Cuando usted participa en una reunión en línea, ciertos aspectos deben alertarle sobre su nivel de seguridad. Los riesgos del espionaje por videoconferencia son importantes.

En su boletín n.º 91 sobre injerencias económicas, la DGSI (Dirección General de Seguridad Interior) da varios ejemplos de videoconferencias sospechosas que tienen consecuencias para la integridad de la empresa.

Su objetivo es animar a las empresas francesas a extremar la vigilancia durante las reuniones en línea, que a menudo son estratégicas y delicadas. En efecto, los riesgos de injerencia económica, a través de videoconferencias no seguras, son cada vez más importantes. Para evitarlos, las organizaciones deben asegurarse de que sus comunicaciones están bien protegidas.

Principales características de una videoconferencia no segura

Acceso no controlado a la reunión en línea

Algunas videoconferencias son accesibles a través de un enlace de conexión que se puede compartir. Permiten invitar a participantes adicionales en el último momento, pero también pueden dar lugar a la intrusión de personas potencialmente malintencionadas y al espionaje de la videoconferencia. En 2020, la intrusión del periodista holandés Danier Verlaan en una videoconferencia confidencial fue muy sonada.

Para facilitar el acceso a una videoconferencia segura, es posible compartir un enlace de conexión, pero solo si el organizador pueda validar la entrada de los participantes. Para ello, debe comprobar la identidad de la persona antes de permitirle asistir a la comunicación. En caso de duda, siempre es aconsejable rechazar la solicitud o pedir más detalles sobre la necesidad de asistir a la reunión. Sin dicha validación, cualquiera puede conectarse y acceder a la información de la videoconferencia (comunicaciones, archivos, etc.) o difundir mensajes malintencionados.

Flujos de comunicaciones no cifrados

Los intercambios de audio, vídeo o datos pueden ser objeto de espionaje si no están estrictamente protegidos por un cifrado de extremo a extremo. Este sistema de transmisión de datos solo permite al emisor y al destinatario o destinatarios descifrar los datos sin que haya ninguna fase de descifrado entre ellos.

Algunos programas de videoconferencia no europeos se atribuyen este tipo de cifrado, pero están sujetos a normativas extranjeras, como la Cloud Act estadounidense. Esta obliga a los editores a poner a disposición puertas traseras (back doors) en su software para permitir a las autoridades escuchar las comunicaciones en determinadas condiciones. Sin embargo, estas puertas traseras representan un fallo de seguridad y pueden ser descubiertas por piratas informáticos para espiar las comunicaciones.

La DGSI recomienda el uso de soluciones de videoconferencia cifradas de extremo a extremo para evitar el riesgo de espionaje. La tecnología de cifrado de extremo a extremo de Tixeo, certificada y acreditada por la Agencia Nacional Francesa de Seguridad de los Sistemas de Información (ANSSI), impide la escucha de los flujos de comunicación, independientemente del número de participantes en la reunión en línea. Como solución europea y soberana, la tecnología de cifrado de extremo a extremo de Tixeo está sujeta al Reglamento General de Protección de Datos (RGPD).

Comportamiento sospechoso de los participantes

Por último, la amenaza durante una videoconferencia puede ser a veces interna a la empresa. Por lo tanto, es necesario prestar atención a ciertas señales sospechosas procedentes de los participantes. En su boletín informativo, la DGSI aborda el sorprendente ejemplo de una empleada que teletrabaja al cien por cien, que nunca se muestra ante la cámara web y que graba las videoconferencias en las que participa. La captación de información estratégica representa un peligro de espionaje industrial para una empresa. En caso de duda, es importante evitar hablar de temas delicados si la confidencialidad ya no está garantizada.

Las empresas deben proteger sus videoconferencias

Elegir una herramienta de videoconferencia segura

Las empresas francesas son regularmente víctimas de injerencias económicas debidas a fallos de seguridad durante las reuniones en línea, lo que va en detrimento de su soberanía económica.

Por ello, la seguridad de su herramienta de videoconferencia debe ser una de sus principales preocupaciones. Con el trabajo a distancia, las reuniones delicadas se hacen ahora en línea y exponen los datos estratégicos de la empresa.

Tixeo es la única solución francesa de videoconferencia certificada y acreditada por la Agencia Nacional Francesa de Seguridad de los Sistemas de Información (ANSSI) gracias a su cifrado de extremo a extremo. El software es Secure by Design: la seguridad forma parte integrante de su proceso de diseño.Así se evitan los riesgos del espionaje por videoconferencia.

Concienciar a los empleados

Tixeo ayuda a sus clientes y usuarios a proteger sus comunicaciones y datos personales. Una seguridad que también exige una concienciación por parte de los equipos, especialmente cuando se teletrabaja.

Es esencial que los empleados comprendan los riesgos de las videoconferencias no seguras y dominen las mejores prácticas. Para cada reunión en línea, los organizadores y los participantes deben ser capaces de calibrar el nivel de seguridad adecuado y adaptar así su supervisión en consecuencia (verificación de los invitados, cámara web activada para todos, alto nivel de intensidad de las contraseñas, etc.).

En función de lo delicado de la reunión, Tixeo permite activar un nivel de seguridad estándar o máximo. Así, para una reunión confidencial, el organizador puede establecer las condiciones de acceso a la videoconferencia (instalación del software cliente y creación de una cuenta de usuario). Cada participante deberá identificarse antes de acceder a la videoconferencia.

Comunicarse dentro y fuera de la empresa nunca ha sido tan fácil. Sin embargo, la seguridad del software de videoconferencia rara vez se tiene en cuenta y a menudo expone los datos personales de los usuarios.

La urgencia de la protección de datos

El barómetro del RGPD 2022 Data legal drive indica que el 74 % de los profesionales de los datos y la privacidad encuestados consideran que los empleados prestan cada vez más atención a la protección de los datos personales por parte de la empresa.

No es de extrañar si se tiene en cuenta que en 2021, 1 de cada 2 empresas francesas fue víctima de un ciberataque (estudio CESIN). Los ataques informáticos dan lugar generalmente al robo de datos, lo que expone a los trabajadores y socava la estabilidad financiera de las organizaciones.

En las empresas, las herramientas de videoconferencia tratan y transmiten multitud de datos sensibles y confidenciales y se convierten en objetivos prioritarios de los piratas informáticos.

Ausencia de puerta trasera en el software

Algunos de los principales programas de videoconferencia situados fuera de la Unión Europea se rigen por legislaciones extranjeras que permiten, en particular, la escucha de las comunicaciones. Este es el caso de la Ley de la nube (Cloud act), una serie de leyes extraterritoriales estadounidenses que permite a las autoridades obligar a los editores ubicados en Estados Unidos a proporcionar los datos de las comunicaciones electrónicas almacenados en servidores estadounidenses o extranjeros.

Videoconferencia: ¿es imprescindible elegir una solución europea?

Tixeo comprometido con la protección de datos personales

Como solución europea y segura, Tixeo cumple al 100 % el RGPD y sitúa la protección de los datos personales en el centro de sus compromisos. En efecto, sus clientes, que evolucionan en sectores sensibles (defensa, salud, industria, etc.) requieren una herramienta de videoconferencia fiable, con un nivel de seguridad máximo y con todas las garantías para respetar la integridad de los datos personales de sus empleados.

En la guía RGPD de Tixeo, seleccione su perfil de usuario para encontrar toda la información esencial que necesita saber sobre:

• el tratamiento
• la utilización
• el alojamiento
• la conservación
• la protección

de sus datos personales.

Características de una videoconferencia segura

La videoconferencia segura ofrece garantías adicionales para la protección de datos personales. Este es el caso de Tixeo.

Secure by Design: una arquitectura diseñada para la seguridad de los datos

Para garantizar la seguridad, un software de videoconferencia seguro debe ser Secure by Design. En otras palabras, debe tener en cuenta la seguridad desde las primeras fases de su diseño hasta su despliegue. Este proceso permite detectar posibles puntos de fallo en el software en una fase temprana y elaborar soluciones para corregirlos durante su desarrollo.

Por ejemplo, un software de videoconferencia Secure by Design será mucho más robusto que el software de videoconferencia tradicional.

Despliegue que minimiza los impactos en la seguridad 

La utilización de una herramienta de videoconferencia no debe perturbar la seguridad de la red interna de la empresa. Con Tixeo, un software de videoconferencia seguro y Secure by design, solo hay que abrir un puerto para desplegar la solución. De este modo, se preserva la política de seguridad de la red de la empresa. Esto ahorra seguridad y tiempo.

La videoconferencia segura Tixeo incluye cifrado de extremo a extremo a través de un servidor (AES 256), al tiempo que se adapta fácilmente a las variaciones de las redes.

[¿Cómo funciona?] Cifrado de extremo a extremo

Tener en cuenta la ubicación del editor

Cabe señalar que es importante tener en cuenta el criterio de la ubicación del editor de videoconferencias, si el software exige el cifrado de extremo a extremo. De hecho, en algunos países, a veces es imposible cifrar completamente las comunicaciones.

Por ejemplo, desde 2001 en Estados Unidos, la ley Patriot Act obliga a los editores de herramientas informáticas a añadir «back doors» a sus sistemas. Esta puerta trasera es una entrada secreta que permite a las autoridades acceder a los datos del software. Si una entidad malintencionada la descubre, los datos personales pueden verse expuestos.

Videoconferencia: ¿sabe realmente cómo se tratan sus datos personales?

La explosión del teletrabajo y el trabajo híbrido ha generalizado el uso de soluciones de videoconferencia en las organizaciones. Herramientas que implican el tratamiento de multitud de datos personales de los empleados de su empresa.

Proteja a sus empleados y a su empresa

Instalar una solución de videoconferencia en su organización implica tratar los datos personales de todos sus empleados. Estos son de diferente naturaleza e incluyen información sobre sus empleados, pero también sobre su empresa.

Así, en función de las necesidades, los apellidos, nombres o identificadores de usuarios y contraseñas son datos personales que pueden recopilarse, al igual que los títulos de las reuniones, sus fechas o la lista de participantes.

En la mayoría de las organizaciones, especialmente en sectores sensibles, estos datos deben mantenerse estrictamente confidenciales. Por lo tanto, es absolutamente necesario tener una visión clara de cómo se tratan los datos personales.

5 preguntas esenciales

1/ ¿Quién trata mis datos?

El responsable del tratamiento determina los fines y medios del tratamiento de datos personales. El encargado del tratamiento trata datos personales por cuenta del responsable del tratamiento.

En función del uso de sus servicios, Tixeo es responsable del tratamiento de los datos personales o encargado en nombre de sus clientes de la nube.

2/ ¿Para qué se utilizan?

Para los fines establecidos por el responsable del tratamiento y que justifican el uso de los datos personales.

Por ejemplo, Tixeo trata datos personales durante una reunión por videoconferencia para generar un historial de la reunión, necesario para su cliente, y permitir encontrar a los participantes que asistieron a una reunión.

3/ ¿Dónde están alojados?

Se trata de una cuestión esencial, ya que el alojamiento de los datos personales es un factor clave para determinar su nivel de protección.

En efecto, dentro de la Unión Europea, el RGPD excluye cualquier posibilidad de alojar datos personales en el extranjero o de transferir datos a un tercer país sin acuerdo contractual previo.

Fuera de la Unión Europea, la normativa es mucho más flexible. En Estados Unidos, la Ley de la Nube (Cloud Act), una serie de leyes extraterritoriales, permite a las autoridades obligar a los editores ubicados en Estados Unidos a proporcionar los datos de las comunicaciones electrónicas, ya estén almacenados en servidores estadounidenses o extranjeros.

Tixeo aloja todos sus datos en Francia, en OVH, empresa francesa y líder europeo de la nube.

4/ ¿Cuánto tiempo se conservan?

Los datos tratados pueden conservarse durante un periodo limitado. Este debe especificarse claramente.

5/ ¿Qué medidas de protección de datos se aplican?

La conformidad con el RGPD de una solución de videoconferencia es una primera garantía de seguridad.

Tixeo va más allá y adopta una serie de precauciones para maximizar la seguridad de los datos. Entre ellas, el cifrado de los discos duros de los puestos de trabajo del personal que maneja datos personales o la verificación del cumplimiento del artículo 28 del RGPD por parte de los encargados del tratamiento.

En efecto, la seguridad forma parte del ADN de Tixeo: su solución de videoconferencia europea es la más segura del mercado, y cuenta con la certificación y cualificación de la ANSSI.

Descubra cómo trata Tixeo sus datos personales

En esta guía RGPD, Tixeo explica su política de protección de datos personales con total transparencia.

Mientras que el 42 % de los europeos están preocupados por el uso de sus datos personales (según este estudio publicado en 2022), cumplir el Reglamento General de Protección de Datos Personales (RGPD) es una cuestión cada vez más importante para las empresas. En la era de la digitalización del trabajo, este cumplimiento es ahora una verdadera garantía de fiabilidad.

Tixeo, líder europeo en videoconferencias seguras, cumple al cien por cien con el RGPD.

Proteger los datos personales de los usuarios

Cuando se utiliza una solución de videoconferencia dentro de una organización, se recopilan y tratan datos personales.

Este es un ejemplo de datos personales que el proveedor de la solución puede tratar:

• listas de participantes en las reuniones,
• sus nombres y direcciones de correo electrónico,
• los horarios y las fechas de las videoconferencias,
• nombres de usuario o contraseñas.

Incluso antes de utilizar la solución, es posible que ya se hayan recogido datos personales. Por ejemplo, si se ha realizado una prueba o una solicitud de contacto, se han procesado el nombre, la dirección de correo electrónico o el número de teléfono del solicitante.

Por lo tanto, es esencial conocer todas las medidas adoptadas por el editor de videoconferencias para proteger los datos.

Una condición esencial: el origen europeo de la solución

En Europa, el RGPD regula de manera estricta el tratamiento de los datos personales.

En particular, excluye cualquier posibilidad de transferir datos a un tercer país sin un acuerdo contractual previo. El RGPD también exige a los editores que notifiquen toda la información relativa a los datos personales que recogen, como los medios de recogida, los fines, la base legal y el periodo de conservación. Las videoconferencias europeas están sujetas a este Reglamento.

Fuera de la Unión Europea, las soluciones de videoconferencia no están sujetas al RGPD.

La mayoría de los grandes editores, sobre todo los presentes en Estados Unidos, están sujetos a normativas extranjeras, muy flexibles en materia de protección de datos. De hecho, el Cloud Act es una de ellas. Esta serie de leyes extraterritoriales permite a las autoridades, en determinadas condiciones, obligar a los editores ubicados en Estados Unidos a facilitar los datos de las comunicaciones electrónicas almacenados en servidores estadounidenses o extranjeros.

Tixeo ofrece total transparencia en el tratamiento de datos personales

Como operador comprometido con la seguridad de las videoconferencias, Tixeo sitúa la conformidad con el RGPD en el centro de sus compromisos. Es imprescindible que sus clientes, que operan en sectores sensibles y estratégicos, se beneficien de una protección óptima de los datos personales de sus usuarios.

Se aplican todos los medios, especialmente a nivel interno, para garantizar esta protección. Estas medidas incluyen el cifrado de los discos duros de los puestos de trabajo del personal que maneja datos personales y la verificación del cumplimiento de los subcontratistas.

Pero no basta con decirlo

Tixeo pone a disposición de sus clientes y usuarios una guía RGPD pedagógica y de fácil comprensión.

En esta guía, basta con seleccionar su perfil (cliente de Tixeo, probador de la solución, invitado a la videoconferencia, etc.), para acceder, con un solo clic, a toda la información sobre el tratamiento de sus datos personales.