Estudio sobre las tecnologías biométricas aplicadas a la seguridad

100 Pages·2015·0.75 MB·Spanish

Estudio sobre las tecnologías
biométricas aplicadas a la seguridad

OBSERVATORIO DE LA SEGURIDAD DE LA INFORMACIÓN
Estudio sobre las tecnologías biométricas aplicadas a la seguridad Página 1 de 100
Observatorio de la Seguridad de la Información
Edición: Diciembre 2011
El “Estudio sobre las tecnologías biométricas aplicadas a la seguridad” ha sido elaborado por el
siguiente equipo de trabajo del Observatorio de la Seguridad de la Información de INTECO:
Pablo Pérez San-José (dirección)
Eduardo Álvarez Alonso (coordinación)
Susana de la Fuente Rodríguez
Laura García Pérez
Cristina Gutiérrez Borge
Correo electrónico del Observatorio de la Seguridad de la Información: [email protected]

La presente publicación pertenece al Instituto Nacional de Tecnologías de la Comunicación (INTECO) y está bajo una
licencia Reconocimiento-No comercial 3.0 España de Creative Commons, y por ello está permitido copiar, distribuir y
comunicar públicamente esta obra bajo las condiciones siguientes:
• Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su
procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho
reconocimiento no podrá en ningún caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que hace
de su obra.
• Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y exhibidos
mientras su uso no tenga fines comerciales.
Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas
condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en esta
licencia menoscaba o restringe los derechos morales de INTECO. http://creativecommons.org/licenses/by-nc/3.0/es/

El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format). Así, se
trata de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual, marcado de idioma y
orden de lectura adecuado.
Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía disponible en la
seEccstióund ioA cscoebsrieb illaidsa tde c>n Foolorgmíaasc ibóino m> éMtraicnausa laepsl iyc aGduaísa sa dlae slae gpuárgidinaad http://www.inteco.es Página 2 de 100
Observatorio de la Seguridad de la Información
ÍNDICE
1 INTRODUCCIÓN Y OBJETIVOS ..............................................................................10
1.1 Presentación ......................................................................................................10
1.2 Estudio sobre las tecnologías biométricas aplicadas a la seguridad ..................12
2 DISEÑO METODOLÓGICO......................................................................................15
2.1 Fase 1: Búsqueda y análisis documental. ..........................................................15
2.2 Fase 2: Consulta a expertos ..............................................................................16
2.3 Fase 3: Elaboración del informe de conclusiones finales del proyecto ...............21
2.4 Fase 4: Elaboración de una guía práctica dirigida a usuarios ............................21
3 INTRODUCCIÓN A LAS TECNOLOGÍAS BIOMÉTRICAS .......................................22
3.1 Antecedentes .....................................................................................................22
3.2 Conceptos clave ................................................................................................23
3.3 Tipos, técnicas y tecnologías aplicadas a la biometría .......................................28
3.4 Comparativa de técnicas y tecnologías biométricas ...........................................39
4 ANÁLISIS DE LOS PROCESOS DE IDENTIFICACIÓN ...........................................45
4.1 Análisis de las técnicas aplicadas y tipos de identificación ................................45
4.2 Sistemas de autenticación de doble factor .........................................................47
5 BENEFICIOS DE LA UTILIZACIÓN DE LAS TECNOLOGÍAS BIOMÉTRICAS.........50
5.1 Para las entidades usuarias ...............................................................................50
5.2 Para los usuarios finales ....................................................................................52
6 USOS Y APLICACIONES DE LAS TECNOLOGÍAS BIOMÉTRICAS ........................55
6.1 Aplicaciones actuales ........................................................................................56
6.2 Aplicaciones en fase de desarrollo ....................................................................60
7 CASOS DE ÉXITO ...................................................................................................62
Estudio sobre las tecnologías biométricas aplicadas a la seguridad Página 3 de 100
Observatorio de la Seguridad de la Información
7.1 Acceso rápido a fronteras aeroportuarias (España) ...........................................62
7.2 Gestión de ayudas públicas (Polonia) ................................................................65
8 MARCO REGULATORIO .........................................................................................68
8.1 Normativa legal ..................................................................................................68
8.2 Informes Jurídicos y jurisprudencia ....................................................................72
8.3 Estándares internacionales ................................................................................76
9 GESTIÓN DE RIESGOS ..........................................................................................79
9.1 Amenazas y vulnerabilidades en los procesos ...................................................79
9.2 Métodos de solución y prevención .....................................................................84
10 CONCLUSIONES .................................................................................................87
10.1 Conclusiones generales.....................................................................................87
10.2 Fortalezas y oportunidades ................................................................................88
10.3 Debilidades y posibles riesgos ...........................................................................89
11 RECOMENDACIONES .........................................................................................90
11.1 Recomendaciones dirigidas a las organizaciones ..............................................90
11.2 Recomendaciones dirigidas a la industria ..........................................................92
11.3 Recomendaciones dirigidas a las Administraciones Públicas ............................93
11.4 Recomendaciones para legisladores y agentes de estandarización ..................94
ANEXO I: BIBLIOGRAFÍA................................................................................................95
ANEXO II: ÍNDICES DE TABLAS, GRÁFICOS E ILUSTRACIONES ...............................97
Índice de tablas ............................................................................................................97
Índice de gráficos .........................................................................................................97
Índice de ilustraciones ..................................................................................................97
Estudio sobre las tecnologías biométricas aplicadas a la seguridad Página 4 de 100
Observatorio de la Seguridad de la Información
PUNTOS CLAVE
INTECO, con la misión de aportar valor y desarrollar la Sociedad del Conocimiento a
través de proyectos en el marco de la innovación y la tecnología, publica el Estudio sobre
las tecnologías biométricas aplicadas a la seguridad.
En el mercado existen múltiples soluciones biométricas diferenciadas tanto por la técnica
que emplean como por la funcionalidad que ofrecen, sin embargo todas ellas están
orientadas al reconocimiento de personas físicas. Esta finalidad última supone el
tratamiento de datos de carácter personal, por lo que la privacidad se convierte en un
aspecto especialmente relevante en el ámbito de la biometría.
La metodología utilizada para la realización del estudio y la consecuente publicación del
presente informe está fundamentada en dos aspectos complementarios.
En primer lugar, se basa en el análisis documental, para lo cual se han inventariado las
fuentes de información que disponen y publican estudios, informes o trabajos
relacionados con la biometría y se han analizado las principales conclusiones de aquellos
informes que contienen información actual y útil para realizar este estudio.
Paralelamente, se ha consultado mediante entrevista a diferentes actores de la industria
de la biometría a nivel mundial, involucrando a fabricantes, distribuidores, expertos en
derecho, consultores e investigadores. Así mismo, se ha realizando un análisis detallado
de dos casos de éxito reconocidos internacionalmente.
Esta diversidad de colectivos participantes en el estudio permite, junto al análisis de los
informes y reportes, conocer el estado actual de los sistemas biométricos desde
diferentes puntos de vista, identificando así los principales puntos a favor y oportunidades
y los puntos en contra y posibles riesgos que afrontan actualmente.
I. Introducción a las tecnologías biométricas
El análisis documental ha permitido la identificación de las principales técnicas
biométricas existentes. Si bien algunas de ellas aún se encuentran en estados de
madurez insuficientes para poder encontrarse en el mercado de una forma eficiente y
razonable en cuanto a costes, muchas otras se encuentran suficientemente maduras y
ofrecen actualmente soluciones de autenticación en muy diversos ámbitos.
Las técnicas biométricas existentes se clasifican en función del rasgo humano analizado,
el cual puede ser fisiológico –donde encontramos el reconocimiento de huella dactilar, de
iris, de retina y de rostro, entre otros– o de comportamiento –donde se encuentran el
reconocimiento de voz, de firma o de la manera de andar, entre otros–.
Estudio sobre las tecnologías biométricas aplicadas a la seguridad Página 5 de 100
Observatorio de la Seguridad de la Información
El estudio revela que el reconocimiento de huella dactilar y el reconocimiento de iris son
las técnicas actualmente más extendidas en el sector de la biometría. Los principales
motivos de la expansión de ambas técnicas, se basan principalmente en que se trata de
métodos de autenticación muy poco intrusivos con los usuarios finales y en que ambas
técnicas fueron de las primeras en ser concebidas, lo que ha permitido por un lado su
mayor desarrollo y evolución hacia una reducción de costes de implementación, y por
otro lado, la confianza por parte de los ciudadanos que reduce la resistencia inicial al uso
de nuevas tecnologías.
II. Análisis de los procesos de identificación basados en biometría
El progresivo avance de las tecnologías biométricas ha supuesto la progresión de la
forma unimodal a sistemas de autenticación de doble factor, que pueden incorporar más
de una tecnología biométrica –biometría bimodal– o combinar el uso de la biometría con
otros sistemas como tarjetas de identificación o contraseñas. Es por ello que los expertos
señalan que la combinación de técnicas biométricas con otros sistemas de
reconocimiento, es habitualmente un aspecto clave para el éxito de los sistemas de
autenticación.
III. Beneficios de la utilización de las tecnologías biométricas
La aplicación de tecnologías biométricas reporta diferentes beneficios, tanto para las
organizaciones como para los propios usuarios.
Los beneficios para las entidades se centran en el aumento de los niveles de seguridad,
la reducción de las posibilidades de fraude interno y la reducción en los costes de
mantenimiento de los sistemas de seguridad y autenticación.
Por su parte, los usuarios pueden ver como aumenta su comodidad al no tener que
recordar múltiples y complejas contraseñas, podrán realizar tramitaciones remotas con
mayor seguridad y en el caso de operaciones presenciales podrán ver reducidos los
tiempos de espera. Por otra parte, su privacidad puede verse reforzada si el acceso a sus
datos personales se realiza mediante autenticación biométrica.
IV. Usos y aplicaciones de las tecnologías biométricas
Independientemente de la técnica empleada, los sistemas biométricos son utilizados en
muy diversos entornos y con muy diversas finalidades.
En base a las entrevistas realizadas, la principal finalidad para la cual se utilizan sistemas
biométricos es el control de acceso (tanto físico como lógico) a edificios, zonas
restringidas y sistemas de información. Sin embargo, en el mercado actualmente se
encuentran técnicas biométricas empleadas con objetivos como el control de presencia,
el control de fronteras, la lucha contra el fraude y la investigación de delitos.
Estudio sobre las tecnologías biométricas aplicadas a la seguridad Página 6 de 100
Observatorio de la Seguridad de la Información
La utilización de sistemas de reconocimiento basados en biometría supone grandes
beneficios para las organizaciones o entidades que los implantan en aspectos como la
reducción de costes, el aumento de la seguridad y la eficiencia, y la mejora de la imagen
corporativa. También supone grandes beneficios para los usuarios finales en relación a
su comodidad, reducción de tiempos de espera, posibilidad de realizar tramitaciones
remotas y mayor salvaguarda de su privacidad entre otras.
Se puede destacar también una serie de aplicaciones en fase de desarrollo que han sido
identificadas en el análisis documental y comentadas por los expertos que han
colaborado en el proceso de consulta. Actualmente se están desarrollando soluciones
para facilitar la autenticación a distancia, verificar diferentes medios de pago y mejorar los
sistemas de control parental y de vigilancia en general. Es especialmente reseñable el
desarrollo que se está produciendo de sistemas biométricos para la autenticación de
usuarios que realizan transacciones mediante teléfonos móviles.
V. Casos de éxito
En el presente estudio, se han seleccionado dos casos de éxito específicos,
principalmente por su diversidad en cuanto a finalidad y tecnología empleada:
• Acceso rápido a fronteras aeroportuarias en España.
• Gestión de ayudas públicas en Polonia.
En ambos casos destaca la comodidad para los usuarios que ha supuesto la implantación
de sistemas biométricos, y la eficiencia conseguida por parte de las organizaciones, las
cuales han podido destinar sus recursos, que previamente destinaban al reconocimiento
de personas, a otras funciones.
VI. Marco regulatorio
Los datos biométricos son considerados datos de carácter personal por las diferentes
autoridades nacionales y europeas de protección de datos. Es por ello que deben
aplicarse los principios establecidos en la Ley Orgánica de Protección de Datos de
Carácter Personal y las medidas de seguridad establecidas en su Reglamento de
Desarrollo.
En el presente informe se puede observar una recolección de legislación y jurisprudencia
de aplicación señalados por los expertos consultados así como los principales estándares
asociados a cada técnica biométrica.
Según señalan los expertos la regulación actual en España en materia de protección de
datos es suficiente para regular el ámbito de la biometría. Sin embargo, de cara a unificar
criterios y atender a una especial sensibilidad de la población, podría ser conveniente
Estudio sobre las tecnologías biométricas aplicadas a la seguridad Página 7 de 100
Observatorio de la Seguridad de la Información
desarrollar una regulación específica para la biometría. Para ello, se debería evitar una
normativa excesivamente rígida que impida o dificulte el uso de la biometría o que no se
pueda adaptar fácilmente a los futuros desarrollos.
Paralelamente, los expertos también señalan la conveniencia de avanzar en la regulación
legislativa relativa a la suplantación de identidad, una de las mayores amenazas
identificadas.
Por otro lado, se observa en la jurisprudencia analizada la criticidad de la necesidad de
dar cumplimiento al deber de información establecido en la LOPD por parte de las
entidades que implantan sistemas de reconocimiento biométrico para sus empleados.
VII. Gestión de riesgos
No obstante, en la elaboración del presente estudio se han identificado un conjunto de
amenazas y vulnerabilidades intrínsecamente ligados a la utilización de tecnologías de
reconocimiento basadas en biometría. En este sentido, los expertos destacan
principalmente las siguientes:
• Idoneidad de la implantación: Es necesario un análisis previo para llevar a cabo
la implantación de sistemas apropiados.
• Suplantación de identidad: Como en todo sistema de autenticación, es una de
las principales amenazas.
• Alteración de rasgos: En ocasiones, voluntaria o involuntariamente los rasgos
biométricos de las personas pueden verse alterados.
• Aceptación cultural: La idiosincrasia cultural de cada país puede suponer un
inconveniente para la implantación de determinados sistemas de reconocimiento.
• Desconocimiento: En ocasiones las entidades que podrían estar interesadas
desconocen la calidad o el abanico de productos y utilidades disponibles.
• Percepción negativa: Percepción de ausencia de privacidad por parte de los
usuarios.
Con el objetivo de gestionar los riesgos identificados, los expertos señalan métodos se
solución y prevención de los mismos que facilitan la implantación exitosa de sistemas
biométricos. En este sentido, cabe destacar la detección de vida, la utilización de
biometría en movimiento, el almacenamiento seguro de muestras, la formación de los
usuarios finales y la realización de un análisis previo a la implantación.

Estudio sobre las tecnologías biométricas aplicadas a la seguridad Página 8 de 100
Observatorio de la Seguridad de la Información
VIII. Recomendaciones y buenas prácticas
Por último, durante el proceso de elaboración del presente estudio se ha recopilado un
conjunto de recomendaciones dirigidas a los diferentes actores del sector de la biometría
donde cabe destacar las siguientes.
• Realización de un análisis detallado previo a la implantación.
• Utilización de tecnología de calidad.
• Informar y formar a los usuarios de los sistemas.
• Garantizar la seguridad de los datos biométricos.
• Alineamiento entre mercado e investigadores.
• Divulgación hacia la ciudadanía e inversión en desarrollo de nuevas tecnologías.
Estudio sobre las tecnologías biométricas aplicadas a la seguridad Página 9 de 100
Observatorio de la Seguridad de la Información
1 INTRODUCCIÓN Y OBJETIVOS
1.1 PRESENTACIÓN
1.1.1 Instituto Nacional de Tecnologías de la Comunicación
El Instituto Nacional de Tecnologías de la Comunicación, S.A. (INTECO), es una
sociedad estatal adscrita al Ministerio de Industria, Turismo y Comercio a través de la
Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información.
INTECO es un centro de desarrollo de carácter innovador y de interés público de ámbito
nacional que se orienta a la aportación de valor, a la industria y a los usuarios, y a la
difusión de las nuevas tecnologías de la información y la comunicación (TIC) en España,
en clara sintonía con Europa.
Su objetivo fundamental es servir como instrumento para desarrollar la Sociedad de la
Información, con actividades propias en el ámbito de la innovación y el desarrollo de
proyectos asociados a las TIC, basándose en tres pilares fundamentales: la investigación
aplicada, la prestación de servicios y la formación.
La misión de INTECO es aportar valor e innovación a los ciudadanos, a las PYMES, a las
Administraciones Públicas y al sector de las tecnologías de la información, a través del
desarrollo de proyectos que contribuyan a reforzar la confianza en los servicios de la
Sociedad de la Información en nuestro país, promoviendo además una línea de
participación internacional.
Para ello, INTECO desarrolla actuaciones en las siguientes líneas:
• Seguridad Tecnológica: INTECO está comprometido con la promoción de
servicios de la Sociedad de la Información cada vez más seguros, que protejan
los datos personales de los interesados, su intimidad, la integridad de su
información y eviten ataques que pongan en riesgo los servicios prestados. Y por
supuesto que garanticen un cumplimiento estricto de la normativa legal en
materia de TIC. Para ello coordina distintas iniciativas públicas en torno a la
seguridad de las TIC, que se materializan en la prestación de servicios por parte
del Observatorio de la Seguridad de la Información, el Centro de Respuesta a
Incidentes de Seguridad en Tecnologías de la Información (INTECO-CERT) con
su Centro Demostrador de Tecnologías de Seguridad, y la Oficina de Seguridad
del Internauta, de los que se benefician ciudadanos, PYMES, Administraciones
Públicas y el sector tecnológico.
• Accesibilidad: INTECO promueve servicios de la Sociedad de la Información
más accesibles, que supriman las barreras de exclusión, cualquiera que sea la
dificultad o carencia técnica, formativa, etc., incluso discapacidad, que tengan sus
Estudio sobre las tecnologías biométricas aplicadas a la seguridad Página 10 de 100
Observatorio de la Seguridad de la Información