Google Glass a la venta por un día: qué significa

Ayer día 15 de abril, si eras residente en los Estados Unidos y querías gastarte $1500, fue el único día que en podrías haber adquirido libremente las Google Glass. El experimento, destinado supuestamente a estimar la demanda potencial del gadget, parece haberse saldado con relativo éxito, aunque evaluar ese nivel de éxito es algo que solo la compañía puede hacer con exactitud: el modelo blanco se agotó relativamente pronto, pero carecemos de información acerca de cuánto significa exactamente eso en términos de ventas reales.

¿Qué pretende realmente Google planteando un día de venta abierta de su dispositivo? En primer lugar, parece razonable pensar que, ante un dispositivo tan novedoso a un precio como ese, intente tener una cierta evaluación objetiva del potencial de mercado, del número de usuarios dispuestos a gastarse ese dinero. Presumiblemente, alguien que se deja mil quinientos dólares en un dispositivo pretende algo más que probarlo, se supone que hacer un uso relativamente regular del mismo. Y ahí es donde yo, particularmente, no estoy completamente seguro del tema.

Mis pruebas con Google Glass por el momento han consistido en una media hora de primera evaluación en un lugar público, y posteriormente, tres días con el dispositivo en mi poder. Por más que lo he intentado, y a estas alturas resulta difícil dudar de mi vocación de probar artefactos tecnológicos, no conseguí construir un caso de uso exitoso. Me pareció un cacharrito simpático para un uso ocasional, cómodo para algunas cosas, pero no lo suficiente como para usarlo de manera consistente. ¿Es cómodo utilizar Google Glass para salir a hacer ejercicio y tener tus estadísticas al alcance de tus ojos? Sí, indudablemente… ¿pero realmente compensa la incomodidad de llevar eso puesto, frente a simplemente girar la muñeca y ver esos datos en tu smartwatch, o incluso sacar el smartphone del bolsillo? Para mí, francamente, no. ¿Es funcional usar las Google Glass para conducir de un sitio a otro recibiendo indicaciones del GPS? Sí, es funcional… pero no mucho más que llevar ese mismo GPS en el smartphone en el salpicadero, u otro modelo de GPS integrado con el vehículo. Y distrae, distrae bastante, incluso cuando ya tienes bastante interiorizado el manejo de la interfaz. Aparte, por supuesto, de las miradas raras, del cierto mareo o dolor de cabeza tras un uso prolongado, o del peligro de ser considerado un glasshole, que por lo visto puede llegar incluso a la agresión física.

Sinceramente, después de haberlas probado, no tengo claro si, en caso de poder optar a ello, pagaría por hacerme con unas Google Glass. Seguramente sí, pero más por mi personalidad de tipo “lo pruebo todo” que por un convencimiento sobre su utilidad o su valor en el futuro. El producto que vimos surgir como una especie de “locura”, poner una pantalla delante de uno de nuestros ojos para poder acceder en todo momento a información, ha servido para que nos planteemos muchas cosas, posiblemente incluso para incidir en la idea de los wearables como una categoría con un futuro indudable, o para tratar de entender qué pretende Google con su estrategia de hardware, pero a duras penas ha sido capaz de crear una expectativa real. Por el momento, las Google Glass están más en la categoría de producto “pescadilla que se muerde la cola”, para quienes quieren intentar programar aplicaciones para ellas, para quienes quieren ofrecer una imagen asociada a la tecnología, o para hacer pruebas asociadas a los más diversos usos, pero difícilmente un producto para el común de los usuarios (y en ese escalón de precio, presumiblemente menos aún).

¿Son las Google Glass un fracaso como tal? En este momento, las conclusiones que Google puede sacar sobre su día de venta abierta son complejas: incluso si las cifras del día resultan ser un éxito arrollador en modo “me las quitan de las manos”, esa demanda podría representar un tipo de cliente dispuesto a explorar cualquier dispositivo tecnológico prometedor o con expectativas suficientemente recalentadas a golpe de prensa, pero cuya generalización a un público de otro tipo no tengo en absoluto clara. Si por el contrario, el experimento indica que ni siquiera ese segmento de usuarios más afines a la tecnología se pone a hacer cola o colapsa la página web para obtener el dispositivo, parecerá claro que el diseño del producto, sus especificaciones y su precio necesitan aún más trabajo, o simplemente no funcionan.

Mi impresión en este momento es que las Google Glass están muy lejos de ser un producto maduro. Que podrían posiblemente tener éxito asociados a casos muy particulares de profesionales que necesitan información en situaciones puntuales o que quieren compartir lo que están viendo (que no sería como tal un mercado poco interesante), pero más allá de esos usos, poco. Las veo más como un experimento que ha podido tener su relevancia definiendo una categoría, que como un producto real destinado a la venta masiva. Las limitaciones de todo tipo con las que me encontré han hecho que me sintiese mucho más un pionero probando un diseño incipiente, que un usuario evaluando un producto realmente maduro. El diseño, que parecía originalmente brillante, no se revela tan práctico ante un uso habitual. Puede ser que no haya llegado a probar las aplicaciones adecuadas, o que simplemente no las haya evaluado un tiempo suficiente, pero creo que realmente, están aún lejos de ser algo más que un experimento. Interesante, pero experimento al fin y al cabo. Pero por supuesto, me puedo equivocar, como con muchas otras cosas. Veremos a dónde llega el tema.

(Enlace a la entrada original - Licencia)

¿Son ?especiales? las empresas tecnológicas?, artículo en Voces Económicas

Me solicitaron desde Voces Económicas un artículo acerca de la fiscalidad de las empresas tecnológicas, que se publicó hoy bajo el título “¿Son ‘especiales’ las empresas tecnológicas?”

La tesis que defiendo es que el empleo de herramientas fiscales como el “doble irlandés” o el “sandwich holandés” no es en absoluto privativa de empresas tecnológicas, sino que están a disposición de cualquier compañía multinacional con capacidad para llevar a cabo procesos de facturación cruzada, y que si no nos gusta el recurso a este tipo de técnicas agresivas de optimización fiscal, perfectamente legales en la actualidad, lo que hay que hacer es desmontar esas herramientas, no perseguir al que las utiliza.

Un problema, por supuesto, que choca con la soberanía de los países en términos fiscales, y con las estrategias que cada uno de estos países pretende seguir a la hora de posicionarse y desarrollar sus ventajas comparativas en el conjunto internacional.

(Enlace a la entrada original - Licencia)

Ambient awareness: empresas que son todo oídos

Ambient awareness es un término utilizado en las ciencias sociales para describir una forma de conciencia social periférica, una atención al entorno propagado a través de la presencia más o menos constante en medios sociales en la red. Su uso aplicado al desarrollo e implantación progresiva de la web social lo popularizó Clive Thompson en un artículo del New York Times de 2008, “Brave new world of digital intimacy“, en el que describía el modelo de contacto y sensibilidad permanente en el que vivían un numero cada vez mayor de usuarios de redes como Facebook o Twitter.

Aplicado a la empresa, la idea de ambient awareness describe la capacidad de pulsar de manera más o menos constante el estado de opinión de sus clientes a través de las redes sociales, y el desarrollo de los mecanismos adecuados para responder y entablar un diálogo constructivo con ellos.

Cuando las empresas comenzaron a recibir este tipo de menciones a través de las redes sociales, la teoría dominante era que se trataba siempre de mensajes con un componente negativo: que la naturaleza humana llevaba a que una buena experiencia con un producto o servicio fuese calificada de manera rutinaria como “lo normal”, mientras que una mala fuese considerada excepcional y merecedora de una queja pública. También se hablaba de la naturaleza de las quejas a través de las redes sociales como de un tercer escalón en la negatividad del cliente: tras una primera fase en la que el cliente “se comía” el enfado y lo digería consigo mismo, y una segunda en la que lo compartía con su entorno cercano, familiares y amigos, la queja en una red social representaba el equivalente de abrir la ventana y exteriorizar la queja gritándola en público. Precisamente por ese tipo de factores, algunas empresas empezaron a desarrollar sistemas de detección temprana mediante la búsqueda de sus marcas, o abrieron cuentas en las redes sociales para que esas quejas tuvieran un destino, y se dotaron de mecanismos para darles respuesta. Con la normalización del uso de las redes sociales, algunos de esos factores se han modificado: ahora, la reacción de compartir una experiencia en las redes sociales es en muchas ocasiones lo primero que se nos viene a la cabeza, y se han incrementado también las veces en que escogemos compartir algo con connotaciones positivas.

Un caso muy interesante es Iberia. Soy un cliente muy frecuente de la aerolínea, y recientemente, tuve dos momentos de insatisfacción con sus servicios, uno vinculado con el uso de su aplicación para smartphone, y otro con la experiencia de uso de su WiFi en vuelo. En ambos casos los comenté en Twitter en el momento en que sucedieron, y en el segundo, escribí además una entrada al respecto. Y en ambos casos, la reacción de la compañía fue inmediata, mucho más de lo que cabría esperar, y me sorprendió de manera muy positiva.

El primer caso tuvo lugar un martes por la mañana: mi tweet original recibió contestación desde la cuenta de @Iberia en pocos minutos, mediante un mensaje que trataba de indagar si estaba teniendo algún problema y necesitaba ayuda de algún tipo. Una contestación práctica a un problema que, en realidad, no existía: tras haber intentado acceder a mi tarjeta de embarque en una aplicación que habitualmente funcionaba sin problemas y haberme encontrado con que, tras su rediseño, ya no era capaz de hacerlo, había simplemente recurrido a acceder a dicha tarjeta a través del mensaje de correo electrónico que aún mantenía en mi bandeja de entrada. Incómodo, sí, sobre todo si tienes que buscar entre muchos correos, pero con un alcance limitado en términos de criticidad. Mi conversación con la compañía, que hay que resaltar que en ningún caso se debió al hecho de ser mencionada por un usuario con un número elevado de followers en Twitter, sino que forma parte de un uso habitual que puede comprobarse simplemente mirando su timeline (responden a todo el mundo, independientemente de su número de followers, y con un tiempo de reacción verdaderamente rápido), se interrumpió con mi embarque, pero me encontré en breve un mensaje en el que se me proponía una reunión para discutir cuestiones de usabilidad relacionadas con la nueva app, en una demostración más de que el uso de Twitter no se limita a un departamento aislado, sino que trasciende otros estamentos de la compañía.

El segundo caso se produjo un sábado, muy temprano, coincidiendo con la llegada de mi vuelo a Madrid. La gestión de la cuenta de Twitter de Iberia no es un servicio interno, está subcontratado con una agencia que lo lleva a cabo, como ya hemos comentado, con notable brillantez, pero que únicamente trabaja en días de semana y con un horario determinado. A pesar de ello, mi queja fue respondida en unas tres horas, y no a través de Twitter, sino en forma de un SMS enviado por el Director de Experiencia de Cliente de la compañía, que se había preocupado de obtener mi número de móvil. Una prueba clara de que la idea de ambient awareness a la que nos referíamos no se limita a un simple departamento subcontratado, sino que se ha convertido en todo un elemento de la cultura. En una empresa de gran tamaño, que durante una buena parte de su historia fue una compañía pública con mentalidad funcionarial, y sometida a un clima a una situación laboral como mínimo calificable de “compleja”, un elemento que me parece muy interesante: acostumbrarse a estar tan pendientes de lo que dice la red, como para conseguir contestar a una queja de un cliente con tu sistema de atención al cliente de Twitter cerrado, y un sábado por la mañana temprano. Muy pocas empresas son, a estas alturas, capaces de hacer algo así. Hablamos de sistemas que no se asientan tanto en estructuras preparadas para ello, sino ya en una cultura de uso, en un sistema de valores que pone la atención al cliente en otro nivel. Y algo que, sea cual sea la opinión que podamos tener de la compañía y de sus servicios, me parece digno de ser valorado y reseñado.

¿Está tu compañía a ese nivel? ¿Te imaginas a uno de tus primeros directivos preocupándose un sábado por la mañana de obtener el número de móvil de un cliente para comunicarse con él y ponerse a su servicio para aclarar una queja? Si la respuesta es no, ponte a trabajar. La respuesta no es solo tecnológica, hay otros elementos, y muchos de ellos son puramente culturales, de esos que terminan por diferenciar a las compañías. No lo dudes: en los tiempos que vivimos, vale la pena invertir en algo así.

(Enlace a la entrada original - Licencia)

Directivos, fantasmas del pasado y puertas giratorias

El caso de Brendan Eich, forzado a dimitir de su puesto como CEO de Mozilla Corporation tan solo once días después de su nombramiento por haber donado mil dólares a la causa contra los matrimonios del mismo sexo en el año 2008, es una impresionante ilustración de hasta qué punto los directivos, en la era de la web social, pueden llegar a ser esclavos de su pasado.

Sin duda, Brendan Eich es una persona con capacidades demostradas para su trabajo y su evolución profesional: desarrollador de gran prestigio, creador del lenguaje JavaScript y cofundador de la organización que aspiraba a liderar, contaba con la aprobación del Consejo de Administración que le nombró, que también conocía el episodio de aquella donación. Sin embargo, la situación generada por su nombramiento escaló rápidamente hasta hacerse insostenible y obligar a su dimisión.

¿Realmente merecía Eich ser obligado a dimitir? Es una discusión compleja, pero la realidad es que, en este ámbito, las opiniones cuentan muy poco: lo importante es que, por la razón que sea e independientemente de la cualificación profesional del individuo, su presencia podía dar lugar a muchos más efectos negativos que positivos para la organización que pretendía liderar. A pesar de las moderadas disculpas públicas del personaje, las amenazas de dimisión y boicot de múltiples trabajadores, usuarios y empresas presagiaban un auténtico desastre de relaciones públicas en caso de que el recién nombrado CEO continuase en su puesto, y todo ello en el contexto de una compañía que depende en gran medida de las donaciones y la empatía personal para su supervivencia. El caso es sin duda complejo, y será seguramente objeto de estudio por futuras generaciones de estudiantes en muchas escuelas de negocios.

Ahora, cuando todavía no se han apagado las reacciones al caso Eich, viene Dropbox y anuncia el nombramiento de Condoleezza Rice, ex-secretaria de Estado durante la administración Bush, como miembro de su Consejo de Dirección. Durante su etapa en la política, Rice fue una de las personas más implicadas en el desarrollo de programas de espionaje de la población sin ningún tipo de control judicial, lo que, entre otras cosas, ha dado lugar a fuertes reacciones de protesta a su nombramiento en la red. Sitios como Drop Dropbox recogen los “méritos” de la ex-secretaria de Estado e invitan a los usuarios a cancelar sus cuentas en la compañía si no cambia su decisión. La compañía, por el momento, ha defendido su decisión de invitarla a formar parte de su Consejo en función de su fuerte proyección internacional, pero si la reacción persiste y empiezan a llegar cancelaciones,no sería extraño que se viese obligada a rectificar.

El caso de Condoleezza Rice nos lleva a pensar en una de las cuestiones que, tristemente, se han hecho más habituales en las relaciones entre el mundo de la política y el corporativo, la llamada revolving door, o puerta giratoria: que altos cargos públicos pasen a trabajar en empresas privadas, beneficiándose de su anterior ocupación pública y produciendo conflictos de interés entre la esfera pública y la privada. Sin duda, una constante cada vez más habitual en la escena política de muchos países.

El desarrollo y popularización de la web social tiene dos características: por un lado, funciona como un refuerzo de la memoria colectiva y una fuente de información permanente sobre las personas, un “turbio pasado” que pasa a estar muchísimo más disponible ahora que en los tiempos en los que era preciso recurrir a las hemerotecas y a las labores de investigación periodística. Por otro, disminuye de forma clara las barreras al activismo y al desarrollo de acciones de protesta: reacciones que hace algunos años no habrían llegado a ser leves protestas diseminadas de boca a oreja y con un alcance relativamente limitado, se convierten ahora en noticias que circulan de manera rápida entre medios de comunicación online, en páginas web informativas que muestran los argumentos de la protesta y las acciones de protesta solicitadas, y en un ruido mediático insoportable y omnipresente en redes como Twitter o Facebook. Hoy, la presión que sufre cualquier empresa ante una decisión impopular es inmensamente más elevada que antes de que la web social se elevase a los altares de la popularidad, y también lo es la capacidad de la empresa para intentar medir y evaluar esa presión. El resultado es que, cuando no se gestionan adecuadamente, esas reacciones pueden conllevar en muchos casos un verdadero perjuicio a la imagen de la compañía que puede durar mucho tiempo o redundar en pérdidas económicas directas y medibles, desde bajas de clientes hasta problemas derivados de la impopularidad o de dar lugar a una imagen generadora de antipatía.

¿Verán las empresas en el futuro cómo la decisión de incorporar a ex-políticos como manera de pagar los favores recibidos cuando estos estaban en puestos de responsabilidad se convierte en amenazas de abandono y boicot por parte de sus clientes? A la vista de casos como los anteriormente citados, un escenario así no puede descartarse en absoluto. Y el análisis que es preciso hacer, claro está, independientemente del schadenfreude o la alegría por el sufrimiento o la infelicidad ajena tan habitual en el caso de políticos o altos cargos directivos, es hasta qué punto es bueno para la sociedad que esto sea así.

Para un directivo o un político, la web social se convierte cada día más en un arma fundamental para intentar explicar ciertos temas, para disculparse cuando sea preciso hacerlo, o para tratar de mostrar una imagen humana, próxima y transparente, un trato directo que pueda servir para desactivar amenazas de este tipo ante la eventualidad de que puedan surgir. Yo, por el momento, voy a incluir ambos casos en un curso que estoy preparando para directivos del sector público. Ya os contaré conclusiones…

(Enlace a la entrada original - Licencia)

Internet como estado policial, colaboración en El Mundo

Vicente Lozano, de El Mundo, me pidió una tribuna de opinión sobre la sentencia de Estrasburgo acerca de la protección de datos personales, un tema que ya toqué en una entrada anterior. Intenté, sobre todo, explicar por qué la retención de datos no ayuda en el control del crimen y la delincuencia, y hasta qué punto es comparable a crear una sociedad en la que un policía vigila constantemente todos tus actos. No, en la red no vale todo. Lo que tiene que ocurrir es que en la red valgan las mismas cosas y se apliquen las mismas leyes y sentido común que fuera de ella.

Se publicó ayer viernes, a página completa, bajo el título “Internet como estado policial“.

A continuación, el texto completo de la tribuna:

 

Internet como estado policial

Hace pocos días, una sentencia del Tribunal de Justicia de la Unión Europea invalidó una directiva que obligaba a los proveedores de acceso a internet y a muchas empresas que ofrecían servicios en la red a retener todos los datos sobre sus usuarios durante un largo período de tiempo, con el fin de facilitar posibles investigaciones policiales.

La directiva de retención de datos fue, en su momento, una norma muy polémica.  Alemania, por ejemplo, la declaró anticonstitucional en el año 2010, después de que más de treinta y cinco mil personas, la mayoría simples usuarios individuales, participasen en el que fue el mayor recurso presentado en la historia del Constitucional contra una decisión del legislativo.

¿Qué pretendía la directiva de retención de datos? Amparándose en la posibilidad de que internet sirviese para que se desarrollasen en ella cuestiones que generaban un rechazo  universal, como el terrorismo o la pornografía infantil, decretaba una especie de "estado policial" en el que todo lo que hacíamos en la red era almacenado "por si acaso", por si en algún momento era preciso investigarlo. Para ello se apoyaba en los proveedores de acceso, en las empresas de telecomunicaciones y en otros que ofrecían servicios en la red, a los que obligaba a almacenar en sus sistemas todas las acciones de sus usuarios: con quién se comunicaban, qué dirección IP manejaban en cada momento, qué páginas visitaban, etc.

Ese recurso a los "jinetes del Apocalipsis" en busca de apoyo para generar estados de control es muy habitual en la clase política y en los lobbies que pretenden influir sobre la misma: pintar internet como un lugar siniestro en el que tienen lugar todo tipo de crímenes malévolos es algo que explota el miedo primigenio a lo desconocido, que proporciona un argumento fácil para que cualquier político poco informado tome decisiones que favorezcan al lobby de turno, o para que cualquier ciudadano ignorante las aplauda pensando que se toman por su bien.

En realidad, el planteamiento de la directiva de retención de datos era algo tan demencial como que a todos los ciudadanos que circulan por la calle les asignasen un policía para que los siguiese a todas horas y apuntase muy detalladamente todas sus acciones, por si acaso en algún momento era preciso investigar algún delito. ¿Le parece una locura? ¿Un estado policial? Pues es exactamente lo mismo.

¿Qué ocurre cuando existen sospechas de una posible acción delictiva? Básicamente, que el denunciante las manifiesta ante un juez, y que este juez puede decretar medidas de vigilancia. Puede pedir a la policía que lleve a cabo algún tipo de vigilancia del sospechoso, puede solicitar que se intercepten sus comunicaciones por diversos medios, u otras medidas que puedan resultar útiles en el esclarecimiento de los posibles hechos denunciados. Lo que resulta fundamental entender es que este tipo de acciones de vigilancia se establecen de manera excepcional, sobre aquellas personas sobre las que existen sospechas fundadas, y mediante un procedimiento en el que resulta fundamental el criterio de un juez.

Lo que sin duda no nos parecería de recibo sería que esas medidas de vigilancia se desarrollasen de manera rutinaria sobre todos los ciudadanos, simplemente "por si acaso" resultan ser delincuentes. Entre otras cosas porque la privacidad, el secreto de las comunicaciones o el no ser sometido a una vigilancia injustificada forman parte de eso que denominamos derechos fundamentales.

En la práctica, además, la retención de datos no sirve para nada: genera una inmensidad de información cuyo análisis supone un reto enormemente complejo, impone costes injustificados e injustificables a los proveedores de acceso y servicios en la red, y lleva a que los verdaderos delincuentes, una vez en conocimiento de que esta vigilancia se está llevando a cabo, desarrollen su actividad por otras vías. Al final, lo único que recopilan ese tipo de sistemas es la información de personas que, simplemente, no son delincuentes, y no estaba en ningún caso justificado someter a vigilancia alguna.

La caída de la directiva de retención de datos, además de poner un poco de cordura en la forma de entender la red que tenemos como sociedad, nos permite comprobar algunos de los efectos de vivir en lo que ya se ha dado en llamar "la era post-Snowden". Que una persona haya tomado la decisión de, arriesgando su vida y su carrera profesional, convertirse en el que revela y denuncia las prácticas de gobiernos dispuestos a construir toda una sistemática de Gran Hermano para vigilar a todos los ciudadanos. Gracias a Snowden podemos saber hoy que determinados gobiernos, bajo la supuesta excusa de proporcionarnos seguridad, estaban creando un sistema que obviaba completamente nuestros derechos fundamentales y nos trataba como sospechosos aunque no hubiésemos nunca hecho nada malo ni nos hubiésemos planteado hacerlo. No, la vigilancia sistemática es completamente injustificable, y Edward Snowden es, sin duda, la persona que más ha hecho recientemente para hacerse acreedor al Premio Nobel de la Paz.

Ante un nivel de vigilancia semejante, lo que menos se puede pensar es eso de "como no hago nada malo, no tengo nada que temer". Es precisamente esa vigilancia injustificada la que nos expone a peligros: desde los propios problemas de seguridad inherentes al almacén de esa información, a posibles interpretaciones erróneas y falsos positivos derivados de un análisis más o menos rayano en la paranoia. Repetimos: almacenar los datos de todos los ciudadanos por si acaso nunca contribuyó al esclarecimiento de los delitos, y prohibir dicho almacenamiento no impide en modo alguno que esos delitos se puedan investigar convenientemente.

¿Y cuando son las propias empresas las que retienen datos del usuario? En principio, todo aquello que firmemos, aunque sea en un contrato que nunca leemos y al que respondemos con la mayor mentira de la red, el "I agree", y a lo que nos sometamos voluntariamente sigue siendo igual de legal que antes. Como usuarios, tomamos libremente decisiones de uso, y lo que sí debemos vigilar es que la empresa en cuestión no nos exija cosas que vayan en contra de la ley o que puedan poner en peligro nuestros derechos fundamentales. La discusión legal sobre el período de tiempo que una empresa puede retener datos de sus usuarios es interesante y relevante, pero tiene poco que ver con esto. Frente a empresas que puedan abusar, estará siempre la respuesta del mercado y, eventualmente, la protección de la ley. La directiva de retención de datos no era un abuso corporativo: era un abuso del propio estado. Una forma de poner toda la red bajo sospecha.

Por supuesto, no se trata de reclamar que "todo valga": es muy posible que detrás del porno en la red se escondan mafias que explotan a mujeres o a niños, del mismo modo que tras una petición de datos puede existir una sospecha fundada de terrorismo. En realidad, se trata de reclamar para la red la aplicación de las mismas leyes y la misma lógica que rige fuera de la misma.

No existe ningún miedo, por rechazo universal que pueda generar, que justifique que vivamos en un estado policial en el que todo lo que hacemos está sujeto a vigilancia constante. Como bien decía Benjamin Franklin, "aquellos que renuncian a una libertad esencial para comprar un poco de seguridad momentánea, no merecen ni libertad ni seguridad". Ni en la red, ni fuera de ella. Pocas cosas pueden hacer más daño a la sociedad que los temores injustificados. Piénselo.

(Enlace a la entrada original - Licencia)

By the book, mi columna de esta semana en Expansión

Mi columna de esta semana en el diario Expansión se titula “By the book“ (pdf), y hace referencia a esas empresas en las que la tendencia es a regularlo todo hasta el límite: procedimientos internos y externos, normativas rígidas y todo tipo de cuestiones destinadas supuestamente a generar orden y a reducir posibles abusos, pero que en la práctica se convierten en rigideces que dan lugar a situaciones completamente subóptimas y absurdas.

Cada día veo más empresas de este tipo, en las que que la burocracia y la normativa parece escrita en piedra, e interfiere con lo que serían formas razonables de hacer las cosas, con lo que el sentido común debería dictar, con lo que un directivo podría decidir amparado por su buen juicio. En un entorno progresivamente más rico en información y con procesos de comunicación que supuestamente son cada vez más ágiles, no tiene ningún sentido convertir las empresas en una especie de ministerios en los que perdemos grados de libertad en función de procedimientos cada vez más rígidos. Las empresas “by the book”, y sobre todo, los directivos con tendencia a hacerlo todo “by the book” son propios del siglo pasado, y la lógica de un mundo cada día más conversacional y flexible hace que estén abocados a la extinción.

A continuación, el texto completo de la columna:

 

By the book

El desarrollo de un entorno en el que la información resulta cada vez más accesible y analizable choca cada día más con una tendencia habitual en muchas empresas: el recurso a sistemáticas y parámetros marcados de forma completamente rígida. Como diría un anglosajón, "by the book", "según la norma".

La tendencia a marcar normas rígidas fue muy popular en las empresas a finales del siglo pasado: una cultura de excesos propia de épocas de abundancia, y una presión cada vez mayor por el ahorro y los resultados llevó a procedimientos para, por ejemplo, el reporte e imputación de gastos, la asignación de recursos, o mil cosas más. Había que evitar el abuso, controlar el gasto, sometiéndolo todo a una disciplina prusiana.

Externamente, lo mismo: este es mi precio, estas son mis ofertas, este es mi margen de negociación. Es lo que hay. Si me sacas de aquí, la respuesta será no.

¿Dónde está el problema? En primer lugar, en que cada día más, tanto empleados como clientes son diferentes. No quieren ser tratados "democráticamente" o "como iguales". Lo que quieren es ser tratados individualmente. El valor de un cliente o de un empleado puede ser muy distinto. Las empresas deberían ser suficientemente flexibles como para reconocerlo y saberlo gestionar.

Pero además, hay un problema más grave: ¿para qué queremos directivos con una formación potente, si no les dejamos tomar decisiones, si tienen que actuar "by the book"? ¿Por qué un directivo preparado debe actuar como si fuera un teleoperador siguiendo un guión?

En un entorno rico en información y en herramientas analíticas, la cultura del "by the book" tiene los días contados. Las empresas que no sepan plantear procedimientos flexibles,  internos y externos, estarán destinadas a desaparecer.

(Enlace a la entrada original - Licencia)

Algunas conclusiones mirando más allá de Heartbleed

Sobre Heartbleed, sin duda uno de los fallos de seguridad más importantes descubiertos en la historia de internet, ya han corrido ríos de bits, y en cualquier caso, deberíais buscar información en páginas de referencia en seguridad, no en la mía. La seguridad no es tema para especulaciones o para opiniones ligeras o no expertas. Sin embargo, el análisis de la cuestión sí puede dar para algunas conclusiones interesantes, sobre todo sobre la naturaleza de la red y de las actividades que desarrollamos en ella.

Hablamos de una vulnerabilidad descubierta en la capa de cifrado y autenticidad de OpenSSL, un desarrollo de código abierto instalado en dos de cada tres servidores, de los cuales un porcentaje relativamente importante utilizan la versión afectada. En la gestión de conexiones cifradas o seguras existe un procedimiento, el heartbeat, que el servidor utiliza para verificar que la conexión debe mantenerse abierta tras haber llevado a cabo el intercambio de claves o handshake. Simplemente, una manera de evitar el cierre de esa conexión y la necesidad de volver a llevar a cabo el proceso de negociación de claves.

El problema surge cuando un error, aparentemente espontáneo, en el código que especifica cómo se desarrolla ese heartbeat, permite que un atacante conocedor del mismo pueda acceder a 64kB de la memoria del servidor, lo que permite que a base de sucesivas llamadas, alguien pueda acceder a muchísima información de la memoria de un servidor en pedacitos de 64kB. En esa memoria puede haber absolutamente de todo: cuentas de usuarios con sus contraseñas, claves privadas de los certificados digitales de los servidores… cualquier cosa, dado que todo pasa en algún momento por la memoria del servidor. Grave no, gravísimo, si pensamos que se trata de un fallo que lleva ahí mucho tiempo (la vulnerabilidad existe desde el 31 de diciembre de 2011, y el uso del código afectado se extendió a partir de la release de la versión 1.0.1 de OpenSSL, el 14 de marzo de 2012), y que afecta a servicios que utilizamos todos. Además de su posible uso por delincuentes, que aunque posible, no parece especialmente extendido, es muy posible que estemos hablando de vulnerabilidades que hayan sido utilizadas de manera sistemática por agencias de seguridad con el fin de acceder a información cifrada, en línea con algunas de las cuestiones reveladas por Edward Snowden con respecto a la capacidad de la NSA para penetrar servidores cifrados.

Aparte de recomendar que antes de llevar a cabo cualquier transacción te asegures, con alguno de los muchos tests que han sido ya desarrollados, de que el servidor en el que pretendes llevarla a cabo ha sido objeto de la correspondiente actualización que evite ese peligro, y de que estés atento a las recomendaciones de cambio de contraseña de los servicios que uses habitualmente (posiblemente no sea una mala idea empezar a utilizar alguna de esas aplicaciones de gestión automatizada de contraseñas), mi reflexión, sin embargo, va un poco más allá, y es sobre la naturaleza de esta red que utilizamos.

Sin duda, la red tiene vulnerabilidades, peligros y problemas de diversos tipos. Todo lo que hacemos en nuestra vida, desde caminar por la calle hasta bebernos una copa, está sujeto a vulnerabilidades, peligros y problemas de diversos tipos. En el caso de la red, además, estamos hablando de cuestiones de indudable complejidad, que se apoyan en tecnologías desarrolladas por infinidad de personas, en muy distintos tipos de regímenes diferentes. Hay tecnologías que fueron, en su momento, desarrolladas por empresas. Otras muchas, sin duda mayoritarias, lo fueron por programadores, a veces solos, a veces en grupos, a veces simplemente voluntarios, que contribuyeron con funciones que, a partir de ese momento, fueron siendo adoptadas en función de su utilidad. Una gran parte de las piezas sobre las que se asienta el uso cotidiano que hoy hacemos de la red provienen de ese tipo de orígenes.

Generalmente, asumimos que los fallos en el código son tanto más aparentes y fáciles de corregir cuanto más abierto es este, cuantos más ojos están en disposición de examinarlo. En este caso, hablamos de un fallo que nadie miró, o que quienes lo descubrieron, prefirieron mantenerlo en secreto, a modo de “llave maestra” que les permitía acceder a sitios de manera irregular. El equivalente en el mundo offline podría ser cuando, por ejemplo, se revela de repente que un componente utilizado en la cadena alimentaria ha podido estar generando problemas de salud para quienes lo ingerían: posiblemente alguien lo intuía, tal vez algunos lo han ocultado para así ganar más dinero, y algo que utilizábamos con toda naturalidad nos ha podido estar perjudicando. Pero con toda su gravedad… es algo que ocurre con relativa frecuencia.

La red no es tan distinta del resto de las herramientas que utilizamos los humanos. Simplemente, basa su enorme éxito en el hecho de ser abierta, de que cualquiera puede desarrollar código para plantear utilidades y funciones sobre esa plataforma, y que eso la dota de un dinamismo y una adaptabilidad brutal, que ha permitido que llegue a ser lo que hoy es. Posiblemente, deberíamos replantearnos hasta qué punto retribuimos y cómo a todas esas personas que desarrollan esas funciones que posteriormente terminamos utilizando todos, y que simplemente decidieron no darle un desarrollo comercial. Ese procedimiento, el desarrollo constante de piezas por actores de todo tipo, es susceptible de tener fallos. Esos fallos pueden ser más o menos graves, en ocasiones llegan a parecer de alguna manera enmiendas a la totalidad, pero no inhabilitan lo principal: que esa característica de la red, el estar construida a retales por infinidad de personas con todo tipo de motivaciones y objetivos, es precisamente donde radica su principal fortaleza.

Heartbleed no es la primera vulnerabilidad seria que se descubre, ni será la última. En la red siempre tendremos la impresión de que muchas de las cosas que utilizamos y damos por sentadas están sujetas con palillos pinchados en un corcho y con alambres hechos con clips retorcidos. Tras la revelación de la vulnerabilidad, toca examinar nuestros procedimientos, revisar hasta qué punto podemos haber sido afectados, y aprovechar para replantearnos algunas de nuestras prácticas comunes buscando reforzar su seguridad. Pero no dejemos que el tremendismo nos oculte la gran verdad: la red tiene peligros y problemas exactamente igual que lo tienen todos los sistemas y herramientas desarrollados por el ser humano. Lo que tenemos que seguir haciendo es trabajar con ellos, descubrirlos, aislar y responsabilizar a quienes los conocían y explotaban pero no los revelaron, y pensar que sobre esa característica de la red, su caos y su desorganización, se edifica una gran parte de su grandeza.

(Enlace a la entrada original - Licencia)