OPSEC 101 analógica – seguridad operativa en el mundo físico

Por mucho tiempo nos ha interesado la seguridad operativa (OPSEC), y aunque existen incontables buenos consejos técnicos sobre la seguridad de la información digital, siempre tuvimos la sensación de que algo faltaba. Después de todo, vivimos en un mundo físico, o analógico, y también en uno digital, y nos encontramos con otras personas reales. Después de preguntar por ahí, hallamos que una de las principales preocupaciones de nuestra comunidad técnica era cómo comportarse durante estas interacciones. Entonces decidimos ponernos a elaborar algunos consejos reales y fáciles de recordar justamente en estas situaciones.

Modelos de amenazas

La seguridad operativa OPSEC consiste en ocultarles información a tus adversarios. Hemos clasificado a nuestros adversarios en sólo dos grupos: los que poseen los recursos y los que no. Simple y sencillo.

El primer grupo incluye agencias de inteligencia, organismos militares, y los chicos malos importantes. En el segundo grupo se incluye el resto. Importante: sin recursos no significa sin peligro, pero son menos capaces de seguirte a menos que les entregues tu información sin ningún cuidado.

Nuestros consejos se concentran en encuentros con el primer grupo, ya que son los más probables de ocurrir.

Reclutamiento

Las agencias siempre están en busca de nuevos recursos, y lo han hecho desde siempre.

Todo comienza con el proceso de reconocimiento, es decir, la identificación de recursos que cumplan con sus requisitos basados en la posición y el acceso a la información. A continuación, trazan un perfil del blanco, recurriendo parcialmente a OSINT. Después viene el momento de elegir entre la zanahoria y el palo, y seleccionar el motivador más apropiado: dinero, chantaje, ideología, sexo, etc.

Entonces alguien se aproximará, quizás en persona, quizás mediante LinkedIn. Probablemente se presente como un empresario que nos pagará mucho por poco (algunos informes sencillos de vez en cuando).

Cuando esto sucede, queremos llegar cuanto antes a la fase de Terminación, idealmente después de haber sido descartados por ser una pérdida de tiempo y esfuerzos.

Podemos sencillamente decir “No”, pero ellos pueden incrementar la presión. Por otra parte, podemos rechazarlos mientras ofrecemos alternativas, dirigiendo la petición a otra persona preparada para hacerse cargo de la situación.

Crea un protocolo para ti mismo y para tu organización para manejar eficazmente estas situaciones, minimizando la exposición del investigador. Tienes que estar preparado para las situaciones en las que eres más vulnerable.

Fronteras

Cruzar una frontera internacional puede ser uno de los puntos más vulnerables. De alguna forma son como una dimensión paralela: aunque físicamente te encuentras en otro territorio, las leyes son diferentes, o quizás incluso inexistentes.

Hemos aprendido algunas cosas sobre las fronteras: siempre hay una excepción a la ley que los oficiales pueden aplicar en escenarios extremos. En este sitio podrás encontrar asesoría legal: https://www.eff.org/wp/defending-privacy-us-border-guide-travelers-carrying-digital-devices. Sin embargo, esto es lo que NO DEBES hacer:

• Estés o no estés de acuerdo con una revisión, NO detengas al oficial cuando empiece a revisar tus cosas. Es un delito.
• No tienes que responder a ninguna pregunta, pero si decides hacerlo, no le mientas al oficial. Es otro delito.

Estos son nuestros consejos para situaciones como esta. Estas reglas te ayudarán a mantener la calma y a no perder la cabeza. Pueden evitar que reacciones de forma indeseable, lo que empeoraría la situación, y que hables más de la cuenta, comenzando por cosas como: “No tengo nada que ocultar, déjeme explicarle…”

• Tienes que cooperar.
• No empeores las cosas.
• Ten tu historia preparada y tienes que estate listo para respaldarla.
• Regla de oro: ¡No traigas nada valioso contigo! Debes cifrar tu información, o subirla a un almacenamiento virtual, y recuperarla una vez que llegues a tu destino.

Otras situaciones

A veces podemos encontrarnos en camino a una reunión en un país extraño con la sospecha de que algo no anda bien. Nuestros consejos para esta situación:

• No vayas solo.
• No confíes en tu anfitrión para el transporte.
• Planifica rutas de escape y lugares “seguros”, y ten listos tus contactos.

En algunos casos, la reunión misma podría ser la “trampa”, sólo una excusa para hacer que dejes tu ordenador en un lugar conocido en el hotel o en un guardarropa.

Siempre es una buena idea avisarle a alguien a dónde te diriges y pedirles que reaccionen si no te pones en contacto con ellos en cierto tiempo. Esto también les alerta a tus adversarios de que estás listo: un comentario sencillo y casual bastará para ello.

Otra preocupación es la vigilancia física. Honestamente, si se trata de profesionales sofisticados, no hay mucho que puedas hacer y quizás ni lo notes. Pero recuerda: no hagas nada estúpido, no eres James Bond. Actuar como si fuera una película sólo puede empeorar las cosas.

Si estás muy preocupado, amplifica la situación y recurre al encargado en tu compañía de tratar con los contactos locales. Si te sientes incómodo, ve a un sitio público o directamente a tu embajada.

Conclusiones

Quizás ya hayas identificado algún tema común en la mayoría de estas situaciones planteadas. Primero, mantén la calma y no empeores las cosas. Puedes recurrir a una tercera parte para que envíe a la caballería cuando la necesites. Es por esto que tu compañía debe asignarte una persona de contacto para cuando tengas algún problema. También puedes necesitar apoyo legal internacional.

Sin embargo, la principal lección es: toma tus precauciones. Si viajas al extranjero, invierte tiempo buscando contactos locales, consigue los números de teléfono y dirección de tu embajada, planifica tus reuniones, avisa a otros dónde estás y asegúrate de que estén listos para actuar de inmediato en ciertas situaciones. Prepara tu ordenador portátil y considera qué información llevarás contigo. Si recuerdas estas lecciones, estarás bien.