Cada vez más empresas, países y expertos están lanzando iniciativas para llegar a un consenso político que regule los ciberataques originados en cada país y reduzca los riesgos de ataques especialmente peligrosos como los dirigidos a hospitales e infraestructuras críticas
(technologyreview).-En la reciente reunión de la Asamblea General de las Naciones Unidas celebrada en Nueva York (EE.UU.), se habló muchísimo sobre el control de las armas nucleares. Pero hay otra gran amenaza sobre la que no se habló lo suficiente: las armas cibernéticas.
En 2013, un grupo de expertos gubernamentales de la ONU decidió que el derecho internacional también debía aplicarse en el ciberespacio, y en 2015 ese mismo grupo acordó varias normas de adopción voluntaria para gobernar el comportamiento online de los países en tiempos de paz. Entre estas normas figuran la de que los países no ataquen la infraestructura crítica de otros (ver Seis medidas para proteger a las infraestructuras críticas de los hackers), y la de que se responsabilicen de cualquier ciberataque originado en su propio territorio.
Pero esta iniciativa de la ONU no ha sido muy popular. Las revelaciones de ataques rusos compañías eléctricas estadounidenses y a su sistema electoral, así como los esfuerzos chinos dirigidos al robo de propiedad intelectual, son solo algunas señales de que estas normas no han tenido el efecto deseado. (ver «Los ciberataques para robar datos a empresas españolas no son ciencia ficción»).
Acción coordinada
Ahora algunos países como EE. UU. y Reino Unido, están preparando una respuesta más agresiva a los ciberataques. EE. UU. ha presentado una nueva estrategia cibernética nacional que reduce los plazos de aprobación para que su ejército realice operaciones ofensivas. Reino Unido, por su parte, planea crear un equipo de 2.000 expertos técnicos para aumentar su capacidad de lanzar ciberataques.
La nueva estrategia de EE. UU. también contempla una «iniciativa internacional de disuasión cibernética». Bajo esta premisa, los países que se adhieran a la iniciativa deberán coordinar sus respuestas frente a los ciberataques particularmente maliciosos. Esas respuestas podrían suponer desde sanciones económicas hasta represalias cibernéticas.
Los partidarios de este enfoque piensan que con él será más probable que los países más reacios acepten sentarse en la mesa de negociación. «Cuando hay una sensación de vulnerabilidad compartida, el control de armas aumenta«, sostiene James Lewis, del Laboratorio de Ideas del Centro de Estudios Estratégicos e Internacionales.
Pero también existe el riesgo de que aumente las hostilidades cibernéticas, al menos a corto plazo. Podría llevar a ataques más agresivos en servicios públicos cruciales como las redes eléctricas. Por lo tanto, es esencial que las naciones interesadas presionen más que nunca para lograr un acuerdo internacional de control de armas cibernéticas que reduzca el riesgo del conflicto.
Diplomacia digital
El presidente y director Legal de Microsoft, Brad Smith, ha sido uno de los actores más activos en el desarrollo de una «Convención Digital de Ginebra». Esto reuniría a las empresas tecnológicas y a los gobiernos para crear un acuerdo internacional de gran alcance que proteja a los civiles que usan internet de forma pacífica de la misma manera que los sucesivos Convenios de Ginebra han protegido a los civiles en tiempos de guerra.
La idea de Smith ya ha ayudado a crear una coalición de compañías tecnológicas afines que se han comprometido a poner todo su empeño para proteger a sus clientes de ciberataques. Microsoft también acaba de lanzar una nueva campaña para que las personas insten a sus líderes políticos para que dediquen más esfuerzos a proteger el ciberespacio.
Aún así, lograr un amplio acuerdo sobre las normas cibernéticas será un desafío enorme. A corto plazo, lo más práctico sería alcanzar un acuerdo formal no demasiado ambicioso que persuada a los países para comprometerse a dejar de atacar a los servicios públicos vitales (ver Un hospital recurre al papel y al fax al verse paralizado por un ciberataque ‘ransomware’).
Los ataques a centrales eléctricas, hospitales y sistemas de transporte podrían tener consecuencias devastadoras, incluida la pérdida de vidas humanas, y los peligros aumentan a medida que cada vez más dispositivos se conectan a internet (ver “La innovación en el mundo de Internet+ puede matarnos”).
Crear un acuerdo diplomático preciso no será fácil. Y también será un reto aplicarlo, porque los atacantes siempre intentarán cubrir sus huellas. Sin embargo, los riesgos son tales que vale la pena hacer el esfuerzo. En una reciente rueda de prensa sobre la nueva estrategia cibernética de EE. UU., el experto en ciberseguridad Jason Healey, advirtió sobre los peligros si un tiroteo cibernético ocurriera en una infraestructura clave. El experto sentenció: «Estamos hasta las rodillas de yesca, y empapados con gasolina».
