Este año se celebra el quinto aniversario de la Iniciativa Global de Transparencia (GTI, por sus siglas en inglés) de Kaspersky, el programa de la compañía que tiene como objetivo establecer un punto de referencia en la industria para hacer frente a los riesgos de la cadena de suministro. Dado que la actitud general con respecto a los riesgos asociados al uso de software de terceros es cada vez mayor y que las empresas y los organismos reguladores están más interesados en saber hasta qué punto es seguro el software que utilizan, Kaspersky anuncia sus planes para seguir ampliando la iniciativa mediante el crecimiento de su red de Centros de Transparencia en todo el mundo y la ampliación de las opciones de revisión del código fuente.

La demanda de una mayor confianza digital es cada vez más habitual, con hitos importantes marcados por la aparición de normativas como la propuesta de Ley Europea de Ciberresiliencia. Esta última ha planteado cuestiones sobre los criterios para poner a prueba los productos digitales y las medidas para verificar su cumplimiento, con una demanda de marcos universales basados en generar confianza.

Con el objetivo de poner de relieve la fiabilidad de las soluciones de Kaspersky y promover normas de transparencia en el sector de la ciberseguridad en su conjunto, la GTI se ha ido desarrollando y ampliando, y la inversión total de la empresa en el proyecto ha ascendido a 7,9 millones de dólares desde su lanzamiento. En la actualidad, la GTI abarca seis pilares principales, a saber, reubicación de datos, apertura de Centros de Transparencia en todo el mundo, auditorías independientes periódicas, programa de gestión de vulnerabilidades, programa educativo de creación de capacidades cibernéticas e informes de transparencia.

La necesidad cada vez más imperiosa de saber si el software que se utiliza es de confianza es la razón de ser de GTI, cuyo objetivo es promover estándares de transparencia en la industria de la ciberseguridad. Se trata de una iniciativa que ha evolucionado con el paso de los años y en la que Kaspersky ha invertido 7,9 millones de dólares (unos 7,2 millones de euros) desde su lanzamiento hace un lustro. GTI está conformado por seis pilares: la reubicación de datos, la apertura de Centros de Transparencia en todo el mundo, las auditorías independientes y regulares, el programa de gestión de vulnerabilidades, el programa educativo de desarrollo de capacidad cibernética y los informes de transparencia.

Una de las primeras acciones de GTI fue la reubicación de los datos relacionados con amenazas cibernéticas recibidos por los usuarios de productos de Kaspersky a centros de datos en Suiza, reconocidos por su fuerte protección y neutralidad. En la actualidad, los datos de los clientes de Kaspersky en Europa, Norteamérica, Latinoamérica, Oriente Medio y también varios países de la región de Asia y el Pacífico se almacenan y procesan en dos centros de datos ubicados en Zúrich.

"En Kaspersky siempre nos hemos tomado muy en serio la forma en que protegemos los datos de los usuarios. Para garantizar la seguridad de esta información hemos seguido un enfoque integral, haciendo que nuestra gestión de datos cumpla con los principales estándares de la industria", explica Anton Ivanov, director de tecnología de Kaspersky. "También invitamos a auditores externos para que realicen verificaciones y seleccionamos instalaciones que cumplen con los estándares de la industria para el almacenamiento y procesamiento de datos. Con esta visión holística, damos a los usuarios de los productos de Kaspersky una total tranquilidad en torno a la seguridad y la privacidad de su información".

En paralelo a la reubicación de los datos, Kaspersky trabaja en su red de Centros de Transparencia, donde socios, clientes y expertos gubernamentales en ciberseguridad pueden verificar la integridad de las soluciones de la compañía revisando el código fuente y ver en primera persona cómo son los procesos internos de la compañía. La empresa ha abierto ocho centros más en Europa, Norteamérica, Latinoamérica y también en Asia-Pacífico. Hasta la fecha, Kaspersky ha organizado 60 sesiones informativas en sus Centros de Transparencia en todo el mundo, con la visita de reguladores y empresas de todo el mundo.

Ahora, Kaspersky anuncia que expandirá su red de Centros de Transparencia a mediados de 2024 a Medio Oriente y África, abriendo sus primeras instalaciones de este tipo en la región, además de abrir otro en Asia-Pacífico. Estas tres nuevas instalaciones informarán sobre las prácticas internas de ingeniería y gestión de datos de Kaspersky y también sobre los estándares y las mejores prácticas para la industria.

Kaspersky también ha ampliado su revisión de código fuente en sus Centros de Transparencia. Antes solo ofrecía el código de sus principales productos corporativos y de consumo, pero a partir de julio de 2023 la empresa eliminará las limitaciones a este respecto y pondrá a disposición de sus clientes empresariales el código fuente de todas sus soluciones locales. La decisión se produce por el aumento del interés de los clientes en revisar el código de otros productos de Kaspersky. Otra novedad será la publicación de los resultados de la autocertificación de los productos de la compañía en base a las recomendaciones descritas en la propuesta de la Ley Europea de Ciberresiliencia.

"Cuando Kaspersky lanzó su Iniciativa de Transparencia Global fue pionera en promover la confianza digital y la responsabilidad de los proveedores ante sus clientes", comenta Yuliya Shlychkova, directora de Asuntos Públicos de Kaspersky. "Hoy, vemos que la transparencia es cada vez más demandada por organizaciones de todo el mundo, que adoptan una actitud más madura hacia su protección cibernética, prestando más atención a la seguridad de sus proveedores de software. Kaspersky es una empresa visionaria, que se anticipa al desarrollo de la industria y las tendencias futuras", concluye.

GTI también incluye:

Auditorías periódicas de terceros para verificar la seguridad de las soluciones de Kaspersky. Desde 2019, los sistemas de gestión de datos de la empresa se someten a certificaciones periódicas de acuerdo con la norma ISO/IEC 27001:2013, lo que garantiza la seguridad de la información. Kaspersky realiza regularmente una auditoría SOC 2 a cargo de una empresa independiente para revisar los procesos de desarrollo y la distribución de bases de datos de virus, verificando que se haga de forma segura y con protección contra modificaciones no autorizadas.

Publicación de informes de transparencia con estadísticas sobre las solicitudes de experiencia técnica y datos de usuarios recibidas por parte de gobiernos. En la segunda mitad de 2022, Kaspersky recibió 37 solicitudes de seis países.

Programa Bug Bounty: cualquier persona puede reportar vulnerabilidades críticas o errores encontrados en los sistemas de Kaspersky y obtener una recompensade hasta 100.000 dólares en el caso de las vulnerabilidades más críticas. Desde marzo de 2018, se han abonado un total de 77.450 dólares en recompensas.

El Programa de Creación de Capacidad Cibernética (CCBP) está diseñado para ayudar a las organizaciones a desarrollar mecanismos y habilidades para las evaluaciones de seguridad de los productos TIC. Desde 2020, seis organismos gubernamentales han formado parte de este programa