Shields up! ¡Escudos arriba!

Shields Up! ¡Escudos Arriba! Es la frase con la que el capitán de la nave Enterprise ordenaba a su tripulación que se preparase para el combate. Shields Up también es el ingenioso nombre de un programa que las autoridades federales de la Agencia de Ciberseguridad e Infraestructura Crítica han lanzado para defender la infraestructura crítica de Estados Unidos.

¿Qué es la infraestructura crítica? Son 16 sectores de actividad que la agencia identifica como críticos: químico, comunicaciones, presas, servicios de emergencia, finanzas, gobierno, tecnologías de la información, transportes, espacios comerciales, fabricación crítica, suministro de defensa, energía, comida y agricultura, salud pública y sanidad, reactores y materiales nucleares, y agua y saneamiento.

La agencia alerta de amenazas inminentes y vulnerabilidades urgentes para que los organismos públicos, estatales y locales prioricen sus defensas y actualicen sus sistemas. Las organizaciones del sector privado también escuchamos y seguimos estos consejos. Por ejemplo, tras la invasión de Ucrania por Rusia, la agencia recomendó erigir una geocerca con nuestros cortafuegos y así bloquear la llegada de tráfico de redes proveniente de Rusia, Bielorrusia y otras regiones como el Donbás. Muchos de nosotros implementamos este consejo, a pesar de que los hackers (rusos y otros) nos atacan a menudo desde terceros países no bloqueados.

La clasificación de sectores de infraestructura crítica es controvertida. Por ejemplo, muchos opinamos que uno de los sectores de infraestructura crítica es el sistema electoral, cimiento y pilar de las sociedades democráticas. Aunque la gestión de las elecciones depende de cada uno de los cincuenta estados y del Distrito de Columbia, la mayoría de los expertos opinamos que es muy difícil, pero no imposible, manipular votos o el recuento de votos. Esto se debe a la cautela general antes de implementar sistemas de voto electrónicos. También se debe a que en conferencias como DEFCON, que se celebran cada verano en Las Vegas, y su Voting Village, el pueblo de las votaciones, profesionales y aficionados demuestran qué elementos de la tecnología electoral establecida son seguros y cómo hackear las propuestas emergentes.

Sin embargo, la evidencia en varios países ha demostrado que es más fácil manipular las opiniones de los votantes mediante un uso fraudulento y opaco de las redes sociales. Aparte de estas manipulaciones, y en contra de la opinión de quienes difunden conspiraciones antidemocráticas, no hay evidencia de hackeo electoral en Estados Unidos. Las únicas excepciones son los ataques rusos para robar datos, sin alterarlos, de las bases de datos electorales de estados como Illinois y el hackeo de la cuenta de correo electrónico de mi ilustre colega de la Universidad Georgetown: el político demócrata John Podesta.

Tal vez nos sorprenda que los escrutinios tarden tanto en arrojar resultados definitivos en Estados Unidos. De nuevo, no se trata de una elección, sino de 51 elecciones, algunas de ellas con reglas únicas y peculiares. En el estado de Georgia, por ejemplo, si ningún candidato llega al 50% de los votos, hay que repetir la elección entre los dos candidatos más votados.  Las elecciones de noviembre en Estados Unidos arrojaron resultados inesperados e interesantes: los demócratas mantienen el senado y los republicanos probablemente ganen el congreso. Esta división de control en las cámaras legislativa hará aún más difícil que se aprueben medidas legislativas sobre ciberseguridad para proteger nuestras infraestructuras críticas y los demás servicios que sostienen el funcionamiento de la sociedad.

Hace unas semanas asistí a un congreso tecnológico en Orlando y escuché allí un discurso del General Petraeus, antiguo director de la CIA, en el que anunciaba que Estados Unidos se encuentra en una situación crítica. Ha de lidiar con dos grandes potencias, Rusia y China, al mismo tiempo. Fue también Petraeus quien años antes nos exhortó en la Universidad de Georgetown. En aquella ocasión dijo: “tenemos reglas de combate para mar, aire, tierra y espacio, pero no para el ciberespacio; espero que las nuevas generaciones de pensadores nos ayuden a escribirlas”.  Tanto si las amenazas y riesgos son geopolíticos, como si son criminales, todos tenemos la responsabilidad de que los servicios tecnológicos que prestamos a clientes y ciudadanos sigan funcionando. ¡Ah! Casi lo olvidaba… os deseo felices fiestas, paz en la tierra a las personas de buena voluntad, y sentencias judiciales para los cibercriminales.