Qué se registra
El agente en el endpoint captura cada evento de entrada con metadatos de contexto, de modo que un flujo bruto de caracteres pueda reconstruirse en un orden con sentido. La captura de pulsaciones es uno de los tipos de datos del monitoreo de actividad de usuarios. Cada elemento registrado incluye:
- Texto de las pulsaciones: los caracteres escritos, incluidos letras, números, símbolos y teclas de control como Enter o Tab. En conjunto reconstruyen palabras, búsquedas y mensajes.
- Contexto de la aplicación: el programa o la ventana del navegador donde se presionaron las teclas. Muestra dónde ocurrió la entrada.
- Marcas de tiempo: fecha y hora de cada pulsación, para alinear lo escrito con otros eventos de actividad, como un inicio de sesión, una transferencia de archivos o una alerta.
- Alcance de la captura: según la política, todos los usuarios de forma continua, solo cuentas marcadas o solo aplicaciones seleccionadas. Esta elección es la que más afecta la intrusividad.
Dónde se activa la captura
La captura es una configuración del perfil del agente. Está junto a las estadísticas de actividad del equipo y al control del portapapeles, por lo que su alcance sigue la política de monitoreo. Abajo, la consola muestra el interruptor de uso de keylogger para el perfil seleccionado.
Cómo usan las organizaciones los datos
El valor surge de buscar y correlacionar los datos de pulsaciones con otros datos de actividad. Usos típicos:
- Investigaciones internas: reconstruir qué buscó o escribió en un chat un sospechoso de filtrar información durante el periodo revisado, como parte de la detección de amenazas internas.
- Controles de fraude y de procesos: verificar qué escribió un operador en una transacción o en el registro de un cliente cuando se cuestiona su exactitud.
- Respuesta a incidentes: recuperar mensajes o comandos escritos en aplicaciones que no guardan un registro propio en el servidor.
- Análisis de productividad: usar el volumen de pulsaciones como indicador del tiempo de trabajo activo. Es un uso polémico que muchas organizaciones evitan.
Monitoreo de pulsaciones vs. keylogger
Técnicamente, un keylogger es el mismo mecanismo: software o hardware que registra las pulsaciones de teclas. La diferencia está en quién lo implementa y bajo qué límites. Los informes de seguridad tratan el keylogging como algo inherentemente delictivo, pero la misma captura puede ser un control legítimo en el trabajo. Lo que decide la cuestión son el aviso, el propósito y la proporcionalidad, no la técnica.
| Característica | Monitoreo corporativo | Keylogger malicioso |
|---|---|---|
| Se informa en una política escrita | ||
| Lo despliega el empleador en equipos de la empresa | ||
| Se instala en secreto, sin que el usuario lo sepa | ||
| Está limitado por la ley y por el propósito declarado |
Contraseñas y datos sensibles
Los teclados transportan algunos de los datos sensibles más delicados de una empresa: contraseñas, códigos de un solo uso, mensajes personales y datos de salud o financieros escritos en formularios web. La captura continua inevitablemente registra parte de esto, por eso su manejo es la cuestión central de privacidad. Salvaguardas habituales:
- Enmascaramiento o exclusión: los campos de contraseña y las aplicaciones definidas quedan fuera de la captura, o su entrada se guarda enmascarada y no en texto claro.
- Limitación de propósito: las credenciales capturadas se usan solo en investigaciones definidas, no para revisar registros en general.
- Control de acceso: los registros solo pueden leerlos roles de investigador nombrados, y cada acceso queda registrado.
- Límites de retención: los registros se eliminan automáticamente tras un periodo definido, indicado en la política de monitoreo.
Marco legal por jurisdicción
La respuesta cambia mucho según la jurisdicción, aunque el patrón es general. El empleador tiene la posición más sólida en equipos de la empresa, con aviso y propósitos definidos. Su posición es más débil cuando la captura es encubierta, masiva o alcanza comunicaciones privadas.
| Jurisdicción | Enfoque general | Condición adicional |
|---|---|---|
| Estados Unidos | En buena medida permitido en equipos del empleador | Varios estados exigen aviso por escrito |
| Unión Europea | RGPD: base jurídica, limitación de propósito, proporcionalidad | La captura masiva se considera excesiva |
| Alemania o Países Bajos | Se aplican plenamente las reglas del RGPD | También se requiere acuerdo con el comité de empresa |
| Reino Unido | Posible bajo el RGPD del Reino Unido | Interés legítimo documentado y evaluación de impacto |
| Brasil, Canadá, Australia | Lógica similar a los modelos anteriores | El consentimiento del empleado es solo débilmente voluntario |
Antes de activar la captura
La mayoría de los conflictos empieza por un paso omitido, no por la tecnología. Resuelva estos puntos por escrito antes de que el primer agente empiece a registrar:
- 1
Defina el propósito
Indique la investigación o el control al que sirve la captura. La captura hecha por el simple hecho de capturar es la más difícil de defender.
- 2
Limite el alcance
Elija los usuarios, aplicaciones y equipos incluidos. Excluya los campos de contraseña y la comunicación privada cuando la política lo permita.
- 3
Notifique por escrito
Describa la captura en la política de monitoreo y consulte al comité de empresa o a un órgano equivalente cuando la ley lo exija.
- 4
Defina retención y acceso
Establezca cuánto tiempo se conservan los registros, qué roles de investigador pueden leerlos y cómo se registra cada acceso.
Por dónde empezar
Empiece por los datos cuya filtración causaría más daño y por los equipos que realmente los manejan. La captura acotada, informada y de corta duración es más fácil de justificar ante empleados y auditores.
Lectura recomendada: Profiling.
Las pulsaciones muestran lo que se escribió. La política decide si alguien debe leerlo.
Anexet TeamCómo lo resuelve Anexet
El módulo de Actividad de Anexet incluye la captura de pulsaciones como parte configurable de su monitoreo de actividad de usuarios. Los agentes en los endpoints registran las teclas presionadas junto con el nombre de la aplicación y la hora de cada pulsación, y los registros están disponibles en la consola de seguridad:
Los datos de pulsaciones se encuentran entre los más sensibles que puede almacenar una organización. La arquitectura local mantiene los datos capturados dentro de la infraestructura de la organización, y cada evento queda en un rastro de auditoría completo y atribuible.
Qué se captura
Cada pulsación se registra con la aplicación donde se escribió y su marca de tiempo. La entrada puede reconstruirse por usuario, aplicación y ventana de tiempo.
Marcado de campos de contraseña
Los registros se marcan cuando la entrada se escribió en un campo de contraseña. Las credenciales pueden encontrarse con una condición de búsqueda específica, no leyendo los registros línea por línea.
Buscable junto con el resto de los datos de actividad
Los registros de pulsaciones pueden buscarse junto con datos de aplicaciones, portapapeles, capturas de pantalla y transferencias interceptadas, así que lo escrito se lee en contexto.
Rastro de auditoría
Cada evento registrado incluye metadatos de usuario, fecha y hora, y aplicación. Esto respalda las investigaciones y la política de retención.
Función Keylogger
Más información