UNA GUÍA PARA NEGOCIOS

LA COMISIÓN FEDERAL DE COMERCIO

LECCIONES APRENDIDAS DE LOS CASOS DE LA FTC.

COMIENCE 

CON SEGURIDAD

1. Comience con la seguridad.

2. Controle prudentemente el acceso a los datos.

3. Exija el uso de contraseñas seguras y un procedimiento de 

autentificación.

4. Archive la información personal delicada de manera segura y 

protéjala durante la transmisión.

5. Segmente su red y haga un monitoreo para controlar quién está 

tratando de entrar y salir.

6. Proteja el acceso remoto a su red informática.

7. Aplique prácticas de seguridad sólidas al desarrollo de nuevos 

productos.

8. Controle que sus proveedores de servicio implementen medidas 

de seguridad lógicas.

9. Implemente procedimientos para mantener actualizada su 

seguridad y ocúpese de solucionar las vulnerabilidades que 

pudieran surgir.

10. Guarde en un lugar seguro los archivos de papel y los medios y 

dispositivos de almacenamiento.

COMIENCE 

CON SEGURIDAD

1

Cuando usted maneja su red informática, desarrolla una aplicación o incluso 

cuando organiza sus archivos impresos en papel, la implementación de 

una seguridad sólida en su negocio no es algo fortuito. Las compañías que 

consideran la seguridad desde el comienzo pueden evaluar sus opciones 

y tomar decisiones basadas en la naturaleza de su negocio y en el nivel de 

vulnerabilidad de la información que manejan. Las amenazas contra los datos 

pueden transformarse con el transcurso del tiempo, pero los fundamentos de 

una seguridad sólida permanecen constantes. Tal como lo señaló la FTC en su 

publicación Cómo proteger la información personal: una guía para negocios, 

usted debe saber cuál es la información que archiva en sus registros y en 

sus computadoras, y conservar únicamente aquella información que necesite 

para operar su negocio. Usted debe proteger la información que mantiene en 

archivo y eliminar debidamente los datos que no necesite. Y por supuesto, 

debe crear un plan para responder a los incidentes de seguridad.

Además de la guía Cómo proteger la información personal, la FTC tiene 

otros recursos para ayudarlo a analizar cómo puede aplicar esos principios 

en su negocio. Hay un tutorial en línea que le será útil para capacitar a sus 

empleados; publicaciones para abordar desafíos particulares de la seguridad 

de datos; y noticias, artículos de blog, y orientación para ayudarlo a identificar 

– y posiblemente prevenir – inconvenientes.

También existe otra fuente de información sobre la protección de datos 

delicados: las lecciones aprendidas a partir de las más de 50 acciones de 

cumplimiento de ley anunciadas por la FTC hasta la fecha. Obviamente, estos 

acuerdos resolutorios – la corte no adoptó ninguna una resolución sobre los 

casos – y los detalles específicos de las órdenes se aplican exclusivamente 

a esas compañías. Pero las lecciones aprendidas a partir de los errores que 

originaron las acciones de cumplimiento de ley pueden ayudarlo a mejorar 

las prácticas de su compañía. Y la mayoría de las prácticas alegadas en esos 

casos involucra errores de seguridad básicos y fundamentales. Mediante un 

exhaustivo análisis de los hechos de esos casos, le ofrecemos diez lecciones 

para aprender en detalle cuáles son las vulnerabilidades que podrían afectar 

a su compañía, junto con orientación práctica sobre cómo reducir los riesgos 

que plantean.
2

Comience con la seguridad.

Los datos delicados, desde la información personal de las solicitudes de empleo hasta 

los archivos de las redes informáticas que contienen los números de tarjeta de crédito de 

los clientes, están omnipresentes en muchas compañías. Los ejecutivos de los negocios 

suelen preguntar cómo se debe manejar la información confidencial. Los expertos 

concuerdan en el primer paso clave: comience con seguridad. Incluya el factor seguridad 

en el proceso de toma de decisiones de cada sección de su negocio – personal, ventas, 

contabilidad, tecnología de la información, etc. Recolectar información y guardarla “solo 

porque sí” ya no es una estrategia comercial sólida. Las compañías inteligentes piensan 

detenidamente las implicaciones de las decisiones sobre la seguridad de sus datos. 

Usted puede reducir el riesgo de que surjan incidentes de datos en el futuro tomando 

decisiones meditadas acerca del tipo de información que recolecta su negocio, cuánto 

tiempo la conserva y quiénes pueden acceder a los datos. Por supuesto que todas 

esas decisiones dependerán de la naturaleza de su negocio. Las lecciones que surgen 

de los casos de la FTC ilustran los beneficios de construir la seguridad desde el inicio 

preparando y perfeccionando sus políticas de recolección, retención y uso de datos.

No recolecte información personal que no necesite.

Este es un principio fundacional que debe considerar en sus decisiones iniciales: nadie 

puede robarle lo que no tiene. ¿Cuándo le solicita información delicada a la gente? 

Quizás cuando se registra en internet o establece una cuenta nueva con su compañía. 

¿Cuándo fue la última vez que revisó ese proceso para determinar que realmente 

necesita todos los datos que está solicitando su negocio? Esa es una de las lecciones 

que se puede aprender a partir de una cantidad de casos de la FTC. Por ejemplo, en 

la demanda de la FTC contra RockYou se acusó a la compañía de haber recolectado 

mucha información durante el proceso de inscripción en el sitio, incluidos el domicilio y la 

contraseña del email del usuario. La FTC dijo que al recolectar las contraseñas de email 

– que no era algo que el negocio necesitara – y al guardarlas en un formato de texto 

sin codificación, la compañía generó un riesgo innecesario para las cuentas de email 

de la gente. El negocio podría haber evitado ese riesgo si en primer lugar no hubiera 

recolectado esa información delicada.

Retenga la información solo durante el tiempo que la necesite 

para un fin comercial legítimo.

A veces es necesario recolectar datos personales como parte de una transacción. Pero 

puede ser imprudente conservar esos datos después de cerrada la transacción. En el 

caso de la FTC contra BJ’s Wholesale Club, se alegó que la compañía recolectó los 

datos de las tarjetas de crédito y débito de los clientes para procesar las transacciones 

en sus tiendas minoristas. Pero de acuerdo a los términos de la demanda, continuó 

almacenando los datos durante 30 días – bastante tiempo después de la fecha de 

venta. La FTC dijo que lo que hizo BJ’s Wholesale Club no solo infringió las regulaciones 

1
3

bancarias, sino que la retención de la información sin una necesidad comercial legítima 

también generó un riesgo injustificado. Aprovechándose de las debilidades de las 

prácticas de seguridad de la compañía, unos piratas informáticos robaron los datos y 

los usaron para falsificar tarjetas de crédito y débito. El negocio podría haber limitado su 

riesgo eliminando la información financiera de manera segura cuando ya no tenía una 

necesidad legítima de conservarla.

No use información personal cuando no sea necesario.

Usted no haría malabares con un jarrón Ming. Su negocio tampoco debería usar 

información personal en contextos donde se puedan generar riesgos innecesarios. En 

el caso Accretive, la FTC alegó que la compañía usó información personal verídica en 

sus sesiones de capacitación de empleados, y que omitió eliminar la información de 

las computadoras de los empleados después de finalizadas las sesiones. De manera 

similar, en el caso foru International, la FTC acusó a la compañía de facilitar el acceso 

a datos delicados de los consumidores a unos proveedores de servicio que estaban 

desarrollando aplicaciones para la compañía. En ambos casos, se podría haber evitado 

ese riesgo usando información ficticia tanto para propósitos de capacitación de 

empleados como para el desarrollo de las aplicaciones.

Controle prudentemente el acceso a los 

datos.

Una vez que haya decidido que tiene una necesidad comercial legítima que justifica la 

retención de datos delicados, tome las medidas lógicas para protegerlos. Por supuesto 

que deberá mantener la información a salvo de la mirada indiscreta de los extraños. 

¿Pero qué sucede con sus propios empleados? No todos los integrantes de su personal 

necesitan acceder de manera irrestricta a su red y a su información. Implemente 

controles para que sus empleados puedan acceder a la red únicamente sobre un criterio 

de una “necesidad de conocer los datos”. Para proteger su red informática, considere 

adoptar medidas tales como establecer cuentas de usuario separadas para limitar el 

acceso a los archivos donde se almacenan los datos personales o para controlar quiénes 

pueden usar bases de datos en particular. Para los archivos de papel, discos externos, 

otros dispositivos de almacenamiento de archivos, etc., el control del acceso podría ser 

algo tan simple como instalar un archivero con llave. Al momento de pensar en cómo 

controlar el acceso a la información delicada que tiene en su poder, considere estas 

lecciones que surgen de los casos de la FTC.

Restrinja el acceso a los datos delicados.

Si los empleados no tienen que usar información personal como parte de su trabajo, 

entonces no es necesario que tengan acceso a esos datos. Por ejemplo, en el caso Goal 

Financial, la FTC alegó que la compañía no restringió el acceso de sus empleados para 

2
4

evitar que accedieran a la información personal almacenada en sus archivos impresos y 

en su red informática. En consecuencia, un grupo de empleados transfirió más de 7,000 

archivos de consumidores con información delicada a personas ajenas a la compañía. 

La compañía podría haber prevenido este error implementando controles adecuados 

y tomando las medidas necesarias para asegurarse de que solo aquellos empleados 

autorizados que tuvieran una necesidad comercial pudieran acceder a la información 

personal de la gente.

Limite el acceso a los controles administrativos del sistema.

El acceso a los controles administrativos, que es lo que permite que un usuario efectúe 

amplios cambios en su sistema, debería estar limitado al empleado a cargo de esa 

tarea. Por ejemplo, en su acción contra Twitter, la FTC alegó que la compañía les 

otorgó acceso de control administrativo sobre el sistema de Twitter a casi todos sus 

empleados, incluso con la posibilidad de restablecer las contraseñas de las cuentas de 

los usuarios, ver los tweets privados de los usuarios, y enviar tweets en nombre de los 

usuarios. Según se alegó en la demanda, otorgándole acceso administrativo a casi todos 

sus empleados, Twitter aumentó el riesgo de que la exposición de las credenciales de 

cualquiera de sus empleados pudiera dar lugar a un incidente grave de seguridad de 

datos. ¿Qué podría haber hecho la compañía para reducir ese riesgo? Tomar medidas 

para asegurar que el acceso de los empleados a los controles administrativos del 

sistema estuviera adaptado a las necesidades de sus tareas.

Exija el uso de contraseñas seguras y un 

procedimiento de autentificación.

Si usted archiva información personal en su red informática, la implementación de 

sólidos procedimientos de autentificación – incluida una regla clara y firme para el 

establecimiento de contraseñas – puede ayudarlo a garantizar que solo aquellos 

individuos autorizados puedan acceder a los datos. Cuando desarrolle las políticas de su 

compañía puede considerar algunas de las recomendaciones que surgen de los casos 

de la FTC.

Insista en la creación de contraseñas únicas y complejas.

Establecer “contraseñas” como 121212 o qwerty no ofrece mucha más protección que 

ninguna contraseña en absoluto. Por lo cual, es prudente que analice los estándares 

a implementar para la creación de las contraseñas. Por ejemplo, en el caso Twitter, la 

compañía permitió que sus empleados crearan contraseñas de control administrativo 

con palabras que comúnmente figuran en los diccionarios, y también les permitió usar las 

mismas contraseñas que estaban usando en otras cuentas. Según la FTC, esas prácticas 

laxas generaron una vulnerabilidad en el sistema de Twitter que fue aprovechada por 

unos piratas informáticos que usaron herramientas de predicción de contraseñas, o que 

3
5

trataron de acceder usando contraseñas robadas a otros servicios esperando que los 

empleados de Twitter hubieran usado la misma contraseña para acceder al sistema de 

la compañía. Twitter podría haber evitado esos riesgos implementando un sistema de 

contraseñas más seguro – por ejemplo, exigiéndole a sus empleados que escogieran 

contraseñas complejas y capacitándolos para que no usaran la misma contraseña o una 

similar para acceder a las cuentas comerciales y a las cuentas personales.

Guarde las contraseñas de manera segura.

No les facilite el acceso a las contraseñas a los intrusos. En el caso Guidance Software, 

la FTC alegó que la compañía almacenó credenciales de usuario de la red en un formato 

de texto sin codificar legible que facilitó un acceso pirata a la información de tarjeta de 

crédito de los clientes que estaba almacenada en la red. De manera similar, en el caso 

Reed Elsevier, la FTC alegó que el negocio permitió que los clientes almacenaran en sus 

computadoras credenciales de usuario en cookies de formato vulnerable. También en 

el caso de Twitter, la FTC dijo que la compañía no estableció políticas para prohibirles a 

sus empleados el almacenamiento de contraseñas administrativas en formato de texto 

sin codificación para las cuentas personales de email. En ambos casos, las compañías 

podrían haber reducido los riesgos implementado políticas y procedimientos para 

almacenar las credenciales de manera segura. También es conveniente que los negocios 

consideren otras protecciones – por ejemplo, un sistema de doble autentificación – que 

puede ser útil para proteger las contraseñas.

Establezca una protección contra los ataques de fuerza bruta.

¿Recuerda aquel dicho sobre el experimento con una cantidad infinita de monos 

operando una cantidad infinita de máquinas de escribir? Los piratas informáticos usan 

programas automatizados que realizan una función similar. Estos ataques de fuerza 

bruta consisten en el ingreso de interminables combinaciones de caracteres hasta 

que los piratas informáticos logran dar con la contraseña de alguna persona. En los 

casos de Lookout Services, Twitter y Reed Elsevier, la FTC alegó que los negocios 

no suspendieron ni deshabilitaron las credenciales de los usuarios después de cierta 

cantidad de intentos frustrados de acceso a las cuentas. Al no restringir adecuadamente 

la cantidad de intentos, las compañías pusieron en riesgo sus redes. Las compañías 

podrían haber eliminado ese riesgo implementado una política que suspendiera o 

deshabilitara las cuentas después de repetidos intentos de acceso.

Establezca una protección para que no se pueda circunvalar el 

paso de autentificación.

Cerrar con llave la puerta principal no ofrece demasiada protección si se deja abierta 

la puerta trasera. En el caso Lookout Services, la FTC alegó que la compañía no probó 

adecuadamente su aplicación web para verificar si era vulnerable a fallos de seguridad 

ampliamente conocidos, incluido un fallo llamado “locación predecible de recursos”. En 
6

consecuencia, un pirata informático pudo predecir fácilmente los modelos y manipular 

las URL para puentear la pantalla de autentificación de la aplicación web y acceder 

a las bases de datos de la compañía sin la debida autorización. La compañía podría 

haber aumentado el nivel de seguridad de su mecanismo de verificación probando las 

vulnerabilidades más comunes.

Archive la información personal delicada 

de manera segura y protéjala durante la 

transmisión.

Muchas compañías tienen una necesidad comercial que justifica el almacenamiento 

de datos delicados. Y aunque usted tome las medidas apropiadas para proteger su 

red informática, a veces tiene que enviar los datos a otra parte. Use una codificación 

sólida para proteger el material confidencial durante el proceso de almacenamiento y 

transmisión. El método a aplicar dependerá de los tipos de información que recolecte 

su negocio, y de cómo la recolecte y la procese. Dependiendo de la naturaleza de su 

negocio, algunas alternativas podrían ser el sistema de codificación TLS/SSL (Transport 

Layer Security/Secure Sockets Layer), codificación de datos inactivos o un código 

criptográfico iterativo. Pero cualquiera que sea el método que elija, solo funcionará 

correctamente si el personal que lo implementa lo hace de la manera apropiada. 

Controle que el personal asignado a esta tarea comprenda el modo en que su compañía 

usa los datos delicados y tenga los conocimientos necesarios para determinar qué 

es lo que debe hacer en cada situación. Considerando esos conceptos, estas son 

algunas lecciones que surgen de los casos de la FTC que usted debe tener en cuenta 

cuando tome medidas para proteger la información delicada durante el proceso de 

almacenamiento y transmisión.

Mantenga la seguridad de la información delicada a lo largo de 

su vida útil.

Los datos no permanecen quietos en un lugar. Por lo cual, si su negocio necesita 

transmitir información, es importante que considere la seguridad en todas las etapas. 

Por ejemplo, en el caso Superior Mortgage Corporation, la FTC alegó que la compañía 

usó codificación SSL para proteger la transmisión de la información delicada entre el 

navegador de internet del cliente y el servidor del sitio web del negocio. Pero cuando 

la información llegó al servidor, el proveedor de servicio de la compañía la decodificó 

y la envió por email a la oficina central y a las sucursales de la compañía en un formato 

de texto legible y sin codificación. La compañía podría haber prevenido ese riesgo 

verificando la protección de los datos a lo largo de su vida útil, y no solo durante la 

transmisión inicial.

4
7

Use métodos probados y aceptados por la industria.

Cuando esté considerando los estándares técnicos a seguir, tenga presente que es 

posible que los expertos ya hayan desarrollado estándares efectivos que usted puede 

aplicar en su negocio. Las compañías inteligentes no comienzan el proceso desde cero 

cuando no es necesario. En lugar de eso, aprovechan los conocimientos de los expertos. 

El caso ValueClick ilustra ese principio. Según la FTC, la compañía almacenó información 

delicada de clientes que había sido recolectada a través de sus sitios de e-commerce en 

una base de datos con un formato de codificación no convencional de su propiedad. En 

la demanda se alegó que en lugar de usar una codificación de algoritmos ampliamente 

aceptada y exhaustivamente probada, ValueClick usó un método que consistía en 

un sistema simple de sustitución alfabética sujeto a importantes vulnerabilidades. La 

compañía podría haber evitado esas debilidades usando métodos de protección de 

datos de probada efectividad y aceptados por el sector.

Controle la correcta configuración del sistema de codificación.

La codificación – incluso los métodos más sólidos – no les ofrecerá protección a sus 

usuarios si usted no la configura correctamente. Ese es un mensaje que los negocios 

pueden extraer de las acciones de la FTC contra Fandango y Credit Karma. En estos 

casos, la FTC alegó que las compañías usaron una codificación SSL en sus aplicaciones 

móviles, pero que desactivaron un proceso crítico conocido como validación del 

certificado SSL sin implementar ninguna otra medida compensatoria de seguridad. 

Eso causó la vulnerabilidad de las aplicaciones a los ataques de intermediarios que 

permitió que los piratas informáticos decodificaran la información delicada transmitida 

por las aplicaciones. La compañía podría haber prevenido esos riesgos configurando 

correctamente las implementaciones del sistema de codificación SSL.

Segmente su red y haga un monitoreo para 

controlar quién está tratando de entrar y 

salir.

Cuando diseñe su red informática, considere utilizar algunas herramientas como los 

firewalls para segmentarla, de ese modo podrá limitar el acceso entre las computadoras 

de su red y entre sus computadoras e internet. Otra protección útil: las herramientas 

de detección y prevención para monitorear la actividad maliciosa en su red informática. 

Estas son algunas lecciones que surgen de los casos de la FTC a tener en cuenta 

cuando diseñe su red.

Segmente su red.

No es necesario que todas las computadoras de su sistema se puedan comunicar con 

cada computadora de su compañía. Usted puede proteger los datos particularmente 

delicados alojándolos en un lugar seguro y separado de su red. Esa es una lección 

5
8

que surge del caso DSW. La FTC alegó que la compañía no limitó adecuadamente la 

red informática de una de sus tiendas para evitar que las computadoras se conectaran 

con otras redes de sus tiendas y de la sede de la compañía. En consecuencia, los 

piratas informáticos pudieron usar la red de una tienda para conectarse y acceder a la 

información de las redes de otras tiendas y de la sede de la compañía. La compañía 

podría haber reducido ese riesgo segmentando adecuadamente su red informática.

Monitoree la actividad de su red informática.

“¿Quién está golpeando a mi puerta?” Eso es lo que pregunta una herramienta de 

detección de intrusión efectiva cuando detecta una actividad no autorizada en su red. En 

el caso Dave & Buster’s, la FTC alegó que la compañía no usó un sistema de detección 

de intrusiones y no monitoreó la actividad sospechosa de los registros del sistema. 

La FTC dice que en el caso Cardsystem Solutions sucedió algo similar. El negocio no 

implementó las medidas adecuadas para detectar el acceso no autorizado a su red. 

Los piratas informáticos se aprovecharon de esa debilidad del sistema e instalaron 

programas en la red de la compañía mediante los cuales pudieron recolectar datos 

delicados y continuar enviándolos fuera de la red cada cuatro días. En cada uno de 

estos casos, los negocios podrían haber reducido el riesgo de una exposición de datos 

o el alcance del incidente usando herramientas para monitorear las actividades de sus 

respectivas redes informáticas.

Proteja el acceso remoto a su red 

informática.

La actividad de un negocio no se desarrolla únicamente en la oficina. Si bien es 

cierto que tener personal que realiza tareas fuera de la oficina puede aumentar la 

productividad de su negocio, también es cierto que la movilidad puede plantear nuevos 

desafíos para la seguridad. Si usted permite que sus empleados, clientes o proveedores 

de servicio accedan a su red informática desde terminales remotas, ¿ha tomado las 

medidas necesarias para proteger esos puntos de acceso? Los casos de la FTC indican 

algunos factores a tener en cuenta cuando desarrolle sus políticas de acceso remoto.

Controle la seguridad en cada terminal de acceso.

Así como la fortaleza de una cadena se define por su eslabón más débil, el nivel de 

seguridad de su red estará determinado por la computadora más vulnerable con acceso 

remoto a su red. Ese es el mensaje de los casos de la FTC contra unas compañías 

que no tomaron las medidas de seguridad necesarias para proteger las terminales 

con acceso remoto a sus redes. Por ejemplo, en el caso Premier Capital Lending, la 

compañía presuntamente habilitó una sesión de conexión a una cuenta para que un 

cliente del negocio pudiera obtener informes de consumidores sin evaluar previamente 

la seguridad de ese cliente. Cuando los piratas informáticos accedieron al sistema del 

6
9

cliente, le robaron sus credenciales de conexión remota y las usaron para apropiarse 

de la información personal de los consumidores. De acuerdo a la demanda contra 

Settlement One, el negocio permitió que algunos clientes que carecían de las medidas 

básicas de seguridad, como firewalls y software antivirus actualizado, accedieran a 

informes de consumidores a través de su portal en línea. Y en el caso Lifelock, la FTC 

alegó que la compañía no instaló programas antivirus en las computadoras que los 

empleados usaban para acceder remotamente a su red informática. Estos negocios 

podrían haber reducido esos riesgos protegiendo las computadoras con acceso remoto 

a sus redes.

Implemente límites prudentes para el acceso.

No todas las personas que ocasionalmente pudieran tener la necesidad de acceder a 

su red deben tener un pase libre para acceder a toda la información confidencial. Por lo 

cual, es prudente limitar el acceso solo a aquellos datos necesarios para realizar la tarea. 

Por ejemplo, en el caso Dave & Buster’s, la FTC alegó que la compañía no restringió 

adecuadamente el acceso de terceros a su red. Aprovechando la debilidad del sistema 

de una tercera compañía, presuntamente, un intruso logró conectarse a la red varias 

veces e interceptar información personal. ¿Qué podría haber hecho la compañía para 

reducir ese riesgo? Podría haber implementado límites para evitar el acceso de terceros 

a su red – por ejemplo, restringiendo las conexiones a domicilios IP especificados o 

concediendo un acceso temporario y limitado.

Aplique prácticas de seguridad sólidas al 

desarrollo de nuevos productos.

En su tablero de diseño usted tiene una gran aplicación nueva o un software innovador. 

En las primeras etapas del proceso de desarrollo piense cómo les gustaría usar el 

producto a los clientes. Si los clientes van a almacenar y enviar información delicada, 

pregúntese si su producto está en condiciones de manejar los datos de manera segura. 

Antes de lanzar su producto al mercado, considere las lecciones de los casos de la FTC 

relacionados con desarrollo, diseño, prueba y puesta en marcha de un producto.

Capacite a sus ingenieros en materia de codificación de 

seguridad.

¿Les ha explicado a sus desarrolladores la necesidad de mantener la seguridad en 

primera línea? En los casos de MTS, HTC America, y TRENDnet, la FTC alegó que las 

compañías no capacitaron a sus empleados en materia de prácticas de codificación 

seguras. El resultado: decisiones de diseño cuestionables, incluso la introducción de 

vulnerabilidades en el software. Por ejemplo, según la demanda del caso HTC America, 

la compañía no implementó mecanismos de comunicación segura fácilmente disponibles 

en la fase de inicio de sesión de las aplicaciones preinstaladas en sus aparatos móviles. 

7
10

En consecuencia, unas aplicaciones maliciosas de terceros pudieron comunicarse con 

las aplicaciones de inicio de sesión, poniendo en riesgo los mensajes de texto, datos de 

localización y otra información delicada de los consumidores. La compañía podría haber 

reducido el riesgo de ese este tipo de vulnerabilidades capacitando adecuadamente a 

sus ingenieros en materia de prácticas de codificación seguras.

Siga las pautas de plataformas de seguridad.

En lo que se refiere a la seguridad, tal vez no sea necesario reinventar la rueda. A veces, 

la opción más prudente es escuchar a los expertos. En las acciones entabladas contra 

HTC America, Fandango y Credit Karma, la FTC alegó que las compañías no siguieron 

las pautas explícitas de las plataformas sobre las prácticas de desarrollo seguras. Por 

ejemplo, Fandango y Credit Karma desactivaron en sus aplicaciones un proceso crítico 

de validación de certificados llamado SSL, permitiendo que la información delicada 

de los consumidores se retransmitiera por medio de esas aplicaciones que estaban 

abiertas a la intercepción a través de ataques de intermediarios. Las compañías podrían 

haber prevenido esta vulnerabilidad siguiendo las pautas de iOS y Android para 

desarrolladores, que advierten explícitamente contra la desactivación de la validación de 

certificados SSL.

Verifique el correcto funcionamiento de las funciones de 

privacidad y seguridad.

Si su software le ofrece una función de privacidad o seguridad, verifique que esa 

función opere tal como se anuncia. Por ejemplo, en el caso TRENDnet, la FTC acusó 

a la compañía de no probar la efectividad de una opción para mantener la privacidad 

de las filmaciones de las cámaras de los consumidores para restringir el acceso a esas 

filmaciones. En consecuencia, cientos de filmaciones privadas quedaron a la vista 

del público. De manera similar, en el caso Snapchat, la compañía anunció que los 

mensajes “desaparecerían para siempre”, pero la FTC dice que la compañía no tomó las 

medidas necesarias para garantizar la veracidad de esa declaración. Entre otras cosas, 

la aplicación almacenó archivos de video fuera del entorno restringido de verificación 

o sandbox de la aplicación, facilitando la recuperación de los archivos de video con 

herramientas comunes de visualización de archivos. Lecciones que surgen de los casos 

de otras compañías: cuando ofrezca funciones de privacidad y seguridad, controle que 

su producto funcione conforme a sus declaraciones publicitarias.

Pruebe las funciones para detectar las vulnerabilidades 

comunes.

No hay manera de prever cada amenaza, pero hay algunas vulnerabilidades que son 

comúnmente conocidas y lógicamente evitables. En más de una docena de casos de 

la FTC, los negocios no evaluaron adecuadamente sus aplicaciones para verificar la 

existencia de vulnerabilidades bien conocidas. Por ejemplo, en el caso Guess?, la FTC 

alegó que el negocio no evaluó si su aplicación web era vulnerable a los ataques por 
11

inyección SQL (Structured Query Language). En consecuencia, los piratas informáticos 

pudieron usar ataques SQL para acceder a bases de datos que contenían información 

de tarjeta de crédito de consumidores. Ese es un riesgo que se podría haber evitado 

probando las vulnerabilidades comúnmente conocidas, como aquellas identificadas en el 

Open Web Application Security Project (OWASP) (enlace externo).

Controle que sus proveedores de servicio 

implementen medidas de seguridad 

lógicas.

En materia de seguridad, abra bien los ojos para mantener vigilados a sus proveedores 

de servicio – por ejemplo, las compañías que contrata su negocio para procesar la 

información personal de sus clientes o para desarrollar aplicaciones. Antes de contratar 

un proveedor, sea franco respecto a sus expectativas de seguridad. Siga los pasos 

lógicos y necesarios para seleccionar proveedores capaces de implementar medidas de 

seguridad adecuadas y para controlar que acaten sus requerimientos. Los casos de la 

FTC ofrecen consejo sobre lo que se debe tener en cuenta al momento de contratar y 

supervisar a los proveedores de servicios.

Póngalo por escrito.

Insista para que los estándares de seguridad apropiados formen parte de sus contratos. 

Por ejemplo, en el caso GMR Transcription, la FTC alegó que la compañía contrató 

proveedores de servicio para transcribir archivos de audio con información delicada, 

pero omitió exigirle al proveedor del servicio que tomara medidas de seguridad 

lógicas. En consecuencia, los archivos – muchos de ellos con datos de salud altamente 

confidenciales – quedaron ampliamente expuestos en internet. Por empezar, el negocio 

podría haber incluido disposiciones contractuales que les exigieran a los proveedores de 

servicio que adoptaran precauciones lógicas de seguridad, por ejemplo, un sistema de 

codificación.

Verifique el cumplimiento.

La seguridad no puede ser algo que se base en un “le doy mi palabra”. Un primer 

paso importante es incluir sus expectativas de seguridad en los contratos con sus 

proveedores de servicio, pero también es importante desarrollar tareas de supervisión 

a lo largo del proceso. El caso Upromise ilustra este punto. La compañía contrató un 

proveedor de servicio para desarrollar una barra de herramientas para un navegador. 

Upromise dijo que la barra de herramienta, que recolectaba información de navegación 

de consumidores para ofrecer ofertas personalizadas, usaría un filtro para “eliminar 

cualquier información personal identificable” antes de la transmisión. Pero según la 

FTC, Upromise omitió verificar que el proveedor de servicio hubiera implementado el 

programa de recolección de información de una manera coherente con las políticas de 

8
12

privacidad y seguridad de Upromise y conforme a los términos del contrato diseñados 

para proteger la información de los consumidores. En consecuencia, la barra de 

herramientas recolectó información personal delicada, incluso números de cuentas 

financieras y códigos de seguridad de páginas web seguras, y los transmitió en formato 

de texto sin codificación. ¿Qué podría haber hecho la compañía para reducir ese riesgo? 

Hacerle preguntas al proveedor del servicio e implementar un seguimiento durante el 

proceso de desarrollo.

Implemente procedimientos para mantener 

actualizada su seguridad y ocúpese 

de solucionar las vulnerabilidades que 

pudieran surgir.

La protección de su software y de su red informática no es algo que se haga de una vez 

y para siempre. Es un proceso continuo que exige mantener la guardia alta. Si su red 

usa un software de terceros, o si sus aplicaciones incluyen bibliotecas de software de 

terceros, aplique actualizaciones a medida que estén disponibles. Si usted desarrolla 

su propio software, ¿qué medidas va a implementar para que la gente le informe si 

detectó una vulnerabilidad y qué hará usted para resolver el problema? Los casos de 

la FTC ofrecen algunos puntos a considerar al momento de analizar el manejo de las 

vulnerabilidades.

Actualice y repare el software de terceros.

Un software desactualizado atenta contra la seguridad. La solución es actualizarlo 

regularmente e implementar los parches de terceros. Por ejemplo, en el caso 

TJX Companies, la FTC alegó que la compañía no actualizó su software antivirus, 

aumentando el riesgo de que los piratas informáticos pudieran explotar las 

vulnerabilidades o vencer las defensas del negocio. Dependiendo de la complejidad 

de su red informática o de su software, es posible que tenga que priorizar los parches 

de acuerdo a su nivel de gravedad; no obstante, una medida importante para reducir el 

riesgo de una exposición de datos es implementar un proceso lógico para actualizar y 

reparar los programas de terceros.

Preste atención a las advertencias de seguridad y actúe 

rápidamente para solucionarlas.

Cuando se presenten vulnerabilidades, escuche atentamente y actúe. En el caso 

HTC America, la FTC alegó que la compañía no tenía implementado un proceso para 

recibir y ocuparse de los reportes de vulnerabilidades de seguridad. Presuntamente, 

la demora de HTC en responder a las advertencias implicó que las vulnerabilidades 

afectaran más aparatos a través de múltiples versiones del sistema operativo. A veces 

las compañías reciben alertas de seguridad, pero se pierden en la confusión. Por 

9
13

ejemplo, en el caso Fandango, la compañía confió en su sistema general de servicio 

al cliente para responder a las advertencias sobre los riesgos de seguridad. Según 

la demanda, cuando un investigador se comunicó con el negocio para reportar una 

vulnerabilidad, el sistema categorizó el reporte incorrectamente como una solicitud de 

restablecimiento de contraseña, envió una respuesta automática, y marcó el mensaje 

como “resuelto” sin marcarlo para su posterior revisión. En consecuencia, Fandango 

no se enteró de la vulnerabilidad hasta que el personal de la FTC se comunicó con la 

compañía. ¿Lecciones que surgen de otros negocios? Implemente un proceso efectivo 

para recibir y resolver los reportes de vulnerabilidad. Considere implementar un canal 

efectivo y claramente anunciado (por ejemplo, un domicilio de email exclusivo para ese 

fin como security(@)yourcompany.com) para recibir los reportes y marcarlos para que su 

personal de seguridad los revise.

Guarde en un lugar seguro los archivos 

de papel y los medios y dispositivos de 

almacenamiento.

La seguridad de la red es una consideración crítica, pero muchas de las mismas 

lecciones se aplican a la información impresa y a otros medios físicos de 

almacenamiento de información como discos duros, computadoras portátiles, unidades 

de memoria flash y discos de almacenamiento. Los casos de la FTC ofrecen elementos a 

considerar al momento de evaluar la seguridad física en su negocio.

Guarde los archivos con información delicada en un lugar 

seguro.

Si necesita retener documentación importante, tome medidas para protegerla. En el 

caso Gregory Navone, la FTC alegó que el demandado guardó información delicada de 

consumidores que había recolectado en su ex negocio en unas cajas que mantuvo en 

su garaje. En la demanda del caso Lifelock, se alegó que la compañía dejó documentos 

enviados por fax que contenían información personal de consumidores en un lugar 

abierto y de fácil acceso. En ambos casos, los negocios podrían haber reducido el 

riesgo para sus clientes implementado políticas para almacenar los documentos de 

manera segura.

Proteja los aparatos que procesan información personal.

Las medidas de seguridad que implemente para proteger la información almacenada 

en su red no servirán para proteger a sus clientes si los datos ya han sido robados a 

través del aparato o dispositivo que los recolecta. En 2007, en la investigación del caso 

Dollar Tree, el personal de la FTC dijo que los dispositivos que el negocio utilizó para 

ingresar los números de identificación personal o PIN de los clientes eran vulnerables a 

la manipulación y al robo. En consecuencia, a través de un ataque conocido como “PED 

10
14

skimming” unas personas no autorizadas pudieron capturar los datos de las tarjetas de 

pago de los consumidores, incluidos los datos de la banda magnética y el PIN. En ese 

momento, debido a lo novedoso de ese tipo de tentativa y a otros varios factores, el 

personal de la FTC cerró la investigación. Sin embargo, actualmente los ataques contra 

los dispositivos utilizados en los puntos de venta son bien conocidos y los negocios 

deben tomar las medidas lógicas y necesarias para proteger ese tipo de aparatos.

Implemente estándares de seguridad para proteger los datos 

itinerantes.

Los negocios inteligentes comprenden la importancia de proteger la información 

delicada mientras está fuera de la oficina. Por ejemplo, en el caso Accretive, la FTC 

alegó que un empleado dejó su computadora portátil con más de 600 archivos 

que incluían 20 millones de datos relacionados con 23,000 pacientes dentro del 

compartimiento cerrado del asiento del pasajero de un automóvil que fue robado. El 

caso CBR Systems involucró cintas de copias de seguridad supuestamente codificadas, 

una computadora portátil y un disco externo – que contenían información delicada – 

que fueron sustraídos del automóvil de un empleado. En ambos casos, los negocios 

podrían haber reducido el riesgo para la información personal de los consumidores 

implementando políticas de seguridad lógicas para proteger los datos itinerantes. Por 

ejemplo, cuando envíe archivos, discos, unidades de memoria, etc., use un método que 

le permita hacer un seguimiento del trayecto del paquete. Limite las situaciones que 

impliquen que sus empleados salgan de la oficina con datos delicados en su poder. 

Pero cuando se presente una necesidad comercial legítima de viajar con información 

personal, los empleados la tienen que mantener fuera de la vista de terceros, y en la 

medida de lo posible, deben guardarla bajo llave.

Elimine los datos delicados de manera segura.

La documentación o los aparatos que ya no necesita le pueden parecer basura, pero si 

contienen información personal sobre consumidores o empleados, son un tesoro para 

los ladrones de identidad. Por ejemplo, de acuerdo a lo que se alega en las demandas 

de la FTC en los casos Rite Aid y CVS Caremark, las compañías desecharon información 

personal delicada – como recetas de medicamentos – en contenedores de basura. En 

el caso Goal Financial, la FTC alegó que un empleado vendió un excedente de discos 

duros que contenían información personal delicada de aproximadamente 34,000 clientes 

en formato de texto sin codificación. Las compañías podrían haber prevenido el riesgo 

para la información personal de los consumidores triturando, quemando o pulverizando 

los documentos para que quedaran ilegibles y usando tecnología disponible para borrar 

la información de dispositivos en desuso.
15

PARA MÁS INFORMACIÓN?

Puede encontrar más información en ftc.gov/business en la sección de 

Seguridad de Datos (en inglés).

ACERCA DE LA FTC

La FTC trabaja a favor del consumidor para prevenir las prácticas comerciales 

fraudulentas, engañosas y desleales en el mercado y para proveer información 

a los negocios para ayudarlos a cumplir la ley. Para presentar una queja o para 

obtener información gratuita sobre temas de interés del consumidor visite 

ftc.gov/español o llame sin cargo al (1-877-382-4357); TTY: 1-866-653-4261. 

Para más información, mire el video Cómo presentar una queja ante la FTC 

en consumidor.ftc.gov/media. La FTC ingresa las quejas presentadas por 

los consumidores a una base de datos segura y herramienta investigativa 

llamada Red Centinela del Consumidor que es utilizada por cientos de agencias 

de cumplimiento de las leyes civiles y penales en los Estados Unidos y del 

extranjero.

SU OPORTUNIDAD DE PRESENTAR COMENTARIOS

La agencia National Small Business Ombudsman y 10 juntas regionales llamadas 

Regional Fairness Boards recogen comentarios de parte de las pequeñas 

empresas sobre las acciones federales de cumplimiento y fiscalización. Todos 

los años, el programa de defensa de la pequeña empresa evalúa la conducta 

de dichas actividades y califica la capacidad de respuesta de cada agencia 

ante las pequeñas empresas. Los representantes de las pequeñas empresas 

pueden presentar comentarios ante el Ombudsman sin temor a represalias. Para 

presentar comentarios, llame a la línea gratuita 1-888-REGFAIR (1-888-734-3247) 

o visite sba.gov/ombudsman.
La Comisión Federal de Comercio

business.ftc.gov

Junio 2015