Seguridad mediante transparencia

Ser seguro y ser transparente suelen considerarse conceptos opuestos. Hay prácticas como seguridad por oscuridad que promueven la falta de información como forma de proteger los sistemas. Si los atacantes no conocen o no entienden tu software, no pueden explotar sus vulnerabilidades. Por tanto, detalles como el código fuente, la arquitectura y la comunicación entre procesos son guardados en secreto por muchas organizaciones con la intención de proteger a sus usuarios y sus datos.

Sin embargo, organismos como el NIST (National Institute of Standards and Technology) y el CWE (Common Weakness Enumeration) identifican la "Confianza en la seguridad por oscuridad" como una debilidad. Técnicas como el black-box hacking, la ingeniería inversa o el abuso de fugas de información permiten explotar sistemas ocultos por oscuridad, dejando claro que esta estrategia es ineficaz y solo proporciona una falsa sensación de seguridad.

Empresas como Uber y Airbnb comprenden la importancia de la confianza e invierten activamente en ella. En sus aplicaciones, ofrecen contenidos centrados en el usuario, proporcionan interfaces atractivas y añaden funciones sociales (por ejemplo, compartir información sobre viajes o lugares de alojamiento, votar en sistemas de rating, etc.) para generar confianza a partir de la experiencia.

AWS, por ejemplo, invita a las compañías con buenas prácticas en la nube a compartir información sobre su infraestructura y cómo resuelven los problemas a los que se enfrentan. Es más, la propia AWS comparte cómo construyó sus servicios para garantizar la seguridad y fiabilidad a todos sus usuarios.

Por su parte, Microsoft mantiene una excelente documentación, la cual incluye fundamentos y explicaciones de sus decisiones técnicas, aportando así conocimientos y ganándose la confianza de los usuarios. Las prácticas de seguridad también son material que puede documentarse dentro de la aplicación y compartirse con el público, como hace WhatsApp, por ejemplo, con su cifrado de extremo a extremo.

Por otro lado, Meta tiene un buen ejemplo de página de status en la que la gente puede estar al tanto de los servicios afectados en todas las aplicaciones (por ejemplo, Instagram, Facebook, WhatsApp Business API, etc.). Esta página informa a los usuarios sobre las interrupciones menores y mayores y el trabajo en curso para solucionarlas. Además, las páginas de status pueden incluir métricas y filtros regionales, como es el caso de la de AWS.

Incluso si una compañía implementa prácticas de transparencia como las descritas anteriormente, la confianza se construye tanto externamente con los usuarios como internamente con el equipo. En una organización, la apertura transforma la seguridad psicológica, las conversaciones y el feedback que se recibe. La apertura en la cultura empresarial garantiza las condiciones adecuadas para crecer y aprender mucho en lo bueno, en lo malo, en la salud, en la enfermedad...

Todavía estoy muy fascinado por la mayor interrupción de GitLab, pero sobre todo por la respuesta del equipo. Un desarrollador borró accidentalmente la base de datos de producción junto con su copia de seguridad principal. Los ingenieros de GitLab explicaron la situación e iniciaron una transmisión en directo para documentar sus esfuerzos por solucionar el problema. Fue una situación muy estresante, pero GitLab es un proyecto de código abierto, y cada colaborador tiene un fuerte compromiso con la transparencia y el conocimiento abierto. Así que decidieron compartir públicamente su interrupción como estrategia de control de daños.

GitLab sigue siendo uno de los hosts más utilizados para almacenar código después de aquel fracaso. Nos enseñaron a todos a utilizar la transparencia para mitigar posibles malas impresiones en los usuarios. Sin duda, el esfuerzo en grupo y la apertura a la hora de resolver un incidente protegen y mantienen la confianza de los usuarios en los productos y servicios.