Los SDK de terceros (kits de desarrollo de software que ofrecen proveedores de analítica, publicidad, atención al cliente y enriquecimiento de funciones) son bibliotecas de código prediseñadas que las aplicaciones móviles y web integran para acceder a funciones concretas sin desarrollarlas desde cero. Cuando una aplicación integra un SDK, incorpora código que se ejecuta dentro del proceso de la aplicación, tiene acceso a los datos de la aplicación y puede recopilar datos del dispositivo o del usuario sin que el desarrollador de la aplicación conozca por completo cada comportamiento de recopilación de datos. El riesgo de SDK es una categoría de riesgo de la cadena de suministro que se sitúa en la intersección de la seguridad, la privacidad y el cumplimiento normativo, y con frecuencia se evalúa poco porque las integraciones de SDK se perciben más como incorporaciones de funciones que como relaciones con proveedores externos.
El mecanismo de actualización de SDK es el riesgo concreto de la cadena de suministro. Los SDK los actualizan sus proveedores y se incorporan a las aplicaciones mediante la gestión de dependencias. Cuando un proveedor de SDK cambia en una actualización el comportamiento de recopilación de datos de su SDK (agregando nuevos identificadores de dispositivo, ampliando el seguimiento del comportamiento o habilitando nuevas transmisiones por red), ese cambio se propaga a todas las aplicaciones que actualizan a la nueva versión del SDK. Los desarrolladores de aplicaciones que actualizan los SDK como parte del mantenimiento rutinario de dependencias pueden no revisar el registro de cambios del SDK con el detalle suficiente para identificar cambios de comportamiento relevantes para la privacidad antes de publicar la aplicación actualizada.
La adquisición es un evento desencadenante concreto de alto riesgo para la gobernanza de SDK. Cuando se adquiere a un proveedor de SDK, los intereses en materia de datos y las prácticas de privacidad de la empresa adquirente pueden diferir de los del proveedor original. El nuevo propietario puede actualizar el SDK para recopilar datos adicionales que sirvan al modelo de negocio de la empresa adquirente. Los desarrolladores de aplicaciones que siguen los cambios del proveedor del SDK pueden pasar por alto una actualización de SDK provocada por una adquisición si no monitorean la titularidad y la estructura societaria del SDK además de su comportamiento técnico.
Por qué es importante
El riesgo de SDK es importante para TPRM porque los SDK de las aplicaciones móviles y web empresariales generan riesgos de recopilación y transmisión de datos de los que la empresa puede no ser plenamente consciente, y que cambian con el tiempo a medida que los proveedores de SDK actualizan sus productos. La normativa de privacidad (GDPR, CCPA, COPPA) exige que las empresas divulguen toda recopilación de datos personales y tengan una base jurídica para ella, incluidos los datos que recopilan los SDK integrados. Un SDK que recopila datos más allá de lo que divulga la política de privacidad de la empresa genera una exposición regulatoria inmediata.
- SDK evaluado en la integración sin monitoreo continuo
- Cambios de comportamiento en las actualizaciones de SDK no revisados antes de incorporarlas
- Adquisición del proveedor no identificada como evento desencadenante de la gobernanza de SDK
- Alineación de la política de privacidad con la recopilación de datos de SDK no verificada de forma continua
- Análisis del tráfico de red ausente de la evaluación del comportamiento de SDK
Cómo se ve una buena práctica
Los programas maduros de gobernanza de SDK mantienen un inventario actualizado de SDK con documentación del comportamiento de recopilación de datos, revisan las actualizaciones de SDK en busca de cambios de comportamiento relevantes para la privacidad antes de incorporarlas, identifican los cambios de titularidad del proveedor como eventos desencadenantes de una reevaluación de SDK y verifican que la política de privacidad esté alineada con el comportamiento real de recopilación de datos de SDK.
- Inventario de SDK con documentación del comportamiento de recopilación de datos
- Revisión del registro de cambios de las actualizaciones de SDK para detectar cambios de comportamiento relevantes para la privacidad
- Seguimiento de las adquisiciones del proveedor como desencadenante de la reevaluación de SDK
- Verificación de la alineación de la política de privacidad: recopilación real frente a recopilación divulgada
- Análisis del tráfico de red para verificar el comportamiento de transmisión de datos de SDK
Herramientas
Análisis de SDK: Exodus Privacy para el análisis de SDK de Android; Charles Proxy y mitmproxy para el análisis del tráfico de red
Las herramientas de análisis de SDK pueden evaluar el comportamiento de recopilación de datos y de transmisión por red de los SDK móviles, e identificar a qué datos accede el SDK y adónde los transmite. El análisis del tráfico de red durante las pruebas de SDK revela el comportamiento real de transmisión, que puede no estar documentado en la documentación de privacidad del proveedor del SDK. Para los profesionales de TPRM, preguntar si los proveedores han realizado un análisis del tráfico de red de sus integraciones de SDK como parte de la revisión de la integración constituye una pregunta concreta de evaluación del comportamiento de SDK.
Desafíos de gobernanza
El desafío de gobernanza de la gobernanza de SDK es la necesidad de integrarla en el flujo de trabajo de desarrollo. La revisión de las actualizaciones de SDK debe integrarse en el proceso de desarrollo en el momento de actualizar la dependencia, no realizarse como una revisión de seguridad aparte después de incorporar las actualizaciones. La solución de gobernanza son requisitos de revisión del registro de cambios específicos de SDK en el flujo de trabajo de desarrollo, activados por cualquier actualización de versión de SDK en el manifiesto de dependencias.
- Exija la revisión del registro de cambios de SDK antes de incorporar cualquier actualización de versión de SDK
- Haga seguimiento de la titularidad del proveedor de SDK ante adquisiciones y fusiones
- Verifique la alineación de la política de privacidad con la recopilación de datos de SDK después de cada actualización
- Realice un análisis del tráfico de red de los SDK con una recopilación de datos significativa
- Incluya la gobernanza de SDK en la evaluación de seguridad de las aplicaciones móviles y web
Si usted forma parte de un equipo pequeño
Cree un inventario de todos los SDK de terceros de sus aplicaciones móviles y web. Para cada SDK, documente qué datos recopila y transmite el SDK según la documentación del proveedor del SDK. Luego verifique que su política de privacidad divulgue toda esa recopilación. En sus SDK de publicidad y analítica, las categorías de mayor riesgo de recopilación inesperada de datos, realice una prueba de interceptación del tráfico de red para confirmar que la transmisión real de datos coincide con la documentación. Ese proceso de inventario y verificación identifica el riesgo de recopilación de datos de SDK que la evaluación de la integración detectó en un momento dado, pero al que el monitoreo continuo no da seguimiento.
- Inventaríe todos los SDK de terceros con su comportamiento de recopilación de datos documentado
- Verifique la alineación de la política de privacidad con la documentación de recopilación de datos de SDK
- Haga seguimiento de la titularidad del proveedor de SDK ante adquisiciones
- Realice un análisis del tráfico de red de los SDK de publicidad y analítica
Qué exigir
Pregunte directamente:
"¿Puede proporcionar documentación de todos los SDK de terceros integrados en su aplicación, en concreto qué datos recopila y transmite cada SDK, y cómo identifica y revisa los cambios de comportamiento relevantes para la privacidad en las actualizaciones de SDK antes de incorporarlas a su producto?"
Evidencia que debe esperar
- Inventario de SDK con documentación del comportamiento de recopilación de datos
- Proceso de revisión de las actualizaciones de SDK para detectar cambios relevantes para la privacidad
- Confirmación de la alineación de la política de privacidad
- Resultados del análisis del tráfico de red de los SDK de alto riesgo
A un proveedor que confirma la seguridad de sus aplicaciones se le debe preguntar por su inventario de SDK y su gobernanza continua. La evaluación de SDK en la integración confirma el comportamiento en ese momento. El seguimiento continuo de las actualizaciones y de la titularidad es necesario para detectar los cambios de comportamiento que se producen después de la integración.
Cómo demostrarlo
- Inventario de SDK con documentación de la recopilación de datos
- Registros de revisión de las actualizaciones de SDK
- Registros del seguimiento de la titularidad de los proveedores
- Verificación de la alineación de la política de privacidad
Conclusión clave
SDK: evaluado en la integración. Proveedor: adquirido 18 meses después. Actualización de SDK: nuevas capacidades de recopilación de datos. Política de privacidad de la empresa: sin actualizar. Exposición regulatoria: inmediata. La evaluación de SDK en la integración capta el comportamiento en un único momento. El riesgo de la cadena de suministro en los SDK es el comportamiento que cambia después de la integración, mediante actualizaciones de SDK, adquisiciones del proveedor y nuevas funciones que amplían la recopilación de datos más allá del alcance de la evaluación original. La revisión del registro de cambios de las actualizaciones, el seguimiento de la titularidad y la verificación de la alineación de la política de privacidad son los mecanismos de gobernanza continua que detectan lo que una evaluación puntual no puede detectar.