# data[].attributes.body
Corrales, E. R. (2023). Entre los derechos a la intimidad y protección de los datos personales en el trabajo y el poder fiscalizador del empleador: las cámaras de videovigilancia. Revista Oficial Del Poder Judicial, 15(19), 261-277. https://doi.org/10.35292/ropj.v15i19.739

# data[].attributes.attachment_link.title
Entre los derechos a la intimidad y protección de los datos personales en el trabajo y el poder fiscalizador del empleador- las cámaras de videovigilancia

# data[].attributes.attachment_caption
El debido proceso de filiación extramatrimonial 

# data[].attributes.body
Vila, F. J. (2020). El debido proceso de filiación extramatrimonial [Tesis para optar el título profesional de Abogado, Escuela Académico Profesional de Derecho, Universidad Continental]. Repositorio Institucional - Continental. https://repositorio.continental.edu.pe/bitstream/20.500.12394/8455/4/IV_FDE_312_TE_Vila_Tinoco_2020.pdf

# data[].attributes.body
Prieur, M., Bastin, C., y Mekouar, A. (2021). Midiendo la efectividad del derecho ambiental. P.I.E. - Peter Lang Éditions Scientifiques Internationales. https://doi.org/10.3726/b18619

# data[].attributes.body
Derecho virtual. (22 de diciembre de 2023). DERECHO PENAL ¿Qué es?【Todo EXPLICADO en Materia Penal】[video]. Youtube. https://youtu.be/--FbKFsEk1M?feature=shared

# data[].attributes.attachment_link.title
💥 DERECHO PENAL ¿Qué es?【Todo EXPLICADO en Materia Penal】

# data[].attributes.body
Martínez, J. (2024). Cuestiones jurídicas generadas por los smart contracts en el comercio electrónico B2C: foro, jurisdicción aplicable y derecho de desistimiento dentro del ordenamiento jurídico español. Revista De Derecho, (30), e3919. https://doi.org/10.22235/rd30.3919

# data[].attributes.attachment_link.readable_text
Doctrina

Cuestiones jurídicas generadas por los smart contracts en el comercio electrónico B2C: foro, jurisdicción aplicable y derecho de desistimiento dentro del ordenamiento jurídico español

Legal issues generated by smart contracts in B2C electronic commerce: forum, applicable jurisdiction and right of withdrawal within the Spanish legal system

Questões jurídicas geradas por smart contracts no comércio eletrônico B2C: foro, jurisdição aplicável e direito de desistir no ordenamento jurídico espanhol

Universidad Camilo José Cela, España, javier.martinez6@ucjc.edu

El uso del comercio electrónico para celebrar relaciones de consumo cada vez toma más protagonismo en la sociedad de la información. El constante desarrollo de las tecnologías hace que las plataformas existentes puedan beneficiarse de sus características; sin embargo, también traen consigo diferentes cuestiones jurídicas que deben mitigarse a fin de proteger los intereses y derechos de los usuarios. La tecnología blockchain es una de las tecnologías que viene a revolucionar el ámbito de las relaciones electrónicas B2C gracias a su carácter transnacional, descentralización, garantía de confianza, inmutabilidad y a una de sus funcionalidades más características: los smart contracts. Este tipo de acuerdos se distinguen por su automatización y autoejecución, caracteres que a priori pueden poner en riesgo la legislación existente sobre consumidores y usuarios. Asimismo, las oportunidades que brinda blockchain de cara a que los usuarios puedan actuar de forma irreconocible puede poner en jaque la normativa encargada de determinar la competencia judicial internacional y la ley aplicable a las relaciones jurídicas de consumo B2C. Este trabajo analiza la aplicabilidad de los smart contracts en el ámbito del comercio electrónico, en especial en el de empresas con consumidores (B2C) y estudiar los posibles inconvenientes que generan sobre la normativa existente a fin de analizar si es necesario adaptar la legislación a estas tecnologías

Palabras clave: comercio electrónico; blockchain; smart contracts; B2C; derecho privado internacional

The use of e-commerce to enhance consumer relationships is becoming increasingly important in the information society. The constant development of technologies allows existing platforms to benefit from their characteristics; however, these advancements also bring various legal issues that must be addressed to protect users' interests and rights. Blockchain technology is revolutionizing B2C electronic relations due to its transnational nature, decentralization, guarantee of trust, immutability, and one of its most distinctive functionalities: smart contracts. These agreements are characterized by their automation and self-execution, features that can conflict with existing consumer and user legislation. Additionally, the opportunities provided by Blockchain, such as allowing users to act anonymously, may contradict regulations concerning the determination of international judicial jurisdiction and the applicable law for B2C consumer legal relationships. This work aims to analyze the applicability of smart contracts in e-commerce, particularly for B2C companies, and to study the potential issues they pose for current regulations, in order to determine whether these regulations need to be adapted for these technologies

Keywords: e-commerce; blockchain; smart contracts; B2C; International Private Law

A utilização do comércio eletrônico para efetivar relações de consumo assume cada vez mais um papel central na sociedade da informação. O constante desenvolvimento das tecnologias faz com que as plataformas existentes possam beneficiar-se das suas características, no entanto, também trazem consigo diversas questões jurídicas que devem ser mitigadas de forma a proteger os interesses e direitos dos usuários. A tecnologia blockchain é uma das tecnologias que veio revolucionar o campo das relações eletrônicas B2C graças ao seu carácter transnacional, descentralização, garantia de confiança, imutabilidade e uma das suas funcionalidades mais características, os smart contracts. Estes tipos de acordos distinguem-se pela sua automatização e auto-execução, características que, a priori, podem colocar em risco a legislação existente sobre consumidores e usuários. Da mesma forma, as oportunidades que o Blockchain oferece para que os usuários possam agir de forma irreconhecível podem colocar em xeque os regulamentos encarregados de determinar a competência judicial internacional e a lei aplicável às relações jurídicas de consumo B2C. O objetivo deste trabalho é analisar a aplicabilidade dos smart contracts no campo do comércio eletrônico, especialmente o de empresas com consumidores (B2C) e estudar os possíveis inconvenientes que eles geram sobre a regulamentação existente, a fim de analisar se é necessário adaptar a legislação a estas tecnologias

Palavras-chave: comércio eletrônico; blockchain; smart contracts; B2C; direito privado internacional

Introducción

Vivimos en un mundo donde la tecnología se posiciona como la herramienta decisiva a través de la cual nos relacionamos y conectamos con el resto de los usuarios. Actualmente, las personas hacen un uso frecuente de la tecnología para celebrar acuerdos o efectuar transacciones en tiempo real, como el pago de determinados servicios públicos a través de aplicaciones de telefonía móvil o la inversión en proyectos productivos por medio de páginas virtuales ​(Padilla Sánchez, 2020, p. 176)​.

El comercio electrónico (también denominado e-commerce) ha supuesto que las personas físicas, jurídicas o Estados puedan realizar transacciones de consumo vía electrónica, pues, mediante la red, pueden efectuar un sinfín de actuaciones digitales que sin fronteras. En este orden de ideas, a pesar del desarrollo y crecimiento que ha sufrido el comercio electrónico, aún pueden encontrarse importantes obstáculos que frenan el uso de las plataformas electrónicas de comercio con plenas garantías, entre ellos, la gran desconfianza que existe entre los usuarios y la falta de información en cuanto a las características y condiciones de los productos y servicios que se encuentran dentro del entorno virtual donde se lleva a cabo el e-commerce ​(Concha Alonso, 2022, p. 3)​.

Previamente las transacciones entre partes se realizaban habitualmente de forma centralizada, lo que exigía la participación de un tercero de confianza (entidades bancarias). Este modo de actuar puede generar graves problemas de seguridad, por ejemplo, el denominado "punto de fallo único" o elevadas tarifas en las transacciones que efectúan los usuarios. La tecnología blockchain surge para resolver estas cuestiones al facultar a los usuarios, que no son de confianza, interactuar entre sí, de forma distribuida y sin la necesidad de que participe un tercero que aporte dicha fiabilidad. En un principio, Blockchain emerge para utilizarse como un sistema de pago digital entre pares. Sin embargo, como toda tecnología, evoluciona hasta el punto de permitir una amplia lista de funcionalidades descentralizadas, siendo los smart contracts una de las más atractivas ​(Alharby & Van Moorsel, 2017, p. 151).

Aunque la tipología en la que se centra este artículo es el comercio electrónico B2C, es necesario reseñar que la naturaleza y la regulación de los acuerdos electrónicos depende directamente de las partes que intervienen en la transacción, es decir, los contratos efectuados dentro del comercio electrónico pueden ser: entre empresas (B2B), entre empresas y consumidores (B2C), entre partes (P2P), entre consumidores (C2C), entre empresas y gobiernos (B2G), entre gobiernos y consumidores (G2C), entre empresas y gobiernos (B2G), o entre gobiernos (G2G) (Kirpichev, 2022; Robleto Arana, 2004).

Actualmente, el comercio electrónico B2C está sufriendo un crecimiento exponencial ​(Hernández Guzmán & Vázquez Chavarriaga, 2023, p. 16)​. El uso generalizado de este tipo de comercio requiere que se cumplan todas las disposiciones normativas que protegen a los consumidores y que dotan de seguridad jurídica a las transacciones comerciales que efectúan las empresas con ellos.

La autoejecución que caracteriza a los smart contracts junto con la dificultad que existe a la hora de localizar e identificar a los usuarios que operan dentro de blockchain pone en riesgo el cumplimiento de la normativa que se analiza a continuación. De esta forma, se observa la necesidad de adaptación de la legislación existente para mitigar las posibles cuestiones jurídicas que plantean los smart contracts y la blockchain dentro del comercio electrónico B2C.

Bajo estas premisas este trabajo persigue, primeramente, estudiar la caracterización técnica y jurídica de los smart contracts y su aplicabilidad al comercio electrónico B2C para analizar las cuestiones jurídicas que plantean en virtud del ordenamiento jurídico español. Para ello, se examinan fuentes bibliográficas e información relevante que permita estudiar en qué consisten los smart contracts, cómo pueden aplicarse al comercio electrónico con consumidores y qué cuestiones jurídicas plantean de acuerdo con la legislación vigente en España.

Para conseguir estos objetivos, el artículo parte de un enfoque descriptivo y cualitativo que permite desarrollar las cuestiones planteadas con el apoyo de las fuentes de información existentes.
Caracterización técnica y jurídica de los smart contracts
La tecnología blockchain ha ido evolucionando hasta el punto de permitir programar acuerdos dentro de su sistema. En un primer momento, Blockchain era utilizada para efectuar y registrar operaciones y pagos con criptomoneda ​(Xu et al., 2019, p. 1)​. Posteriormente, con la aparición de la generación 2.0 de blockchains, sufre un salto cualitativo funcional, que permitió alojar y codificar acuerdos entre partes capaces de autoejecutarse, es decir, concedió a los usuarios la capacidad de utilizar los denominados smart contracts ​(Valpuesta Gastaminza, 2022, p. 31)​.

La idea de los smart contracts surge con anterioridad al desarrollo de Blockchain, pues, durante 1996, su precursor los definía textualmente como "un conjunto de promesas, especificadas en forma digital, que incluyen protocolos dentro de los cuales las partes cumplen estas promesas" ​()​. Sin embargo, es con la aparición de Blockchain cuando estos acuerdos despiertan un gran interés en la sociedad debido a la oportunidad de programar este tipo de contratos dentro de una tecnología de registros distribuidos ​(Zou et al., 2021, p. 2084)​.

Actualmente, la definición de smart contract es heterogénea porque no existe consenso a la hora de precisar en qué consisten este tipo de contratos ​(Cieplak & Leefatt, 2017, p. 417)​. Ello se debe a las amplias formas que pueden adoptar estos acuerdos y a la variedad de tipos de blockchain en los que pueden encontrarse alojados. Así, el término smart contract entraña una pluralidad de definiciones ​(Catchlove, 2017, p. 6)​.

Por otro lado, existen aquellos que enlazan la tecnología blockchain con los smart contracts, entendiéndolos como acuerdos digitales redactados en lenguaje informático que autoejecutan las obligaciones a través de la tecnología Blockchain sin necesidad de intervención humana ​(, p. 4)​.

Entre estas definiciones puede hallarse un denominador común: la autoejecución. Con ella, las partes obtienen una garantía de cumplimiento de las obligaciones pactadas sin la necesidad de intervenir efectuando las prestaciones pactadas de dar, hacer o no hacer.

Actualmente, los smart contracts carecen de regulación específica interna y comunitaria que los defina y los inserte dentro de una estructura normativa que aporte seguridad jurídica. Es por ello por lo que difícilmente puede encontrarse una definición común y unos criterios regulatorios homogéneos a los que las partes puedan acogerse en caso de desavenencias o disputas.

A la vista de la falta de regulación, en España el legislador introduce una primera definición de smart contract a través de la Proposición de Ley n.º 122/000148 para la Transformación Digital de España. En este texto, el cual no tiene fuerza legal porque no se ha aprobado, se define este tipo de contratos como:

Acuerdo entre partes, con capacidad para autoejecutarse mediante un código informático. Blockchain confirma que se dan las condiciones sobre el cumplimiento o no del contrato en los términos acordados y lo resuelve de forma independiente o con ayuda de elementos externos, como las fuentes de datos externas denominadas oráculos.

Esta ausencia de regulación no solo produce una fuerte discusión a la hora de concretar en qué consisten los smart contracts, sino que también supone que se generen diversos debates entre quienes afirman que estos acuerdos no necesitan de ninguna institución jurídica para existir y quienes niegan rotundamente su carácter contractual.

Categorizar jurídicamente una institución que carece de regulación normativa puede resultar complicado. Un contrato en el sentido tradicional del término es "un acuerdo de voluntades de dos o más personas ( duorum vel plurium consensus) dirigido a crear obligaciones entre ellas ( ad constituendum obligationem)" ​(Díez-Picazo y Ponce de León, 2007)​, cuyos requisitos de validez (consentimiento, objeto y causa) son establecidos por el artículo 1261 del Código Civil ​(Feliu Rey, 2018, pp. 7-9)​.

En el ordenamiento jurídico español y en el ámbito internacional prima el principio de libertad de forma. No obstante, puede darse el caso de que una de las partes, tal y como recoge el artículo 2.1.13 de los Principios UNIDROIT 2016 sobre los contratos comerciales internacionales, insista en que el contrato recoja una forma en particular sin la cual "el contrato no se considerará perfeccionado".

Toda vez que el acuerdo cumple con los requisitos de validez y existiendo el principio de libertad de forma que rige las relaciones contractuales de las partes concurrirán todas las exigencias necesarias para considerar al smart contract como un verdadero contrato ​(Tur Faúndez, 2018, p. 80)​.

Como ha podido observarse, los contratos inteligentes pueden ser considerados como acuerdos con los que las partes son capaces de pactar estipulaciones con las que obligarse legalmente. Con ello, conviene estudiar la aplicabilidad de estos acuerdos al comercio electrónico B2C para analizar cómo pueden automatizar los acuerdos celebrados dentro del comercio electrónico y qué cuestiones jurídicas derivan de su implementación en este tipo de relaciones.
Aplicabilidad de los smart contracts en el comercio electrónico B2C
Las compras en línea se convierten en la actividad preferida de los consumidores y se encuentran afectadas por una pluralidad de avances tecnológicos recientes ​(Bulsara & Vaghela, 2020, p. 3794)​, entre ellos: la blockchain y los smart contracts.

Actualmente, el comercio electrónico está muy presente en la sociedad ​(Hernández Ramos & Hernández Berrueco, 2023)​. En líneas generales, el comercio electrónico puede definirse como la "forma de transacción comercial donde las partes interactúan electrónicamente, en lugar del intercambio o contacto físico directo" ​() ​. Como se ha adelantado, junto a esta conceptualización hay que tener en cuenta que existen diferentes formas de comercio electrónico en función de las partes que participen en el negocio, siendo algunas de ellas: el comercio entre empresas y gobiernos (B2G), entre consumidores (C2C), entre empresas (B2B) y entre empresas y consumidores (B2C) ​(Linares Giraldo et al., 2023, p. 3)​.

Los smart contracts no son utilizados únicamente en el comercio electrónico. La tecnología que hace posible su automatización también se emplea a la hora de ejercerlo, bien como registro de las transacciones efectuadas o como soporte de la información jurídica ligada a los negocios celebrados ​(Ibáñez Jiménez, 2018a, p. 2)​.

Hasta la fecha, el comercio electrónico ha dependido casi exclusivamente de las instituciones financieras como entes que participan como terceros de confianza en el procesamiento de los pagos electrónicos que efectúan aquellos que quieren adquirir un bien o servicio ​(, p. 4)​. Con la irrupción de Blockchain y los smart contracts se eliminan los terceros de confianza en las transacciones, lo que redunda en una reducción de costes, celeridad y seguridad.

Además, la Blockchain y criptomoneda Bitcoin están transformando el comercio electrónico y los sistemas de pago que se efectúan a través de internet ​(Nakamoto, 2009, p. 1)​. Bitcoin genera confianza entre los usuarios debido a que reduce los costos de las transacciones, no se vincula la identidad de los titulares a las transacciones y no posee ningún tercero externo que la regule o controle (Terán Noguera & Govanna Betti, 2018, p. 15)​. Igualmente, dentro del comercio electrónico no solo se comercia con ellas, sino que pueden utilizarse como medio de pago para adquirir bienes y servicios. La blockchain pone a disposición del usuario los contratos ( smart contracts), los medios de pago (criptomonedas) y el sistema ( blockchain) donde quedan registradas las transacciones, lo que revoluciona la forma de comerciar y demuestra su aplicabilidad al e-commerce.

Cuando se observa que en el comercio electrónico se usan estas tecnologías, se debe estudiar la posible relación entre ambos.

El contrato electrónico es un acuerdo celebrado a distancia donde, mediante un sistema informático conectado a la red, se produce la manifestación de la voluntad y se deja constancia efectiva de que las partes desean obligarse. En definitiva, es un contrato escrito sui generis ​(Moreno Navarrete, 2017, p. 33)​ pues se externaliza a través de un documento electrónico.

Los smart contracts pueden utilizarse para la compraventa de bienes y servicios y enmarcarse bajo la modalidad de los contratos electrónicos, pues producen consecuencias jurídicas similares (Legeren Molina, 2018, p. 211) y son el resultado de la fusión de dos conceptos: la criptografía y la contratación electrónica (Werbach & Cornell, 2017, p. 320).

Según la letra h) del apartado de Anexos de la Ley 34/2002, del 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSICE) un contrato electrónico es "todo contrato en el que la oferta y la aceptación se transmiten por medio de equipos electrónicos de tratamiento y almacenamiento de datos, conectados a una red de telecomunicaciones". Los smart contracts programados en la blockchain, que es una red digital, recogen los negocios jurídicos que las partes celebran en internet, lo que supone que, en virtud de esta norma, este tipo de acuerdos deban ser considerados como contratos celebrados por vía electrónica ​(Ibáñez Jiménez, 2018b, p. 130).

De esta forma, dentro del comercio electrónico se podrán utilizar los smart contracts. Para ello, las tiendas online podrían estar vinculadas a su propio sistema de inventario y despacho, lo que permitiría automatizar el momento del pago del comprador con la puesta a disposición del producto requerido por dicho comprador. En aquellos casos en los que participe un tercero en la entrega del bien o servicio prestado, la automatización del proceso se produce hasta el momento en el que se "reserva" el bien en la tienda online. Para que todo el negocio jurídico se encuentre automatizado y los smart contracts produzcan todos sus efectos y se apliquen totalmente, la transacción y entrega debe efectuarse a través de la misma red, sistema o tienda online. Un ejemplo de ello puede ser la adquisición de vídeos o música (Sánchez Sánchez, 2018, p. 50) a través de plataformas de pago como Amazon, ITunes, Spotify y Netflix, o, también, la compra de fichas o monedas en videojuegos online, como el caso de los "pavos" en Fortnite.

A su vez, el comercio electrónico puede desarrollarse entre consumidores, C2C. A través de sitios web como Olx o eBay los usuarios pueden adquirir una infinidad de productos. En los últimos años han existidos una gran cantidad de actuaciones fraudulentas, pues no existe forma de controlar las intenciones de los usuarios que operan bajo estas webs. A través de blockchain y los smart contracts pueden eliminarse estos problemas y generar confianza entre las partes en sus transacciones (Joshi & Kumar, 2020).

A la vista de que la blockchain y los smart contracts son aplicables al comercio electrónico con consumidores, deberemos estar a la normativa existente en el ordenamiento jurídico español, al derecho internacional privado y al derecho de la Unión Europea para establecer algunas cuestiones que estas tecnologías generan a la hora de utilizarse dentro del comercio electrónico.

Afectación al derecho de desistimiento de los consumidores

Dado que los smart contracts son verdaderos contratos electrónicos, van a quedar sometidos a las disposiciones de la LSSICE. En palabras del artículo 23 de esta normativa, los acuerdos celebrados vía electrónica deberán cumplir con las disposiciones relativas a "las normas de protección de los consumidores y usuarios y de ordenación de la actividad comercial".

El derecho al desistimiento que poseen los consumidores puede definirse, tal y como recoge el artículo 68 del Real Decreto Legislativo 1/2007, del 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias (en adelante TRLGDCU), como:

La facultad del consumidor y usuario de dejar sin efecto el contrato celebrado, notificándoselo así a la otra parte contratante en el plazo establecido para el ejercicio de ese derecho, sin necesidad de justificar su decisión y sin penalización de ninguna clase.

Los smart contracts son irrevocables, una vez programados en la blockchain no podrán dejarse sin efecto. De esta forma, emergen importantes cuestiones a la hora de modificar las condiciones de estos acuerdos o ejercitar el derecho de desistimiento por parte de los consumidores, lo que, en consecuencia, produce que no puedan salvaguardarse los derechos que la ley otorga a los consumidores y usuarios ​(Pardo Prado, 2022, pp. 153-160).

El desarrollo tecnológico que supone la implantación y el uso de los smart contracts dentro de la sociedad y, en especial, dentro del comercio electrónico deberá dar respuesta a las cuestiones planteadas y, particularmente, a la garantía del derecho de desistimiento de los consumidores. Para ello, puede proponerse un derecho a desistir del acuerdo, pactado ex ante por los contratantes, basado en el pago de una cantidad determinada de activos (Barcelo Compte, 2021, p. 7).

El derecho de desistimiento ofrece diversidad de opiniones en cuanto a su aplicación, así como grandes diferencias entre los ordenamientos jurídicos de cada país (Veiksa, 2023). La tecnología que complementa a los smart contracts y sirve como red donde quedan alojados tiene carácter transnacional, pues los usuarios disponen de acceso a una amplia diversidad de servicios globales desintermediados (Padilla Sánchez, 2020, p. 187). De esta forma, puede observar que la dificultad de encontrar soluciones a los problemas planteados se acrecienta al entrar en juego muchas legislaciones que entienden y aplican el derecho de desistimiento de manera dispar.

Aparte del derecho de desistimiento que tienen los consumidores desde una óptica general, hay que tener presente aquel que se deriva de las compras de contenidos digitales. Como se ha visto, la verdadera automatización del proceso a través de los smart contracts se produce cuando la transacción y entrega se efectúa a través de la misma red, sistema o tienda online.

Dentro de las compras de contenidos digitales sin soporte material el consumidor pierde el derecho de desistimiento en el instante en el que desprecinta el vídeo, audio, programa de ordenador o ejecuta el contenido digital (Cámara Lapuente, 2014, p. 151). No obstante, en virtud del artículo 103 m) 1º y 2º se necesita que el consumidor otorgue consentimiento expreso y conocimiento de que pierde su derecho a desistir. De esta forma, en el smart contract se tendrá que recoger y codificar que el consumidor es consciente de que debido a la naturaleza de los contenidos que va a consumir pierde su derecho a desistir. En virtud del Considerando 19 de la Directiva 2011/83/CE, este consentimiento tendrá que manifestarse por el consumidor dentro del plazo de 14 días de duración que posee de forma general el derecho de desistimiento.

Al igual que sucede con el consentimiento reforzado que se exige para los contenidos digitales, el que se requiere para los contratos de servicios digitales (art. 103ª, TRLGDCU) es muy similar. El consentimiento expreso del consumidor se necesita en el momento en el que comienza la ejecución del servicio. La diferencia estriba en que, en el caso de los contenidos digitales, el derecho de desistimiento se pierde en el momento en el que se ejecuta el contenido digital y, en el supuesto de los servicios digitales, el consumidor pierde el derecho a desistir en el momento en que el servicio se ejecuta totalmente, abonando la indemnización proporcional pertinente por el servicio ya prestado (Cámara Lapuente, 2014, p. 151).

Además, el prestador de servicios o empresario debe informar al consumidor de aquellos casos y bajo qué circunstancias pierde su derecho a desistir, de forma que se cumplan las estipulaciones previstas en los apartados j), k), l) y m) del artículo 91.1 TRLGDCU.

La tecnología de blockchain se utiliza en el comercio electrónico para efectuar transacciones de una manera segura y rápida. Además, mediante la funcionalidad e implementación de los smart contracts se revolucionará el panorama de este tipo de actuaciones. El derecho de desistimiento en los contratos electrónicos produce diversidad de dudas y problemas de interpretación, como puede observarse en la STJUE, Asunto C-96/21 (CTS Eventim), del 31 de marzo de 2022. Esto refuerza la tesis de que resulta complicado controlar que este derecho sea cumplido y salvaguardado.

Actualmente, las tiendas digitales aplican la normativa reguladora de las actividades que realizan los consumidores y usuarios de forma diferente. Por un lado, Amazon, Spotify e iTunes reconocen el derecho a desistir de los usuarios; por otro, Netflix, YouTube y Filmin ni siquiera lo mencionan y Google Play establece que, aun siendo inmediato el acceso a los contenidos, se pude desistir dentro de un plazo de 7 días (Organización de Consumidores y Usuarios, 2016).

A la vista de esto, los smart contracts, entendidos como contratos electrónicos y alojados en una red de blockchain, difícilmente pueden cumplir con la normativa de consumidores y usuarios, pues, ya no solo van a producir los problemas que generan los contratos electrónicos tradicionales, sino que debido a su automatismo y a la inmutabilidad de la blockchain incrementan las transgresiones al ordenamiento jurídico actual.

Además, no solo se derivan cuestiones jurídicas en torno al derecho de desistimiento de los consumidores, sino que, a la hora de que estos puedan buscar soluciones en justicia ordinaria no existe certeza ni seguridad jurídica sobre qué ley será aplicable a las relaciones ni qué juez tendrá competencia para conocer de los asuntos.
Foro y jurisdicción aplicable en las relaciones B2C celebradas con smart contracts
Una de las capacidades que aporta la blockchain a los usuarios es que pueden realizar transacciones de forma transnacional. El comercio electrónico no escapa a las disputas y controversias que pueden generarse entre empresarios y consumidores, o entre proveedores y prestadores de servicios. Enfrentamientos que, dentro de un contexto internacional, se acrecientan por la ausencia de fronteras y la concurrencia de legislaciones de distintos países en los negocios jurídicos de las partes.

Es indudable que los recursos digitales, como Blockchain, pueden contribuir a mitigar el impacto negativo que puede generar el comercio electrónico, al prevenir las repercusiones negativas que pueden generarse en la vida cotidiana de los internautas. Algunos ejemplos son: fraudes, violación de la privacidad, robos de identidad, etc. (Stefano, 2022, p. 5). Sin embargo, estas tecnologías no están exentas de producir otros riesgos y problemas a los que la legislación debe dar respuesta.

En los contratos de consumo celebrados en el entorno internacional, el consumidor es considerado la parte más débil de la relación contractual. De esta forma, la legislación, en aras de protegerlo, prevé condiciones específicas para determinar la competencia judicial de los litigios que surjan en las relaciones B2C, G2C, C2B, etc. (Ortega Giménez, 2019, p. 66).

Las normas que contemplan el régimen específico de determinación de la competencia judicial internacional para los acuerdos de consumo son: los artículos 17 al 19 del Reglamento N.º 1215/2012 del Parlamento Europeo y del Consejo del 12 de diciembre de 2012 relativo a la competencia judicial, el reconocimiento y la ejecución de resoluciones judiciales en materia civil y mercantil (en adelante Reglamento Bruselas I Bis) y los artículos 15 a 17 del Convenio relativo a la competencia judicial, el reconocimiento y la ejecución de resoluciones judiciales en materia civil y mercantil, firmado en Lugano, el 30 de octubre de 2007 (en adelante Convenio de Lugano II) (Ortega Giménez, 2019, p. 67).

Para que los acuerdos B2C sean aplicables a la normativa señalada, la STJUE del 2 de abril de 2020 asunto C-500/18, manifiesta que deben cumplirse los siguientes requisitos:

En primer lugar, una parte contractual tiene la condición de consumidor que actúa en un contexto que puede considerarse ajeno a su actividad profesional; en segundo lugar, se ha celebrado efectivamente el contrato entre dicho consumidor y el profesional, y, en tercer lugar, este contrato pertenece a una de las categorías incluidas en el apartado 1, letras a) a c), del referido artículo 17.

Además de los consumidores, existe la empresa que vende el producto o servicio, la cual, según la STJUE de 12 de septiembre de 2000 asunto C-222/04 (Cassa di Risparmio Di Firenze y Otros), "comprende cualquier entidad que ejerza una actividad económica, con independencia del estatuto jurídico de dicha entidad y de su modo de financiación".

Una vez efectuada la compra dentro del comercio electrónico B2C pueden ocurrir dos posibilidades: a) que el consumidor decida demandar a la empresa por apreciar que sus derechos han sido transgredidos, o b) que la empresa decida emprender acciones legales contra el consumidor por entender que sus derechos e intereses han sido perjudicados (Ortega Giménez, 2019, p. 76).

Según recoge el artículo 18.1 del el Reglamento Bruselas I Bis y el artículo 16.1 del Convenio de Lugano II, si demanda el consumidor, este podrá elegir libremente si entablar las acciones en los tribunales de su domicilio o ante los organismos del lugar donde tenga el domicilio social la empresa.

Si el empresario es quien decide entablar acciones legales contra el consumidor, se respetarán las estipulaciones de los artículos 18.2 del Reglamento Bruselas I Bis y 16.2 del Convenio de Lugano II. En este supuesto, la empresa solo podrá interponer la demanda ante los juzgados del Estado miembro donde el consumidor tenga su domicilio.

El legislador comunitario, al corriente de la repercusión que la revolución digital ejerce sobre el derecho privado, hace hincapié en la protección de los consumidores. Mediante el artículo 169 del Tratado de Funcionamiento de la Unión Europea sienta las bases para salvaguardar los derechos e intereses de los consumidores y crea diversas reglas encargadas de defenderlos. Algunas de ellas son: la Directiva 2011/83 del Parlamento Europeo y del Consejo, del 25 de octubre de 2011, sobre los derechos de los consumidores, y la Directiva 93/13/CEE del Consejo, del 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores (Barcelo Compte, 2022, p. 632).

Como se ha adelantado, los consumidores son la parte más débil de la relación contractual de consumo. Dentro del entorno digital esta vulnerabilidad se acrecienta, por lo que necesitan de una normativa más estricta y reforzada que proteja y garantice sus derechos (Barcelo Compte, 2022, p. 632). Así las cosas, es a partir del artículo 6 del Reglamento (CE) nº 593/2008 del Parlamento Europeo y del Consejo del 17 de junio de 2008, sobre la ley aplicable a las obligaciones contractuales (en adelante Reglamento Roma I) donde se recoge la regulación de los contratos celebrados dentro del ámbito del consumo.

En las transacciones de consumo en las que ninguna parte es consumidora, por ejemplo, B2B, las partes gozan del principio de autonomía de la voluntad para decidir libremente la ley que desean que se aplique a su relación. Cuando uno de los contratantes es consumidor, se aplicarán las restricciones contenidas en el artículo 6 del Reglamento Roma I para proteger a la parte más débil. Así, la ley aplicable a la relación contractual será la del lugar donde el consumidor tenga su residencia habitual, excepto que las partes hayan convenido otra ley que proteja en mayor nivel los derechos e intereses del consumidor (Calvo Caravaca, 2009, p. 86).

Toda vez que se ha estudiado el foro y la jurisdicción aplicable que va a regir las relaciones internacionales de comercio electrónico entre las partes, pues dentro del ordenamiento español habrá que estar también a la Ley Orgánica 7/2015, del 21 de julio, por la que se modifica la Ley Orgánica 6/1985, del 1 de julio, del Poder Judicial, es conveniente destacar algunos aspectos fundamentales de la blockchain y los smart contracts que en ocasiones dificultan la aplicación de la normativa estudiada.

Como se ha dicho, los smart contracts se alojan en la blockchain, es decir, quedan automatizados dentro de una tecnología distribuida por todo el mundo. Como dentro de este sistema no existen fronteras, determinar la ubicación exacta de las partes es una tarea complicada y, en consecuencia, se complejiza la labor de establecer la ley aplicable según la residencia habitual del consumidor y de designar los tribunales competentes para la controversia. Asimismo, hay que tener en cuenta la "sede aparente del prestador característico", normalmente el sujeto contratante, que es considerado como prestador característico tiene su establecimiento en un Estado concreto; sin embargo, en el ámbito digital ( blockchain) puede haber establecido que la compañía provenga aparentemente de otro Estado (Ortega Giménez, 2019, p. 76).

El establecimiento de la ley aplicable y la determinación de la competencia judicial internacional es un tema de gran importancia que debe quedar claro para que las partes disfruten de la máxima seguridad jurídica en sus negocios y acuerdos internacionales. En el ámbito internacional emanan numerosas dudas a la hora de fijar la competencia de los tribunales y la normativa aplicable a cada caso, pues, frecuentemente, uno de los contratantes actúa como consumidor. A modo de ejemplo puede señalarse el Auto 10213/2021 de la Audiencia Provincial de Barcelona del 13 de octubre de 2021, donde se debate la ley aplicable y la competencia judicial de una relación jurídica en la que una de las partes es un consumidor. Tal situación se puede agravar cuando se utilizan los smart contracts porque al estar automatizados van a desplegar siempre sus efectos sin tener en cuenta los derechos e intereses que la legislación concede a los consumidores. Además, al estar alojados en la blockchain, los contratantes pueden no compartir su identidad, lo que conlleva a que en bastantes ocasiones se desconozca si alguna de las partes actúa como consumidor, si tiene capacidad de contratar o si ha determinado libremente, conforme al principio de autonomía de la voluntad, el foro y la jurisdicción aplicable.

El derecho internacional privado recoge una serie de criterios subsidiarios en caso de que los contratantes no se pongan de acuerdo a la hora de determinar el foro y la jurisdicción aplicable a su relación jurídica. A falta de esta elección, las normas analizadas dictaminan una sucesión de reglas que ayudan a su determinación, las cuales provienen de la vinculación entre el caso concreto y una norma concreta a través de la existencia de distintos puntos de conexión, como son la tipología contractual, las prestaciones contractuales y la globalidad de las relaciones jurídicas (Calvo Caravaca & Carrascosa González, 2012, p. 582).

Estos foros concurrentes, designados conforme a criterios tradicionales de conexión por proximidad cuyo eje es la ubicación, según la residencia habitual del consumidor, quedan obsoletos cuando tanto la celebración como el cumplimiento y ejecución del contrato se efectúa a través de un sistema digital descentralizado. Es decir, mediante una tecnología que aloja contratos cuya materialización y consumación se lleva a cabo en un lugar que normalmente no se puede determinar.

De esta forma, dentro de un contexto que escapa de lo tradicional, se tendrán que elaborar los criterios específicos que deberán aplicarse para poder cumplir de forma correcta con las normas aquí estudiadas.

Conclusiones

Las nuevas tecnologías ayudan a la sociedad a progresar y satisfacer mejor sus necesidades. Con el desarrollo de Blockchain cambia la forma en la que la sociedad se relaciona ente sí, y, por consiguiente, las relaciones contractuales, pues, actualmente, una de las funcionalidades que esta tecnología pone a disposición de los usuarios son los smart contracts.

Los smart contracts permiten automatizar la ejecución de las obligaciones contractuales, es decir, garantizan que las condiciones pactadas van a cumplirse porque este tipo de acuerdos una vez codificados no permiten ser modificados.

Estos contratos no disponen de una regulación específica que fije sus límites y resuelva las potenciales cuestiones jurídicas que plantean, pues, aunque aportan numerosos beneficios a la sociedad, también transgreden ciertos derechos y normas que la legislación actual reconoce a las personas.

A la vista de la normativa española, los smart contracts deben ser enmarcados dentro de la modalidad de contratos electrónicos, debido a que cumplen con todos los requisitos que la normativa exige para que sean considerados de tal forma. Sin embargo, poseen una característica que los diferencia y que puede acarrear una legislación específica para ellos: la automatización.

Los smart contracts pueden ser aplicados a una gran diversidad de tipologías contractuales. Como se ha visto, aunque son contratos automáticos cuya forma es electrónica, no dejan de ser verdaderos acuerdos que, una vez prestado el consentimiento, las partes quedan obligadas a lo pactado.

De esta forma, serán capaces de revolucionar el ámbito del comercio electrónico, pues son plenamente aplicables a los negocios jurídicos que se efectúan dentro del entorno del consumo y, concretamente, dentro de las relaciones B2C.

Los smart contracts alojan en su código obligaciones automatizadas que no permiten su alteración. La legislación vigente reconoce a los consumidores distintos derechos que defienden sus intereses y se encargan de salvaguardarles ante la contraparte del negocio (el empresario). Una de estas garantías es el derecho al desistimiento que tienen los consumidores, a través del cual, si no se encuentran de acuerdo con los productos o servicios adquiridos, pueden devolverlos en un plazo especificado por ley.

Con el empleo de los smart contracts resulta complicado proteger y cumplir el derecho al desistimiento de los consumidores. Por un lado, las condiciones pactadas no pueden modificarse después de su codificación y registro en blockchain. Y, por otro, debe recogerse en el código la renuncia expresa a este derecho cuando sea posible y los deberes de información que debe cumplir el empresario.

La tecnología blockchain es un sistema distribuido por todo el mundo que carece de fronteras, lo que implica que cualquier usuario desde cualquier parte del planeta pueda operar dentro de dicha red. Las relaciones jurídicas que se producen dentro del comercio electrónico tienen que cumplir con las normas de derecho internacional privado encargadas de establecer la competencia judicial y la ley aplicable a cada negocio jurídico; ahora bien, cuando el comercio electrónico se desarrolla mediante el uso de los smart contracts y la blockchain se complica la labor de cumplimiento de estas normas.

Dentro de blockchain los usuarios pueden actuar de forma anónima o bajo seudónimos que dificultan la identificación de los sujetos que participan en la red. De esta forma, si no se puede llegar a identificar a un usuario, difícilmente puede demostrarse su condición de consumidor o su capacidad para contratar, no olvidemos que a la blockchain pueden acceder menores de edad o usuarios que hayan sido privados de su capacidad de obrar.

La normativa que se encarga de establecer qué tribunal va a conocer de las cuestiones planteadas sobre un negocio jurídico determinado y sobre qué legislación va a regirse se basan en la teoría de la ubicación. Es decir, en las relaciones B2C el consumidor es considerado la parte más débil, lo que implica que, en caso de que no exista acuerdo en cuanto a que legislación y tribunales someterse, la ley aplicable y los tribunales competentes serán los del lugar de residencia del consumidor.

La blockchain es un sistema donde los sujetos son capaces de operar sin que sean reconocidos y pertenecer a cualquier país del mundo, lo que pone en jaque la normativa existente, que se basa en la localización del consumidor.

A la vista de las cuestiones planteadas y a las transgresiones normativas que produce la blockchain y los smart contracts dentro del comercio electrónico B2C se considera necesario al menos una adaptación de la normativa existente a estas tecnologías para proteger los derechos e intereses de los consumidores y garantizar la seguridad jurídica dentro de las transacciones electrónicas B2C.

# data[].attributes.attachment_link.title
Cuestiones jurídicas generadas por los smart contracts en el comercio electrónico B2C: foro, jurisdicción aplicable y derecho de desistimiento dentro del ordenamiento jurídico español

# data[].attributes.body
Rosales, J. E. (2023). Percepción de los abogados CAJ sobre el derecho penal del enemigo y los prisioneros de Guantánamo Periodo 2020. [Tesis para optar el título profesional de Abogado, Escuela Académico Profesional de Derecho, Universidad Continental]. Repositorio Institucional - Continental. https://repositorio.continental.edu.pe/handle/20.500.12394/13434

# data[].attributes.body
Derecho Virtual. (11 de marzo de 2024). Derecho Administrativo: ¿Qué es [Descúbrelo con ESTOS EJEMPLOS] [video]. Youtube. https://youtu.be/2xiBhCp72fY?si=LhXrcj2EZJztbD3j

# data[].attributes.attachment_link.title
🔵 Derecho Administrativo: ¿Qué es?【Descúbrelo con ESTOS EJEMPLOS】

# data[].attributes.body
Mouly, C. (2022). Estudios de paz y conflictos. P.I.E. - Peter Lang Éditions Scientifiques Internationales. https://doi.org/10.3726/b18552

# data[].attributes.body
Sanchez-Garcia, I.D., Rea-Guamán, A.M.,T. San Feliu .,Calvo -Manzano, J.A.(2024).Auditoría de riesgos de ciberseguridad. Revisión de la literatura, propuesta y aplicación. RISTI - Revista Ibérica de Sistemas y Tecnologías de la Información, volumen (1), 1646-9895. https://doi.org/10.17013/risti.53.69-87

# data[].attributes.attachment_link.readable_text
Artículos

Auditoría de riesgos de ciberseguridad: Revisión de Literatura, propuesta y aplicación

Cybersecurity Risk Audit: Literature Review, Proposal, and Application

Universidad Politécnica de Madrid, ETS Ingenieros Informáticos Madrid, España. isaacdaniel.sanchez@alumnos.upm.es, tomas.sanfeliu@upm.es, joseantonio.calvomanzano@upm.es.

Universidad de las Fuerzas Armadas - ESPE, Departamento de Ciencias de la Computación Sangolquí, Ecuador. amrea1@espe.edu.ec

Una de las etapas de la gestión de riesgos de ciberseguridad es el monitoreo y la revisión. Esta etapa forma parte del proceso de mejora continua de un sistema de gestión de riesgos de ciberseguridad. Este artículo tiene como objetivo llevar a cabo una exploración de una guía de auditoría de riesgos de ciberseguridad tomando como referencia objetivos comunes y guías de la auditoría de riesgos de ciberseguridad. Para ello se tomó como partida una Revisión Sistemática de Literatura (SLR) considerando los estudios de los últimos diez años (2012-2022), a partir de los cuales se identificaron 23 estudios que mencionaban objetivos y guías de auditoría de riesgos de ciberseguridad. Además, se propusieron atributos que deben ser considerados para la creación de un guía de riesgos de ciberseguridad. Posteriormente en el presente trabajo se define una guía de auditoría de riesgos de ciberseguridad (CRAG). Finalmente, se expone la aplicación de CRAG por medio de un caso de estudio considerando los parámetros identificados en los estudios previamente mencionados.

Palabras-clave: Auditoría de ciberseguridad; Guía de auditoría; Aseguramiento; Cumplimiento, Mejora de la ciberseguridad, Monitoreo; Revisión sistemática de literatura; Aplicación

One of the stages of cybersecurity risk management is monitoring and review. This stage is part of the continuous improvement process of a cybersecurity risk management system. This article aims to conduct an exploration of a cybersecurity risk audit guide by referencing common objectives and guidelines of cybersecurity risk auditing. To do so, a Systematic Literature Review (SLR) was conducted considering studies from the last ten years (2012-2022), from which 23 studies mentioning cybersecurity risk audit objectives and guidelines were identified. Additionally, attributes to be considered for the creation of a cybersecurity risk guide were proposed. Finally, an application and validation of the identified parameters in the previously mentioned studies are presented.

Keywords: Cybersecurity Audit; Audit Guide; Assurance; Compliance; Cybersecurity Enhancement, Monitoring; Systematic Literature Review; Implementation

1. Introducción

La norma ISO 27005:2018 establece como marco de referencia para la gestión de riesgos de ciberseguridad cuatro etapas: 1) establecimiento del contexto, 2) evaluación de riesgos, 3) tratamiento de riesgos, 4) monitoreo y revisión. La nominación de estas etapas puede variar según el marco de referencia utilizado. Comúnmente, la etapa de monitoreo y revisión suele cerrar el ciclo de gestión de riesgos de ciberseguridad.

La etapa de monitoreo y revisión de riesgos de ciberseguridad incluye el monitoreo regular de los riesgos y contramedidas definidas en las etapas de evaluación y tratamiento de riesgos. Además, revisiones periódicas (auditorías) son necesarias para un monitoreo adecuado para validar la efectividad de las contramedidas en abordar los riesgos (Slapničar et al., 2022). Este estudio se centrará en los problemas relacionados con las auditorías de riesgos de ciberseguridad, que son parte de la etapa de monitoreo y revisión de riesgos de ciberseguridad.

La evaluación de riesgos de ciberseguridad implica examinar regularmente los mecanismos de seguridad para detectar deficiencias donde no hayan sido diseñados de manera efectiva o no estén operando como se esperaba. Estas evaluaciones pueden abarcar áreas como las aplicaciones de tecnologías de la información, las operaciones de TI, la gobernanza y el personal, todas las cuales son componentes específicos en la implementación de sistemas de información.

A pesar de su importancia, la auditoría de riesgos de ciberseguridad aún no ha alcanzado un nivel de madurez que pueda ser comparable respecto a otras áreas de auditoría, como lo es la auditoría contable, que se ha venido desarrollando durante décadas. Esta falta de madurez es justificable, pues la ciberseguridad es un campo que está en constante evolución, con nuevos riesgos y amenazas surgiendo continuamente. Autores como Duncan y Whittington (2014) enfatizan en la necesidad de avanzar en este sentido.

Para que la auditoría de riesgos de ciberseguridad alcance un nivel de madurez considerado óptimo, se requiere de una mayor claridad en tres aspectos fundamentales, que son los conceptos, las pruebas y los procedimientos. Estos tres elementos son requeridos para que el correcto funcionamiento de las medidas de seguridad pueda ser validado.

Los desafíos principales, a los cuales se enfrentan las organizaciones al momento de realizar las auditorias de riesgo de ciberseguridad son las siguientes:

1. La constante aparición de nuevas amenazas y vulnerabilidades representan un obstáculo para llevar a cabo auditorías de ciberseguridad.

2. La escasez de profesionales que posean las habilidades y conocimientos para realizar auditorías de riesgo de ciberseguridad es otro problema común. Muchas organizaciones recurren a la ayuda de consultores externos cualificados para tomar decisiones estratégicas en este ámbito (Galligan & Rau, 2015).

Por otro lado, las organizaciones también enfrentan un reto al intentar cumplir con un estándar o guía de auditoría de riesgos de ciberseguridad. De acuerdo con Sabillón et al. (2018), es crucial contar con una orientación clara o un consenso sobre qué áreas, subáreas, dominios o subdominios deben ser considerados en una auditoría de riesgos de ciberseguridad. Un ejemplo que ilustra las dificultades asociadas con los estándares actuales de auditoría de riesgos de ciberseguridad es el estudio realizado por Gauthier & Brender, (2021).

Un estudio realizado por Megan et al. (2022) recopila daros de diversos estudios relacionados con las auditorias de riesgos de ciberseguridad. El estudio revela que las organizaciones, especialmente en países en vías de desarrollo, se encuentran realizando esfuerzos significativos para mejorar la ejecución de estas auditorias.

Aquellas organizaciones que han experimentado problemas de ciberseguridad por la falta de auditorías de riesgos de ciberseguridad han sido las promotoras impulsoras de este cambio, pues han reconocido la importancia de estas auditorias para de esta manera, ser capaces de proteger sus activos de información (Gale, Bongiovanni, & Slapnicar, 2022).

Gale et al., (2022) recopilan datos de estudios relacionados con auditorías de riesgos de ciberseguridad. Como resultado, Gale et al., (2022) mencionan que las organizaciones están realizando esfuerzos significativos, especialmente en países en desarrollo, para mejorar la ejecución de las auditorías de riesgos de ciberseguridad. Las organizaciones que ya han experimentado problemas de ciberseguridad debido a la falta de auditorías de riesgos de ciberseguridad han trabajado en mejorar la competencia de los comités de auditoría interna e implementar guías prácticas dentro de la organización, definiendo objetivos claros (Gale et al., 2022).

Según Ezzamouri & Hulstijn (2018), una auditoría de riesgos de ciberseguridad realizada con la guía adecuada permite a los auditores ofrecer una garantía razonable sobre la criticidad e impacto potencial de un riesgo. Esta garantía se basa en la evaluación de la efectividad de las contramedidas implementadas para mitigar dicho riesgo. Los resultados obtenidos de esta auditoría de riesgos de ciberseguridad se plasman en un informe de auditoría. El monitoreo continuo suele ser responsabilidad de la dirección, ya que afecta a los controles internos integrados en los procesos tecnológicos de la empresa.

Derivado de esta problemática relacionada con la auditoría de riesgos de ciberseguridad se decidió realizar una Revisión Sistemática de la Literatura (SLR, por sus siglas en inglés) utilizando como guía a Kitchenham et al., (2009) presentada en la sección 2. En la sección 3 se presenta la Guía de Auditoría de Riesgos de Ciberseguridad (CRAG, por sus siglas en inglés)

Se seleccionó la Técnica Estructurada de Análisis y Diseño (SADT) de Congram & Epelman, (1995) para su desarrollo. En la sección 4 se presenta validación de la guía CRAG, esta validación se realizó por medio de un caso de estudio. Finalmente, en la sección 5 se presentan las conclusiones y líneas de investigación futuras.

Las contribuciones de este trabajo de investigación serán:

1. Establecer objetivos comunes aplicables a las auditorías de riesgos de ciberseguridad.

2. Discutir las contribuciones y beneficios de las guías de auditoría de riesgos de ciberseguridad.

3. Realizar una propuesta de guía de auditoría de riesgos de ciberseguridad.

4. Realizar la validación de la guía previamente propuesta por medio de la aplicación de un caso de estudio.

2. Revisión sistemática de literatura

La metodología propuesta por B. Kitchenham fue seleccionada para llevar a cabo esta Revisión Sistemática de la Literatura (SLR, por sus siglas en inglés) (Kitchenham et al., 2009). La SLR es un proceso formal y verificable que el investigador realiza para documentar el estado del conocimiento sobre un tema en particular. Según B. Kitchenham, una revisión sistemática evalúa e interpreta toda la investigación disponible relevante para una pregunta de investigación dada en el área temática o fenómeno de interés (Fernandez et al., 2015). Esta SLR incluye los siguientes pasos: (1) Proponer un protocolo de revisión y definir las preguntas de investigación, (2) Realizar la revisión (identificar estudios primarios y evaluar estos estudios), (3) Extraer y discutir los resultados de la revisión sistemática de la literatura.

2.1 Proponer un protocolo de revisión y definir las preguntas de investigación.

Pregunta de Investigación 1 (RQ1): ¿Qué objetivos se utilizan en las auditorías de riesgos de ciberseguridad según la literatura?

Con el propósito de responder la pregunta de investigación RQ1, se identificarán los objetivos primordiales de las auditorías de riesgos de ciberseguridad que se encuentran plasmados en la literatura existente. Asimismo, estos objetivos serán clasificados según su enfoque específico (auditoría interna, seguridad de la información o ciberseguridad) con la finalidad de delimitar el conjunto de aquellos aplicables a la ciberseguridad. La formulación de la RQ1 se fundamenta en el objetivo a) identificar los principales objetivos de las auditorías de riesgos de ciberseguridad.

Pregunta de Investigación 2 (RQ2): ¿Cuáles son las pautas más utilizadas en la literatura sobre auditorías de riesgos de ciberseguridad y sus características?

El propósito fundamental de la RQ2 consiste en identificar las directrices, estándares, marcos o modelos que guarden relación con las auditorías de riesgos de ciberseguridad. Adicionalmente, persigue el objetivo de detectar tendencias o brechas en las mencionadas pautas y estándares. La formulación de la RQ2 se basa en el objetivo b) identificar y analizar las pautas de auditoría de riesgos de ciberseguridad.

2.1.1 Protocolo PICO

2.2 Realizar la revisión.

Los criterios establecidos para la selección de fuentes (bases de datos) se fundamentaron en: a) la experiencia reportada por Dyba et al. (2007), y Petersen et al. (2008); b) la disponibilidad de estudios de texto completo encontrados a través de las cadenas de búsqueda; c) estudios disponibles en la web de forma gratuita; y d) revistas especializadas en ciberseguridad accesibles en la biblioteca de la Universidad Politécnica de Madrid. Las fuentes seleccionadas para esta Revisión Sistemática de Literatura son 1) ACM Digital Library, 2) IEEE Digital Library, 3) ISI Web of Science, 4) ScienceDirect, 5) Scopus y 6) Springer Link. Google Scholar fue seleccionado únicamente para aplicar la técnica de bola de nieve.

La cadena de búsqueda definida en la sección anterior fue introducida en los motores de búsqueda de las fuentes mencionadas.

Criterios de inclusión:

Criterios de exclusión:

2.3 Selección de estudios primarios

La selección de los estudios primarios se ha dividido en un procedimiento compuesto por tres actividades. Se creó un conjunto de datos para realizar estas actividades (ver https://short.upm.es/xljfp). Este conjunto de datos contiene los resultados de las tres actividades.

En la primera actividad, se insertó la cadena de búsqueda creada en el protocolo de revisión en los motores de búsqueda de la base de datos. Después de la primera actividad, se encontraron 2,032 estudios. Los resultados se presentan en la Tabla 2.

Posteriormente, en la segunda actividad se aplicaron los criterios de exclusión (criterios de I&E), leyendo el título, el resumen y las palabras clave. Se encontraron y excluyeron 63 estudios duplicados. Después de aplicar los criterios de I&E, se excluyeron 1,877 estudios adicionales por no ser relevantes para responder las preguntas de investigación. Un total de 92 publicaciones se consideraron relevantes. Todos los resultados se muestran en el conjunto de datos del proceso de RSL (consultar https://short.upm.es/xljfp para obtener más información).

En la tercera actividad, se seleccionaron los estudios basándose en lo siguiente:

Después de aplicar la tercera actividad, se rechazaron 72 estudios y se aceptaron tres estudios de navegadores de Internet, obteniendo así 23 estudios aceptados después de la tercera actividad.

2.3 Extraer y discutir los resultados de la revisión sistemática de la literatura.

Tras analizar los estudios primarios, se identificó que podrían clasificarse según los objetivos que debe cumplir la auditoría de riesgos de ciberseguridad. Para establecer la relación entre estos objetivos, resulta conveniente clasificar los conceptos y objetivos en cuatro objetivos principales, tomando como referencia el trabajo de Duncan et al. (2014).

Este trabajo encontró que los cuatro objetivos de la auditoría de riesgos de ciberseguridad se encuentran estrechamente relacionados, debido a que el proceso de auditoría de riesgos de ciberseguridad debe mejorarse además de realizar una evaluación, medir el cumplimiento y validar la garantía.

Tras analizar los cuatro objetivos de la auditoría de riesgos de ciberseguridad, se determinó que se encuentran interrelacionados (ver Figura 1). Por ejemplo, uno de los objetivos de una auditoría es realizar una revisión para garantizar la efectividad de un sistema de gestión. Además, según el Diccionario Oxford de inglés, una auditoría es "un examen oficial de la calidad o estándar de algo", por lo que una auditoría puede estar relacionada tanto con la garantía como con el cumplimiento de un estándar o regulación. El objetivo final de una auditoría de un sistema de gestión de ciberseguridad es mejorar el estado actual de la ciberseguridad.

Resumiendo, los resultados de esta sección, dentro de los conceptos relacionados con la ciberseguridad centrados en la realización de auditorías de riesgos, se identificó que los autores mencionan los objetivos "Evaluación", "Garantía", "Cumplimiento" y "Mejorar la Ciberseguridad". Estos objetivos están interrelacionados, ya que constituyen los pilares fundamentales de las auditorías de riesgos de ciberseguridad.

Adicionalmente, se identificaron las siete guías utilizadas con mayor amplitud para las auditorías de riesgos de ciberseguridad: 1) la familia ISO 27000, 2) COBIT, 3) SOX-COSO, 4) NIST CSF, 5) PCI-DSS, 6) IAASB y 7) CSAM. De las guías previamente identificadas, solo el NIST CSF y el CSAM fueron creadas explícitamente para el ámbito de la ciberseguridad. Además, según los autores, el enfoque de las guías de auditoría de riesgos de ciberseguridad puede clasificarse en aquellas que se centran en procesos, tecnología o a nivel estratégico.

Una observación interesante es que se han identificado dos tendencias distintas en la investigación primaria. En primer lugar, algunos autores utilizan guías de auditoría centradas en el nivel estratégico sin considerar el componente técnico, y por otro lado, otros autores emplean guías de auditoría con un enfoque técnico sin considerar el enfoque estratégico. Estas dos tendencias demuestran la necesidad de complementarse mutuamente de manera equitativa para evaluar el sistema de gestión de ciberseguridad de manera objetiva y práctica.

3. Guía de riesgos de ciberseguridad propuesta

La guía Cybersecurity Risk Audit Guideline (CRAG) fue desarrollada considerando estándares internacionales tanto para ciberseguridad como para control interno. El propósito de la guía CRAG es abordar las auditorías de riesgos de ciberseguridad, teniendo en cuenta aspectos más allá de los técnicos y tradicionales.

La creación de la guía CRAG utilizó SADT como punto de partida, incorporando las fases de auditoría de control interno definidas en COSO ERM y complementándolas con las etapas de gestión de riesgos de seguridad propuestas por ISO 27001, adicionalmente se utilizó de referencia los modelos CSAM y NIST que son los que fueron identificados en la SLR (sección 2) como los utilizados para auditorías de riesgos de ciberseguridad.

3.1 SADT aplicado para crear la guía CRAG

Para la creación de la guía CRAG, se consideraron las siguientes fases ( figura3), teniendo en cuenta y utilizando SADT:

3.2 SADT Model Applied to Create CRAG Guideline

Para la creación de la guía CRAG, se consideraron las siguientes fases, teniendo en cuenta y utilizando SADT:

3.2.1 Establecimiento del contexto: Identificar el contexto de la auditoría de riesgos de ciberseguridad, considerando estándares y regulaciones aplicables. Dentro de esta fase de consideran las siguientes actividades:

3.2.2 Descomposición del sistema: Desglosar el sistema de ciberseguridad en sus principales componentes, como infraestructura tecnológica, activos de información, procesos comerciales y políticas de seguridad. Identificar áreas clave que deben evaluarse durante la auditoría. Estas áreas se definirán en función de clasificaciones generales de estándares como ISO 27001, NIST CSF (Ver Figura 3).

3.2.3 Relaciones entre componentes: Determinar las interacciones y relaciones entre los componentes del sistema de ciberseguridad. Por ejemplo, cómo los activos de información están protegidos por controles de seguridad física definidos en políticas y procedimientos (Dyba et al., 2007) (Ver Figura 3).

3.2.4 Identificación de Controles de Seguridad: Establecer cómo diferentes controles se relacionan con los componentes del sistema y contribuyen a mitigar los riesgos de ciberseguridad.

3.2.5 Evaluación de Riesgos: Evaluar los riesgos de ciberseguridad asociados con cada componente del sistema, considerando los controles de seguridad identificados y los requisitos de los estándares aplicables. Determinar el impacto y la probabilidad de ocurrencia de los riesgos identificados (Ver Figura 3).

3.2.6 Diseño de Medidas de Mitigación: Establecer acciones correctivas y preventivas para reducir los riesgos a un nivel aceptable (Ver Figura 3).

3.2.7 Documentación: Documentar los resultados de la auditoría de riesgos de ciberseguridad. Esto puede incluir la creación de diagramas que muestren la estructura del sistema de ciberseguridad, los riesgos identificados, los controles de seguridad recomendados y las medidas de mitigación propuestas (Ver Figura 3).

4. Validación de la guía CRAG

Para llevar a cabo esta sección, decidimos aplicar un caso de estudio, tomando como referencia el trabajo de ), que proporciona pautas para la realización de casos de estudio. Utilizamos como objeto de estudio un proceso de ciberseguridad en un banco internacional. La estructura del banco objeto de estudio está compuesta por 115.000 empleados y más de 89 millones de clientes a nivel mundial. Por lo tanto, el caso de estudio se limitará a la sede corporativa de México, que cuenta con 10.001 empleados con sede en la Ciudad de México.

El estudio de caso se llevó a cabo desde el noviembre de 2023, hasta el 30 de marzo de 2024. Comenzó con la presentación y mención de que la aplicación de este caso de estudio tenía propósitos puramente académicos y se centró en uno de los procesos de un departamento en el campo de la ciberseguridad.

Debido a su importancia en las revisiones de estados financieros por auditores externos, auditores internos y reguladores, el proceso seleccionado estaba relacionado con el ciclo de vida del usuario y era gestionado por el departamento de Gestión de Identidad y Acceso (IAM, por sus siglas en inglés).

El self risk assessment consiste en una evaluación independiente del control interno que no es formalmente una auditoría con el fin de identificar la madurez de los controles. Para la aplicación del caso de uso se propuso realizar por el área de control interno un "self risk assessment" (International Organization for Standardization, 2018).

Para esta autoevaluación se consideró la metodología de evaluación de la primera y segunda línea de defensa de la organización incorporando las fases y actividades de CRAG. Es relevante aclarar que CRAG no tiene por intención sustituir ninguna metodología de auditorías o evaluaciones internas de los controles de riesgos de ciberseguridad, el objetivo de CRAG es servir de guía para robustecer y facilitar la ejecución de auditorías de riesgos de ciberseguridad.

Para ello, la oficina del chief information security officer (CISO) llenó un formulario (disponible en el siguiente enlace: https://short.upm.es/xb9e4) relacionado cada fase y sus actividades ver figura 4. Este formato sirve como evidencia del informe de auditoría y resumen ejecutivo de la auditoría. El objetivo del formato es validar la correcta diferenciación de cada una de las fases y la aplicación de cada una de las actividades.

Una vez llenado el formulario (formulario completado disponible en el siguiente enlace: https://short.upm.es/r7gk0) se identificaron de un total de 20 aplicaciones en el alcance un total de 30 controles con un total de 3 fallos o desviaciones en el diseño del control (monitorización y gestión de cuentas privilegiadas de plataformas) y un total de 17 fallas en la eficacia operativa del control (bajas, bloqueos certificación y segregación de funciones de usuarios/perfiles).

Posteriormente de la implementación de la guía de auditoría CRAG el CISO identificó dentro de los tiempos invertidos para el self assessment un incremento de 1 semana a 2 semanas en la planeación del risk assessment por la utilización de la guía CRAG. A pesar del incremento en el tiempo de planeación el CISO validó que la ejecución del self assessment fue más practica por la incorporación de actividades definidas y que este se alineaba con los pasos utilizados en la metodología tradicional utilizada por la institución en las revisiones de control interno.

5. Conclusiones

En este se estudio ha demostrado que los autores de los estudios referenciados mencionan a la auditoría de ciberseguridad sin tomar en consideración los conceptos asociados ni los objetivos mínimos. Además, la auditoría de ciberseguridad está aún en sus inicios y le queda camino por recorrer antes de alcanzar la madurez necesaria. Otro punto mencionado en los estudios referidos indica que, dado las auditorías de TI, y especialmente las de ciberseguridad, no están tan estrictamente supervisadas como las auditorías contables, se cuestiona su efectividad.

Este estudio ha encontrado que en general, el cumplimiento, el aseguramiento y la auditoría son conceptos diferentes dentro de la ciberseguridad. Debido al costo que implica contratar especialistas en estos temas, los responsables de la aplicación de las directrices de auditoría intentan controlar el problema, limitándose a un ejercicio de marcar casillas. Siendo una actividad que no engloba el escenario real de una auditoria.

En 17 de los 23 estudios de auditoría analizados, los objetivos definidos que conforman la auditoría de riesgos de ciberseguridad: "Evaluar", "Aseguramiento", "Cumplimiento" y "Mejora de la ciberseguridad". Como resultado de la relación identificada entre los objetivos, se considera que podría desarrollarse una nueva línea de investigación para establecer la viabilidad de desarrollar una guía de auditoría que cubra estos temas.

Actualmente, hay pocas directrices de auditoría enfocadas específicamente en los requisitos de ciberseguridad. Los modelos CSF (Cybersecurity Framework) y CSAM (Cybersecurity Assessment and Management) del NIST han sido los únicos identificados en esta investigación como directrices para auditar la madurez y eficacia de los mecanismos de mitigación de riesgos de ciberseguridad.

Adicionalmente se realizó una propuesta tomando como referencia las guías identificadas en la SLR, la cual se denominó Cibersecurity Risk Audit Guideline (CRAG). Esta guía para realización de auditorías de riesgos de ciberseguridad se desarrolló considerando las 3 fases de la auditoría definidas por lo estudios primarios de la SLR 1) Establecimiento del contexto, 2) Realización de la auditoría y 3) preparación del informe de auditoría.

Para esto SDTA fue utilizado para obtener un total de 7 fases que deben ser consideradas en la auditoría de riesgos de ciberseguridad. De las cuales se desprenden un total de 28 actividades.

Igualmente, al desarrollar un caso de estudio se diseñó un formulario que sirva de punto inicial como una guía donde se documente la auditoría de riesgos de ciberseguridad. El objetivo del formulario es obtener un punto de partida para recoger opiniones y comentarios de diferentes organizaciones para poder consolidar una guía eficiente para la realización de riesgos de ciberseguridad.

5.1 Limitaciones del presente trabajo de investigación

Una limitación o sesgo potencial es la dificultad para comparar y obtener puntos de referencia comunes para las directrices que tienen enfoques tan diferentes, como las directrices de control interno, las directrices de seguridad de la información y las directrices de ciberseguridad.

Se recomienda la guía CRAG para evaluar contramedidas específicas de ciberseguridad, ya que al aplicarla a contramedidas creadas para otra área posible podría no tener en cuenta las necesidades específicas de esta área (por ejemplo riesgos de calidad etc.).

Una de las limitaciones del presente trabajo es realizar a una mayor escala la validación del caso de estudio de CRAG para la identificación de mejoras y validación correcta de la eficiencia de esta guía.

Otra limitación puede ser la omisión de algún parámetro o características relevantes consideradas en las guías tomadas como referencia, para la creación de CRAG. Para ello se propone realizar un modelo de comparación y análisis extendido de todas las características recogidas en las guías para auditorias de riesgos de ciberseguridad.

Se propone como trabajo futuro realizar una comparativa y extracción de parámetros, conceptos y características de las guías para auditorías de riesgos de ciberseguridad. Adicionalmente relacionar los comentarios e información en formatos llenados por los CISO´s de diferentes organizaciones y utilizar esta información para identificar patrones o relaciones entre actividades, conceptos y características para poder establecer algún parámetro cuantitativo que ayude en la ejecución de las auditorías de riesgos de ciberseguridad.

Referencias

Congram, C., & Epelman, M. (1995). How to describe your service. International Journal of Service Industry Management, 6(2), 6-23. https://doi.org/10.1108/09564239510084914 [ Links ]

Duncan, B., & Whittington, M. (2014). Compliance with standards, assurance and audit: Does this equal security? ACM International Conference Proceeding Series, 2014-September, 77-84. https://doi.org/10.1145/2659651.2659711 [ Links ]

European Confederation of Institutes of Internal Auditors. (2020). " Risk in focus 2021. Hot topics for internal auditors." Available at: Https://Www.Eciia.Eu/Wp-Content/Uploads/2020/09/100242-RISK-IN-FOCUS-2021-52PP-ECIIA-Online-V2.Pdf. [ Links ]

Islam, Md. S., Farah, N., & Stafford, T. F. (2018). Factors associated with security/cybersecurity audit by internal audit function. Managerial Auditing Journal, 33(4), 377-409. https://doi.org/10.1108/MAJ-07-2017-1595 [ Links ]

Information Systems Audit and Control Association. (2018). COBIT 2019. https:// www.isaca.org/COBIT [ Links ]

National Institute of Standards and Technology. (2018). NIST cybersecurity framework. Proceedings of the Annual ISA Analysis Division Symposium, 535, 9-25. [ Links ]

Sabillon, R., Serra-Ruiz, J., Cavaller, V., & Cano, J. (2018). A comprehensive cybersecurity audit model to improve cybersecurity assurance: The cybersecurity audit model (CSAM). In Proceedings - 2017 International Conference on Information Systems and Computer Science, INCISCOS 2017 (pp. 253-259). Institute of Electrical and Electronics Engineers Inc. https://doi.org/10.1109/INCISCOS.2017.20 [ Links ]

Steinbart, P. J., Raschke, R. L., Gal, G., & Dilla, W. N. (2012). The relationship between internal audit and information security: An exploratory investigation. International Journal of Accounting Information Systems, 13(3), 228-243. https://doi.org/10.1016/j.accinf.2012.06.007 [ Links ]

Yin, R. K. (2018). Case Study Research and Applications (Sixth Edition). SAGE Publications India Pvt. Ltd. https://lccn.loc.gov/2017040835 [ Links ]

# data[].attributes.attachment_link.title
Auditoría de riesgos de ciberseguridad: Revisión de Literatura, propuesta y aplicación

# data[].attributes.body
Rodríguez, N.K. (Noviembre 2022). Trayectoria académica y desempeño profesional: Un estudio sobre mujeres peruanas de tecnología de la información. [Gestión estratégica con mención en innovación y gestión en educación superior, Consorcio de Universidades Doctorados en gestión estratégica]. Repositorio de Hub de información en Biblioteca virtual - ProQuest

https://continental.elogim.com/auth-meta/login.php?url=https://wwwproquest.continental.elogim.com/dissertations-theses/trayectoria-académica-y-desempeño-profesional-un/docview/2911264210/se-2?accountid=146219

# data[].attributes.body
ComputerHoy.com.(25 de marzo de 2022).¿Qué es PYTHON?.[archivo de video].You Tube. https://www.youtube.com/watch?v=Rv910T1BJUw

# data[].attributes.attachment_link.title
¿Sabes qué es PYTHON y por qué es un lenguaje de programación tan importante?

# data[].attributes.body
Bonilla. T. (2023). Fundamentos de programación: PYTHON. Editorial Universidad de Sevilla. 2.edición

: https://dx.doi.org/10.12795/9788447225071

# data[].attributes.body
Euruka code. (29 de agosto de 2022). Instalar C++ en 5 minutos || C++ en windows. Youtube. https://youtu.be/fh9cGD_fLrA?si=csqVgBEUaW--UJxs

# data[].attributes.attachment_link.title
Instalar C++ en 5 minutos || C++ en windows