Los fabricantes de dispositivos móviles y los proveedores de servicios de telecomunicaciones deben realizar mejoras significativas en la privacidad de sus clientes, según un informe reciente de la Comisión Federal de Comercio de EE. UU. El informe podría convertirse en la base para una acción de aplicación de la agencia, no solo para teléfonos inteligentes, sino también para otros dispositivos móviles.
«El informe envía una señal clara a la industria para que preste atención a este tema», dijo Gerard Stegmaier, autor de Reed Smith.
«Los consumidores usan sus dispositivos móviles para una variedad de actividades y quieren estar seguros de que están seguros mientras los usan», dijo Tom Pahl, director interino de la Oficina de Protección al Consumidor de la comisión.
«Sin embargo, nuestro informe encontró diferencias significativas en la forma en que la industria implementa las actualizaciones de seguridad, y se necesita hacer más para que a los consumidores les resulte más fácil mantener sus dispositivos seguros», agregó.
El informe de la FTC, «Actualizaciones de seguridad móvil: comprensión del problema», se basa en la investigación de la FTC y las respuestas a las solicitudes de información de ocho proveedores de dispositivos móviles: Apple, BlackBerry, Google, HTC America, LG Electronics USA, Microsoft, Motorola Mobility y Samsung. Electrónica Estados Unidos.
El informe de febrero de 2018 se centró en dos brechas principales en la protección de las comunicaciones móviles: los parches de seguridad y la notificación adecuada a los consumidores.
La diversidad crea desafíos de seguridad
«La complejidad del ecosistema móvil significa que el proceso de actualización de seguridad para parchear el software del sistema operativo en algunos dispositivos móviles es complicado y lleva mucho tiempo”, dijo el informe de la FTC. Si bien los proveedores han tomado medidas para simplificar el proceso, aún se necesitan mejoras. Envía actualizaciones rápidamente.
Los hallazgos clave del informe de la FTC incluyen:
- La seguridad se ve obstaculizada por una amplia variedad de dispositivos y sistemas. Lo que agrava el problema es la práctica de los fabricantes de personalizar los sistemas operativos de terceros a nivel de dispositivo, con el resultado de que «una sola actualización del sistema operativo puede requerir docenas o cientos de modificaciones diferentes a nivel de dispositivo», lo que resulta en actualizaciones de seguridad que tardan semanas. puede tardar meses, o incluso años, en completarse.
- Las notificaciones de los consumidores han sido mixtas. Algunos proveedores brindan información sobre actualizaciones de seguridad antes de la compra. Muchos otros no proporcionan o no proporcionan dicha información para todos sus dispositivos. Pocos proveedores o operadores han explicado que dispositivos aparentemente idénticos pueden recibir diferentes niveles de soporte en función de las diferentes opciones de servicio. Por lo general, los proveedores notifican a los consumidores cuando hay actualizaciones de seguridad disponibles, pero la mayoría no informa a los usuarios cuándo finaliza el soporte.
Además, la FTC descubrió que muchos fabricantes no documentan regularmente el soporte de actualización y otras decisiones relacionadas con la seguridad.La participación de las empresas de telecomunicaciones en el proceso de actualización de seguridad puede brindar estabilidad, pero también puede generar demoras.
La FTC hizo varias recomendaciones para mejorar:
- Diseñado para la seguridad. La industria debe integrar la seguridad en la cultura de soporte e incorporar más consideraciones de soporte de seguridad en el diseño del producto, alineadas con los costos y beneficios de hacerlo. Para hacer esto, la industria debe asegurarse de que los dispositivos reciban actualizaciones de seguridad durante un período de tiempo acorde con las expectativas del consumidor.
- No puedo esperar a la actualización. Las empresas deben continuar optimizando el proceso de actualización de seguridad. En particular, los fabricantes deberían considerar lanzar actualizaciones solo de seguridad en lugar de incluir parches de seguridad con actualizaciones de software generales.
Los fabricantes deben considerar mantener mejores registros de las decisiones de actualización, la duración del soporte, la frecuencia de actualización y la aceptación de actualizaciones para que puedan aprender de las prácticas anteriores.
Además, la FTC dijo que los proveedores deberían considerar adoptar y divulgar un período de soporte mínimo garantizado para sus dispositivos y notificar a los consumidores cuando finalice el soporte.
Señales de advertencia reglamentarias
Los proveedores de servicios y dispositivos móviles completos pueden encontrar en el informe una guía útil para evitar la aplicación de medidas por parte de la FTC.
Por lo general, la FTC usa informes y seminarios para resaltar las áreas de preocupación y luego hace un seguimiento de los casos de ejecución, dijo Stegmaier de Reed Smith.
«Es un proceso de ‘legislación por decreto de consentimiento'», dijo al E-Commerce Times, «y la agencia está dando prioridad a su limitada capacidad normativa».
El comentario, en coautoría de Stegmaier y sus colegas del bufete de abogados, muestra que el informe le recuerda a la industria la importancia de seguir las recomendaciones de la FTC. Brinda orientación sobre «expectativas razonables» para la seguridad de los dispositivos móviles.
Según Stegmaier et al., la FTC «puede proporcionar un indicio no tan sutil de que el incumplimiento de sus recomendaciones puede constituir una práctica desleal».
La FTC se ha mostrado cautelosa a la hora de regular prescriptivamente productos específicos, dijo Stegmaier. Aún así, las pautas del informe pueden aplicarse a una amplia gama de operaciones móviles, incluidas ciertas tecnologías automotrices, dispositivos portátiles e incluso dispositivos y aplicaciones IoT emergentes.
«Creo que este informe puede marcar el inicio de la regulación de las actualizaciones de seguridad de la FTC a través de acuerdos de consentimiento y otra orientación en lugar de reglas formales», dijo Christopher Ford, miembro del grupo de ciberseguridad y privacidad. Depoise y Plimpton.
Según el resultado del reciente caso de privacidad de la FTC, «las empresas deben prestar atención a todo lo que dice la FTC para ver cómo podrían abordar la aplicación en el futuro», dijo a E-Commerce Times.
Ford comentó que el informe de liquidez «no es una excepción».
«Los hallazgos y recomendaciones de la FTC en este informe pueden generalizarse fácilmente a cualquier dispositivo conectado, y los fabricantes de dispositivos IoT ciertamente pueden esperar que la FTC pueda aplicar la guía y las expectativas contenidas en este informe al futuro de sus productos», dijo Ford.
El informe de la FTC «pone a las empresas la responsabilidad de monitorear cómo responden los consumidores a sus actualizaciones de seguridad, lo que significa que simplemente publicar actualizaciones de seguridad puede no ser suficiente», advierte la revisión de proveedores de Debevoise & Plimpton.
proceso evolutivo
Es probable que el interés de la FTC en las actualizaciones de seguridad móvil y los programas de notificación sea más un desarrollo gradual que una nueva iniciativa de cumplimiento, dado el interés de larga data de la agencia en los problemas de privacidad móvil, dijo Catlin Meade, quien es Burling de Covington.
El informe de la FTC «ayuda a establecer una línea de base sobre cómo pensar sobre el cumplimiento y comprender las principales preocupaciones de la FTC», dijo a E-Commerce Times.
Sin embargo, «a veces estos informes son simplemente el resultado de la información recopilada por la agencia y no son indicadores de posibles áreas de actividad policial», señaló Meade.
En última instancia, la FTC evalúa la conducta según los estándares de la Ley de la FTC, y «las empresas cuyas prácticas no se alinean con lo que piensa la FTC siempre están abiertas a investigación y posible acción de aplicación», dijo.
Los proveedores de telecomunicaciones también deberán reconocer los hallazgos del informe de la FTC, que menciona la industria, aunque gran parte del informe se refiere a los fabricantes de equipos.
«Debido a la exención de ‘operadores comunes’ en la Ley de la FTC, la FTC tiene una capacidad limitada para tomar medidas coercitivas contra los operadores de telecomunicaciones», dijo Yaron Dori, socio de Covington & Burling.
Le dijo al E-Commerce Times que un tribunal federal de apelaciones dictaminó recientemente que la exención no se aplica a las actividades de operadores no públicos de los proveedores de telecomunicaciones. «Como resultado, la FTC puede tener hoy poderes más amplios que los que algunos han afirmado anteriormente en lo que respecta a la industria de las telecomunicaciones».
