¿Qué es el cyberwashing en la protección de datos?

Un informe de la Universidad de Monash ha definido el concepto de “cyberwashing”, una práctica que está ganando terreno entre las organizaciones que quieren parecer alineadas con las mejores prácticas de ciberseguridad. El informe identifica una brecha considerable entre lo que las organizaciones afirman y lo que realmente hacen.

Pero, ¿en qué consiste exactamente el cyberwashing? Según el informe, es una forma de inducir al público a error respecto a las medidas reales de ciberseguridad que toma una empresa. El informe de la Universidad de Monash detalla tácticas comunes de cyberwashing: exagerar certificaciones, utilizar lenguaje vago y ambiguo, y no presentar verificaciones independientes de las medidas de seguridad que se afirman tener. Este concepto también se aplica a las prácticas de privacidad de datos.

Uno de los problemas más graves del cyberwashing es el alcance del daño que puede causar. Como esta práctica genera una falsa sensación de seguridad entre los consumidores y dentro de las organizaciones, todos son más vulnerables a violaciones de datos.

Los medios están repletos de noticias sobre grandes brechas de datos en sectores como salud, comercio electrónico o finanzas. Muchas de las empresas afectadas aseguraban priorizar la seguridad de los datos, solo para ser desenmascaradas como casos evidentes de cyberwashing. Incluso después de un incidente, estas empresas agravan la situación al no asumir su responsabilidad, culpando a ciberataques cuando en realidad el problema fue una infraestructura deficiente o la mala implementación de su estrategia de seguridad y privacidad.

Esta falta de transparencia dificulta recuperar la confianza del consumidor —y la de los reguladores—. Las autoridades de control tienden a ser más estrictas con las organizaciones que han engañado al público sobre el origen real de sus problemas de seguridad.

El cyberwashing puede tener consecuencias en varios frentes: financiero, reputacional y legal. Además, socava la confianza en los mensajes de una empresa tras una violación de datos.

Aunque el informe de Monash se enfoca en la ciberseguridad de forma general, hemos visto múltiples ejemplos que también podrían considerarse parte del fenómeno del cyberwashing:

Como parte de una estrategia para evitar el cyberwashing, la gestión del consentimiento y de cookies debe ser un elemento central.

Entonces, ¿qué se puede hacer frente al cyberwashing? ¿Cómo pueden las empresas asegurar cumplimiento y privacidad de forma transparente?

La respuesta comienza con una regulación efectiva. Las organizaciones deben integrar estrategias de gestión de riesgos que incluyan auditorías independientes periódicas, informes honestos sobre su estado de ciberseguridad, y una mayor formación interna sobre estos temas.

También los mecanismos del mercado pueden contribuir. Por ejemplo, el informe de la Universidad de Monash señala que las compañías de seguros pueden “actuar como mecanismos de control”. Es decir, las aseguradoras podrían negar cobertura si descubren que fueron engañadas durante la suscripción del seguro. Solo la amenaza de ese rechazo podría motivar a las empresas a invertir en ciberseguridad real y prácticas de privacidad sólidas.

Dado el alcance potencialmente catastrófico de una brecha de datos o de violaciones a la privacidad, es fundamental que las empresas realicen evaluaciones internas regulares —tanto manuales como automatizadas— y utilicen herramientas que las ayuden a mantenerse en cumplimiento. Las sanciones económicas y legales pueden ser devastadoras, mientras que anticiparse con una cultura de gestión de riesgos basada en la confianza y la transparencia resulta más sostenible y eficaz.