Security Art Work

No sé si conocen el concepto de “Security Theater”, y permítanme que no traduzca la expresión. La idea, acuñada por Bruce Schneier, viene a representar la presencia de medidas de seguridad que aportan poca o nula protección, pero por contra son publicitadas ostensiblemente dando una falsa sensación de seguridad. De ahí la combinación de “seguridad” con “teatro”. Por ejemplo, hace unos días Bruce Schneier puso en su blog un caso que estoy seguro de que se repite en otros lugares: nadie vigila las 178 cámaras de seguridad de San Francisco, y en varios casos en los que diversos crímenes se realizaron frente a ellas, estaban incorrectamente orientadas. Por si esto no fuese suficiente, al parecer la visión “nocturna” es de ínfima calidad, lo que resta validez a las grabaciones. Por supuesto, como todo, este concepto tiene un efecto positivo, y uno negativo.

Empecemos por el segundo. En el caso mencionado, el ciudadano mira, y más allá de consideraciones de privacidad, ve las cámaras que le observan y en cierto modo, se siente seguro, protegido. Sin embargo, su sensación es simplemente una ilusión. Y eso le puede llevar a realizar acciones y correr riesgos que de otro modo no correría; no cambiarse de acera al cruzarse con alguien “sospechoso”, por ejemplo. Otro efecto negativo de estas instalaciones, sobre todo a partir del 11S, es la limitación de la libertad de las personas, sobre todo al otro lado del charco; con toda probabilidad muchas de las medidas de seguridad que se aplican en los aeropuertos contra ataques terroristas son inútiles, a causa de la complejidad y tamaño de éste, pero sirven como excusa para coartar la libertar y privacidad de las personas, y generar una falsa sensación de miedo en la persona; que esta consecuencia sea intencionada o un producto de la incompetencia administrativa es algo que no voy a entrar a considerar.

Como aspectos positivos, los security theaters tienen la facultad de actuar, siempre que el criminal no conozca la realidad de las medidas de seguridad, como algo parecido a los espantapájaros: al generar esta falsa sensación de seguridad, impiden que los criminales se sientan seguros para llevar a cabo sus planes. Siguiendo con el ejemplo anterior, la presencia de una cámara de vigilancia puede disuadir al delincuente de atracar a alguien. Otro ejemplo, más allá de la seguridad personal, son los sistemas antirrobo que hay a las puertas de muchas tiendas pequeñas; la mayoría hemos visto alguna vez el sistema de alarma sonando mientras alguien sale de la tienda, pero la mayor parte de las veces, no sucede nada. No hay guardas de seguridad, ningún dependiente sale a mirar, nada; la persona se gira, hace una mueca extraña de sorpresa o sonrojo, y sigue su camino sin que nadie le diga nada o le detenga. A pesar de ello, pueden apostar a que mucha gente que se siente tentada a realizar pequeños hurtos abandona la idea a causa de estos sistemas.

En la misma línea, hoy leía en El Economista que el Departamento de Homeland Security (DHS) de los EEUU está desarrollando un nuevo sistema de seguridad a implantar en los aeropuertos, que se basa en estudiar a distancia todos los indicadores corporales de una persona para conseguir “adivinar” si tiene intención de atentar o no; había leído antes sobre esto, pero no recuerdo donde. Hace poco, un niño de siete años y su familia pasaron un mal trago por la simple cuestión de llamarse éste igual que un paquistaní deportado (Javail Iqbal) por los EEUU [elmundo.es]. Y el mes pasado, salió a la luz que el aeropuerto de Phoenix pasaba 4,5 horas totalmente desatendido en materia de seguridad (ver también el comentario de Bruce Schneier, que entra además en otras consideraciones). Así que pienso que hay cuestiones más importantes a considerar —y solucionar— que este tipo de tecnologías invasivas y casi de ciencia ficción.

Aunque por supuesto, en un cierto sentido paranoico, una cuestión adicional a considerar en algunos de estos security theaters que les comentaba es quién y porqué, o en otras palabras, el coste y empresa encargada de la tecnología, y la razón política o económica detrás de ella.

Hace unas cuantas semanas, a raíz del documental de Michael Moore contra el sistema sanitario norteamericano, alguien en Google descubrió que tener un blog en el que representas a tu empresa implica que no siempre puedes decir lo que quieres, y menos si tu blog lleva por descripción “News and Notes from Google’s Health Advertising Team“. En este caso en concreto, Lauren Turner tuvo incluso que dar marcha atrás y matizar sus palabras, aunque a la vista del revuelo que se levantó no parece que las palabras que escogió para hacerlo fuesen las mejores. También es cierto que no deja de ser sospechoso que en un blog que es a todas luces corporativo aparezca algo que parece ser una opinión personal, así que personalmente me inclino más por un globo sonda de Google y una rectificación simulada que por un error real; es decir, una forma de publicitar sus poco populares prácticas sin que tal anuncio parezca venir oficialmente de Google. Recordemos que no estamos hablando del blog de Lauren Turner que casualmente trabaja en Google, sino más bien al contrario: el blog del equipo de Google encargado de publicidad relacionada con cuestiones de salud, en el que casualmente escribe Lauren Turner.

Bien, a estas alturas probablemente estén ustedes desconcertados. Lo anterior puede resultar muy interesante o no, y aunque Google es una mina en asuntos de privacidad con tal de rascar un poco la superficie, lo anterior no viene a tener nada que ver con la seguridad, o al menos no desde ningún punto de vista que yo reconozca. A pesar de ello, me pareció una manera interesante de empezar la entrada con la que presentar esta bitácora, porque si nos hubiesen seguido ustedes desde el principio, se habrían dado cuenta de que no hubo presentación oficial ni inaguración; únicamente una frase en aquella primera entrada que la posponía.

Así pues, he pensado que antes de que se vayan ustedes de vacaciones, no estaría de más hacer esa presentación algo más formal, o al menos informativa, que teníamos pendiente. Para empezar, les diré que sí, que este es un blog de S2 Grupo, en el sentido que todo lo que aquí se expresa se hace en representación de S2 Grupo, yo lo sé y todas las personas que emiten su opinión o sus impresiones lo saben. Pero al mismo tiempo, les aseguro que no, este no es un blog “dirigido” por S2 Grupo, en el sentido de que las entradas no siguen una línea predefinida, estudiada e impuesta desde la dirección, más allá de las temáticas relacionadas con la seguridad o los sistemas de información. En otras palabras, teniendo el debido cuidado, puede hablar uno de lo que quiera; casi de la misma manera que en un blog personal; nadie, excepto algún desaprensivo con demasiadas ansias de publicidad y audiencia, cuelga los trapos sucios de los amigos y la familia a los ojos del mundo, y nosotros no somos ese tipo de gente.

Cuando hace algunos meses se propuso la creación de un blog de seguridad, reconozco que la idea me entusiasmó. Llevo escribiendo en mi blog personal algo menos de cuatro años, y creo, aunque no a pies juntillas y de forma incondicional como mucha gente en esto del dospuntocero, que las bitácoras son una forma fantástica bastante buena no únicamente de darse a conocer, sino también de interactuar con otros profesionales interesados, en este caso, en la seguridad, sea del tipo que sea; quizá esa confianza algo menos que ciega en todo esto, y la experiencia acumulada, fuesen las razones de que se me “nombrase” responsable de esto que están leyendo y la principal de que esté aquí escribiendo esto.

Para acabar, les voy a ahorrar el chorro estadístico de datos, por escaso y tedioso. Sólo les diré que cuando empezamos hace ya casi tres meses no teníamos —lógicamente— ningún lector, más que a mí mismo, que no cuenta. En la actualidad tenemos una media de unos veinte lectores diarios más los veintitantos que entran a través del feed (aunque ambos medios no sean mutuamente excluyentes). Algunos de ustedes son clientes nuestros, otros no. No tengo dudas de que hay muchas cosas por mejorar, empezando por la frecuencia de actualización que quizá no sea la mejor (y esto es un guiño a mis compañeros), pero al menos les prometo que en lo sucesivo intentaremos incrementarla, con la esperanza no sólo de tener nuevos lectores sino de conservar los que ya tenemos.

En cualquier caso, como les dije en aquel primer post, bienvenidos.