“Estamos al borde de una nueva revolución industrial”, que supondrá la plena integración de nuestras vidas, tanto en el plano profesional como en la esfera privada, con la tecnología y, en especial, con Internet, en el entorno que se conoce como la nube. Una nueva realidad que abre todo un abanico de posibilidades en campos como la salud, las comunicaciones o la movilidad, pero no exento de riesgos, en especial en el ámbito de la seguridad. Sólo en los últimos meses, hemos sido testigo de ejemplos que hasta ahora sólo creíamos propios de la ciencia ficción, como que algunos hospitales tuvieran que verse obligados a dejar de operar porque un virus había infectado sus ficheros; o que un gobierno como el alemán tuviera que prohibir la comercialización de una muñeca que se conectaba a Internet ante la amenaza de que se usara para espiar el comportamiento de los niños.
Virus como WannaCry o Petya han llevado el pánico a la opinión pública internacional hasta tal punto que ya prácticamente nadie se atreve a cuestionar la aplicación de protocolos de ciberseguridad dentro de las organizaciones, entendiendo esta como la disciplina que aglutina las herramientas, directrices, métodos de gestión, prácticas o políticas destinadas a proteger nuestros activos y los de las empresas en Internet, y que abarca desde nuestros datos personales, las claves y contraseñas que manejamos, pasando por nuestros historial de compras online o la información bancaria que utilizamos. Tanto es así que, de acuerdo al estudio sobre riesgos globales que publica cada año el Foro Económico Mundial, los ciberataques son ya la cuarta mayor preocupación para la comunidad global, sólo superada por el desempleo, el cambio climático, la crisis del agua y los conflictos entre Estados.
Un gran desafío para los Gobiernos
La irrupción y posterior expansión de Internet ha supuesto una de las mayores revoluciones en la historia de la Humanidad, con más de la mitad de la población mundial, alrededor de 3.750 millones de personas que utilizan a diario la Red, según los datos del informe We Are Social 2017. Hoy, la mayoría de las sociedades occidentales precisan del uso de sistemas informáticos para cualquier proceso económico, con independencia de su tamaño o valor, como la distribución de la energía, las telecomunicaciones, las operaciones financieras, el funcionamiento de la industria o el transporte, por citar sólo algunos ejemplos. Sin embargo, ese incremento de la dependencia hacia la tecnología también ha significado un mayor riesgo de sufrir amenazas en el ciberespacio, que amenazan la seguridad de todo el sistema.
En los últimos meses, las noticias sobre ciberterrorismo han saltado al primer plano de la actualidad tanto en el plano corporativo como en la esfera institucional. El proveedor de internet Dyn, por ejemplo, se vio afectado por multitud de ataques masivos que afectaron a los servicios web de gigantes de Internet como Netflix, Amazon, Twitter, Spotify o Paypal, además de a numerosos medios de comunicación como el mismísimo New York Times. Mientras eso ocurría, el Gobierno de Estados Unidos recibía diversos hackeos desde Rusia, logrando robar información confidencial perteneciente a varios cargos de la Administración norteamericana, entre ellos de Hillary Clinton, que fueron posteriormente filtrados a Wikileaks.
Hablamos, por lo tanto, de un nuevo tipo de guerra moderna que implica un desafío de enorme complejidad para los Estados en diversos ámbitos, pero principalmente en dos: la regulación jurídica sobre lo que se considera ciberataque o ciberterrorismo y las competencias sobre estas materias para un tipo de delitos que no entiende de fronteras físicas; y el modo de preparar e implementar una estrategia de defensa efectiva ante ellos, teniendo en cuenta que los datos viajan por las redes a una velocidad increíble. Para los delincuentes, los ciberataques les otorgan de evidentes ventajas respecto a otros métodos más tradicionales, ya que precisan de una infraestructura barata, les permiten actuar en el más estricto anonimato, así como perpetrar actos masivos y simultáneos en distintas partes del mundo. Y todo ello, tal y como asegura el FBI en un reciente informe, con la gran vulnerabilidad actual que guardan muchas de las infraestructuras esenciales de las principales potenciales occidentales.
A pesar de la gravedad de sus efectos y de que se conoce de su existencia desde los años setenta, el Derecho Internacional sólo puede juzgar a día de hoy los ciberataques lanzados o patrocinados por los Estados, debido principalmente a la dificultad en localizar su origen. Según el principio de soberanía territorial, los Estados no pueden entrometerse en las infraestructuras cibernéticas con base en otros Estados, lo que les obliga a invertir cada vez más dinero en proteger la seguridad de sus redes TIC (tecnologías de la información y la comunicación), y en garantizar unos protocolos adecuados para que las empresas y los usuarios confíen en la invulnerabilidad de la infraestructura de redes. En este sentido, juegan un relevante papel organizaciones como la OTAN, Interpol o Europol para concretar estrategias sobre seguridad en la Red que involucran a un colectivo significativo de países.
El intercambio de información entre el sector público y privado es crítico para la detección de amenazas así como para el trabajo en el desarrollo de aplicaciones y tecnologías que permitan contrarrestar e, incluso, evitar los ataques. A mediados de 2016, la Comisión Europea puso en marcha una iniciativa de colaboración público-privada para mejorar la capacidad de la UE para enfrentarse a los ciberataques. De hecho, el club comunitario se ha comprometido dentro del programa Horizonte 2020 a invertir 450 millones de euros para contribuir a dotar de mayor seguridad a la infraestructura de redes, creando la Organización Europea de Ciberseguridad (ECSO), constituida por grandes empresas europeas del sector de la seguridad de la información, que invertirá alrededor de 1.800 millones de euros en los próximos tres años.
Nuevos sistemas de cooperación
A pesar de los esfuerzos institucionales, los ciberdelincuentes parecen estar ganando la partida a los Estados, al menos de momento. De acuerdo al Annual Cybersecurity Report, elaborado por Cisco en base a las respuestas de más de 3.000 directores de seguridad (CSOs, según sus siglas en inglés) de todo el mundo, más de un tercio de las organizaciones que sufrieron un ataque de ciberseguridad en 2016 tuvieron pérdidas de clientes e ingresos que superaron el 20% de su facturación.
Un estudio elaborado por la Fundación Innovación Bankinter concreta entre los principales desafíos para la ciberseguridad los de reducción de los costes globales derivados de estos ataques, lo que implica la colaboración de los países europeos en estrategias comunes bajo el liderazgo de Enisa (Agencia Europea de Seguridad de las Redes y de la Información); y garantizar la integridad de las infraestructuras y de las soluciones tecnológicas. Otros documentos en la misma línea inciden en la importancia de concienciar al consumidor digital en la importancia de la seguridad así como en desarrollar legislaciones internacionales que incrementen la responsabilidad penal por llevar a cabo actos de ciberterrorismo.
La ciberseguridad parece precisar, por lo tanto, de la participación conjunta de multitud de agentes que intervienen en toda la cadena de valor del sector, que comprende desde el proveedor de software, terminales o equipos hasta los clientes y usuarios finales, sean estos de ámbito público (Ejército, Gobierno, segmento judicial, Policía, etc) o del sector privado, donde caben desde los ciudadanos particulares a las empresas multinacionales. Por ello, para procurar sus mayores probabilidades de éxito contra las amenazas digitales es fundamental conseguir la mayor coordinación y colaboración posible, tanto para fomentar legislaciones globales que superen las fronteras geográficas como para establecer un nuevo modelo de gobernanza internacional que tenga en cuenta la cuarta revolución a la que nos enfrentamos.
El reto legislativo
El principal desafío en materia legislativa relacionada con la ciberseguridad estriba en cómo lograr un adecuado equilibrio entre la necesidad de los Estados y las empresas en implementar estrategias de defensa eficaces (dotándoles de instrumentos jurídicos efectivos para la investigación y persecución de estos delitos) junto al respeto por la privacidad en las comunicaciones de los ciudadanos o a la hora de garantizar el secreto de las informaciones, temas estos últimos que son críticos e indubitables en Europa.
Principales riesgos digitales en 2018
La consultora Gartner ha revelado en un informe que para 2020 el 60 % de los negocios digitales sufrirá graves fallos por culpa de la incapacidad de sus equipos en gestionar el riesgo digital. Algo que, según el documento, sólo puede solucionarse de dos maneras: formando especialistas en ciberseguridad (Incibe, por ejemplo, asegura que en la Unión Europea se necesitarán incorporar 825.000 especialistas en este campo en los próximos diez años, mientras IDG calcula que en 2019 habrá una demanda global de 6 millones de expertos en ciberseguridad) y mejorando los protocolos de la tecnología en distintos campos, entre los que cabe destacar:
- Automóviles – Ya se comercializan coches inteligentes, que, sin embargo, son vulnerables tanto por medios de ataques directos como de otros soportes a los que están conectados, como los smartwatch.
- Wereables – Como los smartphones o los smartwatchs, que no se encuentran suficientemente protegidos dejando vulnerable la información personal de los usuarios.
- Servicios en la nube – Cada vez más organizaciones apuestan para el almacenamiento de archivos en los servicios cloud pero sin adecuar los necesarios sistemas de cifrado.
- Ramsomware – Dos de cada cinco compañías en España sufrieron ataques de malware en 2016 que bloqueó el uso de archivos, obligándoles a pagar un rescate para liberarlos.
- Hardware – Los sistemas de protección y análisis de amenazas son indispensables para garantizar la seguridad de las comunicaciones, incluso en las redes locales.
Conclusiones
- Para lograr aumentar la confianza sobre los entornos digitales es urgente aumentar la seguridad de todas las comunicaciones que tienen lugar en la Red, fomentando para ello una adecuada colaboración entre Administración y empresas privadas.
- La educación y la concienciación siguen siendo las mejores herramientas para prevenir en la medida de lo posible cibertataques. La encriptación, los protocolos de seguridad y la inversión en sistemas de seguridad son, en este sentido, claves.
- El sector demanda con urgencia especialistas que sean capaces de desarrollar sistemas de previsión y anticipación de posibles amenazas. Es crítico que desde la Universidad se formen expertos en garantizar la seguridad de las comunicaciones digitales.
- A pesar de los esfuerzos de los últimos años, todavía falta definir el marco legal adecuado que garantice la ciberseguridad de personas y organizaciones. Se han de redoblar los esfuerzos por parte de los organismos internacionales para conseguir la máxima cooperación entre países.
- La llegada de nuevas tecnologías aumenta la vulnerabilidad global del sistema. Por ello, junto al desarrollo de estrategias globales contra el ciberterrorismo deben imponerse castigos y condenas penales para sancionar a los promotores de ciberataques.
Rafael Cabarcos y Carlos S. Ponz son socios de IIDC.
Copyright © 2017 IIDC. All rights reserved.
Para más información: ponz@iidc.es.
Comentarios sobre esta publicación