Campo de batalla de internet
Un plan para asegurar el ciberespacio
El ciberespacio ha sido
reconocido como un nueva arena para la competencia entre los estados desde
que entró en existencia. En los Estados Unidos,
ha habido advertencias de un "ciber-Pearl Harbor", un ataque digital
masivo que podría paralizar la infraestructura crítica del país sin un solo
disparo. Las comisiones
presidenciales, los informes del grupo de trabajo militar y las investigaciones
del Congreso han llamado la atención sobre este riesgo durante décadas. En 1984, el gobierno de
Reagan advirtió sobre los "importantes desafíos de seguridad" de la
próxima era de la información. Y justo este año, Dan
Coats, el director de inteligencia nacional, dijo sobre tales amenazas: “ las luces están parpadeando en rojo. ”
Sin embargo, Internet
siempre ha sido mucho más que un lugar de conflicto y competencia; Es la columna vertebral
del comercio y la comunicación global. Dicho esto, el
ciberespacio no es, como suele pensarse, simplemente parte de los bienes
comunes globales de la forma en que lo es el aire o el mar. Los estados afirman la jurisdicción sobre, y
las compañías reclaman la propiedad de, la infraestructura física que compone
Internet y los datos que la atraviesan. Los estados y las
compañías construyeron Internet, y ambos son responsables de mantenerla. Las acciones tomadas en
el sector público afectan al sector privado, y viceversa. De esta manera,
Internet siempre ha sido de naturaleza híbrida.
Entonces, en consecuencia, es
la verdadera amenaza de la guerra cibernética. Resulta que para todas
las advertencias cada vez más vehementes sobre un ciber-Pearl Harbor, los
estados han mostrado poco interés por usar ciberataques para la destrucción a
gran escala. La amenaza inmediata es
más corrosiva que explosiva. Los estados están
utilizando las herramientas de guerra cibernética para socavar la base misma de
Internet: la confianza. Ellos están hackeando
bancos, entrometerse en las elecciones , el robo de la propiedad intelectual y la paralización de
las empresas privadas. El resultado es que una
arena en la que se basa el mundo para el intercambio económico e informativo se
ha convertido en un campo de batalla activo.
Para revertir este
desarrollo, los Estados Unidos y sus aliados tendrán que reconocer lo que China, Irán ,
Corea del Norte y Rusia ya tienen: la soberanía del estado está viva y bien en
Internet. Washington debe aceptar
que la única manera de restablecer la confianza es responsabilizar a quienes la
abusan, tanto en el país como en el extranjero. Entonces, es hora de
que los Estados Unidos reafirmen el liderazgo en el escenario mundial y asuman
una mayor responsabilidad para proteger a las comunidades, las empresas y el
gobierno del país de las amenazas digitales. Dejar el mercado solo,
como algunos han pedido, no lo hará. Lo que se requiere es
un enfoque inclusivo y dirigido por el gobierno que proteja al público en una
era cada vez más peligrosa.
LA NUEVA Y NUEVA AMENAZA
Las operaciones
cibernéticas son emblemáticas de un nuevo estilo de competencia en un mundo
donde se concentra menos poder en manos de una sola superpotencia. Son negables y
escalables, y adecuados para la guerra, la paz y mucho más. Operación tras
operación, muchos de ellos apenas registrados por el mundo en general, los
estados son Armar la internet .
Como demostraron los
intentos de Rusia de entrometerse en las elecciones presidenciales de 2016 en
los Estados Unidos, ahora es posible emprender operaciones cibernéticas en
apoyo de una campaña sofisticada de influencia encubierta. En una operación de
guerra de información de libros de texto, Moscú hackeó las cuentas de correo
electrónico pertenecientes al Comité Nacional Demócrata y una de las
principales ayudantes de Hillary Clinton, no solo para recopilar información
sino también para encontrar información vergonzosa para publicarla. Los hackers
compartieron su tesoro de correos electrónicos robados con WikiLeaks, que los
lanzó al público, lo que provocó una cobertura negativa de los medios del
candidato demócrata en el período previo al día de la votación. En los meses previos a
la elección, las compañías rusas vinculadas al Kremlin también se lanzaron a
comprar anuncios en Facebook y crearon un ejército de cuentas de Twitter que
respaldan a Donald Trump, el candidato republicano. Internet dio a los
servicios de seguridad de Rusia la capacidad sin precedentes de llegar a
millones de votantes estadounidenses con propaganda.
Las naciones también se
han aprovechado de Internet para lanzar ataques asimétricos cuando las
estrategias más tradicionales no estaban disponibles o eran imprudentes. Quizás el mejor ejemplo
de este tipo de operación ocurrió en 2014, cuando Corea del Norte pirateado en la red de Sony Pictures , destruyó sus
servidores y filtró información confidencial en represalia por el lanzamiento de The Interview , una comedia que
describe el asesinato del líder de Corea del Norte, Kim Jong Un. Durante meses, Sony Pictures
tuvo que
operar con lápiz y papel, ya que reconstruyó un sistema de TI que funcionaba. En un robo de 2016
vinculado a Corea del Norte, los piratas informáticos lograron retirar decenas
de millones de dólares del banco central de Bangladesh, socavando así la
campaña internacional para aislar a Corea del Norte de la economía global.
Lo que se requiere es un enfoque inclusivo y dirigido por el gobierno
que proteja al público en una era cada vez más peligrosa.
En una línea similar,
China también se está involucrando en el robo de Internet para obtener ventajas
económicas. Durante al menos una
década, el país ha robado la propiedad intelectual de innumerables empresas
extranjeras para obtener ventaja en las negociaciones económicas y compensar su
falta de innovación propia. De acuerdo a un informe de 2017 por la Comisión sobre
el Robo de la Propiedad Intelectual de los Estados Unidos, las pérdidas en
Estados Unidos por robo de propiedad intelectual varían de $ 225 mil millones a
$ 600 mil millones por año, muchas de las cuales pueden atribuirse a China.
Todos estos incidentes
ocurrieron en una zona gris de conflicto: por debajo del umbral de la guerra
abierta, pero por encima del comportamiento puramente en tiempos de paz. Pero los estados
también están recurriendo cada vez más a las capacidades cibernéticas durante
las operaciones militares tradicionales. Durante el bombardeo de
la OTAN a Yugoslavia en 1999, como informó el periodista Fred Kaplan, una
unidad del Pentágono atacó los sistemas de defensa aérea de Serbia para que
pareciera que los aviones estadounidenses venían de una dirección diferente a
la que realmente eran. Muchos de los detalles
permanecen clasificados, pero los funcionarios estadounidenses han admitido que
el Pentágono también ha utilizado ataques cibernéticos en la lucha contra el
Estado Islámico (o ISIS). En 2016, Robert Work,
entonces subsecretario de defensa de los EE. UU., Admitió que Estados Unidos
estaba lanzando " bombas
cibernéticas "
en ISIS (aunque no dio detalles sobre lo que eso implicaba). En al menos un caso,
tales ataques obligaron a los combatientes de ISIS a abandonar un puesto de
mando principal y huir hacia otros puestos de avanzada, revelando así su
ubicación.
Por supuesto, no solo
los Estados Unidos están usando esas tácticas. Durante su invasión de
Georgia en 2008, Rusia empleó ataques de denegación de servicio para silenciar
las estaciones de televisión georgianas antes de las incursiones de los tanques
para crear pánico. Es casi seguro que
Rusia también estuvo detrás del corte de la red eléctrica de Ucrania en 2015,
que interrumpió el suministro de energía para unos 225.000 clientes. Ahora, docenas de
militares han establecido o están estableciendo órdenes cibernéticas y están
incorporando operaciones cibernéticas en la doctrina oficial.
EL ATAQUE DE MAÑANA
Los estrategas
militares han centrado gran parte de su atención en cómo las operaciones en
línea podrían afectar el combate fuera del ciberespacio. En teoría, al menos,
sin antecedentes en una guerra importante, es demasiado pronto para decirlo con certeza, los cybertooles le dan a los militares la
capacidad de superar la distancia física, generar efectos perturbadores que se
pueden desactivar en cualquier momento y reducir Daños colaterales en relación
incluso a la artillería convencional más sofisticada.
Para el ejército
estadounidense, esto representa un riesgo particularmente grave. Depende tanto de
Internet que un ataque a sus redes de comando y control, suministro o
comunicaciones podría socavar su capacidad para proyectar energía en el
extranjero y dejar a las fuerzas desconectadas y vulnerables. Como William Lynn,
entonces el subsecretario de defensa de los Estados Unidos, reveló en esta
revista, el Pentágono fue víctima de un ataque de piratería llevado a cabo por
una agencia de inteligencia extranjera en 2008. El malware fue finalmente puesto en cuarentena,
pero no antes de ingresar a la categoría de militares clasificados. redes Una investigación en el
Congreso de 2014 del Comando de Transporte del Pentágono reveló algo más que
muchos habían temido durante mucho tiempo: los adversarios de los Estados
Unidos estaban explorando cómo amenazar no solo a sus importantes redes
militares sino también su capacidad para mover fuerzas y material.
Pero dada la naturaleza
única del campo de batalla en línea, la relevancia de esta tendencia se
extiende más allá de las operaciones militares, ya que es probable que los
civiles sufran daños colaterales importantes por los ataques dirigidos a los
gobiernos. Imagine, por ejemplo,
que se lanzó un ataque cibernético contra partes de la red eléctrica de los EE.
UU. En
un intento por cortar
el suministro eléctrico a las bases militares. El malware utilizado
podría extenderse más allá de los objetivos previstos para interrumpir el
suministro de energía a la población civil circundante, apagar los hospitales,
apagar los sistemas de calefacción o enfriamiento e interrumpir las cadenas de
suministro de productos básicos. Este escenario no es
tan remoto: en 2017, el malware que se propagó a través de un programa de
software de preparación de impuestos de Ucrania (un ataque presuntamente
lanzado por Rusia y destinado a comprometer a las empresas ucranianas) terminó
atrapando a las empresas occidentales en el fuego cruzado.El conglomerado naviero danés
Maersk estimó sus costos del ataque entre $ 200 millones y $ 300 millones.
En ese caso, muchas de
las empresas privadas afectadas fueron víctimas involuntarias, pero en el
futuro, los estados pueden amenazar cada vez más los objetivos no militares de
forma deliberada. A pesar de la
prohibición del derecho internacional de atacar a civiles en el campo de
batalla, los estados ya lo están haciendo en línea. El grueso de la
sociedad estonia quedó fuera de línea en un ataque realizado en 2007 por
piratas informáticos patrióticos vinculados a Rusia, y los bancos de Corea del
Sur y sus clientes fueron objeto de un ataque cibernético en 2013, sin duda
lanzado por Corea del Norte.
La primera tarea es ir más allá de simplemente nombrar y avergonzar a
los piratas informáticos y sus patrocinadores gubernamentales y establecer
consecuencias claras para los ataques cibernéticos.
Hasta la fecha, nadie
ha presentado evidencia de que alguien haya muerto por un ataque cibernético,
pero eso puede cambiar a medida que más y más infraestructura que alguna vez
estuvo aislada, como redes eléctricas y hospitales, se conecte. Los automóviles se
conectan a WiFi y Bluetooth, y el
Internet de las cosas ya está penetrando en los espacios más privados de los
hogares de las personas. Algunos tecnólogos
incluso están promoviendo una "Internet de los cuerpos", que prevé
implantes en red. Todos estos
dispositivos son, o serán pronto, objetivos.
Estas amenazas al
funcionamiento estable de Internet significan que la confianza que todos
depositan en ella se erosionará aún más, y las personas y los gobiernos pueden
tratar de aislarse. Muchos han intentado
sistemas importantes de “separación de aire”, es decir, aislando físicamente
las redes seguras de Internet, pero el método no es infalible. Los sistemas con huecos
de aire aún necesitan recibir actualizaciones externas de software, e incluso
los científicos informáticos han demostrado que es posible "saltar"
el hueco por medio de resonancia acústica o radiofrecuencias. Algunos estados han
actuado en el mismo impulso a nivel nacional, tratando de crear sus propias
redes independientes, con resultados mixtos. China Gran cortafuegos está diseñado para
limitar lo que las personas pueden leer en línea, pero los ciudadanos inteligentes
pueden evadirlo. Lo mismo ocurre en
Irán, donde las autoridades han establecido una "red halal"
restrictiva.
FIJACIONES VUELTAS
Las numerosas
vulnerabilidades en el ciberespacio han sido evidentes durante mucho tiempo
para los gobiernos y las empresas, pero no han logrado solucionar los problemas. Durante décadas, el
intercambio de información ha sido una llamada de atención, la idea es que
cuanto antes se informe a las posibles víctimas acerca de las amenazas
inminentes, y cuanto antes las víctimas reales revelen cómo han sido
comprometidas, mejor se defenderá todo el sistema. En la práctica, sin
embargo, el intercambio de información se ha consolidado solo en ciertos
sectores: en los Estados Unidos, principalmente entre las instituciones
financieras y entre los contratistas de defensa y el ejército. Y estas son
excepciones: el gobierno y las culturas corporativas siguen desincentivando el
reconocimiento de una infracción, lo que hace que sea más probable que otros
sigan siendo vulnerables a los ataques.
Además, las empresas a menudo se
han resistido a invertir por completo en la ciberseguridad, creyendo que es más
barato limpiar un desastre que prevenirlo en primer lugar. Pero este enfoque
hack-by-hack ha resultado en pérdidas devastadoras en el agregado. Además de
los miles de millones de dólares en propiedad intelectual robados a las
empresas cada año, también se producen daños por el robo de secretos de defensa
de contratistas militares y por el profundo reconocimiento que los adversarios
han emprendido para comprender la infraestructura crítica, como los sistemas de
agua y energía. —Intrusiones que han asestado un golpe estratégico a Estados
Unidos.
A nivel internacional, Washington y
más de una docena de otros gobiernos han tratado de diseñar "reglas de la
carretera", normas de conducta en el ciberespacio durante tiempos de paz.
Tanto el G-7 como el G-20, por ejemplo, han emitido declaraciones conjuntas
comprometiendo a sus miembros a tener un buen comportamiento en línea. Pero a pesar
del poco consenso alcanzado por estos esfuerzos, la conducta maliciosa no ha
disminuido. Estos esfuerzos no son suficientes para lo que realmente se
necesita: un esfuerzo diplomático concertado para construir una coalición
sustancial de estados de ideas afines que deseen no solo firmar estas normas,
sino también imponer costos económicos y políticos graves a quienes las violan.
Otro esfuerzo se ha centrado en las
asociaciones público-privadas, a través de las cuales el gobierno y la
industria pueden trabajar juntos para proteger Internet y promover un mejor
comportamiento en línea. Crear tales asociaciones es esencial, pero también es
difícil, ya que las dos partes a menudo tienen intereses en conflicto. Por
ejemplo, el gobierno de los Estados Unidos ha presionado a Facebook, Twitter y
YouTube para eliminar el contenido relacionado con el terrorismo y las " noticias falsas ". ”De sus sitios, pero al
cumplir, estas compañías se han sentido incómodas en actuar como árbitros de
contenido bueno y malo. Además, el sector de la tecnología no es un
monolito: Apple, Facebook, Google y Twitter tienen modelos de negocios y enfoques
muy diferentes para temas como la privacidad de los datos y el intercambio de
datos. A pesar de esta complejidad, el gobierno de los Estados Unidos no
puede mejorar significativamente la seguridad cibernética de la nación; Debe
funcionar con el sector privado.
REUTERS / BRIAN SNYDER Un anuncio sobre
la Ciberdelincuencia centro de Microsoft en la oficina de Microsoft en
Cambridge, Massachusetts, 15 de los EEUU de mayo de, 2017.
¿AHORA QUE?
Lo que más se necesita es el
liderazgo de los Estados Unidos, que debería funcionar con los gobiernos que
comparten su compromiso con la privacidad, la libertad y la estabilidad en el
ciberespacio. La primera tarea es ir más allá de simplemente nombrar y avergonzar
a los piratas informáticos y sus patrocinadores gubernamentales y establecer
consecuencias claras para los ataques cibernéticos. Para empezar, los Estados
Unidos podrían afirmar que, como cuestión de política, cualquier ataque
cibernético que resulte en daños a civiles se tratará como equivalentes a
ataques físicos comparables y se enfrentará a consecuencias igualmente graves.
Los peligros de tales líneas rojas no son un secreto: demasiado específico, y
el adversario presionará contra la línea; demasiado vago, y el oponente quedará inseguro sobre
qué conducta desencadenará una respuesta. Múltiples administraciones, tanto
demócratas como republicanas, han luchado con este desafío, y el mensaje
específico sin duda evolucionará, pero ya es hora de que Estados Unidos lidere
a sus aliados para responder más seriamente a la agresión en línea. Un primer
paso obvio y largamente esperado sería que el gobierno de Trump advirtiera a
Rusia contra la intromisión en las futuras elecciones de Estados Unidos y expresara
de manera clara las consecuencias que podría esperar si lo hace.
Dado que es poco probable que las
declaraciones públicas por sí solas disuadan a todas las naciones de realizar
ataques cibernéticos, los Estados Unidos deben respaldar sus amenazas imponiendo
costos reales a los perpetradores. Eso significa no solo desarrollar opciones
ofensivas, como ataques cibernéticos de represalia, sino también recurrir a una
amplia gama de herramientas nacionales. Durante demasiado tiempo, los
funcionarios no han estado dispuestos a alterar áreas de la política que no
involucran directamente a Internet al responder a los ataques cibernéticos,
pero no hay razón para que Estados Unidos no pueda castigar a un agresor
mediante, digamos, mayores sanciones económicas, aranceles, diplomáticos.
Aislamiento, o presión militar. La disuasión no se establecerá de la noche
a la mañana, pero demostrar credibilidad a través de las consecuencias lo
reforzará con el tiempo.
Mientras tanto, los Estados Unidos
deben romper el bloque conceptual de considerar sus propias capacidades
cibernéticas principalmente como instrumentos de vigilancia extranjera. También
puede usarlos juiciosamente para degradar la capacidad de sus adversarios para
perpetrar ataques cibernéticos pirateando piratas informáticos extranjeros
antes de que pirateen objetivos estadounidenses. El ejército de los EE. UU. Y
el FBI deberían frustrar proactivamente los ataques inminentes, y Washington
debería trabajar más agresivamente con sus socios en el extranjero para formar pactos
de defensa cibernética mutuos , en los cuales los países se
comprometen a ayudarse mutuamente en caso de un ataque grave.
En casa, el gobierno de los EE . UU . Debe replantearse
fundamentalmente su enfoque de la defensa cibernética . Históricamente,
el gobierno se ha visto a sí mismo como responsable de proteger solo los
sistemas gubernamentales y ha dejado a todos los demás a su cargo. Eso debe
cambiar. Así como el gobierno federal asume la responsabilidad de proteger a
los estadounidenses de ataques físicos, también debe protegerlos de los
digitales. Estados Unidos puede inspirarse en su aliado cercano: en 2016, el
Reino Unido creó el Centro Nacional de Seguridad Cibernética, que está diseñado
para proteger al gobierno y a la sociedad de los ataques cibernéticos. Los
Estados Unidos deberían configurar algo similar: una nueva ciberdefensa. agencia cuyo propósito
no sería compartir información o crear casos criminales, sino ayudar a las
agencias, empresas y comunidades a prevenir ataques. Una de sus
principales prioridades debería ser reforzar la capacidad de recuperación de
los sistemas más críticos de los Estados Unidos, su red eléctrica y el
principal de los servicios de emergencia. También podría trabajar con las
autoridades estatales y locales para ayudarles a mejorar la seguridad
electoral.
Para tener éxito, esta nueva
organización tendría que ser una agencia independiente a nivel de gabinete,
aislada de la política y sujeta a la supervisión del Congreso. Crear tal
agencia requeriría una reorganización dolorosa dentro de la rama ejecutiva y el Congreso,
pero continuar confiando en una estructura obsoleta para lograr un conjunto
cada vez mayor de objetivos de ciberseguridad, pero garantiza el fracaso. No es
suficiente simplemente elevar el perfil de la ciberseguridad dentro del
Departamento de Seguridad Nacional, como algunos lo han propuesto, dada la
cantidad de prioridades que existen dentro de ese departamento. Crear una
agencia independiente también permitiría a esa agencia cambiar la cultura de la
ciberseguridad dentro del gobierno, mezclando el espíritu de innovación del
sector privado con la responsabilidad de la seguridad del gobierno.
Para que el
gobierno sea un jugador eficaz en este espacio, tendrá que hacer mucho más que
reorganizarse: tendrá que invertir más en el capital humano apropiado. Para ese
fin, debe crear un programa basado en el Cuerpo de Capacitación de Oficiales de
Reserva, o ROTC, pero para civiles interesados en la ciberdefensa .
A los estudiantes participantes se les pagará la matrícula de la universidad o
la escuela de posgrado a cambio de un número determinado de años de servicio
gubernamental. Washington también debería crear más oportunidades para que los
expertos de carreras intermedias de centros tecnológicos como Silicon Valley
realicen una gira de servicio en el gobierno federal. No todos los ingenieros
informáticos querrán contribuir a la ciberdefensa nacional , por supuesto, pero el
éxito del Servicio Digital de EE. UU., un programa creado después del fracaso
de HealthCare.gov que trae talento del sector privado al gobierno, muestra
cuánto es posible.
El desafío final es promover una
mayor responsabilidad en el sector de la tecnología para los productos y
servicios que sus empresas ponen en el mercado. Del mismo modo que el
gobierno federal regula los medicamentos recetados, los fondos mutuos, los
productos electrónicos y más, también debería garantizar que cuando las
empresas venden servicios y productos defectuosos en el mercado digital, los
perjudicados puedan buscar reparación.
UNA
LLAMADA A LA ACCIÓN
El ciberespacio ya se ha convertido
en un dominio de la intensa competencia económica y de la guerra de
información, y los estados han comenzado a probar las aguas en preparación para
armarlo durante las guerras reales. Los Estados Unidos y sus aliados han respondido a estas
realidades rápidamente cambiantes con demasiada lentitud. Para muchos en el
gobierno de los EE. UU., La ciberseguridad ha sido considerada como un asunto
que debe abordar la mesa de ayuda . Pero a medida que surgen
nuevas vulnerabilidades en casi todos los rincones de la vida y la
infraestructura de los estadounidenses, es más importante que nunca proteger al
país contra los ataques cibernéticos.
En 1998, L0pht, un colectivo de
hackers con mentalidad de seguridad de Boston, testificó ante el Congreso sobre cuán
vulnerable era el mundo en línea. Uno de los miembros del grupo advirtió que a
cualquiera de ellos le llevaría solo 30 minutos derribar todo el Internet. Si
tal ataque hubiera fructificado entonces, habría sido una molestia. Hoy sería
una catástrofe. Los ataques cibernéticos no son solo un problema para los
estadounidenses, las empresas o los gobiernos. Todos los que valoran la
confianza y la estabilidad en línea pierden si la amenaza crece. Pero
con el liderazgo de los Estados Unidos, se puede hacer mucho para que estos
ataques ocurran con menos frecuencia y causen menos daño.
