LA CIBERDEFENSA YA ESTÁ AQUÍ, TAMBIÉN LA CIBERGUERRA

Geoestrategia

LA CIBER-DEFENSA YA ESTÁ AQUÍ. TAMBIÉN LA CIBER-GUERRA

Antonio Sánchez-Gijón.- La Ciber-defensa está tomando forma. “Tomar forma” en términos de defensa quiere decir tres cosas: que existe un “enemigo” contra el que defenderse; que se ha dado cuerpo a una doctrina específica sobre cuándo y cómo emprender las acciones defensivas, y que se cuenta con una estructura de mando y control sobre todas las operaciones dedicadas a neutralizar los ciber-ataques y realizarlos contra el “enemigo”. Esta última palabra va entre comillas para relativizar el concepto de enemigo, en una situación mundial en que sí hay ataques cibernéticos pero a nadie le parece oportuno declarar a otro enemigo en su acepción legal.

En España, un embrión de esa ciber-defensa parece hallarse en el anunciado Consejo Español de Seguridad, que contará con una sección dedicada a la seguridad y la guerra electrónicas. En los Estados Unidos se creó recientemente el U.S Cyber Command, y el Wall Street Journal informó hace pocos días que se está elaborando una estructura formal para la integración de las ciber-tecnologías de la defensa. El jueves 2 de junio se inauguró en Tallin, Estonia, la conferencia sobre el Centro de Excelencia para la Ciber-defensa Cooperativa, de la OTAN. Aunque España es uno de los países patrocinadores, no figura ningún español entre sus 33 ponentes, lo que puede reflejar una de dos cosas (o las dos): que en España no hay personal preparado para contribuir a un esfuerzo común altamente especializado (lo que cuesta creer), o que no hay suficiente conciencia de lo importante que es trabajar en materia de defensa estrechamente con los aliados (lo más probable). La ciber-defensa interesa por igual a la seguridad militar y a la de la economía, la industria, la banca y los negocios.

Para que nos percatemos de que la necesidad de la ciber-defensa está ahí, uno de los ponentes, Ralph Langner, designa al virus Stuxnet, que atacó hace un año la planta de enriquecimiento de uranio de Irán, como “la primera ciber-arma mundial”. Hace muy pocos días, los ordenadores del primer contratista de armamento de los Estados Unidos, Lockheed Martin, han sufrido un fuerte ciber-ataque, contenido sin causar grandes daños según la empresa.

Ilustremos lo más vivamente posible la existencia del “ciber-enemigo”. En 1982, bajo la presidencia de Ronald Reagan, se cree que una gigantesca explosión de un gasoducto ruso fue causada por lo que entonces no se llamaba todavía un ciber-ataque. En 2007 Estonia denunció ante la OTAN el ataque cibernético contra su infraestructura electrónica, que dejó durante algunos días al país sin este tipo de servicio, e invocó el artículo V de la Alianza, para la defensa colectiva, acusando a Rusia del ataque. La alianza, sin embargo, declinó acusar a este país, ya que la OTAN no define este tipo de acción hostil como “una clara acción militar”. La conferencia de Tallin puede ser la contribución de la OTAN a la demanda insatisfecha de Estonia. También se produjo el ciber-ataque de Rusia a Georgia en 2008.

A primeros del 2010, como se recordará, Google denunció un ataque masivo contra su infraestructura en China, acusando a su gobierno de haber penetrado su red para entrar en el correo electrónico de grupos de derechos humanos, y robar propiedad intelectual. Aunque Google amenazó con abandonar China, al final entró en un compromiso con su gobierno, por el que no sería vehículo para información sobre la Plaza Tiananmen, la secta Falun Gong y la resistencia tibetana a la ocupación china. Debe tenerse en cuenta que en China hay más de 380 millones de internautas, que de todas formas pueden recibir por Google o por otros medios una masa infinita de información, mucha de la cual causa gran contrariedad al gobierno chino.

En marzo del 2009 un grupo de investigadores de Canadá denunciaron un ataque masivo contra centenares de ordenadores de gobiernos de todo el mundo, cuyo origen pudo trazarse hacia una base militar situada en la isla china de Hainan.

Volviendo al virus Stuxnet, se estima que aunque parecía destinado al programa nuclear iraní, sólo el 60% de los “sitios” afectados eran iraníes, y otra de sus víctimas fue el programa espacial de la India. En total, 60.000 ordenadores de todo el mundo fueron infectados.

La percepción de los recursos cibernéticos de un estado como potencial “enemigo” puede verse de forma muy clara en la capacidad china, rusa o de los Estados Unidos para movilizar millares de cibernautas en operaciones de ataque o defensa. El choque accidental de un avión de observación norteamericano y un avión de combate chino en 2001 produjo un asalto masivo contra webs gubernamentales de los EE.UU.  por parte de ‘hackers patriotas’ chinos. Se estima que el gobierno chino tiene en nómina 30.000 bloggers. Los estudiantes de tecnología electrónica están integrados en la estructura de defensa. Existen estructuras cibernéticas de naturaleza para-gubernamental, que agrupan a miles de hackers.

En su confrontación cibernética con China los EE.UU. no son mancos: gozan de una superioridad tecnológica indudable sobre el país asiático, y pueden tener acceso, si su Agencia de Seguridad Nacional se lo propone, al 54% del tráfico asiático con el resto del mundo que transita por su territorio.

Así, pues, debemos reconocer que el primer requisito para una ciber-defensa, (que exista un “enemigo”), parece establecido.

El segundo requisito (una doctrina específica para la ciber-defensa) no parece aún conseguido. La primera dificultad es de tipo legal. La definición de “agresión” más comúnmente alegada es la de la resolución 3314 de la asamblea general de las Naciones Unidas, que supone el uso de cualquier arma por un estado “contra el territorio de otro Estado”. Además, un ciber-ataque puede materializarse meses o años después de ser lanzado, o puede no dejar huella alguna de su autoría, enervando la capacidad de respuesta. Todo esto hace difícil la atribución de responsabilidades. Se incrementa de ese modo el margen de discrecionalidad para la acción militar del estado atacado, lo cual puede desestabilizar el sistema internacional. El mejor modo de no llegar a una represalia masiva (con armas convencionales o nucleares) sería el recurso a “armas” de la misma naturaleza que las del ataque: la ciber-defensa, para lo cual está…

… el tercer requisito (un sistema de mando y control sobre capacidades suficientes), que consiste en una estructura bajo dependencia al más alto nivel político, capaz de “desarrollar e implementar (las ciber-capacidades) para disuadir o denegar a un potencial adversario su capacidad de usar su sistema de ordenadores”, tal como lo ha definido un anónimo mando militar norteamericano, implicado en el desarrollo del nuevo Cyber-Command.

Como el caso de China muestra, cualquier sistema de ciber-defensa necesita el apoyo de millares de ciber-nautas, que en el caso de las naciones occidentales no pueden operar bajo las órdenes del gobierno, sino sólo en uso de su libertad y patriotismo. Aquí reside realmente la clave de una verdadera ciber-seguridad.

Antonio Sánchez-Gijón es analista de asuntos internacionales