Este artículo se publica en colaboración con The Hill.
Este otoño ha sido rico en noticias sobre ciberseguridad y privacidad, tanto a nivel nacional como internacional. Los acuerdos cibernéticos entre Estados Unidos y China anunciados por el presidente Obama y el presidente Xi Jinping son un primer paso importante para abordar la tensión bilateral por el creciente número de ciberataques contra empresas estadounidenses. Por la misma época, el debate nacional, librado durante mucho tiempo, sobre las puertas traseras obligatorias en la tecnología de cifrado se diluyó con la decisión de la administración Obama de no buscar legislación que obligara a las empresas a descifrar los datos de los usuarios. Ambos acontecimientos significativos no surgen en el vacío, sino que están íntimamente relacionados con la cuestión más amplia de reconstruir la confianza entre empresas, gobiernos y ciudadanos en línea, al tiempo que se refuerza la seguridad de las economías nacionales y mundial frente a ataques criminales.
Ante el creciente daño causado por las brechas de seguridad, China y Estados Unidos, las dos mayores economías del mundo, llegaron a un acuerdo para no llevar a cabo ni apoyar a sabiendas el robo de propiedad intelectual posibilitado por ciberataques. Si se aplica con éxito, este acuerdo promete establecer una norma internacional de ciberseguridad. Los ataques malintencionados contra empresas originados en territorio estadounidense o chino serán objeto de investigación bilateral mediante una cooperación intergubernamental multinivel. Una línea directa para incidentes cibernéticos servirá como canal de comunicación dentro de un mecanismo de aplicación más amplio que facilitará una colaboración oportuna entre ambas partes.
Aunque pueden plantearse algunas dudas sobre las perspectivas de estos acuerdos debido a la falta de compromiso de China en el pasado, la voluntad política de las naciones no es el único factor que determinará el éxito de este acuerdo entre Estados Unidos y China. Para respaldar su aplicación, las empresas comerciales que posean información sobre intrusiones deben estar dispuestas a suministrar oportunamente esos datos a sus respectivos gobiernos, a fin de abordar eficazmente los ataques notificados. El 27 de octubre, el Senado aprobó la largamente debatida Ley de Intercambio de Información sobre Ciberseguridad (CISA, por sus siglas en inglés), que busca establecer un proceso para que las empresas estadounidenses compartan indicadores de amenazas con el gobierno. Este no fue el primer intento de aprobar una legislación de este tipo; propuestas similares no lograron ser aprobadas por el Senado en 2012 y 2014, en gran medida debido a preocupaciones sobre la privacidad.
Muchos expertos en seguridad y grupos de defensa de la privacidad, entre ellos la Electronic Frontier Foundation, se han manifestado con firmeza en contra de CISA. Los responsables políticos y la industria tecnológica están bajo presión para rechazar la propuesta, por no ofrecer salvaguardas adecuadas para la información de los usuarios, mientras amplía la recopilación de datos por parte del gobierno en términos muy amplios. A cambio de información sobre amenazas, a las empresas se les ofrecen protecciones de responsabilidad en caso de que los datos sean vulnerados o compartidos de forma inadecuada, lo que enciende una señal de alarma en la comunidad de privacidad y seguridad. Tras sufrir numerosas brechas de datos en los últimos meses, siendo la de la OPM una de las mayores de la historia, con la exposición de los datos de más de 20 millones de personas, el gobierno no ha mantenido un historial impecable en materia de seguridad de la información. Si la información sobre incidentes cibernéticos compartida por el sector comercial llegara a vulnerarse, los usuarios individuales cuyos datos personales resulten comprometidos en el proceso podrían no tener recurso alguno debido a las protecciones de responsabilidad que establece CISA.
Así, las empresas tecnológicas quedan atrapadas en el fuego cruzado: si bien se beneficiarían del apoyo gubernamental para contrarrestar las amenazas de intrusiones criminales extranjeras, es igualmente importante que protejan la información de los usuarios para «promover la confianza en la economía digital, en el software y las tecnologías que la hacen posible, en el Estado de derecho y en el respeto a los derechos individuales». Por ahora, muchas empresas del sector tecnológico recurren a desarrollar sus propias plataformas o a sumarse a las de terceros que facilitan el intercambio intersectorial de datos sobre amenazas, incluidos dominios maliciosos y muestras de malware.
Dada la importancia de la cooperación cibernética entre Estados Unidos y China para la economía mundial, el gobierno estadounidense necesita reforzar sus prácticas de seguridad, incluido el uso de un cifrado robusto en todos los ámbitos. Para llevar a las empresas tecnológicas a la mesa de negociaciones, el sector privado necesita tener la confianza de que los datos personales de los usuarios estarán debidamente protegidos cuando se compartan con el gobierno con fines de respuesta a ataques criminales extranjeros. Entonces, una promesa de cooperación entre Estados Unidos y China para crear un foro que aborde las amenazas contra empresas estadounidenses podría constituir un incentivo lo bastante sólido para que las empresas consideren compartir indicadores de riesgo con un gobierno.
Conviene destacar el momento en que la administración Obama decidió abandonar una solución legislativa que obligara a las empresas tecnológicas a incorporar una puerta trasera de cifrado en sus programas. Este anuncio llegó en un momento en que el debate público sobre las implicaciones globales de debilitar el cifrado para las fuerzas del orden había alcanzado su punto álgido, en particular en Estados Unidos. Criptógrafos de renombre mundial y grandes empresas tecnológicas unieron fuerzas para defender una seguridad robusta en los sistemas de información estadounidenses. Si las empresas tecnológicas se vieran obligadas a introducir una puerta trasera en interés del gobierno estadounidense, se sentaría inevitablemente un precedente para que naciones extranjeras, incluida China, exigieran un acceso similar a redes comerciales en gran medida globales. En consecuencia, todos los usuarios, incluidos los ciudadanos estadounidenses, quedarían más expuestos a brechas de datos y a pérdidas económicas. La propiedad intelectual, que proporciona a las empresas estadounidenses una ventaja competitiva importante, está sin duda más protegida cuando se resguarda con un cifrado robusto, que constituye un elemento fundamental de la arquitectura de defensa nacional frente a ataques extranjeros y al robo de propiedad intelectual.
Lo que está en juego es verdaderamente global en lo relativo a la protección de la infraestructura financiera, de transporte y de comunicaciones internacional, ya que se estima que las brechas de datos cuestan a las empresas más de 300 000 millones de dólares al año en todo el mundo. Según un informe reciente, en el escenario más extremo de un ataque contra la infraestructura eléctrica estadounidense, el costo solo para la economía de Estados Unidos puede superar el billón de dólares. Está claro que las innumerables brechas de datos de alto perfil, los acuerdos cibernéticos internacionales, las iniciativas legislativas nacionales y la defensa pública de estándares de cifrado más elevados deben analizarse en un contexto de seguridad global más amplio.
Todos estos factores convergen para elevar los niveles de protección de consumidores, empresas y gobiernos de todo el mundo. Es momento de impulsar la adopción de herramientas de cifrado como estabilizador global y medio para proteger la economía, herramientas que trascienden las agendas políticas y los intereses geopolíticos. Un cifrado universalmente robusto es una defensa poderosa que ofrece una capacidad única para proteger al sector privado y a los ciudadanos frente a brechas de datos malintencionadas perpetradas por actores estatales o no estatales.
La publicación no implica el respaldo de los puntos de vista del Foro Económico Mundial.
Para estar al día con la Agenda, suscríbase a nuestro boletín semanal.
Autor: Joseph DeTrani es presidente de la Intelligence and National Security Alliance, una organización sin ánimo de lucro. Mark Fields es consejero delegado de Wickr Inc, una plataforma de comunicaciones seguras, nombrada Pionero Tecnológico de 2015 por el Foro Económico Mundial.
Imagen: Un hombre escribe en el teclado de un ordenador. REUTERS/Kacper Pempel/Files.
