Empieza por una persona, no por una función
La mayoría de las decisiones de privacidad salen mal en el primer paso, porque empiezan por un producto en lugar de por una persona. Un modelo de amenaza invierte eso: nombra contra quién te proteges, establece qué acceso tiene de forma realista, y solo entonces elige los controles.
Esto suena abstracto hasta que lo intentas, momento en el que normalmente elimina la mitad de las opciones de inmediato, y a menudo revela que la función que ibas a comprar no aborda a la persona que realmente te preocupaba.
Las personas, y lo que cada una puede alcanzar
Distintos adversarios tienen capacidades completamente distintas, y un control que vence a uno puede ser irrelevante para otro.
- Alguien que pide prestado el teléfono: acceso físico a un teléfono desbloqueado, sin credenciales, ventana corta.
- Un familiar: acceso físico repetido, a menudo conoce el código, puede compartir una cuenta.
- Un ladrón: acceso físico a un dispositivo bloqueado, sin credenciales, tiempo ilimitado.
- Un técnico de reparación: acceso físico, puede requerir el código, herramientas profesionales.
- Un atacante de cuenta: sin acceso físico, apunta a las credenciales y las copias en la nube.
- Una persona coercitiva: acceso físico más la capacidad de obligarte a desbloquear.
Por qué ninguna función por sí sola gana
Un álbum oculto resuelve el deslizamiento accidental y falla por completo frente a alguien que conoce el código del dispositivo. Una bóveda solo local reduce la exposición en la nube y aumenta la consecuencia de perder el teléfono. Una opción de coacción destructiva aborda la coerción e introduce un riesgo irreversible.
Cada control intercambia algo. La pregunta nunca es cuál es más fuerte, sino qué contrapartida encaja con la persona a la que realmente te enfrentas.
Mapea cada copia antes de elegir nada
Los controles se aplican a ubicaciones, así que el modelo está incompleto hasta que sabes dónde existen las copias. El original en el carrete, la fototeca en la nube, los hilos de mensajes, las descargas, las copias de seguridad del sistema, las exportaciones y cualquier cosa que un destinatario aún tenga son todas ubicaciones separadas con exposición separada.
Una bóveda cubre exactamente una de ellas. Vale la pena saberlo antes de concluir que el problema está resuelto.
Construye el modelo en cuatro pasadas
- Nombra a los observadores probables en lugar de imaginar un atacante genérico.
- Enumera el acceso físico, de credenciales, de cuenta y de dispositivo de cada uno.
- Mapea cada copia y cada vía de recuperación que existe actualmente.
- Elige el conjunto más pequeño de controles que cambia esas vías concretas, y anota el riesgo que permanece.
Los patrones de fallo
- Diseñar solo para un atacante dramático mientras el riesgo realista es un teléfono prestado.
- Ignorar el compartir accidental, que es más común que cualquier ataque deliberado.
- Elegir controles de privacidad sin un plan de recuperación, y perder tú mismo los datos.
- Tratar el modelo como permanente cuando los dispositivos, las cuentas y las relaciones cambian.
Noah comienza con una prueba no sensible: «Nombra a los observadores probables: alguien que pide prestado el teléfono, un familiar, un ladrón, un técnico, un atacante de cuenta o una persona coercitiva». Luego, Noah sigue la segunda comprobación: «Enumera su acceso físico, de credenciales, de cuenta y de dispositivo». Este escenario ficticio ilustra el proceso de decisión; no es un informe de pruebas de producto.
- Diseñar solo para un atacante dramático
- Ignorar el compartir accidental
- Elegir la privacidad sin recuperación
¿Necesito conocimientos avanzados de seguridad?
No. Preguntas concretas sobre personas, copias y pérdidas bastan para empezar.
¿Puede una bóveda gestionar distintos riesgos?
A veces, pero los espacios y las credenciales independientes pueden separar mejor el contenido de trabajo, personal, señuelo o de alto riesgo.