Pradeo ha observado en los últimos meses, en Francia y a escala internacional, una amplia toma de conciencia de los riesgos para la confidencialidad ligados al uso de las aplicaciones móviles. En este sentido, la CNIL —la autoridad francesa de protección de datos— anunciaba hace unos días un plan de control de gran envergadura destinado a reforzar la seguridad de las aplicaciones móviles. Pradeo comparte sus recomendaciones para cumplir con las expectativas de las autoridades.
Ya lo había anunciado en una comunicación publicada en noviembre de 2022: la CNIL ha desplegado medios adicionales para reforzar la protección de los datos tratados por las aplicaciones móviles. El pasado 15 de marzo, la autoridad fue más lejos al anunciar un plan de control de gran envergadura destinado a verificar el tratamiento de esos datos en el entorno móvil, inscribiéndolo entre sus temáticas prioritarias de control en 2023.
Como todo el mundo sabe, el móvil es a la vez un punto de acceso y un espacio en el que se manipula información sensible, personal y profesional, a menudo sin una delimitación clara de los usos. Por ello, asegurarse de que esos datos no queden expuestos ni corrompidos y trazar con total transparencia el uso que se hace de ellos resulta esencial.
Tras el anuncio, los editores de aplicaciones móviles deben evaluar rápidamente su conformidad con las expectativas de la CNIL y subsanar las carencias detectadas. Pradeo ofrece una caja de herramientas de seguridad aplicativa diseñada para responder a sus necesidades.
Más controles y sanciones económicas
La diversidad de actores que intervienen a lo largo del ciclo de vida de una aplicación móvil implica una gran variedad y un volumen importante de información compartida. Ese ecosistema está compuesto, por un lado, por los editores y sus desarrolladores, proveedores y prestadores y, por otro, por los usuarios finales, que pueden formar parte de organizaciones de todos los sectores.
Esta situación convierte a las aplicaciones en un objetivo predilecto para los piratas. Así, cuando una aplicación móvil manipula en exceso los datos personales de sus usuarios sin conocimiento de su editor, es vulnerable a los ataques externos o puede falsificarse con facilidad, lo que está en peligro es la confidencialidad de todos sus usuarios y de sus eventuales organizaciones.
La CNIL, en coherencia con las exigencias del RGPD, espera que los editores de aplicaciones móviles protejan la información manipulada en el marco del uso de sus aplicaciones a la altura del grado de sensibilidad de dicha información. Todos los datos personales se consideran de la máxima criticidad.
En este contexto, la autoridad llevará a cabo controles reforzados destinados a identificar a qué datos acceden las aplicaciones móviles y las distintas tipologías de actores implicados, así como las condiciones en las que se realizan las transferencias. Se prevén sanciones económicas en caso de incumplimiento.
Hacia un acercamiento entre CISO y DPO
Como implica la nueva directiva NIS2, que aspira a reforzar la ciberseguridad del mercado europeo, dos profesiones se verán obligadas a consolidar su colaboración en torno a temas ahora fuertemente complementarios: legalidad y seguridad.
Con la intensificación del marco legal aplicable a la manipulación y la trazabilidad de los datos personales, el papel de los delegados de protección de datos (DPO) se extiende ahora más allá del RGPD para inscribirse directamente en los retos ligados a la ciberseguridad.
«El posicionamiento de los DPO es muy interesante: están en la encrucijada entre lo técnico y lo jurídico.» Emmanuel Naëgelen, director general adjunto de la ANSSI
Los DPO deberán implicarse más en los procesos de protección de los entornos informáticos y móviles. Así, tendrán que trabajar en estrecha colaboración en los temas cíber con los CISO, que implantan los medios técnicos para proteger a las organizaciones y luchar a la vez contra los piratas y las fugas de datos.
Cómo preparar sus aplicaciones móviles para un control de la CNIL
Ahora más que nunca, la publicación de aplicaciones móviles nunca debe hacerse sin una validación previa de su seguridad. Pero, aunque los anuncios de la CNIL son claros, pasar a la acción puede requerir cierta reflexión.
Para ayudar a los CISO y a los DPO, Pradeo les ofrece una caja de herramientas que permite dominar la confidencialidad y la seguridad de las aplicaciones móviles a lo largo de todo su ciclo de vida, del desarrollo a las operaciones. Se apoya en una tecnología premiada y en más de 10 años de experiencia en la materia.
1. Hacer un diagnóstico de la seguridad actual
La herramienta automatizada de auditoría de cumplimiento de las aplicaciones móviles de Pradeo permite:
- Obtener en unos clics un análisis de cumplimiento que integra las leyes de protección de datos y criterios personalizables
- Ver de un vistazo si la aplicación manipula datos personales
- Detectar con precisión las manipulaciones de datos realizadas por una aplicación y sus librerías, especificando si se trata de un uso local, de un envío fuera del dispositivo, de una modificación o de una supresión. Esta información se completa, en su caso, con el lugar de almacenamiento o de envío de los datos.
- Identificar las librerías que presentan comportamientos ocultos y vulnerabilidades
- Señalar los riesgos que deben corregirse antes de publicar una aplicación
- Acreditar un trabajo de protección de las aplicaciones mostrando un resultado de auditoría conforme
2. Corregir los fallos y protegerse frente a los ataques externos
Las herramientas AppSec complementarias de Pradeo permiten a los responsables de la seguridad de las aplicaciones:
- Identificar y corregir de forma continua las vulnerabilidades de las aplicaciones desde su diseño
- Reforzar el código de las aplicaciones para prevenir el robo o la usurpación (clonación)
- Supervisar las aplicaciones móviles durante su uso para detectar y responder a las amenazas externas
- Detectar las aplicaciones falsificadas que intentan conectarse al servidor de las organizaciones haciéndose pasar por legítimas
