Temática: Seguridad digital

Los Estados tienen la obligación de reforzar y no poner en peligro los derechos humanos

Como les contamos en abril del año pasado, se encuentra en marcha y avanzando a paso firme la elaboración de una “Convención internacional integral sobre la lucha contra la utilización de las tecnologías de la información y las comunicaciones con fines delictivos” por un Comité Especial (el “Comité Ad Hoc”) en el seno de Naciones Unidas. 

Derechos Digitales participó de la cuarta sesión de trabajo del Comité Ad Hoc que tuvo lugar en Viena entre el 9 y 20 de enero. En esta columna queremos compartir con ustedes nuestras principales preocupaciones, y por qué creemos que se trata de un tema al que todos deberíamos prestarle más atención desde América Latina.

El trabajo de la cuarta sesión se centró en la revisión de un documento de negociación consolidado (DNC). Previo a la sesión, y en conocimiento del documento preparamos en conjunto con otras 79 organizaciones de sociedad civil, una carta para comunicar al Comité y los Estados nuestras preocupaciones.

Desde el inicio del proceso no hemos estado convencidos de la necesidad de una Convención global sobre ciberdelincuencia. Sin embargo, a través de esta nueva carta, reiteramos la necesidad de un enfoque basado en los derechos humanos para su redacción.

Nuestras preocupaciones se centran en la necesidad de garantizar que los derechos fundamentales tengan prioridad en la forma en la cual se definen los delitos cibernéticos, la forma de producir pruebas respecto de ellos, y al establecer mecanismos de cooperación internacional o de asistencia técnica. 

Lamentablemente, el texto examinado en esta cuarta sesión todavía resulta demasiado amplio en su alcance y no se limita solamente a los delitos cibernéticos en los que la tecnología es parte esencial del delito.

El texto se  expande de forma ambigua hacia otros delitos -muchas veces ya regulados- cuando pueden ser facilitados o cometidos a través del uso de tecnologías de la información. Lo anterior es incompatible con obligaciones internacionales de derechos humanos, y amenaza con criminalizar las actividades legítimas con propósitos de interés público como el trabajo de periodistas e investigadores de seguridad. 

Estuvo en el centro de las discusiones la cuestión de reducir el ámbito de alcance de los delitos contemplados en la Convención a aquellos esencialmente vinculados con el uso de la tecnología, y no expandirlo a los que son meramente facilitados por ella. 

Muchos estados manifestaron su preocupación por la excesiva expansión del listado de delitos considerados, sin embargo al término de las negociaciones la criminalización expansiva de delitos de expresión sigue estando presente en el texto.

También hay en el texto limitadas salvaguardias respecto de los ciberdelitos definidos que pueden impactar negativamente en las actividades legítimas de periodistas, informantes, defensores de derechos humanos, investigadores de seguridad y de ciencias sociales, niños y adolescentes, mujeres, diversidades sexuales, grupos vulnerables, opositores políticos, víctimas de delitos, entre otros. 

Qué nos preocupa, por qué y por qué te debe importar

Organizaciones de la sociedad civil, empresas y organismos internacionales como la Oficina del Alto Comisionado en Derechos Humanos presentaron diversas preocupaciones sobre los temas discutidos en la sesión. Sin intentar ser exhaustivos en la lista, queremos llamar la atención sobre algunos puntos que nos parecen cruciales,  en los que se requiere que el texto de la futura Convención continúe refinándose de cara a la presentación del borrador cero.

Particularmente nos preocupan áreas en las que resulta crucial la atención de los representantes de gobiernos de nuestra región para garantizar la adecuada protección de derechos fundamentales en la persecución del ciberdelito, con miras a la realidad normativa e institucional de América Latina.

También nos ocupan cuestiones que creemos que merecen atención general, por el impacto que pueden tener en la habilidad de ejercer la libertad de expresión, el acceso a la información y resguardar la privacidad. 

Riesgos de criminalización de la labor de investigadores de seguridad y ciencias sociales, periodistas y defensores de derechos humanos

El texto necesita incorporar en los delitos esencialmente vinculados con el uso de la tecnología la referencia a que la acción sancionada debe sobrepasar barreras técnicas. Solo así podrá evitar la ambigüedad de que la violación de términos y condiciones de servicio o políticas de seguridad establecidas por empresas privadas puedan permitir criminalizar la investigación de interés público en el funcionamiento de sistemas informáticos.

Delitos de expresión propuestos son una herramienta para la censura y la represión

Algunos delitos propuestos, como los delitos relacionados con el extremismo o con el terrorismo, son incompatibles con los estándares internacionales de libertad de expresión y pueden ser utilizados por los estados con fines represivos y de control social. Adicionalmente, no existen definiciones uniformes de estos conceptos en el derecho internacional, y muchos estados se basan en esta ambigüedad para justificar abusos contra los derechos humanos.

Respeto por la evolución progresiva de niños y adolescentes

Los artículos referidos a la criminalización de los usos de material de abuso sexual a menores han sido en general acogidos como necesarios por los Estados parte de la negociación. Sin embargo, muchos han afirmado la necesidad de asegurar la consistencia con otros instrumentos en que la materia se regula y ya han sido adoptados, cuestión que aún no se ve bien reflejada en en el texto.

Resulta preocupante que las redacciones discutidas no reflejen aún la necesidad de que, tal como lo afirmó UNICEF en sus aportes durante la tercera consulta intersesional, se considere la evolución de los adolescentes, evitando criminalizarlos por actividad sexual consentida y sin explotación, siempre que no haya elementos de coerción, abuso de confianza o dependencia entre los adolescentes. No se debe responsabilizar penalmente a niños por la generación, posesión o intercambio voluntario y consensuado de contenido sexual de sí mismo u otros, únicamente para su uso privado.

Hay también algunas provisiones que extienden la criminalización a dibujos u otras representaciones visuales o auditivas creíbles de niños que amenazan considerablemente la libertad de expresión y las expresiones artísticas. 

Limitación de la distribución de imágenes sexuales no consentidas a expensas de la autonomía de las víctimas

En el caso de la criminalización de la distribución de imágenes íntimas no consentidas y otras conductas relativas a adultos que involucran el uso de imágenes de contenido sexual con fines de acoso, intimidación o extorsión, resulta preocupante la excesiva vaguedad de la forma en la cual se define el elemento de falta consentimiento respecto de tales materiales, lo que arriesga a una sobrecriminalización.

También preocupa  la ausencia de excepciones a la tenencia, uso o distribución de imágenes que pueden tener un interés público, como la cobertura periodística, la atención y acompañamiento de víctimas, o la misma investigación de las conductas. a criminalización de este tipo de conductas no parece contar con una visión centrada en la víctima.uchas veces lo  primoridal es evitar la revictimización a través de procesos criminales, y manifestar preferencia por otro tipo de mecanismos que puedan ser más eficaces en limitar la distribución del material respectivo considerado lesivo.

Salvaguardas de derechos humanos excesivamente débiles

Desde la sociedad civil y de muchos estados comprometidos con los derechos fundamentales se celebró la incorporación de dos artículos -uno en las provisiones generales y otro en las procedimentales- en los que se aborda la protección de los derechos humanos y el respeto por las consideraciones de género y las condiciones de grupos vulnerables.  Sin embargo, esas protecciones se diluyen en las demás disposiciones de la Convención.

Es necesario que el capítulo de medidas procesales exija autorización judicial previa para los poderes intrusivos que se consagran, así como para garantizar explícitamente el derecho a un recurso efectivo. Resulta esencial retener la referencia a los principios de legalidad, necesidad y proporcionalidad, y al reconocimiento de la privacidad como derecho humano. 

Ambigüedades que favorecen el hacking estatal, los intentos de retención masiva de datos y el debilitamiento del uso de tecnologías de privacidad

Las provisiones procesales están redactadas de manera poco precisa.  De este modo, pueden ser usadas como una excusa para justificar la vigilancia masiva de las comunicaciones y dan la posibilidad a los gobiernos de desarrollar acciones ofensivas que debiliten la seguridad de los sistemas a través de puertas traseras en tecnologías de privacidad -como el cifrado- u operaciones de hacking que se beneficien de la explotación de vulnerabilidades, forzando a los proveedores de servicios de internet a transformarse en colaboradores de estas prácticas, que pueden ser tremendamente dañinas para la seguridad integral de los sistemas.

¡Ojo acá, Latinoamérica!

Esta Convención tiene el potencial de impactar profundamente en millones de personas en todo el mundo, y es por esto que debemos dejar muy claro que la lucha global contra el ciberdelito no debe socavar el respeto por los derechos humanos.

En abril el Comité Ad Hoc volverá a reunirse para continuar la revisión del texto y esperamos muchos más ojos atentos a la posición de los gobiernos de América Latina en estas cuestiones escenciales para el ejercicio de nuestros derechos fundamentales.

Argentina: amicus curiae en relación con el expediente 182908/2020-0

Descargar PDF

Esta es una acción del Observatorio de Derecho Informático Argentino, O.D.I.A., que cuestionó la constitucionalidad del “Sistema de Reconocimiento Facial de Prófugos” (SRFP) de la ciudad de Buenos Aires. En ella, pidió un juicio de amparo en primer grado de competencia, que requirió el análisis del sistema a través de la constitucionalidad y convencionalidad, además de las medidas cautelares para suspender su uso.

Mastodon: rumbo al Fediverso

Las redes sociales como Facebook, Instagram, Twitter y TikTok tienen una estructura centralizada y se caracterizan por tener un dueño que decide las reglas de su funcionamiento. Estas reglas pueden definir cuál contenido es aceptable y cuál no, cuándo suspender una cuenta, qué datos recolectar y qué hacer con los mismos. Las personas que usan estas redes no tienen posibilidad de incidir sobre las reglas que las rigen. Eso es un problema porque parte importante de la interacción social sucede en estos espacios.

Twitter es una fuente relevante de información y un espacio para el debate político en muchos países. Elon Musk compró esta plataforma por más de cuarenta mil millones de dólares y comenzó a tomar decisiones polémicas. Una de las primeras fue despedir a cerca de la mitad de sus empleados. Intentó realizar cambios como el “check-azul” de verificación y suspendió la cuenta que reportaba la ubicación de su avión privado. Varios periodistas que reportaron sobre estos sucesos terminaron con sus cuentas suspendidas.

Estos sucesos provocaron malestar en muchas personas, que buscaron alternativas. El nombre Mastodon comenzó a hacerse cada vez más conocido. Se trata de una plataforma de microblog, similar a Twitter, que permite compartir contenidos cortos y suscribirse a las publicaciones de las demás personas. Si bien son sistemas parecidos, existen al menos tres características que hacen Mastodon diferente de Twitter: es software libre, es un sistema federado y además forma parte de algo más grande que se conoce como el “Fediverso”.

Al igual que Twitter, Mastodon es un sistema cliente-servidor, donde existen una o varias máquinas, conocidas como servidores, a las que nos conectamos a través de aplicaciones instaladas en nuestros dispositivos, conocidos como clientes. Twitter trabaja con miles de servidores que hacen que la red funcione y la gente se conecta desde la página web o la aplicación de Twitter en dispositivos móviles. Todo el software que hace funcionar la red es propiedad de Twitter y no se puede saber cómo funciona, pues sus algoritmos son secretos.

Mastodon es software libre. Cualquier persona u organización que tenga el conocimiento y las capacidades puede montar su propia red de microblogging, del mismo modo en que cualquier persona que sepa cómo usarlo puede montar su propio sitio web gracias a WordPress. Que Mastodon sea software libre permite a personas y colectivos tener su espacio en Internet y, de esta manera, mayor autonomía: cada una podría implementar una instancia propia de Mastodon y formar una comunidad de personas donde compartir contenido con algún fin específico.

Que una comunidad o un colectivo tenga un espacio en internet para comunicarse es útil, pero la audiencia podría estar limitada, en especial si se compara con redes como Twitter. Es ahí donde la federación hace la diferencia. En su momento escribí un artículo sobre este tópico y las aplicaciones de mensajería. Básicamente, significa que una instancia de Mastodon puede interactuar con otras instancias de Mastodon.

En un ambiente federado no existe una empresa dueña de la red como sucede con las redes sociales centralizadas. El caso más conocido de servicios federados es el correo electrónico: se puede enviar un correo de Gmail a Hotmail o al servidor propio de una organización.

Los términos de uso y las reglas que rigen a una instancia de Mastodon dependen de las personas que gestionan la instancia. Si no estamos de acuerdo con esos términos podemos buscar otra instancia o gestionar la implementación de una instancia propia y definir nuestros propios términos.

Mastodon no es la única red social basada en software libre que es descentralizada. En realidad, es parte de algo más grande conocido como el Fediverso. Mastodon, al igual que GNU Social o Pleroma, son implementaciones de microblog similares a Twitter; Pixelfed es una herramienta para publicar fotografías, similar a Instagram; PeerTube es una plataforma que permite compartir videos a la manera de Youtube. Todas estas redes interactúan entre si a través del protocolo ActivityPub, el mismo que define las reglas que permiten a las participantes del Fediverso interactuar. En el Fediverso es posible seguir a una cuenta de Pixelfed desde Mastodon y viceversa. Es como si desde Twitter se pudiese seguir una cuenta de Instagram o al revés.

El estándar de ActivityPub ha sido construido de forma colaborativa y forma parte de los estándares publicados por la W3C, organización responsable de mantener estándares como el HTML. En lugar de ser una empresa la que define el funcionamiento de un sistema, en el Fediverso trabajan varias organizaciones y personas a nivel mundial y llegan a acuerdos sobre cómo se debería funcionar una red de redes sociales.

Soy usuario de Mastodon desde el año 2017, y entre 2009 y 2013 fui muy activo en una plataforma similar conocida como Identica. Creo que las redes sociales federadas son el camino correcto hacia una internet más libre, diversa y donde la ciudadanía puede empoderarse de la tecnología. La actividad de Elon Musk como dueño de Twitter a finales de 2022 muestran los riesgos de depender de plataformas de un solo dueño.

En este momento existe una oleada de gente nueva a Mastodon y hay mucho más contenido que el existente previo a que Musk comprara Twitter. Espero que esto sirva para que más gente se dé cuenta de que existen otras formas en la que internet puede funcionar y podamos apropiarnos de la tecnología. Sin embargo, dudo mucho que este sea el fin de Twitter y el despegue del Fediverso. Probablemente en un futuro, a través de legislación, Twitter y las otras redes sociales se vean obligadas a federar con ActivityPub u otro estándar.

Las redes federadas tienen cierta complejidad, que en un principio puede hacer la transición menos sencilla de lo que la mayoría de la gente quisiera. Sin embargo, debemos valorar que todavía podemos tener cierta autonomía. Twitter sigue siendo más conveniente para la mayoría de las personas, pero hay que ser conscientes de que no somos su prioridad.

La libertad no es gratuita y la conveniencia es una droga muy adictiva. Es importante dudar de los sistemas que utilizamos, saber quién está detrás de los mismos, cuestionarnos si nos dan libertad o nos capturan para hacernos dependientes. De nosotres depende decidir si queremos tener control sobre la tecnología o si queremos cederlo a un puñado de millonarios.

Sigue a Derechos Digitales en Mastodon: https://mastodon.social/@derechosdigital

Una última mirada a los derechos digitales en 2022

Cuando comenzamos 2022, una esperanza comenzaba a crecer en buena parte del mundo: las vacunas para reducir los contagios y los síntomas de la COVID-19 surtieron efecto y llegaron a más grupos de la población. Lentamente, aspectos de la vida prepandémica volvían a materializarse y, después de dos años dramáticos, el mundo parecía realinearse.

Pero el año inició con tumulto mundial: una invasión en Europa oriental creaba una crisis humanitaria de incalculable costo humano, que a su vez desviaba la atención de otras crisis en África oriental, en Asia meridional, en América Latina. Nuevas desigualdades, internas y externas, se hicieron patentes, ahora bajo la presión del riesgo vital de una pandemia que no termina.

Como en buena parte del mundo, América Latina ha visto el agravamiento de las distintas crisis superpuestas, agudizadas por un horizonte de crisis económica que está en pleno desarrollo. Aun así, grandes aires de esperanza se sintieron en la región, en la resistencia al abuso y la injusticia, y en la participación política en varias elecciones.

En América Latina, el 2022 partió con revelaciones de hackeo a periodistas en El Salvador, en una réplica de lo que fue descubierto años antes en México, revelando que el espionaje ilegal estatal con herramientas importadas continúa en la región.

A la vez, la vigilancia masiva todavía es una disputa inconclusa. En una insigne victoria para el activismo local, en México el invasivo Padrón Nacional de Usuarios de Telefonía Móvil (PANAUT), aprobado a fines de 2021, fue declarado inconstitucional, impidiendo la vinculación entre la identidad de un usuario de teléfono y su información biométrica, entre otros datos, en una decisión anunciada en abril. Poco antes, se había detenido en el metro de San Pablo, Brasil, el uso de un sistema de reconocimiento facial automatizado, aunque luego fue autorizado por la justicia. Esa batalla continúa, ahora contra una iniciativa por extender el reconocimiento facial a toda la urbe. En la Ciudad de Buenos Aires, en tanto, la justicia declaraba la inconstitucionalidad de un sistema de reconocimiento facial.

En Colombia, una preocupación constante por la incorporación de mecanismos legales para fórmulas riesgosas de identidad digital, como también un debate sobre neutralidad de la red y zero-rating se tomaron parte de la agenda después de la fuerte escalada de violencia de las protestas de 2021. El uso de máquinas digitales para el proceso electoral fue, como siempre, objeto de escrutinio.

Al igual que en Colombia, y ante los ojos del mundo, una nueva elección presidencial en Brasil ofrecía esperanza, pero también mostraba algunos de los peores temores de la región: torpes intentos de control de la desinformación amenazaban con alterar el funcionamiento de la mensajería personal, mientras varias acusaciones de desinformación enfrentaban al gobierno y a las iniciativas de empresas privadas por controlar el discurso en línea. Que todo eso ocurriera mientras aumentaba el gasto en tecnología de hackeo y vigilancia hacía temer por el futuro.

Por cierto, las protestas sociales de los últimos años no cesaron. En Ecuador, fuimos parte del reclamo de la sociedad civil en rechazo a la represión y la vigilancia en el marco de protestas sociales a mediados de año. Presentamos a la ONU múltiples antecedentes sobre situaciones de afectación de derechos, especialmente vinculados a la expresión y la protesta, en un informe dentro del contexto del Examen Periódico Universal. En paralelo, continúa el cuestionado juicio contra Ola Bini a pesar de las reportadas infracciones al debido proceso. También vimos que persiste la represión de la expresión y la protesta en Nicaragua, incluido el allanamiento y cierre de organizaciones y de medios de comunicación, alarmando a expertos internacionales que exigen visitar el país. Y, en Venezuela, informes tanto de la industria de las telecomunicaciones como de la sociedad civil, mostraron el nivel de vigilancia y represión en ese país.

Al mismo tiempo, Brasil progresaba en un área sensible para toda la región: la protección de datos personales. Sin ser un debate ajeno a la contingencia, Brasil avanzó en el otorgamiento de autarquía de carácter especial a su nueva autoridad de control de datos personales. Por su parte, Ecuador –que promulgó su ley en 2021– inició este año el proceso de reglamentación de la ley. En Chile, paso a paso se Avanza en un proyecto de reemplazo a una ley que hoy es ineficaz ante casos públicos de vulneración de los derechos sobre los datos.

También hubo otros relevantes debates legislativos en la región, para los que este recuento quizás no basta. Fuimos testigos de la discusión por una nueva ley de inteligencia artificial en Brasil, como también en iniciativas de leyes sobre ciberseguridad, sobre desinformación y sobre ciberdelitos en varios países de la región. Nuestro trabajo de monitoreo continúa con intensidad para identificar las oportunidades, los riesgos a las libertades y derechos que puedan acompañar a esas iniciativas. Nos involucramos en la discusión por una nueva constitución en Chile, con propuestas surgidas desde distintos lugares y grupos del país.

No obstante también aprovechamos instancias globales que afectan a América Latina. Como ejemplos, contribuimos a informes de oficinas de expertos de Naciones Unidas sobre apagones de internet y sobre inteligencia artificial y privacidad. Participamos en procesos como la reunión de plenipotenciarios de la UIT, en la peligrosa discusión por un nuevo tratado sobre ciberdelitos, en el debate global sobre normas para el comportamiento de los Estados en el ciberespacio, y mucho más.

Mirar hacia el futuro

Todo lo anterior es apenas una muestra de lo intenso que fue el trabajo del año desde nuestro activismo. No obstante, también hubo muchísima colaboración, la misma que creemos que es parte esencial de la proyección hacia el futuro de la labor de Derechos Digitales.

Como organización, el año también fue de oportunidades de cooperación cruciales para la región. Volvimos a albergar un evento virtual de difusión, intercambios y aprendizajes. Participamos muy activamente en la organización del Foro de Gobernanza de Internet de América Latina y el Caribe, el LAC IGF. Nos reunimos con nuestras aliadas de la coalición Al Sur para comenzar a pensar en el futuro, en un primer encuentro presencial después de años. Mantuvimos numerosos talleres y reuniones con organizaciones e instituciones a nivel regional y global. Y nos sumamos como socios organizadores, con esperanza, al Movimiento por una Mejor Internet.

Logramos también apoyar a 21 iniciativas de acción de 12 países de la región a través de nuestro Fondo de Respuesta Rápida, no solo facilitando la respuesta ágil a situaciones de emergencia, sino también favoreciendo el aprendizaje en múltiples contextos de activismo. Es a través de procesos como este que la colaboración de 2021 con el ODIA argentino ayudó en la declaración de inconstitucionalidad del sistema de reconocimiento facial en Buenos Aires. Mecanismos de apoyo como este Fondo demuestran que existen nuevas posibilidades para la articulación de organizaciones en la región.

Lo más importante: en una época global de grandes cambios, consolidamos un equipo sólido, de muy diversos orígenes y perfiles, fortaleciendo nuestra capacidad de trabajar en distintos ámbitos. Sabemos que en 2023 habrá más cambios, pero también que con ellos vendrán nuevas oportunidades de colaboración interna y externa.

Aunque ha sido un año desafiante, sentimos orgullo por el camino recorrido y mucha esperanza en el que queda por recorrer. La mirada introspectiva ha sido fuente de gran aprendizaje, como también de importante reflexión sobre lo que necesitamos seguir haciendo. Porque creemos en nuestro derecho y en nuestra capacidad de crear un futuro más justo para América Latina, reconocemos lo que significa el fin de 2022 y damos la bienvenida a 2023.

Guacamaya: El espectro de color de su mensaje

Una vez más es a través de la acción de un grupo de activistas informáticos que varios países de América Latina (Chile, Colombia, El Salvador, México y Perú, hasta ahora) han conocido información acerca de las acciones reñidas con el estado de derecho que dan cuenta de la vigilancia selectiva de periodistas y activistas de derechos humanos, así como de otros ilícitos de corrupción, obstrucción de la justicia y asociación criminal.

La técnica utilizada por los especialistas informáticos no reviste el nivel de sofisticación a que la ciencia ficción nos tiene acostumbradas Más bien toma ventaja de la falta de diligencia de los organismos públicos implicados para protegerse de las vulnerabilidades de los softwares que utilizan en sus labores, las cuales venían siendo advertidas por los proveedores a sus usuarios desde marzo de 2021.

Pero más allá de la espectacularidad de la deficiencia de los ejércitos de la región implicados en las revelaciones -que se sirven de tecnología sofisticada de vigilancia, pero fallan en actualizar sus softwares más básicos- lo que nos interesa aquí es dedicar una reflexión a la tensión que esta nueva filtración revela entre el interés público y la proporcionalidad de los impactos de tal revelación para individuos y países.

La falta de mecanismos efectivos de control sobre la acción de fuerzas armadas y sistemas de inteligencia dependientes de éstas en nuestra región, nos deja sistémicamente con este tipo de filtraciones como la única fuente efectiva de información para que -mediada por la valiente acción de sus reveladores y de la prensa que la procesa- la ciudadanía tenga ocasión de exigir rendición de cuentas a estos organismos y al poder político que se supone los controla, pero que como la información muestra se presenta muchas veces como cómplice o encubridor de las acciones ilegales reveladas.

Aquí la reflexión se encamina hacia los componentes de una tormenta perfecta: por un lado, la tecnología de vigilancia continua su avance de sofisticación, la oferta de tecnología de vigilancia en nuestra región se hace más atractiva comercialmente, y los Estados acceden a ella con mayor frecuencia y facilidad, sin que su alto costo sea un obstáculo. Pero al mismo tiempo, nuestros países aún carecen de marcos normativos nacionales sólidos y estructuras de control independientes capaces de realizar el escrutinio de qué se adquiere, para qué y cómo se usa en la práctica.

La sociedad civil de nuestra región, enfocada en la defensa de los derechos digitales viene advirtiendo desde años la necesidad de robustecer los marcos normativos para poder exigir la rendición de cuentas de los organismos estatales que tienen acceso a tecnologías de vigilancia bajo razones de control de orden público y seguridad nacional, pero hasta ahora no existe ningún país en la región que esté a la altura de lo que requiere una protección efectiva de los derechos fundamentales y el estado de derecho. Aquí es que Derechos Digitales y otras organizaciones de la región venimos abogando por un rol para la Comisión Interamericana de Derechos Humanos a través de la creación de estándares anclados en la Convención Americana de Derechos Humanos que orienten a los países de la región en el control del uso de la tecnología de vigilancia para que respete los derechos humanos.

Además de los estándares de control del uso de la tecnología por los organismos estatales cabe preguntarse por el impacto de las revelaciones Guacamaya en el interés colectivo desde la perspectiva de su proporcionalidad. Bienvenido es saber de los ilícitos que se han cometido en el uso de la vigilancia ilegal y otros crímenes revelados, pero ¿qué pasa con todos aquellos que aparecen tocados por las revelaciones como testigos, víctimas o ejemplos de resistencia interna? ¿Cuánto sacrificio de su propia intimidad y derechos es admisible en miras del interés público de la revelación? ¿Es este ejercicio de balance efectivamente conducido en forma previa a la revelación por parte de los grupos activistas responsables de ellas? ¿Qué medidas pueden adoptarse proactivamente por las reveladoras o la prensa para prevenir el impacto individual negativo de las revelaciones?

Una última arista de la revelación de información sobre el accionar de las fuerzas armadas de este caso es el impacto que tal información puede tener en la soberanía y seguridad nacional de los países implicados, así como ellas evidencian pobres desempeños en la garantía de la ciberseguridad. Más allá de la absoluta necesidad de poner límite y fin a las acciones ilícitas reveladas, cuidado con arrojar el bebé junto con el agua de la bañera, ya que mucha de la información revelada también da cuenta de acciones estratégicas de los organismos y puede generar incentivos al desarrollo de acciones maliciosas contra la seguridad y estabilidad nacional, que a la larga repercuten en un ambiente más inseguro e inestable para el ejercicio de derechos de la ciudadanía.

Confiamos en que más allá del impacto de las concretas revelaciones de la filtración Guacamaya, estas sirvan para llamar la atención en nuestra región hacia la urgencia de: estándares (nacionales y regionales) de control efectivo del uso de tecnología de vigilancia; un activismo informático balanceado que resguarde proporcionadamente los derechos de la ciudanía que están implicados en este tipo de revelaciones; y una conducta responsable de los organismos públicos en la garantía de la ciberseguridad de sus operaciones en protección de su ciudadanía.

Incidentes de seguridad en instituciones públicas: la deuda que los Estados aún no pagan

Hace algunos días la prensa daba cuenta de una  alerta dentro del poder judicial de Chile, tras detectar el ataque informático en la forma de ransomware,  afectando a un número importante de equipos con que funcionan los tribunales de justicia.

El ataque llevó a la paralización de muchas de las funciones regulares de la justicia en Chile. Ocurrió poco después de una enorme filtración de correos desde las Fuerzas Armadas chilenas tras otro ataque que explotaba una vulnerabilidad antigua y conocida. Fue semanas después de un ataque al Servicio Nacional del Consumidor en el mismo país.  Son algunos de los tantos  episodios solamente dentro del último año en la región, que también incluyen ataques y filtraciones en servicios públicos tales como sistemas de salud y de asistencia social en Brasil, servicios de importación y de supervigilancia de empresas en Colombia, servicios municipales y de tránsito en Ecuador, y una importante seguidilla de ataques en Costa Rica, con elevados costos.

Desde la perspectiva de los órganos atacados, resulta evidente que el riesgo de estos ataques termina siendo soportado por las personas usuarias de los servicios públicos, es decir, potencialmente toda la población y especialmente aquellos sectores con más interacción con el Estado. Es por ello que resulta crucial que los esfuerzos de seguridad mantengan a las personas en el centro, y que los riesgos se consideren de manera sistémica no como problemas de computadoras, sino como una posibilidad real de intensa afectación de los derechos de las personas. Sea en ámbitos de salud, defensa nacional o administración de justicia, la falla de sistemas del Estado puede tener consecuencias muy gravosas.

Desde la perspectiva del rol del Estado, se hace cada vez más  necesario contar con herramientas para prevenir y mitigar daños, y de manera integral, para incorporar mejores prácticas organizacionales sobre seguridad y asegurar su actualización.

No es este el espacio para reiterar el sinnúmero de recomendaciones en términos de seguridad, sino más bien para reiterar aquello que con cada nuevo ataque se vuelve patente: es urgente que los Estados latinoamericanos se tomen en serio las necesidades de seguridad que ya son parte de sus agendas, políticas nacionales y estrategias de ciberseguridad.

Por cierto, ni los más avanzados sistemas tecnológicos de defensa son suficientes sin capacitación y buenas prácticas. Organizaciones como Derechos Digitales han sido insistentes en la promoción de prácticas de seguridad digital, que incluyen la concientización para hacer frente a los riesgos de la ingeniería social como forma de vulneración de sistemas informáticos. A la vez, es importante que exista institucionalmente capacidad para promover y exigir estándares altos de seguridad en la operación cotidiana.

Los caminos globales a un ciberespacio seguro

Una de las grandes preocupaciones en torno a los ataques cibernéticos es la relativa a los ataques iniciados a gran distancia geográfica o a través de las fronteras de distintos países y la seguridad de las redes de comunicación global. Así, la ciberseguridad será parte de la agenda de la Conferencia de Plenipotenciarios de la UIT. Por otra parte, la persecución de los delitos propiamente cibernéticos y de los delitos facilitados por el ciberespacio se ha vuelto una materia donde la cooperación internacional se torna necesaria. El Convenio de Budapest, de creciente adopción en la región, invita a la colaboración entre los Estados; su segundo Protocolo Adicional, en tanto, pretende justamente reforzar la colaboración entre estados. El análisis de ese protocolo por Veridiana Alimonti expone las debilidades del mismo para el resguardo de derechos en la investigación y persecución de delitos. Esa cooperación es también parte de la discusión en la ONU de un nuevo tratado sobre ciberdelitos.

El rol de los Estados en la preservación de la paz y la seguridad internacionales en el ciberespacio ha sido objeto de intensa discusión entre los Estados. Esa discusión también tiene su centro en el segundo Grupo de Trabajo de Composición Abierta sobre los Avances en la Esfera de la Información y las Telecomunicaciones en el Contexto de la Seguridad Internacional convocado por la Organización de las Naciones Unidas (el OEWG). Allí, se ha destacado con frecuencia el riesgo tanto a nivel interno como internacional que representan las amenazas en el ciberespacio. Ataques sobre servicios o infraestructuras críticas, incluyendo a servicios públicos y poderes del Estado, afectan no solamente los derechos y las posibilidades de desarrollo, sino también la paz y la estabilidad internacional. Especialmente preocupante es que tanto los Estados como actores no estatales han adquirido capacidades crecientes para conducir ataques sobre infraestructura crítica y sobre infraestructura crítica de la información. Pomover la colaboración como el aprendizaje mutuo y la formación de confianza se vuelven necesarias también a nivel internacional.

En el OEWG, durante la sesión de julio de 2022, una propuesta de varios países del mundo, incluidos Chile y Costa Rica, sugería incorporar al texto del informe de progreso del OEWG la mención explícita tanto a las capacidades cibernéticas militares de los Estados, como al ransomware como forma concreta de amenaza a sistemas críticos en el uso malicioso de las tecnologías de información y comunicación. Es significativo que países tan célebremente afectados por estos ataques destaquen que distintos países con distintas capacidades pueden sufrir de manera distinta y más grave con ataques informáticos sofisticados. Aunque el texto no llegó al informe final, y considerando también el largo camino que queda hacia el futuro en el OEWG, las tensiones geopolíticas propias del proceso pueden volverse así un obstáculo para el consenso mundial.

Octubre: el mes de la ciberseguridad

La responsabilidad de los Estados en relación con las tecnologías va más allá de la respuesta a incidentes específicos o al hackeo exitoso de la semana. Se requiere una conducta activa tanto para promover un ciberespacio seguro como para proteger su propia infraestructura, y medidas que acojan la pericia recogida por distintas partes interesadas, apoyándose en ellas para promover la capacitación y generar confianza, así como para generar los cambios que la seguridad requiere sin afectar negativamente intereses legítimos. Es llamativo que justo al iniciar otro mes de la ciberseguridad, la contingencia nos recuerde cuán en deuda están los Estados.

De extremo a extremo

Las disputas por el cifrado son de vieja data. Sin embargo, recientes propuestas relacionadas con poner freno al abuso sexual infantil en línea han generado nuevas críticas,  pues podrían constituirse en puertas traseras y romper la promesa de privacidad que ofrece el cifrado en internet. Entre las propuestas más sonadas están la de Apple, que fue revertida rápidamente, y la de la Comisión Europea, que busca disponer de los recursos necesarios para que los proveedores de servicios puedan detectar, reportar e intervenir contenidos relacionados con el abuso.

Más allá de acciones, indudablemente necesarias como la prevención y reacción frente al abuso sexual infantil, hay muchos otros motivos por los que gobiernos y organismos judiciales consideran, todavía hoy, legítimo debilitar el cifrado en las comunicaciones. Estos motivos han sido fuertemente cuestionados y refutados desde distintos sectores que abogan por la defensa del cifrado de extremo a extremo (E2EE, por sus siglas en inglés).

Recientemente, el consultor en seguridad de redes Alec Muffet escribió un documento dirigido a la Sociedad Civil, donde declaró que “todo el mundo debería dejar de hablar de cifrado de extremo a extremo” y en cambio, referirse a la “seguridad de extremo a extremo (E2E)” ya que el cifrado, dice, es una tecnología, mientras que la seguridad es un resultado deseable, que no se garantiza automáticamente con el cifrado.

Esta propuesta presenta similitudes con  un internet-draft que se desarrolla actualmente en el área de seguridad de la IETF, donde se plantea que “si bien el cifrado es fundamental para el principio de extremo a extremo, no lo sostiene por sí solo”, pues no garantiza la autenticidad ni la integridad de los datos. La aparición de, al menos, estos dos documentos, da cuenta de una necesidad renovada de determinar cómo entendemos el principio de extremo a extremo en internet, y cómo puede este proteger la privacidad y la seguridad en las comunicaciones.  

Internet es un ecosistema cada vez más complejo, del que participan como intermediarios distintos sistemas y actores. Mientras el cifrado permite garantizar la confidencialidad de las comunicaciones, esto es, del contenido de los mensajes y no necesariamente protege los metadatos que acompañan dichos contenidos.  Los metadatos ofrecen  cada vez,  más información sobre quienes envían y reciben mensajes, haciéndoles potencialmente vulnerables frente a, por ejemplo, intromisiones en su privacidad.

De ahí que resulte importante, como decía Miguel Flores  en su columna de la semana pasada, “agregar los apellidos autónomo y federado pensando en las mejores condiciones de privacidad para las personas usuarias”. Sin embargo, para Muffet, esta demanda puede ser muy negativa en la defensa de la seguridad de extremo a extremo, porque distrae la atención y genera desconfianza en las plataformas corporativas que operan de manera centralizada bajo modelos de negocios basados en el manejo de metadatos.  El problema central, sostiene, es de confianza, en un ecosistema donde las plataformas centralizadas existen y son quienes hoy manejan la mayoría de los datos de las personas usuarias en el mundo.

Desde una perspectiva técnica de diseño, el internet-draft sobre definición del cifrado de extremo a extremo plantea que “un sistema es completamente confiable si, y solo si, es completamente resiliente, fiable, responsable y seguro, de manera que satisfaga de manera consistente las expectativas de las personas usuarias”.

Por su parte, Muffet plantea que los modelos de negocio basados en el acceso a metadatos no rompen de ninguna manera la seguridad E2E, siempre que dicho acceso se haga de manera transparente, permitiendo a las personas usuarias tomar decisiones informadas sobre qué servicios usar y cómo. Y en consecuencia con esto, refiriéndose al cifrado dice que resulta «crítico no permitir que los legisladores regulen sobre la forma de las arquitecturas de software, en lugar de su intención y su uso«.

Es cierto que no existe una solución técnica, ni regulatoria, que por sí sola garantice la privacidad y la seguridad de las personas usuarias de internet. También es cierto que cualquier acción en defensa de la privacidad requiere una lectura del contexto, esto es, de la manera como está hoy configurado el ecosistema de internet, y sus actores corporativos dominantes. Pero además de eso, es necesario reconocer que, todavía hoy, internet funciona gracias al acceso a una cantidad enorme de metadatos que no están cifrados, y que son utilizados para la gestión del tráfico en las capas más bajas de internet.

Sin ánimo de distraer la atención, respecto de una expectativa de “seguridad de extremo a extremo” tal como la plantea Muffet, es importante considerar al menos dos elementos que también son críticos. De una parte, lo problemática que resulta la idea de las “decisiones informadas” para las personas usuarias, desconociendo múltiples brechas de acceso a internet. De otra parte, desde lo técnico, la importancia de fortalecer la privacidad, no solo en las aplicaciones sino también en la gestión del tráfico en internet.

De lo primero. Allí donde una persona puede “decidir”, por ejemplo, implementar cifrado múltiple para evadir el filtrado de contenido que se supone confidencial, hay muchísimas otras que no tienen las capacidades técnicas, o la información, o simplemente la opción de elegir. Esto no debería ser un argumento para la defensa de un status quo sobre la posición dominante de ciertas empresas que ofrecen servicios comerciales utilizados por el grueso de la población, sino más bien para cuestionar los modelos legislativos basados en las capacidades individuales de las personas para elegir, como han planteado las investigadoras feministas Joana Varón y Paz Peña.

De lo segundo, y por último. La arquitectura de internet se basa, cada vez más, en tecnologías respetuosas de la privacidad como TLS, QUIC o DoH, entre otras. De hecho, el Internet Architecture Board (IAB) realizará próximamente un taller sobre Técnicas de gestión en redes cifradas para explorar la interacción entre la gestión de la red y el cifrado del tráfico, con el fin de promover la seguridad y la privacidad de las personas usuarias al tiempo que cumplen requisitos operativos. Frente a estos importantes avances, queda todavía la inquietud de qué tanto podría minimizarse la cantidad de datos requeridos para la gestión del tráfico en internet.

El rol de la criptografía en el ejercicio democrático

Muchas de nuestras conversaciones privadas se dan en el ámbito digital. Lo que antes por condición propia de la comunicación presencial entendíamos por privacidad (juntarse en un lugar a conversar), no tiene las mismas seguridades en el entorno digital. Saber que nuestras conversaciones pueden ser vigiladas tiene efectos sobre nosotros, como la autocensura.

Durante décadas, y por ser la tecnología digital un elemento nuevo y con capacidades en desarrollo, no fue relevante pensar en comunicaciones cifradas dentro de las distintas aplicaciones de comunicación y almacenamiento de datos. Sin embargo, desde que internet se volvió masivo, incluyendo cada vez más aristas de nuestras vidas, han crecido la cantidad de ataques a las comunicaciones y datos almacenados.

Es en ese contexto que la criptografía, disciplina que estudia, investiga e implementa los métodos de cifrado, cobra una nueva relevancia.

¿Cómo funciona el cifrado en nuestras comunicaciones?

Uno de los esquemas más utilizados para el cifrado de datos en tránsito y que posee un uso masivo es el denominado cliente-servidor donde la comunicación entre el dispositivo del la persona emisora y quien provee el servicio es cifrada. De este modo, la comunicación desde el servidor de quien provee el servicio y hacia la persona destinataria de la comunicación también es cifrada. Este esquema logró solucionar en general la intervención de intermediarios no autorizados en la comunicación, pero debido a su diseño, generó un nuevo problema. El proveedor del servicio puede acceder a todo el contenido de las comunicaciones. Este problema se vuelve más grave en la medida que los servicios de comunicación digital se concentran en algunas pocas empresas de alcance global.

Debido a esto último, nace la necesidad de generar e implementar sistemas de comunicación con cifrado de extremo a extremo, esquema en el cual, y siempre que se cumplan condiciones de auditabilidad, el proveedor del servicio (quién posee control sobre los servidores mediante los cuales se realiza el intercambio) no puede leer los mensajes (descifrar).

Los sistemas de comunicación con cifrado de extremo a extremo nos dan la esperanza de que nuestras comunicaciones son inviolables inclusive por el proveedor del servicio, pero aún queda como objeto de valor para algunas instituciones los metadatos de las comunicaciones. Esto significa que aunque no tenga acceso a los mensajes entre dos o más personas, igualmente para el proveedor es posible saber quién se comunica con quién y a qué hora, y en algunos casos desde dónde se realizan las comunicaciones.

Es tal sentido cabe preguntarse si además de la defensa del cifrado deberíamos que agregar los apellidos autónomo y federado pensando en las mejores condiciones de privacidad para las personas usuarias.

Para poder tener alternativas públicamente auditables, autónomas y federados, a las opciones que nos ofrecen las corporaciones de alcance global, existen una serie de esfuerzos y y/o dedicaciones de una serie de organizaciones formales y grupos de personas que lo hacen posible. Del mismo modo, la promoción y el uso de dichos sistemas favorecen su proliferación.

¿Qué podemos hacer en la defensa de la criptografía y el desarrollo de sistemas digitales cifrados?

Potenciar su uso

Luego de varios incidentes de seguridad reportados y con un alto grado de influencia sobre las revelaciones de Edward Snowden en 2013 es que la inviolabilidad de las comunicaciones y del almacenamiento de datos fue cobrando mayor relevancia.

En los últimos años ha aumentado el número de herramientas y aplicaciones, de código libertado y privativas, que implementan distintos tipos y niveles de cifrados con el fin de resguardar la información de las personas. Uno de los motivos es que las personas usuarias han generado expectativas de funcionamiento sobre las características técnicas (no legales) de aquellas herramientas que utilizan, en torno a la privacidad de sus comunicaciones y datos. Esto reafirma el efecto y la influencia que puede lograr que las usuarias finales tengan clara la importancia de la criptografía y cifrado.

Potenciar la disciplina

Otra arista de importancia es la promoción de la criptografía, en términos de materia de estudio, de implementación de métodos y de implementación de herramientas. Si bien para las personas usuarias lo importante es contar una aplicación y servicio que implemente un cifrado seguro, esto no es más que la punta del iceberg de una cadena de procesos. Bajo lo primeramente visible podemos encontrar todas aquellas instituciones, educacionales por esencia o con objetivos diversos, sin fines de lucro o privadas, que son generadoras de conocimiento en el ámbito de la criptografía.

Es posible que para varios grupos de personas la implementación de herramientas que proporcionen un cifrado fuerte sean materia del mercado. También es posible encontrar grupos de personas que encuentran valor, y coincido con ellas, en la implementación de herramientas de cifrado autónomas (que puedan ser auto gestionadas). En este caso es además necesario contar con personas capacitadas en la implementación de soluciones, generalmente de código libertado, que cuenten con la capacidad de resguardar las comunicaciones y datos.

Si consideramos que el desarrollo de la criptografía es importante para el desarrollo de la sociedad actual entonces debemos apoyar, dentro de nuestras posibilidades, todos aquellas organizaciones, personas e instancias que la promueven.

Potenciar regulaciones acorde al derecho a la privacidad

Es fundamental destacar el rol que juegan las legislaciones respecto de las regulaciones que se realizan en ámbitos que impactan las implementaciones criptográficas.

Existen casos de proyectos legislativos que han tratado de legalizar el uso de puertas traseras en distintos servicios como herramienta de lucha contra distintos tipos de delitos. Un ejemplo de esto sucedió con las plataformas de redes sociales con sede en los EE. UU., como Facebook y WhatsApp, que se vieron obligadas a compartir los mensajes cifrados de los usuarios con la policía británica debido a un  tratado entre los dos países.

Otro ejemplo de esto , sucedió cuando durante el gobierno de Trump, se fomentó una  legislación que prohíba a las empresas tecnológicas usar formas de encriptación que las fuerzas el orden no puedieran descifrar .

Si bien a primera vista, en ambos casos pareciese una solución eficaz, el problema es nada impide que los criminales sí utilicen herramientas alternativas que les provean de privacidad y cifrado fuerte. En la otra cara, todas aquellas personas que utilizan los servicios en actividades legales quedan expuestas a que sus comunicaciones y datos sean expuestos.

Es evidente, entonces,  la importancia que juegan las legislaciones en torno a generar marcos institucionales que otorguen las garantías necesarias para la efectiva privacidad y ejercicio de la libertad de expresión en entornos digitales.

Debemos trabajar en la promoción del uso de sistemas que cuenten con métodos de cifrado que resguarden nuestra privacidad, y por ende nuestra liberta de expresión, en todos los ámbitos posibles. Y no se trata de un afán geek sobre el uso de la tecnología si no de las implicaciones actuales del cifrado en  el desarrollo de nuestras vidas en torno al ejercicio de la democracia. 

Pasaportes hackeados e infraestructuras vulnerables

En diciembre de 2020, la base de datos de la Dirección Nacional de Identificación Civil (DNIC, organismo que se encarga de la identificación de las personas físicas que habitan el territorio del Uruguay) del Ministerio del Interior de Uruguay fue hackeada.

La dirección del organismo lo reconoció con un comunicado donde declaró: “Informamos que el 8 de diciembre la DNIC detectó un incidente de ciberseguridad que se contuvo y por el que se desplegaron medidas técnicas, operativas y administrativas para contrarrestar el evento con expertos en la materia, tanto del Ministerio del Interior como del Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CertUy)».

La senadora Silvia Nane, representante del partido Frente Amplio realizó, en marzo de 2021, un pedido de informe parlamentario con 28 preguntas, en el que se solicitaban datos sobre el incidente. La solicitud fue reiterada en el mes de junio y, el 6 de julio, el Senado completo hizo su propio requerimiento al respecto.

“¿Están nuestros datos biométricos en peligro?”, preguntó en Twitter la legisladora. Agregó que: “Nos preocupa la falta de transparencia ante esta situación, y las explicaciones que se han hecho públicas no condicen con la realidad”.

En julio de 2022 se conocieron los resultados que arrojan más dudas que certezas y la discusión está lejos de aclararse.

De acuerdo con lo señalado en la respuesta al pedido de informes, la DNIC y el Ministerio del Interior de Uruguay vieron sus bases de datos comprometidas por un ataque informático que vulneró los datos de 84.001 pasaportes electrónicos, comprometiendo información sensible que incluye datos biométricos de las personas: fotografía, huella digital, nombre y número de documento de identidad.

Según Nane, el informe pone en manifiesto que las autoridades desconocen el alcance real del ataque. La Senadora expresó con preocupación que, respecto de los datos vulnerados en 2020, no se cuenta con información de que no hayan sido utilizados para otros fines. Consultado por medios de prensa, el informe del Centro Nacional de Respuesta a Incidentes de Seguridad Informática concluye que “no fue posible identificar el vector de ataque inicial, el origen del ataque, ni las subsiguientes actividades dentro de la red de la DNIC”. Además, cataloga el incidente como de “intrusión” con una “severidad muy alta”, y sostiene que “el análisis no pudo constatar ni descartar la extracción de datos fuera de la infraestructura de DNIC”. Las fuentes detallaron que «tampoco se puede hablar de hackers» ya que «no se pudo determinar si esa situación irregular fue externa o no”.

Otra de las preguntas realizadas por la Senadora consultó al Ministerio “desde qué momento se estima que los atacantes contaban con acceso a los datos”. La respuesta oficial sostiene que los “primeros registros del ataque” datan del 29 de octubre de 2020, mientras que las irregularidades fueron detectadas el 8 de diciembre del mismo año.  

En la respuesta al pedido de informes, el Ministerio del Interior declaró que no se cuenta con un Centro de Operaciones de Ciberseguridad en el organismo.  El informe que fue enviado a la legisladora indica que “se desplegaron las medidas técnicas de bloqueo inmediatas” ni bien se identificó la vulneración.  También indica que debido al ataque se han decidido migrar las bases de datos al Datacenter de Antel (empresa de telecomunicaciones estatal uruguaya). También se realizó una licitación pública internacional para poder cambiar el sistema de enrolamiento biométrico, ya que el vigente funciona hace 23 años.

El ministro del Interior de Uruguay, Luis Alberto Heber, manifestó a diferentes medios de prensa que se puede «asegurar a la población que no volverá a suceder».  Afirmó también que se renovará el equipamiento de la Dirección Nacional de Identificación Civil, ya que las máquinas existentes son “prehistóricas”. Dijo: «Hicimos la compra y un software que nos dé la seguridad de que no se pueda hackear así fácilmente».

Sin embargo, Federico Laca, exdirector general del Ministerio del Interior y asesor en ciberserguridad, indicó a La Diaria que “la infraestructura que está en el data center ministerial no fue comprometida”. Afirmó también que “son innegables las inversiones que se realizaron en tecnología en la administración pasada, pero  sucede que cuando hacés inversiones en tecnologías es que tenés que estar comprometido a mantenerla”.

 ¿Qué sucedió con los datos?

De acuerdo con las respuestas recibidas por parte del Ministerio del Interior, Nane manifestó que “no se pudo establecer el alcance total del ataque a la infraestructura de la DNIC”. Afirmó que “Los atacantes estuvieron más de un mes sin ser descubiertos” y que el informe deja en evidencia que quienes atacaron el sistema cuentan con «conocimientos avanzados de los sistemas internos, lo que le permitió acceder al servidor de esa base de datos y descargar a una máquina local toda la información vinculada al sistema de pasaportes”. 

La Senadora dijo al diario uruguayo El Observador que si bien se sabe que se afectó la información de pasaportes, no puede asegurarse que no se hayan comprometido otros datos de personas. Tampoco se puede asegurar el destino de la información obtenida de los pasaportes electrónicos, por lo que es imposible establecer la magnitud del hecho.

“¿Falta sentido de urgencia dado el incidente?”, cuestionó la representante nacional. Aclaró que aún se encuentra a la espera de los resultados de una auditoría iniciada en octubre de 2021 respecto al “estado actual en el marco de la ciberseguridad” en el Ministerio del Interior.

Según Nane, las respuestas brindadas por el Ministerio «no tienen nada que ver con lo que nos respondieron por escrito». Advirtió que «El Ministro del Interior, Luis Alberto Heber, dijo que tuvieron ese problema porque las computadores eran prehistóricas, pero cuando nos manda el listado de acciones que se van a tomar para remediar esta situación no hay un solo renglón que refiera a la compra de computadoras, por ejemplo».

Silvia Nane declaró también que realizará un nuevo pedido de información. «Ahora vamos a volver a hacer preguntas; y nuevamente esperamos y exhortamos que este tema sea tratado con seriedad, y que tengamos respuestas serias».

Es recurrente, cuando se habla de ciberseguridad pensar en criminales y estafas. Sin embargo, es importante pensar más allá de eso. El caso de Uruguay nos abre la posibilidad de pensar en la infraestructura de gobernanza de datos personales en la región. Hay actualmente en América Latina un desmonte de instituciones estatales encargadas de tecnología. Casos ocurridos en los últimos meses en Brasil, Costa Rica o República Dominicana son prueba de esto. Deja en evidencia la necesidad de reglamentaciones que exijan auditorías, y controles serios y profundos para que el tema no quede supeditado a pedidos de información que deban ser reiterados y reformulados.  No es posible alcanzar la tan deseada “digitalización” del Estado si esta no se hace en un marco de garantías para la ciudadanía. Y la garantía más básica debería ser una respuesta clara y concreta a la pregunta: ¿Quién tiene nuestros datos?