Profiling (Perfilado)

Un perfil es un resumen estructurado construido a partir de datos sobre un sujeto: atributos estáticos, patrones dinámicos y características inferidas. El profiling comienza cuando esos datos se analizan para evaluar, categorizar o predecir algo sobre el sujeto, y no solo cuando se registran.

El término abarca dominios muy distintos, con connotaciones diferentes:

• Marketing y publicidad: perfiles de intereses e intención de compra, creados a partir de datos de navegación y transacciones para dirigir contenidos y ofertas.
• Fuerzas del orden e inteligencia: perfiles de sospechosos creados a partir de registros y metadatos de comunicaciones, donde las preocupaciones por la discriminación son más graves.
• Seguridad de la información: perfiles de comportamiento de usuarios, cuentas y dispositivos, usados para detectar anomalías y riesgo interno. Este artículo se centra en esta área.

En las herramientas de seguridad, un perfil de comportamiento se construye en etapas que se repiten. Las comprobaciones del camino buscan los indicadores de amenaza interna habituales.

1. 1

   Recopilación de datos

   Actividad en equipos y aplicaciones: uso de programas, operaciones con archivos, tráfico web y de mensajería, y conexiones de dispositivos.

2. 2

   Línea base

   Un periodo de aprendizaje define qué es normal para el sujeto: aplicaciones habituales, fuentes de datos, horarios de trabajo y volúmenes de transferencia.

3. 3

   Evaluación de indicadores

   Los eventos nuevos se comparan con la línea base y con indicadores de comportamiento riesgoso, como incumplimientos de políticas, destinos inusuales o volúmenes anormales.

4. 4

   Puntuación

   Las coincidencias y desviaciones se ponderan en un puntaje de riesgo que se actualiza cuando llega nueva actividad.

5. 5

   Revisión humana

   Un analista examina primero los eventos subyacentes. Los perfiles y los puntajes sirven como insumos para esa revisión.

El profiling de seguridad es deliberadamente más acotado. Su objeto es el comportamiento en los sistemas corporativos, y su resultado es una evaluación de riesgo, no un juicio sobre una persona.

Su principal valor es el enfoque. Los programas de riesgo interno concentran la atención donde el perfil muestra un riesgo elevado, como un pico de copia de datos durante el periodo de preaviso o patrones de acceso que sugieren una cuenta comprometida.

Las prácticas afines le dan forma. El monitoreo de actividad de usuarios (UAM) aporta los eventos brutos, y el análisis de comportamiento de usuarios y entidades (UEBA) aplica modelos estadísticos para detectar anomalías.

En el módulo Anexet Activity, cada usuario supervisado tiene una tarjeta, y las categorías de riesgo que define el administrador convierten los eventos de política en incidentes con un nivel de riesgo. El panel muestra cómo se reparten los incidentes entre categorías, así que el analista puede partir del patrón y después abrir los eventos que lo explican.

1 / 2

• 
• 

El RGPD define el profiling en el artículo 4, apartado 4, como el tratamiento automatizado de datos personales para evaluar aspectos personales de una persona física. Eso incluye analizar o predecir el rendimiento laboral, la situación económica, la salud, las preferencias personales, los intereses, la fiabilidad, el comportamiento, la ubicación o los desplazamientos. La puntuación de riesgo de comportamiento basada en datos de monitoreo de empleados entra en esa definición.

Tres obligaciones importan en la práctica. El profiling se apoya en el interés legítimo, que debe equilibrarse con el impacto sobre los empleados. Los empleados deben saber que el profiling tiene lugar y conocer la lógica general de los puntajes de riesgo. Las decisiones automatizadas con efectos jurídicos o similarmente significativos no pueden basarse únicamente en el tratamiento automatizado (artículo 22) y requieren garantías de intervención humana.

El monitoreo sistemático de empleados también exige una evaluación de impacto en la protección de datos antes de su despliegue.

Un perfil que infiere personalidad, opiniones políticas o religiosas, salud o afiliación sindical no es un control de seguridad. El tratamiento de estas categorías especiales de datos está restringido por el RGPD.

La diferencia entre un perfil de seguridad legítimo y uno discriminatorio no está en el algoritmo. Está en qué mide el perfil, en qué tan preciso es y en quién decide:

La mayoría de los fallos del profiling son fallos de diseño. Los programas que funcionan se integran en un proceso más amplio de gestión del riesgo interno, y sus límites son más fáciles de fijar antes de que aparezca el primer puntaje. Las comprobaciones prácticas son:

• Define primero la pregunta de seguridad y recopila solo los datos que necesita.
• Explica a los empleados, en lenguaje sencillo, cómo se construyen los puntajes de riesgo.
• Revisa a mano los puntajes altos, contra los eventos subyacentes, antes de cualquier acción.
• Limita el acceso a los perfiles a roles de seguridad concretos y registra cada consulta.
• Vuelve a probar los umbrales con regularidad, porque los indicadores débiles marcan trabajo normal.

Empieza por la pregunta que el perfil debe responder, por ejemplo, qué cuentas se usan a horas inusuales. Un perfil que responde una pregunta con evidencias vale más que un puntaje que clasifica a todos.

Los equipos que quieran llevarlo a la práctica pueden empezar por la detección de amenazas internas y ampliar el alcance solo cuando una pregunta concreta lo requiera.

Lectura recomendada: Profiling.