Source: Deutsche Nachrichten
OSINT es una sigla en inglés —Open Source Intelligence, o inteligencia de fuentes abiertas— que suena a espionaje de película, pero en la práctica describe algo mucho menos dramático: la disciplina de buscar, ordenar, verificar y cruzar información que ya está disponible públicamente, de forma legítima, para responder una pregunta concreta. No implica entrar a cuentas privadas, robar contraseñas ni acceder a bases de datos restringidas. Todo lo contrario: si hace falta vulnerar algo para conseguir un dato, eso ya no es OSINT, es otra cosa, y probablemente un delito.
La confusión más común es pensar que “buscar en Google” es lo mismo que hacer OSINT. No lo es. Un buscador puede ser una de las fuentes que se usan, pero OSINT es sobre todo un método, no una herramienta. El proceso tiene una lógica bastante parecida a la de un periodista de investigación serio: primero se encuentra un dato, después se identifica de dónde salió, luego se evalúa si esa fuente es confiable, se lo cruza con otra información independiente para ver si se sostiene, se lo ubica en su contexto temporal y recién ahí, con todo eso hecho, se saca una conclusión. Saltearse esos pasos —quedarse con el primer resultado que aparece— es exactamente el error que OSINT busca evitar.
Pensemos un ejemplo simple. Una empresa argentina está por firmar un contrato con un proveedor que nunca trató antes. Antes de girar el primer pago, alguien del área de compras busca el nombre de la empresa proveedora: encuentra su sitio web, revisa si figura en el registro de sociedades de la Inspección General de Justicia con los datos que dice tener, busca si apareció en notas periodísticas, chequea si el domicilio fiscal que declaró coincide con lo que muestra en su publicidad, y ve si el nombre del responsable coincide con lo que figura en los registros públicos. Ninguno de esos pasos requiere acceder a nada privado: es información que cualquiera puede consultar, solo que casi nadie se toma el trabajo de juntarla, ordenarla y compararla antes de tomar una decisión.
Ahí aparece el problema central de OSINT, y es más serio de lo que parece a primera vista: encontrar información no es lo mismo que verificarla. El riesgo más frecuente es el falso positivo. Puede haber dos personas con el mismo nombre y apellido, una con antecedentes relevantes y otra completamente ajena a eso. Puede aparecer una noticia vieja sobre una denuncia que después fue desestimada, sin que el resultado de búsqueda muestre esa resolución posterior. Puede haber una cuenta de redes sociales falsa creada con el nombre de alguien real. Pueden existir dos empresas con razón social parecida, una seria y otra no. Y un dato erróneo, una vez publicado en un sitio, suele copiarse en decenas de otros sin que nadie vuelva a chequear el original, lo que da una falsa sensación de que “está confirmado en varias fuentes” cuando en realidad todas repiten el mismo error. Por eso la etapa de verificación y cruce de fuentes no es un paso opcional dentro de OSINT: es la parte que distingue una investigación seria de una googleada apurada.
Hay un segundo principio, menos intuitivo, que en la Argentina tiene además respaldo legal directo: que algo sea público no significa automáticamente que sea relevante o correcto usarlo para cualquier fin. La Ley de Protección de Datos Personales 25.326 establece en su artículo 4 que los datos personales que se recolecten deben ser adecuados, pertinentes y no excesivos en relación con la finalidad para la que se obtienen, y clasifica como “datos sensibles” —con protección reforzada— a la información sobre salud, vida sexual, opiniones políticas, creencias religiosas y afiliación sindical. Que una publicación vieja en una red social sea técnicamente accesible para cualquiera no convierte automáticamente en legítimo usarla para tomar una decisión de contratación, de crédito o de negocios: hace falta que ese dato tenga un propósito claro, definido de antemano, y una relación directa con lo que se está evaluando. Encontrar algo público sobre una persona y decidir que “por las dudas lo tengo en cuenta” es exactamente el uso que la normativa argentina busca desalentar.
Usado con ese criterio, OSINT es una herramienta que distintas áreas de una empresa ya aplican, muchas veces sin nombrarla así: en la verificación de antecedentes previa a una contratación, en el control de cumplimiento normativo, en la prevención de fraude, en la debida diligencia sobre proveedores nuevos, en la detección de conflictos de interés entre un empleado y un tercero con el que la empresa hace negocios, y en investigaciones corporativas internas cuando surge una sospecha concreta que hay que confirmar o descartar. En todos los casos, la lógica es la misma: no se trata de investigar la vida entera de una persona o de una empresa, sino de reunir información puntual, de fuentes legítimas, para responder una pregunta específica de negocio.
En Validato, la investigación OSINT funciona como un complemento de los procesos de verificación de antecedentes cuando aparece un dato que necesita contexto: una coincidencia de nombre que hay que resolver, una noticia que requiere confirmar si sigue vigente, una empresa que aparece mencionada en distintas fuentes y hay que determinar si se trata de la misma entidad. Ese trabajo combina la recolección de datos con la revisión de un analista humano, porque buena parte de las decisiones difíciles —si dos personas son la misma, si una fuente sigue siendo válida, si un dato es relevante para el caso concreto— no se resuelven de forma automática. “Lo difícil hoy ya no es encontrar información, hay de sobra. Lo difícil es saber si encontraste a la persona correcta, si la fuente es confiable, si el dato sigue vigente y si realmente es relevante para la decisión que tenés que tomar”, explica Guido Schenone, Comercial & Growth Manager de Validato.
La conclusión para cualquier empresa argentina que esté empezando a usar fuentes abiertas como parte de su proceso de decisión es bastante concreta: tener acceso a un dato no equivale a tener autorización para usarlo, y encontrar un resultado no equivale a haberlo verificado. Entre buscar y decidir hay un paso intermedio —contrastar, contextualizar, confirmar— que es, en definitiva, lo que separa una fuente abierta bien usada de un rumor con apariencia de investigación.