El 27 de mayo, 75.000 personas quedaron varadas porque un contratista, por error, desconectó el suministro eléctrico de un centro de datos de British Airways. Hasta ahora, el coste se ha estimado en 100 millones de dólares. La semana anterior, un gran ciberataque con el ransomware WannaCrypt infectó más de 230.000 ordenadores con Windows en 150 países. El ataque afectó a escuelas y universidades, ferrocarriles y equipos informáticos gubernamentales de todo el mundo. En particular, el ataque de ransomware causó estragos en el Servicio Nacional de Salud (NHS) del Reino Unido y provocó la cancelación de operaciones y citas médicas. Europol, el organismo policial de la UE, calificó el ciberataque como «el mayor ataque de ransomware observado en la historia».
Los fallos tecnológicos, tanto los causados por errores involuntarios como los derivados de actos maliciosos, son cada vez más frecuentes. En febrero, vimos cómo la nube de Amazon dejó de funcionar por motivos similares a los del fallo de British Airways: un error tipográfico de un empleado desconectó inadvertidamente más servidores informáticos de los previstos. Como consecuencia, el servicio de internet estuvo interrumpido durante varias horas, con un coste cercano a los 150 millones de dólares. El pasado octubre, los ataques DDoS dejaron sin internet a todo Estados Unidos, aunque, por suerte, solo durante un par de horas. El fin de semana pasado, parlamentarios británicos fueron blanco de un ciberataque.
Algunos sostienen que las «catástrofes» cibernéticas deberían considerarse sucesos de «cisne negro», término de Nassim Taleb para referirse a acontecimientos muy inesperados, con consecuencias importantes y sujetos a una racionalización a posteriori. Taleb sostenía que los sucesos de cisne negro son imposibles de predecir, pero tienen repercusiones catastróficas. Sin embargo, al caracterizar las catástrofes tecnológicas como cisnes negros, corremos el riesgo de debilitar nuestra capacidad para afrontarlas. No debemos considerar cada suceso de forma aislada, sino como parte de los riesgos entrelazados de la Cuarta Revolución Industrial, y debemos planificar en consecuencia.
El caso de WannaCrypt plantea la cuestión de cómo podemos, como sociedad, como gobierno o como consumidores globales, ayudar a prevenir, mitigar, responder y recuperarnos de estos sucesos potencialmente catastróficos.
Ante todo, debemos aceptar que estos sucesos ya no son anomalías ni casos aislados. Seguirán ocurriendo, y con mayor frecuencia y posiblemente más gravedad que en el pasado. En segundo lugar, no debemos trabajar de forma aislada. La seguridad desde el diseño, es decir, garantizar que la seguridad esté integrada en la tecnología desde el principio, es un primer paso fundamental.
Sin embargo, las conversaciones sobre seguridad deben incluir no solo a los desarrolladores de tecnología, sino también a las aseguradoras, los gobiernos e incluso los consumidores. Es necesario reconocer e implementar las mejores prácticas y las normas mínimas tanto en toda la cadena de suministro como a escala mundial. Nuestras redes están más interconectadas que antes, y este es un ejemplo perfecto de que su fortaleza depende de la solidez de su eslabón más débil. En el caso del fallo de la nube de Amazon, un procedimiento de mantenimiento menor pudo provocar la interrupción de todo el sistema, «lo que pone de manifiesto que AWS y, en general, el sector de la computación en la nube todavía tienen que madurar», afirmó Ed Anderson, analista de Gartner Inc.
Podría hacerse un comentario similar sobre el centro de datos de BA, ya que un fallo global de TI dejó en tierra todos los vuelos de British Airways con salida de Londres el sábado 27 de mayo. Además, el éxito del ataque DDoS que dejó sin conexión gran parte de internet en Estados Unidos el pasado octubre se debió a la botnet Mirai, que atacó los servidores de Dyn, «una empresa que controla gran parte de la infraestructura del sistema de nombres de dominio (DNS) de internet». El éxito de la botnet dependió de cientos de miles de dispositivos conectados a internet, como cámaras, vigilabebés y routers domésticos, que estaban infectados —sin que sus propietarios lo supieran—, lo que permitió a los hackers controlar y saturar el tráfico de internet. En muchos casos, unas normas mínimas de seguridad, protocolos y formación podrían haber evitado sucesos de este tipo.
Sin embargo, como demostró WannaCrypt, la seguridad desde el diseño no será suficiente. Aunque quizá no existan normas reconocidas a escala mundial, Microsoft ha sido líder en la protección de sus productos. Aun así, pueden encontrarse puntos de entrada incluso en las redes más seguras. Según Microsoft, los exploits utilizados en el ataque de WannaCrypt fueron robados a la Agencia de Seguridad Nacional (NSA) de Estados Unidos. No solo se hicieron públicos el 14 de marzo, sino que Microsoft también publicó una actualización de seguridad para corregir precisamente esta vulnerabilidad. Sin embargo, no había ningún mecanismo para obligar a instalarla. En este caso, la clara falta de funciones y responsabilidades impidió que se tomaran las medidas correctivas necesarias. Este ejemplo pone de relieve la necesidad de establecer un marco de rendición de cuentas y un conjunto de acciones definidas que puedan ayudar a prevenir y mitigar los ataques.
Debemos entender que no todos los ataques pueden prevenirse. Aprender de los ataques que han tenido éxito es fundamental para evitar otros en el futuro. Hoy en día, empresas, ciudades, países y organizaciones supranacionales trabajan de forma aislada en materia de prevención y respuesta.
Sin embargo, el sector privado no debería considerar que su experiencia en seguridad es únicamente una ventaja competitiva. Además, los gobiernos deberían colaborar entre sí y con el sector privado para evitar que quienes tienen intenciones maliciosas se beneficien al acceder a información compartida por unos pocos. Es necesario que los sectores público y privado coordinen sus esfuerzos en una plataforma mundial para trabajar juntos, aprender unos de otros y desarrollar mejores prácticas que fortalezcan la resiliencia ante esta nueva catástrofe: los fallos de las tecnologías interconectadas.
El proyecto «Mitigar los riesgos en la economía de la innovación» del Foro Económico Mundial ha reunido a líderes de gobiernos, empresas tecnológicas y aseguradoras de todo el mundo para evaluar el grado de preparación y elaborar planes de respuesta ante incidentes basados en las mejores prácticas, con el fin de fortalecer la resiliencia ante catástrofes provocadas por la tecnología. Este tema ocupará un lugar destacado en la agenda de nuestra Reunión Anual de los Nuevos Campeones en Dalian, China esta semana.
Este artículo se redactó como parte de la iniciativa Mitigar los riesgos en la economía de la innovación del Foro Económico Mundial. Para obtener más información sobre el proyecto, visite su sitio web.
