El modelo de amenazas que debe pensarse primero en una denuncia de irregularidades

En una denuncia de irregularidades, primero se crea un modelo de amenazas.

Un modelo de amenazas es una forma de organizar "frente a quién, qué y por qué ruta se protege algo".

En una denuncia de irregularidades, la otra parte muchas veces no es un atacante externo, sino la organización a la que perteneces. La organización puede tener destinos de distribución de materiales, logs de visualización, administración de dispositivos, registros de entrada y salida e historial de correo.

Por eso hay que pensarlo con más cuidado que una publicación anónima normal.

De quién protegerse

Primero, piensa quién intentaría identificar a la persona denunciante.

Superior, área legal, departamento de sistemas de información, auditoría, dirección, empresa externa de investigación y, según el caso, autoridades investigadoras. La información visible cambia según la otra parte.

Si actúas sin aclarar quién es la otra parte, te equivocas en la intensidad de las medidas.

En una denuncia de irregularidades, la otra parte no es una simple lectora. Es alguien que puede usar autoridad interna, logs, entrevistas, auditoría y respuesta legal. Un superior directo conoce relaciones humanas y descontentos. El departamento de sistemas de información puede ver historial de dispositivos o de nube. Las áreas legal y de auditoría investigan destinos de distribución de materiales y personas relacionadas.

Si subestimas la capacidad de la otra parte, las medidas serán insuficientes. Por el contrario, si tratas a todas las partes como adversarios de nivel estatal, no podrás hacer nada. Es necesario separar adversarios y capacidades realistas.

Qué proteger

Lo que se protege no es solo el nombre.

El acceso a materiales, la hora de envío, el hecho de haber consultado, la información de autor del documento, la relación con un departamento y la reacción posterior a la publicación también son objetos de protección.

En una denuncia de irregularidades, a veces importa más "quién podía actuar en ese momento" que "quién tenía el material".

Si limitas lo que proteges al nombre real, pasas por alto riesgos importantes. El hecho de haber accedido a materiales, consultado, impreso a cierta hora, abierto un archivo o reaccionado después de la publicación también debe protegerse. La organización puede buscar no el nombre en sí, sino "quién tocó esta información".

En una denuncia de irregularidades, protege por separado identidad, acciones, materiales, cronología y personas relacionadas. Si uno solo se filtra, se vincula con otra información y reduce las personas candidatas.

Por dónde se filtra

Piensa separando los lugares por donde se filtra.

Sistemas internos, dispositivos, nube, documentos, comunicación, destino de envío y artículo posterior a la publicación. En cada etapa hay pistas.

En una denuncia de irregularidades, la etapa anterior al envío puede convertirse en peligrosa.

Porque buscar, abrir, copiar o imprimir materiales deja registros en ese momento.

La ruta de filtración no es solo la ruta de envío. El historial de búsqueda de materiales, la visualización en un servidor de archivos, la descarga desde la nube, el uso de una impresora, la fotografía con smartphone, la sincronización con una nube personal y la conservación de notas de consulta se convierten todos en pistas.

Además, también se filtra después de publicar. La especificidad del artículo o del contenido denunciado, el momento de publicación, la información adicional y las reacciones en el trabajo se convierten en material para buscar a la persona denunciante. En el modelo de amenazas, separa antes de actuar, durante el envío y después de publicar.

Separar la magnitud del riesgo

Las denuncias de irregularidades tienen amplitud.

Una consulta interna leve, problemas laborales, infracciones legales, contabilidad fraudulenta, denuncias importantes de interés público e información cercana a secretos de Estado tienen riesgos completamente distintos.

Cuanto mayor es el riesgo, más importante es buscar un punto de consulta confiable antes de tocar herramientas anónimas.

La magnitud del riesgo no cambia solo por el contenido tratado, sino también por la posición de la persona denunciante. Si es personal fijo o temporal, estudiante, extranjera, si puede afectar a la familia, si está aislada en el trabajo o si hubo represalias en el pasado. Con la misma información, el daño recibido cambia según la posición.

En casos de alto riesgo, es importante no actuar en solitario. Busca puntos de consulta adecuados a la situación, como abogados, organizaciones de apoyo o medios con experiencia en protección de fuentes.

Preguntas para crear un modelo de amenazas

Antes de actuar, responde las siguientes preguntas.

Si hay muchas preguntas que no puedes responder, todavía no es el momento de enviar.

Primero hay que comprobarlas.

El modelo de amenazas se organiza mejor si se escribe en papel. Sin embargo, esa nota en sí también requiere cuidado. Si dejas detalles escritos en un dispositivo del trabajo, una nube con nombre real o una carpeta compartida, se convierten en nuevos rastros. Organízalo en un entorno seguro y con el mínimo necesario.

Decidir medidas desde el modelo de amenazas

El modelo de amenazas no termina en pensarlo. Desde ahí se deciden medidas.

El modelo de amenazas no sirve solo para detener acciones. Es una herramienta para decidir qué revisar primero, qué reducir y a quién consultar.

Resumen

En una denuncia de irregularidades, primero se crea un modelo de amenazas.

Se organiza de quién protegerse, qué proteger, por dónde puede filtrarse y qué nivel de riesgo existe.

Una organización puede tener logs de acceso a materiales, operación de dispositivos, nube, correo, entrada y salida e impresión.

Antes de usar una herramienta anónima, revisa el origen de la información, el destino de envío, la inferencia posterior a la publicación y puntos de consulta legales o de seguridad.

El modelo de amenazas es el mapa inicial de organización de riesgos en una denuncia de irregularidades.

Herramientas relacionadas

Artículos relacionados