Pronto tu nevera podrá comprar tus alimentos en Amazon, tras haber registrado lo que te gusta en Facebook e Instagram. La ciberseguridad es fundamental para que esto suceda; para garantizar que, mientras se registran nuestras preferencias alimentarias, nuestra identidad no sea robada, las tarjetas de crédito no sean clonadas y nuestros dispositivos no sean manipulados por actores malintencionados que buscan robar datos o modificar el comportamiento de una máquina. A medida que la Cuarta Revolución Industrial avanza y la integración e interacción de distintas tecnologías se utiliza para mejorar el bienestar individual y ambiental, la ciberseguridad será cada vez más importante.
En 2015, la ONU identificó 17 Objetivos de Desarrollo Sostenible (ODS) que deben alcanzarse para 2030 y abarcan desde la erradicación de la pobreza y la garantía de la estabilidad y la paz hasta la lucha contra la discriminación y el cambio climático. Las tecnologías digitales, en particular el internet de las cosas (IoT) y la inteligencia artificial (IA), pueden facilitar los esfuerzos para alcanzar los ODS. Por ejemplo, la IA puede ayudar a detectar la desnutrición mediante fotografías de personas que viven en una determinada zona. En este caso, la ciberseguridad también es fundamental. Si las imágenes de esas personas fueran robadas o si el modelo de IA se corrompiera, el uso de la IA para combatir el hambre se volvería problemático. La ciberseguridad sustenta la confianza en las tecnologías digitales y, por tanto, su adopción con fines humanitarios y ambientales.
No es sorprendente, por tanto, que se calcule que el valor del mercado de la ciberseguridad crecerá de 120.000 millones de dólares en 2019 a 300.000 millones de dólares en 2024. Resulta aún más sorprendente que, mientras los esfuerzos y las inversiones para mejorar la ciberseguridad siguen creciendo, los avances en seguridad vayan a la zaga del ritmo del uso malintencionado de las tecnologías digitales. Las ciberamenazas aumentan en frecuencia, impacto y sofisticación. El Foro Económico Mundial, en su Informe sobre Riesgos Globales 2019 clasificó los ciberataques entre los cinco principales riesgos. A escala mundial, la ciberdelincuencia provoca pérdidas para las empresas de miles de millones de dólares; el coste medio de la ciberdelincuencia para una organización ha aumentado de 11,7 millones de dólares en 2017 a 13,0 millones de dólares. Ese año, los incidentes WannaCry y NotPetya demostraron que los ataques dirigidos al componente cibernético de las infraestructuras (como las centrales eléctricas), los servicios (como los servidores de bancos u hospitales) y las herramientas y dispositivos (como los teléfonos móviles y los ordenadores personales, por ejemplo) tienen un gran potencial disruptivo y pueden causar daños graves.
La falta de medidas de ciberseguridad eficaces puede tener un efecto en cadena sobre la Cuarta Revolución Industrial y sobre el desarrollo de las sociedades de la información en todo el mundo. Dos aspectos son especialmente relevantes: la estabilidad y la confianza. Sin medidas de seguridad eficaces, las ciberamenazas pueden socavar la estabilidad de las sociedades de la información, convirtiendo las tecnologías digitales en una fuente de riesgo más que de desarrollo. Al mismo tiempo, la falta de seguridad en torno a las tecnologías digitales erosionará la confianza de los usuarios, lo que a su vez frenará su adopción y obstaculizará la innovación. La ciberseguridad es un recurso esencial de las sociedades de la información, y mejorarla es vital para fomentar el desarrollo social, el progreso tecnológico y aprovechar el potencial de las tecnologías digitales para producir resultados que beneficien a la sociedad.
¿Qué ciberseguridad?
El término ciberseguridad abarca un ámbito amplio. Va desde el diseño de sistemas robustos y capaces de resistir ataques, hasta el diseño de métodos y sistemas para la detección de amenazas y anomalías (TAD), pasando por la garantía de la resiliencia de los sistemas y la definición de sus respuestas a los ataques. En sociedades que dependen de la infraestructura digital para funcionar, la robustez de los sistemas es un requisito esencial. Sin embargo, mejorarla es un proceso costoso. Requiere un diseño preciso, verificación y validación del código, pruebas y sondeo de vulnerabilidades. Esto convierte a la ciberseguridad en un bien de club, es decir, un bien que no se agota por su uso (no rival), pero cuyo acceso está regulado por su coste. La escalada de las ciberamenazas indica que este enfoque es ineficaz, por no decir problemático, porque la dinámica del mercado y los costes asociados a la mejora de la robustez de los sistemas dan lugar a una distribución desigual de las medidas de ciberseguridad.
Consideremos, por ejemplo, el IoT. La robustez de los dispositivos digitales terminales influye en sus costes, en la medida en que los fabricantes pueden sacrificar la robustez en aras de mantener su competitividad comercial. En 2018, un estudio de Symantec informó de un promedio de 5.200 ataques al mes en dispositivos IoT. A medida que el IoT impregna cada vez más nuestros entornos privados y públicos, sus vulnerabilidades pueden favorecer una grave falta de seguridad y protección frente a amenazas. La cuestión, entonces, es cómo desarrollar y regular el diseño de sistemas robustos de forma eficaz.
Es evidente que la ingeniería de sistemas robustos tiene un impacto tanto directo como indirecto en el público de las sociedades de la información. Permite que las infraestructuras y los servicios nacionales críticos funcionen, facilita que los ciudadanos desempeñen sus rutinas diarias y puede favorecer los resultados socialmente beneficiosos de las tecnologías digitales. Por estas razones, la ciberseguridad no debe concebirse ni gestionarse como un bien de club, sino que debe tratarse como un bien público, es decir, un bien no rival que, además, es no excluible (lo que significa que ningún usuario puede impedir que otros lo utilicen).
Convertir la ciberseguridad en un bien público
Gestionar los costes es clave para desarrollar la robustez de los sistemas como bien público. Esto no significa que la robustez de los sistemas deba ser gratuita, pero es esencial que los costes no se conviertan en un factor determinante para el acceso. El punto clave aquí es garantizar que todos los usuarios tengan acceso a tecnologías digitales cuya robustez sea adecuada al propósito y al contexto de implementación.
Este punto puede aclararse mediante dos analogías: el alumbrado público y la defensa nacional. Se trata de dos bienes públicos típicos; ambos tienen un coste, pero todos los ciudadanos de un Estado acceden a ellos con independencia de dichos costes, y todos contribuyen a mantenerlos mediante el pago de impuestos. De la misma manera, la ciberseguridad puede funcionar como un bien público si sus costes se reparten de forma equitativa entre las partes interesadas pertinentes. Una implicación de este enfoque es que el sector público tendrá que asumir parte de los costes de la ciberseguridad: esto puede incluir, por ejemplo, los costes relacionados con el establecimiento de normas y procedimientos de certificación, así como los costes asociados a la prueba y verificación de tecnologías. Pero gestionar la ciberseguridad como un bien público también aportaría tres ventajas importantes: enfoques sistémicos de la seguridad, responsabilidades compartidas entre las distintas partes interesadas y fomento de la colaboración.
Enfoque sistémico: La gestión de un bien público requiere considerar las externalidades directas e indirectas, así como las consecuencias a medio y largo plazo. Esto favorece enfoques de la ciberseguridad que se centren en las interdependencias entre la seguridad de distintas tecnologías, pero conectadas entre sí, su impacto en el contexto de implementación y en el interés público pertinente en juego.
Responsabilidades compartidas: La gestión de la ciberseguridad como bien público exige la colaboración entre los sectores privado y público para garantizar que la robustez de los sistemas esté diseñada para responder al interés público. Corresponde al sector público establecer normas y procedimientos de certificación, prueba y verificación capaces de garantizar que se mantenga un nivel suficiente de seguridad. Al mismo tiempo, el sector privado es responsable de diseñar sistemas robustos y de desarrollar y mejorar nuevos métodos de ciberseguridad para los servicios y productos que ofrece, así como de colaborar con el sector público en torno a los mecanismos de control y prueba. Concebir la robustez de los sistemas como un bien público también implica cierta responsabilidad para el usuario en lo que respecta a sus prácticas de higiene cibernética.
El reparto de responsabilidades entre las distintas partes interesadas, junto con la necesidad de considerar las externalidades directas e indirectas, probablemente fomentará la colaboración y el intercambio de información. Compartir información sobre las vulnerabilidades de distintos sistemas que forman parte de una misma cadena de suministro, por ejemplo, será fundamental para que el sector privado garantice la robustez de los sistemas y aprenda de sus homólogos. Al mismo tiempo, el sector público puede apoyarlo incluyendo el intercambio de información y la colaboración como parte de sus iniciativas y procedimientos de desarrollo de capacidades.
Las sociedades posteriores a la Cuarta Revolución Industrial evaluarán el éxito de esta revolución en función de su impacto en el desarrollo de sociedades de la información tolerantes, abiertas, pluralistas, estables y maduras.
La Plataforma para dar forma al futuro de la ciberseguridad y la confianza digital se compromete a garantizar nuestro futuro digital compartido, asegurando que una transformación digital segura permita prosperar a la economía y a la sociedad mundiales. Enmarcar la ciberseguridad como un bien público sería decisivo para alcanzar esta prosperidad, ya que ayudará a frenar la dinámica de escalada de las ciberamenazas, a mejorar la seguridad general de nuestras sociedades y su estabilidad, manteniendo al mismo tiempo el foco general en el interés público.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza en la que los líderes se reúnen para comprender la evolución de los riesgos cibernéticos y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la ciberresiliencia y a afrontar retos que requieren respuestas colectivas.
