El CPIC emitió recomendaciones sobre dispositivos y software tipo «mouse mover», señalando que tienen usos operativos legítimos y no deben clasificarse a priori como malware.
El Colegio de Profesionales en Informática y Computación (CPIC) emitió un conjunto de directrices técnicas y éticas orientadas a empresas e instituciones sobre el tratamiento de dispositivos y aplicaciones tipo «mouse mover» o «mouse jiggler». El ente colegiado aclaró que estas herramientas poseen aplicaciones legítimas en áreas de soporte y monitoreo continuo —por lo que no deben tipificarse automáticamente como programas maliciosos—, pero advirtió sobre los riesgos de seguridad derivados de sesiones inactivas y el quebranto ético de simular actividad laboral; asimismo, el CPIC recalcó que el movimiento del ratón o el tiempo conectado no constituyen métricas válidas de productividad, recomendando a las organizaciones fundamentar cualquier proceso sancionatorio en evidencia forense trazable y controles técnicos sustentados en marcos como NIST 2.0 y CIS Controls v8.1.
La simulación artificial de actividad en una computadora no puede juzgarse con ligereza ni resolverse mediante sanciones automáticas carentes de sustento pericial. Ante el incremento en el uso de herramientas tipo «mouse mover» o «mouse jiggler» —dispositivos USB o programas informáticos diseñados para mover el puntero e impedir el bloqueo de sesión—, el Colegio de Profesionales en Informática y Computación (CPIC) emitió una guía de directrices técnicas dirigida a organizaciones públicas y privadas, instando a gestionar su presencia con criterios de proporcionalidad, evidencia forense verificable y políticas institucionales claras.
El pronunciamiento del ente colegiado delimita la delgada línea entre la operatividad técnica legítima y las faltas éticas, advirtiendo con contundencia a los departamentos de recursos humanos y gerencias que los clics o el desplazamiento del cursor son métricas limitadas que no reflejan la productividad real de un colaborador.
Usos operativos legítimos vs. evasión de controles 🖱️⚙️⚠️
El CPIC descarta que estas herramientas deban catalogarse de forma automática como programas maliciosos (malware), ya que responden a requerimientos técnicos válidos en entornos empresariales:
- Aplicaciones justificadas: Mantener pantallas informativas encendidas, proyectar presentaciones corporativas continuas, dar seguimiento a procesos informáticos o compilaciones de larga duración y ejecutar tareas especializadas de soporte técnico o aseguramiento de calidad (QA).
- Riesgos de seguridad y ética laboral: Mantener una sesión abierta sin supervisión física incrementa el riesgo de intrusiones no autorizadas a sistemas sensibles. Asimismo, el CPIC subraya que recurrir deliberadamente a estos artefactos para burlar bloqueos obligatorios o simular falsas jornadas de trabajo constituye una conducta injustificable que quebranta la ética y el uso responsable de los activos corporativos.
Criterios forenses: Distinguir entre presencia, instalación y ejecución 🔍📋⚖️
Al detectar un periférico o archivo de este tipo, el Colegio recomienda a los departamentos de Tecnologías de Información (TI) no apresurar conclusiones disciplinarias sin un análisis técnico riguroso:
- Evaluación multifactorial: La sola presencia de un instalador en el disco duro no prueba una falta; se debe auditar la fecha, el mecanismo de instalación, los privilegios de usuario y los registros de ejecución (logs).
- Identidad y cuentas compartidas: Una cuenta asignada no individualiza obligatoriamente a la persona responsable, especialmente en estaciones con acceso remoto compartido o tareas automatizadas.
- Capacidad técnica frente a autorización formal: Disponer de privilegios de administrador para descargar software no equivale a contar con la autorización de la empresa para ejecutarlo.
La trampa de medir la productividad por el puntero 📉🧠🎯
Uno de los señalamientos más profundos del CPIC apunta hacia los métodos modernos de vigilancia laboral:
«Los movimientos del puntero, el tiempo en sesión u otros registros de actividad en un equipo son indicadores limitados y no reflejan, por sí solos, la productividad de una persona. Su interpretación debe complementarse con la valoración de las funciones, responsabilidades y resultados esperados de cada puesto, conforme a los mecanismos propios de cada organización».
Medir el compromiso laboral por el movimiento del cursor desvirtúa la naturaleza del teletrabajo y la gestión por objetivos, fomentando simulaciones en lugar de evaluar entregables de calidad.
Controles técnicos proporcionales basados en NIST y CIS 🛡️🔒🌐
Para mitigar riesgos sin recurrir a la arbitrariedad, el CPIC aconseja implementar medidas alineadas con marcos internacionales como el NIST Cybersecurity Framework 2.0 y los CIS Controls v8.1:
- Preservación de evidencia digital: Garantizar la integridad, trazabilidad y cadena de custodia de los registros técnicos si los hallazgos derivarán en procesos administrativos o laborales.
- Principio de mínimo privilegio: Restringir los permisos de administrador en equipos de usuario final y bloquear la conexión de periféricos USB no autorizados (device control).
- Configuración de políticas: Automatizar el bloqueo por inactividad a nivel de sistema operativo y fortalecer el monitoreo de eventos sin invadir la privacidad individual.
Gestionar los recursos tecnológicos con transparencia normativa y controles proporcionales protege la seguridad de la información institucional sin erosionar la confianza indispensable para el trabajo moderno.
Acerca del CPIC
El Colegio de Profesionales en Informática y Computación (CPIC), que agrupa a profesionales de la ingeniería en computación en Costa Rica, es un ente no estatal de derecho público con plena capacidad jurídica y patrimonio propio, creado mediante la Ley No.7537 del 1 de noviembre de 1995. Su objetivo principal es promover el desarrollo y la excelencia en el campo de las tecnologías de la información y las comunicaciones, fomentando la investigación, el intercambio de conocimientos y la capacitación continua. El CPIC busca ser un referente en el ámbito tecnológico, trabajando en conjunto con entidades académicas, gubernamentales y empresariales para impulsar el crecimiento y la innovación en el sector.
