Las evaluaciones de riesgos son el eje central de los regímenes regulatorios emergentes sobre seguridad en línea en todo el mundo.
Las organizaciones ya emplean una amplia gama de evaluaciones de riesgos digitales, desde la diligencia debida en materia de derechos humanos hasta la evaluación de impacto algorítmico.
La Coalición Global para la Seguridad Digital del Foro Económico Mundial ha publicado un marco de referencia básico y un repositorio de casos de estudio para orientar las acciones futuras de los gobiernos, las empresas y la sociedad civil.
Los servicios digitales impulsan el crecimiento económico y la innovación en todo el mundo, y desempeñan un papel fundamental al permitir que las personas disfruten de sus derechos humanos. Sin embargo, estos servicios también generan riesgos para las personas, las comunidades y las sociedades derivados de contenidos y conductas nocivos en línea.
Con avances tecnológicos casi diarios que ya repercuten en los derechos y la seguridad, la gestión eficaz de riesgos ofrece una vía a seguir para las empresas tecnológicas, los reguladores gubernamentales y otras partes interesadas, con el fin de anticipar las formas en que las personas podrían verse expuestas a riesgos y adoptar medidas para mitigar los impactos adversos. En consonancia con este objetivo compartido, el Foro Económico Mundial, a través de su Coalición Global para la Seguridad Digital reunió a un grupo diverso de expertos para destilar los elementos esenciales de un marco transjurisdiccional que permita comprender y abordar los riesgos digitales.
Aunque la evaluación de riesgos para la seguridad digital es una disciplina incipiente y en evolución, no partimos de cero. Las organizaciones ya utilizan una serie de marcos, y ya existen metodologías que ayudan a gestionar riesgos complejos que se solapan con la seguridad digital. Por ejemplo, los Principios Rectores de las Naciones Unidas sobre las Empresas y los Derechos Humanos (PRNU) establecen un proceso de diligencia debida que permite a las empresas evitar, prevenir y mitigar los impactos en los derechos humanos reconocidos internacionalmente. Otro ejemplo son los procesos de gestión de riesgos empresariales de las compañías. Estos suelen centrarse en los riesgos para los intereses comerciales de la empresa más que en objetivos más amplios de seguridad digital, pero pueden servir de manera similar como herramienta útil o punto de partida.
Hasta hace poco, las evaluaciones de riesgos relacionadas con la seguridad digital eran esfuerzos voluntarios de empresas, organismos sectoriales e iniciativas multipartitas. Esta situación está cambiando, con un número creciente de regímenes regulatorios aprobados o propuestos que incluyen disposiciones sobre evaluaciones de riesgos. Pueden ser de alcance amplio, como las evaluaciones de riesgos sistémicos previstas en la Ley de Servicios Digitales de la UE, o centrarse en derechos específicos (p. ej., evaluaciones de impacto en la protección de datos), tecnologías (p. ej., la Ley de Inteligencia Artificial de la UE) o grupos vulnerables (p. ej., el Código de Diseño Adecuado a la Edad del Reino Unido). Los requisitos relativos a evaluaciones de riesgos específicas para la seguridad en línea también figuran en la Ley de Seguridad en Línea australiana, el proyecto de Ley de Seguridad en Línea de Singapur y el proyecto de Ley de Seguridad en Línea propuesto en el Reino Unido, entre otras.
Si bien corresponde a los responsables de políticas y a los reguladores establecer los requisitos específicos jurídicamente vinculantes para el cumplimiento de las evaluaciones de riesgos en estos regímenes, sigue siendo valioso contar con enfoques globales y multipartitos que permitan explorar desafíos colectivos y posibles soluciones. Nuestra coalición se ha beneficiado de las diversas perspectivas y de los conocimientos especializados de sus miembros, aprendiendo de los esfuerzos existentes y conciliando desafíos operativos para elaborar un marco de alto nivel para comprender y evaluar los riesgos para la seguridad digital.
El marco resultante propone un enfoque holístico que vincula conceptualmente los riesgos (la posibilidad de impactos adversos) y los daños materializados en un proceso cíclico. Este marco puede ser utilizado por organizaciones de distintos tamaños, escalas y niveles de madurez, que ofrecen servicios diversos y se enfrentan a todo tipo de daños en línea. Este enfoque holístico pretende permitir que las empresas y las partes interesadas adopten un planteamiento más coherente de la evaluación de riesgos digitales, al tiempo que alienta a los actores a evaluar y abordar los riesgos para la seguridad de manera integral, abarcando el posible daño tanto a los usuarios como a los no usuarios, y el impacto en distintos derechos humanos, incluidos la seguridad, el acceso a la información, la libertad de expresión y la privacidad.
También hemos recopilado casos de estudio que reflejan lecciones aprendidas de una amplia gama de prácticas existentes, así como panoramas generales sobre cómo se han diseñado e implementado los marcos existentes. Entre los ejemplos figuran principios de diligencia debida para abordar las restricciones gubernamentales a la libertad de expresión y a la privacidad, y herramientas de evaluación para que las startups incorporen la seguridad desde el diseño en los productos en línea. Algunos de los casos de estudio analizan marcos como las mejores prácticas de la Digital Trust & Safety Partnership, mientras que otros aplican un enfoque de evaluación de riesgos a un caso de uso específico, como la seguridad infantil en los juegos inmersivos o la evaluación de impacto algorítmico de un motor de búsqueda.
Muestran cómo puede aplicarse en la práctica la evaluación de riesgos a una tecnología, servicios y daños concretos. Están concebidos para ofrecer ejemplos útiles a todas las partes interesadas en la seguridad en línea, incluidos los proveedores de servicios en línea, los actores de la tecnología de seguridad e inteligencia de riesgos, los proveedores de servicios y moderación de contenidos, el sector público (gobiernos, reguladores, organizaciones internacionales), la sociedad civil (ONG, educadores, jóvenes) e inversores (capital riesgo, startups, fundadores).
Esperamos que este marco y los casos de estudio que lo acompañan constituyan una contribución significativa a los debates globales sobre la gestión eficaz de riesgos y ayuden a elevar el listón de la seguridad digital en todo el mundo.
