que afectan a la cadena de suministro y sus graves repercusiones para las empresas siguen siendo un reto. Considera que seguirá siendo una tendencia el próximo año si no se llevan a cabo evaluaciones más estrictas de los proveedores externos. También insiste en la importancia de reforzar los protocolos de seguridad en la cadena de suministro. “A medida que los ciberdelincuentes atacan a los proveedores más pequeños para acceder a empresas más grandes, deben aplicarse evaluaciones más estrictas y protocolos de seguridad para evitar nuevos ataques”, detalla. Ataques del estado-nación y hacktivismo Check Point asegura que la ciberguerra se intensificará. “El conflicto ruso-ucraniano fue un hito importante en el caso de la guerra cibernética llevada a cabo por grupos de estados-nación. La inestabilidad geopolítica continuará el próximo año y las actividades hacktivistas representarán una mayor proporción de las amenazas, en concreto los ataques DDoS, con el objetivo clave de perturbar y molestar”, advierte. Por otro lado, subraya estos ataques pueden enmascarar objetivos ocultos. “Aunque muchos grupos hacktivistas utilizan un posicionamiento político como razón para lanzar ataques, pueden estar escondiendo otros motivos. Es posible que se desdibujen las fronteras entre el hacktivismo y acciones con fines comerciales, y que los ciberdelincuentes elijan el ransomware como fuente de ingresos para financiar otras actividades”, puntualiza. Deepfake como arma La compañía de ciberseguridad anota que la tecnología deepfake está avanzando y ya se utiliza a menudo como arma para crear contenidos que influyan en las opiniones, alteren los precios de las acciones, etc. Además, reseña que estas herramientas son fácilmente accesibles en internet. Y adelanta que los ciberdelincuentes van a seguir utilizando ataques de ingeniería social con deepfakes para obtener permisos y acceder a datos confidenciales. Seguridad amenazada por el phishing Check Point afirma que ahora es mucho más fácil para los ciberdelincuentes conectarse a nuestros sistemas que entrar por la fuerza, ya que llevamos años construyendo capas de seguridad para detectar y prevenir intentos de intrusión contra exploits de software. Lea también: 6 tecnologías que representan un mayor riesgo en ciberseguridad Así pues, pronostica que el próximo año se producirán más ataques originados por el robo de credenciales y no tanto por la explotación de vulnerabilidades. También cree que veremos tácticas de phishing mejoradas con IA, que serán más personalizadas y eficaces, dificultando aún más su identificación por parte de los usuarios y provocando un aumento de las infracciones relacionadas con el phishing. Ransomware La empresa de seguridad cree que el ransomware seguirá teniendo un gran protagonismo, mostrando nuevas variantes. Por ejemplo, espera que aumente la adopción de técnicas ‘living off the land’, que aprovechan las herramientas legítimas del sistema para ejecutar los ataques. Reseña que “este enfoque más sutil, más difícil de detectar y frustrar”. Indica que para prevenir este tipo de ataques se necesitan estrategias sofisticadas de prevención de amenazas y reforzar la seguridad, incluida la Detección y Respuesta Gestionadas
Ciberseguridad: El nuevo reto gerencial
Desde el ciberataque a los sistemas de IFX Networks, uno de los proveedores de servicios informáticos más importantes del país y la región, el tema de ciberseguridad se ha convertido en una de las preocupaciones más recurrentes de los gerentes y juntas directivas de todo tipo de empresas y organizaciones en Colombia. El ataque que sorprendió al país hace un mes afectó a entidades como la Superintendencia de Salud, de Industria y Comercio, al Consejo Superior de la Judicatura, al MinSalud y a la Cruz Roja Colombiana, entre otros. Los riesgos que se enfrentan no son menores. Países como Rusia y Corea del Norte permiten y fomentan la formación de hackers que se especializan en el famoso ransomware, o secuestro de información con busca de una retribución económica. El ataque empieza con una falla en alguno de los sistemas de la empresa y luego una notificación de que el virus ya se encuentra ubicado dentro de la infraestructura tecnológica de la compañía. Lea también: 6 tecnologías que representan un mayor riesgo en ciberseguridad Y ahí se comunica que a menos que se haga un pago, que puede ir de los cientos de miles a los millones de dólares, la empresa o institución no podrá recuperar la información que ha sido bloqueada por los atacantes. En el caso particular de Corea del Norte, una dictadura militar con pocas fuentes de ingresos externos, el sector se ha convertido en un crimen sistemático de estado. Un estudio de las Naciones Unidas de este año estima que los robos de criptomonedas por parte de actores provenientes de este país superan los US$ 3.800 millones. Esto supone una imposibilidad de perseguir o capturar a estos actores ya que tienen el permiso y protección de esos países para operar desde allí libremente. El reto de ciberseguridad para gerentes y altos directivos de las organizaciones El reto para gerentes y juntas directivas está en identificar y clasificar este riesgo como una realidad latente y construir una planeación de protección de la data interna y externa y la llamada redundancia en los sistemas que permita que las operaciones principales de la empresa no sean impactadas por los ataques. De lo contrario se ven en la penosa obligación de negociar con los terroristas electrónicos porque las perdidas de la empresa pueden ser onerosas o en el caso de gobiernos también se pueden terminar afectando sistemas de salud o servicios públicos esenciales. En este caso los posibles efectos se pueden medir en vidas humanas. El robustecimiento de los procesos, equipos y presupuestos de tecnología en las empresas ya no solo se convierten en esenciales desde el punto de vista estratégico de la competitividad de las empresas sino más aún se convierten en elementos cruciales de su supervivencia. FUENTE: Plata Sarabia, Ricardo. »CIBERSEGURIDAD: EL NUEVO RETO GERENCIAL» Elheraldo.co. 21/10/2023. (https://www.elheraldo.co/columnas-de-opinion/ricardo-plata-sarabia/ciberseguridad-el-nuevo-reto-gerencial-columna-de-ricardo).
LA AEPD impone la primera sanción por la utilización de patrones oscuros en el diseño de la interfaz de usuario de una página web para configurar las opciones de privacidad
La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 5.000 euros a una empresa por la utilización de patrones oscuros (dark patterns) de sobrecarga (overloading) y de ocultación (skipping), para la gestión de la política de privacidad de una página web de la que es titular. Es decir, estos patrones se refieren a aquellos interfaces o implementaciones de experiencia de usuario destinadas a influenciar en el comportamiento y en las decisiones de las personas en su interacción con webs, apps y redes sociales, de forma que dichas personas tomen decisiones potencialmente perjudiciales para la protección de sus datos personales. En concreto, se considera acreditado que estos patrones oscuros de sobrecarga (overloading) y de ocultación (skipping), se observan cuando se accede al apartado “Lista de proveedores” de la sección “Política de privacidad” de la página web de la que es titular la sancionada. Una vez allí, el interesado se encuentra con una lista de unas 130 empresas (proveedores), de las cuales, más de la mitad tienen marcada por defecto la casilla de “aceptar tratamiento de datos por Interés legítimo”, lo que obliga, en el caso de querer mostrar la oposición al tratamiento a marcar una a una a lo largo de toda la lista, sin que exista la opción de poder oponerse indicándolo una sola vez o un número de veces que resulte razonable y no genere fatiga en el afectado. Los artículos infringidos, según la AEPD La Agencia considera que esta conducta constituye una infracción del artículo 5.1.a) del RGPD (LA LEY 6637/2016), tipificada en el artículo 83.5.a) del mismo Reglamento, y calificada como “muy grave” a efectos de prescripción en el artículo 72.1.a) de la LOPDGDD (LA LEY 19303/2018). Por ello, en virtud de las circunstancias concurrentes en el presente caso, en particular, en calidad de agravantes (artículo 76.2 de la LOPDGDD (LA LEY 19303/2018), la vinculación de la actividad del infractor con la realización de tratamientos de datos personales, y que en la actividad que se desarrolla se ven implicados los datos personales de los clientes de ésta, se considera procedente imponer una multa de 5.000 euros (cinco mil euros). Podría interesarle: Spam telefónico: Protección de Datos (España) ya permite grabar las llamadas comerciales para denunciarlas Además, se ordena a la empresa titular de la página web en cuestión, que en el plazo de un mes contado desde la notificación de la sanción, adopte las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales y, en concreto a lo estipulado en el artículo 5.1.a) del RGPD (LA LEY 6637/2016). Concepto y clases de los patrones oscuros, para explicar el por qué de la multa de la AEPD Tal como explica la Agencia en la resolución del expediente N.º: EXP202211953 (PS/00080/2023), el término “patrones oscuros” hace referencia a los interfaces o implementaciones de experiencia de usuario destinadas a influenciar en el comportamiento y en las decisiones de las personas en su interacción con webs, apps y redes sociales, de forma que tomen decisiones potencialmente perjudiciales para la protección de sus datos personales. En este sentido, en mayo de 2022 el Comité Europeo de Protección de Datos (EDPB) adoptó unas ‘Directrices sobre patrones oscuros (dark patterns) en interfaces de redes sociales, Cómo reconocerlos y evitarlos”. Estas directrices, al igual que los apartados VI y VIII de la “Guía de protección de datos por defecto” de la AEPD, toman como punto de partida el artículo 5.1.a del RGPD para evaluar cuando un patrón de diseño en una interfaz de usuario corresponde con un patrón oscuro. Dicho artículo recoge, entre los «Principios relativos al tratamiento», que los datos personales serán tratados de manera lícita, leal y transparente en relación con el interesado «licitud, lealtad y transparencia». Y, en aplicación de ese principio de lealtad, “los responsables del tratamiento han de garantizar que no se emplean patrones oscuros, al menos, con relación a las decisiones respecto del tratamiento de sus datos personales”. Los dark patterns pueden presentarse al usuario en operaciones de tratamiento de diversa índole, como durante el proceso de registro o alta en una red social, al iniciar sesión o también en otros escenarios como en la configuración de las opciones de privacidad, en los banners de cookies, durante el proceso de ejercicio de derechos, en el contenido de una comunicación informando sobre una brecha de datos personales o incluso al intentar darse de baja de la plataforma. De acuerdo con las Directrices del EDPB, los dark patterns pueden clasificarse en las siguientes categorías: – Sobrecarga (overloading): consiste en presentar demasiadas posibilidades a la persona que tiene que tomar las decisiones, lo que termina generando fatiga sobre el usuario, que acaba compartiendo más información personal de la deseada. Las técnicas más habituales para producir esa fatiga por sobrecarga son mostrar preguntas de forma reiterada, crear laberintos de privacidad y mostrar demasiadas opciones. – Ocultación (skipping): consiste en diseñar la interfaz o experiencia de usuario de tal manera que el usuario no piense en algunos aspectos relacionados con la protección de sus datos, o que lo olvide. – Emoción (stirring): se apela a las emociones de los usuarios o se utilizan empujones visuales en forma de efectos para influenciar en las decisiones. – Obstaculización (hindering): trata de poner trabas para que el usuario no pueda realizar de forma sencilla ciertas acciones. Esto se realiza a través de técnicas como poner los ajustes de privacidad en zonas a las que no se puede acceder, que sea muy complicado llegar hasta ellas o proporcionando información engañosa sobre los efectos de algunas acciones. – Inconsistencia (fickle): la interfaz presenta un diseño inestable e inconsistente que no permite realizar las acciones deseadas por el usuario. – Enturbiación (left in the dark): la información o las opciones de configuración de la privacidad se esconden o se presentan de forma poco clara utilizando un lenguaje errático, información contradictoria o ambigua. Una práctica común De acuerdo a una nota remitida por el servicio de defensa de usuarios «Membrana de datos» de “Somos Conexión”, una
La protección de datos, la excusa perfecta para que el político de turno no te facilite una información que es pública (no siempre publicada ni accesible)
El 28 de septiembre se celebró el Día Internacional del Acceso a la Información. Es una fecha que empezaron a conmemorar un pequeño grupo de activistas de la sociedad civil de todo el mundo en Sofía (Bulgaria) ese mismo día, pero de hace 21 años, en 2002. El cambio ha sido brutal porque ahora la Naciones Unidas y la UNESCO, organismos internacionales oficiales, también lo celebran en todo el mundo. Desde que se puso en marcha esta jornada los tribunales internacionales de derechos humanos y las organizaciones intergubernamentales, así como los tratados de la Unión Europea y muchas constituciones nacionales, han reconocido un derecho fundamental de acceso a la información, según un comunicado de la organización Access Info, dedicada a mejorar la calidad democrática de las instituciones. Su directora, Helen Darbishire, una de las personas que ideó el Día del Derecho a Saber, reconoce que sigue habiendo desafíos y recomienda que los ejecutivos de toda Europa tomen buena nota de estas prioridades para garantizar que este derecho se cumpla de manera correcta: Leyes de acceso a la información más sólidas Europa tiene países con una larga tradición de transparencia, en particular los países nórdicos, liderados por Suecia con su ley de 1766 (no es un error, la norma es del siglo XVIII bajo el reinado de Gustavo III de Suecia) en contraste con leyes mucho más jóvenes: Luxemburgo en 2018 y Andorra en 2021. Sobre el papel, las leyes van desde las más fuertes, por ejemplo, Serbia, con 135 puntos sobre 150 en la clasificación global de RTI*, hasta leyes increíblemente débiles, en particular Austria, con solo 33 puntos. Es necesario combinar la reforma legislativa –al menos para adecuarlas a las normas mínimas del Convenio de Tromsø del Consejo de Europa– con el fortalecimiento de una cultura de transparencia y una mejor aplicación en la práctica. Equilibrio entre la privacidad y la protección de datos Existe un problema en la UE y en toda Europa, en el que la protección de datos se ha convertido en una excusa importante para no proporcionar información, incluso cuando se trata de funcionarios públicos de relativamente alto nivel que desempeñan funciones públicas con fondos públicos. Como resultado, a menudo es difícil obtener una transparencia total en la toma de decisiones, lo que limita la rendición de cuentas. Esto tiene que cambiar, a través de una reforma legal cuando sea necesario, pero más a través de garantizar un mejor equilibrio entre el derecho a la información y el derecho a la protección de datos. Datos abiertos para combatir la corrupción y proteger el medio ambiente Los estudios de datos abiertos muestran que se dispone de muy pocos datos relacionados con los desafíos apremiantes relacionados con la corrupción y el medio ambiente. Los datos sobre el gasto público, las adquisiciones, así como los grupos de presión (lobbies) y la propiedad de las empresas deben recopilarse y abrirse. Lea también: Spam telefónico: Protección de Datos (España) ya permite grabar las llamadas comerciales para denunciarlas Mientras tanto, los gobiernos no recopilan o no publican información ambiental clave, como las vulnerabilidades de un país al cambio climático. Dichos datos deben priorizarse para su apertura a través de una publicación proactiva. Transparencia para una tecnología fiable Dado el rápido aumento del uso de algoritmos e inteligencia artificial por parte de los organismos públicos para la toma de decisiones, existe una necesidad urgente de garantizar la transparencia de los datos de entrada y salida (debidamente anonimizados cuando proceda) y que existan evaluaciones de los impactos y sesgos (como los sesgos de género o raza) que también se hagan públicas. En el lado positivo, Access Info señala la importancia de la transparencia en las democracias modernas y el crecimiento de una comunidad global de actores como la Alianza para el Gobierno Abierto, que reúne a 75 gobiernos, autoridades locales y organizaciones de la sociedad civil que trabajan para promover la transparencia y la rendición de cuentas. Darbishire argumenta que “¡ya es hora de que veamos el pleno respeto de este derecho! Deben publicarse muchos más datos de forma proactiva y las solicitudes deben responderse de forma rápida y completa, con solo limitaciones mínimas y realmente necesarias en el acceso. Adoptar estas prioridades es la mejor manera en que los gobiernos pueden celebrar el Día Internacional del Acceso a la Información. Por su parte, la directora adjunta, Rachel Hanna, sostiene que “si bien hemos visto un crecimiento en la adopción de garantías legales de acceso a la información en todo el mundo, es necesario implementar y hacer cumplir adecuadamente en la práctica si queremos cumplir con el ODS 16.10 antes de la fecha límite de 2030”. FUENTE: Mill Jr. J.S. »La protección de datos, la excusa perfecta para que el político de turno no te facilite una información que es pública (no siempre publicada ni accesible)» Sueldospublicos.estrelladigital.es. 19/10/2023. (https://sueldospublicos.estrelladigital.es/texto-diario/mostrar/4482074/proteccion-datos-excusa-perfecta-politico-turno-no-facilite-informacion-publica-no-siempre-publicada-ni-accesible).
6 tecnologías que representan un mayor riesgo en ciberseguridad
El 62% de las empresas latinoamericanas reconoce haber sufrido filtración de datos y un 91% ha tenido incidentes de ciberseguridad; un 37% de las firmas señalaron que las filtraciones sumaron un gasto de menos de 1.5 millones de dólares. Con el fin de resaltar la importancia que tiene considerar la ciberseguridad en todos los aspectos de la vida, tanto a nivel corporativo como personal, durante octubre se conmemora el Mes de la Ciberseguridad. Al respecto, el estudio Global Cybersecurity Leadership Insights Study de EY muestra los resultados de más de 500 líderes en seguridad informática de diversos países y de diferentes industrias, incluyendo 250 Chief Information Security Officers (CISO). Uno de los datos más interesantes del estudio es que en el último año, el 52% de las compañías han experimentado entre 1 y 9 casos de filtraciones y un 10% entre 10 y 24 casos. Por otro lado, los incidentes alcanzan una frecuencia entre 25 y 49 casos en un 42% de las empresas. Mientras que, a nivel de costos, durante 2022 un 37% de las empresas señaló que las filtraciones sumaron un gasto de menos de 1.5 millones de dólares (mdd) y un 35% comentó que este valor rondó entre 1.5 y 3 mdd. En tanto, para 2023 el 35% de los encuestados espera destinar entre 1.5 y 3 mdd, y un 27% proyecta un desembolso de entre 3.1 y 6 mdd. “Las empresas en Latinoamérica pueden fortalecer su ciberseguridad con un pensamiento holístico, priorizando la automatización y simplificación de sistemas, evaluando a sus proveedores y cadena de suministro, buscando aliados expertos en seguridad cibernética, con foco en la integración de medidas de ciberseguridad en toda la organización”, resaltó Pedro Parra, socio de Ciberseguridad en EY Latinoamérica. Otros datos relevantes del estudio en ciberseguridad Con respecto al Tiempo Medio de Detección (MTTD) de los incidentes, el 43% de las empresas en Latam se encuentra en los 6 meses, por debajo del 57% a nivel global. En este sentido, el Tiempo Medio de Respuesta (MTTR) ante la ocurrencia de estos incidentes es de 4 a 6 meses en un 34% de las compañías, y un 10% de ellas se demora más de 6; a nivel global estas cifras llegan a 28 y 16%, respectivamente. Lea también: Los gigantes de Internet aseguran que han resistido el mayor ataque DDoS de la historia Otro aspecto destacado es que un 55% de las empresas señaló que se encuentra satisfecho con el enfoque de su empresa respecto a la integración de la ciberseguridad en las decisiones de la Alta Dirección, mientras que un 57% de los ejecutivos opinó que la orientación actual de su organización en seguridad informática afecta positivamente en cómo perciben la marca sus principales stakeholders. En materia de tecnologías que plantean mayores riesgos, el ranking en Latinoamérica y a nivel Global lo lideran: Nube a escala; Internet de las cosas (IoT); Inteligencia Artificial (IA); Machine Learning; Computación cuántica; Metaverso. Y al cuestionar a las empresas en Latam sobre qué tanto les preocupan 7 riesgos relacionados con la ciberseguridad para su organización: Riesgos de la infraestructura tecnológica; Riesgos financieros; Riesgos de reputación; Riesgos de protección de la propiedad intelectual; Riesgos de la cadena de suministros; Riesgos para los empleados. La inversión en ciberseguridad, otro de los por qué en las elevadas cifras de poblemas en ciberseguridad de las empresas Sobre el presupuesto destinado a ciberseguridad, el 50% de las empresas de Latam que participaron en el estudio declaró una inversión total de entre 10 y 49 mdd, mientras que a nivel global, un 45% declaró que invertirá más de 50 mdd. “Dado que el gasto anual en ciberseguridad alcanza los 35 millones de dólares y se estima que un ataque de ciberseguridad cuesta en promedio 4 mdd, las organizaciones deben prepararse debidamente para estos posibles riesgos”, indicó Roberto Aguilera, socio líder de Consultoría en Ciberseguridad para EY México. FUENTE: 7. Riesgos físicos
