Un plan para que el mundo cibernético sea seguro

Hay pocas cosas en el mundo que progresen tan rápido como la tecnología. Sin embargo, a pesar del inexorable avance de la tecnología, la seguridad casi siempre parece ir una generación atrasada. A medida que la sociedad y la industria dependen cada vez más de dispositivos conectados a Internet y el mundo en línea se vuelve un componente central y subyacente del mundo físico, la importancia de la seguridad cibernética aumenta proporcionalmente. Ya no se puede dejar la seguridad a cargo de los departamentos de TI y de los grupos de seguridad internos de una empresa. Por el contrario, se requieren los niveles más altos de compromiso por parte de la industria y del gobierno.

El sector privado, por sí solo, no puede crear un cultura que insista sobre las prácticas de seguridad, realinear los incentivos financieros que recompensen la velocidad por encima de la seguridad o restablecer la falta de confianza con el sector público. Sin embargo, junto con el sector público, estos desafíos pueden abordarse para cambiar la cultura y los incentivos de mejores prácticas de seguridad.

No obstante, antes de que esto suceda, debemos reconocer que existen desafíos significativos que pueden dificultar que el sector público aborde los asuntos de la seguridad cibernética. Se destacan tres asuntos particularmente importantes:

Fragmentación internacional: la diferencia en los enfoques de la seguridad cibernética, la jurisdicción de datos y el cumplimiento legal (sin mencionar la cultura, el lenguaje y la política) a través de las fronteras jurídicas y territoriales pueden dificultar la efectiva prevención, investigación y enjuiciamiento de ataques cibernéticos.

Establecimiento de normas internacionales: las diferencias en las políticas internacionales y las agendas de cada país pueden dificultar el desarrollo de un consenso sobre las normas de seguridad cibernética, y más aún, el cumplimiento de esas normas de forma consistente y efectiva.

Las funciones del sector privado: las funciones diversas, y en ocasiones conflictivas, que el sector público debe desempeñar (como regular y compartir información o colaborar) pueden generar tensiones con el sector privado, que pueden resultar contraproducentes para la confianza y la cooperación.

Del mismo modo, hay numerosos desafíos que pueden dificultar que el sector privado aborde efectivamente el asunto de la seguridad cibernética, entre los que se incluyen dos obstáculos especialmente importantes:

Desajuste entre los incentivos para mejores prácticas en la seguridad cibernética: las empresas generalmente no toman las medidas básicas para proteger sus sistemas y a sus usuarios. Las empresas se ven en la difícil situación de tener que equilibrar las presiones del mercado para innovaciones rápidas con inversiones sostenidas en seguridad cibernética, lo que puede generar un aumento en los costos o demoras en la entrega de los productos al mercado.

Complejidades del ecosistema: los entornos de software y hardware de la actualidad son ecosistemas cada vez más complejos, poblados por un sistema de dispositivos, redes, personas y organizaciones que interactúan. Esto significa que las soluciones para la seguridad cibernética a menudo requieren el compromiso voluntario, la cooperación y las inversiones de varias entidades independientes, mientras que los incentivos y mecanismos para llevar a cabo tales acciones se distribuyen de forma irregular en el ecosistema.

Por ejemplo, si se divulga una vulnerabilidad significativa en un software común y gratuito, todos los dispositivos que utilizan ese software deben ser reparados lo antes posible. Aunque el parche esté disponible inmediatamente, no se puede forzar a que los dueños de servidores individuales actualicen el sistema, por lo que los dispositivos inseguros continúan disponibles por mucho tiempo.

Además, hay obstáculos que impiden la colaboración del sector público y privado en asuntos relacionados con la seguridad cibernética, que incluyen la falta de confianza entre el gobierno y el sector privado, el desafío de maximizar la efectividad de las intervenciones del gobierno y, a la vez, equilibrar los objetivos de seguridad con innovaciones rápidas, y la deficiencia de los marcos de intercambio de información existentes.

La necesidad de un cambio

Estas poderosas tensiones dentro del ecosistema dejan en claro que es necesario realizar cambios sistémicos para realinear los enfoques de la seguridad cibernética. Los sectores públicos y privados deben trabajar en conjunto de varias formas, por ejemplo, a través de enfoques de gestión mixta o una educación integral de la seguridad cibernética.

En conjunto, deben crear normas y marcos efectivos que aborden las necesidades de la seguridad cibernética sin obstaculizar la innovación ni reducir la confianza. La gestión mixta o conjunta permite que los sectores público y privado aborden los peligros de la seguridad cibernética juntos. Por ejemplo, los grupos disidentes y las organizaciones terroristas continúan buscando formas de causar trastornos en el sector de la energía, y el enfoque de gestión mixta que permite una colaboración cercana entre las entidades del sector público y privado es la mejor solución para defender esta vital infraestructura.

La educación debería aplicar un sistema de colaboración similar, ya que los sectores públicos y privados reducen la brecha del conocimiento, tanto para los empleados técnicos como para los no técnicos.

Actuar ahora

Tanto el sector público como el privado pueden tomar medidas inmediatas para comenzar a abordar los desafíos de la seguridad cibernética. Estas medidas incluyen:

Adoptar mejores prácticas e higiene cibernética: la primera medida importante es desarrollar políticas y procedimientos que incluyan validar regularmente el hardware aprobado y el software autorizado, establecer configuraciones de sistemas de seguridad, reparar regularmente aplicaciones y sistemas operativos, controlar y revisar los privilegios de usuario y educar a los usuarios.

Autenticación mejorada: las organizaciones deben pasar de contraseñas inseguras a mecanismos como autenticación de dos factores y tecnología de autenticación continua, que se volverán cada vez más importantes a medida que más dispositivos se conecten a nuestras redes.

Preparación para ataques: es fundamental que las organizaciones tomen medidas para preparase contra ataques eventuales, que incluyan mejoras de las capacidades forenses, desarrollo de planes de continuidad de las actividades y desarrollo de planes para renovar la confianza de los usuarios.

Aunque esta no sea una fórmula mágica para la seguridad cibernética, no significa que los problemas sean inabordables.

Con un mundo más interconectado digitalmente que nunca, la seguridad cibernética en la cuarta revolución industrial se enfrentará a desafíos y oportunidades cruciales. Solo los esfuerzos conjuntos para crear marcos más innovadores y estratégicos entre los gobiernos, las empresas, la sociedad civil y el mundo académico protegerán mejor nuestro ecosistema digital. Más específicamente, la cooperación entre los sectores públicos y privados cumple un papel fundamental en la evolución de un futuro seguro.

Este artículo se basa en los resultados de un informe del Consejo de Seguridad Cibernética de la Agenda Global, disponible aquí.