¿Qué es una Línea de Atención sobre Seguridad Digital para la Sociedad Civil?

La información, el apoyo y el aliento que pueden proporcionar personas desconocidas a distancia puede suponer un cambio decisivo en la vida de una persona e incluso, en algunos casos, hasta salvarla. El apoyo o el asesoramiento a distancia entre personas que no se conocen es, en esencia, un ámbito de actuación humana que se caracteriza por su diversidad y heterogeneidad. Las razones y motivaciones que impulsan la creación de líneas de atención y las formas en que esas iniciativas se autodefinen y presentan a sí mismas pueden ser muy diferentes. Por ello, los procedimientos, normas y políticas que se establecen, así como sus modelos de sostenibilidad, también pueden ser muy diversos.

Estas iniciativas pueden sumarse a acciones colectivas cuyo fin es construir redes de apoyo y solidaridad de alcance local, regional, nacional o incluso internacional, como en el caso de la convergencia transnacional entre movimientos sociales, por ejemplo. Por lo general, surgen de forma orgánica e informal a partir de personas y colectivos que se autoorganizan para aportar soluciones, servicios, cuidados y atención a los problemas que se les plantean. La participación en estas redes es voluntaria, es decir que no está motivada por un interés económico sino por el capital social o la alegría que produce participar en actividades ciudadanas o de voluntariado.

Muchas de estas iniciativas se pueden entender como una respuesta autogestionada de la sociedad civil para contrarrestar y combatir la larga serie de injusticias y violencias generadas por los sistemas capitalistas, patriarcales y coloniales en los que vivimos. Dentro de las redes informales de apoyo y solidaridad y de las líneas de atención de la sociedad civil encontramos muchos modelos de apoyo a la distancia. Esta sección tiene como objetivo presentarlos, definirlos y enumerar sus principales ventajas y características.

Ventajas y valor de los servicios de apoyo a distancia

En lo referente a las líneas de atención o ayuda, en general, existen una serie de clasificaciones y valores asociados a los públicos a los que prestan sus servicios y a la forma en que debe proporcionarse el apoyo. Por ejemplo, algunas líneas de atención se definen como "Volunteer Emotional Support Helplines" (VESH)[Líneas Voluntarias de Apoyo Emocional]. Estas integran una red internacional que combina los distintos servicios de asistencia telefónica de tres proyectos internacionales: Befrienders/Samaritans, IFOTES y Lifeline. En conjunto, agrupan a 1.200 centros distribuidos en 61 países. Trabajan conjuntamente para promover buenas prácticas y técnicas de comunicación que favorezcan la salud emocional, incrementar el intercambio de información entre las asociaciones participantes y representar las experiencias de sus integrantes a nivel internacional.

De forma complementaria, la International Federation of Telephone Emergency Services (IFOTES) [Federación Internacional de Servicios Telefónicos de Emergencia] elabora normas internacionales para dichos servicios de escucha, los cuales deben aplicar y respetar los siguientes puntos:

• Los servicios telefónicos de emergencia están disponibles, en todo momento, para cualquier persona que desee contactar, independientemente de su edad, sexo, religión o nacionalidad.
• Todas las personas que llaman tienen derecho a ser escuchadas y tratadas con respeto, independientemente de sus creencias, convicciones y opciones personales.
• Se debe escuchar con una actitud abierta y acogedora y respetar siempre la siguiente regla de oro: no imponer nunca ninguna obligación a la persona que llama.
• El contenido de una llamada es estrictamente confidencial, especialmente cualquier información relativa a la vida privada.
• Durante la conversación telefónica la persona receptora debe permanecer en estricto anonimato y la persona que llama tiene derecho a permanecer en anonimato si así lo desea.
• Los servicios trabajan de forma voluntaria. Las personas que atienden las llamadas han sido seleccionadas, formadas y supervisadas para mejorar constantemente sus habilidades de escucha.
• Los servicios telefónicos de emergencia son totalmente gratuitos para la persona que llama.

Por otro lado, el manual de USAID sobre cómo crear una línea directa (Stratten y Ainslie, 2003) destaca las siguientes ventajas a la hora de plantearse la creación de una nueva línea:

• Las líneas directas son una forma eficaz de proporcionar información precisa y consejos y de derivar a los servicios o recursos comunitarios adecuados. El anonimato que ofrece una línea directa es una ventaja fundamental, sobre todo cuando se trabaja con adolescentes, ya que permite a quien llama hacer preguntas que pueden ser difíciles o incómodas de abordar en un entorno presencial.
• Las líneas directas pueden ser un barómetro útil para medir el impacto de las campañas de educación pública y de los medios de comunicación y pueden proporcionar información para orientar nuevas intervenciones.
• Las líneas directas refuerzan los mensajes de prevención que se difunden a través de otros canales, especialmente de los medios de comunicación de masas. Pero, a diferencia de estas, lo hacen de forma interpersonal y cercana a través de las líneas telefónicas. Es esta comunicación interpersonal la que puede lograr que la gente adopte nuevos comportamientos.

Históricamente, la gran mayoría de las líneas de ayuda eran por teléfono. Hoy en día suelen complementarse con otros canales como formularios de contacto, correos electrónicos, chats de servicios de mensajería instantánea, SMS e incluso bots. Cada formato tiene sus ventajas y desventajas en cuanto al tipo y la calidad de la interacción, así como en cuanto a la atención y el apoyo que se puede ofrecer.

Como hemos indicado en esta introducción, las líneas de ayuda, directas y de atención pueden servir para proporcionar información precisa y rápida a las poblaciones vulnerables o en riesgo y ofrecer una oportunidad de diálogo y una mayor capacidad de comprensión de lo que estas poblaciones sienten, están viviendo y necesitan.

Líneas directas (hotlines), líneas de ayuda (helplines) y líneas de atención (help desks)

Una línea directa es un teléfono que te dirige automáticamente a un número de destino preseleccionado. Sin embargo, el uso coloquial del término "línea directa" suele referirse a un centro de llamadas al que se accede marcando un número de teléfono concreto. Hay números gratuitos para denunciar delitos, llamar a la policía, a los bomberos y a otros servicios de emergencia. Estas líneas directas suelen estar gestionadas, apoyadas o financiadas por instituciones públicas.

Hay organizaciones de la sociedad civil que ofrecen líneas directas y de ayuda para prevenir el suicidio, apoyar a personas que sufren violencia y distintas formas de discriminación, denunciar delitos o prestar apoyo inmediato tras una catástrofe natural o humanitaria (guerra, terrorismo). Las líneas de ayuda pueden ofrecer información general, asesoramiento especializado, acompañamiento personalizado o un servicio más genérico de escucha y apoyo emocional. Estos servicios pueden ser gratuitos o de pago, temporales o permanentes, gestionados por organizaciones locales sin fines de lucro o por ONG y entidades que trabajan en temas de cooperación internacional. Algunas líneas directas y de ayuda atienden las 24 horas, siete días por semana, mientras que otras tienen un horario más limitado.

Es importante tener en cuenta que, aunque los términos "línea directa" y "línea de ayuda" se utilizan a menudo indistintamente, en algunos casos sí se distinguen por tener objetivos claramente diferenciados.

A veces el concepto de línea directa está más orientado a líneas temporales para aliviar situaciones de crisis relacionadas con catástrofes naturales o humanitarias y tiende a coincidir en estos casos con el concepto de línea de crisis. En estos casos el concepto de línea directa se utiliza más en el contexto de las ONG y de la cooperación al desarrollo. En otros casos hemos identificado iniciativas que utilizan ambos conceptos para diferenciar ante su público los servicios que ofrecen. Por ejemplo, SaferNet, un proyecto fundado en 2005 en Brasil, está claramente dividido entre la línea directa, que sirve para denunciar los delitos en internet, y la línea de ayuda, que ofrece apoyo a las personas que sufren violencia en internet.

Además de estos ejemplos, también encontramos el de línea de atención, que son recursos cuyo fin es proporcionar a la persona usuaria o cliente final información y apoyo sobre los productos y servicios de una empresa o institución. El propósito de una línea de atención, por lo general, es resolver problemas o proporcionar orientación sobre productos o servicios. También pueden centrarse en proporcionar respuestas y soluciones para los problemas o emergencias que puedan surgir del uso y la interacción con las Tecnologías de la Información y la Comunicación: desde dispositivos electrónicos, software, hardware, infraestructura de telecomunicaciones, administración de redes, plataformas de redes sociales, etc.

Creemos que el concepto de Línea de Atención sobre Seguridad Digital para la Sociedad Civil (LASDSC), que por lo general suelen ser proyectos que proporcionan apoyo a activistas, personas defensoras de los derechos humanos (DDHH) u organizaciones de la sociedad civil que enfrentan riesgos, ataques y emergencias digitales, tiene un interés central para esta guía. Resulta difícil rastrear sus orígenes con precisión, pero podemos nombrar algunas iniciativas que entendemos que forman parte de su trayectoria.

Por ejemplo, los hacklabs, "son espacios o edificios donde personas interesadas en la tecnología se reúnen para socializar, crear o compartir conocimientos y trabajar en proyectos de forma individual o en equipo" (Maxigas, 2014). Los hacklabs son espacios organizados por hackers para hackers, donde personas interesadas en hackear las Tecnologías de la Información y la Comunicación, desarrollar tecnologías libres y debatir sobre las implicaciones políticas de la tecnología pueden reunirse y reconocerse. Estos espacios permiten que las comunidades de hackers prosperen y pongan sus habilidades y conocimientos técnicos al servicio de otros movimientos y colectivos sociales, en especial a la hora de crear infraestructuras de información y telecomunicaciones autónomas, aprender a utilizarlas de forma más segura y facilitar el uso de las TIC para informar, comunicar y documentar sus luchas.

El colectivo hacktivista Telecomix, por ejemplo, apoyó a activistas en Egipto a eludir la censura estatal de internet mediante el uso de teléfonos fijos. También podemos encontrar ejemplos de hackers apoyando a movimientos sociales en las colectivas ciberfeministas que han acompañado a otras colectivas feministas a mitigar y combatir la violencia de género y a migrar a infraestructuras tecnológics más seguras.

La proliferación de ataques digitales dirigidos a activistas, personas defensoras de derechos humanos y organizaciones de la sociedad civil con el objetivo de dificultar o impedir su trabajo ha sido una tendencia creciente en la última década y ha motivado la creación de cada vez más líneas de atención sobre seguridad digital. Por ejemplo, Access Now Digital Security Helpline, creada en 2014, es una de las primeras de este tipo cuyos servicios están orientados explícitamente a la sociedad civil.

Los orígenes de las líneas de atención sobre seguridad digital orientados a la sociedad civil están vinculados a iniciativas informales como los hacklabs y a los movimientos hacktivistas, que parten de redes descentralizadas con una afiliación flexible. Sin embargo, en general, se organizan en base a normas y políticas formales que definen la forma en que prestan apoyo, documentan su trabajo y comparten información sensible con otros proyectos. Para entender este nivel de formalización, debemos introducir el concepto de Equipo de Respuesta a Emergencias Informáticas (CERT, por sus siglas en inglés).

CERT, CSIRT y SOC

Un Equipo de Respuesta a Emergencias Informáticas (CERT) "funciona siguiendo protocolos muy específicos para determinar cómo se gestionan y documentan los incidentes informáticos, cómo se coordinan las acciones de mitigación, alerta y seguimiento con otras entidades u organizaciones y qué pautas deben seguirse para compartir información (casi siempre de carácter sensible y confidencial) con otras personas y organizaciones".

El primer CERT© o CERT-CC (Equipo de Respuesta a Emergencias Informáticas) fue creado en 1988 por el Software Engineering Institute para responder y mitigar los problemas creados por el Gusano Morris. Aunque el término CERT fue patentado por este instituto, se permite su uso por otros proyectos e iniciativas. Sin embargo, también se utilizan otros términos como CSIRT (Equipo de Respuesta ante Incidencias de Seguridad Informáticas, CSIRT, por sus siglas en inglés), CIRT (Equipo de Respuesta ante Incidencias de Informáticas, CIRT, por sus siglas en inglés), o SIRT (Equipo de Respuesta de Seguridad Informáticas, SIRT, por sus siglas en inglés), entre otros.

Los CERT pueden crearse a nivel de una empresa, un Estado, un sector de infraestructuras clave o un grupo de organizaciones. Los CERT nacionales también suelen denominarse Centros Nacionales de Ciberseguridad (CNS), a los que la ley suele asignar la función de los CSIRT, además de prestar servicios adicionales como la gestión de los sistemas de clasificación de la información dentro de un país. Suelen proporcionar un conjunto de servicios que van desde la gestión de la información y de incidentes de ciberseguridad, hasta la supervisión de la seguridad digital, la gestión y el seguimiento de las vulnerabilidades y la gestión general del intercambio de conocimientos sobre ciberseguridad.

Por último, es preciso mencionar a los Centros de Operaciones de Seguridad (SOC) (ENISA, 2020), que proporcionan un servicio de detección de incidentes mediante la supervisión de redes y sistemas y que también pueden ocuparse de la respuesta y la gestión de incidentes. En las grandes empresas, frecuentemente los SOC se centran únicamente en los servicios de supervisión y detección y transfieren la gestión de incidentes a un CSIRT independiente. En las organizaciones más pequeñas, los CSIRT y los SOC suelen solaparse.

De acuerdo con el manual de referencia desarrollado por el CERT nacional neerlandés (FIRST, 2006), estas son algunas de las ventajas de crear un CERT:

• Establecen un punto de coordinación central para la seguridad de las TIC dentro de su organización.
• Responden de forma sistemática a los incidentes TIC y toman las medidas apropiadas.
• Ayudan a su sector a recuperarse rápida y eficazmente de los incidentes de seguridad y a minimizar la pérdida o el robo de información y la interrupción de los servicios.
• Utilizan la información obtenida durante la gestión de incidentes para prepararse mejor para la gestión de futuros incidentes y ofrecer una mejor protección de sistemas y datos.
• Se ocupan adecuadamente de las cuestiones jurídicas que puedan surgir durante los incidentes.
• Procuran intercambiar conocimientos dentro de su sector.

Redes internacionales como FIRST y Trusted Introducer reúnen a varios equipos de respuesta a incidentes de seguridad informática de organizaciones gubernamentales, comerciales o educativas. El objetivo de estas redes es fomentar la cooperación y la coordinación en la prevención de incidentes, facilitar la reacción rápida y promover el intercambio de información entre sis integrantes y la comunidad en general. También crean normas y protocolos para garantizar la correcta certificación de los CERT.

Aunque históricamente los CERT se han centrado en responder a las necesidades de grandes empresas, universidades e incluso países enteros, su modus operandi también puede servir para la sociedad civil, ya sean personas que defienden los derechos humanos, activistas, organizaciones sin ánimo de lucro o la ciudadanía en general, que son objeto de ataques y emergencias cada vez más frecuentes en los espacios digitales.

CiviCERT

El Centro de Respuesta a Incidentes Informáticos de la Sociedad Civil (CiviCERT) se creó en 2015. En 2016, CiviCERT se convirtió en miembro oficial de la red Trusted Introducer, un paso necesario para ser reconocido como CERT. Las personas que forman parte de CiviCERT a nivel individual, también forman parte de FIRST. Estas acreditaciones proporcionan una plataforma única para presentar cuestiones de seguridad digital importantes que afectan a la sociedad civil a un amplio espectro de CERT que prestan servicio a entidades gubernamentales y empresariales.

La política de afiliación y el código de conducta, así como las políticas de gestión de datos e información y de verificación de CiviCERT se diseñaron para adaptarse mejor a las realidades de particulares y organizaciones que se fueran a unir a este proyecto. En 2022, CiviCERT contaba con 30 organizaciones y tres personas a nivel individual. Cerca de la mitad de sus integrantes son organizaciones internacionales como Access Now, Amnesty International Security Lab, Digital Defenders Partnership (Programa de Defensoras Digitales), Freedom of the Press Foundation, Front Line Defenders, Human Rights Watch, Internews y Organised Crime and Corruption Reporting Project, que realizan un trabajo extenso de supervisión, investigación e incidencia política a escala internacional en cuanto a violaciones de derechos humanos y digitales y, en algunos casos, también proporcionan financiación, respuesta rápida y acompañamiento y formación en materia de seguridad digital.

La otra mitad consiste en proyectos más pequeños que trabajan en un país o a nivel regional y proporcionan una respuesta rápida, ya sea como línea de atención, o proporcionando formación y acompañamiento o análisis y documentación sobre malware y otras amenazas digitales. Entre los países representados se encuentran Armenia, Brasil, Colombia, Luxemburgo, Myanmar, Nigeria, Pakistán, Serbia, Taiwán, Tíbet, Uganda, Ucrania y Estados Unidos.

Los miembros de CiviCERT comparten entre sí actualizaciones sobre los casos de respuesta rápida que llevan a cabo, el tipo de riesgos o amenazas nuevas que afronta la sociedad civil y los recursos, investigaciones o herramientas que se están desarrollando. En conjunto, estas actualizaciones proporcionan una instantánea del panorama mundial de ataques digitales contra defensoras de derechos humanos y la sociedad civil.

Asimismo, se brinda apoyo en cuanto a conocimientos o acceso a recursos. En la medida de lo posible, se organizan seminarios web para presentar casos o metodologías específicas. Por último, los miembros de CiviCERT se coordinan a través de una lista de correo privada y encriptada y se reúnen en encuentros presenciales, ya sea en conferencias internacionales sobre seguridad digital para la sociedad civil o en eventos de formación para sus miembros. Todos los miembros tienen acceso a una serie de recursos e infraestructura técnica compartida.

Por ejemplo, las organizaciones de CiviCERT que lo deseen pueden figurar como organización de apoyo en el Kit de Primeros Auxilios Digitales, un recurso gratuito para ayudar a primeras intervinientes, formadoras en seguridad digital y a activistas que quieren aprender a protegerse mejor tanto a sí mismas como a sus comunidades contra las emergencias digitales más comunes. Este recurso actúa como mecanismo de admisión de las solicitudes de apoyo a CiviCERT mediante un enfoque tipo "elige tu propia aventura" que guía al visitante a través de varias preguntas para entender cuál es su problema y qué miembro de CiviCERT puede resolver mejor su emergencia. El sitio web, que también puede utilizarse fuera de línea, está disponible en árabe, albanés, birmano, español, francés, indonesio, inglés, portugués, ruso y tailandés).

Además, los miembros de CiviCERT tienen acceso a una instancia de la Malware Information Sharing Platform (MISP), al proyecto Phishdetect y a otra instancia de Cuckoo Sandbox que facilita el análisis forense de malware, analizando qué hace, a qué componentes afecta y qué conexiones realiza.

CiviCERT y las líneas de atención sobre seguridad digital para la sociedad civil siguen siendo una excepción y los modelos actuales de CERT/CSIRT/SOC no suelen desarrollarse pensando en la ciudadanía y en la sociedad civil. En general, están orientados principalmente al sector comercial y gubernamental y no tienen una perspectiva interseccional en su análisis de los riesgos a los que se enfrentan los públicos a los que prestan servicio, sino que tienden a promover una visión apolítica y neutral de las tecnologías. Esto puede generar graves problemas, ya que los institutos de ciberseguridad que cuentan con financiación pública solo dan prioridad a entidades comerciales y a menores, ignorando los riesgos a los que se enfrentan las mujeres, las personas LGBTQIA+ y las poblaciones históricamente discriminadas y marginadas, todas ellas a menudo objeto de fraudes electrónicos, ciberdelitos y violencia de género que estas organizaciones no suelen atender ni trabajar. Así que la carga de contrarrestar estos peligros, riesgos y violencia recae en la sociedad civil autoorganizada, que recibe una financiación y un apoyo limitado.