La ética en la ingeniería de software: Parte 2

Big Brother is watching

Ya hablamos sobre la ubicuidad del software en todas las actividades humanas modernas y sobre las capacidades y responsabilidades que tenemos como encargados de todos sistemas que llevan a cambio infinidad de transacciones e intercambios de información, pero aún nos queda un punto importante para discutir, la responsabilidad que tenemos con nuestros usuarios y stakeholders en el resguardo y uso apropiado de los datos privados que utilizamos en nuestros sistemas.

Debemos proteger correctamente los datos que circulan a través de nuestros sistemas y redes, de fugas internas, fugas accidentales, ataques externos y de uso indebido motivado por decisiones de negocio.

En esta dimensión de la seguridad y privacidad de la información ya hay regulaciones existentes en la mayoría de países, y en otros las legislaciones probablemente están en proceso. Nuestros principales deberes como computistas son: familiarizarnos con las leyes y regulaciones sobre protección de datos, y educarnos sobre las mejores prácticas de seguridad técnica al desarrollar sistemas.

Protección de los datos

Hablemos un poco sobre el caso de Equifax. La multinacional de análisis crediticio sufrió este año no una sino dos brechas de seguridad, en ambas ocasiones por no parchear vulnerabilidades de seguridad de sus sistemas web, produciendo una de las filtraciones de datos privados más graves de la historia. Los datos de millones de ciudadanos y residentes de USA se filtraron: direcciones, licencias, números de tarjetas de crédito, nombres, datos fiscales y otros datos sensibles. Las consecuencias de estas filtraciones son de proporciones mayores, y probablemente sólo hemos visto el comienzo.

Para evitar las brechas de seguridad y filtraciones de datos debemos preocuparnos por la seguridad de nuestros sistemas en todos los niveles. Debemos considerar la implementación de firewalls, listas de control de acceso, políticas de seguridad y acceso robustas, la realización de auditorías de seguridad y pruebas de penetración; y mantenernos en contasnte aprendizaje y actualización en temas de seguridad informática.

Uso apropiado y ético de los datos

Los datos privados de los usuarios tambien deben ser protegidos del uso inapropiado que se les pueda dar dentro de nuestras organizaciones. Diariamente los sistemas recopilan y distribuyen petabytes de datos privados de miles de millones de personas alrededor de todo el mundo, datos que podemos usar prácticamente sin restricciones cuando pasan por nuestros sistemas.

Estamos en una era de innovación constante donde con todos estos datos las empresas han creado modelos de negocio muy interesantes y lucrativos, valiéndose de minería de datos, machine learning y técnicas avanzadas de inteligencia artificial. Muchos de estos negocios son una situación de win/win/win donde usuarios, clientes y empresas se benefician pero algunas actividades de estos negocios entran en un área gris en el plano legal, el ético y el moral.

Para ver un ejemplo rápido de uso de datos privados que no es ilegal ni está regulado (Por los momentos) pero que cae en un área moral gris basta con mirar a los algoritmos y flujos de experiencias de usuario que usan las redes sociales modernas para aumentar la cantidad de tiempo que pasan los usuarios consumiendo contenido e interactuando en las redes.

Es conocido que empresas como Twitter y Facebook utilizan todos los datos recopilados por sus aplicaciones para crear perfiles de preferencias individualizados de cada usuario y de esta forma mostrarle contenidos que los hagan mantenerse el interés e interactuar con la red durante el mayor tiempo posible.

Considerando que muchos expertos de salud mental ya están mostrando preocupación por la adicción a las redes sociales, los trastornos de depresión y ansiedad asociados a la sobreexposición a redes sociales, el conocido Fear Of Missing Out y otros problemas de salud mental relacionados a la abrumadora cantidad de información a la que nos exponemos a través de ls redes, no debemos descartar ni minimizar la responsabilidad que tienen en todo esto los equipos de producto, de marketing y de ingeniería cada vez que crean funcionalidades diseñadas específicamente para incrementar el engagement con sus productos.

Se ha descubierto, en estudios de laboratorio, que recibir likes, comentarios y otras interacciones en redes sociales produce segregación de dopamina en el cerebro. La dopamina es uno de los neurotransmisores asociados a las sensaciones placenteras, y los desequilibrios de este neuroquímico tienen un rol importante en trastornos como la depresión, el déficit de atención y la adicción a sustancias como alcohol y drogas. Otro estudio afirma que el uso adictivo de Facebook activó en el cerebro de los sujetos estudiados áreas similares a las que se activan al consumir cocaína. Las redes sociales, utilizadas de forma saludable y responsable, nos permiten mantenernos en contacto con amigos, familiares, colegas y conocidos, y tener contacto con enteros desconocidos con quienes compartimos algún interés en común; pero tambien tienen el potencial de salirse de control y crear conductas compulsivas y adictivas en los usuarios.

Tenemos en nuestras manos el poder de crear aplicaciones que permiten la interacción instantánea entre millones de personas alrededor del mundo, pero también tenemos el poder de enganchar a esas millones de personas en conductas que pueden ser adictivas e interferir con su flujo de vida sano y normal; muchas empresas manejan redes sociales que ofrecen productos potencialmente adictivos y nocivos para los consumidores, similar a los productos ofrecidos por las empresas tabacaleras y de licores.

Si utilizas una aplicación online de forma gratuita, no eres el usuario, eres el producto.

La encripción, la privacidad y los gobiernos

No es un secreto para nadie, a los gobiernos y a los organismos de seguridad del estado les incomoda la encripción, y es entendible, terroristas, narcotraficantes, anarquistas extremistas y otros grupos que actúan fuera de la ley aprovechan los beneficios de la encripción para comunicarse y coordinar sus acciones eludiendo la vigilancia de los cuerpos de inteligencia y seguridad; y la encripción tambien ha sido una gran piedra en el zapato en muchas investigaciones criminal en las que datos clave para profundizar en algún caso se encuentran dentro de dispositivos encriptados.

El caso de Silk Road, el marketplace de la dark web donde principalmente se comerciaban sustancias psicotrópicas ilegales merece atención especial, ya que aprovechaba dos redes que usan fuertemente la encripción para garantizar el anonimato de sus usuarios, la red Bitcoin y la red Tor. Ambas plataformas son descentralizadas, no dependen de ninguna autoridad que determine sus reglas, más allá de la comunidad OSS y los estados no tienen manera alguna de imponer regulaciones sobre ellas.

Una red que permite realizar transacciones financieras relativamente anónimas o al menos muy difíciles de rastrear como la red Bitcoin, y una red como Tor que permite navegar de forma anónima en la web y además permite exponer servicios y aplicaciones también de manera anónima, protegiendo no sólo a usuarios sino también ocultando la ubicación de los servidores que entregan el contenido, cuando se usan por separado son muy poderosas, pero si alguien las usa en conjunto para construir productos y servicios enteramente anónimos está creando una entidad muy poderosa que puede hacer mucho bien o hacer mucho daño, dependiendo de las intenciones del creador y de sus usuarios.

En principio Silk Road nació como el proyecto de Ross Ulbricht (Alias Dread Pirate Roberts), un joven libertario e idealista que quiso construir un mercado verdaderamente libre, sin coerción ni intervención del estado, inspirado en economistas de la escuela austríaca como Ludwig von Mises, partiendo de la hipótesis muy optimista de que al eliminar la intervención del estado podía existir un mercado de sustancias ilegales donde no estuviera presente la violencia devastadora que suele acompañar al narcotráfico. Ya existen, y siguen existiendo mercados de este tipo en la dark web, pero Silk Road se convirtió en uno de los más populares, moviendo muchísimas transacciones de millones de dólares, todo potenciado por Bitcoin y anonimizado con Tor.

En Silk Road ofrecían sus servicios narcotraficantes, sicarios, falsificadores de documentos de identidad, vendedores de datos de tarjetas de crédito, y los asquerosos productores y distribuidores de pornografía infantil. El FBI obviamente posó sus ojos en Silk Road y comenzó una operación que involucró a detectives, agentes especiales, investigadores de seguridad informática, white hat hackers y otros especialistas en seguridad informática. Fue un trabajo masivo que terminó con el arresto de Ross Ulbricht y donde curiosamente StackOverflow jugó un papel importante en la investigación.

Por razones totalmente evidentes, la encripción representa una amenaza enorme para el cumplimiento de la ley, las capacidades de cooperación anónima que las comunicaciones encriptadas sobre internet le entregan a grupos irregulares con la intención de hacer daño son un motivo muy válido para preocuparse e incluso sentir miedo por la encripción.

La encripción dificulta el trabajo de los cuerpos de seguridad alrededor del mundo, pero recordemos que también es una tecnología vital para asegurar que personas y organizaciones legítimas puedan transmitir datos de forma segura y confiable, evitando que cyber criminales intervengan en la comunicación. Si no tuviéramos una capa de encripción como SSL no podríamos garantizar la privacidad de servicios tan importantes para la vida moderna como nuestras cuentas de correo y mensajería, servicios de banca online, tiendas en la web, entre muchos otros. La mayoría de casos de uso modernos de la encripción son legales y válidos y es una tecnología clave que permite que el mundo digital funcione de la forma instantánea, segura, y global en la que funciona.

Tambien debemos pensar en los casos donde la brújula moral de los estados es la que se desvía y actúan en contra de los intereses de sus propios ciudadanos. Aunque vivimos en una de las épocas más pacíficas de la historia humana, donde son pocos los gobiernos verdaderamente autocráticos igual conviene recordar que algunas veces la ética y las leyes creadas por un estado no van de la mano. Hay países en medio de conflictos armados internos o países liderados por gobiernos tiránicos en donde la encripción es una de las armas que tienen los ciudadanos, los reporteros y los activistas políticos para comunicarse sin ser agredidos ni perseguidos por gobiernos criminales.

En países como Siria o Irán los ciudadanos usan las comunicaciones encriptadas para comunicarse internamente y para transmitirle al mundo las realidades que sus gobiernos intentan ocultar.

En China, donde el gobierno no respeta los principios de neutralidad y libertad de acceso a internet, considerado por muchos (Incluyéndome) como un derecho humano fundamental, usan servicios de VPN y de anonimización como Tor para saltarse la llamada Gran Muralla Cortafuegos China.

En Venezuela, miles de personas usan el Bitcoin como una forma de evadir el nocivo control cambiario de más de una década que impide a los ciudadanos comprar y vender libremente cualquier tipo de divisas extranjeras. Este control financiero le da al estado un poder muy grande que en varias ocasiones ha usado para beneficio personal de los gobernantes por encima de los intereses de la sociedad y el Bitcoin ha sido una herramienta muy valiosa en la búsqueda de libertad comercial y económica, incluso, el caso de Venezuela es bastante comentado en los círculos de usarios, emprendedores, y desarrolladores de cryptomonedas, y es un ejemplo de como la criptografía y la red de Bitcoin permiten a los ciudadanos usar su dinero libremente y protegerlo de la inflación ocasionada por un Banco Central irresponsable.

Finalmente, no podemos hablar de encripción sin hablar de la National Security Agency estadounidense. Gracias a las valientes acciones de Edward Snowden conocemos la magnitud del programa de vigilancia electrónica de la NSA a ciudadanos estadounidenses, a extranjeros, a gobiernos y a empresas de muchos países. Está confirmado que la NSA ha instalado dispositivos electrónicos de vigilancia en switches y routers de compañías como Cisco Systems y hasta se rumora que la NSA tiene en su control las claves SSL privadas de servicios online como Gmail, Facebook y Twitter, este último rumor no está confirmado pero viendo la magnitud de los programas de vigilancia de la NSA, no debemos descartar que sea posible.

Resumiendo, la encripción de comunicaciones que viajan de forma casi instantánea sobre internet significa una pérdida de poder y control enorme para los estados; en algunos casos, esto ha permitido a personas y organizaciones llevar a cabo acciones muy perjudiciales para la humanidad pero en otros casos ha permitido a los ciudadanos comunes resguardarse de abusos de poder que comete el estado a través del monopolio de la fuerza. Todas estas aristas éticas y dilemas morales los debemos considerar cuando pensamos en encripción, cuando la utilizamos, cuando creamos o modificamos algoritmos de encripción y cuando en el ámbito público se debate sobre leyes relacionadas a la encripción.

Actualmente hay políticos, legisladores y agencias de gobierno debatiendo sobre hacer ilegal la encripción o imponer a fabricantes de dispositivos y de software la obligación de agregar puertas frontales o llaves maestras que permitan al estado romper la encripción en casos puntuales, una idea totalmente idiota y absurda propuesta por gente que no tiene la más mínima idea de lo que está pidiendo, una propuesta que crea miles de agujeros de seguridad en los mecanismos de encripción y que si llegara a caer en las manos equivocadas podrían ocasionar daños espantosos.

Tenemos en nuestras manos la responsabilidad de que el mundo moderno no se convierta en un episodio de Black Mirror o en una versión real de 1984, la distópica novela de George Orwell donde el estado de Oceania, liderado por el Gran Hermano, controlaba cada uno de los pasos de sus habitantes; pero es una responsabilidad difícil y complicada porque también hay grupos irregulares como ISIS que quieren usar el anonimato de la internet y la violencia en el mundo real para convertir al mundo en un espantoso remake de Mad Max.

Continúa leyendo la tercera parte de esta serie de artículos haciendo click aquí.

Índice de Artículos

1. La ética en la ingeniería de software.
2. Daños accidentales y daños intentionales ocasionado por los computadores.
3. Big Brother is watching, privacidad en la era digital.
4. HAL 9000 o como aprendí a dejar de preocuparme y amar a la inteligencia artificial general.
5. Red, Green, Refactor: La mejora continua de las organizaciones, equipos y profesionales como mecanismo de prevención.
6. La profesionalización en la industria del software.