El mes pasado, el secretario general de las Naciones Unidas António Guterres pidió una acción mundial para minimizar el riesgo que la guerra electrónica supone para los civiles. Guterres lamentó que “no existe ningún marco regulatorio para ese tipo de guerra”, y señaló que “no está claro cómo se aplican a ella la Convención de Ginebra o el derecho internacional humanitario”.
Hace una década, la ciberseguridad apenas recibía atención como asunto internacional. Sin embargo, desde 2013 se la describe como la mayor amenaza a la que se enfrenta Estados Unidos. Aunque las cifras exactas pueden debatirse, el “Cyber Operations Tracker” del Council on Foreign Relations contiene casi 200 ataques patrocinados por Estados llevados a cabo por 18 países desde 2005, incluidos 20 en 2016.
El término ciberseguridad engloba una amplia gama de problemas que no preocupaban demasiado a la pequeña comunidad de investigadores y programadores que desarrolló Internet en las décadas de 1970 y 1980. En 1996, solo 36 millones de personas, es decir, alrededor del 1 % de la población mundial, utilizaban Internet. A comienzos de 2017, 3700 millones de personas, o casi la mitad de la población mundial, estaban conectadas.1
A medida que el número de usuarios se disparó a partir de finales de la década de 1990, Internet se convirtió en un sustrato vital para las interacciones económicas, sociales y políticas. Sin embargo, junto con la creciente interdependencia y las oportunidades económicas, surgieron también la vulnerabilidad y la inseguridad. Con el big data, el aprendizaje automático y el “Internet de las cosas”, algunos expertos prevén que el número de conexiones a Internet podría crecer hasta casi un billón en 2035. El número de posibles objetivos de ataque, tanto por parte de actores privados como estatales, se ampliará de forma considerable e incluirá desde sistemas de control industrial hasta marcapasos cardíacos y automóviles autónomos.
Muchos observadores han pedido leyes y normas que garanticen la seguridad de este nuevo entorno. Pero elaborar estas normas en el ámbito cibernético plantea numerosos obstáculos. Aunque la ley de Moore, según la cual la potencia de cálculo se duplica cada dos años, implica que el tiempo cibernético avanza rápidamente, los hábitos humanos, las normas y las prácticas de los Estados cambian con mayor lentitud.
Para empezar, dado que Internet es una red transnacional de redes, en su mayoría de titularidad privada, los actores no estatales desempeñan un papel importante. Las herramientas cibernéticas tienen doble uso, son rápidas, baratas y con frecuencia permiten negar la autoría; la verificación y la atribución son difíciles y las barreras de entrada son bajas.
Además, aunque Internet es transnacional, la infraestructura (y las personas) de la que depende se encuentra bajo las distintas jurisdicciones de los Estados soberanos. Y las grandes potencias difieren en sus objetivos: Rusia y China destacan la importancia del control soberano, mientras que muchas democracias abogan por una Internet más abierta.
No obstante, la descripción de “www” como la “web del salvaje oeste” es una caricatura. Sí existen algunas normas en el ciberespacio. A los Estados les llevó unas dos décadas alcanzar los primeros acuerdos de cooperación para limitar los conflictos en la era nuclear. Si se sitúa el inicio del problema internacional de la ciberseguridad no en los orígenes de Internet, a comienzos de la década de 1970, sino en el periodo de despegue desde finales de la década de 1990, la cooperación intergubernamental para limitar los conflictos cibernéticos se encuentra ahora en torno a la marca de dos décadas.
En 1998, Rusia propuso por primera vez un tratado de la ONU para prohibir las armas electrónicas y de información (incluso con fines propagandísticos). Junto con China y otros miembros de la Organización de Cooperación de Shanghái, ha seguido impulsando un amplio tratado bajo los auspicios de la ONU. Estados Unidos sigue considerando que dicho tratado no es verificable.
En su lugar, el secretario general nombró un Grupo de Expertos Gubernamentales (UNGGE), que se reunió por primera vez en 2004 y, en julio de 2015, propuso un conjunto de normas que posteriormente fue respaldado por el G20. Los grupos de expertos no son infrecuentes en el proceso de la ONU, pero solo en raras ocasiones su trabajo sale del sótano de la organización para ser reconocido en una cumbre de los 20 Estados más poderosos. El éxito del UNGGE fue extraordinario, pero no logró acordar su siguiente informe en 2017.
¿Hacia dónde se dirige ahora el mundo? Las normas pueden ser propuestas y desarrolladas por diversos emprendedores de políticas. Por ejemplo, la nueva Comisión Mundial sobre la Estabilidad en el Ciberespacio, una organización no gubernamental presidida por la exministra de Asuntos Exteriores de Estonia Marina Kaljurand, ha emitido un llamamiento para proteger el núcleo público de Internet (definido como el enrutamiento, el sistema de nombres de dominio, los certificados de confianza y la infraestructura crítica).
Mientras tanto, el Gobierno chino, a través de su serie de conferencias mundiales sobre Internet de Wuzhen, ha publicado principios respaldados por la Organización de Cooperación de Shanghái en los que se pide el reconocimiento del derecho de los Estados soberanos a controlar el contenido en línea en su territorio. Pero esto no tiene por qué contradecir el llamamiento a proteger el núcleo público, que se refiere a la conectividad y no al contenido.
Otros emprendedores de normas incluyen a Microsoft, que ha pedido un nuevo Convenio de Ginebra sobre Internet. Igual de importante es el desarrollo de normas sobre privacidad y seguridad en materia de cifrado, puertas traseras y la eliminación de pornografía infantil, discursos de odio, desinformación y amenazas terroristas.
Mientras los Estados miembros estudian los próximos pasos en el desarrollo de normas cibernéticas, la respuesta puede ser evitar cargar demasiado la responsabilidad en una sola institución, como el UNGGE. El avance puede requerir el uso simultáneo de múltiples foros. En algunos casos, el desarrollo de principios y prácticas entre Estados afines puede conducir a normas a las que otros puedan adherirse más adelante. Por ejemplo, China y Estados Unidos alcanzaron un acuerdo bilateral que restringe el ciberespionaje con fines comerciales. En otros casos, como las normas de seguridad para el Internet de las cosas, el sector privado, las compañías de seguros y las partes interesadas sin ánimo de lucro podrían liderar la elaboración de códigos de conducta.
Lo que es seguro es que el desarrollo de normas de ciberseguridad será un proceso largo. El avance en algunos ámbitos no tiene por qué esperar al avance en otros.
