Latinoamérica. En entrevista con Gigi Agassini, vocerA para Expo Seguridad México, especialista en seguridad física y ciberseguridad, se analiza el proyecto Llave MX desde una perspectiva crítica, destacando los riesgos asociados con la acumulación de datos personales y biométricos en una sola plataforma. Agassini advierte sobre las amenazas cibernéticas y físicas que representa centralizar información sensible sin contar con marcos regulatorios sólidos ni una infraestructura adecuada.
Ventas de Seguridad (VDS): Desde su punto de vista como asesora en seguridad física y ciberseguridad, ¿cuáles son los peligros más relevantes vinculados con la acumulación de información personal y biométrica en una sola plataforma, como Llave MX?
Gigi Agassini: La acumulación de datos personales y biométricos en una única plataforma representa un riesgo sistémico elevado. Desde el punto de vista de la ciberseguridad, el principal peligro es el de una violación masiva de datos que exponga información altamente sensible, afectando a millones de ciudadanos. Si esta base es comprometida, no solo se ponen en riesgo datos como el CURP o dirección, sino también características biométricas irreversibles, como huellas dactilares o rasgos faciales.
Desde la perspectiva de seguridad física, también existe un riesgo en cuanto a la protección de los centros de datos y servidores que almacenan esta información. Una plataforma de este alcance se convierte en un activo estratégico nacional, y como tal, podría ser blanco de ataques tanto cibernéticos como físicos por parte de actores maliciosos, incluyendo grupos criminales, hacktivistas o incluso intereses extranjeros.
VDS: ¿Qué lecciones podrían extraerse de experiencias internacionales en la puesta en marcha de plataformas de identidad digital que podrían resultar ventajosas para México?
Gigi Agassini: Existen múltiples ejemplos internacionales que ofrecen lecciones valiosas. Estonia, por ejemplo, ha logrado consolidar un sistema de identidad digital avanzado, seguro y ampliamente aceptado. La clave de su éxito ha sido una arquitectura descentralizada, cifrado de extremo a extremo, firma digital legalmente vinculante, y una legislación sólida que prioriza la privacidad del ciudadano. Asi como transparencia y constante educación a la ciudadanía. No quiere decir fue fácil, pues existió mucha resistencia, sin embargo, empezaron por el paso uno que fue, digitalizar el país y después aplicar la identidad nacional.
Otra experiencia útil proviene de India con Aadhaar, cuya implementación masiva enfrentó fuertes críticas por problemas de privacidad, vigilancia estatal y filtraciones de datos. Esta experiencia subraya la importancia de establecer límites claros al uso de los datos, mecanismos de consentimiento informado y transparencia institucional.
México puede beneficiarse de estos aprendizajes adoptando un enfoque “privacy by design”, promoviendo controles descentralizados y fortaleciendo los derechos del titular de los datos.
VDS: ¿Piensa usted que la acumulación de datos en Llave MX podría transformar a esta plataforma en una meta atractiva para los ciberdelincuentes? ¿Qué medidas de protección deberían tener prioridad?
Gigi Agassini: Definitivamente. Cualquier sistema que centralice datos tan valiosos se convierte automáticamente en una “joya de la corona” para actores maliciosos. Llave MX es, por diseño, un objetivo atractivo no solo para delincuentes comunes, sino también para ciberespías, mafias de identidad, grupos de ransomware y criminales.
Las medidas prioritarias deberían ser:
- Cifrado robusto de datos tanto en tránsito como en reposo.
- Autenticación multifactor biométrica, con capas adicionales para operadores del sistema.
- Segmentación de redes, evitando que una brecha comprometa toda la plataforma.
- Auditorías de ciberseguridad continuas e independientes.
- Simulacros de incidentes y respuesta rápida ante ciberataques.
- Protocolos de minimización de datos y control de acceso basado en roles (RBAC).
- Un robusto programa de gestión de riesgos de ciberseguridad que incluya un sólido y ágil governance, procesos para informar riesgos, procesos para escalar riesgos
VDS: En cuanto a seguridad física, ¿de qué manera debería resguardarse la infraestructura vital que sustenta Llave MX, teniendo en cuenta su importancia para millones de habitantes?
Gigi Agassini: La infraestructura crítica que sostiene Llave MX debe ser tratada como una instalación critica-estratégica nacional. Esto incluye centros de datos, oficinas operativas, y nodos de comunicación. Las medidas de protección deberían incluir:
- Clasificación de activos según su criticidad y exposición.
- Controles perimetrales físicos, videovigilancia, detección de intrusos y acceso restringido a zonas sensibles.
- Plan de continuidad de negocio y recuperación ante desastres (BCP/DRP), con sitios redundantes geográficamente separados.
- Evaluaciones de amenazas y vulnerabilidades físicas regulares, bajo un enfoque de Enterprise Security Risk Management (ESRM).
- Coordinación con fuerzas de seguridad y protocolos de emergencia ante sabotajes o desastres naturales.
- Un robusto programa de gestión de riesgos, como apunte en el punto anterior.
VDS: Desde el punto de vista de la confianza de la población, ¿qué acciones de transparencia y auditoría crees que deberían implementarse para incrementar la credibilidad del proyecto?
Gigi Agassini: La confianza no se impone, se construye. Para ganarse el respaldo de la ciudadanía, es indispensable implementar:
- Auditorías independientes y públicas, con la participación de organismos académicos y organizaciones civiles.
- Mecanismos de rendición de cuentas, con reportes periódicos sobre incidentes, accesos indebidos o solicitudes de datos.
- Paneles ciudadanos consultivos, que evalúen el uso ético de la plataforma.
- Campañas claras de comunicación y alfabetización digital, que expliquen a los ciudadanos cómo se protegen sus datos y cuáles son sus derechos.
- Transparencia a la ciudadanía sobre qué datos serán colectados, el propósito y uso de estos, quienes tendrán acceso a estos datos, propósito y uso, así como donde se guardarán, las medidas de seguridad y por cuanto tiempo serán almacenados. Este punto es verdaderamente relevante.
- Se requiere de un organismo independiente que vele por los intereses ciudadanos con autoridad jurídica y que funja como auditor externo.
VDS: ¿Qué papel debería tener la industria privada, especialmente las empresas especializadas en ciberseguridad, en la implementación y operación segura de Llave MX?
Gigi Agassini: El sector privado debe ser un aliado estratégico, no un simple proveedor. Las empresas especializadas en ciberseguridad pueden aportar:
- Tecnología de vanguardia, como análisis de comportamiento, inteligencia de amenazas y ciberinteligencia.
- Pruebas de penetración y simulaciones adversarias (red teaming) para evaluar la resistencia del sistema.
- Soporte en la formación y actualización del personal técnico, y en el desarrollo seguro de software (secure coding).
- Capacitador constante de diferentes áreas de experiencia que requiere un proyecto de esta magnitud.
- Además, el modelo de colaboración público-privado (PPP) debería incluir compromisos contractuales claros en cuanto a privacidad, confidencialidad y auditoría externa.
- Es importante controles de confianza para evitar corrupción y colusión entre sector privado y público, por eso la importancia del órgano independiente y de la TRANSPARENCIOA a la ciudadanía.
VDS: ¿De qué manera consideras la relevancia de la formación constante, para los programadores de la plataforma y los usuarios finales, en el triunfo y la protección de Llave MX?
Gigi Agassini: La seguridad no es solo un tema tecnológico, es también humano. Una plataforma como Llave MX requiere una cultura de ciberseguridad y privacidad sólida en todos los niveles. Para ello:
- Los desarrolladores deben ser capacitados en desarrollo seguro, gestión de vulnerabilidades y normativas como ISO/IEC 27001 o NIST SP 800-53. (Por mencionar algunos)
- Los usuarios finales deben recibir orientación clara y continua sobre buenas prácticas, riesgos comunes (como el phishing) y cómo ejercer control sobre su información.
- Además, debe haber formación para los tomadores de decisión, evitando que errores estratégicos expongan a la ciudadanía.
- La tecnología evoluciona constantemente, por eso un programa de capacitación es sumamente relevante para seguir actualizando nuestro programa de gestión de riesgos.
- La protección será solo la consecuencia de un verdadero programa de gestión de riesgos y sobre todo de un governance ágil y fuerte con roles y responsabilidades bien definidas. Que permitan reaccionar o tomar acciones ante cualquier situación.
- La transparencia como lo he mencionado alrededor de varias preguntas es fundamental para el desarrollo de una iniciativa como Llame MX
- Un país no digitalizado (como lo es México) sería un error implementar una iniciativa como Llave MX, ya que no se tienen los mecanismos para soportarla. Por lo que no hace sentido en términos de digitalización del país, cuando existe un alto porcentaje de la población que no tiene acceso a internet o no sabe como usarlo.
VDS: ¿Hasta qué punto piensas que están actualmente los marcos legales y normativos en México para salvaguardar la información personal en un proyecto de tal magnitud?
Gigi Agassini: México cuenta con una base normativa importante, como la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su equivalente para el sector público. Sin embargo, estos marcos presentan limitaciones frente a retos contemporáneos:
- No contemplan aún de manera integral los principios de privacidad por diseño y por defecto.
- Existen vacíos respecto al uso gubernamental de biometría y la interoperabilidad entre bases de datos públicas.
- Falta mayor articulación con estándares internacionales como el Reglamento General de Protección de Datos (GDPR) de la Unión Europea, que podría ser una referencia útil para modernizar la legislación.
- Faltan regulaciones para el uso y desarrollo de tecnologías como inteligencia artificial
- Falta mayor conciencia sobre la privacidad y una muy pobre aplicación de privacidad por diseño, lo que deja un vacío muy grande.
- Falta un ente independiente con fuerza jurídica que pueda ser el auditor y vele por los derechos de los ciudadanos como lo es la privacidad. Ya que no olvidemos que la privacidad es un derecho humano fundamental y casi nadie lo considera con esa importancia.
Es urgente fortalecer la autonomía, capacidades técnicas y sancionadoras del INAI que, para colmo de males, no existe más y deja un hueco inmenso. Solo con ese hueco concluyo rotundamente que México no está listo para dar un paso como lo pretende hacer. Pretender hacer algo que simule las tareas del INAI es por lejos lo que se busca con una entidad que tenga la autoridad y autonomía jurídica para velar por la privacidad ciudadana. Y claro, ayudaría mucho establecer una legislación específica para la identidad digital nacional.
VDS: Finalmente, ¿qué mensaje te gustaría darles a las autoridades y a la ciudadanía sobre la importancia de equilibrar la eficiencia digital con la protección de la privacidad y la seguridad en Llave MX?
Gigi Agassini: La transformación digital debe ser un catalizador del bienestar social, pero no puede avanzar a costa de la privacidad ni de los derechos fundamentales. Llave MX tiene el potencial de mejorar radicalmente la relación entre ciudadanía y Estado, pero solo si se construye sobre los principios de confianza, transparencia, responsabilidad y seguridad integral.
México no es un país digitalizado, y digitalización no es solo conectarlo al internet y listo. No es interconectado, no tiene la infraestructura que se requiere, los incidentes de seguridad que se han tenido, no les han dado el peso e importancia que corresponde, lo que manda la señal que no es importante para el gobierno tampoco y que solo se minimiza sin dar seguimiento a que paso y que se esta haciendo para remediarlo. Es claro que debe no solo digitalizarse el país, pero generar una verdadera cultura de seguridad y ciberseguridad. Con las estructuras que lo respalden y las instituciones que se requieran para su apoyo y cuidado jurídico.
A las autoridades les diría: una identidad digital eficiente sin garantías de privacidad es una amenaza latente. Si lo único que se busca es vigilar a los ciudadanos, es importante ser transparentes en eso también y no engañar detrás de una iniciativa que puede quedarse como otro elefante en la sala.
A la ciudadanía, le recordaría que la protección de datos es un derecho humano, y que su exigencia es una forma de fortalecer la democracia.
