Seguridad por diseño: ¿Cómo compatibilizar experiencias de usuario amigables con la ciberseguridad?
En un mundo digital en el que los ataques cibernéticos son cada vez más sofisticados, las empresas están adoptando un enfoque más proactivo en la protección de sus sistemas y datos.
La seguridad por diseño surge como una estrategia clave para integrar la ciberseguridad desde las etapas más tempranas del desarrollo de productos y servicios digitales.
Sin embargo, este enfoque no está exento de desafíos, especialmente cuando se trata de compatibilizarlo con experiencias de usuario (UX) amigables y de coordinar equipos con funciones distintas.
Incluso, en algunas organizaciones hay líderes que creen que la UX y la seguridad son puntos opuestos. Pero es todo lo contrario.
No es necesario estar en veredas opuestas. La práctica que hoy día debe utilizar cualquier empresa desarrolladora de tecnología, es aquella que en ciberseguridad se conoce como seguridad por diseño.
Según Salvador Vial, Principal Executive Security Advisor and Field CISO de Amazon Web Services (AWS), si una cultura organizacional incluye la seguridad por diseño en todos sus procesos, los factores de ciberseguridad van a ser incluidos en el roadmap de la experiencia de las personas usuarias.
No obstante, hay una discusión entre liderazgos, sobre cómo llevar a cabo la seguridad por diseño con equipos distintos que ejecutan ambas funciones.
Entonces, surgen muchos temas de coordinación, de liderazgo y de comunicación para resolver.
Pero la metodología existe y la clave reside en cómo poner en práctica esta estrategia.
Con ese objetivo, en este artículo explicamos en qué consiste la seguridad por diseño y cómo implementarla desde el liderazgo.
Actualidad: impacto de la seguridad en el diseño
El diseño inseguro se clasifica como la cuarta preocupación crítica de seguridad de aplicaciones web en el Proyecto Abierto de Seguridad de Aplicaciones Web.
El Top 10 de OWASP es un documento estándar de concientización para desarrolladores y seguridad de aplicaciones web. Representa un amplio consenso sobre los riesgos de seguridad más críticos para las aplicaciones web.
Para poder tener en cuenta el grado de amenaza, en 2023 se revelaron un total de 26.447 vulnerabilidades críticas, superando al año anterior en más de 1.500.
¿Qué es la seguridad por diseño?
La seguridad por diseño es un enfoque que incorpora principios de ciberseguridad desde el inicio del desarrollo de un sistema, aplicación o infraestructura digital.
Este concepto implica diseñar productos digitales con seguridad incorporada de manera nativa, minimizando vulnerabilidades desde el punto de partida.
Los principios clave de la seguridad por diseño incluyen:
- Minimización de privilegios. Limitar los accesos y permisos a los estrictamente necesarios.
- Defensa en profundidad. Implementar múltiples capas de seguridad para mitigar riesgos.
- Seguridad predeterminada. Configurar sistemas de forma segura por defecto, sin depender de que la persona usuaria modifique ajustes.
- Gestión de identidades y accesos robustas. Uso de autenticación multifactor y cifrado de datos.
- Monitorización continua. Detección y respuesta rápida ante amenazas.
Este enfoque no solo reduce el riesgo de ataques cibernéticos, sino que también disminuye costos a largo plazo, al evitar correcciones costosas y daños reputacionales por incidentes de seguridad.
Diferencias entre seguridad por diseño y por default
El término seguridad por diseño se confunde a menudo con seguridad por defecto.
Son dos elementos distintos, pero complementarios, de una estrategia de seguridad integral.
Así lo destaca el whitepaper Building Security from the Ground up with Secure by Design, de AWS, elaborado por Eric Johnson, Bertram Dorn y Paul Vixie.
En el documento, se hace la siguiente distinción:
- Seguridad por defecto es un enfoque centrado en la persona usuaria. Indica que la configuración predeterminada de un producto es segura desde el primer momento y resistente a las técnicas de explotación comunes, sin necesidad de configuración de seguridad adicional.
- Seguridad por diseño es un enfoque centrado en quien desarrolla. Va más allá de la implementación de medidas de seguridad estándar para evaluar y abordar los riesgos y vulnerabilidades en cada etapa del ciclo de vida del desarrollo (desde el diseño hasta la implementación y mantenimiento), en lugar de reaccionar posteriormente.
Ambos garantizan que la seguridad sea inherente y trabajan para:
- Establecer una base sólida para la seguridad proactiva.
- Generar confianza con los clientes.
- Aumentar el nivel de dificultad para los actores de amenazas que buscan explotar productos y sistemas.
La seguridad por diseño (SbD) ofrece mayor flexibilidad para ayudar a proteger los recursos y resistir las amenazas que se originan fuera de los componentes arquitectónicos del sistema.
Además, permite utilizar productos con diferentes opciones y configuraciones, para que el resultado se ajuste a su nivel de tolerancia al riesgo.
Con la seguridad por diseño, aseguran desde AWS, la seguridad de los componentes arquitectónicos que rodean los productos no se puede alterar sin cambiar su diseño o configuración fundamentales.
Los principios de SbD se pueden aplicar a componentes que abarcan desde cargas de trabajo de TI hasta servicios, microservicios, bibliotecas y más.
Otra forma de considerar a la seguridad por diseño es considerar la topología de un espacio, como una casa.
Una configuración de SbD debe tener únicamente habitaciones cerradas y finitas en el espacio de configuración (casa), que no permitan el acceso a un espacio infinito (exterior a la casa), excepto a través de puntos de entrada y salida bien definidos y cuidadosamente controlados.
Esta ausencia de opciones de espacio de configuración facilita una mayor.
Cuando el software está en la nube, la seguridad por diseño ayuda a eliminar los puntos de acceso.
La gestión de identidades y accesos (IAM) es su primera línea de defensa, ya que las configuraciones incorrectas de IAM pueden provocar errores de configuración y un uso inseguro en otros entornos.
¿Cómo compatibilizar una UX amigable con ciberseguridad?
Uno de los desafíos más comunes al implementar seguridad por diseño es lograr un equilibrio entre protección y usabilidad.
Esto es especialmente importante, si se considera que muchas ocasiones las medidas de ciberseguridad pueden percibirse como barreras que afectan la experiencia de la persona usuaria, lo que genera frustración e incluso desmotiva el uso.
Sin embargo, las mejores prácticas en diseño de experiencia de usuario (UX) y seguridad pueden coexistir para ofrecer soluciones seguras y accesibles.
- Autenticación sin fricciones. Métodos como la autenticación biométrica o inicio de sesión único (SSO) facilitan el acceso sin comprometer la seguridad.
- Diseño intuitivo y educativo. Interfaces claras que expliquen la importancia de ciertas medidas de seguridad ayudan a que los usuarios adopten buenas prácticas sin sentirse abrumados.
- Transparencia en la seguridad. Notificaciones discretas pero informativas sobre acciones críticas refuerzan la confianza del usuario.
- Enfoque adaptativo. Sistemas que ajustan los niveles de seguridad en función del riesgo detectado (por ejemplo, pedir una autenticación adicional solo en contextos sospechosos).
Experiencia de usuario y seguridad: ¿opuestas o complementarias?
Una seguridad bien diseñada, no interrumpe la experiencia del usuario, sino que se integra de forma fluida en sus interacciones diarias.
De todos modos, algunas organizaciones aún consideran que la seguridad y la experiencia de usuario son objetivos en conflicto. Aunque en realidad son complementarios.
Un sistema que no prioriza la seguridad puede derivar en filtraciones de datos y pérdida de confianza, lo que impacta negativamente en la percepción del usuario.
Empresas líderes en tecnología demostraron que una experiencia de usuario bien diseñada no solo puede ser segura, sino que también puede mejorar la percepción del usuario sobre la marca.
Las personas usuarias valoran sentirse protegidas, siempre que la seguridad no implique procesos excesivamente complejos.
Si las organizaciones adoptan la seguridad por diseño en todos sus procesos, los factores de ciberseguridad se integrarán de manera natural en el roadmap de la experiencia del usuario, sin que uno perjudique al otro.
El reto de la coordinación: seguridad por diseño en la cultura organizacional
Uno de los principales desafíos en la implementación de seguridad por diseño es que, en la práctica, los equipos de UX/UI y seguridad operan de manera separada, con objetivos y metodologías diferentes:
- Los equipos de experiencia de usuario buscan simplificar y optimizar la interacción del usuario con el sistema.
- Los equipos de ciberseguridad priorizan la protección contra amenazas, lo que a veces puede traducirse en restricciones adicionales.
Este choque de perspectivas puede generar fricciones si no se establecen mecanismos efectivos de coordinación, liderazgo y comunicación.
Para resolverlo, son fundamentales los siguientes aspectos.
- Fomentar la colaboración desde el inicio: los equipos de UX y seguridad deben trabajar juntos desde la fase de diseño, en lugar de actuar como áreas independientes.
- Definir estándares comunes: crear lineamientos claros sobre cómo se integrará la seguridad sin afectar la usabilidad.
- Incluir la seguridad como parte de la cultura organizacional: no debe verse como una obligación técnica, sino como un valor central dentro de la empresa.
- Formar a los equipos: capacitar tanto a diseñadores como a expertos en seguridad sobre la importancia de encontrar un equilibrio entre ambos enfoques.
- Nombrar líderes de integración: perfiles que faciliten la comunicación entre equipos y alineen las estrategias de UX y ciberseguridad.
Principios de la seguridad por diseño
Según el Centro Nacional de Ciberseguridad de Estados Unidos (CISA), los productos diseñados con los principios de seguridad por diseño priorizan la seguridad de los clientes como un requisito empresarial fundamental, en lugar de considerarla simplemente una característica técnica.
Desde el organismo se sostiene que durante la fase de diseño del ciclo de vida de desarrollo de un producto, las empresas deben implementar los principios de seguridad por diseño.
El objetivo es reducir significativamente el número de vulnerabilidades explotables antes de comercializarlo para su uso o consumo generalizado.
El organismo advierte que los productos deben ser seguros de fábrica con funciones de seguridad adicionales, como la autenticación multifactor (MFA), el registro y el inicio de sesión único (SSO), y disponibles sin coste adicional.
Una seguridad bien diseñada, no interrumpe la experiencia del usuario, sino que se integra de forma fluida en sus interacciones diarias.
Los tres principios de seguridad por diseño publicados por CISA son los siguientes:
1. Asumir la responsabilidad de los resultados de seguridad del cliente y desarrollar el producto en consecuencia.
La responsabilidad de la seguridad no debe recaer únicamente en el cliente.
2. Adoptar niveles de transparencia y responsabilidad radicales. Los fabricantes de software deben enorgullecerse de ofrecer productos seguros y protegidos. Además, tienen que diferenciarse del resto de la comunidad de fabricantes, gracias a su capacidad para hacerlo.
Esto puede incluir compartir la información que aprenden de las implementaciones de sus clientes, como la adopción de mecanismos de autenticación robusta por defecto.
También implica un firme compromiso para garantizar que los avisos de vulnerabilidad y los registros de vulnerabilidades y exposiciones comunes (CVE) asociados sean completos y precisos.
Sin embargo, desde CISA advierten que se debe tener cuidado con la tentación de considerar las CVE como una métrica negativa, ya que estas cifras también son un indicador de una comunidad de análisis y pruebas de código sólidas.
3. Construir la estructura organizativa y el liderazgo para alcanzar estos objetivos.
Si bien la experiencia técnica en la materia es fundamental para la seguridad del producto, los altos ejecutivos son los principales responsables de la toma de decisiones para implementar el cambio en una organización.
Los líderes deben priorizar la seguridad como un elemento crítico del desarrollo de productos en toda la organización y en colaboración con los clientes.
Beneficios que aporta la seguridad por diseño
Un enfoque de seguridad por diseño establece una base sólida que reduce riesgos y ofrece beneficios de seguridad para sus equipos de desarrollo y su negocio.
Algunas de las principales ventajas son las que detallamos a continuación.
- Escalabilidad
Las operaciones dentro de una configuración seguridad por diseño permiten escalar rápidamente, sin repetir la configuración de seguridad.
Esto es especialmente beneficioso en entornos donde la demanda no se puede predecir con precisión de antemano.
- Repetibilidad
Contar con espacios preparados también permite repetir configuraciones de forma ágil.
Con un enfoque de seguridad por diseño se pueden crear productos y servicios diseñados para ser seguros mediante un mecanismo repetible que puede consolidar el ciclo de vida del desarrollo.
Agilidad
Si bien los equipos de desarrollo pueden estar preocupados por las limitaciones de acceso y recursos asociadas con un enfoque de seguridad por diseño, la agilidad dentro de un espacio cerrado puede ser mayor a largo plazo.
Cuando el diseño de un entorno es seguro, los desarrolladores dentro de la configuración SbD no necesitan replantear la configuración de seguridad y pueden concentrarse en sus áreas de especialización.
Al integrar la seguridad en las prácticas de desarrollo, la organización puede volverse más ágil, resiliente y reactiva ante las amenazas.
Sostenibilidad
Un enfoque sólido de seguridad por diseño incluye bucles de retroalimentación integrados mediante controles de detección que facilitan la sostenibilidad. Esto les permite analizar datos y aprovechar la información para mejorar la seguridad de sus productos, servicios o procesos.
Si el diseño considera futuros desarrollos tecnológicos, como cambios en la criptografía, por ejemplo, su seguimiento debería ser posible por diseño.
Esto resulta en productos y servicios con una vida útil más larga, con potencialmente menos cambios e iteraciones, y una superficie de interacción estable.
Manejabilidad
Las funciones de manejabilidad, como el registro, la generación de informes y la recopilación de datos para fines de cumplimiento, generalmente se pueden integrar en el diseño y no requieren replanteamiento.
Los controles preventivos incluidos generarán automáticamente los datos necesarios para mantener la carga de trabajo de TI bajo control.
Una configuración operativa prediseñada para instancias de cómputo, por ejemplo, puede incluir funciones de copia de seguridad y restauración, registro, gestión de acceso, gestión de parches, gestión de inventario y datos de telemetría que se implementan automáticamente.
Hoy en día, es posible orquestar estas tareas mediante sistemas automatizados y documentarlas con controles de detección.
Automatización: su apoyo a la seguridad por diseño
Según se explica en el whitepaper mencionado antes, existen dos áreas de automatización en relación con las cargas de trabajo de seguridad por diseño.
Ambas son importantes para mantener configuraciones seguras y en buen estado.
- Controles preventivos
Garantizan que las configuraciones solo se puedan implementar en un modo seguro, definido por el diseño.
Las canalizaciones de integración continua y entrega continua (CI/CD) que ayudan a automatizar el proceso de entrega de software contribuyen sustancialmente a los entornos de SbD.
Incluyen un conjunto completo de comprobaciones que deben ejecutarse (como la configuración del firewall, la configuración del sistema operativo, las bibliotecas utilizadas, las revisiones de seguridad y los componentes de software utilizados) antes de implementar una configuración de destino.
- Sistemas de detección
Pueden identificar componentes o configuraciones no conformes.
Las configuraciones incorrectas generalmente no deberían ocurrir en configuraciones SbD, ya que se previenen en gran medida mediante el diseño y los controles preventivos en la implementación.
Conclusión
La seguridad por diseño es una tendencia en ciberseguridad que está transformando la forma en que las empresas desarrollan productos digitales.
En lugar de ser un obstáculo, la seguridad puede integrarse de manera natural en la experiencia del usuario, generando confianza y minimizando riesgos.
El desafío principal no es sólo técnico, sino organizacional: lograr que los equipos de UX y ciberseguridad trabajen en conjunto, alineando objetivos y metodologías.
Con un enfoque colaborativo y una cultura organizacional que valore la seguridad desde el diseño, las empresas pueden ofrecer soluciones que sean tanto seguras como amigables para los usuarios.
Contáctanos para saber cómo ayudamos a las organizaciones a construir productos usables y accesibles
Conocé también los productos tecnológicos que podemos desarrollar para apoyarte en la construcción de productos interactivos, funcionales y centrados en las personas.
Y cómo potenciar tu estrategia de negocios desarrollando al talento IT.
