LINDDUN: las categorías de amenaza a la privacidad

LINDDUN nació en la unidad de investigación DistriNet de la universidad KU Leuven y hoy se publica en abierto, con una versión sistemática que recorre el diagrama de flujo de datos y otra más ligera, con cartas, para sesiones en grupo. Sus siete categorías de amenaza son vinculación, identificación, no repudio, detección, divulgación de datos, desconocimiento e imposibilidad de intervenir, e incumplimiento. Cada una describe una forma distinta en que la persona pierde privacidad.

Las dos primeras se confunden a menudo. Vincular es poder decir que varios datos o acciones son de la misma persona, aunque no se sepa quién es: con eso ya se arma una rutina, un perfil o un historial. Identificar es llegar a saber quién es. Vincular suele ser el paso previo a identificar, porque un perfil rico describe a menos gente; por eso se modelan por separado y se mitigan con medidas distintas.

Para elegir la categoría no se mira la función ni la gravedad: se mira qué pierde la persona. Una amenaza de detección no necesita leer ningún dato: basta con observar que algo existe o que alguien participa. Una de divulgación de datos trata de recoger, guardar o compartir más dato del necesario. Las dos pueden empezar en la misma pantalla, y por eso se confunden.

Lee linddun/hoja-de-categorias.txt y revisa linddun/borrador-de-amenazas.txt fila por fila, preguntándote qué pierde la persona en cada una.

Un borrador también se revisa por lo que le falta. Si todas las amenazas caen en unas pocas categorías, el equipo pensó en lo que ya conocía; la categoría vacía no significa que el sistema esté a salvo de ella, significa que nadie le hizo esa pregunta. Suele pasar con las categorías que chocan con el instinto de un equipo técnico, porque describen como daño algo que en otro contexto se considera una buena práctica.

Aplica la corrección de la tarea anterior y cuenta las amenazas por categoría.

El método da una garantía solo si se aplica a todo: cada función nueva tiene al menos una amenaza o una nota que explica por qué no la tiene. Una función sin ninguna fila no es una función segura, es una función que nadie revisó, y suele ser la que el equipo veía como «de seguridad» y no «de datos».

Cruza linddun/funciones-nuevas.txt con la columna de función del borrador.

Esa función guarda, para siempre o casi, una prueba firme de que una persona concreta denunció algo en un lugar y a una hora. Para una víctima de acoso, esa prueba puede ser el motivo para no denunciar, y en manos equivocadas, un riesgo. La mesa de usuarias pidió otra cosa, y la ciudad sigue necesitando saber dónde pasan los incidentes.