Aprende finalidad, proporcionalidad, consentimiento y minimización de datos en OSINT, con nociones de LGPD y GDPR y una plantilla de plan de investigación.
La información pública no es lo mismo que información que puedes recopilar. Un perfil puede estar visible para cualquiera y, aun así, ser un mal objeto de investigación. La ética en OSINT significa decidir, antes de la primera búsqueda, por qué investigas, quién lo ha autorizado, qué vas a guardar y cuándo lo vas a borrar. Este artículo muestra cómo tomar esas decisiones y cómo dejarlas escritas en un plan de una página. Supone que ya leíste Qué es OSINT.
En este campo, la ética es práctica. Define las decisiones que dan forma a una recopilación: qué pregunta haces, qué fuentes abres, cuánto registras y qué publicas. La ley marca un mínimo. La práctica profesional suele estar por encima, porque una recopilación legal puede igualmente perjudicar a personas que no tuvieron nada que decir sobre ella.
Cinco ideas cubren la mayoría de los casos: finalidad, proporcionalidad, autorización, minimización de datos y retención. Puedes aplicar las cinco con papel y lápiz, antes de abrir el navegador.
Escribe una frase que nombre la decisión que apoya tu investigación. "Averiguar todo lo que pueda sobre esta persona" es un deseo, no una finalidad. "Confirmar que todos los dominios registrados a nombre de nuestra empresa están en el inventario de activos" sí es una finalidad. Una buena finalidad te dice qué fuentes importan y qué resultados son ruido.
Los datos reunidos para una finalidad no deben desviarse hacia otra. Si la revisión de los dominios de tu empresa encuentra la cuenta personal de una red social de un empleado, esa cuenta queda fuera de la revisión, aunque la hayas encontrado.
Pregúntate si la profundidad de la recopilación corresponde a la importancia de la pregunta. Una verificación rutinaria de los avisos de seguridad públicos de un proveedor no justifica una línea de tiempo de su personal.
La proporcionalidad también aplica al método. Una consulta pasiva en registros públicos es una intrusión más leve que enviar peticiones a un servidor en vivo. La pregunta debe decidir qué tipo de paso necesitas, y cuando el paso más leve responda, usa ese.
En el trabajo de seguridad, quienes pueden aprobar tu investigación son los dueños de los activos. Si evalúas una organización, la autorización escrita debe nombrar la organización, los activos, el periodo y los métodos permitidos. La falta de autorización es motivo para detenerse, no un detalle que se completa después.
La investigación pública sobre una organización que no representas también necesita una razón que una persona razonable aceptaría. Además, debe detenerse donde empieza la vida privada de una persona identificada. El consentimiento es una base legal para datos personales en algunos regímenes y una opción entre varias en otros. Que una página sea pública no te da un atajo.
Recopila los campos que necesitas para responder la pregunta, y ninguno más. Para comprobar si un dominio apunta a tu servidor de correo, necesitas el dominio, el tipo de registro, la respuesta y la hora en que la observaste. No necesitas la dirección particular del titular, el HTML completo de una página con comentarios sin relación ni una captura que muestra a un desconocido al fondo.
Minimizar sale más barato que limpiar después. Cada campo que no recopilas es un campo que no puede filtrarse.
Anota cuánto tiempo guardarás el material y quién puede leerlo. Un patrón razonable es conservar la evidencia que respalda cada hallazgo, borrar los datos personales en bruto cuando el informe sea aceptado y registrar la fecha de borrado. El número exacto de días depende de tu contrato y de la ley que te aplique. Lo importante es que la fecha exista en el plan, no solo en tu memoria.
Hay tres razones.
La primera es que la gente publica información con una finalidad. Una foto de boda se comparte con amigos, un currículum con reclutadores y una publicación en un foro con un grupo de aficionados. Llevar esa información a un contexto nuevo puede causar daño aunque nadie haya hackeado nada.
La segunda es que la agregación crea información nueva. Una dirección, un lugar de trabajo, la escuela de un niño y el horario del gimnasio pueden ser inofensivos por separado y peligrosos juntos. Un perfil compilado puede exponer a una persona de una forma que ninguna fuente aislada exponía.
La tercera es que las fuentes públicas incluyen datos filtrados, extraídos mediante scraping o publicados por otros. La persona descrita quizá nunca quiso que se compartieran, y conservarlos puede ser ilegal. Tener acceso te dice que puedes ver algo. No dice si debes conservarlo.
No practiques OSINT sobre personas privadas. Eso incluye amigos, exparejas, colegas, vecinos, personas que conociste en línea y figuras públicas que simplemente no te caen bien. Quien aprende suele querer un nombre real para probar una técnica. Justo ahí es cuando la técnica empieza a hacer daño a alguien.
Usa lo que controlas: tus cuentas y dominios, una organización de prueba que estés autorizado a evaluar o los datos sintéticos de tu laboratorio. Si un ejercicio de clase necesita un objetivo, inventa uno y construye tú sus datos. Buscar tu propio nombre para ver tu exposición es un ejercicio útil, y aun así necesita una finalidad escrita.
La mayoría de los lectores de Brasil o de la Unión Europea caerán bajo una de estas dos leyes. Esta sección es un panorama general, no asesoría legal. Si tu trabajo toca datos personales a gran escala, consulta con un abogado de tu jurisdicción.
La Lei 13.709/2018, la Ley General de Protección de Datos (LGPD, por sus siglas en portugués), regula el tratamiento de datos personales por personas físicas y empresas, en línea y fuera de línea, con algunas excepciones. Tres partes importan a quien investiga.
El artículo 6 enumera los principios. Dos cargan con la mayor parte del peso aquí. La finalidade (finalidad) exige propósitos legítimos, específicos y explícitos que la persona pueda conocer. La necessidade (necesidad) limita el tratamiento a lo pertinente y proporcional a esos propósitos. La adequação (adecuación) pide que el tratamiento sea compatible con la finalidad informada, en su contexto.
El artículo 7 enumera diez bases legales. El consentimiento es una de ellas, pero no la única. Los intereses legítimos (inciso IX) están disponibles, pero ceden cuando prevalecen los derechos fundamentales de la persona, y aun así deben cumplir los principios del artículo 6. Los estudios realizados por órganos de investigación (inciso IV) también figuran en la lista, con preferencia por anonimizar los datos siempre que sea posible.
El artículo 4, inciso III, excluye el tratamiento realizado exclusivamente con fines de seguridad pública, defensa nacional, seguridad del Estado o investigación y represión de infracciones penales. Los investigadores privados no deben suponer que esa exclusión les alcanza. Está pensada para legislación específica y autoridades públicas, y el párrafo 2 impide que entidades privadas traten datos en esas condiciones, salvo bajo supervisión de derecho público. Una consultora que trabaja para un cliente no es una autoridad pública.
Los artículos 15 y 16 tratan de cuándo termina el tratamiento y cuándo los datos deben eliminarse. El artículo 5, inciso III, define los datos anonimizados, y el artículo 12 dice que un dato anonimizado no es un dato personal, salvo que la anonimización pueda revertirse con esfuerzos razonables. En la práctica, un conjunto de datos que llamas anónimo aún requiere cuidado. Algunos cuasi-identificadores, como el código postal, el cargo y la fecha de nacimiento, pueden aislar a una persona.
El Reglamento (UE) 2016/679, el Reglamento General de Protección de Datos (GDPR), define los datos personales de forma amplia en el artículo 4, punto 1, como información relativa a una persona física identificada o identificable. El artículo 5 fija los principios. La letra b cubre la limitación de la finalidad, la letra c la minimización de datos y la letra e la limitación del plazo de conservación. El apartado 2 obliga al responsable a demostrar el cumplimiento.
El artículo 6 enumera las bases de licitud. El artículo 9 cubre las categorías especiales de datos, como salud, opiniones políticas y creencias religiosas, que requieren una condición adicional. El artículo 17 trata de la supresión. El artículo 35 exige una evaluación de impacto en la protección de datos cuando el tratamiento probablemente implique un alto riesgo.
La excepción doméstica del artículo 2, apartado 2, letra c, cubre la actividad puramente personal o doméstica. No cubre la investigación profesional. Cuando trabajas para un cliente, quedas fuera de ella.
Ambas leyes hacen las mismas preguntas: por qué, con qué base, cuántos datos, durante cuánto tiempo y quién puede verlos. Un plan de investigación que responda a esas preguntas por adelantado cumplirá la mayor parte de las obligaciones que se aplican a una investigación pequeña. El ejercicio de abajo pregunta cada una de forma directa.
El Protocolo de Berkeley sobre investigaciones de fuentes abiertas digitales fue desarrollado por el Human Rights Center de la Universidad de California, Berkeley, y publicado por la Oficina de Derechos Humanos de las Naciones Unidas. Es una referencia para investigadores que trabajan con material digital de fuentes abiertas, incluido el trabajo de derechos humanos y de rendición de cuentas. Trata la planificación y el marco ético y legal como el punto de partida de una investigación, no como un añadido posterior.
No necesitas ser investigador de derechos humanos para aprender de él. Sus secciones éticas muestran cómo piensan los profesionales cuidadosos en el daño antes de la primera consulta. Lee el protocolo directamente antes de confiar en cualquier resumen, este incluido.
La lista siguiente es un punto de partida. Tu autorización y tu jurisdicción pueden añadir más.
Si recopilaste algo que no debiste recopilar, detente. Registra qué hiciste y cuándo. Informa a la persona responsable del encargo. Borra la copia que no debías conservar y deja constancia del borrado.
Este ejercicio no necesita laboratorio ni comandos. Elige una organización que sea tuya o que estés autorizado a evaluar. Sirve un dominio de tu propio laboratorio, una empresa de prueba que montaste o un cliente que te dio permiso por escrito. No uses a una persona real, a un competidor ni a un proveedor que no representas.
Copia esta plantilla en un archivo de texto y completa cada campo.
Organización y autorización
Quién es dueño u opera los activos:
Permiso por escrito (nombre del documento, fecha, quién firmó):
Válido hasta:
Pregunta de investigación
Una frase. ¿Qué decisión respalda?
Finalidad
Por qué se necesitan estos datos y para qué no se usarán:
Alcance
Dentro del alcance (dominios, repositorios públicos, documentos públicos):
Fuera del alcance (personas, cuentas, sistemas, tipos de dato):
Fuentes y métodos
Fuente 1 (URL o conjunto de datos, cómo se accedió, fecha):
Fuente 2 (URL o conjunto de datos, cómo se accedió, fecha):
¿Solo pasivo? Los pasos activos están fuera del alcance de este ejercicio.
Minimización de datos
Campos a registrar:
Campos que no vas a registrar:
¿Se esperan datos personales? sí / no. Si es sí, la base legal es:
Almacenamiento y retención
Dónde se guarda el material en bruto y quién puede acceder:
Fecha de borrado:
Qué queda después del borrado (solo el hallazgo y su cita):
Revisión
Nombre de quien revisa y fecha:Una buena finalidad nombra una decisión. "Saber más sobre nuestra empresa" es un tema, no una finalidad. Una versión mejor sería: "Encontrar registros DNS públicos bajo example-corp.test que no están en nuestro inventario de activos, para que TI los confirme o los dé de baja al final del sprint."
Un buen alcance enumera lo que queda afuera además de lo que entra. Escribir los elementos fuera del alcance te obliga a notar cuándo una búsqueda se desvía hacia una persona.
En las fuentes, indica la URL o el conjunto de datos y la fecha de acceso. Si un paso toca un sistema en vivo, el plan debe decirlo y citar la autorización. Este ejercicio mantiene todo en modo pasivo.
En la minimización, enumera los campos que vas a registrar y luego los que vas a omitir a propósito. Si el plan prevé algún dato personal, indica la base legal.
En la retención, pon una fecha real. Un plan que dice "borrar después" nunca borra nada.
Relee el plan y pregúntate si alguien que no lo escribió podría decir qué vas a recopilar, por qué, quién puede leerlo y cuándo se borrará. Si la respuesta es no, reescribe primero la finalidad. La mayoría de las otras lagunas vienen de una finalidad vaga.
Lee el Protocolo de Berkeley completo y lee por tu cuenta los textos de la LGPD y del GDPR, en lugar de depender de resúmenes secundarios. Para orientación brasileña, consulta las publicaciones de la Autoridade Nacional de Proteção de Dados (ANPD). Para la Unión Europea, consulta la guía de la autoridad nacional de protección de datos de tu país.
El siguiente artículo de esta serie, Certificate Transparency para tus propios dominios, aplica estas reglas a un ejercicio pasivo y acotado sobre un dominio que te pertenece. Mantén tu plan de investigación abierto mientras lo lees.
OSINT y reconocimiento
Entiende cómo los logs de Certificate Transparency registran certificados TLS públicos y revisa crt.sh de un dominio tuyo, sin tocar sus hosts.
OSINT y reconocimiento
Qué es OSINT, cómo verificar información pública, dónde están los límites éticos y cómo escribir un informe corto con evidencias.