Las recientes filtraciones de datos muestran el alto coste de acumular información personal. En el Reino Unido, brechas de seguridad en tres aeropuertos expusieron datos relacionados con casi nueve millones de personas. En el sector fintech, clientes de Revolut vieron parte de su información divulgada por error a estafadores que se hicieron pasar por funcionarios. Además, unos ciberdelincuentes habrían ofrecido en la dark web escaneos de casi 153 millones de permisos de conducir estadounidenses y canadienses.

Estos incidentes tienen algo en común: ponen de relieve los riesgos que asumen las organizaciones cuando recopilan y conservan grandes cantidades de datos valiosos. Además de reforzar la ciberseguridad, conviene plantear una pregunta fundamental: ¿necesitan las empresas guardar tanta información personal?

## Más datos, más riesgo

Los procesos de verificación de identidad suelen pedir nombres, fechas de nacimiento, domicilios, imágenes de documentos y fotografías faciales. Después, esos datos pueden almacenarse y replicarse en distintos sistemas y proveedores. Cada copia añade otro posible punto de exposición.

Así, las organizaciones pueden terminar creando repositorios muy atractivos para los atacantes. Si se produce una brecha, la información robada puede facilitar fraudes, suplantaciones de identidad y ataques de ingeniería social. En general, cuanto más se recopila y conserva, mayor es la superficie que debe protegerse.

El riesgo crece a medida que los datos adquieren valor para los delincuentes y las herramientas de inteligencia artificial se vuelven más accesibles. Para reducir la exposición, no basta con proteger mejor la información: también es necesario reconsiderar qué datos hacen falta desde el principio.

## Verificar no significa recopilarlo todo

Muchos servicios digitales no necesitan conocer numerosos detalles sobre cada usuario. Un servicio con restricción de edad, por ejemplo, quizá solo tenga que confirmar que la persona supera una edad mínima. Una plataforma pública podría necesitar verificar la residencia, pero no acceder a todos los datos de identidad de quien realiza el trámite.

Las herramientas de autenticación que protegen la privacidad permiten comprobar requisitos concretos sin revelar información innecesaria. El principio es sencillo: pedir solo lo que se necesita, en el momento en que se necesita, y verificar que la respuesta sea legítima.

La minimización de datos puede ser, por tanto, una medida de seguridad. Si una organización conserva menos información, una brecha potencial ofrece menos material a los atacantes. Verificar un dato específico en lugar de almacenar un perfil completo también puede reducir los costes y las obligaciones asociados a su protección.

## Demostrar un atributo sin revelar la identidad

La criptografía de conocimiento cero ofrece una posible vía para hacerlo. Estas técnicas permiten demostrar que una afirmación es válida —por ejemplo, que una persona supera cierta edad— sin revelar los datos subyacentes que la acreditan.

En algunos modelos, una persona puede guardar credenciales digitales en su propio dispositivo, obtenidas de documentos de identidad con chip o de identidades digitales oficiales. Luego puede utilizarlas para probar atributos como la edad, la nacionalidad o la titularidad de un documento, sin entregar necesariamente su identidad completa al servicio que realiza la comprobación.

Cuando la generación de la prueba se lleva a cabo en el dispositivo de la persona, la información sensible puede permanecer allí. El servicio receptor obtiene la confirmación que necesita, pero no necesariamente los datos originales. Al conservar menos información reutilizable, la organización limita también lo que podría quedar expuesto si sufre un ataque.

## La privacidad como preparación para el futuro

Reducir la retención de datos será cada vez más importante en un entorno donde la inteligencia artificial puede facilitar la creación de identidades sintéticas y hacer más difícil distinguir la información auténtica de la falsa. También es prudente considerar que los avances en computación podrían cambiar, con el tiempo, la solidez de los métodos de cifrado actuales.

La criptografía de conocimiento cero no es una solución universal ni está completamente madura para todos los usos. Debe formar parte de una estrategia más amplia que combine controles técnicos, buenas prácticas de gestión y una recopilación responsable de información.

En última instancia, las organizaciones deberían preguntarse si necesitan conservar cada dato que solicitan. En un contexto donde la información personal es cada vez más valiosa y difícil de proteger, guardar menos puede convertirse en una de las medidas de seguridad más eficaces.

from Latest from TechRadar https://ift.tt/H8lBbmY
via IFTTT IA