Por el Dr. Mohamed Lazzouni
Este artículo se publicó por primera vez en SC Media.
Los datos biométricos se han convertido en el estándar preferido para la verificación de identidad. Amazon ha sido noticia recientemente al lanzar unas claves de acceso basadas en datos biométricos que permiten a los usuarios acceder a sus cuentas y servicios con solo mostrar su rostro. Esto elimina la necesidad de recordar contraseñas complicadas.
Además, la biometría es prácticamente imposible de burlar, sobre todo ahora que suele ir acompañada de funciones de « liveness detection » capaces de distinguir entre una fotografía y el rostro de una persona real, lo que ayuda a frustrar los intentos de suplantación de identidad.
La biometría promete mejorar la seguridad y optimizar considerablemente la experiencia del usuario. Según una de nuestras últimas encuestas, más de la mitad de los consumidores prefiere registrarse en un nuevo producto o servicio mediante datos biométricos, y esta sencilla forma de verificación hace que sean más propensos a seguir utilizando dicho producto o servicio.
A pesar de las ventajas, las organizaciones deben tener en cuenta algunos factores importantes para que la implantación de la biometría sea un éxito:
- Ofrecer opciones de aceptación o rechazo: Dar a los usuarios el control sobre el uso de sus datos biométricos y ofrecer alternativas a quienes no deseen facilitar sus datos biométricos. Diversos estudios sugieren que los estadounidenses están bastante dispuestos a utilizar la biometría. Sin embargo, sus niveles de confianza y comodidad dependen en gran medida del contexto en el que se aplique la biometría. Aunque los consumidores suelen confiar más en la biometría en el ámbito de los servicios financieros, se muestran menos confiados respecto a su uso por parte de las grandes empresas tecnológicas y de redes sociales. Desde el punto de vista ético, podemos hacer que todos los usuarios se sientan cómodos ofreciendo procedimientos claros de aceptación o rechazo, lo que les da un control total sobre cómo se utilizan sus datos biométricos. Si una persona no desea facilitar sus datos biométricos, las organizaciones siempre deben ofrecer un medio alternativo para verificar la identidad. En la gran mayoría de los casos, el deseo de comodidad prevalecerá y la mayoría de las personas optarán por el método biométrico. Un excelente ejemplo de ello: los aeropuertos de todo el país han observado que, al utilizar la biometría, pueden realizar el embarque en una fracción del tiempo que se tarda utilizando documentos de identificación estándar.
- Evita los sesgos: elige algoritmos entrenados con conjuntos de datos globales diversos para minimizar los sesgos. En las últimas semanas han aparecido muchas noticias sobre los sesgos en la biometría. Al analizar todas las opciones biométricas disponibles en el mercado, suele observarse una gran discrepancia en cuanto a la capacidad de los distintos algoritmos para lograr la neutralidad demográfica y la equidad, y, por lo tanto, tratar a todas las personas de forma equitativa. Por lo tanto, para eliminar los sesgos basados en la edad, el género o la raza, asegúrate de que el algoritmo seleccionado se haya entrenado con conjuntos de datos extremadamente diversos procedentes de todo el mundo.
- Realiza inversiones sensatas: los productos SaaS permiten una implantación asequible para empresas de todos los tamaños. Aprovecha la infraestructura existente siempre que sea posible: desde un punto de vista técnico, en el pasado solo las grandes empresas consolidadas podían permitirse implantar la biometría debido a la elevada inversión inicial de tiempo y trabajo que requería. Hoy en día, las organizaciones más pequeñas tienen la oportunidad de implantar soluciones biométricas basadas en SaaS, ideales para empresas de cualquier tamaño y que funcionan de inmediato. Además, en las aplicaciones de control de acceso físico (que garantizan que solo las personas autorizadas puedan acceder a unas instalaciones), hay una gran ventaja: en muchos casos, las organizaciones no tienen que añadir nueva infraestructura (como cámaras o lectores) ni sustituir la ya existente. Pueden aprovechar el equipo del que ya disponen, aprovechando además la tendencia de «trae tu propio dispositivo» (BYOD). La biometría, combinada con el BYOD, ofrece automáticamente los niveles superiores de seguridad asociados a la autenticación multifactorial (MFA). En resumen, a la hora de evaluar las soluciones biométricas, es importante tener siempre en cuenta cuánto dinero, tiempo y recursos tiene la empresa a su disposición para poner en marcha una aplicación. Hay que evitar en la medida de lo posible «desmontar y sustituir» todo, ya que esto genera desperdicio.
- Practica la transparencia: explica con claridad los protocolos de recogida, transferencia, conservación y eliminación de datos biométricos. Utilice técnicas de cifrado y anonimización. Nunca almacene datos biométricos junto con información de identificación personal (PII). Además, al implementar la biometría, las organizaciones deben mantener una total transparencia en cuanto a cómo se recogen los datos, cómo se transfieren para su tratamiento y cómo se conservan, así como cómo y cuándo se eliminan. En concreto, las organizaciones deberán destacar las medidas de protección adicionales que hayan establecido, así como el alcance (si lo hubiera) en el que los datos biométricos se comparten con terceros.
¿Cómo deberían los equipos recopilar y conservar todos los datos biométricos?
En lo que respecta a la recopilación, existen técnicas que los equipos de seguridad pueden utilizar para garantizar que los datos biométricos (una huella dactilar que sirve como clave de acceso) nunca salgan del dispositivo que los captura. En cuanto a la transferencia, se debe utilizar el cifrado tradicional para los datos en tránsito, y las organizaciones que gestionan los datos deben seguir siempre las mejores prácticas, como el uso de una VPN.
En lo que respecta a la retención de datos, las organizaciones están adoptando diversos enfoques innovadores, entre ellos la «biometría cancelable», en la que se utiliza para la autenticación una imagen biométrica distorsionada derivada de la original. Por ejemplo, en lugar de registrar una huella dactilar real (u otro dato biométrico), la huella se distorsiona intencionadamente de forma repetible y se utiliza una nueva huella. Si, por cualquier motivo, la huella antigua fuera «robada», sería posible generar una «nueva» huella simplemente modificando los parámetros del proceso de distorsión.
Además, existe una nueva técnica que descompone las plantillas biométricas en fragmentos anonimizados. Este enfoque hace que sea prácticamente imposible que un pirata informático acceda a plantillas biométricas completas, en el improbable caso de que consiga acceder a la red. Otras medidas de protección de los datos biométricos almacenados incluyen el borrado de los datos a intervalos regulares y el hecho de no almacenar nunca los datos biométricos junto con información de identificación personal (PII), de modo que, en el improbable caso de que un pirata informático acceda a los datos biométricos, estos no tengan ningún valor.
Aunque las ventajas y los beneficios de la biometría son enormes, hay cuestiones éticas y técnicas importantes que deben tenerse en cuenta antes de su implantación. Unos procedimientos de consentimiento claros y concisos, la prevención de sesgos, una inversión sensata y una definición exhaustiva de los protocolos de seguridad y protección de datos son fundamentales para el éxito de cualquier iniciativa relacionada con la biometría.
