Dilemas éticos en ciberseguridad
Equipo de Ciberseguridad / Analistas
Josué Emmanuel López López
Matrícula: 182078Aaron Efraim Mata Martínez
Matrícula: 179419Edgar Omar Rodríguez Hernández
Matrícula: 177888Estefano A. Rodriguez Morin
Matrícula: 178584Iván Ros Padilla
Matrícula: 177573Mauricio J. Salinas Carrillo
Matrícula: 177406En el entorno actual, la ciberseguridad va más allá del dominio técnico; requiere un marco ético y legal sólido que guíe la toma de decisiones. Los profesionales de la información se enfrentan constantemente a dilemas complejos donde la protección de los activos, el cumplimiento de la ley y el respeto a la privacidad entran en conflicto, exigiendo un criterio profesional íntegro y normativo.
Esta actividad presenta el análisis estructurado de tres escenarios críticos: el acceso interno no autorizado, el hallazgo de vulnerabilidades financieras no reportadas y los límites éticos en el uso de herramientas OSINT. Cada caso es evaluado bajo enfoques éticos fundamentales y los mandamientos de la informática, justificando la postura técnica idónea para garantizar la responsabilidad social y corporativa.
Dashboard de Evaluación de Incidentes
Identificación del Dilema Ético
El conflicto ético radica en la contraposición entre el deber percibido de protección (monitorear y prevenir fugas de información) y el respeto a la confidencialidad y privacidad de los altos mandos. Se cuestiona si un fin legítimo justifica el uso de medios ilícitos y unilaterales (romper el principio de privilegios mínimos y acceso autorizado) sin una orden explícita o un proceso formal de auditoría.
[01] Evaluación de Marcos Éticos
A) Ética Utilitarista
El beneficio individual de "intentar descubrir una fuga" no supera el daño colectivo. Permitir accesos arbitrarios destruye la confianza institucional, desestabiliza el ambiente laboral y vulnera la estructura de gobernanza de la empresa, generando un perjuicio mayor para la organización.
B) Enfoque de Derechos
El director general posee el derecho fundamental a la privacidad de sus comunicaciones corporativas y personales. Este derecho solo puede ser suspendido bajo una investigación oficial autorizada por el comité de ética o el área legal, por lo que el compañero violó flagrantemente este derecho.
C) Enfoque del Bien Común
La seguridad de la información se sostiene sobre el respeto estricto a las políticas internas (como la Política de Uso Aceptable). Si cada analista actúa según su propio criterio, se disuelve el orden operativo y legal de la comunidad corporativa.
Auditoría de los 10 Mandamientos de la Informática
Infracciones DetectadasArgumento técnico-ético: Como especialista en ciberseguridad, la prioridad es salvaguardar la Tríada CIA (Confidencialidad, Integridad y Disponibilidad), lo cual incluye el cumplimiento normativo interno. Ante el hallazgo en los logs, la acción técnica correcta es congelar y preservar la evidencia (bitácoras) para asegurar la cadena de custodia, y proceder al reporte inmediato ante el Comité de Ética, Recursos Humanos o la Dirección Jurídica.
No se debe confrontar al compañero de manera directa ni alterar la evidencia de los registros, sino seguir rigurosamente el Plan de Respuesta a Incidentes Internos para deslindar responsabilidades legales de manera institucional.
Identificación del Dilema Ético
El dilema se presenta entre el beneficio económico y personal inmediato (lucro cesante mediante la explotación invisible de un fallo para extraer dinero) frente a la integridad profesional y la responsabilidad civil/penal de reportar una vulnerabilidad para proteger los activos financieros de terceros y la reputación del auditor.
[02] Evaluación de Marcos Éticos
A) Ética Utilitarista
La explotación del fallo causaría pérdidas financieras masivas a los usuarios de la entidad y la quiebra reputacional de la empresa auditora. Reportarlo, en cambio, previene un impacto socioeconómico devastador, maximizando el bienestar de miles de cuentahabientes.
B) Enfoque de Derechos
Los usuarios del sistema financiero tienen derecho a la protección de su patrimonio y a la seguridad digital. Explotar la vulnerabilidad es una violación directa a sus derechos fundamentales de propiedad y de privacidad.
C) Enfoque del Bien Común
El sistema financiero se basa en la confianza colectiva. Mantener la solidez y la seguridad de estas plataformas asegura la estabilidad económica de la sociedad, un bien común que el especialista debe defender activamente.
Auditoría de los 10 Mandamientos de la Informática
Código ÍntegroArgumento técnico-ético: En la práctica del Pentesting, la ausencia de un contrato final firmado no exime al profesional de los acuerdos de confidencialidad previos (NDA) ni del principio de buena fe contractual. La conducta técnica correcta exige detener cualquier interacción con el exploit activo y no exfiltrar base de datos.
Se debe realizar una documentación técnica detallada y formal del hallazgo en el borrador de reporte, y notificar de manera urgente a los canales de contacto de seguridad (Security Contact) del cliente bajo un esquema de Divulgación Responsable. Explotar el fallo destruiría la carrera del auditor, violaría el código de ética de certificaciones como CEH o CISSP y derivaría en persecución penal internacional.
Identificación del Dilema Ético
El conflicto se sitúa entre el cumplimiento de la obediencia jerárquica (acatar las órdenes de un superior para resolver un caso de fraude corporativo) y el cumplimiento de la legalidad y los límites éticos de la investigación (negarse a cometer acoso, extorsión o manipulación psicológica utilizando datos personales expuestos).
[03] Evaluación de Marcos Éticos
A) Ética Utilitarista
Utilizar tácticas de coacción psicológica contamina el proceso legal. Si el sospechoso alega acoso, las pruebas legítimas recopiladas podrían ser desestimadas en un juicio (teoría del fruto del árbol envenenado), permitiendo que el defraudador quede libre. Actuar bajo la ley es lo mejor.
B) Enfoque de Derechos
Incluso un sospechoso de delito conserva sus derechos fundamentales al debido proceso, la dignidad humana y la protección de sus datos frente a actos de intimidación. El analista de seguridad no posee facultades punitivas ni policiales.
C) Enfoque del Bien Común
La justicia debe operar bajo reglas claras y éticas. Permitir que los departamentos de seguridad corporativa actúen como "justicieros" fuera de la ley degrada el estado de derecho y deslegitima el profesionalismo de la ciberseguridad ante la sociedad.
Auditoría de los 10 Mandamientos de la Informática
Infracciones en caso de ejecuciónArgumento técnico-ético: Las metodologías de OSINT (Open Source Intelligence) tienen como límite estricto la legalidad del territorio y el alcance corporativo del objetivo. La información disponible públicamente en Internet no equivale a información legítimamente utilizable para extorsión, acoso o doxxing.
La postura profesional debe ser una negativa asertiva y formal ante la orden de ejercer presión psicológica, procediendo a entregar únicamente el reporte con las evidencias del fraude digital para que sea el departamento legal de la empresa quien actúe ante las autoridades policiales. Si el superior insiste, la situación debe escalarse a Recursos Humanos o a los canales de denuncias internos (Whistleblowing).
Matriz Comparativa de Dilemas Éticos
| Incidente / Caso | Valores en Conflicto | Mandamientos Transgredidos | Clasificación del Delito | Acción Técnico-Profesional |
|---|---|---|---|---|
| 1. Acceso Interno | Confidencialidad vs. Deber de Vigilancia | Violados: 3 y 10 | Acceso ilícito a sistemas de comunicación | Congelar logs, resguardar cadena de custodia y notificar a Comité de Ética. |
| 2. Fallo Financiero | Lucro Personal vs. Deber de Integridad | Respetados: 1, 4 y 9 | Fraude financiero electrónico | Documentar el exploit técnico y reportar de urgencia al cliente (NDA/Divulgación). |
| 3. Coacción OSINT | Obediencia Jerárquica vs. Legalidad y Respeto | Violados: 1 y 10 | Acoso cibernético y extorsión asistida | Rechazar la orden de coacción, entregar evidencias de fraude y escalar a RRHH/Whistleblowing. |