Monitoreo de usuarios y su actividad: Ejemplos, legalidad y consejos

El monitoreo de la actividad de los usuarios parece sencillo, hasta que se empieza a profundizar en sus múltiples usos.

Hagamos precisamente eso, facilitando las cosas todo lo que podamos, centrándonos específicamente en cómo mejorarlo en el contexto de la gestión de riesgos.

¿Qué es el monitoreo de usuarios?

El monitoreo de usuarios (UAM), también conocido como monitoreo del acceso del usuario, es una forma de vigilancia diseñada para registrar y rastrear las acciones del usuario en dispositivos, redes o sitios web. Ten en cuenta que el término usuario puede referirse a clientes, visitantes o incluso empleados de la empresa. 

Por lo general, el objetivo del UAM es reducir el riesgo en el contexto de la ciberseguridad, la prevención del fraude y la seguridad informática. Sin embargo, el monitoreo de la actividad de los usuarios tiene muchos otros usos, desde el seguimiento del compromiso de los empleados hasta el marketing dirigido. 

En el ámbito de la seguridad de la información, el monitoreo de usuarios se utiliza específicamente para reducir el riesgo de filtración de datos por parte de usuarios internos de la empresa, contratistas o socios. 

5 Razones para monitorear la actividad de los usuarios

Donde hay personas, hay riesgos.

En el mundo digital, estas personas son los usuarios. Monitorear cómo interactúan con tu sitio web, aplicación o infraestructura puede ayudar a reducir el riesgo o mejorar las operaciones de tu empresa. Veamos cinco ejemplos concretos.

1. Seguridad informática y ciberseguridad

Una de las razones clave para monitorear a los usuarios es asegurar los datos de una empresa, tanto física (seguridad de TI) como digitalmente (ciberseguridad). En 2022, el costo medio de una filtración de datos alcanzó la cifra récord de 3,86 millones de dólares, según IBM.

A medida que las filtraciones de datos siguen causando estragos en la reputación online de las empresas (y en sus cuentas de resultados), es más importante que nunca asegurarte de poder detectar las acciones sospechosas de los usuarios.

Estas acciones sospechosas pueden parecer muy diferentes de una empresa a otra, pero los equipos de seguridad de TI generalmente se fijarán en la seguridad de sus bases de datos SQL, el sistema operativo y los comandos administrativos. 

Y lo que es más importante, estas medidas de protección no suelen discriminar entre clientes, empleados o ejecutivos. Cualquier tipo de cambio no deseado se registrará y potencialmente se bloqueará en función de su gravedad.

2. Cumplimiento legal

Garantizar el cumplimiento de la normativa es una razón cada vez más frecuente para implantar software de monitoreo de usuarios.

La supervisión del cumplimiento, por ejemplo, es un requisito normativo para las empresas en el contexto de KYC y AML. También implica examinar los datos y el comportamiento de los usuarios. En este ejemplo, los datos relevantes también deben registrarse cuando se presenta un informe de actividad sospechosa, también conocido como SAR. 

También en este caso, el objetivo es reducir el riesgo. A saber, el riesgo de tener que pagar una fuerte multa de cumplimiento al permitir que los ladrones de identidad y los lavadores de dinero interactúen con tu empresa. 

3. Marketing y ventas

La analítica web es probablemente la forma de monitoreo con la que la gente estará más familiarizada.

Herramientas como Google Analytics y Search Console entran dentro del monitoreo de usuarios, ya que se capturan datos de los usuarios (geolocalización, duración de la sesión, porcentaje de clics, etc.) para crear informes o analizar el rendimiento del tráfico. 

Los datos son útiles para varios casos, desde el marketing dirigido a la venta, las pruebas A/B e incluso la segmentación de clientes.

4. Prevención del fraude

El monitoreo de la actividad de los usuarios es una característica esencial de la prevención del fraude. Se trata de separar a los clientes legítimos de los estafadores. Esto implica recopilar datos relativos a lo siguiente:

• La identidad del usuario: ya sea mediante pasos de verificación de documentos o análisis de la huella digital, que examina datos alternativos como la configuración de su dispositivo y su actividad en las redes sociales.
• El comportamiento del usuario: mediante el seguimiento y la comparación de las acciones del usuario (por ejemplo, un registro o un ingreso de dinero), podemos identificar comportamientos sospechosos que puedan apuntar a un fraude o a clientes de alto riesgo.
• Las conexiones del usuario: el usuario puede formar parte de una red de fraude o de multicuentas. Para detenerlos, buscaremos similitudes en los puntos de datos para atrapar al mayor número posible de miembros y cuentas relacionadas. 

El tipo de funciones de monitoreo de la actividad de los usuarios que necesitas para la prevención del fraude varía en función de tu modelo de negocio, por lo que te recomendamos encarecidamente que repases nuestra guía sobre como utilizar herramientas antifraude en función a tu negocio.

5. Compromiso de los empleados

Con el aumento de las configuraciones de trabajo remotas e híbridas, muchas empresas han desplegado programas de monitoreo de empleados. Estos pueden examinar el acceso a internet, los correos electrónicos profesionales o las actividades informáticas. 

Algunas herramientas son más controvertidas, como el keylogging y los rastreadores de atención. En 2021, por ejemplo, la empresa de videoconferencias Zoom fue objeto de escrutinio público por una función llamada seguimiento de la atención de los asistentes, que acabó eliminando. 

Aun así, no se puede negar que el seguimiento de los empleados es una forma de monitoreo de la actividad de los usuarios. El tipo de datos que recopila y cómo lo hace es similar a cómo se hace en seguridad informática, aunque uno se centre en la productividad mientras que el otro pretende reducir el riesgo.

¿Qué datos se recopilan para el monitoreo de la actividad de los usuarios?

Cuando se trata de monitorizar la actividad de los usuarios, no faltan herramientas y funciones diseñadas para capturar tantos datos como sea posible. Esto puede incluir:

• grabaciones de video 
• recopilación de registros
• inspección de paquetes de red
• registro de pulsaciones de teclas
• supervisión del núcleo
• capturas de pantalla
• etc.

Sin embargo, recopilar todos los puntos de datos no siempre es eficaz. Dependiendo de tu estrategia de monitoreo de usuarios, es mucho más eficaz centrarse en puntos de datos específicos que adoptar un enfoque único o perderse en un sinfín de datos. 

Hoy en día, la mayoría del software viene con registro de usuarios, por lo que tienes una visibilidad completa de qué usuario ha hecho qué y puede tanto monitorear la actividad sospechosa como indagar en lo que sucedió si algo salió mal. Es un buen comienzo, pero para muchos casos de uso se necesita aún más.

Monitoreo de la actividad de los usuarios y la ley

Con el aumento de las políticas de protección de datos, como el GDPR, es posible que pienses que el monitoreo de usuarios y el cumplimiento de la normativa están reñidos.

Pero no es así. De hecho, el GDPR establece específicamente que el monitoreo de usuarios es legal cuando es necesario con el fin de prevenir el fraude y para el marketing dirigido. 

«El tratamiento de datos personales estrictamente necesario para prevenir el fraude también constituye un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por un interés legítimo.»

Considerando 47

De hecho, la mayor parte del monitoreo de la actividad de los usuarios puede cubrirse legalmente con una política de empresa transparente y honesta. 

En EE. UU, la Ley de Privacidad de las Comunicaciones Electrónicas (ECPA) permite a las empresas controlar a sus empleados. La obligación de hacer público el programa de control varía de un estado a otro. En California, por ejemplo, la Ley de Privacidad del Consumidor de California tiene varias directrices que deben seguirse.

En Europa y el Reino Unido, debe protegerse la privacidad de los empleados. Los empleadores tienen que notificar el programa de monitoreo y deben recibir un acuerdo por escrito para proceder. 

Antes de implantar el UAM en cualquier otra parte del mundo, es importante consultar la legislación local. Para hacer las cosas aún más confusas, las leyes pueden ser diferentes según la ubicación del usuario y no de la empresa. Por lo tanto, es esencial contar con asesoramiento jurídico profesional.

¿Cómo puede ayudar SEON?

SEON captura los datos de los usuarios de un sitio web, plataforma o app y los enriquece para encontrar aún más a través de un proceso conocido como enriquecimiento de datos.

A continuación, estos datos pueden alimentarse a través de reglas de riesgo, que permiten:

• señalar automáticamente comportamientos sospechosos de los usuarios
• bloquear inicios de sesión y registros sospechosos con datos robados o inventados
• realizar comprobaciones KYC y AML más eficaces
• segmentar a los usuarios en categorías de riesgo bajo, medio o alto
• segmentar a los usuarios en clientes de alto o bajo valor
• y, por supuesto, reducir todos los tipos de fraude, desde el fraude en los pagos hasta el abuso de bonificaciones y los contracargos.

Ya sea que necesites el riesgo en el contexto de cumplimiento, ataques de fraude o incluso cuentas de usuario robadas, SEON te tiene cubierto.

Preguntas frecuentes

Fuentes

• IBM: How much does a data breach cost in 2022?
• Zoom: Attendee attention tracking
• BJA: Electronic Communications Privacy Act of 1986 (ECPA)