El mes pasado, los Países Bajos acogieron la Conferencia Mundial sobre el Ciberespacio 2015, que reunió a cerca de 2.000 funcionarios gubernamentales, académicos, representantes de la industria y otras personas. Presidí un panel sobre paz y seguridad cibernéticas en el que participaron un vicepresidente de Microsoft y dos ministros de Asuntos Exteriores. Esta conferencia «multilateral» fue la más reciente de una serie de iniciativas para establecer reglas de juego que eviten conflictos cibernéticos.
La capacidad de utilizar Internet para causar daños está hoy ampliamente demostrada. Muchos observadores creen que los gobiernos estadounidense e israelí estuvieron detrás de un ataque anterior que destruyó centrifugadoras en una instalación nuclear iraní. Algunos afirman que un ataque del Gobierno iraní destruyó miles de ordenadores de Saudi Aramco. Se culpa a Rusia de los ataques de denegación de servicio contra Estonia y Georgia. Y apenas el pasado diciembre, el presidente estadounidense Barack Obama atribuyó un ataque contra Sony Pictures al Gobierno de Corea del Norte.
Hasta hace poco, la ciberseguridad era en gran medida competencia de una pequeña comunidad de expertos informáticos. Cuando se creó Internet en la década de 1970, sus integrantes formaron una aldea virtual: todos se conocían y, juntos, diseñaron un sistema abierto, prestando poca atención a la seguridad.
Luego, a comienzos de la década de 1990, surgió la World Wide Web, que pasó de unos pocos millones de usuarios entonces a más de 3.000 millones hoy. En poco más de una generación, Internet se ha convertido en la base de la economía mundial y de la gobernanza en todo el mundo. En la próxima década se sumarán varios miles de millones de usuarios humanos más, así como decenas de miles de millones de dispositivos, desde termostatos hasta sistemas de control industrial (el «Internet de las cosas»).
Toda esta interdependencia en auge implica vulnerabilidades que los gobiernos y los actores no gubernamentales pueden explotar. Al mismo tiempo, apenas estamos empezando a comprender sus implicaciones para la seguridad nacional. Los estudios estratégicos del ámbito cibernético se parecen a los de la estrategia nuclear en la década de 1950: los analistas aún no tienen claro el significado de ofensiva, defensa, disuasión, escalada, normas y control de armamentos.
El término «ciberguerra» se usa con mucha ligereza para referirse a una amplia gama de conductas, desde sondeos simples, alteraciones de sitios web y denegación de servicio hasta espionaje y destrucción. En este sentido, refleja las definiciones de diccionario de «guerra», que incluyen cualquier esfuerzo organizado para «detener o derrotar algo que se considera peligroso o malo» (por ejemplo, la «guerra contra las drogas»).
Una definición más útil de ciberguerra es cualquier acción hostil en el ciberespacio que amplifique la violencia física grave o tenga un efecto equivalente. Determinar si una acción cumple ese criterio es una decisión que solo pueden tomar los dirigentes políticos de un país.
Hay cuatro categorías principales de amenazas cibernéticas para la seguridad nacional, cada una con un horizonte temporal diferente y, en principio, soluciones distintas: la ciberguerra y el espionaje económico, asociados en gran medida a los Estados, y la ciberdelincuencia y el ciberterrorismo, vinculados sobre todo a actores no estatales. Actualmente, los mayores costes provienen del espionaje y la delincuencia, pero las otras dos podrían convertirse en amenazas mayores durante la próxima década que en la actualidad. Además, a medida que evolucionan las alianzas y las tácticas, las categorías podrían solaparse cada vez más.
Durante la Guerra Fría, la competencia ideológica limitó la cooperación entre Estados Unidos y la Unión Soviética, pero la conciencia de ambas partes sobre el poder destructivo de las armas nucleares las llevó a desarrollar un código de conducta rudimentario para evitar la confrontación militar. Estas reglas básicas de prudencia incluían no combatir directamente, no ser los primeros en usar armas nucleares y mantener comunicaciones durante las crisis, como la línea directa Moscú-Washington y los acuerdos sobre medidas para prevenir accidentes e incidentes en el mar.
El primer acuerdo formal de control de armamentos fue el Tratado de Prohibición Parcial de los Ensayos Nucleares de 1963, que puede considerarse principalmente un tratado medioambiental. El segundo acuerdo importante fue el Tratado sobre la No Proliferación de las Armas Nucleares de 1968, cuyo objetivo era limitar la propagación de las armas nucleares. Estados Unidos y la Unión Soviética percibieron ambos acuerdos como juegos de suma positiva, porque implicaban a la naturaleza o a terceros.
De manera similar, las áreas más prometedoras para una cooperación internacional temprana en la protección del ciberespacio son los problemas planteados por terceros, como delincuentes y terroristas. Rusia y China han promovido un tratado que otorgue a las Naciones Unidas una amplia supervisión de Internet. Aunque su visión de la «seguridad de la información» podría legitimar la censura de los gobiernos autoritarios y, por tanto, resulta inaceptable para los gobiernos democráticos, quizá sea posible identificar y combatir conductas ilegales en todas partes. Sería imposible limitar todas las intrusiones, pero se podría empezar por la ciberdelincuencia y el ciberterrorismo. Los principales Estados tendrían interés en limitar los daños y podrían acordar cooperar en materia de análisis forense y controles.
Por supuesto, las analogías históricas son imperfectas. Es evidente que la tecnología cibernética es muy distinta de la tecnología nuclear, sobre todo porque los actores no gubernamentales pueden explotarla con mucha más facilidad.
No obstante, algunas instituciones, tanto formales como informales, ya rigen el funcionamiento básico de Internet. Estados Unidos prevé acertadamente reforzar la Corporación de Internet para la Asignación de Nombres y Números (ICANN), una entidad no gubernamental, encargándole la supervisión de la «guía de direcciones» de Internet. También está el Convenio sobre la Ciberdelincuencia de 2001 del Consejo de Europa, con Interpol y Europol facilitando la cooperación entre las fuerzas policiales nacionales. Además, un Grupo de Expertos Gubernamentales de la ONU ha estado analizando cómo se aplica el derecho internacional a la ciberseguridad.
Es probable que se tarde más en concluir acuerdos sobre cuestiones controvertidas, como las intrusiones cibernéticas con fines de espionaje y de preparación del campo de batalla. No obstante, la imposibilidad de concebir un acuerdo general de control de armamentos cibernéticos no tiene por qué impedir avances inmediatos en algunos temas. Las normas internacionales suelen desarrollarse lentamente. En el caso de la tecnología nuclear, el proceso llevó dos décadas. El mensaje más importante de la reciente conferencia neerlandesa fue que la enorme vulnerabilidad cibernética está ahora cerca de ese punto.
Este artículo se publica en colaboración con Project Syndicate. La publicación no implica que el Foro Económico Mundial respalde estas opiniones.
Para mantenerse al día con la Agenda suscríbase a nuestro boletín semanal.
Autor: Joseph S. Nye, Jr., ex subsecretario de Defensa de Estados Unidos y presidente del Consejo Nacional de Inteligencia de Estados Unidos, es catedrático universitario en la Universidad de Harvard y miembro del Consejo de la Agenda Global del Foro Económico Mundial sobre el Futuro del Gobierno.
Imagen: Una fotografía ilustrativa muestra la proyección de un código binario sobre un hombre que sostiene un ordenador portátil, en una oficina de Varsovia, el 24 de junio de 2013. REUTERS/Kacper Pempel.
