Resumen
Los consumidores son más conscientes que nunca de la privacidad de los datos y están más preocupados por ella. Y están empezando a hacer preguntas: ¿Por qué esta marca rastrea mi uso de internet, vende mis datos personales o mapea mi rostro sin mi permiso? En este episodio, exploramos una nueva encuesta de ISACA realizada a casi 2,000 profesionales de privacidad y ciberseguridad para descubrir quién prioriza la privacidad de los datos, quién no, y cómo las empresas pueden practicar mejor la "privacidad por diseño".
ANFITRIÓN: Doug Thompson, director de soluciones técnicas de ingeniería y arquitecto jefe de educación, Tanium
INVITADO: Safia Kazi, asesora de práctica profesional en privacidad, ISACA
Notas del programa
Consulte la encuesta de ISACA, además de estos artículos en Focal Point, la nueva revista de noticias cibernéticas en línea de Tanium, y nuestro seminario web exclusivo sobre cómo el Marco de Privacidad del NIST puede ayudar a las organizaciones públicas y privadas a proteger datos confidenciales.
- Privacidad en la práctica 2023 Informe | ISACA
- ¿Qué es la gestión de privacidad de datos?
- Lo que Latanya Sweeney sabe sobre la privacidad de datos le perturbará
- El trabajo remoto aumenta las preocupaciones sobre la privacidad de datos
Transcripción
La siguiente entrevista se ha editado para mayor claridad.
Safia Kazi: Vivo en el estado de Illinois, que tiene una ley de privacidad biométrica muy sólida. Y el otro día recibí un cheque de Facebook por algo que hicieron—no sé qué, pero lo acepto. Creo que lo que esto significa es que la persona promedio que no se preocupaba en absoluto por la privacidad ahora está empezando a preocuparse.
Doug Thompson: $650 millones. Así es cuánto acordó pagar el año pasado la empresa matriz de Facebook, Meta, para resolver las reclamaciones de que recopiló ilegalmente datos biométricos de las personas que usaban su sitio web. Y apenas este invierno, el Tribunal Supremo de Illinois dictaminó que el gigante de la comida rápida White Castle tendría que enfrentar reclamaciones similares por supuestamente escanear las huellas dactilares de los trabajadores sin su consentimiento. La cadena de hamburguesas dijo que el fallo podría costarles más de $17 mil millones. Eso es mucho dinero.
Hola, soy Doug Thompson, y hoy en Let's Converge, hablamos sobre la privacidad de datos y las consecuencias públicas y dolorosas de no tomarla en serio. Las leyes de privacidad de datos sólidas han estado vigentes en Europa durante varios años, y ahora varios estados en los EE. UU. están debatiendo la aprobación de legislación similar. Y las empresas se están apresurando a ponerse al día.
Hoy nos acompaña Safia Kazi, asesora profesional de privacidad de ISACA, la Asociación de Auditoría y Control de Sistemas de Información. Safia está aquí para hablar sobre una nueva encuesta de ISACA llamada Privacy in Practice 2023, en la que encuestaron a casi 2,000 profesionales de privacidad y seguridad para descubrir quién está priorizando la privacidad de datos, quién no, y cómo las empresas pueden practicar una mejor privacidad desde el diseño. ¿Cómo estás hoy, Safia?
Kazi: Estoy muy bien. Gracias por recibirme.
Thompson: Sabes, en este podcast hablamos mucho sobre las brechas de seguridad, pero lo que mucha gente no se da cuenta es lo que resulta de una brecha: una pérdida de privacidad. Y ahí es donde entras tú y de lo que trata tu organización.
Kazi: Sí, absolutamente. Así que tienes razón. Mucha gente piensa en la seguridad, pero no necesariamente piensa en las implicaciones de privacidad de una brecha de seguridad. A veces hay personas que me preguntan cuál es la diferencia entre seguridad y privacidad. ¿No son sinónimos? A lo que respondo que absolutamente no se puede tener privacidad sin seguridad, pero se podrían tener medidas de seguridad fantásticas y hacer un trabajo realmente malo en materia de privacidad. Entonces, ¿es la privacidad un subconjunto de la seguridad? Más o menos, pero no realmente. Los dos, por supuesto, van muy de la mano. Y estoy segura de que mientras hablamos hoy sobre los resultados de nuestra encuesta, verán que los profesionales de privacidad y los profesionales de seguridad trabajan muy de cerca para proteger de la mejor manera la privacidad de las personas que entregan su valiosa información.
Thompson: Bueno, empecemos por ahí. Quiero decir, cada mes recibimos un nuevo titular porque algunas empresas están pagando multas ahora. Hay grandes sumas de dinero asociadas con esta pérdida de privacidad.
Kazi: Es interesante. Aquí en los Estados Unidos, tenemos un mosaico muy extraño de leyes de privacidad donde, dependiendo del estado en el que vivas, puedes tener algunas protecciones adicionales en comparación con alguien que vive a solo unas pocas horas de distancia. Esto, por supuesto, también hace que sea muy difícil para las organizaciones, que simplemente tienen un objetivo en movimiento sobre qué es el cumplimiento y qué es lo que necesitan hacer. Recientemente, Iowa aprobó una ley de privacidad.
Creo que en general las juntas directivas están comenzando a entender que la privacidad es algo en lo que necesitan pensar, simplemente porque todos hemos visto los titulares negativos de organizaciones que no respetan la privacidad y las enormes multas que tienen que pagar. Y eso sin mencionar el daño reputacional que afecta sus resultados financieros. Así que ISACA realizó una encuesta sobre el estado de la privacidad y en ella encontramos que, en comparación con el año pasado, las juntas directivas parecen estar esforzándose más. Parece que el financiamiento y los recursos para la privacidad están mejorando considerablemente. Estamos viendo equipos de privacidad más grandes. Las personas que trabajan en privacidad tienen menos probabilidades de decir que sienten que tienen poco personal. Tienen menos probabilidades de decir que su presupuesto de privacidad está subfinanciado. Y en general, parece que más personas creen que sus juntas directivas están priorizando adecuadamente la privacidad en comparación con el año pasado.
Thompson: Con algunas de estas empresas más pequeñas, ¿tienen más dificultades que algunas de estas empresas más grandes y con más recursos?
Kazi: Creo que sí. Muchas veces no tienen un equipo dedicado a la privacidad. Tienen una persona de seguridad a quien luego se le encarga también hacer privacidad además de todo su trabajo de seguridad. Y estoy seguro de que, como saben nuestros oyentes, los equipos de seguridad ya están sintiendo la presión de la escasez de personal y simplemente tienen que hacer mucho con muy pocos recursos. Entonces, cuando se añaden tareas de privacidad encima de eso, eso lo hace aún más complejo. Así que diría absolutamente que las organizaciones más pequeñas definitivamente están luchando con esto.
Thompson: Ahora, cuando habla de privacidad por diseño—y yo solía trabajar para Microsoft donde hablábamos de seguridad por diseño cuando comenzamos el sistema operativo y, y realmente cambió las reglas del juego—pero cuando habla de privacidad, es más que controles técnicos los que van junto con eso. Entonces explica sobre la parte de diseño de eso. ¿Cómo se ve eso?
Kazi: Correcto. Entonces la privacidad por diseño consiste en pensar en el usuario. Esa es una de las cosas clave. Son por supuesto los sistemas que estás construyendo, pero también son los usuarios que van a usar lo que estás construyendo. Um, así que hay siete principios clave de la privacidad por diseño, y el primero es proactivo, no reactivo. Preventivo, no correctivo. Básicamente la privacidad no es un complemento. Estás pensando en ello desde antes de que empieces a construir cosas. Se trata de que la privacidad sea la configuración predeterminada. Las personas no deberían necesitar hacer nada para que su configuración sea una que proteja la privacidad. Debería estar integrada en el diseño. Entonces, aquí es donde obtenemos más esa parte técnica de la privacidad. También se trata de funcionalidad completa, suma positiva, no suma cero. No deberíamos necesitar sacrificar la seguridad por la privacidad ni la usabilidad por la privacidad. De manera realista, podemos tener privacidad y lograr otros objetivos.
Kazi: También se trata de la seguridad de extremo a extremo y la protección durante todo el ciclo de vida. Esto es muy crucial cuando pensamos en los datos que tenemos. ¿Por cuánto tiempo los estamos reteniendo? ¿Cómo lo estamos protegiendo? Incluso cuando terminamos de usarlo, ¿necesitamos conservarlo? Se trata de visibilidad y transparencia, de comunicar con claridad y garantizar que todos en la organización y las personas que proporcionan sus datos sepan lo que están haciendo. Y luego el principio final (y uno de mis favoritos) es la idea de respetar la privacidad del usuario. Mantenlo centrado en el usuario. Si piensas en el usuario, desarrollarás sistemas que sean fáciles de gestionar desde una perspectiva de privacidad. Y si sufres una brecha de seguridad, lo cual desafortunadamente probablemente ocurrirá en algún momento, puedes limitar realmente el daño que está ocurriendo porque el valor predeterminado es que estás protegiendo la privacidad y no estás recopilando cantidades excesivas de información, lo que puede ayudar enormemente al sujeto de datos que se ve comprometido.
Thompson: Entonces, al leer la encuesta, he encontrado que al menos 60% de las empresas están comenzando a practicar esta privacidad por diseño al menos con frecuencia, ya sabes. Quizás no siempre, pero en comparación con otras estadísticas, parece que vamos en la dirección correcta. Pero ¿qué hay de aquellos que están en la categoría de "raramente" o "nunca"?, ¿cuál es su barrera? ¿Es una barrera de entrada, o simplemente, ya sabes, están escondiéndose bajo una piedra, o qué?
Kazi: Estoy seguro de que hay algunas personas que se están escondiendo bajo una piedra, pero honestamente creo que gran parte de ello es simplemente una falta de recursos. Creo que mucha gente sabe que debería estar aplicando la privacidad por diseño con la mayor frecuencia posible, pero simplemente no pueden.
Thompson: Y la seguridad y la continuidad del negocio, ya sabes, tienen una copia de seguridad o tienen un plan de recuperación ante desastres, pero si no se prueba, es prácticamente inútil. Entonces, en el caso de la privacidad, ¿existe algo similar donde introducimos un escenario, quizás hacemos un simulacro de mesa o algo así? Oye, hemos tenido esta filtración de datos. ¿Hay alguna manera de hacer eso?
Kazi: Potencialmente. He escuchado a algunas personas decir que su organización intenta realizar ejercicios de simulacro de mesa sobre privacidad. Personalmente creo que hay un desafío mayor. Preguntamos a los encuestados, ¿han experimentado una violación de privacidad material? Y casi 20% dijo, no lo sabemos. Eso, para mí, demuestra que no conocen sus datos. Creo que significa que saben, OK, tuvimos una violación de seguridad, pero ¿qué datos fueron? ¿Era información personal? ¿Qué fue tomado? ¿Qué fue visto? Así que creo que en cuanto a entender cómo responder ante una violación, lo primero que puede hacer es comprender sus datos para que, si un sistema se ve comprometido, sepa qué datos están comprometidos y cuál podría ser el impacto para sus titulares de datos.
Thompson: Y eso remite a la parte del diseño de eso. Si sabe en qué silos y en qué áreas están sus datos y qué hay allí, qué tipo de datos, entonces es un poco más fácil triangular, OK, ¿qué perdimos de esa encuesta? Absolutamente. ¿Hay organizaciones que puedas contratar para que vengan y te ayuden como una consultoría o algo así?
Kazi: Absolutamente. Muchos de los encuestados en nuestra encuesta dijeron que dependen de consultores externos o contratistas para ayudarles con tareas relacionadas con la privacidad. Creo que esto puede ser útil. Algo más que las organizaciones también están haciendo es mirar internamente para ver si tienen personas que quizás sean expertas en ciertas tecnologías o ciertos sistemas pero no son expertas en privacidad y si pueden recibir capacitación en el trabajo. Esa puede ser una manera realmente excelente de no tener que preocuparse por publicar una descripción de trabajo y potencialmente pasar seis meses tratando de encontrar a la persona adecuada para un puesto. Pero sí, hay absolutamente agencias de consultoría que pueden ayudar a las personas con sus tareas relacionadas con la privacidad.
Thompson: Entonces me estás recordando que estaba mirando la encuesta y hablas sobre quién es responsable de la privacidad, y por supuesto era el director de privacidad en lo que no vi es que es algo así como la seguridad. Ese es realmente el trabajo de todos, ¿no es así?
Kazi: Estaría totalmente de acuerdo. Quiero decir, parte de ello dependerá de la forma en que su organización está estructurada, quién reporta a quién. Pero estoy completamente de acuerdo. Creo que la privacidad es, en cierto modo, el trabajo de todos. Ya sabe, estábamos hablando de algunas organizaciones más pequeñas—pueden tener dificultades, entonces ¿qué pueden hacer? Proporcionar capacitación en concienciación sobre privacidad a todos en la organización. Puede parecer pequeño, pero solo una vez al año, si le dice a la gente, verifiquemos quién está llamando, si están tratando de obtener información personal… Algo tan pequeño puede realmente contribuir en gran medida a proteger la privacidad de sus sujetos de datos.
Thompson: ¿Qué le sorprendió de la encuesta, si es que algo le sorprendió?
Kazi: Lo que realmente me sorprendió fue que más personas no dijeran que planeaban usar IA para tareas relacionadas con la privacidad. Así que 11% de nuestros encuestados dijeron que lo hacían, 20% dijeron que planean hacerlo en los próximos 12 meses, lo que, curiosamente, el año pasado 20% dijo lo mismo. No sé si son las mismas personas, pero 38% dijo que no tenía planes de usar IA para esta función. Eso me sorprendió, porque quizás cuando la gente piensa en IA, piensa en las cursis imágenes de archivo que aparecen cuando buscas IA, como un robot caminando por ahí. Pero, ¿realmente no estás usando IA en tus sistemas para detectar información personal o información sensible como fechas de nacimiento? Especialmente considerando los desafíos de personal que enfrentan algunas organizaciones y el mayor número de solicitudes de acceso de sujetos de datos, me sorprendió mucho que más personas no dijeran que van a depender de la IA o que ya dependen de ella.
Thompson: Bueno, sé que está el tema distópico tipo Skynet y no queremos eso aquí, y lo otro, como dijiste, son los pequeños robots. Entonces vayamos por el otro lado: ¿Qué fue lo alentador de lo que encontraste?
Kazi: Creo que lo que fue realmente alentador fue ver que las personas que trabajan en privacidad no se sentían tan abrumadas como se sentían en esta misma época el año pasado. Y vimos que el financiamiento es mejor, el personal es mejor, todo eso parece estar un poco mejor. Lo que me gustaría ver mejorar es, ya sabes, estábamos hablando sobre la capacitación en concienciación sobre privacidad. Preguntamos, ¿cómo evalúas qué tan buena es tu capacitación en concienciación? Y fue menos de un cuarto de nuestros encuestados quienes dijeron que realizan pruebas previas y posteriores. La mayoría de la gente simplemente lo trata como un ejercicio de marcar casillas, [registrando] cuántas personas lo hicieron. No creo que esa sea una gran métrica. ¿Es una buena capacitación? ¿Aprendió algo alguien?
Las personas también están observando el número de quejas que reciben sobre privacidad y el número de incidentes de privacidad que ocurren, lo que para mí es demasiado reactivo en ese punto. El daño ya está hecho; has esperado hasta que algo malo suceda para mejorar tu capacitación de concienciación sobre privacidad. Así que diría que esa es un área donde me gustaría ver que maduramos un poco, siendo un poco más proactivos en cómo evaluamos la efectividad de la capacitación de concienciación sobre privacidad.
Thompson: Sí, obtener la rúbrica con la cual medir. Eso siempre es, en cierta medida, arte y ciencia que van con ello, y varía según la organización, el sector o cosas así. Alguien en un gobierno estatal y local va a tener algo un poco diferente que en un lugar comercial. Digamos que estoy en una organización más pequeña y la privacidad es algo que quiero tomar bajo mi control—sé que no lo estamos haciendo bien, pero necesito obtener algo de respaldo. ¿Cuáles son algunos buenos recursos o cosas que podrían hacer como líderes para asumir ese manto y tomar esa colina?
Kazi: Mencioné una buena capacitación sobre concienciación en privacidad, pero creo que va un paso más allá: en lugar de simplemente decir que la información personal debe protegerse, quizás hacerlo un poco más real. Podemos ver los impactos reales de personas que han sido perjudicadas por haber sido potencialmente acosadas o simplemente por tener demasiada información disponible. Esto puede hacerlo un poco más interesante, pero también ayuda a las personas a ver por qué la privacidad es tan importante. No es solo un aviso de privacidad en una página web; en realidad se trata de datos que representan a seres humanos, sus vidas y sus familias. Y creo que cuando empezamos a ver la privacidad desde esa perspectiva, incluso las personas que no trabajan en privacidad pueden comenzar a ver que es algo que debería importarles. Porque para algunas personas en realidad podría significar la diferencia entre la vida y la muerte.
Por dramático que pueda sonar, con toda la información que existe sobre cualquier persona disponible con una búsqueda rápida en Google o quizás incluso una búsqueda rápida en ChatGPT, es increíblemente importante entender que hay mucha información sobre nosotros ahí fuera. Y entonces, como organizaciones, si podemos actuar de maneras que limiten el daño que puede causarse a los sujetos de datos, tendremos una ventaja competitiva significativa. Y especialmente una organización que lucha por encontrar su lugar o que enfrenta mucha competencia, si eres una que protege la privacidad y realmente prioriza a sus usuarios, eso en última instancia va a ser una enorme ventaja competitiva.
Thompson: Ese es un criterio de compra para mi esposa y para mí—miramos, OK, cómo usamos los servicios porque ellos, ya sabes, o no usamos algunos servicios… porque no han estado cuidando bien las cosas en el pasado.
Kazi: Vivo en el estado de Illinois, que tiene una ley de privacidad biométrica muy sólida, y justo el otro día recibí un cheque de Facebook por algo que hicieron—no sé qué, pero lo acepto. Creo que lo que esto significa es que la persona promedio que no se preocupaba en absoluto por la privacidad ahora está empezando a preocuparse. Tengo amigos que me dijeron, recibí un cheque de Facebook, ¿de qué se trataba eso? Y aunque puede que estén de acuerdo con recibir el cheque, están empezando a pensar en la privacidad y a entender, bueno, espera, ¿qué significa que un sitio de redes sociales tenga un mapa de mi cara y no me lo haya preguntado, o no me lo haya dicho? Así que creo que la persona promedio va a empezar a preocuparse cada vez más.
Thompson: Mencionaste un punto en el que yo no había pensado antes, desde una perspectiva generacional. Hay quienes crecimos antes o quienes construimos el internet en el camino y lo ensamblamos, y tenemos una perspectiva diferente de la privacidad que la que tienen mis hijos o nietos. ¿Cómo impacta eso en las regulaciones que se están implementando? ¿Es algo que viene más adelante, vamos a tener un problema mayor con esto, o qué?
Kazi: Potencialmente. Siento que en general, los niños simplemente no están tan protegidos como deberían estarlo. No hay nada que impida que un niño de 8 años diga que tiene más de 18 y cree una cuenta en redes sociales, ¿verdad? Realmente no hay verificación. Creo que también hay una pregunta más amplia porque ahora hay una generación que ha crecido con toda su vida, potencialmente desde antes de nacer, en línea—como, desde el momento en que sus padres se enteraron de que estaban esperando, publicaron en Facebook, y cuando nacieron y todos sus hitos importantes. Y honestamente no sé cuáles son las implicaciones de eso. Hace poco hubo, creo que era un niño de una familia de YouTube que quería reclamar daños y perjuicios porque su vida de infancia fue transmitida en línea. Dicho esto, en realidad no existen leyes ni regulaciones vigentes, hasta donde yo sé, que protejan a las personas cuyas vidas están en línea de esta manera cuando son niños y cuando sus padres son quienes toman estas decisiones por ellos. Así que eso es algo que creo que probablemente debería cambiar, porque ni siquiera sabemos cuál será el impacto de eso en tan solo unos pocos años.
Thompson: Bueno, y hablando de cambios y volviendo a la pregunta original, creo que estas son algunas de las cosas que probablemente están por venir, quizás no de inmediato o tan rápido como nos gustaría. Pero ¿cuáles son algunas de las cosas que ves que podrían ser obstáculos mayores [que lleguen] más pronto?
Kazi: Creo que otra cosa que estamos empezando a ver más es la represión contra la privacidad y los patrones oscuros. Así que esas son simplemente cosas que te engañan para que actúes de una manera que no lo harías—como esos confusos avisos de cookies donde [tienes que] aceptar o puedes hacer clic para saber más, y luego tienes que hacer clic mil veces para decir no me rastrees. Ese es un ejemplo de un patrón oscuro. Si haces que sea más fácil hacer clic en Aceptar que en Rechazar, entonces suficientes personas simplemente harán clic en Aceptar. Muchas leyes y regulaciones de privacidad no hablan específicamente sobre ello. Sin embargo, el año pasado vimos cómo los fiscales generales de varios estados demandaron a Google por patrones oscuros en Google Maps y por no ser completamente transparentes sobre el seguimiento que se estaba realizando.
Si bien creo que muchas leyes y regulaciones de privacidad han hecho un buen trabajo al intentar obtener el consentimiento de las personas, algunas organizaciones han recurrido a engañar a las personas para obtener su consentimiento. Y creo que probablemente veremos un mayor énfasis en los patrones oscuros de privacidad y en garantizar que cuando las personas dan su consentimiento para el seguimiento, sepan a qué se están comprometiendo y que las organizaciones se comuniquen con claridad.
Thompson: Me alegra que hayas puesto nombre a algo que ha sido una molestia para mí durante un tiempo con los clics y demás, algo así como el acuerdo de licencia de usuario final y cosas que nadie puede leer porque tiene 8,000 páginas de largo y simplemente hacemos clic y no sabemos. Necesitamos simplificar estas cosas y dejarlas muy claras—como, yo iría con ellos y diría explícamelo como si fuera un niño de quinto grado, déjame entender, ¿verdad?, ¿qué es esto? Estaría totalmente a favor de eso. Ayudemos a que esas cosas cambien. Porque hay cosas que simplemente no creo que necesiten. Pero soy de la generación que todavía tenía una libreta de ahorros para mi cuenta de ahorros. Ya sabes.
Kazi: Bueno, ya sabes, hubo un proyecto de ley el año pasado—no sé qué pasó con él—pero había un proyecto de ley para básicamente crear información de privacidad al estilo de las etiquetas nutricionales. Como, esto es lo que estamos rastreando y algo realmente rápido y fácil de entender. Creo que podría haber sido genial. Porque, tienes razón, para realmente sentarse y leer los términos de servicio de todo, todos tendríamos que tomarnos dos semanas de descanso del trabajo. Quiero decir, simplemente no es realista.
Thompson: Está bien. Bueno, gracias por compartir tu experiencia y un poco más de información sobre esta encuesta. Creo que es genial tener una mejor comprensión de lo que está pasando, y aprecio tu tiempo y aprecio lo que tú y tu organización están haciendo.
Kazi: Muchas gracias por invitarme.
Thompson: He estado hablando con Safia Kazi, asesora profesional de privacidad en ISACA.
Si desea obtener más información sobre la privacidad de datos, consulte Focal Point, la revista de noticias cibernéticas en línea de Tanium—tenemos enlaces a varios artículos en las notas del programa—o visite tanium.com. Para escuchar más conversaciones con los principales líderes empresariales y expertos en seguridad de hoy, asegúrese de suscribirse a Let's Converge en su aplicación de podcast favorita. Eso realmente ayuda a ganar visibilidad. Y si te gusta este episodio, por favor danos una calificación de cinco estrellas.
Gracias por escucharnos. Esperamos compartir más perspectivas cibernéticas en el próximo episodio de Let's Converge.
