India plantea que Apple y Samsung entreguen su código fuente por razones de seguridad

El gobierno de India analiza la posibilidad de obligar a los fabricantes de teléfonos inteligentes a compartir su código fuente con las autoridades y a introducir diversos ajustes en el software de sus dispositivos, como parte de un amplio paquete de medidas orientadas a reforzar la seguridad digital. La propuesta ha generado resistencia entre grandes empresas tecnológicas, entre ellas Apple y Samsung.

De acuerdo con cuatro fuentes involucradas en las conversaciones y con documentos gubernamentales e industriales revisados por Reuters, las compañías consideran que el conjunto de 83 estándares de seguridad propuestos no tiene precedentes a nivel internacional y podría exponer información altamente confidencial. Entre las exigencias también figura la obligación de notificar al gobierno sobre actualizaciones relevantes de software antes de su lanzamiento.

La iniciativa se enmarca en la estrategia del primer ministro Narendra Modi para fortalecer la protección de los datos de los usuarios, en un contexto de aumento del fraude en línea y de filtraciones de información en el segundo mayor mercado de teléfonos inteligentes del mundo, con cerca de 750 millones de dispositivos en uso.

El secretario de Tecnologías de la Información, S. Krishnan, declaró que el gobierno mantiene una postura abierta para atender preocupaciones legítimas del sector, aunque señaló que aún es temprano para un análisis definitivo. Un portavoz del ministerio indicó que no emitiría más comentarios debido a que continúan las consultas con las empresas tecnológicas.

Reglas que generan fricción con la industria

Hasta el momento, Apple, Samsung, Google, Xiaomi y MAIT —la asociación india que agrupa a fabricantes de tecnología— no han respondido públicamente a las solicitudes de comentarios.

Las nuevas exigencias ya han provocado tensiones. El mes pasado, el gobierno dio marcha atrás a una orden que imponía el uso de una aplicación estatal de ciberseguridad en los teléfonos, tras críticas por posibles riesgos de vigilancia. Sin embargo, en otros casos ha mantenido una línea firme, como cuando el año pasado impuso pruebas estrictas a cámaras de seguridad por preocupaciones relacionadas con espionaje extranjero.

Según datos de Counterpoint Research, Xiaomi y Samsung concentran el 19% y el 15% del mercado indio de smartphones, respectivamente, mientras que Apple representa alrededor del 5%.

Uno de los puntos más controvertidos de los nuevos Requisitos de Garantía de Seguridad en Telecomunicaciones es el acceso al código fuente, es decir, a las instrucciones internas que permiten el funcionamiento del sistema operativo y las aplicaciones. Dicho código sería revisado y eventualmente probado en laboratorios designados en la India.

Las propuestas también contemplan modificaciones para permitir la desinstalación de aplicaciones preinstaladas y para impedir que las apps accedan en segundo plano a cámaras y micrófonos, con el objetivo de prevenir usos indebidos.

Un documento interno del Ministerio de TI, fechado en diciembre, recoge la preocupación de las empresas al señalar que este tipo de requisitos de seguridad no ha sido impuesto por ningún otro país.

Objeciones técnicas y operativas

Las normas, redactadas originalmente en 2023, vuelven ahora al centro del debate ante la posibilidad de que se conviertan en obligatorias por ley. Funcionarios del Ministerio de TI y directivos del sector tecnológico tienen prevista una nueva reunión esta semana para continuar las negociaciones.

Los fabricantes defienden que la revisión y el análisis del código fuente no son viables. Apple, por ejemplo, rechazó solicitudes similares de China entre 2014 y 2016, y también ha resistido intentos de autoridades estadounidenses por acceder a su código.

Según MAIT, los requisitos de “análisis de vulnerabilidades” y “revisión del código fuente” implicarían evaluaciones de seguridad exhaustivas que vulneran principios de confidencialidad y propiedad intelectual. La asociación subraya que ni la Unión Europea, ni Norteamérica, ni Australia o África aplican exigencias de este tipo.

Además, el plan obligaría a realizar escaneos automáticos y periódicos de malware, así como a informar al Centro Nacional de Seguridad de las Comunicaciones sobre actualizaciones y parches de seguridad antes de su distribución. Para la industria, estas medidas resultarían poco prácticas, ya que las actualizaciones deben implementarse con rapidez y los análisis constantes podrían afectar el rendimiento y la batería de los dispositivos.

Otro punto cuestionado es la exigencia de conservar registros del sistema durante al menos 12 meses en los teléfonos. MAIT advirtió que el almacenamiento interno de muchos dispositivos no tiene capacidad suficiente para guardar un volumen tan grande de datos.

En este escenario, el debate entre el gobierno indio y las empresas tecnológicas continúa abierto, con posiciones encontradas sobre cómo equilibrar la seguridad nacional y la protección de la innovación y la confidencialidad tecnológica.