Con la intensificación de los huracanes, no es difícil imaginar este escenario: es principios de octubre y The Weather Channel está cubriendo ampliamente un huracán que llegará a la costa este de Estados Unidos dentro de cinco días. Ahora mismo, solo es una tormenta tropical en algún lugar cerca de Cuba. ¿Cómo lo sabemos? Hace más de 100 años, la comunidad internacional decidió que era beneficioso para todos —países, regiones y hemisferios— compartir información y tecnología meteorológicas para prepararse ante posibles riesgos y hacerles frente. Incluso durante los años más gélidos de la Guerra Fría, la U.R.S.S. y Estados Unidos se comunicaban entre sí y con el resto del mundo para informar sobre los patrones meteorológicos.
Este es un ejemplo extraordinario de cooperación internacional sostenida en aras del bien común, con el propósito de tomar las decisiones adecuadas sobre seguridad pública, agricultura, seguridad de la población civil, transporte y seguros.
¿Qué tiene que ver esto con la ciberseguridad? Todo.
A veces, los ciberataques parecen surgir de la nada, devastan empresas y paralizan todos los niveles de gobierno. Pero, al igual que los fenómenos meteorológicos extremos, hay señales de alerta, si uno sabe dónde buscarlas y a quién informar sobre cualquier suceso sospechoso. Una actividad sospechosa en un aeropuerto de Alemania hace tres semanas puede convertirse mañana en un ataque de ransomware a gran escala en el JFK, que dejará aviones en tierra, hundirá las cotizaciones bursátiles y, en el peor de los casos, costará vidas. Este tipo de desafíos cibernéticos marcará los problemas del siglo XXI.
Para proteger a las personas y ayudar a las empresas, los consejos de administración y la comunidad mundial deben adaptarse a la nueva realidad impulsada por la cibernética; y, para tomar buenas decisiones, los directivos y la comunidad mundial necesitan datos precisos y oportunos.
Desde nuestras dos perspectivas distintas —la industria tecnológica y la política internacional—, tenemos claro que compartir información cibernética entre empresas y gobiernos, y a través de las fronteras, es la solución adecuada. Puede ser tan eficaz como el intercambio actual de información meteorológica.
A diferencia de los datos sobre patrones meteorológicos peligrosos, los datos cibernéticos, así como las lecciones y predicciones que podemos extraer de ellos, no se comparten ampliamente. De hecho, acaparar información es la norma.
Este enfoque aislado de los datos cibernéticos podría acabar siendo mortal. Por eso, hace más de 20 años, Estados Unidos empezó a crear Centros de Intercambio y Análisis de Información (ISAC) para facilitar el intercambio de información sobre infraestructuras críticas, como las finanzas, el petróleo y el gas, y la industria de defensa. Los ISAC son organizaciones sin ánimo de lucro que recopilan, analizan y difunden entre sus miembros información práctica sobre ciberamenazas, y proporcionan herramientas para mitigar los riesgos y reforzar la resiliencia.
Qué debemos hacer
Debemos empezar a aplicar a todo el modelo de seguimiento y notificación meteorológicos. El objetivo debería ser avanzar hacia una coalición u organización internacional dedicada a compartir inteligencia cibernética, como las que usamos para el clima. Pero el primer paso para llegar a ese sistema es que las empresas, desde los ingenieros hasta los consejos de administración, comprendan que compartir inteligencia redunda en su propio beneficio y en el de todos.
Para que esto sea viable para las empresas y las instituciones públicas, los gobiernos primero deben abordar el temor a las represalias. Los organismos reguladores deberían dar suficiente margen de maniobra y no reaccionar con demasiada rapidez cuando se denuncia un ataque. Se debería ofrecer algún tipo de salvaguarda o inmunidad legal. De lo contrario, si se castiga a las empresas por compartir inteligencia y datos relacionados con brechas de seguridad, tendrán pocos o ningún incentivo para compartirlos realmente.
El campamento de verano de los hackers, el trío de conferencias de seguridad de Las Vegas (Black Hat, DEFCON y BSides), acaba de presentar al mundo otra nueva vulnerabilidad de Microsoft vulnerabilidad, que esta vez deja expuestos a ataques a los usuarios que no han instalado el parche. Sin duda, recuerda a lo que sienten las ciudades costeras en plena temporada de huracanes. Las empresas llevan tiempo planificando el segundo semestre de 2019, y las decisiones sobre los presupuestos de 2020 están a la vuelta de la esquina. La confianza, y su déficit, desempeñan un papel más importante que nunca en la reputación y el éxito de una empresa.
Un estudio del Foro Económico Mundial deja claro que los clientes quieren sistemas seguros que los protejan a ellos y a su información no solo de las vulnerabilidades actuales, sino también de cualquier mutación futura. La investigación indica que el 93 por ciento de los directivos pagaría, en promedio, un 22 por ciento más por dispositivos con mayor seguridad. No se trata solo de la tecnología más reciente, sino de cuán segura es. Los consejos de administración que priorizan la ciberseguridad tienen la oportunidad de diferenciar a su empresa y al propio consejo en este ámbito. La ciberseguridad puede impulsar el negocio, pero será solo de palabra si no cuenta con inversiones estratégicas en cultura, personal y tecnología.
Ningún sistema del mundo es completamente hermético. La conectividad se adentra cada día más en nuestras empresas y nuestras vidas. La adopción de 5G, el IoT y la nube se ha vuelto esencial para toda empresa competitiva. Por mucho que se gaste en las herramientas de seguridad más recientes, conectarse a Internet implica un riesgo. Si vives en la costa este, tarde o temprano un huracán tocará tierra cerca de tu casa. El objetivo es prepararse: construir estructuras más resistentes, contratar un seguro contra inundaciones y tener planes de evacuación. Pero, sobre todo, para salvar vidas, es necesario compartir la información que permita prever cuándo ocurrirá y qué daños causará.
El mismo mensaje se aplica a los incidentes cibernéticos. Hay que invertir en sistemas que recopilen información, analicen las amenazas y alerten sobre ellas, así como en organizaciones capaces de desarrollar buenas prácticas y planes de respuesta a emergencias para cuando ocurra lo inevitable. Hay que realizar simulacros con regularidad. Actualizar continuamente los planes y los sistemas, porque las amenazas evolucionan constantemente. Y, sobre todo, compartir las lecciones de forma amplia. El clima no reconoce fronteras; los ciberataques tampoco.
Compartir información es responsabilidad de todos. Los ingenieros deben informar sobre las advertencias y seguirlas. Ante todo, los consejos de administración deben asumir y fomentar una cultura de ciberseguridad. Los clientes deben exigir seguridad. Los gobiernos deben ser más abiertos. Todos y cada uno de nosotros debemos preocuparnos. Si seguimos como hasta ahora, guardándonos la información, la primera muerte causada por un incidente cibernético ocurrirá. Es solo cuestión de tiempo. La comunidad internacional se ha unido en el pasado para hacer del mundo un lugar más seguro. Podemos volver a hacerlo.
