La ciberdelincuencia ha provocado uno de los mayores robos de dinero, información, propiedad intelectual y secretos de Estado de la historia moderna. La seguridad, la economía, las infraestructuras vitales y la seguridad personal de las personas en EE. UU. y otros países están en riesgo. Los riesgos son ubicuos y sistémicos, pero los esfuerzos para abordarlos han estado en gran medida descoordinados.
En este artículo de opinión, David N. Lawrence, fundador de Risk Assistance Network and Exchange (RANE); Jay Clayton, codirector del grupo de práctica general de Sullivan and Cromwell en la ciudad de Nueva York; Frances Townsend, vicepresidenta ejecutiva de MacAndrews & Forbes y exasesora de Seguridad Nacional del presidente George W. Bush, y sus asociados presentan un plan para garantizar que empresas y gobiernos trabajen de forma colectiva y cooperativa para hacer frente a las inminentes ciberamenazas.
Se sabe que Sócrates declaró: «La única verdadera sabiduría consiste en saber que no sabes nada». Esto se convirtió en el punto de partida de su búsqueda del conocimiento.
En materia de ciberseguridad, el mundo se encuentra en las primeras etapas del proceso socrático. En los sectores público y privado existe una preocupación justificada por lo poco que entendemos y por todo lo que aún queda por hacer.
Ahora es el momento de hacernos más sabios gracias a esta admisión.
La ciberseguridad es un tema complejo y lleno de matices. También hay terreno común más que suficiente para que todos comprendan la magnitud y ubicuidad de las amenazas y nuestros limitados medios para responder a ellas. Ya sean naturales o provocadas por el ser humano, prácticamente todas las amenazas catastróficas refuerzan al menos cuatro lecciones sobre la gestión de riesgos. La ciberamenaza no es diferente.
El mejor momento para prepararse para un desastre es antes de que ocurra.
Las crisis vienen precedidas de oportunidades —a menudo desaprovechadas— para explicar los riesgos, tanto locales como sistémicos, y adoptar medidas de prevención, mitigación y recuperación.
Si la historia no siempre se repite exactamente, rima lo bastante como para que no tengamos que repetir nuestros errores.
Juntos, nuestra experiencia y nuestros recursos pueden ser formidables. Por separado, somos muy vulnerables.
La ciberseguridad es un problema multidimensional que supera la capacidad de gestión de riesgos y respuesta de cualquier comunidad por sí sola: tecnología, defensa, aplicación de la ley, políticas públicas y empresas. Ningún grupo tiene la respuesta ni puede afirmar que es superior. Todos están expuestos.
Con tanto en juego, ¿por qué ha habido tan pocos avances colectivos?
Hace cincuenta años, Bob Dylan ofreció esta observación práctica sobre la gestión de riesgos en «Subterranean Homesick Blues»: «No necesitas un hombre del tiempo para saber de dónde sopla el viento». Es evidente de dónde sopla el viento, y ha llegado la hora de actuar colectivamente.
Hace diez años, la Comisión del 11-S compartió uno de sus principales hallazgos sobre los «ataques que lo cambiaron todo»: que un acontecimiento nos tome por sorpresa no significa que sea inesperado.
Reconociendo que cualquier comparación con el 11-S debe hacerse con cautela y respeto, volvimos a leer recientemente el informe de la Comisión del 11-S. Lo hicimos porque muchos expertos en seguridad creen que el mundo se encuentra en un punto de inflexión similar en cuanto a nuestro estado colectivo de preparación frente a las exposiciones digitales. La Comisión llegó a una conclusión general sobre la exposición al terrorismo: incluso nuestras amenazas más trascendentales pueden prevenirse o mitigarse gracias al reconocimiento, la inteligencia y la acción compartidos.
En materia de ciberseguridad, el mundo se encuentra en las primeras etapas del proceso socrático.
Como se refleja en las conclusiones y recomendaciones de la Comisión, nuestros enfoques ante los riesgos complejos deben ofrecer transparencia, utilidad y resiliencia para ser eficaces.
He aquí, pues, una propuesta relativa a los esfuerzos de ciberseguridad en EE. UU., con la esperanza de que otros países se beneficien de esta iniciativa y puedan desarrollar sus propias versiones de la misma solución. En este momento de relativa calma, tenemos la oportunidad de aportar previsión, no retrospectiva; una biopsia, no una autopsia; un plan, no un código azul.
El presidente y el Congreso de EE. UU. deberían nombrar una comisión sobre ciberamenazas al estilo de la del 11-S. Esta comisión debería:
Reunir a las mejores mentes y las mejores intenciones de todos los sectores y partidos políticos —sin intereses propios ni influencias externas— y contar con poder y autoridad suficientes para actuar con rapidez y eficacia.
Incorporar participantes más allá de las fronteras nacionales, recurriendo a las principales autoridades de todo el mundo.
Elaborar un informe sobre el estado de la unión digital, que incluya una evaluación de los riesgos y un plan para abordarlos, expresado en un lenguaje sencillo que todos puedan entender.
Seguir el ejemplo de la Comisión del 11-S y de los expertos en comunicación al ofrecer una narrativa —no un informe gubernamental típico— que todos quieran leer y seguir.
Utilizar las redes sociales para mantener la comunicación y recabar opiniones.
No hace falta ningún acontecimiento de «gran impacto». La Comisión debe responder a estas preguntas:
¿Por qué tenemos un problema? ¿Por qué importa?
¿Cuál es el alcance del problema? ¿Qué hay que hacer?
¿Quiénes están detrás de las amenazas? ¿Quién debe responder y hacerse cargo de la iniciativa?
¿Cómo se ejecutarán las soluciones?
¿Cuándo ocurrirá esto?
¿A quién podemos acudir en busca de ayuda?
La ciberseguridad es como un «elefante negro» de Twitter: un peligroso híbrido entre el riesgo del «cisne negro» (capaz de producir resultados inesperados con enormes consecuencias) y el «elefante en la habitación» (un gran problema que está a la vista de todos).
Cada día surgen nuevas ciberamenazas. Y las próximas oleadas de ataques prometen superar la capacidad de respuesta de cualquier empresa, sector o incluso país por sí solo.
A escala mundial estamos sufriendo robos sin precedentes de dinero, información, propiedad intelectual y secretos de Estado, muchos de ellos destinados a financiar regímenes extranjeros y organizaciones criminales.
Costes de seguridad imprevisibles impuestos a empresas públicas y privadas —solo para seguir funcionando— que, en la práctica, representan un «impuesto de protección».Posiblemente, los primeros actos de una guerra muy asimétrica y de múltiples frentes que amenaza la seguridad nacional, la economía, las infraestructuras vitales y la seguridad personal, y frente a la cual las tropas terrestres, los tanques, los aviones y los barcos ofrecerán poca defensa.
Internet se construyó para ofrecer conectividad y accesibilidad universales, no pensando en contener los aspectos más oscuros del comportamiento humano. Internet ha cumplido su promesa de progreso social y económico. Por desgracia, también ha brindado oportunidades sin precedentes a quienes buscan ampliar los conflictos mundiales, el terrorismo, la actividad criminal, el espionaje estatal e industrial y el vandalismo.
Como se refleja en las conclusiones y recomendaciones de la Comisión [del 11-S], nuestros enfoques ante los riesgos complejos deben ofrecer transparencia, utilidad y resiliencia para ser eficaces.
Al destacar nuestra exposición a escala mundial, la Comisión Global sobre la Gobernanza de Internet explicó que, en las redes conmutadas por paquetes y las nubes de datos de Internet, se mezclan las comunicaciones y los datos de todas las partes. En contexto, circulamos por la misma superautopista de la información camino al trabajo, la escuela y el ocio que quienes buscan hacer llegar toda una serie de amenazas. De hecho, quizá haya que reconstruir Internet.
En cuanto al estado de nuestra preparación mundial y nuestra capacidad de respuesta, estas son algunas opiniones ampliamente aceptadas por expertos de los sectores público y privado:
El riesgo cibernético es ahora una amenaza sistémica para la seguridad nacional, la sostenibilidad económica, la seguridad, la confianza pública y las libertades que constituyen nuestro modo de vida.
Un gran ataque catastrófico y sistémico ya no es una cuestión de «si» ocurrirá, sino de cuándo y a qué coste: en vidas, bienes, reputación, economía y nuestra sensación general de confianza y seguridad.
«Si puedes imaginarlo, ellos pueden hacerlo. Y aunque no puedas imaginarlo, ellos ya lo han hecho y están trabajando en ello». Esta es la sencilla premisa operativa que orienta el pensamiento de los expertos sobre nuestra exposición a los riesgos de los ciberataques.
Solo una pequeña parte de las amenazas llega al conocimiento público a través de los titulares y las revelaciones esporádicas. No cabe duda de que abundan los planes y el talento para lanzar ataques sistémicos contra infraestructuras críticas: sistemas de defensa, energía, transporte, telecomunicaciones, atención médica y finanzas. Incluso hay «aplicaciones» para esos ataques en la web oscura, y grupos como ISIS proporcionan los enlaces.
A los funcionarios les preocupa que quizá haga falta un acontecimiento del tipo «Ciber-11-S» para que despertemos y reconozcamos la magnitud de esta amenaza. Para entonces, ya se habrán producido daños generalizados e irreparables y podríamos quedar atrapados en un juego de culpas de suma cero.
La ciberseguridad no es un problema tecnológico que necesite un «parche». La tecnología y sus portales son los medios más recientes que una gama cada vez más amplia de actores individuales, grupales y patrocinados por Estados utiliza para alcanzar fines conocidos. En realidad, se trata de fraude, robo, espionaje estatal e industrial, extorsión, financiación ilícita, conflicto geopolítico, terrorismo, perturbación económica, violaciones de los derechos humanos y vandalismo. No hay una solución sencilla: no hay una aplicación para eso.
Las amenazas de mayor trascendencia proceden de un grupo relativamente reducido de Estados, actores patrocinados por Estados y grupos protegidos por Estados. Las soluciones deberán reflejar las realidades geopolíticas.
Quienes están detrás de los ciberataques pueden ser delincuentes, espías, terroristas, «hacktivistas» o Estados enemigos, pero son actores racionales. Según se cuenta, Willie Sutton, el famoso ladrón de bancos de la década de 1930, dio una explicación sencilla de por qué robaba bancos: ahí está el dinero. Ya sea como intrusos que irrumpen desde fuera o como agentes internos que atacan desde dentro, nuestras redes conectadas ofrecen las llaves de los castillos que albergan, entre otros activos, nuestro dinero, los secretos de Estado y militares, los sistemas operativos, la propiedad intelectual, las estrategias empresariales, la información sensible para el mercado, las comunicaciones privadas, las identidades personales, el asesoramiento jurídico y los asuntos reputacionales.
La ciberdelincuencia sigue siendo un delito y un acto de guerra «prácticamente» perfectos. El riesgo es bajo y la recompensa, alta. Es ágil, barata y puede ampliarse a distancia. Evoluciona e innova de maneras que dejan a las autoridades encargadas de hacer cumplir la ley respondiendo a las batallas de ayer. Las víctimas tienen pocos recursos o ninguno. No encaja en nuestra perspectiva ni en los procesos actuales para hacer frente a la delincuencia nacional e internacional. No hay leyes, tratados ni fronteras que limiten las tácticas, las armas o los ataques contra civiles. Fácil de ocultar y lanzar desde refugios seguros, entraña poco riesgo de detección, prevención, captura o castigo. Con tanto que ganar y tan poco que perder, ¿por qué detenerse?
El coste anual de los ciberataques para la economía mundial se cifra, según el consenso, en unos 445.000 millones de dólares. Sin embargo, la cifra «susurrada» de los daños reales supera con creces esa estimación. Muchas intrusiones exitosas nunca se detectan. Otros ataques no se denuncian por motivos de seguridad nacional y por las preocupaciones empresariales relacionadas con las relaciones con los clientes, los litigios y el daño reputacional.
Los seguros solo pueden ofrecer una respuesta parcial. El mercado de seguros aún está en sus inicios. Por lo general, las pólizas tienen límites bajos y numerosas exclusiones. Para aumentar la cuantía y el alcance de la cobertura, las aseguradoras necesitarían mejores datos actuariales e inteligencia sobre los perfiles de riesgo cibernético de las empresas aseguradas, así como sobre las medidas que pueden tomarse para mitigar esos riesgos.
A las víctimas de ciberataques se les atribuye la culpa injustamente. En las secuelas de los ciberataques, propias de «Alicia en el País de las Maravillas», los perpetradores suelen estar fuera del alcance de la ley y la empresa victimizada acaba en el banquillo. Como «acusadas», se las declara culpables de saber que resultaban atractivas, de invitar al ataque y luego no repeler a sus atacantes.
Nuestra falta de coordinación no concuerda con los modelos democráticos de seguridad. La seguridad mundial siempre ha requerido alianzas entre organismos gubernamentales y una ciudadanía informada y comprometida. Por desgracia, incluso la decisión aparentemente sencilla de denunciar un ataque ante las autoridades exige sopesar de forma compleja los costes probables y los beneficios inciertos. Aún no se han abordado cuestiones fundamentales sobre confidencialidad, privacidad, intercambio de información y notificaciones de puerto seguro.
Incluso los esfuerzos de prevención y detección más sofisticados y costosos solo han demostrado ser parcialmente eficaces: resultan más útiles para retrasar lo inevitable o desviar el contagio hacia otra empresa que ofrece menos resistencia. Las instituciones se preguntan: «¿Con qué rapidez y agilidad debo moverme para escapar de este oso?». A corto plazo, la respuesta quizá sea ser apenas más rápidos que los demás. A largo plazo, el oso sigue ahí fuera.
Nuestro enfoque fragmentado de la seguridad amplía la definición de locura de Einstein: hacemos lo mismo una y otra vez, sin siquiera esperar un resultado diferente. Ninguna entidad, sector o nación puede gestionar este riesgo por sí sola. Los procedimientos sólidos y las protecciones para el conocimiento y los recursos compartidos deben ser un componente esencial de una estrategia de ciberseguridad. Habrá que promulgar y hacer cumplir tratados internacionales.
Una revisión de estas opiniones lleva a una sola conclusión: hace falta, y ya debería haberse elaborado, un informe integral y colectivo en estrecha cooperación con el sector privado. La participación internacional de los sectores público y privado será esencial en esta iniciativa.
Circulamos por la misma superautopista de la información camino al trabajo, la escuela y el ocio que quienes buscan hacer llegar toda una serie de amenazas.
La historia emite con razón un juicio severo cuando no nos unimos para proteger el interés público frente a amenazas conocidas. A raíz de la tragedia del 11-S, contamos con un modelo para abordar nuestras amenazas más complejas antes de que se produzca una crisis. Ahora es el momento de aplicarlo a los peligros claros y presentes de la ciberseguridad.
Sobre los coautores:
David N. Lawrence es fundador y director de colaboración de Risk Assistance Network+Exchange (RANE), y anteriormente fue asesor jurídico general asociado y director gerente de Goldman Sachs. Antes, ocupó diversos cargos directivos en la Fiscalía de los Estados Unidos (S.D.N.Y.).
Jay Clayton es codirector del Grupo de Práctica General de Sullivan & Cromwell. También es profesor adjunto en la Facultad de Derecho de la Universidad de Pensilvania.
Frances Townsend es vicepresidenta ejecutiva de MacAndrews & Forbes y analista de seguridad nacional de CNN; anteriormente fue asesora de Seguridad Nacional del presidente George W. Bush.
Stephen Labaton es presidente de la firma global de comunicaciones Finsbury y exredactor sénior de The New York Times.
Frank J Cilluffo es director del Center for Cyber and Homeland Security de la Universidad George Washington, asesor sénior de RANE y anteriormente fue asistente especial del presidente para la seguridad nacional.
Tim Murphy es vicepresidente de MacAndrews & Forbes, al tiempo que sigue participando activamente en diversas iniciativas de los sectores público y privado para abordar la ciberseguridad y la seguridad nacional; anteriormente fue subdirector del FBI.
Ed Stroz es fundador y presidente ejecutivo de Stroz Friedberg, empresa especializada en ciberseguridad y gestión de riesgos; fue agente especial del FBI y ayudó a crear su Escuadrón de Delitos Informáticos.
John Squires es socio sénior del bufete Perkins Coie, especializado en propiedad intelectual y derecho tecnológico, y fue asesor jurídico principal de propiedad intelectual de Goldman Sachs.
Matthew Lawrence es investigador jurídico y de propiedad intelectual en Perkins Coie y asistirá a la Facultad de Derecho de la Universidad Fordham.
Curtis Hougland es experto en redes sociales y marketing y fundador de Attention.
Los autores reconocen las contribuciones de Carl J. Schramm (Universidad de California), exdirector ejecutivo de la Fundación Kauffman; Amit Sharma, asesor sénior de RANE y exasesor sénior del Departamento del Tesoro de EE. UU. en materia de terrorismo y financiación ilícita; y Adam Robinson, director ejecutivo de Robinson Global Strategies. Aunque no participaron directamente en este artículo, reconocemos el liderazgo en seguridad de varias firmas, entre ellas: CrowdStrike, K2 Intelligence, Kroll, Mandiant, Promontory Group, Recorded Future y Red Owl.
Aviso legal: Las opiniones expresadas por los autores son exclusivamente suyas y no deben atribuirse a ninguna de las instituciones con las que están o han estado afiliados.
Este artículo se republicó con autorización de Knowledge at Wharton, la revista en línea de investigación y análisis empresarial de la Wharton School de la Universidad de Pensilvania. La publicación no implica que el Foro Económico Mundial respalde estas opiniones.
Para mantenerse al día con la Agenda suscríbase a nuestro boletín semanal.
Autor: David N. Lawrence es fundador de Risk Assistance Network and Exchange (RANE). Jay Clayton es codirector del grupo de práctica general de Sullivan and Cromwell en la ciudad de Nueva York. Frances Townsend es vicepresidenta ejecutiva de MacAndrews & Forbes y exasesora de Seguridad Nacional del presidente George W. Bush.
Imagen: Se sostiene una lupa delante de una pantalla de ordenador. REUTERS/Pawel Kopczynski.
