{"id":139,"date":"2026-08-15T22:50:03","date_gmt":"2026-08-15T22:50:03","guid":{"rendered":"https:\/\/oidsec.es\/?p=139"},"modified":"2026-08-15T22:50:04","modified_gmt":"2026-08-15T22:50:04","slug":"la-huella-invisible-metadatos-correlacion-e-identificacion-digital","status":"publish","type":"post","link":"https:\/\/oidsec.es\/index.php\/2026\/08\/15\/la-huella-invisible-metadatos-correlacion-e-identificacion-digital\/","title":{"rendered":"La huella invisible: metadatos, correlaci\u00f3n e identificaci\u00f3n digital"},"content":{"rendered":"\n<h2 class=\"wp-block-heading\">C\u00f3mo documentos, navegadores, dominios, repositorios, infraestructuras y patrones aparentemente inconexos pueden converger hasta reconstruir una identidad digital<\/h2>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>OIDSEC \/ OBSERVATORIO DE INVESTIGACI\u00d3N DIGITAL<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00c1REA \/ OSINT \u00b7 PRIVACIDAD \u00b7 IDENTIDAD DIGITAL \u00b7 CIBERINTELIGENCIA<\/strong><br><strong>TIPO \/ INFORME DE AN\u00c1LISIS ESTRAT\u00c9GICO Y T\u00c9CNICO<\/strong><br><strong>NIVEL \/ AVANZADO<\/strong><br><strong>CLASIFICACI\u00d3N \/ INVESTIGACI\u00d3N ABIERTA<\/strong><br><strong>METODOLOG\u00cdA \/ AN\u00c1LISIS MULTIFUENTE \u00b7 CORRELACI\u00d3N \u00b7 PRIVACY RISK ASSESSMENT<\/strong><br><strong>REFERENCIAS \/ NIST \u00b7 EDPB \u00b7 IETF \u00b7 W3C \u00b7 ICANN \u00b7 OWASP \u00b7 GITHUB<\/strong><br><strong>MODELO \/ OIDSEC DIGITAL EXPOSURE MODEL \u2014 DEM-5<\/strong><br><strong>VERSI\u00d3N \/ 1.0<\/strong><br><strong>FECHA \/ 2026<\/strong><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">Resumen ejecutivo<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">La identidad digital contempor\u00e1nea rara vez se encuentra contenida en un \u00fanico perfil, una \u00fanica base de datos o un \u00fanico identificador.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Se encuentra <strong>distribuida<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una fotograf\u00eda puede revelar un dispositivo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un documento puede conservar un nombre de autor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un repositorio de c\u00f3digo puede asociar una direcci\u00f3n de correo con una actividad concreta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un registro de dominio puede aportar informaci\u00f3n sobre infraestructura.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una cabecera temporal puede establecer una zona horaria.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una cuenta reutilizada puede unir dos contextos que su propietario cre\u00eda independientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una configuraci\u00f3n de navegador puede contribuir a distinguir un dispositivo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una secuencia repetida de comportamientos puede construir un patr\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ninguna de estas evidencias tiene necesariamente gran valor de manera aislada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El problema aparece cuando comienzan a <strong>converger<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El IETF define precisamente la correlaci\u00f3n como la combinaci\u00f3n de elementos de informaci\u00f3n relativos a una persona \u2014o que adquieren esa caracter\u00edstica cuando se combinan\u2014 y reconoce el fingerprinting como el uso combinado de informaci\u00f3n para identificar, con suficiente probabilidad, una aplicaci\u00f3n o dispositivo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El fen\u00f3meno analizado en este informe puede resumirse mediante una ecuaci\u00f3n conceptual:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>IDENTIDAD DIGITAL \u2260 DATO \u00daNICO<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>IDENTIDAD DIGITAL = CONVERGENCIA DE INDICADORES<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Este principio modifica profundamente la forma en que deben comprenderse tanto OSINT como privacidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El problema ya no consiste \u00fanicamente en determinar <strong>qu\u00e9 datos hemos publicado<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Debe analizarse adem\u00e1s:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>qu\u00e9 metadatos acompa\u00f1an a esos datos;<\/li>\n\n\n\n<li>qu\u00e9 identificadores se reutilizan;<\/li>\n\n\n\n<li>qu\u00e9 relaciones pueden inferirse;<\/li>\n\n\n\n<li>qu\u00e9 informaci\u00f3n permanece en terceros;<\/li>\n\n\n\n<li>qu\u00e9 patrones temporales producimos;<\/li>\n\n\n\n<li>qu\u00e9 infraestructura puede atribuirse;<\/li>\n\n\n\n<li>qu\u00e9 caracter\u00edsticas t\u00e9cnicas resultan observables;<\/li>\n\n\n\n<li>y qu\u00e9 nuevas conclusiones pueden producirse al combinar diferentes fuentes.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">La consecuencia es especialmente relevante:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>una persona puede no haber publicado jam\u00e1s directamente determinada informaci\u00f3n y, aun as\u00ed, haber proporcionado suficientes elementos para que pueda ser inferida.<\/strong><\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">Este informe propone el <strong>OIDSEC Digital Exposure Model \u2014 DEM-5<\/strong>, que separa la exposici\u00f3n digital en cinco niveles:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>01 \/ VISIBLE<\/strong><br>Informaci\u00f3n expresamente publicada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>02 \/ METADATA<\/strong><br>Informaci\u00f3n a\u00f1adida al objeto o a su entorno t\u00e9cnico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>03 \/ CORRELATABLE<\/strong><br>Elementos que permiten vincular contextos inicialmente separados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>04 \/ INFERRED<\/strong><br>Informaci\u00f3n no publicada directamente pero deducible mediante an\u00e1lisis.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>05 \/ ATTRIBUTABLE<\/strong><br>Conjunto de evidencias suficientemente convergentes para asociar razonablemente una actividad, activo o identidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La tesis fundamental es que la privacidad digital no puede gestionarse \u00fanicamente preguntando:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\">\u00ab\u00bfQu\u00e9 he publicado?\u00bb<\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">Debe preguntarse:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>\u00ab\u00bfQu\u00e9 puede reconstruirse sobre m\u00ed combinando aquello que he publicado, lo que mis dispositivos producen, lo que terceros conservan y aquello que puede inferirse?\u00bb<\/strong><\/p>\n<\/blockquote>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">Conclusiones ejecutivas<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El an\u00e1lisis permite establecer ocho conclusiones fundamentales.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">01 \/ LA EXPOSICI\u00d3N ES ACUMULATIVA<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La sensibilidad de un conjunto de datos puede ser significativamente superior a la sensibilidad de cada elemento individual.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">02 \/ LOS METADATOS SON INFORMACI\u00d3N<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No deben tratarse como simples propiedades t\u00e9cnicas carentes de significado anal\u00edtico.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">03 \/ LA CORRELACI\u00d3N PRODUCE INFORMACI\u00d3N NUEVA<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Relacionar correctamente dos datos puede generar un tercer conocimiento que nunca fue publicado directamente.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">04 \/ LA IDENTIDAD ES PROBABIL\u00cdSTICA<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">En numerosos escenarios OSINT no existe una prueba \u00fanica definitiva. La atribuci\u00f3n depende de convergencia, independencia de fuentes y ausencia de explicaciones alternativas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">05 \/ LA PERSISTENCIA MULTIPLICA EL RIESGO<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Una peque\u00f1a exposici\u00f3n repetida durante a\u00f1os puede resultar m\u00e1s reveladora que una divulgaci\u00f3n puntual.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">06 \/ LA DESIDENTIFICACI\u00d3N NO ELIMINA AUTOM\u00c1TICAMENTE EL RIESGO<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">NIST trata la desidentificaci\u00f3n como un proceso destinado a reducir la asociaci\u00f3n con individuos y analiza expresamente el riesgo posterior de reidentificaci\u00f3n.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">07 \/ LO P\u00daBLICO NO EQUIVALE A LO IRRELEVANTE PARA LA PRIVACIDAD<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El tratamiento sistem\u00e1tico y la agregaci\u00f3n modifican sustancialmente el riesgo.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">08 \/ LA MEJOR DEFENSA ES REDUCIR LA CORRELACIONABILIDAD<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No basta con ocultar datos individuales. Hay que reducir los puntos capaces de unir contextos distintos.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>CLAVE DE AN\u00c1LISIS \/ 01<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>La huella digital m\u00e1s peligrosa no siempre es aquello que publicamos.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Con frecuencia es la relaci\u00f3n que puede establecerse entre elementos que nunca imaginamos que ser\u00edan observados conjuntamente.<\/p>\n<\/blockquote>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">1. Objeto del informe<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El presente informe analiza los mecanismos mediante los cuales informaci\u00f3n dispersa puede contribuir a identificar, perfilar o relacionar una identidad digital.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El an\u00e1lisis comprende:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>metadatos;<\/li>\n\n\n\n<li>documentos;<\/li>\n\n\n\n<li>im\u00e1genes;<\/li>\n\n\n\n<li>identificadores;<\/li>\n\n\n\n<li>infraestructura;<\/li>\n\n\n\n<li>dominios;<\/li>\n\n\n\n<li>repositorios de c\u00f3digo;<\/li>\n\n\n\n<li>registros temporales;<\/li>\n\n\n\n<li>navegadores;<\/li>\n\n\n\n<li>fingerprinting;<\/li>\n\n\n\n<li>informaci\u00f3n de red;<\/li>\n\n\n\n<li>correlaci\u00f3n;<\/li>\n\n\n\n<li>grafos;<\/li>\n\n\n\n<li>reidentificaci\u00f3n;<\/li>\n\n\n\n<li>atribuci\u00f3n;<\/li>\n\n\n\n<li>publicaci\u00f3n;<\/li>\n\n\n\n<li>mitigaci\u00f3n.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">El objetivo es doble.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Objetivo anal\u00edtico<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Comprender c\u00f3mo se construye una identidad digital mediante fuentes heterog\u00e9neas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Objetivo defensivo<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Establecer controles para reducir la exposici\u00f3n involuntaria de individuos y organizaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No se pretende proporcionar una metodolog\u00eda destinada a identificar clandestinamente a terceros, sino desarrollar un marco profesional para <strong>auditar y reducir la propia exposici\u00f3n digital dentro de actividades leg\u00edtimas y autorizadas<\/strong>.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">2. Alcance<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El modelo resulta aplicable a:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>organizaciones;<\/li>\n\n\n\n<li>directivos;<\/li>\n\n\n\n<li>investigadores;<\/li>\n\n\n\n<li>periodistas;<\/li>\n\n\n\n<li>profesionales expuestos p\u00fablicamente;<\/li>\n\n\n\n<li>equipos de ciberinteligencia;<\/li>\n\n\n\n<li>desarrolladores;<\/li>\n\n\n\n<li>personal de seguridad;<\/li>\n\n\n\n<li>unidades de comunicaci\u00f3n;<\/li>\n\n\n\n<li>investigadores OSINT;<\/li>\n\n\n\n<li>propietarios de infraestructura digital.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">La intensidad del an\u00e1lisis debe adaptarse siempre al nivel de riesgo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No necesita la misma evaluaci\u00f3n un ciudadano con baja exposici\u00f3n p\u00fablica que:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">un directivo estrat\u00e9gico;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">un investigador en un asunto sensible;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">un responsable tecnol\u00f3gico;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">una persona con acceso privilegiado;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">una organizaci\u00f3n sometida a espionaje competitivo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">o un profesional especialmente expuesto a campa\u00f1as de ingenier\u00eda social.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">3. Metodolog\u00eda<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">OIDSEC propone una metodolog\u00eda basada en seis principios.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">MULTISOURCE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Nunca se considera concluyente un indicador simplemente porque aparezca en una fuente.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">PROVENANCE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Toda evidencia relevante debe mantener relaci\u00f3n con su origen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">TEMPORALITY<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La fecha del dato forma parte del dato.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">INDEPENDENCE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cinco p\u00e1ginas que reproducen la misma fuente no constituyen cinco fuentes independientes.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">ALTERNATIVE HYPOTHESES<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Toda atribuci\u00f3n debe considerar explicaciones alternativas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">MINIMIZATION<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La investigaci\u00f3n defensiva debe recopilar \u00fanicamente aquello que resulte necesario para evaluar el riesgo.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">4. El concepto de huella invisible<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">La expresi\u00f3n <strong>huella digital<\/strong> suele asociarse a publicaciones visibles:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">fotograf\u00edas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">comentarios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">perfiles;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">v\u00eddeos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">entradas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">mensajes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta visi\u00f3n es incompleta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una identidad tambi\u00e9n genera informaci\u00f3n fuera del contenido expl\u00edcito.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos dividirla en:<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">HUELLA DECLARADA<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aquello que publicamos conscientemente.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">HUELLA T\u00c9CNICA<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aquello que producen dispositivos, software y servicios.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">HUELLA RELACIONAL<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aquello que surge de nuestras relaciones con otras entidades.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">HUELLA TEMPORAL<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aquello que revelan nuestras secuencias y horarios.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">HUELLA INFERIDA<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aquello que otros pueden deducir.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La quinta categor\u00eda es la m\u00e1s importante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No existe necesariamente como dato almacenado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Existe como <strong>conclusi\u00f3n anal\u00edtica<\/strong>.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">5. OIDSEC DIGITAL EXPOSURE MODEL \u2014 DEM-5<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El modelo DEM-5 propone separar la exposici\u00f3n en cinco capas.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">DEM-01 \/ VISIBLE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Informaci\u00f3n expl\u00edcitamente accesible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ejemplos:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">nombre;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">fotograf\u00eda;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">cargo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">publicaciones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">organizaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">biograf\u00eda;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">contactos profesionales declarados.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Riesgo principal<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Sobreexposici\u00f3n consciente o semiconsciente.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Pregunta de auditor\u00eda<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfQu\u00e9 conoce un tercero sin realizar ninguna correlaci\u00f3n?<\/strong><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">DEM-02 \/ METADATA<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Informaci\u00f3n que acompa\u00f1a al objeto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede incluir:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">autor;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">software;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">dispositivo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">fecha;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">ubicaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">propiedades de archivo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">identificadores;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">versiones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">atributos t\u00e9cnicos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">ExifTool, una de las herramientas m\u00e1s extendidas para examinar metainformaci\u00f3n, soporta formatos como EXIF, GPS, IPTC y XMP, mostrando la enorme variedad de informaci\u00f3n que puede acompa\u00f1ar a archivos multimedia.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Riesgo principal<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Publicar involuntariamente informaci\u00f3n que nunca se pretendi\u00f3 mostrar.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Pregunta<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfQu\u00e9 revela el archivo adem\u00e1s de aquello que vemos?<\/strong><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">DEM-03 \/ CORRELATABLE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Datos capaces de unir dos contextos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ejemplos conceptuales:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">mismo correo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">mismo alias;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">mismo avatar;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">mismo dominio;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">mismo identificador;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">mismo dispositivo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">mismo patr\u00f3n temporal.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Riesgo principal<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Colapso de identidades que pretend\u00edan mantenerse separadas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Pregunta<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfQu\u00e9 elemento puede funcionar como puente entre dos conjuntos de datos?<\/strong><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">DEM-04 \/ INFERRED<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Informaci\u00f3n deducida mediante combinaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ejemplos:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">posible zona horaria;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">relaci\u00f3n probable entre cuentas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u00e1rea habitual de actividad;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">infraestructura vinculada;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">patrones profesionales.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Riesgo principal<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Creer que aquello que nunca se public\u00f3 no puede conocerse.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Pregunta<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfQu\u00e9 nueva informaci\u00f3n aparece cuando correlacionamos lo ya conocido?<\/strong><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">DEM-05 \/ ATTRIBUTABLE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Nivel en el que diferentes indicadores independientes convergen hasta permitir una atribuci\u00f3n razonada.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Riesgo principal<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Asociaci\u00f3n de una identidad con una actividad o activo.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Pregunta<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfExiste suficiente evidencia independiente para sostener la atribuci\u00f3n frente a hip\u00f3tesis alternativas?<\/strong><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">6. El salto cr\u00edtico: de dato a inferencia<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Existen cuatro estados que no deben confundirse.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">OBSERVACI\u00d3N<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La fuente contiene un dato.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">ASOCIACI\u00d3N<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Dos elementos aparecen relacionados.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">INFERENCIA<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El analista propone una explicaci\u00f3n.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">ATRIBUCI\u00d3N<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La convergencia de evidencias permite asignar razonablemente una relaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El error anal\u00edtico m\u00e1s peligroso consiste en saltar directamente:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>observaci\u00f3n \u2192 atribuci\u00f3n.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entre ambas debe existir razonamiento.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>CLAVE DE AN\u00c1LISIS \/ 02<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un nombre id\u00e9ntico es una coincidencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un alias reutilizado es un indicador.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Varios indicadores independientes son una convergencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Solo una convergencia adecuadamente evaluada puede comenzar a sostener una atribuci\u00f3n.<\/strong><\/p>\n<\/blockquote>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">7. Metadatos de im\u00e1genes<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Una imagen contiene dos realidades.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La primera es visual.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La segunda es informacional.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Determinados formatos pueden conservar datos relativos a:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>dispositivo;<\/li>\n\n\n\n<li>par\u00e1metros de captura;<\/li>\n\n\n\n<li>fecha;<\/li>\n\n\n\n<li>orientaci\u00f3n;<\/li>\n\n\n\n<li>software;<\/li>\n\n\n\n<li>campos descriptivos;<\/li>\n\n\n\n<li>coordenadas cuando est\u00e9n presentes.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">ExifTool documenta soporte para numerosas familias de metadatos, incluyendo EXIF, GPS, IPTC y XMP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero incluso una imagen completamente desprovista de metadatos puede continuar revelando informaci\u00f3n mediante:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">arquitectura;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">paisaje;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">meteorolog\u00eda;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">reflejos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">idioma;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">carteler\u00eda;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">objetos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">disposici\u00f3n espacial.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eliminar metadatos reduce una categor\u00eda de exposici\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No elimina la capacidad de an\u00e1lisis visual.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">8. Metadatos documentales<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">PDF, documentos ofim\u00e1ticos, hojas de c\u00e1lculo y otros formatos pueden incorporar informaci\u00f3n adicional al contenido visible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">OWASP advierte expresamente de que archivos descargables, como PDF, hojas de c\u00e1lculo, facturas o informes, pueden contener metadatos sobre el software o las bibliotecas utilizadas para generarlos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dependiendo del formato y proceso de creaci\u00f3n pueden encontrarse:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">autor;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">organizaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">aplicaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">versiones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">fechas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">comentarios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">propiedades;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">nombres internos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para una organizaci\u00f3n esto implica una conclusi\u00f3n importante:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>la revisi\u00f3n de documentos p\u00fablicos debe incluir el contenido visible y su estructura digital.<\/strong><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">9. La dimensi\u00f3n temporal<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El tiempo es uno de los identificadores indirectos m\u00e1s subestimados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una \u00fanica acci\u00f3n dice poco.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cientos de acciones pueden formar un patr\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un conjunto de publicaciones podr\u00eda revelar, por ejemplo:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">periodos de actividad;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">d\u00edas laborables;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">pausas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">cambios de rutina;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">franjas horarias predominantes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El riesgo no reside necesariamente en un timestamp.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Reside en la <strong>serie temporal<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ello OIDSEC distingue:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>EVENT TIME<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Momento del hecho.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>PUBLICATION TIME<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Momento de publicaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>ACQUISITION TIME<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Momento en que el investigador obtuvo la evidencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>VERIFICATION TIME<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u00daltima comprobaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Confundir estas dimensiones puede producir errores significativos.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">10. Alias y reutilizaci\u00f3n de identidad<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Un alias puede parecer an\u00f3nimo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En realidad funciona frecuentemente como identificador persistente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuanto m\u00e1s tiempo se utiliza, m\u00e1s contexto acumula.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede relacionarse con:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">idioma;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">intereses;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">contactos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">horarios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">estilo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">plataformas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">repositorios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">correos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La cuesti\u00f3n no consiste \u00fanicamente en saber si un nombre de usuario es \u00fanico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Debe evaluarse <strong>qu\u00e9 caracter\u00edsticas convergen alrededor de \u00e9l<\/strong>.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">11. Correo electr\u00f3nico como pivote<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">La direcci\u00f3n de correo posee una particular capacidad de correlaci\u00f3n porque puede aparecer simult\u00e1neamente en:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">comunicaciones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">repositorios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">perfiles;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">documentos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">servicios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">registros hist\u00f3ricos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un ejemplo especialmente relevante aparece en repositorios de c\u00f3digo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">GitHub explica que los commits realizados desde Git pueden mostrar la direcci\u00f3n configurada para su autor y ofrece direcciones <code>noreply<\/code> espec\u00edficamente para quienes desean mantener privada su direcci\u00f3n real. Los commits previos mantienen la direcci\u00f3n con la que fueron creados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La ense\u00f1anza defensiva es clara:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>la privacidad debe configurarse antes de generar el hist\u00f3rico.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sanitizar el presente no elimina autom\u00e1ticamente el pasado.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">12. Repositorios de c\u00f3digo como fuente de exposici\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Un repositorio puede revelar m\u00e1s que c\u00f3digo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede revelar:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">historial;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">cronolog\u00eda;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">autores;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">ramas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">mensajes;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">arquitectura;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">dependencias;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">nombres internos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">documentaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">correos asociados a commits.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde una perspectiva corporativa, los repositorios deber\u00edan formar parte de cualquier auditor\u00eda de exposici\u00f3n externa.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No porque toda esa informaci\u00f3n constituya necesariamente una vulnerabilidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sino porque contribuye al <strong>contexto de atribuci\u00f3n<\/strong>.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">13. Dominios e infraestructura<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Los dominios han sido hist\u00f3ricamente una fuente relevante para an\u00e1lisis de infraestructura.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Existe aqu\u00ed un cambio t\u00e9cnico importante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para los dominios gen\u00e9ricos de primer nivel, ICANN sustituy\u00f3 WHOIS por <strong>RDAP<\/strong> como fuente definitiva de datos de registro desde el 28 de enero de 2025. RDAP ofrece, entre otras capacidades, respuestas estructuradas, internacionalizaci\u00f3n, descubrimiento autoritativo y mecanismos de acceso diferenciados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, la nueva Registration Data Policy de ICANN entr\u00f3 en vigor para las partes contratadas el 21 de agosto de 2025.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, en un an\u00e1lisis profesional actualizado no deber\u00eda hablarse gen\u00e9ricamente de \u00abconsultar WHOIS\u00bb como si continuara siendo el mecanismo operativo principal para gTLD.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El concepto actual es:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>REGISTRATION DATA \u2192 RDAP<\/strong><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">14. Lo que un dominio puede relacionar<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Sin entrar en procedimientos intrusivos, un dominio puede asociarse conceptualmente con:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">registrador;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">fechas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">servidores autoritativos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">certificados;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">infraestructura;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">subdominios p\u00fablicamente expuestos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">servicios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">historial p\u00fablico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La importancia no se encuentra necesariamente en un campo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Se encuentra en la capacidad de reconstruir una <strong>topolog\u00eda<\/strong>.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">15. DNS como fuente de contexto<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El DNS constituye una capa fundamental de Internet y posee importantes consecuencias de privacidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">RFC 9076 analiza espec\u00edficamente los riesgos derivados de las consultas DNS y recuerda que pr\u00e1cticamente toda actividad de Internet comienza mediante una consulta de nombres.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde un punto de vista defensivo, esto demuestra que:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>el contenido cifrado no significa ausencia completa de metadatos.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las capas de transporte y resoluci\u00f3n contin\u00faan generando contexto.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">16. Direcci\u00f3n IP: indicador, no identidad<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Uno de los errores m\u00e1s frecuentes en an\u00e1lisis superficial consiste en tratar una direcci\u00f3n IP como equivalente a una persona.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No lo es.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una IP representa un elemento de infraestructura o conectividad en un determinado momento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede estar afectada por:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">asignaci\u00f3n din\u00e1mica;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">NAT;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VPN;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">proxies;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">infraestructura compartida;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">redes corporativas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">servicios cloud.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ello, una IP debe considerarse normalmente <strong>un indicador contextual<\/strong>, no una prueba aut\u00f3noma de identidad.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">17. Fingerprinting del navegador<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">La Web posee otra fuente de correlaci\u00f3n: las caracter\u00edsticas observables del cliente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El W3C public\u00f3 en septiembre de 2025 una gu\u00eda espec\u00edfica destinada a mitigar los riesgos de fingerprinting. El documento distingue fingerprinting pasivo, activo, correlaci\u00f3n transitoria y mecanismos similares a cookies, y reconoce que la exposici\u00f3n de caracter\u00edsticas del navegador puede permitir identificar usuarios, dispositivos o correlacionar actividad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El IETF ya hab\u00eda definido fingerprinting como la utilizaci\u00f3n de m\u00faltiples elementos de informaci\u00f3n para identificar con suficiente probabilidad una instancia de aplicaci\u00f3n o dispositivo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto introduce una idea central:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>no existe necesariamente un identificador \u00fanico.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El identificador puede ser la combinaci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">18. Entrop\u00eda y singularidad<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Imaginemos cinco atributos individualmente poco informativos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cada uno es compartido por millones de usuarios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, su combinaci\u00f3n puede ser mucho menos frecuente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El riesgo de fingerprinting aparece precisamente cuando la intersecci\u00f3n de atributos reduce progresivamente el conjunto de candidatos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso una auditor\u00eda defensiva no debe preguntar solamente:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\">\u00bfEste dato me identifica?<\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">Debe preguntar:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>\u00bfCu\u00e1nto reduce este dato el conjunto de personas que podr\u00edan ser yo cuando se combina con otros?<\/strong><\/p>\n<\/blockquote>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">19. Client Hints y exposici\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El est\u00e1ndar HTTP Client Hints reconoce expl\u00edcitamente riesgos de fingerprinting derivados de informaci\u00f3n que un cliente puede proporcionar sobre sus caracter\u00edsticas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La implicaci\u00f3n metodol\u00f3gica es importante:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">cada nueva caracter\u00edstica que expone contexto del cliente debe analizarse tambi\u00e9n como una potencial contribuci\u00f3n a la superficie de identificaci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">20. Fingerprinting no es necesariamente identificaci\u00f3n personal<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Debe introducirse aqu\u00ed una precisi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Distinguir un navegador de otros navegadores no significa autom\u00e1ticamente conocer el nombre de su propietario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La correlaci\u00f3n puede comenzar como:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>DEVICE A = DEVICE A<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Posteriormente otra evidencia podr\u00eda permitir establecer:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>DEVICE A \u2194 ACCOUNT B<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">y, finalmente:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>ACCOUNT B \u2194 PERSON C<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La atribuci\u00f3n aparece mediante escalones.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">21. OIDSEC CORRELATION CHAIN<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Proponemos formalizarlo as\u00ed:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>OBSERVABLE<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u2193<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>IDENTIFIER<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u2193<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>LINK<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u2193<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>CLUSTER<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u2193<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>HYPOTHESIS<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u2193<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>CORROBORATION<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u2193<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>ATTRIBUTION<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cada transici\u00f3n necesita evidencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No debe suponerse.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">22. Grafos: visualizaci\u00f3n no equivale a demostraci\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Los grafos son extraordinariamente \u00fatiles para representar entidades y relaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero presentan un riesgo cognitivo:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>una l\u00ednea parece una prueba.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No necesariamente lo es.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una arista puede representar:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">propiedad;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">uso;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">aparici\u00f3n conjunta;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">menci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">resoluci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">similitud;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">hip\u00f3tesis.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Todas son relaciones distintas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una arquitectura madura deber\u00eda asignar sem\u00e1ntica expl\u00edcita a cada v\u00ednculo.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">23. El problema de los grafos densos<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Cuanto m\u00e1s crece un grafo, m\u00e1s conexiones aparecen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y cuanto m\u00e1s conexiones aparecen, m\u00e1s f\u00e1cil resulta encontrar relaciones casuales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto genera el riesgo de:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>apofenia anal\u00edtica<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Encontrar patrones donde \u00fanicamente existe ruido.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La protecci\u00f3n frente a este problema consiste en trabajar con:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">hip\u00f3tesis;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">criterios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">fuentes independientes;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">niveles de confianza.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>CLAVE DE AN\u00c1LISIS \/ 03<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>La existencia de una conexi\u00f3n t\u00e9cnica no demuestra necesariamente una relaci\u00f3n significativa.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">OSINT profesional no consiste en encontrar enlaces. Consiste en determinar cu\u00e1les de esos enlaces merecen significado anal\u00edtico.<\/p>\n<\/blockquote>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">24. Correlaci\u00f3n temporal<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Dos identidades diferentes pueden presentar patrones temporales similares.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto puede constituir un indicador.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero rara vez deber\u00eda considerarse suficiente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El an\u00e1lisis deber\u00eda valorar:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">frecuencia;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">regularidad;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">duraci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">independencia;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">probabilidad de coincidencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La combinaci\u00f3n de patrones temporales con identificadores t\u00e9cnicos puede incrementar la confianza.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero cada elemento debe conservar su propio peso.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">25. Correlaci\u00f3n ling\u00fc\u00edstica<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">La escritura tambi\u00e9n contiene caracter\u00edsticas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Vocabulario;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">construcciones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">errores repetitivos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">puntuaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">preferencias;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">expresiones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede existir an\u00e1lisis estilom\u00e9trico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, su uso para atribuci\u00f3n requiere enorme prudencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las personas modifican su estilo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los textos pueden ser editados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pueden existir colaboradores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los modelos generativos complican todav\u00eda m\u00e1s las inferencias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ello debe tratarse como <strong>indicador auxiliar<\/strong>, nunca como sustituto de evidencia t\u00e9cnica o documental cuando \u00e9sta sea necesaria.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">26. Del identificador al cluster<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Una investigaci\u00f3n madura no intenta primero identificar a una persona.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Primero construye <strong>clusters de elementos compatibles<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>CLUSTER A<\/code><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>alias;<\/li>\n\n\n\n<li>correo;<\/li>\n\n\n\n<li>repositorio;<\/li>\n\n\n\n<li>horario;<\/li>\n\n\n\n<li>dominio.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Posteriormente se pregunta:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\">\u00bfExiste evidencia suficiente para afirmar que todos esos elementos pertenecen al mismo sujeto?<\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">Este enfoque reduce el sesgo producido por comenzar con una identidad preconcebida.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">27. La reidentificaci\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Uno de los problemas centrales de privacidad consiste en que la eliminaci\u00f3n de identificadores directos no garantiza que los datos no puedan volver a relacionarse con una persona.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">NIST SP 800-188 aborda espec\u00edficamente la desidentificaci\u00f3n y el riesgo de divulgaci\u00f3n\/reidentificaci\u00f3n, considerando la gesti\u00f3n de ese riesgo parte del proceso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto es fundamental.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eliminar:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">nombre;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">correo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">tel\u00e9fono;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">direcci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">puede no ser suficiente si permanecen combinaciones altamente singulares.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">28. Pseudonimizaci\u00f3n no es anonimizaci\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El EDPB diferencia expresamente ambos conceptos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La pseudonimizaci\u00f3n reduce la vinculaci\u00f3n directa con un individuo, pero mantiene la posibilidad de establecerla mediante informaci\u00f3n adicional. La anonimizaci\u00f3n pretende romper esa vinculaci\u00f3n de forma efectiva.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>PERSONA \u2192 SUBJECT-004<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">no convierte necesariamente un dataset en an\u00f3nimo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Simplemente sustituye el identificador.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">29. Riesgo residual<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Toda protecci\u00f3n debe evaluarse frente a informaci\u00f3n auxiliar razonablemente disponible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una base aparentemente an\u00f3nima puede ser m\u00e1s identificable cuando se combina con:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">registros p\u00fablicos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">informaci\u00f3n empresarial;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">redes sociales;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">publicaciones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">datos geogr\u00e1ficos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El an\u00e1lisis de privacidad debe considerar precisamente esa <strong>capacidad de composici\u00f3n<\/strong>.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">30. El problema de la informaci\u00f3n p\u00fablica auxiliar<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Esta cuesti\u00f3n es especialmente relevante para OSINT.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una organizaci\u00f3n puede anonimizar una tabla considerando \u00fanicamente sus propios datos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero Internet proporciona potencialmente un enorme conjunto de informaci\u00f3n auxiliar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ello, el an\u00e1lisis debe preguntar:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>\u00bfQu\u00e9 podr\u00eda ocurrir si este dataset se cruza con informaci\u00f3n p\u00fablica externa?<\/strong><\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">No:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\">\u00bfContiene nombres?<\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">La segunda pregunta es demasiado limitada.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">31. Web scraping y escala de correlaci\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El Comit\u00e9 Europeo de Protecci\u00f3n de Datos adopt\u00f3 en julio de 2026 directrices sobre web scraping en el contexto de IA generativa que, a fecha de este informe, permanecen sometidas a consulta p\u00fablica hasta el 30 de octubre de 2026.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entre las cuestiones tratadas se encuentran minimizaci\u00f3n, finalidad, medidas para excluir informaci\u00f3n innecesaria y evaluaci\u00f3n de grandes operaciones de recopilaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aunque el documento posee un \u00e1mbito espec\u00edfico, ilustra una realidad mucho m\u00e1s amplia:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>cuando automatizamos la recopilaci\u00f3n, cambiamos la escala del riesgo.<\/strong><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">32. Persistencia<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Internet posee memoria distribuida.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eliminar un recurso original no garantiza la desaparici\u00f3n de:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">copias;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u00edndices;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">cach\u00e9s;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">repositorios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">archivos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">datasets derivados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ello, la privacidad preventiva resulta significativamente m\u00e1s eficaz que intentar reparar posteriormente una exposici\u00f3n ampliamente replicada.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">33. El historial importa<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Un investigador que audita \u00fanicamente el estado actual puede perder elementos esenciales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La huella digital debe entenderse como una funci\u00f3n temporal:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>E(t)<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">donde la exposici\u00f3n actual depende de publicaciones presentes y pasadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una direcci\u00f3n de correo abandonada hace diez a\u00f1os puede continuar vinculando dos contextos actuales.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">34. OIDSEC DIGITAL EXPOSURE INDEX \u2014 DEI<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Para auditor\u00edas defensivas proponemos un \u00edndice conceptual basado en cinco dimensiones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cada dimensi\u00f3n puede puntuarse entre <code>0<\/code> y <code>4<\/code>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">E \/ EXPOSURE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfCu\u00e1nto del dato resulta accesible?<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">L \/ LINKABILITY<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfCon cu\u00e1ntos contextos puede relacionarse?<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">P \/ PERSISTENCE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfCu\u00e1nto tiempo puede permanecer disponible?<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">U \/ UNIQUENESS<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfCu\u00e1nto reduce el conjunto de posibles identidades?<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">S \/ SENSITIVITY<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfQu\u00e9 impacto tendr\u00eda una atribuci\u00f3n correcta?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">F\u00f3rmula<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>DEI = E + L + P + U + S<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Rango:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>0\u20135 \/ BAJO<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>6\u201310 \/ MODERADO<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>11\u201315 \/ ELEVADO<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>16\u201320 \/ CR\u00cdTICO<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Este \u00edndice es un <strong>modelo metodol\u00f3gico propio de OIDSEC<\/strong>, no un est\u00e1ndar normativo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Su finalidad consiste en facilitar comparaci\u00f3n y priorizaci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">35. Ejemplo defensivo<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Supongamos una organizaci\u00f3n que publica un informe t\u00e9cnico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El PDF no contiene informaci\u00f3n sensible visible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>E = 3<\/strong><br>Est\u00e1 p\u00fablicamente accesible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>L = 3<\/strong><br>Sus propiedades pueden relacionarse con infraestructura interna.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>P = 4<\/strong><br>Una vez distribuido, probablemente persistir\u00e1.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>U = 2<\/strong><br>Algunos atributos reducen el conjunto de candidatos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>S = 2<\/strong><br>Impacto moderado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>DEI = 14 \/ ELEVADO<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La prioridad no ser\u00eda retirar necesariamente el informe.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ser\u00eda identificar qu\u00e9 componente est\u00e1 generando el riesgo y sanitizar futuros documentos.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">36. El principio de reducci\u00f3n de enlace<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">OIDSEC propone un principio sencillo:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Cuando un dato no pueda eliminarse, debe evaluarse si puede reducirse su capacidad de relacionarse con otros contextos.<\/strong><\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">Esto puede implicar defensivamente:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">separar identidades;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">sanitizar documentos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">evitar reutilizaciones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">minimizar metadatos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">revisar repositorios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">controlar publicaci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">37. Auditor\u00eda de exposici\u00f3n corporativa<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Una evaluaci\u00f3n profesional deber\u00eda dividirse en ocho fases.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">FASE 0 \/ AUTORIZACI\u00d3N<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Definir exactamente qu\u00e9 activos pueden analizarse.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">FASE 1 \/ INVENTARIO<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Identificar activos p\u00fablicos autorizados.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">FASE 2 \/ OBSERVACI\u00d3N<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Registrar lo inmediatamente visible.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">FASE 3 \/ METADATA<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Examinar metadatos de material propio autorizado.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">FASE 4 \/ CORRELATION<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Determinar qu\u00e9 contextos internos pueden relacionarse entre s\u00ed.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">FASE 5 \/ INFERENCE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Evaluar qu\u00e9 informaci\u00f3n adicional podr\u00eda razonablemente inferirse.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">FASE 6 \/ RISK<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Asignar riesgo.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">FASE 7 \/ REMEDIATION<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Reducir exposici\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">38. El principio de auditor\u00eda propia<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El an\u00e1lisis de reidentificaci\u00f3n deber\u00eda realizarse prioritariamente sobre:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">datos propios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">entornos de prueba;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">datasets sint\u00e9ticos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">infraestructura autorizada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La finalidad defensiva no consiste en demostrar que \u00abpodemos identificar a alguien\u00bb.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Consiste en determinar:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00ab\u00bfqu\u00e9 podr\u00eda identificar un tercero sobre nosotros?\u00bb<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Este cambio conceptual convierte OSINT en herramienta de autoprotecci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">39. Superficie documental<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Una organizaci\u00f3n deber\u00eda inventariar:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">PDF;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">presentaciones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">hojas de c\u00e1lculo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">plantillas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">informes;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">im\u00e1genes;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">comunicados;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">documentos hist\u00f3ricos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">OWASP recomienda revisar contenido y metadatos de ficheros para detectar posibles fugas de informaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La revisi\u00f3n deber\u00eda realizarse antes de publicar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No despu\u00e9s.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">40. Superficie de desarrollo<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Deber\u00edan auditarse:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">repositorios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">commits;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">correos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">documentaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">issues;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">nombres internos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">archivos de configuraci\u00f3n expuestos accidentalmente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">GitHub dispone expresamente de mecanismos <code>noreply<\/code> para proteger el correo utilizado en commits, lo que demuestra que la identidad del autor forma parte de la superficie de privacidad del repositorio.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">41. Superficie de infraestructura<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Inventario:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">dominios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">subdominios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">certificados;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">sistemas p\u00fablicos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">servicios autorizados;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">registros RDAP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde 2025, RDAP es el mecanismo de referencia para datos de registro de gTLD, lo que debe reflejarse en metodolog\u00edas OSINT actualizadas.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">42. Superficie humana<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El ser humano suele unir sistemas t\u00e9cnicamente separados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede reutilizar:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">nombres;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">fotograf\u00edas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">alias;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">biograf\u00edas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">correos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">patrones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La soluci\u00f3n no consiste en prohibir toda presencia p\u00fablica.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Consiste en <strong>dise\u00f1arla conscientemente<\/strong>.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">43. Riesgo de ingenier\u00eda social<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Una identidad digital bien reconstruida puede mejorar significativamente la credibilidad de un intento de enga\u00f1o.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuanto m\u00e1s contexto conoce un adversario, m\u00e1s plausible puede resultar una comunicaci\u00f3n fraudulenta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ello, la reducci\u00f3n de exposici\u00f3n p\u00fablica debe considerarse tambi\u00e9n una medida preventiva frente a determinadas formas de ingenier\u00eda social.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">44. Matriz de riesgos<\/h1>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><th>Vector<\/th><th>Probabilidad<\/th><th>Impacto<\/th><th>Riesgo<\/th><\/tr><tr><td>Metadatos documentales<\/td><td>Alta<\/td><td>Medio<\/td><td>Alto<\/td><\/tr><tr><td>Reutilizaci\u00f3n de alias<\/td><td>Alta<\/td><td>Alto<\/td><td>Cr\u00edtico<\/td><\/tr><tr><td>Correo expuesto en repositorios<\/td><td>Media<\/td><td>Alto<\/td><td>Alto<\/td><\/tr><tr><td>Correlaci\u00f3n temporal<\/td><td>Media<\/td><td>Medio<\/td><td>Medio<\/td><\/tr><tr><td>Fingerprinting de navegador<\/td><td>Media<\/td><td>Medio<\/td><td>Medio<\/td><\/tr><tr><td>Infraestructura relacionable<\/td><td>Media<\/td><td>Alto<\/td><td>Alto<\/td><\/tr><tr><td>Reidentificaci\u00f3n de datasets<\/td><td>Baja\/Media<\/td><td>Muy alto<\/td><td>Alto<\/td><\/tr><tr><td>Documentos hist\u00f3ricos<\/td><td>Alta<\/td><td>Medio<\/td><td>Alto<\/td><\/tr><tr><td>Grafos mal interpretados<\/td><td>Media<\/td><td>Alto<\/td><td>Alto<\/td><\/tr><tr><td>Publicaci\u00f3n de inferencias incorrectas<\/td><td>Media<\/td><td>Muy alto<\/td><td>Cr\u00edtico<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">45. Riesgo anal\u00edtico: el falso positivo<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Una atribuci\u00f3n incorrecta puede producir da\u00f1os muy superiores a la ausencia de atribuci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ello:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>precisi\u00f3n &gt; espectacularidad<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un informe profesional debe diferenciar claramente:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>FACT<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>OBSERVATION<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>ASSESSMENT<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>INFERENCE<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>HYPOTHESIS<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>UNKNOWN<\/code><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">46. Niveles de confianza OIDSEC<\/h1>\n\n\n\n<h2 class=\"wp-block-heading\">VERY HIGH<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Evidencia directa y m\u00faltiples corroboraciones independientes.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">HIGH<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Convergencia fuerte con pocas explicaciones alternativas plausibles.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">MODERATE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Evidencia consistente pero incompleta.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">LOW<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Indicadores parciales o correlaciones d\u00e9biles.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">UNASSESSED<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">No existe base suficiente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El lenguaje del informe debe reflejar esa incertidumbre.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">47. La incertidumbre forma parte de la inteligencia<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Decir:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\">\u00abNo puede determinarse con la evidencia disponible\u00bb<\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">no constituye fracaso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede constituir la conclusi\u00f3n t\u00e9cnicamente correcta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una cultura de inteligencia madura recompensa la precisi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No la seguridad ret\u00f3rica.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">48. Sanitizaci\u00f3n de fotograf\u00edas<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Antes de publicar material corporativo debe evaluarse:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">contenido visual;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">metadatos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">personas secundarias;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">pantallas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">documentos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">reflejos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">identificadores;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">entorno.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eliminar EXIF sin revisar la fotograf\u00eda ser\u00eda insuficiente.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">49. Sanitizaci\u00f3n documental<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Un Publication Gate deber\u00eda comprobar:<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">CONTENIDO<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfExiste informaci\u00f3n visible innecesaria?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">METADATA<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfPermanece informaci\u00f3n interna?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">NOMBRES<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfAparecen autores no previstos?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">VERSI\u00d3N<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfEl fichero contiene revisiones?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">ADJUNTOS<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfExisten objetos incrustados?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">FILENAME<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfEl nombre revela informaci\u00f3n interna?<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">CONTEXTO<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfEl documento permite relacionarse con otro activo?<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">50. Pol\u00edtica de repositorios<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Una organizaci\u00f3n deber\u00eda definir:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">direcciones autorizadas de autor;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">pol\u00edtica de privacidad del correo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">identidades corporativas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">nombres de repositorio;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">informaci\u00f3n prohibida;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">secret scanning;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">revisi\u00f3n previa a publicaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El objetivo no consiste en eliminar trazabilidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Consiste en que <strong>la trazabilidad sea intencionada<\/strong>.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">51. Pol\u00edtica de dominios<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Inventariar:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">dominios activos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">dominios hist\u00f3ricos relevantes;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">registradores;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">DNS;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">certificados;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">responsables;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">finalidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La existencia de infraestructura desconocida para la propia organizaci\u00f3n constituye por s\u00ed sola un riesgo de gobierno.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">52. Browser exposure review<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">La gu\u00eda del W3C de 2025 sobre fingerprinting recomienda identificar y reducir la superficie observable susceptible de contribuir a identificaci\u00f3n o correlaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para una organizaci\u00f3n, esto se traduce defensivamente en:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">comprender qu\u00e9 informaci\u00f3n proporciona el entorno;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">evitar personalizaciones innecesariamente singulares en contextos sensibles;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">separar perfiles incompatibles;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">reducir extensiones innecesarias;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">aplicar navegaci\u00f3n adecuada al modelo de amenaza.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">53. Reducci\u00f3n frente a ocultaci\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Existe una diferencia conceptual importante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Ocultar<\/strong> pretende evitar que un dato sea visto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Reducir<\/strong> pretende disminuir cu\u00e1nto puede inferirse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La privacidad moderna necesita ambas estrategias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No todo puede ocultarse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero muchas exposiciones pueden hacerse menos correlacionables.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">54. Gesti\u00f3n del ciclo de vida<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Cada identidad digital posee un ciclo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>CREATE<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u2193<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>USE<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u2193<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>CORRELATE<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u2193<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>MAINTAIN<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u2193<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>RETIRE<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El error m\u00e1s frecuente aparece en el \u00faltimo punto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una identidad abandonada no deja necesariamente de existir.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Contin\u00faa formando parte del hist\u00f3rico.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">55. Legacy Exposure<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">OIDSEC denomina <strong>Legacy Exposure<\/strong> a informaci\u00f3n antigua que contin\u00faa afectando a la identidad presente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ejemplos:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">correo hist\u00f3rico;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">antiguo dominio;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">documento archivado;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">repositorio olvidado;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">biograf\u00eda anterior;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">perfil abandonado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La auditor\u00eda debe mirar hacia atr\u00e1s.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No \u00fanicamente al estado actual.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">56. Modelo temporal de exposici\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos representar conceptualmente la exposici\u00f3n como:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>R(t) = V + M + C + I + H<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">donde:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>V<\/code> = visible<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>M<\/code> = metadata<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>C<\/code> = correlatable<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>I<\/code> = inferred<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>H<\/code> = historical<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El riesgo no es est\u00e1tico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Evoluciona.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">57. Publication Gate OIDSEC<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Antes de publicar cualquier documento:<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">PG-01 \/ CONTENT<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Revisi\u00f3n editorial.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">PG-02 \/ METADATA<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Revisi\u00f3n t\u00e9cnica.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">PG-03 \/ PERSONAL DATA<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Minimizaci\u00f3n.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">PG-04 \/ INFRASTRUCTURE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Eliminaci\u00f3n de referencias innecesarias.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">PG-05 \/ CORRELATION<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Evaluaci\u00f3n de posibles enlaces imprevistos.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">PG-06 \/ LEGAL<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Revisi\u00f3n jur\u00eddica cuando proceda.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">PG-07 \/ ARCHIVE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Conservar versi\u00f3n aprobada.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">58. Remediaci\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Las prioridades deber\u00edan establecerse seg\u00fan:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>impacto \u00d7 correlacionabilidad \u00d7 persistencia<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No toda exposici\u00f3n necesita eliminaci\u00f3n inmediata.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Algunas necesitan:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">correcci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">segmentaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">seudonimizaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">sustituci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">sanitizaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">retirada;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">monitorizaci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">59. Plan 0\u201330 d\u00edas<\/h1>\n\n\n\n<h3 class=\"wp-block-heading\">Inventario<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Identidades.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dominios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Repositorios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Documentos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Perfiles.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Contenci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Eliminar exposiciones evidentes de alto impacto.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Configuraci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Revisar privacidad de commits y cuentas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Publicaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Implementar Publication Gate.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">60. Plan 31\u201390 d\u00edas<\/h1>\n\n\n\n<h3 class=\"wp-block-heading\">An\u00e1lisis hist\u00f3rico<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Buscar Legacy Exposure.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Correlaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Identificar identificadores reutilizados.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Infraestructura<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Actualizar inventario RDAP\/DNS autorizado.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Documentaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Automatizar revisi\u00f3n de metadatos donde resulte viable.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Formaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Capacitar a personal expuesto.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">61. Plan 91\u2013180 d\u00edas<\/h1>\n\n\n\n<h3 class=\"wp-block-heading\">M\u00e9tricas<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Implementar DEI.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Monitorizaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Controlar nuevas exposiciones.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Procesos<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Integrar privacidad en desarrollo y comunicaci\u00f3n.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Validaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Repetir auditor\u00eda.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Gobierno<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Presentar resultados a direcci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">62. KPIs y KRIs<\/h1>\n\n\n\n<h3 class=\"wp-block-heading\">KPI<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><code>% de documentos sometidos a Publication Gate<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>% de repositorios con pol\u00edtica de identidad<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>% de activos p\u00fablicos inventariados<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>% de identidades cr\u00edticas auditadas<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>% de hallazgos cr\u00edticos corregidos<\/code><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">KRI<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><code>n\u00famero de alias reutilizados<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>n\u00famero de correos personales visibles<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>n\u00famero de documentos con metadatos innecesarios<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>n\u00famero de activos no inventariados<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>n\u00famero de correlaciones cr\u00edticas<\/code><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">63. Modelo de madurez OIDSEC \u2014 Digital Exposure<\/h1>\n\n\n\n<h2 class=\"wp-block-heading\">LEVEL 0 \/ UNKNOWN<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La organizaci\u00f3n desconoce su exposici\u00f3n.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">LEVEL 1 \/ VISIBLE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Se revisan \u00fanicamente perfiles y contenido.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">LEVEL 2 \/ TECHNICAL<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Se incluyen metadatos e infraestructura.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">LEVEL 3 \/ CORRELATED<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Se analiza c\u00f3mo se relacionan los activos.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">LEVEL 4 \/ PREDICTIVE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Se eval\u00faa qu\u00e9 podr\u00eda inferirse.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">LEVEL 5 \/ MANAGED<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La exposici\u00f3n forma parte del gobierno continuo del riesgo.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">64. Pseudonimizaci\u00f3n como salvaguarda<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Las directrices del EDPB de 2025 refuerzan la consideraci\u00f3n de la pseudonimizaci\u00f3n como una salvaguarda relevante, pero no equivalente a anonimizaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto puede aplicarse internamente en investigaci\u00f3n:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>John Smith<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">puede convertirse durante fases anal\u00edticas en:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>SUBJECT-017<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">manteniendo la tabla de correspondencia separada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La finalidad:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">reducir exposici\u00f3n accidental.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">65. Desidentificaci\u00f3n y utilidad<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Eliminar toda informaci\u00f3n hasta hacer imposible cualquier an\u00e1lisis tampoco es una soluci\u00f3n pr\u00e1ctica.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">NIST SP 800-188 plantea precisamente el equilibrio entre reducir riesgo de divulgaci\u00f3n y conservar utilidad anal\u00edtica.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u00c9ste es el verdadero problema:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>privacy\u2013utility trade-off.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La cuesti\u00f3n no es conservarlo todo o eliminarlo todo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es conservar <strong>lo m\u00ednimo necesario para el prop\u00f3sito leg\u00edtimo<\/strong>.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">66. Protecci\u00f3n de datos<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando el proceso implique tratamiento de datos personales dentro del \u00e1mbito del RGPD deben considerarse, entre otros, los principios de:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">licitud;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">limitaci\u00f3n de finalidad;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">minimizaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">exactitud;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">limitaci\u00f3n de conservaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">integridad;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">confidencialidad;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">responsabilidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La pseudonimizaci\u00f3n y la protecci\u00f3n desde el dise\u00f1o pueden constituir salvaguardas relevantes seg\u00fan el contexto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La accesibilidad p\u00fablica de un dato no elimina autom\u00e1ticamente estas consideraciones.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">67. \u00c9tica de la correlaci\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">La posibilidad t\u00e9cnica de realizar una inferencia no implica necesariamente que sea necesario hacerla.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un investigador responsable debe preguntarse:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfEs relevante?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfEs proporcional?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfEs necesario?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfEs verificable?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfQu\u00e9 consecuencias tendr\u00eda equivocarme?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La \u00faltima pregunta es crucial.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">68. La asimetr\u00eda del error<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">En atribuci\u00f3n existen dos errores:<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">FALSE NEGATIVE<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No identificar una relaci\u00f3n verdadera.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">FALSE POSITIVE<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Atribuir una relaci\u00f3n inexistente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dependiendo del contexto, el segundo puede resultar mucho m\u00e1s da\u00f1ino.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ello, una investigaci\u00f3n que afecte a reputaci\u00f3n o derechos debe elevar extraordinariamente su umbral de atribuci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">69. Criterio de publicaci\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">OIDSEC propone que una inferencia sensible no se publique \u00fanicamente porque sea interesante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Debe ser:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>relevante<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>necesaria<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>corroborada<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>proporcionada<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>expresada con su nivel de confianza<\/strong><\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">70. Caso conceptual: el ejecutivo aparentemente invisible<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Consideremos un escenario exclusivamente ilustrativo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un ejecutivo mantiene perfiles p\u00fablicos muy reducidos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podr\u00eda concluir que posee una huella digital m\u00ednima.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, una auditor\u00eda autorizada identifica:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">un antiguo documento;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">un repositorio corporativo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">un dominio relacionado con un proyecto;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">un patr\u00f3n de alias hist\u00f3rico;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">varias fotograf\u00edas profesionales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ning\u00fan elemento contiene por s\u00ed solo informaci\u00f3n cr\u00edtica.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero al construir el grafo aparecen relaciones entre:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">identidad;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">organizaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">infraestructura;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">actividad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El hallazgo fundamental no es ning\u00fan dato concreto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es la <strong>estructura<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ese es precisamente el objeto del an\u00e1lisis de exposici\u00f3n digital.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">71. Qu\u00e9 debe entregar un informe a cliente<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Un informe profesional no deber\u00eda entregar simplemente una colecci\u00f3n de hallazgos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Deber\u00eda entregar:<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">ASSET<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Qu\u00e9 activo se analiza.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">FINDING<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Qu\u00e9 se observ\u00f3.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">SOURCE<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">De d\u00f3nde procede.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">CONFIDENCE<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Qu\u00e9 confianza merece.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">EXPOSURE<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Qu\u00e9 permite conocer.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">CORRELATION<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Con qu\u00e9 puede relacionarse.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">IMPACT<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Qu\u00e9 riesgo genera.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">REMEDIATION<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Qu\u00e9 debe hacerse.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">PRIORITY<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Cu\u00e1ndo.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">72. Formato de hallazgo OIDSEC<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>FINDING \/ DE-017<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>T\u00edtulo:<\/strong> Direcci\u00f3n hist\u00f3rica reutilizada entre contextos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Nivel:<\/strong> Alto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Fuente:<\/strong> repositorio autorizado + activo corporativo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Confianza:<\/strong> Alta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Impacto:<\/strong> permite relacionar dos contextos previamente separados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>DEI:<\/strong> 16\/20.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Recomendaci\u00f3n:<\/strong> evitar reutilizaci\u00f3n futura y revisar hist\u00f3rico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Este formato convierte OSINT en gesti\u00f3n de riesgo.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">73. De la investigaci\u00f3n a la gobernanza<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El verdadero objetivo de un programa de exposici\u00f3n digital no es realizar una auditor\u00eda cada cinco a\u00f1os.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Debe introducir controles en:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">comunicaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">recursos humanos;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">desarrollo;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">seguridad;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">dominios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">publicaciones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">relaciones p\u00fablicas;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">investigaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La privacidad de una organizaci\u00f3n es una propiedad del sistema.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No de un departamento.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">74. La nueva frontera: inferencia<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Durante a\u00f1os, la protecci\u00f3n de la privacidad se concentr\u00f3 principalmente en el acceso a los datos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El problema moderno incluye adem\u00e1s:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>qu\u00e9 puede inferirse a partir de datos leg\u00edtimamente disponibles.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eso obliga a cambiar de paradigma.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">De:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\">proteger secretos<\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">a:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>gestionar capacidad de inferencia.<\/strong><\/p>\n<\/blockquote>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>CLAVE DE AN\u00c1LISIS \/ 04<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Una organizaci\u00f3n puede no sufrir ninguna filtraci\u00f3n de datos y, sin embargo, exponer demasiada informaci\u00f3n.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No hace falta perder una base de datos para perder privacidad. A veces basta con publicar durante a\u00f1os peque\u00f1as piezas perfectamente leg\u00edtimas que terminan formando una imagen completa.<\/p>\n<\/blockquote>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">75. De-identification stress test<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">En datasets propios o autorizados puede resultar \u00fatil realizar una prueba defensiva:<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso conceptual 1<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Eliminar identificadores directos.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso conceptual 2<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Evaluar atributos restantes.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso conceptual 3<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Determinar cu\u00e1les son altamente singulares.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso conceptual 4<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Considerar informaci\u00f3n p\u00fablica auxiliar.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso conceptual 5<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Estimar riesgo residual.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">NIST SP 800-188 proporciona un marco de referencia espec\u00edficamente orientado a gestionar riesgos de reidentificaci\u00f3n en procesos de desidentificaci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">76. El principio de composici\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">La privacidad de un dato no puede evaluarse completamente fuera del ecosistema en el que existe.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos formularlo:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>El riesgo de un dato es funci\u00f3n tanto de su contenido como de los datos con los que puede combinarse.<\/strong><\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">Esta es probablemente la idea m\u00e1s importante del presente informe.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">77. OIDSEC Exposure Triangle<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Todo riesgo significativo de exposici\u00f3n puede analizarse mediante tres variables:<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">VISIBILITY<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfPuede obtenerse?<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">LINKABILITY<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfPuede relacionarse?<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">CONSEQUENCE<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfQu\u00e9 ocurre si se relaciona?<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una informaci\u00f3n muy visible pero no correlacionable puede generar poco riesgo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una informaci\u00f3n poco visible pero extremadamente correlacionable puede generar mucho.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">78. Recomendaciones estrat\u00e9gicas para direcci\u00f3n<\/h1>\n\n\n\n<h2 class=\"wp-block-heading\">1. Tratar la exposici\u00f3n digital como riesgo corporativo.<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">No como problema exclusivo de redes sociales.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">2. Auditar hist\u00f3ricos.<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La exposici\u00f3n heredada puede superar la actual.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">3. Revisar documentos antes de publicaci\u00f3n.<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Visible + metadata.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">4. Establecer pol\u00edticas de identidad.<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Especialmente en desarrollo y comunicaci\u00f3n.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">5. Mantener inventario de infraestructura.<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Dominios, repositorios y activos.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">6. Aplicar minimizaci\u00f3n.<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Publicar \u00fanicamente aquello que cumple una finalidad.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">7. Evaluar correlaci\u00f3n.<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">No solo elementos aislados.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">8. Implantar un Publication Gate.<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Toda publicaci\u00f3n importante deber\u00eda pasar por revisi\u00f3n.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">9. Medir.<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Sin m\u00e9tricas no existe gobierno.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">10. Repetir.<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La exposici\u00f3n cambia continuamente.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">79. Preguntas para un comit\u00e9 ejecutivo<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Un consejo de direcci\u00f3n deber\u00eda poder responder:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfSabemos qu\u00e9 informaci\u00f3n p\u00fablica existe sobre nuestra organizaci\u00f3n?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfSabemos qu\u00e9 informaci\u00f3n puede inferirse?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfConocemos nuestros dominios y repositorios hist\u00f3ricos?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfRevisamos metadatos antes de publicar?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfNuestros desarrolladores conocen la exposici\u00f3n asociada a commits?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfConocemos qu\u00e9 directivos presentan mayor superficie digital?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfTenemos un procedimiento para reducir exposici\u00f3n?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfMedimos si estamos mejorando?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si la respuesta mayoritaria es negativa:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">la organizaci\u00f3n no controla realmente su huella digital.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Solo controla una parte visible de ella.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">80. Conclusi\u00f3n<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">La identidad digital del siglo XXI no se encuentra almacenada en un \u00fanico lugar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Est\u00e1 fragmentada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una parte se encuentra en nuestras publicaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Otra en los documentos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Otra en nuestros dispositivos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Otra en los servicios que utilizamos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Otra en los repositorios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Otra en la infraestructura.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Otra en el tiempo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Otra en las relaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y una \u00faltima parte \u2014quiz\u00e1 la m\u00e1s importante\u2014 <strong>no existe hasta que alguien decide correlacionar las anteriores<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u00c9sa es la huella invisible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La capacidad de inteligencia de fuentes abiertas ha demostrado que informaci\u00f3n aparentemente trivial puede adquirir un significado radicalmente diferente cuando se incorpora a un contexto anal\u00edtico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero esa misma capacidad obliga a desarrollar una disciplina de prudencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La correlaci\u00f3n puede descubrir.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n puede equivocarse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede verificar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n puede sobreinterpretar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede proteger.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n puede invadir.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La diferencia entre inteligencia profesional y simple acumulaci\u00f3n de informaci\u00f3n reside en:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>m\u00e9todo, proporcionalidad, trazabilidad y juicio anal\u00edtico.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El an\u00e1lisis moderno de exposici\u00f3n debe abandonar definitivamente la pregunta:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\">\u00ab\u00bfQu\u00e9 informaci\u00f3n sobre nosotros aparece en Google?\u00bb<\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">Es insuficiente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La pregunta adecuada es:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>\u00ab\u00bfQu\u00e9 conocimiento puede construir un tercero razonablemente competente cuando combina nuestra informaci\u00f3n visible, nuestros metadatos, nuestra infraestructura, nuestro hist\u00f3rico y nuestros patrones?\u00bb<\/strong><\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">NIST demuestra que eliminar identificadores directos no agota el problema de la reidentificaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El EDPB diferencia claramente pseudonimizaci\u00f3n y anonimizaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El IETF reconoce la correlaci\u00f3n y el fingerprinting como problemas fundamentales de privacidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El W3C contin\u00faa desarrollando en 2025 orientaciones espec\u00edficas destinadas a reducir la superficie de fingerprinting de la Web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">ICANN ha transformado adem\u00e1s el acceso a informaci\u00f3n de registro de dominios mediante la transici\u00f3n definitiva de WHOIS a RDAP para gTLD.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Todas estas evoluciones apuntan en la misma direcci\u00f3n:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>la privacidad ya no puede comprenderse \u00fanicamente como control de datos individuales.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Debe comprenderse como <strong>control de relaciones entre datos<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, el activo que debe proteger una organizaci\u00f3n no es exclusivamente su informaci\u00f3n confidencial.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Debe proteger tambi\u00e9n:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">su contexto;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">sus asociaciones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">su hist\u00f3rico;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">sus patrones;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">su capacidad de ser inferida.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El objetivo \u00faltimo no consiste en eliminar toda presencia digital.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eso ser\u00eda incompatible con la actividad contempor\u00e1nea.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Consiste en conseguir que esa presencia sea:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>consciente, proporcional, gobernada y resistente a correlaciones innecesarias.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En definitiva:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>La verdadera huella digital no es lo que dejamos en Internet.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Es lo que Internet permite reconstruir a partir de aquello que dejamos.<\/strong><\/p>\n<\/blockquote>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">OIDSEC DIGITAL EXPOSURE MODEL \u2014 RESUMEN<\/h1>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><td>Nivel<\/td><td>Concepto<\/td><td>Pregunta<\/td><\/tr><tr><td><strong>DEM-01<\/strong><\/td><td>Visible<\/td><td>\u00bfQu\u00e9 hemos publicado?<\/td><\/tr><tr><td><strong>DEM-02<\/strong><\/td><td>Metadata<\/td><td>\u00bfQu\u00e9 acompa\u00f1a a lo publicado?<\/td><\/tr><tr><td><strong>DEM-03<\/strong><\/td><td>Correlatable<\/td><td>\u00bfQu\u00e9 puede relacionarse?<\/td><\/tr><tr><td><strong>DEM-04<\/strong><\/td><td>Inferred<\/td><td>\u00bfQu\u00e9 puede deducirse?<\/td><\/tr><tr><td><strong>DEM-05<\/strong><\/td><td>Attributable<\/td><td>\u00bfQu\u00e9 puede atribuirse con suficiente confianza?<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">CHECKLIST EJECUTIVO DE EXPOSICI\u00d3N DIGITAL<\/h1>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Inventario de identidades p\u00fablicas.<\/li>\n\n\n\n<li>Inventario de dominios.<\/li>\n\n\n\n<li>Inventario de repositorios.<\/li>\n\n\n\n<li>Revisi\u00f3n de correo en commits.<\/li>\n\n\n\n<li>Auditor\u00eda de documentos.<\/li>\n\n\n\n<li>Auditor\u00eda de im\u00e1genes.<\/li>\n\n\n\n<li>Revisi\u00f3n de metadatos.<\/li>\n\n\n\n<li>Revisi\u00f3n de activos hist\u00f3ricos.<\/li>\n\n\n\n<li>Evaluaci\u00f3n RDAP.<\/li>\n\n\n\n<li>Evaluaci\u00f3n DNS autorizada.<\/li>\n\n\n\n<li>An\u00e1lisis de identificadores reutilizados.<\/li>\n\n\n\n<li>Revisi\u00f3n de perfiles abandonados.<\/li>\n\n\n\n<li>Evaluaci\u00f3n de correlacionabilidad.<\/li>\n\n\n\n<li>Evaluaci\u00f3n de inferencias posibles.<\/li>\n\n\n\n<li>Aplicaci\u00f3n del \u00edndice DEI.<\/li>\n\n\n\n<li>Priorizaci\u00f3n de remediaciones.<\/li>\n\n\n\n<li>Publication Gate implantado.<\/li>\n\n\n\n<li>Pol\u00edtica de minimizaci\u00f3n definida.<\/li>\n\n\n\n<li>Pol\u00edtica de identidad para repositorios.<\/li>\n\n\n\n<li>Revisi\u00f3n peri\u00f3dica programada.<\/li>\n<\/ul>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">FUENTES PRIMARIAS Y DOCUMENTACI\u00d3N T\u00c9CNICA<\/h1>\n\n\n\n<h2 class=\"wp-block-heading\">National Institute of Standards and Technology \u2014 NIST<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>NIST SP 800-188 \u2014 De-Identifying Government Data Sets.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Referencia para procesos de desidentificaci\u00f3n y evaluaci\u00f3n del riesgo de divulgaci\u00f3n y reidentificaci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">European Data Protection Board \u2014 EDPB<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Guidelines 01\/2025 on Pseudonymisation.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Diferenciaci\u00f3n entre pseudonimizaci\u00f3n, datos pseudonimizados y medidas destinadas a reducir vinculaci\u00f3n con una persona.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Anonymisation \/ Pseudonymisation.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Referencia conceptual actual del EDPB sobre diferenciaci\u00f3n entre ambas t\u00e9cnicas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Guidelines 03\/2026 \u2014 Web scraping in the context of generative AI.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Documento adoptado en julio de 2026 y sometido, en el momento de este informe, a consulta p\u00fablica hasta el 30 de octubre de 2026.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">Internet Engineering Task Force \u2014 IETF<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>RFC 6973 \u2014 Privacy Considerations for Internet Protocols.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Referencia fundamental para conceptos como correlaci\u00f3n, fingerprinting y amenazas de privacidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>RFC 9076 \u2014 DNS Privacy Considerations.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">An\u00e1lisis de implicaciones de privacidad derivadas del sistema de resoluci\u00f3n DNS.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>RFC 8942 \u2014 HTTP Client Hints.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Incluye consideraciones espec\u00edficas relativas al aumento potencial de superficie de fingerprinting.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">World Wide Web Consortium \u2014 W3C<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Mitigating Browser Fingerprinting in Web Specifications \u2014 2025.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Gu\u00eda de la Privacy Working Group sobre fingerprinting activo, pasivo, correlaci\u00f3n y mitigaci\u00f3n de superficie identificable.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">ICANN<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Registration Data Access Protocol \u2014 RDAP.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">RDAP constituye el sistema sucesor de WHOIS para el acceso a datos de registro.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Launching RDAP; Sunsetting WHOIS \u2014 2025.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde el 28 de enero de 2025 RDAP constituye la fuente definitiva de informaci\u00f3n de registro de gTLD en sustituci\u00f3n de WHOIS.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Registration Data Policy.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pol\u00edtica efectiva desde el 21 de agosto de 2025 para partes contratadas.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">GitHub<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Setting your commit email address.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Documentaci\u00f3n sobre asociaci\u00f3n de direcciones de correo con commits y utilizaci\u00f3n de direcciones <code>noreply<\/code> para preservar privacidad.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">ExifTool<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>ExifTool Technical Documentation.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Referencia t\u00e9cnica para lectura y tratamiento de EXIF, GPS, IPTC, XMP y numerosas familias adicionales de metadatos.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">OWASP<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Web Security Testing Guide \u2014 Information Leakage.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Documentaci\u00f3n sobre filtraciones de informaci\u00f3n mediante contenido web y metadatos incorporados en ficheros generados.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">NOTA METODOL\u00d3GICA, \u00c9TICA Y JUR\u00cdDICA<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">El presente documento tiene car\u00e1cter acad\u00e9mico, t\u00e9cnico y defensivo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las t\u00e9cnicas de correlaci\u00f3n e identificaci\u00f3n digital deben emplearse exclusivamente dentro de un marco leg\u00edtimo y proporcional.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La existencia p\u00fablica de determinada informaci\u00f3n no elimina autom\u00e1ticamente las obligaciones legales relacionadas con su tratamiento, agregaci\u00f3n, conservaci\u00f3n o difusi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las evaluaciones destinadas a medir exposici\u00f3n o riesgo deber\u00edan realizarse preferentemente sobre:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">activos propios;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">infraestructura autorizada;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">datasets leg\u00edtimamente accesibles;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">informaci\u00f3n necesaria para la finalidad definida.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando una investigaci\u00f3n pueda afectar significativamente a derechos de terceros, producir perfiles personales o generar atribuciones sensibles, deber\u00e1n extremarse:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">verificaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">minimizaci\u00f3n;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">fundamento jur\u00eddico;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">revisi\u00f3n humana;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">proporcionalidad;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">prudencia en la publicaci\u00f3n.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>OIDSEC \/ OBSERVATORIO DE INVESTIGACI\u00d3N DIGITAL<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>OSINT \u00b7 PRIVACIDAD \u00b7 CIBERINTELIGENCIA \u00b7 IDENTIDAD DIGITAL \u00b7 M\u00c9TODO<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><em>No protegemos \u00fanicamente aquello que sabemos que hemos publicado. Debemos proteger tambi\u00e9n aquello que otros pueden aprender cuando relacionan las piezas.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>La identidad digital contempor\u00e1nea no se construye \u00fanicamente a partir de aquello que una persona publica de forma consciente. Metadatos, direcciones IP, cuentas, dispositivos, repositorios, dominios, patrones temporales y otros indicadores aparentemente inconexos pueden adquirir un valor anal\u00edtico decisivo cuando se correlacionan entre s\u00ed. Este an\u00e1lisis examina c\u00f3mo esa convergencia de evidencias permite reconstruir perfiles, relacionar contextos e inferir informaci\u00f3n que nunca fue expuesta de manera directa, as\u00ed como los riesgos de privacidad, reidentificaci\u00f3n y atribuci\u00f3n que surgen de este proceso.<\/p>\n","protected":false},"author":1,"featured_media":140,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_kad_post_transparent":"","_kad_post_title":"","_kad_post_layout":"","_kad_post_sidebar_id":"","_kad_post_content_style":"","_kad_post_vertical_padding":"","_kad_post_feature":"","_kad_post_feature_position":"","_kad_post_header":false,"_kad_post_footer":false,"_kad_post_classname":"","footnotes":""},"categories":[14],"tags":[],"class_list":["post-139","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-analisis"],"_links":{"self":[{"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/posts\/139","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/comments?post=139"}],"version-history":[{"count":1,"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/posts\/139\/revisions"}],"predecessor-version":[{"id":141,"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/posts\/139\/revisions\/141"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/media\/140"}],"wp:attachment":[{"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/media?parent=139"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/categories?post=139"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/oidsec.es\/index.php\/wp-json\/wp\/v2\/tags?post=139"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}