Cultura de seguridad de la información. Una lectura entre lo análogo y lo digital

Introducción

La evolución acelerada del mundo, nos indica que cada vez más el cambio se inserta en nuestras vidas, como algo natural y cotidiano, diferente a lo que ocurría diez años atrás. Las plataformas informáticas, las demandas de servicios de información y los nuevos productos expuestos sobre la densidad digital (KÁGANER, ZAMORA y SIEBER 2013), esa que está articulada en el flujo de información permanente entre las personas, nos advierten que cualquier momento es bueno para generar una nueva disrupción en el contexto social y tecnológico que vivimos.

 

Esto nos implica tener una mente que observe el mundo y sus movilidades actuales de manera asertiva y exploradora, para reconocer allí, una nueva forma de crear el futuro, una nueva forma para hacer que la densidad digital cambie y la sensación de la realidad sea renovada. Ver con los ojos de la holística y crear con la agilidad de la mente, dos condiciones básicas para motivar nuevos comportamientos que liberen las “almas” de los procesos corporativos y quiebren los silos donde siempre han habitado.

 

Alterar la realidad circundante con propuestas novedosas, no necesariamente depende de la tecnología o herramientas especiales, es cambiar la mentalidad de lo análogo, para migrarse al mundo digital, donde nuestro comportamiento modela parte del mismo entorno y somos capaces de influir en él. Movilizar nuestro talento en el contexto digital, significa ver en la nube de información disponible, como encontrar sentido a nuestras pasiones y quebrar los límites de nuestras respuestas.

 

La mentalidad digital se define a sí misma como una motivadora de oportunidades, donde nada es inherentemente brillante o inexperto, donde las posibilidades se imponen sobre las probabilidades, donde la ingeniería, el producto y el mercadeo superan su vista de islas, para crear una experiencia diferente en el usuario final, en la mente del cliente, donde yacen las ideas disruptivas que superan el tradicional “no se puede”, por el inesperado “vamos a intentarlo”.

 

En consecuencia, contextualizar una nueva cultura de seguridad de la información, demanda superar la condición análoga en la cual fue diseñada, para superar las fronteras de lo que entendemos de cómo proteger la información, para crear una nueva distinción de comportamientos y de control sobre la información, que se adapte a la realidad digital del entorno, que contrario a lo que podemos juzgar hoy, supera nuestro entendimiento y modelos actuales de seguridad y protección.

 

En este sentido, este documento plantea una reflexión inicial para confrontar las estrategias actuales para crear, desarrollar y mantener una cultura de protección de la información, que construidas sobre una comprensión de la seguridad de la información en un mundo físico y análogo, requiere una renovación y revisión ahora un mundo virtual y digital, donde la información fluye como parte fundamental de su esencia y el control de la misma migra según la condición que ella adquiere en un momento del tiempo, es decir, no es algo que permanece inalterado, sino que se adapta según el contexto donde se encuentre, revise, interprete y utilice.

 

La realidad digital que nos supera

De acuerdo con HAMEL (cap.4.5) estamos pasando de una sociedad agraria y artesanal, donde estábamos sometidos a un régimen, basado en reglas, reverencia al superior y disciplina institucional, a un modelo de sociedad basado en discontinuidades permanentes de los mercados, irreverencia ante la autoridad e indisciplina empresarial, entendida esta, como la forma de cuestionar el modelo de negocio vigente establecido por la gerencia.

 

En consecuencia, las empresas se exponen, de acuerdo con el investigador, a tres fuerzas fundamentales que, como en la edad media, acelerarán la metamorfosis de la sociedad para crear un nuevo entorno digital, que romperá los esquemas de gestión corporativa que estamos acostumbrados a ver. Las fuerzas mencionadas son: demanda de la innovación sobre la eficiencia, las herramientas colaborativas en internet y la generación digital, nativa en la red. (idem, pág.205)

 

Innovar se ha convertido hoy, más que en una habilidad personal, en una capacidad requerida por las organizaciones para sobrevivir al entorno de competencia desmedida, donde sólo aquellos que de manera constante logran crear nuevos patrones y nuevos “normales” pueden mantener una experiencia renovada del usuario, captar su atención y consolidar una métrica asimétrica y novedosa de “fidelidad”, basada en concepto que contradice la teoría: variedad, infidelidad y espacio para decidir.

 

Contar con una plataforma digital, como lo afirma McQUIVEY (pág.46), crea un entorno donde fluyen las ideas, donde los clientes manifiestan sus deseos, una estructura que destruye cualquier barrera de entrada y formula una estrategia permanente de realimentación que permite evolucionar y mantener la novedad y cambio de experiencia en los clientes, casi que pudiésemos decir, en tiempo real.  Esto supone, responder de manera oportuna a los usuarios, sabiendo que no siempre todas las iniciativas van a ser las más acertadas.

 

Todos los recursos informáticos y de interacción digital disponibles, son consumidos de manera natural por los nativos de la red, aquellos que han nacido en el contexto de un mundo interconectado. El poder participar y crear el entorno donde se mueven, los hace una raza particular que  desarrolla su actuar en el mundo digital siguiendo pautas que los definen a sí mismos, como la red misma: (HAMEL 2012, pág.210)

·         Nadie puede matar una buena idea

 

      ·         Todo el mundo puede ayudar

·         Cualquiera puede liderar

·         Nadie puede dictaminar

·         Usted elige la causa

·         La excelencia usualmente se gana (la mediocridad, no)

·         Las grandes contribuciones se reconocen y se celebran

·         Los recursos se atraen, no se asignan.

·         El poder viene de compartir, no de acaparar

 

Así las cosas, la realidad digital nos pone de manifiesto una contradicción, que desafía lo que conocemos, reta nuestro entendimiento y promueve la indisciplina conceptual, para crear según su inestabilidad propia e inesperada, la forma de comprender la densidad digital de las interacciones, más allá de los productos y servicios que en ella se conciben.

 

Cultura digital, mentes creativas en grandes datos

Comenta ACKOFF y GREENBERG, que la enseñanza tradicional, ha desviado el camino de la formación de las personas, comprometiendo la capacidad requerida por los seres humanos como lo es aprender y desaprender, movilizarse en medio de la incertidumbre y desarrollar su talento creativo para superar sus propias autorestricciones:

·         La educación tradicional se concentra en la enseñanza y no en el aprendizaje.

·         El objetivo de la educación tradicional es el aprendizaje y no la enseñanza.

·         La inteligencia es la habilidad para aprender, no es una medida de cuánto has aprendido.

 

La vida en el contexto digital abre la posibilidad para que las personas se concentren en el aprendizaje, esa forma de experimentar y encontrar respuestas a sus preguntas, sin seguir un libreto o indicación particular, sino indagando según su instinto y orientación, teniendo como referente esa genuina necesidad de conocer, que no se limita a una declaración de una autoridad, sino a la búsqueda de encontrarse con lecturas inesperadas de una experiencia particular que muchas veces lo supera y lo reta para conquistarse a sí mismo.

En la medida que más se expone el individuo a la realidad digital, mayor es su capacidad de ver la totalidad, de percibir los grandes volúmenes de datos para descubrir patrones y tendencias ocultas, que suponen una búsqueda permanente de aprendizaje y desaprendizaje, que muchas veces ocurren de manera simultánea, llevando a las organizaciones a cambiar de rumbo, creando esa extraña y necesaria capacidad de ser flexibles, que de manera indefectible compromete el limitado capital intelectual de los ejecutivos actuales.

 

Relacionarse con la realidad de los grandes datos exige desarrollar tres disciplinas fundamentales: (SOARES 2013, pág.30) gerencia de la calidad de los datos, gerencia del ciclo de vida de la información y prácticas de seguridad y privacidad de la información.
 

La calidad de los datos se refiere a los comportamientos y métodos para medir, mejorar y certificar la calidad e integridad de la producción, pruebas y archivo de los datos. Si bien, esta definición establecida por SOARES, demuestra la formalidad de la temática, en el contexto de la red, muchas veces no es la más acertada, pues demanda un ejercicio permanente y concreto de las personas, que deben tener una motivación particular para que dicha práctica se adquiera y se potencialice en el escenario de un aprendizaje dirigido que no restrinja la novedad, pero que igualmente no comprometa la veracidad de los datos.

 

De otra parte, contar con un proceso conocido y sistemático para recolectar, usar, retener y disponer de la información, es una práctica que permite tanto a personas como organizaciones, mantener una vista concreta sobre la información real y disponible para facilitar el pensamiento creativo sobre la realidad digital. Si bien, se puede practicar este ciclo de vida de manera intuitiva, estamos lejos de contar con una disciplina de estas condiciones, toda vez que sufrimos de sobrecarga de información y frecuentemente reciclamos parte de ella, para reconstruir y formular escenarios que conjuguen lo conocido con lo desconocido. No debe ser un impedimento para crear, sino un habilitador que cuide los resultados y disrupciones que se pueden crear.

La información está constantemente expuesta al credo del mundo análogo del control, que está atado al miedo, la incertidumbre y las dudas, como grandes movilizadores de medidas para limitar los posibles estados de riesgo que afecten la estabilidad de un activo. Esta vista, necesariamente condicionada al mundo físico, se soporta en conceptos de protección contra eventos de falla o mal funcionamiento, que pueden producir incidentes intencionales o no. En este sentido, la seguridad y el control reside en estrategias que buscan bien evitar, disuadir o prevenir, las cuales en todas ellas, se advierte que no admite negociación para los ejecutivos, toda vez que es una distinción que sólo advierte vulnerabilidades o amenazas.
 

Habida cuenta de lo anterior, la cultura digital, cree firmemente que la información no es un activo, sino el insumo fundamental para construir, crear y repensar lo que ocurre en su entorno, toda vez que cada integrante hace parte natural del mismo. De igual forma, define su práctica de recolección, uso, retención y disposición de información según su pérdida de valor, su pérdida de relevancia, la cual ocurre con velocidad insospechada, como quiera que la realidad digital cambia y se renueva en cada momento y crea entornos, que dejan de lado la historia de lo ocurrido, comprometiendo muchas veces las memorias de nuestros propios pasos.

La cultura digital con su particular manera de tratar la información, no traduce las prácticas previas de forma novedosa, sino que encuentra nuevas forma de hacer las cosas, lo que significa necesariamente que se crea una nueva escala de necesidades, que buscan anticipar en su entorno, una nueva posibilidad basada en adaptaciones simultáneas que conectan puntos antes no vistos, que crean capacidades distintivas para las personas y las organizaciones. Es decir, se actualiza de manera reiterada la experiencia y conversaciones del cliente renovando y conquistando su percepción de valor, anclado no a la realidad física, sino a la conexión existente en su interior.

 

Cultura de seguridad y control en el contexto digital

La realidad digital busca establecer una conexión interior con sus ciudadanos, una relación personalísima privilegiada por un vínculo real y concreto que procura sorprender en cada momento las expectativas de sus nativos. En este sentido, si queremos repensar la cultura de seguridad y control en una cultura digital, debemos recurrir a conceptos transcendentes que nos permitan articular la experiencia y conexión de las personas, en el respeto de las condiciones propias de su realidad, para repensar el activo información, como insumo fundamental para crear una nueva distinción más allá de “no se puede hacer” y pensar al margen de nuestras propias creencias y considerar realidades superiores que maticen nuestro entendimiento del momento actual.

 

Para ello, la intención, la atención y la actitud (SHAPIRO, CARLSON, ASTIN y FREEDMAN 2006) son tres variables fundamentales para descifrar parte de la conexión, entre lo que los nativos digitales creen, hacen y ven. La intención hace referencia al propósito que se tiene, la motivación que engancha a la persona. Esta intención evoluciona y es afectada por el entorno, por tanto, es de vital importancia mantener la vista en aquello que define el actuar del individuo en este contexto digital.

 

De otro lado, la atención, es el estado permanente de presencia, de estar atento al presente, a lo que ocurre en el momento actual, liberándose de cualquier distracción pasada que interrumpa esa relación vigente entre el segundo que pasa y el que viene, esa curiosidad permanente de explorar, sin ser juzgado y mantener la mente de un principiante con la posibilidad y derecho de equivocarse, para experimentar, aprender y crecer.

 

La actitud, es una actuación en un sentido particular, que se manifiesta en buenos y malos hábitos, los cuales potencian la atención y la intención frente a una situación particular. Es un componente que centrado en la persona que demanda esfuerzo, energía y disciplina para ir en profundidad en el sentido interno de la conciencia, que solo es viable alcanzarlo en una experiencia personal frente a la realidad y no por interpuesta persona que ha vivido la misma.

 

Así las cosas, reinventar la cultura de seguridad y control en un mundo digital, requiere hacer una lectura cruzada de la realidad digital y los conceptos trascendentes previamente explicados así:

	Vista Análoga	Vista digital
Información	Activo (se protege)	Insumo (se consigue)
Intención frente a la información	Registrar/Informar	Influir/construir
Atención frente a la información	Evidenciar hechos pasados	Advertir y relacionarse con el momento presente
Actitud frente a la información	Respeto por la autoridad	Valor de la información

Tabla No.1 Realidad análoga y digital frente a la información

 

En este escenario, podemos notar que la seguridad de la información actual entra en conflicto abierto con la sociedad digital, no por el valor de la información en sí mismo, sino por las estructuras propias de las organizaciones actuales, que se enfrentan a un concepto digital que las confronta y las supera. Querer controlar la información como base de modelo de control y gestión organizacional es explorar el dilema de control que tienen actualmente las empresas, que queriendo asegurar un resultado, reducen el margen de acción de sus empleados, pensando que así reduce la incertidumbre y los riesgos.

 

El mundo digital exige margen de movimiento y libertad para experimentar, no siempre de manera controlada, pues cualquier reacción o consecuencia, en su lectura natural, se concibe como aprendizaje o desaprendizaje, lo cual supone que la organización está dispuesta a construir con la incertidumbre y lograr acciones que aún no conoce. En este sentido, la seguridad y control de la información, se debe reorientar hacia el valor de la información para tener una experiencia superior en el presente que me permita influir y construir mi propio entorno.

 

Aprender a valorar la información, es desarrollar un alto sentido de la responsabilidad frente a su ciclo de vida, es construir en cada momento la estrategia de confiabilidad requerida, que no será permanente, sino que desaparecerá cuando termine su momento. Es decir, quebrar la frontera de las medidas estrictas e infranqueables, por condiciones flexibles que cuiden del valor de la información y luego potencien su compartir, cuidando la disciplina de la privacidad y seguridad en el momento, lugar y contexto que se exija.

 

Valorar la información es asumir el reto de cuidar los impactos de actitudes inadecuadas frente la información, que comprometan no solamente la capacidad para innovar, sino que impliquen la dignidad de otra persona, esto es, traspasen la línea entre lo corporativo y lo personal. Por tanto, es menester cultivar el cuidado de la información como práctica, para que, parafraseando a HAMEL (pág.285), “busque metas nobles y socialmente significativas”.

 

Reflexiones finales

Una cultura de seguridad de la información en el contexto digital, implica entender y desarrollar una mentalidad digital: (KÁGANER, ZAMORA, y SIEBER 2013)

·         Aporte una visión… pero ceda poder a los demás.

·         Ceda el control … pero diseño opciones.

·         Mantenga … pero sea disruptivo.

·         Apóyese en los datos … pero confíe en su intuición.

·         Sea escéptico … pero abierto de mente.

 

Que es una mentalidad de contradicciones, que genera incomodidad en los modelos actuales de seguridad y control de la información en las empresas, que buscan certezas y estabilidades. Habida cuenta de lo anterior, la cultura de seguridad de la información en este contexto debe combinar lo mejor de su aprendizaje frente a los incidentes, e incorporar las lecciones aprendidas de lo ocurrido, para cuestionar el momento presente, ceder el control cuando corresponda y ser intuitivo frente a las amenazas y riesgos emergentes.

 

Por tanto, la construcción y desarrollo de una cultura de seguridad de la información en la realidad digital, pasa por la posibilidad de la innovación y el derecho a equivocarse, pero igualmente por el valor de la misma en un momento y contexto, el cual debe orientar la actuación de la persona donde privilegie el bien general sobre el particular. Es decir, una apertura que permita la convivencia del mundo análogo y digital para crear una distinción dinámica de protección, que no caiga en una vista estática sino en una homeóstasis dinámica que verifique el ambiente y se adapte para alcanzar su propósito.

 

Así las cosas, la intención, la atención y la actitud serán las condiciones básicas para efectuar una lectura renovada de la sociedad digital y la seguridad de la información, para volver a conectar los puntos que exhiben los nativos digitales y revelar las conexiones claves que hacen del valor de la información, el movilizador fundamental para proteger la información del momento presente y sus implicaciones futuras.

 

Referencias

McQUIVEY, J. (2013) Digital disruption. Unleashing the next wave of innovation. Forrester Research. Amazon Publishing.

HAMEL, G. (2012) Lo que importa ahora. Cómo triunfar en un mundo de cambios implacables, competencia feroz e innovación sin barreras. Ed. Norma.

ACKOFF, R. y GREENBERG, D. (2008) Turning learning right side up. Wharton School Publishing.

SOARES, S. (2012) Big data governance. An emerging imperative. MC Press Online.

AXELROD, C. W. (2013) Engineering safe and secure software systems. Artech house

SHAPIRO, S. L., CARLSON, L. E., ASTIN, J. A., & FREEDMAN, B. (2006). Mechanisms of mindfulness. Journal of Clinical Psychology, 62(3), 373-386

KÁGANER, E., ZAMORA, J. y SIEBER, S. (2013) Cinco habilidades del líder digital. IESE Insight. No.18. Tercer trimestre.

La inseguridad de la información en el contexto de la densidad digital

Introducción

De acuerdo con el CIO Executive Board (2013) en su documento acerca de los retos para los líderes de TI 2013-2017 en el nuevo entorno de trabajo, dominado por la computación en la nube, las redes sociales, la computación móvil y la información (HOWARD, PLUMMER, GENOVESE, MANN, WILLIS y SMITH 2012), manifiesta que la seguridad de la información deberá dedicarse más a la comunicación de los riesgos con sus socios de negocio y a generar una cultura de comportamientos seguros, es decir, acompañar a las áreas en la anticipación de los riesgos emergentes y a formular estrategias para sensibilizar e interiorizar la distinción de la información como activo estratégico de la empresa.

 

Así las cosas, este nuevo entorno nos reta a configurar una distinción de seguridad de la información, que asuma las contradicciones propias de esta realidad: conservar lo que tenemos, pero avanzar, combinar lo que tenemos con lo nuevo, entre otras, para renovar la esencia de la seguridad de la información corporativa, más allá de un discurso gastado de “miedo, incertidumbre y dudas”, por uno donde la protección no es algo impuesto, sino un comportamiento natural para avanzar en la eficiencia del mundo interconectado y sin límites.

 

Mentalidad y densidad digital

Para entender esta nueva realidad, los académicos KÁGANER, ZAMORA y SIEBER (2013), en su artículo denominado “Cinco habilidades del líder digital”, establecen elementos básicos de la mentalidad digital requerida en este tipo de entornos y el concepto de “densidad digital” como fundamentos para reconstruir la realidad actual, que como ellos mismos anotan: “(…) está modificando las fronteras de la competencia y las fuentes de valor para el cliente. (…)” y por tanto, la distinción misma de seguridad de la información, como factor clave en la ecuación de valor que las compañías actualmente tienen.

 

Según los autores la “densidad digital” se define como: “el número total de personas, cosas y procesos con conexión persistente a internet en una unidad de actividad social, como una organización, mercado, país o planeta. (…)”, es decir se crea un nivel de conceptualización basado en la realidad digital que enriquece el entendimiento y exigencia de las personas, así como la complejidad de las nuevas opciones que de ella surgen.

 

En este contexto la densidad digital aumenta la capacidad del ser humano para captar y medir las facetas de los individuos, cosas y procesos, es decir, se desarrolla una habilidad para reconocer y construir una visión aumentada de lo que somos, la cual es tan dinámica como las conexiones que se establecen de manera persistente. En consecuencia, las tecnologías emergentes relativas a servicios móviles, analítica de datos y experiencias emergentes basadas en interrelaciones colaborativas, ponen de manifiesto la línea visible entre el mundo físico y el mundo virtual.

 

La densidad digital habilita a sus actores para, como anotan los investigadores, “ejercer su autonomía, creatividad e iniciativa”. Esto es, los lanza para que desarrollen su capacidad para influir y determinar aspectos de la realidad que comparten, destruir sus limitaciones autoimpuestas para experimentar en un campo abierto y sin fronteras como es la red, y capitalizar iniciativas, ideas o reflexiones como forma natural de manifestar su impronta en un espacio de creación y colaboración conjunta, donde la noción de control no se sujeta a jerarquías, sino a aportes y disrupciones que hacen de su entorno un lugar único y lleno de oportunidades para los que participan.

 

Así las cosas, la densidad digital es un concepto, que se encuentra por encima de las estructuras tradicionales de análisis estratégicos, que nos habla de las personas, los procesos y la tecnología, para sumergirnos en una propiedad emergente y propia de los ecosistemas tecnológicos, que antes no era evidente y que ahora hace parte de los activos claves y críticos de las empresas que realmente quieren continuar avanzando más allá de los nuevos retos tecnológicos.

 

Esto supone un cambio de mentalidad, que de acuerdo con los autores, requiere una revisión profunda de nuestra forma de pensar y razonar, es decir, someternos al ejercicio de contradicción permanente, que incomoda y nos aleja de la lógica natural, para concebir una vía alterna de pensamiento fundada en esa realidad interconectada y digital que muchas veces nos desborda.

 

Una mentalidad digital es la respuesta de los académicos para este nuevo reto empresarial, una mentalidad dominada por las contradicciones de la siguiente forma: (idem)

• Aporte una visión… pero ceda poder a los demás.
• Ceda el control … pero diseño opciones.
• Mantenga … pero sea disruptivo.
• Apóyese en los datos … pero confíe en su intuición.
• Sea escéptico … pero abierto de mente.

 

Todas estas consideraciones de la mente digital nos dicen que las personas y su densidad digital propia, son capaces de servir de puente entre lo viejo y lo nuevo, son el eslabón para crear el futuro diferente e innovador, que considera las operaciones actuales y sus conceptos de rentabilidad, pero igualmente desarrolla y funda las bases de la nueva ecuación de valor de un modelo combinado de negocio.

 

Imaginar el futuro, es una apuesta que cada persona, en el contexto de su densidad digital elabora. Un ejercicio de ensayo y error, un escenario de pruebas controladas y no controladas, que combinan lo mejor de la analítica de los datos, con la intuición personal, para ser escéptico ante los inamovibles y con mente abierta para incorporar modelos poco ortodoxos, que generen incomodidad y rebeldía conceptual dentro de las “verdades” propias de los negocios actuales.

 

Así las cosas, la realidad digital actual y futura, es una invitación para cambiar el paradigma actual de las organizaciones, quienes poco a poco deberán fusionar sus viejas prácticas de conocimiento, estrategia, seguridad y control, para migrar a la realidad de la densidad digital donde ahora el referente real, está incorporado dentro de un colectivo con vida propia y propuestas emergentes, que van más allá de la creación de una cultura o submundo, para constituir una nueva capa de análisis empresarial, donde las iniciativas digitales, vulnerables por naturaleza, deben ser protegidas y capitalizadas, para crear el nuevo entorno de contradicción estratégica requerida para avanzar en el mundo de hoy

 

 

La inseguridad de la información renovada

Ahora bien, la inevitabilidad de la falla, como quiera que es una propiedad inherente a cualquier condición y elemento humano, social o tecnológico, no es ajeno a esta nueva realidad motivada por la densidad digital. (CANO 2013)

 

Una falla en el contexto de la densidad digital, podrá tener efectos inesperados, algunos positivos y otros negativos. Por un lado, las personas estarán expuestas a la erosión progresiva de su privacidad, un fenómeno que entre los nativos digitales pareciera normal, pero que en los “convertidos digitales – léase los nacidos luego de los 70’s”, es un derecho que debe ser salvaguardado y asegurado, como bien propio y personal, una expresión de custodia de información, que si bien procura compartir, también restringir lo que sea necesario.

 

La densidad digital supone un conocer y compartir información de manera permanente para generar nuevas experiencias que superen la realidad física y aumente el valor percibido por la persona. En este sentido, los datos son al mismo tiempo un activo valioso, que al ser sometido a la realidad de la analítica y los patrones, es capaz de descubrir e impulsar la transformación digital de una empresa, y una materia prima para cultivar las paradojas de la mentalidad digital que motive en los directivos y clientes el descubrimiento de productos nunca antes pensados.

 

Habida cuenta de lo anterior, la inseguridad de la información se renueva y se acentúa toda vez que ahora, ella no sólo habita en las relaciones propias de la tecnología, las personas y los procesos, sino en una capa intangible de valor empresarial, cuyas relaciones no son claramente conocidas ni estudiadas, las cuales pueden afectar la realidad empresarial de manera sensible, pues está de por medio la tradición del mundo físico y la nueva faceta de la organización en el mundo digital.

 

Esto es, los negocios fundados en el mundo físico, no van a cambiar en su esencia. Es decir, el taxi te llevará de un lugar a otro, deberás ir a la tienda para probarte un par de zapatos, entre otros, pero lo que hará la diferencia, estará en la capa digital emergente construida desde el colectivo al que perteneces o con el cual interactúas, el cual te dará una vista aumentada de las posibilidades que puedes tener y es allí, donde al enfrentar el mundo físico con el digital, habrá nuevas oportunidades para inseguridad de la información para ofrecernos una nueva lección sobre la sabiduría del error, que aún no podemos advertir con claridad.

 

Detalla ROWSELL-JONES (2013) que “las capacidades digitales surgen al combinar de manera innovadora (…)” el mundo físico y el digital: “(…) extraemos información de los recursos físicos y la integramos con los digitales (…)”. Esto supone, que habrá interacciones conocidas y otras agregadas, que poco a poco deslindan el mundo físico del digital, para que prevalezca al final este último.

 

Si esto es así, la inseguridad de la información y los impactos que se tendrán de una falla materializada sobre una capacidad digital, irán más allá de una vulnerabilidad sobre un producto o servicio, sino que afectará la percepción y la forma de crear experiencias que potencien el modelo de negocio de la empresa. Esto es, la inseguridad de la información será la responsable de la forma como la organización capitaliza o no las relaciones emergentes que la capa digital le puede ofrecer.

 

En este sentido, se hace necesario estudiar con mayor detalle, esta nueva capa digital emergente, fruto de la densidad digital previamente revisada, para encontrar nuevos focos de realidades asimétricas de la inseguridad de la información, como quiera que los modelos de negocios digitales, serán parte de los “nuevos normales” de las empresas en los próximos años.

 

 

Reflexiones finales

La seguridad de la información en esta realidad digital, donde las conexiones definen el nuevo mandante del tratamiento de la información, mantiene sus principios fundamentales de confidencialidad, integridad y disponibilidad, como fundamento de la interacción, no obstante, se deben renovar ahora en un ambiente dinámico y cambiante, que permita una vista de afuera hacia adentro, que reconozca un mundo exterior de variables y amenazas emergentes, para identificar realidades internas que permitan encontrar puntos de mejora, que reten a la inseguridad misma.

 

De otra parte, las interacciones que se definan o surjan de la nueva capa digital, deberán atender los principios de diseño confiables, es decir, deberán ser sencillas, naturales, livianas y efectivas, para que no se contaminen del caldo de cultivo de la inseguridad que es la complejidad, que leído en clave cibernética, se traduce es carecer del requisito de variedad para entender la realidad y alcance de la relación.

 

Las capacidades digitales de las empresas cada vez son mayores, algunas con potencialidades definidas y otras sin objetivos concretos. En este sentido, el estudio de la inseguridad de la información en este contexto, deberá superar el enfoque y mentalidad actual de las organizaciones, para preparar el terreno y fundar un nuevo entendimiento de la inevitabilidad de la falla con una mentalidad digital, es decir, en una contradicción permanente que descubre en la densidad digital, una forma de asegurar la ventaja competitiva de las organizaciones del siglo XXI.

 

Referencias

KÁGANER, E., ZAMORA, J. y SIEBER, S. (2013) Cinco habilidades del líder digital. IESE Insight. No.18. Tercer trimestre.

ROWSELL-JONES, A. (2013) Su empresa también tiene ventaja digital. IESE Insight. No.18. Tercer trimestre.

CEO EXECUTIVE BOARD (2013) The future of IT, 2013-2017. Resumen disponible en: http://www.executiveboard.com/exbd/information-technology/future-of-it/impact/index.page?#tab2 (Consultado: 6-10-2013)

HOWARD, C., PLUMMER, D., GENOVESE, Y., MANN, J., WILLIS, D. y SMITH, D. (2012) The nexus of forces: Social, mobile, cloud  and information. Gartner Research.  Disponible en: http://www.gartner.com/DisplayDocument?doc_cd=234840

CANO, J. (2013) Inseguridad de la información. Una visión estratégica. Alfaomega.

Reflexiones sobre la norma ISO/IEC 27037:2012. Directrices para la identificación, recolección, adquisición y preservación de la evidencia digital.

Introducción

En el desarrollo de un análisis forense digital tradicional con medios magnéticos y ópticos, generalmente los analistas forenses acuden a la buena práctica internacional para soportar los pasos que se adelantan con el fin de asegurar la evidencia digital identificada en los diferentes componentes informáticos y tecnológicos presentes en la escena del crimen.

Estas prácticas permiten establecer un conjunto base de validación para la contraparte y el juzgador, con el fin de probar la idoneidad del proceso ejecutado y la confiabilidad de los resultados, luego de las técnicas aplicadas para obtener la evidencia digital clave para efectos de soportar las afirmaciones o declaraciones sobre una temática particular que se tenga en una diligencia civil, penal o de cualquier índole.

Así las cosas, prácticas como la HB171-2003 Guidelines for the Management of IT Evidence, creada en Australia por la academia, industria, administración de justicia, gobierno y entes policiales, permite una vista homogénea frente al reto de la evidencia digital como elemento de prueba real con todos sus elementos, permitiendo una valoración y análisis que motive y concrete los juicios bien fundados sobre las evidencias que se aporten en el desarrollo de una diligencia probatoria.

De igual forma, las guías del NIST sobre estos temas particularmente en dispositivos móviles, web services, entre otros, así como las indicaciones del Departamento de Justicia de los Estados Unidos en los documentos como Forensic Examination of Digital Evidence: A Guide for Law Enforcement, Electronic Crime Scene Investigation: A Guide for First Responders, Second Edition, son generalmente instrumentos utilizados por los analistas forenses digitales con el fin de establecer un marco de actuación formal y verificable que permita a los terceros validar las acciones que adelanten sobre la evidencia digital disponible en los medios informáticos.

En este sentido, el peritaje forense informático y tecnológico, siguiendo lo indicado por LOPEZ RIVERA (2012, pág.48) como la “obtención de información y evidencias de los bits que se encuentran en los dispositivos físicos de almacenamiento o virtuales en las redes que intervienen en la interacción de las personas con los sistemas”, requiere un contexto general de actuación que permita a todos los involucrados contar con referentes verificables y de alcance global que exhiban formas de asegurar que los procedimientos aplicados en la pericia son confiables y con arreglo a ley.

Como quiera que a la fecha no se reconoce buena práctica de alcance global, se introduce en este documento la norma ISO/IEC 27037:2012 donde se establecen directrices para la identificación, recolección, adquisición y preservación de la evidencia digital, como un primer documento reconocido por la comunidad internacional y de alcance global para efectos de adelantar pericias forenses informáticas, el cual de ahora en adelante será un referente base para todos los informáticos forenses respecto de sus prácticas y procedimientos actuales.

Principios que gobiernan la evidencia digital

De acuerdo con la ISO/IEC 27037:2012 la evidencia digital es gobernada por tres principios fundamentales: la relevancia, la confiabilidad y la suficiencia. Estos tres elementos definen la formalidad de cualquier investigación basada en evidencia digital, bien ésta sea utilizada para que sea admisible en corte o no.

La relevancia es una condición técnicamente jurídica, que habla sobre aquellos elementos que son pertinentes a la situación que se analiza o investiga, con el fin de probar o no una hipótesis que se ha planteado alrededor de los hechos. Todo aquello que no cumpla con este requisito será irrelevante y excluido del material probatorio recabado para efectos del caso bajo estudio.

La confiabilidad es otra característica fundamental, que busca validar la repetibilidad y auditabilidad de un proceso aplicado para obtener una evidencia digital, esto es, que la evidencia que se extrae u obtiene es lo que deber ser y que, si un tercero sigue el mismo proceso, deberá obtener resultados similares verificables y comprobables.

Finalmente y no menos importante la suficiencia, la cual está relacionada con completitud de pruebas informáticas, es decir que, con las evidencias recolectadas y analizadas tenemos elementos suficientes para sustentar los hallazgos y verificar las afirmaciones efectuadas sobre la situación investigada. Este elemento está sujeto a la experiencia y formalidad del perito informático en el desarrollo de sus procedimientos y priorización de esfuerzos.

Si bien puede haber otros elementos que ayuden en el gobierno de la evidencia digital, ISO ha determinado que estos tres, establecen las condiciones necesarias y suficientes para que los expertos en informática forense recaben, aseguren y preserven elementos materiales probatorios sobre medios digitales, los cuales podrán ser revisados y analizados por terceros interesados y sometidos a contradicción según ordenamiento jurídico donde se encuentren.

Habida cuenta de lo anterior, los informáticos forenses deberán prestar atención a estas indicaciones del estándar y recabar en el desarrollo de prácticas que permitan validar estos tres principios, que si bien se describen en el documento, no se concretan en acciones específicas que de alguna forma, sugieran una vía de aplicación que pueda validarse.

En este contexto, se detallan algunas preguntas (a manera de ejemplo) que pueden ser útiles para efectos de validar los tres principios enunciados:

Relevancia

· ¿La evidencia que se aporta vincula al sujeto con la escena del crimen y la víctima?

· ¿La evidencia prueba algunas hipótesis concreta que se tiene del caso en estudio?

· ¿La evidencia recolectada valida un indicio clave que permita esclarecer los hechos en estudio?

Confiabilidad

· ¿Los procedimientos efectuados sobre los dispositivos tecnológicos han sido previamente probados?

· ¿Se conoce la tasa de error de las herramientas forenses informáticas utilizadas?

· ¿Se han efectuado auditorias sobre la eficacia y eficiencia de los procedimientos y herramientas utilizadas para adelantar el análisis forense informático?

Suficiencia

· ¿Se ha priorizado toda la evidencia recolectada en el desarrollo del caso, basado en su apoyo a las situaciones que se deben probar?

· ¿Se han analizado todos los elementos informáticos identificados en la escena del crimen?

· ¿Se tiene certeza que no se ha eliminado o sobreescrito evidencia digital en los medios analizados?

Dos roles claves: Digital Evidence First Responder (DEFR) y el Digital Evidence Specialist (DES)

Por primera vez un estándar ISO establece definiciones de roles para efectos de las actividades requeridas en informática forense. Estos dos roles DEFR, cuya traducción podría ser “Primer respondiente de la evidencia digital” y el DES, como “Especialista en evidencia digital”.

El primero es aquella persona que está autorizada, formada y habilitada para actuar en la escena de un incidente, y así recoger y adquirir las evidencias digitales con las debidas garantías. Este es un rol que deben tener todas las organizaciones, toda vez que cualquier persona en una empresa puede actuar como primer respondiente frente a un incidente donde la evidencia digital sea parte de los elementos materiales probatorios.

Según la norma, esta persona y su formación dependerán del contexto de cada legislación y política organizacional, como quiera que, es en el contexto del ejercicio de primer respondiente que se establecen las condiciones y habilidades requeridas para asegurar de primera mano la evidencia digital propia de la situación en estudio.

¿Qué debe hacer un primer respondiente frente a un incidente informático? Si bien no detalla la norma la respuesta a esta pregunta, si podríamos indicar algunos elementos claves que se deben seguir frente a un proceso fundamental en el aseguramiento y custodia base de la evidencia informática, mientras el especialista en evidencia digital llega al sitio.

· Asegurar el área dónde ocurre el evento informático y los elementos materiales probatorios que se encuentren allí: notas, documentos, dispositivos electrónicos, entre otros.

· Evitar que personal extraño al área, tenga acceso a la misma y a los equipos que allí se encuentren.

· Tomar fotos o video de cómo encontró el área y documentar fecha, hora y condiciones en las cuales llega al sitio donde ocurren los hechos.

De otro lado, el Especialista en Evidencia Digital (EED) lo califica como aquella persona que puede hacer lo que hace el primer respondiente la evidencia digital y además cuenta con conocimientos, destrezas y entrenamiento especializado en un amplio rango de aspectos tecnológicos, lo que podríamos llamar un perito informático o en inglés un computer expert witness.

En este contexto, se presenta una primera insinuación sobre esta problemática del perito informático, que siguiendo los conceptos de LOPEZ RIVERA (2012, pág.21), debe estar asistida por tres elementos fundamentales:

· Ser un tercero neutral, alguien ajeno al proceso y a los intereses particulares que se encuentren en discusión.

· Ser un experto, una persona con formación formal, con experiencia fruto de sus desempeños laborales, conocimientos especializados, científicos o prácticos según el caso.

· Ser una persona que voluntariamente, acepte incorporar sus conocimientos al proceso.

Si bien el estudio de cómo se debe formar un perito informático, escapa al alcance de este documento, si es preciso anotar que a la fecha existen diversos programas formales de formación de investigadores de crímenes de alta tecnología o en ciencias forenses informáticas que dan respuesta desde diferentes perspectivas a la formación de estos especialistas y auxiliares de la justicia, para que se tenga una vista medianamente clara y detallada de las habilidades y conocimientos que se deben tener frente al aseguramiento de la evidencia digital. (CANO 2009)

Finalmente y no menos importante, la norma hace énfasis en los siguientes puntos, que se deben observar todo el tiempo tanto por el DEFR como por el DES:

· Minimizar el manejo del dispositivo con la evidencia digital original o con la evidencia digital potencial

· Dar cuenta de cualquier cambio y documentar las acciones que se tomen (mientras el experto se hace una opinión sobre su confiabilidad)

· Cumplir con las leyes locales sobre el manejo de la evidencia

· No tomar acciones más allá de sus competencias.

Tipologías de dispositivos y entornos alcance de la norma

De acuerdo con la norma es alcance de la misma: (LOPEZ RIVERA 2012, pág.200)

· Equipos y medios de almacenamiento y dispositivos periféricos

· Sistemas críticos (alta exigencia de disponibilidad)

· Computadores y dispositivos conectados a la red

· Dispositivos móviles

· Sistemas de circuitos cerrados de televisión digital

Con este alcance, quedan fuera tecnologías recientes como las unidades de estado sólido, los sistemas de control industrial (por sus configuraciones y tecnologías especiales basadas en microcontroladores), servicios web, entre otros temas especializados, que si bien pueden utilizar los pasos naturales del proceso asociado con la informática forense (documentos y alcance de la norma identificación, recolección y/o adquisición, conservación y/o preservación), requiere una vista particular de aseguramiento que es propia e inherente a los avances tecnológicos previamente enunciados.

Si bien estas tipologías tratan de ser generales y genéricas frente a lo que se puede encontrar en una escena con dispositivos tecnológicos, es importante anotar que cada tecnología requiere un margen de especialidad que escapa al proceso general planteado y sus actividades previstas, toda vez que los cambios técnicos que se tienen, requieren un entendimiento particular de cómo funcionan y cuáles son las implicaciones frente a las exigencias del proceso forense en informática, basado en el método científico, no para conocer la verdad, sino para dar respuesta a preguntas que se plantean en el contexto del caso en estudio.

Un ejemplo de esta condición es la realización de la imagen idéntica, la cual es un procedimiento que se aplica con software especializado para asegurar que el contenido digital del dispositivo informático (particularmente magnético) es fiel copia del original, en el que se aplica un hash sobre la imagen resultado, el cual puede ser verificado posteriormente para validar su inalterabilidad.

Sin embargo, aplicar el mismo procedimiento sobre unidades de estado sólido no genera el mismo resultado, toda vez que esta unidad funciona de manera diferente al medio magnético, es decir de manera general, constantemente por efectos de la confiabilidad del medio, se está cambiando de posición la información allí residente (CANO 2013), con lo cual se puede aplicar un hash un momento T y éste no será igual al que se aplique en T+1.

Así las cosas, las tipologías son sensibles a los cambios tecnológicos y nuevos retos emergentes de la informática forense, lo que necesariamente advierte que las técnicas descritas en el estándar deberán ser revisadas y ajustadas en el tiempo de manera periódica, con el fin de advertir cambios y ajustes que permitan mantener la confiabilidad de los procedimientos aplicados, como quiera que este documento es un referente de alcance global.

Reflexiones finales

El estándar ISO/IEC 27037:2012 es un avance relevante para el ejercicio de la práctica de la informática forense a nivel internacional que permite homogenizar una serie de prácticas claves para efectos de dar mayor confiabilidad a los resultados de los procesos aplicados, que previamente sólo estaban fundados en la buena práctica internacional o referentes particulares a instituciones o entidades reconocidas por sus logros en este campo.

Este documento cubre tres etapas de la actuación forense digital como son identificación, recolección y/o adquisición y conservación y/o preservación, detallando prácticas y consideraciones de actuación relevantes que responden a los mínimos que el “Especialista en Evidencia Digital” debe cubrir y asegurar para mantener la confiabilidad de sus resultados frente al tratamiento y aseguramiento de la evidencia digital.

Sin embargo, los temas relacionados con el análisis e interpretación de la evidencia digital no son cubiertos por esta norma y se espera que la anunciada ISO/IEC 27042, sugiera los campos de acción en estos temas, los cuales tendrán retos importantes como se establece su reciente borrador:

“El análisis e interpretación de la evidencia digital puede ser un proceso complejo. En algunas circunstancias, puede haber varios métodos que se pueden aplicar y los miembros deequipo de investigación tendrán quejustificar la selección de determinado proceso y mostrar cómo es equivalentea otro utilizado por otros analistas. En otras circunstancias, los investigadores tendrán que idear nuevos métodos para el examen de la evidencia digital que previamente no ha sido tenido en cuentay deben ser capaz de demostrar que el método de producción es "adecuado".”

Así las cosas, contar con el estándar ISO/IEC 27037:2012 nos permite avanzar en la unificación de lenguajes y acciones propios de la práctica de la informática forense, que junto con iniciativas especializadas por tipo de dispositivos y tecnologías novedosas, permitan desarrollar una monitorización abierta y efectiva de la práctica de sus especialistas, incrementando los niveles de excelencia y madurez tanto de los profesionales en esta área como en el desarrollo de herramientas que soporten los más altos estándares de confiabilidad.

Referencias

ISO/IEC 27037:2012. Tecnología de la información – Técnicas de seguridad – Directrices para la identificación, recolección, adquisición y preservación de la evidencia digital.

ISO/IEC 27042 - Tecnología de la información – Técnicas de seguridad – Directrices para el análisis e interpretación de la evidencia digital. (En desarrollo)

HB171-2003 Guidelines for the Management of IT Evidence. Australia Standard.

LOPEZ RIVERA, R. (2012) Peritaje informático y tecnológico. Un enfoque teórico-práctico. ISBN 978-84-6160-895-9.

NIST (2007) Guidelines on cell phone forensics. Disponible en: http://csrc.nist.gov/publications/nistpubs/800-101/SP800-101.pdf (Consultado: 15-09-2013)

NIST (2010) Forensics web services. Disponible en: http://csrc.nist.gov/publications/nistir/ir7559/nistir-7559_forensics-web-services.pdf (Consultado: 15-09-2013)

NIJ (2004) Forensic Examination of Digital Evidence: A Guide for Law Enforcement. Disponible en: https://www.ncjrs.gov/pdffiles1/nij/199408.pdf (Consultado: 15-09-2013)

NIJ (2008) Electronic Crime Scene Investigation: A Guide for First Responders, Second Edition. Disponible en: http://www.ncjrs.gov/pdffiles1/nij/219941.pdf (Consultado: 15-09-2013)

CANO, J. (2009) Computación forense. Descubriendo los rastros informáticos. Ed. Alfaomega. México.

CANO, J. (2013) Unidades de estado sólido. El reto de la computación forense en el mundo de los semiconductores. Blog IT-Insecurity. Disponible en: http://insecurityit.blogspot.com/2013/06/unidades-de-estado-solido-el-reto-de-la.html (Consultado: 15-09-2013)