La protección de los menores en Internet se ha convertido en uno de los debates regulatorios más urgentes y complejos del actual entorno digital. A medida que la tecnología evoluciona, también aumenta la necesidad de crear espacios digitales más seguros. Reguladores, plataformas y responsables de seguridad comparten ese objetivo. Sin embargo, la forma de alcanzarlo está entrando en una fase nueva y mucho más compleja.
Estamos empezando a ir más allá de los controles aplicados a nivel de plataforma para adentrarnos en algo más profundo como es la intervención directa sobre la propia infraestructura digital. Aunque esta evolución puede entenderse, también plantea una pregunta crítica: ¿estamos resolviendo el problema o estamos introduciendo nuevos riesgos en el proceso?
De la responsabilidad de las plataformas al control de la infraestructura
Durante años, el enfoque dominante para proteger a los menores se ha centrado en las plataformas. Redes sociales, proveedores de contenidos y servicios online han sido los responsables de aplicar restricciones de edad y moderar aquello a lo que los usuarios pueden acceder.
Lo que vemos ahora es un cambio de ambición. Nuevas propuestas, como las planteadas en California y Reino Unido, buscan integrar la verificación de edad en los sistemas operativos o restringir herramientas como las VPN, que pueden utilizarse para eludir determinados controles.
Desde una perspectiva de seguridad y operación, trasladar estos controles hacia la infraestructura modifica sustancialmente el perfil de riesgo.
El reto de aplicar controles a escala
Las tecnologías VPN abarcan múltiples protocolos y arquitecturas que, en muchos casos, resultan difíciles de distinguir del tráfico cifrado habitual. Esto hace que su detección fiable sea compleja.
Además, estas herramientas son esenciales para usos legítimos, especialmente en entornos empresariales donde el acceso remoto seguro forma parte de la operación cotidiana.
Intentar limitar su utilización mediante controles técnicos amplios puede provocar interrupciones no previstas y afectar a organizaciones que dependen de ellas para proteger sus conexiones.
Si la verificación de edad se implementara correctamente a nivel de cuenta, una VPN tampoco permitiría necesariamente eludirla. Puede modificar la ubicación aparente de un usuario, pero no impedir una verificación vinculada directamente a la creación o uso de una cuenta.
Una tensión similar aparece al plantear la integración de estos mecanismos en los sistemas operativos. El enfoque podría reducir inconsistencias entre plataformas, pero también generaría nuevas dependencias al gestionar y compartir señales relacionadas con la edad entre dispositivos, aplicaciones y servicios.
Esto introduce preocupaciones relacionadas con gobierno del dato, interoperabilidad y concentración de información sensible.
Cuando la protección genera nuevos riesgos
Una dinámica frecuente en ciberseguridad es que determinados controles pueden desplazar el riesgo en lugar de eliminarlo.
Restringir herramientas ampliamente utilizadas no elimina necesariamente la intención de evadir controles, sino que puede llevar a los usuarios hacia alternativas menos visibles y más inseguras.
Del mismo modo, centralizar atributos sensibles relacionados con la edad genera un nuevo objetivo de alto valor para los atacantes. Un sistema encargado de administrar esta información puede convertirse en un punto crítico cuya vulneración afectaría tanto los datos como la confianza en el mecanismo.
Hacia un modelo de seguridad más sostenible
La resiliencia rara vez depende de un solo control. Los enfoques más eficaces tienden a combinar distintas capas de protección y a equilibrar seguridad, usabilidad y riesgo.
Una alternativa más sostenible podría integrar medidas técnicas con señales de comportamiento y patrones de uso, evitando depender exclusivamente de verificaciones estáticas.
Asimismo, resulta importante mantener arquitecturas distribuidas para reducir el impacto de un posible punto único de fallo y preservar herramientas como las VPN cuando desempeñan funciones legítimas de seguridad y privacidad.
La colaboración entre reguladores, proveedores tecnológicos y profesionales de ciberseguridad será determinante para diseñar mecanismos que funcionen en condiciones reales.
El objetivo no debería ser construir sistemas perfectos, sino soluciones proporcionadas, resilientes y alineadas con la manera en que las personas utilizan realmente la tecnología.
Corey Nachreiner, Chief Security Officer, WatchGuard Technologies
