La protección de las infraestructuras críticas es vital para mantener en funcionamiento los servicios esenciales y suele depender de modelos de cooperación público-privada.
Sin embargo, aunque el fallo de las infraestructuras críticas suele considerarse un escenario extremo, a menudo surge la pregunta de quién paga por su seguridad.
Identificar las «infraestructuras críticas de importancia sistémica» podría ayudar a abrir nuevos modelos de cooperación y desbloquear nuevos mecanismos de financiación.
Los esfuerzos de los gobiernos para participar en la protección de las infraestructuras críticas no son ninguna novedad. En Estados Unidos, los primeros esfuerzos quedaron codificados ya en 1998 en la Directiva Presidencial de Decisión 63, que dice:
«Las infraestructuras críticas son aquellos sistemas físicos y basados en el ciberespacio que resultan esenciales para el funcionamiento mínimo de la economía y el gobierno. Incluyen, entre otros, las telecomunicaciones, la energía, la banca y las finanzas, el transporte, los sistemas de agua y los servicios de emergencia, tanto gubernamentales como privados.»
La misión parece clara: establecer modelos integrales de cooperación público-privada que ayuden a garantizar la prestación de servicios esenciales al gobierno, la economía y la ciudadanía.
En Estados Unidos, los programas gubernamentales en este ámbito han provocado un enorme aumento del gasto en ciberseguridad, incluso solo en las entidades directamente afectadas: más de 105.000 millones de dólares solo en 2021, según una estimación.
Retos de la protección de las infraestructuras críticas
Sin embargo, pese a más de dos décadas de experiencia, lograr una protección eficaz de las infraestructuras críticas sigue siendo un reto. El reciente ataque a Colonial Pipeline paralizó el suministro de gas en la costa este de Estados Unidos. Se observaron efectos similares a raíz del ataque de Ámsterdam-Róterdam-Amberes en febrero de 2022 y del incidente en la planta de agua de Florida en febrero de 2021.
Aunque los cortes a gran escala en el sector eléctrico se han mantenido relativamente contenidos hasta ahora, como ocurrió, por ejemplo, con el ciberataque a la red eléctrica de Ucrania en 2015, según se ha informado, varias potencias cibernéticas han colocado malware de antemano en las redes eléctricas de otras.
No está nada claro si los programas de protección de infraestructuras críticas bastarían para hacer frente a las consecuencias de un acto tan extremo, que incluso podría llegar a constituir una auténtica ciberguerra si lo perpetraran Estados.
El fallo generalizado y prolongado de las infraestructuras críticas se considera a veces el peor desenlace de un conflicto político; qué haríamos exactamente como sociedad si se cortara la electricidad durante días, y no digamos semanas, es objeto de mucha especulación.
El ciberataque a las infraestructuras críticas, el «principal temor»
Pero la preocupación no se limita a periodistas o cineastas demasiado exaltados. Para el informe Panorama mundial de la ciberseguridad 2022, el Foro Económico Mundial encuestó a 120 altos cargos del ámbito cibernético para conocer sus inquietudes, tanto respecto a sus empresas como a nivel personal. Al preguntarles qué les preocupaba personalmente, el colapso de las infraestructuras debido a un ciberataque surgió como la principal preocupación, muy por delante del robo de identidad.
En los últimos 20 años, prácticamente todos los gobiernos de la Organización para la Cooperación y el Desarrollo Económicos han experimentado con diversos incentivos y medidas coercitivas para aumentar la colaboración del sector privado.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la resiliencia cibernética y a abordar retos que requieren respuestas colectivas.
Los debates más recientes en Europa y Estados Unidos se han centrado en las «medidas coercitivas», en particular, en los nuevos requisitos legales de los gobiernos que obligan a los operadores de infraestructuras críticas a notificar las brechas graves en sus redes.
Estas normativas, como la Ley de Ciberseguridad de la UE y la reciente ley estadounidense de notificación de incidentes cibernéticos en infraestructuras críticas de 2022 se consideraban opciones de coste relativamente bajo y debían incentivar a las empresas privadas a invertir más en seguridad.
Pero no respondían a la pregunta que realmente se hacen muchos operadores de infraestructuras críticas: reforzar la seguridad y la resiliencia operativa sería estupendo, pero ¿quién iba a pagarlo?
¿Quién paga por la protección de las infraestructuras críticas?
Un reto importante de los programas de protección de infraestructuras críticas es, sencillamente, que las necesidades de la sociedad no coinciden con las de muchas industrias. Por ejemplo, en muchos países, los servicios de emergencia dependen de la misma infraestructura de telefonía móvil que el resto de la población.
Las estaciones base de telefonía móvil son fundamentales, pero pocas cuentan con generadores de reserva en caso de un apagón generalizado, y estos solo pueden funcionar durante uno o dos días como máximo. El gobierno puede obligar a estas empresas —y a veces lo hace— a incorporar más redundancia en esas redes, pero, en general, las empresas de telecomunicaciones operan con márgenes de beneficio muy ajustados, lo que hace que los inversores desconfíen de cualquier carga adicional.
Y aunque el gobierno también podría comprar, subvencionar o incentivar de otro modo la adquisición de esos equipos, podría quedar una cuestión jurídica: si tales subvenciones se aplicaran a todas las infraestructuras críticas —que en Estados Unidos probablemente abarcan muchos miles de empresas—, ¿no constituiría eso una importante medida anticompetitiva, especialmente cuando ser «crítica» ya distaba de ser algo excepcional?
Definir las infraestructuras críticas de importancia sistémica
La solución a este dilema es crear un tipo completamente nuevo de infraestructura crítica, que potencialmente incluso podría dar lugar a un tipo completamente nuevo de empresa: la «infraestructura crítica de importancia sistémica».
El concepto de infraestructura crítica de importancia sistémica se planteó en el informe de 2020 de la Comisión Solarium del Ciberespacio de Estados Unidos como «las entidades responsables de los sistemas y activos críticos más importantes de Estados Unidos, que recibirían asistencia especial del gobierno federal y asumirían una mayor responsabilidad en materia de requisitos adicionales de seguridad y seguridad de la información, esenciales para su condición e importancia únicas».
En otras palabras, abarca únicamente las empresas «críticas entre las críticas»: aquellas, como las de energía y telecomunicaciones, que hacen falta para que las demás funcionen.
En Estados Unidos hay un claro impulso para adoptar el concepto de forma generalizada, y la legislación promovida podría marcar el inicio de una idea completamente nueva de las infraestructuras críticas. Sin embargo, las deliberaciones concretas sobre qué podría constituir una infraestructura crítica de importancia sistémica y cómo podría llevarse a la práctica aún están en una fase muy inicial.
Repensar los modelos regulatorios para garantizar la resiliencia
Además de la colaboración entre los gobiernos y las organizaciones de infraestructuras críticas, es necesario establecer mejores modelos de reparto de costes y de corregulación que garanticen la resiliencia de los pilares básicos de la vida cotidiana.
Una nueva categoría jurídica de infraestructura «de importancia sistémica» podría permitir al gobierno desbloquear nuevos mecanismos de financiación que antes no estaban disponibles. Esto hace claramente falta en algunas infraestructuras, pues, como ya se ha mencionado, las sumas necesarias para garantizar la continuidad de las operaciones y la recuperación ante desastres al nivel que la sociedad podría necesitar superan con creces los presupuestos que los operadores pueden destinar a ello.
¿Qué hace el Foro Económico Mundial en materia de infraestructuras?
Además de medidas relacionadas con los gastos de capital, podría incluir también cuestiones relativas a los gastos operativos, como los costes de mantener organizaciones de ciberseguridad suficientemente grandes y con capacidad para hacer frente a las amenazas existentes. El concepto abre la puerta a ideas creativas.
El nuevo concepto de organizaciones de infraestructuras críticas de importancia sistémica podría ser la mejor forma de deshacer el nudo gordiano que ha dificultado durante décadas la cooperación público-privada en materia de infraestructuras críticas: cómo repartir adecuadamente la carga de los costes que conlleva la dependencia de las sociedades modernas de ciertas industrias esenciales para la vida. Resolverlo bien supondría un gran avance en la Cuarta Revolución Industrial.
