La batalla contra los enemigos del ciberespacio

Los ataques en línea son inevitables, pero puede que el peligro haya sido exagerado por algunos interesados en una guerra.

Por Evgeny Morozov para WSJ
(—Evgeny Morozov es miembro de la junta directiva de la Universidad de Georgetown y editor en la revista 'Foreign Policy'. Su libro sobre Internet y democracia se publicará dentro de unos meses.)

-------

Un reciente simulacro de un devastador ciberataque sobre Estados Unidos parecía sacado de una película protagonizada por Bruce Willis: una serie de misteriosos ataques —probablemente autorizados por China, pero procedentes de la ciudad rusa de Irkutsk— desactivó gran parte de la infraestructura del país, incluyendo el tráfico aéreo, los mercados financieros, correos electrónicos, y hasta la electricidad en la Costa Este.

El simulacro —pagado por empresas de ciberseguridad, organizado por Bipartisan Policy Center, un centro de estudios de Wa shington y emitido por CNN un sábado por la noche— tenía un giro inesperado: el gobierno estadounidense parecía incompetente, indeciso y confuso. "EE.UU. no está preparado para la ciberguerra", concluyeron los organizadores del ejercicio.

Los últimos meses han estado plagados de "ciberpatrioterismo" en Washington. Mike McConnell, ex director de la Agencia de Seguridad Nacional (NSA, por sus siglas en inglés), dijo ante el Congreso en febrero que "si declaráramos una ciberguerra, perderíamos". El director de la Agencia Central de Inteligencia (CIA), Leon Panetta, indicó en abril que "el próximo Pearl Harbor será probablemente un ciberataque contra nuestras redes eléctricas".

Tras los recientes ataques a Google en China, surge una pregunta: si la firma tecnológica más innovadora del mundo no puede protegerse de la agresión digital, ¿qué se puede esperar de la quimera burocrática de las agencias estatales de seguridad? Por otro lado, ¿se puede hablar tan exageradamente de la inminente amenaza de una "ciberguerra" tras los cientos —incluso miles— de incidentes como el de Google que han atacado a los sectores privado y público? Hasta ahora, las evidencias son demasiado débiles.

Irónicamente, cuanto más seguro es Internet, parece que nos sentimos menos seguros. Un informe reciente de la firma de consultoría Market Research estima que el gasto total del gobierno de EE.UU. en ciberseguridad para 2015 alcanzará los US$55.000 millones. Dado el historial de las conexiones demasiado estrechas entre el gobierno y muchos de sus contratistas, es bastante posible que la dramatizada retórica de quienes abogan por la ciberguerra haya ayudado a añadir al menos unos cuantos miles de millones de dólares a esa cifra.

Si bien no queremos caminar sonámbulos hasta toparnos con un ciber-Katrina, tampoco queremos que nuestros dirigentes sean rehe nes de retóricos complots de contratistas gubernamentales mejor informados.

Steven Walt, catedrático de política internacional en Harvard, cree que el incipiente debate sobre la ciberguerra presenta "una oportunidad clásica para una inflación de las amenazas". Walt hace referencia a la similitud entre las deliberaciones actuales sobre seguridad en la web y el debate sobre armas nucleares durante la Guerra Fría. En aquel entonces, quienes trabajaban en los laboratorios militares y en las fuerzas armadas tenían por lo general una visión más alarmista que muchos académicos expertos en el tema, posiblemente porque el sustento de los profesores universitarios no dependía de promocionar la necesidad de una carrera armamentística.

¿Cuán grave es la amenaza? Pregúnteselo a dos expertos y obtendrá dos opiniones diferentes. El mes pasado, el teniente general Keith Alexander, director de la NSA, dijo ante un comité del Senado que las redes militares estadounidenses analizaban "cientos de miles de investigaciones cada día". Sin embargo, el recién nombrado coordinador de ciberseguridad, de EE.UU., Howard Schmidt, dijo en marzo que "no hay ciberguerra", y añadió que "es una metáfora y un concepto terrible".

No es de extrañar que la verdad se encuentre más o menos entre ambas posturas. No hay duda de que en Internet abundan los engaños, los envíos masivos de e-mails no solicitados y los fraudes de identidad. Pero de la misma forma que es un error concluir que la presencia cada vez mayor de aficionados en los medios de comunicación propiciará un renacimiento del periodismo de alta calidad, también lo es concluir que el mayor número de ciberataques por aficionados abrirá las puertas a un nuevo mundo de destructivas ciberguerras.

Alexander explicó en su testimonio ante el Senado que las investigaciones podrían permitir a los hackers "escanear la red para ver qué tipo de sistema operativo tenemos para preparar un ataque". El número de ataques no es un indicador fiable del problema, especialmente en una época en la que prácticamente cualquiera puede lanzarlos.

Desde un punto de vista bélico, , la ciberguerra, como el general Wesley Clark observó en 1999, podría algún día concedernos una forma más humana de combatir en las guerras físicas (por ejemplo, ¿por qué bombardear una estación de ferrocarril si se puede inutilizar temporalmente sus redes informáticas?), por lo que no deberíamos rechazarla de inmediato como una herramienta útil. La principal razón por la que este concepto tiene connotaciones tan negativas es porque a menudo está asociado a las otras actividades maliciosas que tienen lugar en la red: cibercrimen, ciberterrorismo, ciberespionaje. Este agrupamiento, sin embargo, impide ver las importantes diferencias. A los cibercriminales lo que les atrae generalmente son las ganancias, pero a los ciberterroristas les motiva la ideología. Los ciberespías quieren que las redes sigan operando para poder obtener información, mientras que los ciberguerreros quieren destruirlas.

Todas estas amenazas diferentes requieren respuestas distintas que puedan equilibrar los riesgos con los niveles de destrucción. Probablemente queramos un alto nivel de protección contra el ciberterror, moderada protección contra el cibercrimen, y poca o ninguna protección contra los cibervándalos juveniles.

La seguridad perfecta —en el ciberespacio o en el mundo real— tiene enormes costos políticos y sociales y la mayoría de las sociedades democráticas la encontraría indeseable. Puede que no haya pequeños delitos en Corea del Norte, pero para lograr ese nivel de "seguridad" requiere aceptar todas las otras exigencias de vivir en un estado policial "orweliano". Lo que no queremos es convertir "las armas de interrupción masiva" —como calificó Obama a los ciberataques— en armas de distracción masiva, desviando la atención de otros problemas más urgentes y promoviendo soluciones extremadamente costosas.

Lo que es peor es que cualquier importante reor ganización de Internet podría desbaratar otras ambiciosas iniciativas del gobierno estadounidense, especialmente sus esfuerzos por promover la libertad en Internet. Alentar a China e Irán para que no intervengan en Internet sólo funcionaría si Washington sigue su propio consejo; de lo contrario, estaríamos exagerándolo todo.