Medidas para evitar otro Signalgate
El alarmante fallo de seguridad de la Administración de la Casa Blanca, que al parecer reveló a un periodista detalles de un ataque militar planeado en Yemen, pone de relieve los riesgos de utilizar aplicaciones de mensajería para particulares en operaciones gubernamentales.
Es difícil creer que un gobierno confíe en una aplicación de mensajería de consumo, ni siquiera para conversaciones informales. Pero el hecho de que altos funcionarios las utilicen para asuntos altamente sensibles es realmente sorprendente. Es conocido que la Administración estadounidense utilizó Signal para coordinar ataques aéreos, que el equipo de Boris Johnson confió en WhatsApp durante la crisis de la COVID-19 y que en la campaña de Macron se utilizó Telegram.
Las Fuerzas Armadas suecas (Försvarsmakten) han anunciado recientemente que estandarizarán Signal para todas las comunicaciones no clasificadas. Esperemos que no sean las próximas en tener un Signalgate…
Este ya famoso Signalgate pone de manifiesto que no todo vale en el contexto de comunicaciones empresariales confidenciales y que un cifrado de extremo a extremo no es garantía de confidencialidad, especialmente teniendo en cuenta que el humano es el eslabón más débil en la seguridad digital: si uno de los receptores que recibe la comunicación está ahí por error, incluso el cifrado más potente se vuelve inútil.
¿Qué tipo de medidas pueden evitar que algo así suceda en un entorno empresarial o gubernamental, donde se maneja información confidencial?
La comunicación instantánea en entornos corporativos y gubernamentales es algo muy serio y exige una herramienta capaz de responder a las necesidades de confidencialidad en ese tipo de comunicaciones. Además del obvio cifrado de extremo a extremo, es fundamental contar con niveles de verificación de usuarios, que nos permitan categorizar los contactos que tenemos en la libreta de direcciones de nuestro móvil, distinguiendo claramente qué contactos están certificados como seguros o bien cuáles son internos y pertenecientes a la empresa y cuáles son externos. Por otra parte, la posibilidad de crear grupos de usuarios cerrados restringirá de forma automática y sin riesgos la comunicación a los contactos que previamente hayamos indicado como internos. Una vez estemos dentro de un grupo interno de usuarios, será imposible enviar o recibir mensajes de contactos externos. Dando un paso más allá, si contamos con una mensajería instantánea autoalojada en el servidor de nuestra empresa u organización, estaremos ante un entorno de comunicación completamente autónomo y seguro donde cualquier interacción estará restringida “de fábrica” a contactos internos, lo que sería lo indicado para un uso profesional en grandes corporaciones, así como para entornos gubernamentales y fuerzas de seguridad y del orden.
Miguel Rodríguez, CRO y miembro del consejo de Threema
