Estrategia nacional para la creación de identidades confiables en el ciberespacio

La Estrategia Nacional para Identidades Confiables en el Ciberespacio ( NSTIC ) es una iniciativa del gobierno de EE. UU. anunciada en abril de 2011 para mejorar la privacidad, la seguridad y la conveniencia de las transacciones en línea sensibles a través de esfuerzos de colaboración con el sector privado, grupos de defensa, agencias gubernamentales y otras organizaciones. ^{[ 1 ]}

La estrategia imaginaba un entorno en línea donde individuos y organizaciones pudieran confiar entre sí porque identificaban y autenticaban sus identidades digitales y las de las organizaciones y los dispositivos. ^{[ 2 ]} Se promovió para ofrecer, pero no exigir, una identificación y autenticación más sólidas, al tiempo que se protegía la privacidad limitando la cantidad de información que los individuos debían revelar. ^{[ 3 ]}

La estrategia se elaboró ​​con la colaboración de grupos de presión del sector privado , incluidas organizaciones que representan a 18 grupos empresariales, 70 grupos asesores federales y sin ánimo de lucro, así como con los comentarios y el diálogo del público.

La estrategia tenía cuatro principios rectores: ^{[ 4 ]}

1. que mejora la privacidad y es voluntario
2. seguro y resistente
3. interoperable
4. Económico y fácil de usar.

El NSTIC describió una visión comparada con un ecosistema donde individuos, empresas y otras organizaciones disfrutan de mayor confianza y seguridad al realizar transacciones confidenciales en línea. En ese mundo imaginario, las tecnologías, las políticas y los estándares acordados respaldarían de forma segura transacciones que van desde anónimas hasta totalmente autenticadas y desde valores bajos hasta altos. La implementación incluyó tres iniciativas:

• El Grupo Directivo del Ecosistema de Identidad (IDESG), la organización liderada por el sector privado que desarrolla el Marco del Ecosistema de Identidad; ^{[ 5 ]}
• Financiar proyectos piloto que, según NSTIC, adoptan y promueven principios rectores; ^{[ 6 ]} y
• El Intercambio Federal de Credenciales en la Nube (FCCX), ^{[ 7 ]} el servicio del gobierno federal de EE. UU. para que las agencias gubernamentales acepten credenciales emitidas por terceros aprobadas bajo el esquema FICAM.

NSTIC se anunció durante la presidencia de Barack Obama, casi al final de su primer mandato, el 15 de abril de 2011. ^{[ 1 ]} Un artículo de revista decía que las personas podrían validar sus identidades de forma segura para transacciones sensibles (como operaciones bancarias o la consulta de historiales médicos) y mantener el anonimato cuando no lo fueran (como al escribir en blogs o navegar por internet). ^{[ 8 ]}

En enero de 2011, el Departamento de Comercio de los Estados Unidos estableció una Oficina Nacional de Programas (ONP), dirigida por el Instituto Nacional de Estándares y Tecnología , para ayudar a implementar NSTIC. ^{[ 9 ]} Para coordinar las actividades de implementación de las agencias federales, la ONP trabaja con el Coordinador de Ciberseguridad de la Casa Blanca , originalmente Howard Schmidt , ^{[ 3 ]} y luego, después de 2012, Michael Daniel. ^{[ 10 ]}

El NSTIC convocó a un grupo directivo liderado por el sector privado para administrar el desarrollo y la adopción de su marco. Este Grupo Directivo del Ecosistema de Identidad (IDESG) celebró una reunión en Chicago del 15 al 16 de agosto de 2012. ^{[ 11 ]} La reunión congregó a 195 miembros en persona y a 315 miembros de forma remota. Se celebraron reuniones plenarias adicionales en Phoenix, Arizona , ^{[ 12 ]} Santa Clara, California , ^{[ 13 ]} y Boston , Massachusetts. Bajo una subvención de 2012 a 2014, Trusted Federal Systems, Inc. fue el organismo administrativo del grupo. ^{[ 14 ]}

El gobierno federal inició y apoyó programas piloto. En 2012, NSTIC otorgó $9 millones a proyectos piloto en el primer año. Por ejemplo, la Asociación Estadounidense de Administradores de Vehículos Motorizados estaba desarrollando una demostración de credenciales de proveedores de identidad comerciales por parte del gobierno del estado de Virginia , incluyendo la verificación segura de identidades en línea con el Departamento de Vehículos Motorizados de Virginia . ^{[ 15 ]} Internet2 recibió alrededor de $1.8 millones para investigación. ^{[ 15 ]} ID.me recibió una subvención de dos años en 2013. ^{[ 16 ]}

En la página web del Grupo de Identidades de Confianza del NIST se puede encontrar información adicional sobre trabajos financiados por este organismo. ^{[ 17 ]}

El NSTIC instó a las agencias del gobierno federal de EE. UU. a adoptar tempranamente el Ecosistema de Identidad previsto en el NSTIC. ^{[ 7 ]} Las agencias tuvieron dificultades para implementarlo en los servicios que prestan interna y externamente. Las barreras técnicas, normativas y de costos dificultaron la aceptación de proveedores de credenciales de terceros acreditados por la iniciativa de Gestión Federal de Identidad, Credenciales y Acceso (FICAM). ^{[ 18 ]}

En respuesta, la Casa Blanca creó un equipo de Intercambio Federal de Credenciales en la Nube (FCCX), copresidido por NSTIC y la Administración de Servicios Generales . El equipo estaba integrado por representantes de agencias cuyas aplicaciones son utilizadas por un gran número de clientes externos. En noviembre de 2012, el Servicio Postal de los Estados Unidos fue seleccionado para gestionar una versión piloto del FCCX y adjudicó el contrato para su desarrollo a SecureKey Technologies, miembro de FIDO Alliance . Dicho contrato se renovó en mayo de 2015. ^{[ 19 ] [ 20 ]}

El Identity Ecosystem Steering Group (IDESG) recibió financiación inicial del NIST en 2010 y desde entonces ha creado una serie de documentos que están disponibles en su sitio web. ^{[ 28 ]} En 2016, introdujeron el Identity Ecosystem Framework (IDEF) Registry ^{[ 29 ]} para la autoevaluación.

La propuesta generó críticas desde que se publicó en forma de borrador en junio de 2010. ^{[ 3 ] [ 30 ]} Gran parte de ellas se centraron en las implicaciones de la propuesta en materia de privacidad.

Poco después de la publicación del borrador, el Centro de Información sobre Privacidad Electrónica (EPIC), junto con otras organizaciones de derechos del consumidor y libertades civiles, envió al comité una declaración en respuesta al borrador de la política NSTIC, solicitando un plan más claro y completo para crear y salvaguardar los derechos y la privacidad de los usuarios de Internet. ^{[ 31 ]} Si bien el director de EPIC, Marc Rotenberg , calificó a NSTIC de "histórica", también advirtió que "... la identidad en línea es un problema complejo y el riesgo de ' robo de identidad cibernética ' con sistemas de identidad consolidados es muy real. Estados Unidos tendrá que hacer más para proteger la privacidad en línea". ^{[ 32 ]}

NSTIC abordó algunas preocupaciones iniciales sobre la privacidad a través de su documento de principios de prácticas justas de información de 2013. ^{[ 33 ]} Las iniciativas posteriores buscaron promover la privacidad. Por ejemplo, la Unión Estadounidense por las Libertades Civiles y la Fundación Electronic Frontier participaron en un comité de privacidad en el IDESG.

• Sitio web oficial