Desde tiempos inmemoriales, los principales ámbitos de la guerra fueron la tierra y el mar. Reyes y gobernantes construían ejércitos y armadas, fortalezas y castillos, y enviaban exploradores y espías para averiguar qué tramaban sus posibles adversarios. Si se organizaba adecuadamente, normalmente se contaba con algún tipo de alerta temprana de que se estaba gestando un ataque antes de que este tuviera lugar, de modo que podían adoptarse contramedidas. La fortaleza proporcionaba una sensación de seguridad, al menos hasta la llegada de la artillería moderna.
A medida que se desarrolló la tecnología aeronáutica, el aire se convirtió en un nuevo ámbito. Simplemente no había forma de quedar al margen: si el adversario desarrollaba una fuerza aérea, era necesario disponer de defensas antiaéreas, o de lo contrario los ejércitos y las armadas serían de poca utilidad. La estrategia militar evolucionó: ¿para qué gastar recursos en atacar una frontera bien protegida, si se podía golpear en profundidad, tras las líneas enemigas, en centros de población o incluso en el mismo centro de la toma de decisiones? La combinación de tecnología y estrategia militar dio lugar al paso de la guerra de trincheras de la Primera Guerra Mundial a la guerra relámpago (blitzkrieg) de la Segunda Guerra Mundial.
Hoy en día, el ciberespacio se ha consolidado como un ámbito propio, en muchos aspectos similar a la tierra, el mar y el aire. De hecho, podría ser el ámbito preferido: podemos postular con seguridad que cualquier conflicto futuro entre actores razonablemente avanzados será un ciberconflicto. Ningún atacante moderno se resistiría a la tentación de destruir, interrumpir o confundir los sensores, las comunicaciones y los circuitos de decisión del enemigo. Lo que variará es si el conflicto se producirá también en los ámbitos físicos. Esta idea cambiará la naturaleza del conflicto de forma fundamental y, posiblemente, reducirá el umbral de la guerra y confundirá la propia distinción entre guerra y paz.
Y, al igual que con la llegada del vuelo humano, quedar al margen no es una opción. Las sociedades modernas se han vuelto existencialmente dependientes del ciberespacio. En palabras de Rod Beckstrom, antiguo director de la ICANN: todo lo que está en red puede ser pirateado; todo se está conectando en red, por lo que todo es vulnerable.
El ciberconflicto comparte ciertas características con los conflictos en los ámbitos físicos, pero difiere en muchas otras. Para empezar, las tecnologías suelen ser de doble uso: si una nación adquiere un caza, es evidente que tiene en mente un propósito militar; lo mismo no puede deducirse si adquiere un nuevo sistema de tecnologías de la información.
Dado que todo lo conectado en red puede ser pirateado, esto no se limita únicamente a los sistemas de comunicación de las bases militares, sino que abarca cualquier tipo de instalación de infraestructuras, fuentes de energía, redes eléctricas, sistemas sanitarios, sistemas de control del tráfico o suministros de agua, así como comunicaciones y sensores. La tarea de proteger el ciberespacio de importancia estratégica de un país se complica aún más por el hecho de que gran parte de él es propiedad del sector privado y está bajo su control.
Una segunda diferencia importante reside en el universo potencial de «adversarios». Para el rey medieval, estos serían normalmente sus pares vecinos, cuyo número más o menos conocía. La proximidad importaba. Hoy, el número de entidades capaces de lanzar un ataque potencialmente devastador es infinitamente mayor: no solo los Estados, sino también hackers, terroristas, empresas, grupos sociales, delincuentes e incluso usuarios de ordenadores desprevenidos. La proximidad se ha vuelto totalmente irrelevante, lo que elimina una premisa fundamental de la teoría militar tradicional. En tercer lugar, la posibilidad de una «alerta temprana» es baja o inexistente. Es necesario estar protegido aquí y ahora. No existe un equivalente a la antigua llamada a «movilizar fuerzas»: es necesario ser resiliente y tener en cuenta que los ataques podrían producirse realmente e incluso probablemente se producirán.
En las ciberguerras, ya no se sabe necesariamente quién puede atacarnos, ni siquiera quién ya lo ha hecho. Atribuir la responsabilidad de los ciberataques es difícil, ya que los atacantes pueden utilizar intermediarios para implicar a personas inocentes. Por ello, gran parte del énfasis actual se pone en mejorar la tecnología de atribución. Sin atribución no hay represalia, y sin represalia no hay disuasión. Incluso con la tecnología adecuada, la cuestión de la atribución es delicada: exponer todo lo que se sabe puede ser políticamente sensible y podría arriesgar la revelación de capacidades de inteligencia críticas, lo que a su vez podría comprometer la capacidad de atribuir fuentes en el futuro.
En tercer lugar, en el ciberespacio la alerta temprana pasa a ser en gran medida irrelevante. La lógica de defensa tradicional asume que siempre habría algún indicio de un ataque inminente, ya sea con meses o con minutos de antelación: ejércitos avanzando hacia la frontera o sistemas de radar que detectan misiles entrantes. No ocurre así con un ciberataque. En el mejor de los casos, se sabe que se está siendo atacado mientras sucede; lo más probable es que se descubra que se ha sido atacado solo después de los hechos. Esto deja obsoletos los conceptos de «movilización», «reagrupamiento» o medidas de defensa puntuales.
Todos estos factores conducen a una misma conclusión: en el ciberespacio, la ofensiva es considerablemente más fácil que la defensa. En la guerra tradicional, el defensor solía tener la ventaja, y el atacante necesitaba cierta superioridad en número, tecnología o estrategia para tener éxito. De hecho, la ciberdefensa debe estar omnipresente en toda la infraestructura crítica, en todas partes y en todo momento, y combinarse con una redundancia eficaz.
Sin embargo, todos los Estados son mutuamente dependientes en el ciberespacio. En ello reside cierta esperanza: este hecho crea para los actores estatales una lógica de teoría de juegos que les disuade de embarcarse en una ciberguerra total, similar a la lógica que ha limitado la guerra nuclear bajo la doctrina MAD (Mutually Assured Destruction, destrucción mutua asegurada). Esto también podría generar un incentivo para que los gobiernos trabajen juntos en el intercambio de tecnologías defensivas.
No obstante, un «equilibrio del terror» en el ciberespacio podría verse amenazado si los gobiernos recurren a la estrategia del «toma y daca» (tit-for-tat) al sondear las ciberdefensas ajenas. Es bien sabido que los Estados avanzados, así como los actores no estatales avanzados, están colocando «agentes» latentes en los sistemas de información de los demás. Este tipo de programas maliciosos se encuentra con frecuencia en todo tipo de sistemas, desde los sistemas de defensa hasta diversos sistemas de infraestructura crítica. Esto, a su vez, puede derivar en una escalada involuntaria hacia un conflicto a gran escala.
Como se señaló en un artículo anterior, los movimientos extremistas utilizan cada vez más herramientas cibernéticas como multiplicador de fuerza, incluidas la propaganda, las tácticas de intimidación, el reclutamiento y la recaudación de fondos, con tanta facilidad que los responsables políticos, los líderes militares y las agencias de inteligencia tienen dificultades para seguirles el ritmo. Los esfuerzos de respuesta han sido hasta ahora reactivos en lugar de prospectivos.
El ámbito cibernético también es fundamental en las estrategias militares de los Estados, que normalmente se complementan con operaciones cibernéticas («cy ops»), a menudo de la mano de operaciones psicológicas («psy ops»). Esto puede incluir, por ejemplo, campañas de desinformación o ataques contra la integridad de los datos que podrían provocar falsas alarmas, como en los sensores de las centrales nucleares o en las alertas de ataque aéreo.
Así pues, a medida que la vida cotidiana depende cada vez más del ciberespacio, aumenta el potencial de que la ciberguerra cause estragos y daños físicos, económicos y sociales. El mundo necesita un marco normativo que aborde cuestiones que van desde la acción preventiva y la disuasión hasta las reglas del conflicto moderno. Los principios de proporcionalidad y distinción de los Convenios de Ginebra parecen tan pertinentes como siempre, pero cada vez es más difícil garantizarlos, hacerlos cumplir e incluso traducirlos a una nueva realidad.
Por ejemplo, ¿qué constituye un acto de guerra en el ciberespacio? Si un ciberataque causa destrucción física, ¿justifica contramedidas físicas? ¿Qué nivel de certeza sobre el origen de un ciberataque sería necesario para justificar una represalia? ¿Dónde debería trazarse la línea entre los actores e instalaciones militares y civiles en un ciberconflicto?
Ya existen disposiciones en el derecho nacional e internacional, y el ciberespacio no debe considerarse un espacio sin ley. Las normas internacionales están surgiendo gradualmente, pero el cambio tecnológico avanza más deprisa que los progresos hacia versiones cibernéticas de los tratados de armas. Si no se intensifican los esfuerzos para elaborar un sistema de normas y regulaciones globales, corremos el riesgo de una grave fragmentación de la política de ciberseguridad.
Los gobiernos deberían comunicar mejor sus posturas y acciones a la ciudadanía, respondiendo al deterioro de la confianza provocado por las preocupaciones en materia de privacidad y derechos humanos, pero también garantizando que su capacidad para proteger la sociedad mediante medidas adecuadas y legítimas esté asegurada.
Las empresas del sector privado tienen la responsabilidad de establecer sistemas y procedimientos para alertar a los gobiernos sobre actividades cibernéticas malintencionadas que puedan poner en riesgo la seguridad internacional, y, en algunos casos, ayudar a contrarrestarlas. Lamentablemente, esto no siempre ocurre, ya que las empresas a menudo no quieren exponer sus vulnerabilidades comprobadas al escrutinio público y pueden no querer informar de un ataque exitoso.
Es necesaria una colaboración más sólida y coherente entre el sector público y el privado para garantizar una comprensión común tanto de dónde deben trazarse las líneas que los separan como de dónde es justificable la colaboración, con el fin de contrarrestar a adversarios que nunca jugarán limpio. Sin esa colaboración, las amenazas superan nuestra capacidad de preparación.
El esfuerzo actual del presidente Barack Obama y del presidente Xi Jinping por explorar un acuerdo sobre un nuevo conjunto de principios para tratar el ciberespacio como una capacidad militar es un paso en la dirección correcta. Aunque siguen existiendo varias cuestiones pendientes sobre cómo aplicar cualquier forma de acuerdo para regular las amenazas a la seguridad internacional en el ámbito cibernético y cómo abordar la delicada cuestión política de la atribución, se necesitan con urgencia mejores medidas de cooperación.
Como institución pública de cooperación público-privada, el Foro Económico Mundial ofrece una plataforma para un diálogo amplio y multisectorial en torno a estas cuestiones. Sin una preparación suficiente y una mayor concienciación pública, podríamos enfrentarnos a un camino bastante accidentado, a medida que nos volvemos no solo más conectados, sino también más interdependientes y vulnerables.
¿Ya ha leído?
¿Cómo serán los ejércitos del futuro?
¿Es posible tener seguridad y privacidad en la era de internet?
8 tecnologías emergentes que transforman la seguridad internacional
Autores: Espen Barth Eide, miembro del Consejo de Gestión, y Anja Kaspersen, directora de Seguridad Internacional y miembro del Comité Ejecutivo, Foro Económico Mundial
Imagen: Empleados de la empresa de tecnologías de la información CCP trabajan en la sede central de la compañía en Reikiavik, el 13 de febrero de 2013. REUTERS/Stoyan Nenov
