ISO/IEC 27570: Privacy for smart cities

Ante el crecimiento y complejidad de las infraestructuras de tecnologías de información y comunicaciones (cómputo en la nube, el internet de los objetos, big data, redes móviles, inteligencia artificial, machine learning) surgen a su vez nuevos retos en materia de seguridad y privacidad.

Es por ello, por lo que la privacidad y la protección de datos personales es un reto para las ciudades inteligentes que el PAS 181:2014 Code of practice for Smart city framework – Guide define como aquellas ciudades que cuentan con la integración efectiva de los sistemas físicos, digitales y humanos en el entorno construido para ofrecer un futuro sostenible, próspero e inclusivo para sus ciudadanos.

Estándares para las ciudades inteligentes

Para el diseño e implementación de una ciudad inteligente existen una gran variedad de estándares que pueden tomarse como referencia y que su selección dependerán de las tecnologías que estén incorporadas en la ciudad, algunos de ellos son:

• Estándares de privacidad
• Estándares de ciudades inteligentes
• Estándares de cómputo en la nube
• Estándares de IoT
• Estándares de big data
• Estándares de gobierno de TI

El estándar ISO/IEC 27570:2021 presenta algunos de los estándares que se encuentran en desarrollo relacionados con las ciudades inteligentes y que consideran temas como:

• Privacy management to keep track and monitor PII assets that are exploited in smart cities.
• Privacy engineering in smart city ecosystems.
• Collaboration in smart city ecosystems.
• Interoperability to avoid vendor lock-in.

El estándar referido provee un conjunto de guías para la protección de la privacidad en los ecosistemas de las ciudades inteligentes que permiten determinar:

• Como lo estándares pueden ser utilizados tanto a nivel global como organizacional para beneficio de los ciudadanos.
• Definir los procesos para la protección de la privacidad de los ecosistemas de ciudades inteligentes.

Es importante considerar que para la construcción de una ciudad inteligente intervienen diferentes partes interesadas las cuales deben tener una visión compartida para lograr una serie de resultados deseados como son:

1. Bienestar
2. Transparencia
3. Sostenibilidad
4. Desarrollo económico
5. Eficiencia y resiliencia
6. Colaboración

Adicionalmente existirán actores específicos en el ecosistema de una ciudad inteligente y deberán considerarse los diferentes puntos de vista.

La privacidad en las ciudades inteligentes

Las ciudades inteligentes requieren de la integración de tecnologías lo cual debe considerar la integración de elementos para proteger la privacidad, por ello es necesario orientar para que las ciudades inteligentes puedan cumplir con los principios de ISO/IEC 29100.

• consentimiento y elección;
• legitimidad y especificación del propósito;
• limitación de la colección;
• minimización de datos;
• limitación de uso, retención y divulgación;
• precisión y calidad;
• apertura, transparencia y acceso;
• responsabilidad;
• seguridad de información; y
• cumplimiento de la privacidad.

Marco de referencia de las TIC en las ciudades inteligentes

El marco de referencia de las TIC en las ciudades inteligentes se encuentra definidos en las series ISO/IEC 30145:

a) Marco de procesos de negocios que especifica los procesos esenciales en las áreas de gobierno, negocios centrales y soporte.

b) Marco de gestión del conocimiento que proporciona orientación sobre el modelado y la gestión del conocimiento para las operaciones y negocios de ciudades inteligentes.

c) Marco de gestión de ingeniería que proporciona un conjunto de capas de TIC para la operación de ciudades inteligentes, es decir, la capa de aplicación inteligente, la capa de soporte de datos y servicios, la capa de comunicación y almacenamiento, la capa de comunicación de red y la capa de adquisición de datos.

Orientación sobre la protección de la privacidad de los ecosistemas de ciudades inteligentes

•  El organismo de gobierno de la ciudad inteligente debe establecer un  plan de privacidad para el ecosistema.
• El plan de privacidad para el ecosistema debe especificar el funcionamiento del órgano de gobierno, autoridades correspondientes a los diferentes dominios (salud, transporte, tráfico). Establecimiento de políticas de privacidad y monitoreo continuo de su implementación en los servicios de la ciudad inteligente.
• El plan de privacidad para el ecosistema debe especificar la gestión de la cadena de suministro, verificar que los arreglos contractuales sobre privacidad sean suficientes.
• El plan de privacidad para el ecosistema debe incluir la gestión de los datos, que incluirá los acuerdo para compartir los datos, esto se realiza a través de los acuerdos de privacidad de uso compartido de datos que establecen las obligaciones sobre la seguridad del procesamiento de datos y las capacidades de privacidad proporcionadas por cada parte interesada, los datos que serán compartidos deben cumplir con las políticas y regulaciones aplicables, llevar acabo evaluaciones de impacto en la protección de datos personales.
• Pueden ser utilizados una gran variedad de estándares para reforzar las medidas de seguridad y privacidad.

Órgano de gobierno de las ciudades inteligentes

• El órgano de gobierno de los servicios de ciudades inteligentes debe establecer un proceso de gestión de riesgos para evaluar el impacto en la privacidad (ISO/IEC 29134 PIA e ISO/IEC 27701).
• El órgano de gobierno de los servicios de ciudades inteligentes debe establecer un proceso de ingeniería para tener en cuenta, siempre que sea posible, un enfoque de privacidad por diseño, consentimiento previo al tratamiento de datos ISO/IEC 27550.
• El proceso de participación ciudadana se centra en la consulta con los ciudadanos de las ciudades inteligentes sobre las reglas y políticas a nivel de gobernanza, y en el apoyo al cumplimiento de estas reglas y políticas relativas a la privacidad de un servicio de ciudad inteligente. Estas actividades son realizadas por los órganos de gobierno de una ciudad inteligente, así como por las organizaciones del ecosistema.

Retos en las ciudades inteligentes

Algunos de los retos en las ciudades inteligentes son:

• Integración de tecnologías big data, IoT, cómputo en la nube, machine learning.
• Integración en diferentes dominios (transporte, salud, educación, entre otros).
• Mantener la confianza en los servicios, atendiendo las principales preocupaciones en seguridad, privacidad.
• Combinación de datos aumenta el riesgo de crear datos personales.
• Para las autoridades de datos establecer reglas de alto nivel que deban ser considerados por los órganos de gobierno de las ciudades inteligentes para garantizar medidas de cumplimiento. Listado de responsables y encargados de datos personales, ya que en caso de que ocurra una vulneración de datos personales puede requerir una acción que impacte a un titular en específico.
• La cadena de suministro que implica el tratamiento de datos por varias organizaciones, considerando que las TIC incluyen una variedad de productos como sensores, dispositivos y dispositivos inteligentes, soluciones en la nube o productos de componentes como electrónica, módulos de seguridad, sistemas operativos por lo que los proveedores deben proporcionar medidas técnicas y administrativas de privacidad adecuadas.
• En el ecosistema de intercambio de datos es necesario hacer cumplir acuerdos explícitos de intercambio de datos de privacidad cuando se intercambian datos personales.