La sociedad tiende a ignorar las preocupaciones y amenazas que no son inmediatas o, al menos, no resultan evidentes de inmediato. La ciberseguridad es un microcosmos de esta tendencia humana, tanto como amenaza genérica como en el caso de amenazas concretas que hoy seguimos desconociendo en gran medida.
En 1991, Winn Schwartau compareció ante el Congreso de Estados Unidos para explicar cómo algún día otros países usarían internet para atacar a EE. UU. Se rieron de él. En 2001, se rieron de mí por explicar que internet es un mundo de ordenadores comprometidos, controlados a distancia por atacantes en lo que se conoce como «botnets».
«Cualquier necio puede reconocer una crisis cuando llega. El verdadero servicio al Estado consiste en detectarla cuando apenas se gesta». – Isaac Asimov, Fundación
undefined
Pasaron años hasta que estas amenazas se hicieron realidad, incluso después de que salieran a la luz los hechos, y hasta que la ciberseguridad se aceptó como una amenaza generalizada, con casos como el enfrentamiento entre el FBI y Apple por el desbloqueo de un iPhone; la filtración de datos del Comité Nacional Demócrata de EE. UU.; el ciberataque contra las elecciones del presidente Macron en Francia, entre otros.
A finales de los años noventa, Israel creó una pequeña organización para proteger las infraestructuras críticas. Algunos dirían que fue una muestra de previsión temprana ante el problema. Otros dirían que ya era demasiado poco y demasiado tarde.
Los expertos afirmaban que la ciberseguridad, entonces conocida como seguridad de la información, era un enorme problema a punto de estallar. Pero en aquel momento aún no había estallado. ¿Cómo distinguir una amenaza entre otras mil? ¿Cuándo se convierte una amenaza (un riesgo cuya existencia se ha demostrado) en una amenaza creíble? ¿Qué inversión justificaría una amenaza de ese tipo y cómo podemos detectarla?
A lo largo de los años, al descubrir nuevas amenazas y tratar de contrarrestarlas, intenté encontrar algunas respuestas. Se hacen evidentes varios parámetros, o canarios en la mina de carbón.
«Luchar contra molinos de viento»
Cuando los expertos suelen quejarse de que la propia infraestructura está mal construida y de que las posibles soluciones (como sustituirla) implican demasiadas trabas para ser viables, estamos ante una amenaza sin solución, que probablemente crecerá. Algunos ejemplos son los protocolos de internet TCP/IP, y el protocolo de correo electrónico SMTP.
El gato y el ratón
Cuando se reconoce que las soluciones en uso forman parte del problema. En ciberseguridad, reaccionamos de maneras que mantienen nuestros sistemas a corto plazo, pero que, por su propia naturaleza, dan lugar a un interminable juego del gato y el ratón, en el que ambas partes se adaptan constantemente en una carrera coevolutiva hacia un «superpatógeno». Algunos ejemplos son los ataques de DDoS (denegación de servicio distribuida), el correo basura y los ataques de phishing.
Asimetría
Si lo analizamos en un contexto de confrontación, una de las partes tiene una ventaja asimétrica sobre la otra, y no es fácil encontrar una solución económica al problema. Algunos ejemplos son el correo basura, el espionaje de Estados nación mediante APT (amenazas persistentes avanzadas) y, de hecho, la propia ciberseguridad.
La historia se repite
Ya hemos visto este riesgo o amenaza, y se inventan sistemas similares basados en los mismos principios o con retos parecidos. Algunos ejemplos son las lecciones no aprendidas que se repiten con las nuevas tecnologías (mainframes, ordenadores personales, teléfonos móviles, RFID, internet de las cosas, drones, etc.).
Dependencia
Cuanto más usamos algo, como una tecnología, más dependemos de ello. No hay mejor ejemplo que el incidente hoy conocido como «La primera guerra de internet» en Estonia en 2007. Tras la caída de la Unión Soviética, Estonia creó su infraestructura desde cero basándose en internet. Por eso, cuando su internet fue atacado, la amenaza adquirió dimensión nacional.
Escala
¿Cuántas personas utilizan el sistema? ¿Cuántas probablemente lo utilizarán en el futuro?
«El derecho a acceder a todos los edificios de la ciudad en automóvil particular, en una época en que todo el mundo posee un vehículo así, es el derecho a destruir la ciudad». – Lewis Mumford.
undefined
De cara al futuro, una amenaza que hoy sigue siendo en gran medida ignorada es la de los dispositivos biológicos y médicos. En 2007, di una charla sobre cómo los dispositivos biológicos y, más adelante, la ingeniería genética podrían convertirse en enormes amenazas, y sobre qué técnicas podríamos usar para combatirlas. No fui el primero en hacerlo, pero fui uno de los primeros canarios, pues venía de las trincheras.
Aprendí que podemos predecir fácilmente las amenazas futuras, pero rara vez imaginar soluciones futuras. Hoy hay grupos del sector y del gobierno que debaten la amenaza, pero sigue siendo un problema en gran medida no reconocido.
Aún pasarán años antes de que los dispositivos sean lo bastante comunes como para considerarlos parte de la infraestructura y antes de que se produzcan ataques a gran escala; solo entonces esta amenaza concreta recibirá verdadera atención. ¿Será demasiado poco y demasiado tarde? ¿Qué nivel de financiación habría que destinar al problema entonces, en comparación con ahora?
Quizá el problema sea la atención, más que la financiación.
Parece que una de las reglas económicas básicas responde a uno de los sesgos cognitivos humanos más comunes: el descuento hiperbólico. Es la tendencia a sobrevalorar una recompensa presente e infravalorar una recompensa futura, aunque sea mayor (por ejemplo, comerse una hamburguesa ahora en lugar de centrarse en el beneficio que supondría para la salud futura no comérsela).
El canario que considero verdaderamente útil para descubrir amenazas es la formación de grupos privados para contrarrestarlas cuando los gobiernos no lo hacen. Incluso hoy, con miles de millones invertidos en ciberseguridad, son los expertos, los voluntarios y las empresas emergentes quienes trabajan en las trincheras y ayudan a resolver los problemas. Por lo general, son particulares y empresas financiadas con capital de riesgo quienes sacan a la luz los riesgos y crean soluciones para ellos.
Los gobiernos tardan décadas en ponerse al día, y el proceso puede ser destructivo. El ejemplo más reciente es el gusano de ransomware WannaCry: fueron particulares del sector privado quienes ayudaron a detener la propagación del ataque.
La ciberseguridad nunca dejará de ser un problema, pero espero que en la próxima década pase de ser un ámbito asimétrico en el que apenas podemos contener la marea a un equilibrio sostenido, como ocurre con la delincuencia común.
Mi propia empresa emergente, Cymmetria, reconocida por el Foro Económico Mundial como pionera tecnológica de 2017, trabaja para alcanzar este objetivo: cambiar la asimetría en el ciberespacio modificando la economía de los ataques y la defensa.
En lugar de buscar ataques que cambian sin cesar, nos centramos en la metodología de los atacantes y controlamos la información que tienen para poder controlarlos. Permitimos que las organizaciones se protejan cuando un atacante ya ha vulnerado su red, eliminando la incertidumbre al detectar a los atacantes, vigilarlos y expulsarlos.
Para obtener más información sobre la promoción de Pioneros Tecnológicos de 2017, visite nuestro sitio web.
