La Estrategia de Ciberseguridad Nacional y otros buenos deseos

Si el Esquema Nacional de Seguridad nos llegó con las Navidades de 2010, la Estrategia de Ciberseguridad Nacional nos ha llegado en pleno adviento de 2013. Tan esperado texto ha sido el fruto de casi dos años de callados trabajos de sus redactores y es hora de analizarla en busca de las soluciones que nuestra (ciber) realidad demanda. Es tiempo pues, de un primer y somero análisis de lo que en ella se propone y manda.

Jorge Dávila Muro
Consultor independiente. Director. Laboratorio de Criptografía. LSIIS. Facultad de Informática. UPM. Esta dirección electrónica esta protegida contra spambots. Es necesario activar Javascript para visualizarla

Quizás relacionándolo con el españolismo de San Nicolás¹ y con su llegada a las costas holandesas sobre un barco de vapor, el pasado 5 de diciembre el Gobierno de La Moncloa nos agasajó con las denominadas Estrategia de Ciberdefensa Nacional² y Estrategia de Seguridad Marítima Nacional³.

Centrándonos en la primera de ellas, por no poder abarcar ambas en esta entrega, podemos leer cómo el Gobierno reconoce que el desarrollo de las Tecnologías de Información y Comunicación (TIC) ha creado un nuevo escenario. En él, la rapidez y facilidad de los intercambios de información elimina las barreras de la distancia y el tiempo, difumina cualesquiera fronteras y hace partícipes a sus usuarios de una globalización nunca antes vista. Este nuevo mundo incluye oportunidades, retos, riesgos y amenazas; algunos de ellos nuevos y muchos otros ya bien conocidos.

El problema surge cuando nos damos cuenta de lo muy dependientes que nos hemos hecho de ese nuevo medio en los últimos veinte años y cuando aceptamos que esta ligazón no tiene vuelta atrás. El nuevo marco organizativo aprobado por el Gobierno pretende conseguir en nuestra sociedad, el desarrollo de capacidades y habilidades en la prevención, defensa, detección, análisis, investigación, recuperación y respuesta a las amenazas y en la gestión de riesgos. En principio, las capacidades por las que nosotros pudiésemos ser una amenaza para otros quedan fuera de la estrategia española en el ciberespacio, lo cual es una opción de lo más recomendable dada la naturaleza del nuevo medio y la muy escasa rentabilidad de esas medidas ofensivas.

Sin dar detalles o explicaciones de ello, el documento menciona una “multiplicidad de potenciales atacantes” que aumentan los riesgos y amenazas de poner los servicios prestados por las Administraciones Públicas, Infraestructuras Críticas, y algunas empresas en graves dificultades. Asimismo, se habla de “determinados países” que disponen de capacidades militares y de inteligencia para realizar (ciber)ataques que ponen en riesgo la Seguridad Nacional. No concretar los riesgos y peligros que afrontamos, así como evitar el nombre de sus artífices quizás esté justificado por tratarse de un documento también global y poco concreto, pero es una práctica nada recomendable cuando se habla de seguridad. La seguridad siempre lo es frente a un qué y a un quién.

Lo que sí se reconoce desde el mismo principio de su redacción es que nuestra sociedad, nuestro modelo económico, la estabilidad y prosperidad de nuestro país depende ya, y cada vez más, de las Tecnologías de la Información y, por ende, de su seguridad y confiabilidad.

El objetivo declarado de la Estrategia de Ciberseguridad Nacional promovida por el Consejo de Seguridad Nacional es fijar las directrices generales del uso seguro del ciberespacio dentro de los principios de la Constitución Española, las disposiciones de la Carta de Naciones Unidas relativas al mantenimiento de la paz y seguridad internacional, la Estrategia de Seguridad Nacional e importantes iniciativas europeas e internacionales.

El Gobierno se compromete a promover una Política de Ciberseguridad Nacional desarrollando un marco normativo adecuado, a la vez que promueve la creación de una estructura aglutinadora de todas las instituciones y agentes con responsabilidad en el tema. Según el Gobierno, esa estructura se desarrollaría en base a las posibilidades económicas que marque nuestro futuro inmediato y debería “garantizar capacidades óptimas” en la prevención, defensa, detección, análisis, investigación, recuperación y respuesta de los Sistemas de Información y Telecomunicaciones ante posibles ciberataques. La un tanto retórica combinación de la “sostenibilidad” económica con la capacidad de “garantizar” algo frente a (todos los) “posibles” ataques pone de manifiesto que el documento que nos ocupa tiene mucho más cuidada su redacción que los planes para concretarlo y convertirlo en una realidad.

Esta estrategia propone proteger los sistemas y conseguir su “resiliencia” cuando se trate de las Administraciones Públicas e Infraestructuras Críticas, utilizando “productos confiables”, para lo que reconoce que sería necesario potenciar, impulsar y reforzar las capacidades nacionales de I+D+i en ciberseguridad de las TIC, algo que, hoy por hoy, está claramente ausente. Junto a esos esfuerzos innovadores, ese mismo documento dice que se velará por la utilización de componentes certificados según normas internacionalmente reconocidas, lo cual siempre es un encarecimiento de costes y, por sí solo, no asegura las ventas ni necesariamente robustece las instalaciones como un todo. Además de las certificaciones de componentes y operarios, es necesaria la evaluación experimental y por sorpresa de la seguridad de los sistemas.

Cuando llega la hora de hablar de sistemas críticos que no están en manos de la Administración que dirige el Gobierno, el documento habla de proteger “el Patrimonio Tecnológico de España”, entendido por tal aquellos activos materiales o inmateriales que sustentan la propiedad intelectual e industrial del sector empresarial patrio. Sin embargo, en el sector privado los hechos demuestran que las medidas se toman como consecuencia y al dictado de las normas sectoriales de obligado cumplimiento que en cada momento estén vigentes. Por lo que la protección de ese Patrimonio Tecnológico Nacional, sólo valorado por la Administración Pública, requerirá de nuevas normas obligatorias cuya financiación estará contestada (1) por el sector privado si tiene que ser él quien corra con (todos) los gastos, o (2) por la “sostenibilidad económica” que ha de ratificarlo todo, si es que alguien está pensando en subvenciones.

En el Objetivo tercero de la Estrategia Nacional de Ciberseguridad se habla de potenciar las capacidades gubernamentales de prevención, detección, reacción, análisis, recuperación, respuesta, investigación y coordinación frente a las actividades del terrorismo y la delincuencia en el ciberespacio, y se zanja con un lacónico: “El éxito en la lucha contra el terrorismo y la delincuencia en el ciberespacio exige la articulación de los mecanismos necesarios que mejoren las capacidades de las instituciones policiales y los organismos judiciales competentes”. Siendo éste un punto esencial en el que hay que aclarar cómo afectaría esta actualización de capacidades a los Derechos Civiles y al modelo de sociedad que queremos tener (abierta, cerrada, supervisada, dirigida, etc.), el documento pasa por encima sin querer hacer ruido y sin dar protagonismo al tema. La confianza social no se construye esquivando los temas difíciles de resolver.

Cuando se llega a las líneas de acción, el lector de la Estrategia de Ciberseguridad Nacional esperaría encontrar detalles concretos sobre cómo se va a conseguir todo lo anterior. Lo primero que vemos es que la vanguardia actual está en ampliar y mejorar las capacidades de detección y análisis de ciberamenazas para poder identificar los procedimientos y orígenes de los ataques. Lo único concreto que se menciona allí es un “Sistema de Intercambio de Información y Comunicación de Incidentes” que vendría a ser el minimumminimorum del sistema ideal buscado.

El otro frente que incluye este documento es la elaboración de inteligencia para una defensa y protección de las redes nacionales, y sobre ello no se da ningún detalle al respecto, lo que viene a restarle envergadura a este documento.

El conocimiento de atacantes y ataques se plasmaría en nuevas capacidades de detección y respuesta en cuyo seno se podrían llegar a incluir a ciudadanos y empresas, pero no se dice cómo y a cargo de quién se harían dichas extensiones, ni si tales inclusiones serían voluntarias u obligadas.

En esta misma línea de acción se reúnen las diferentes iniciativas y equipos de respuesta inmediata (CERTs)⁴ que hay en la estructura de la Administración civil y militar, y se hace bajo el cometido de “asegurar la coordinación”, lo que denota una dependencia jerárquica que sería relativamente fácil de conseguir con las iniciativas públicas, pero que no queda del todo clara en el caso de que los coordinados fuesen CERTs de sectores privados y empresariales.

La segunda línea de acción sería garantizar la implantación del Esquema Nacional de Seguridad, así como mantener, ampliar y mejorar las redes de detección y la respuesta “resilente” en el seno de toda la administración pública, a todos sus niveles. Está claro que no es lo mismo tener una cabaña de paja o madera, que tener una de ladrillo y con sólidas puertas y ventanas⁵; incluso aunque ésta también pueda tener errores de diseño cuyos efectos haya que paliar con un caldero con agua hirviendo y el fuego de un hogar. Estas medidas preventivas son las que mejor rentabilidad económica tienen ya que no son necesariamente caras, no siempre son tecnológicas, y evitan muchos incidentes que siempre van seguidos de costosas recuperaciones.

La tercera línea de acción se refiere a las Infraestructuras Críticas y su breve redacción quizás pone de manifiesto el menor desarrollo de esta área, o el menor número de cooperantes necesarios reunidos en ella. A las comunes necesidades de detección y respuesta de otros escenarios, aquí se le unen las necesidades de simulación de los efectos que los diferentes ataques o desastres podrían tener en la realidad nacional y en la población.

La cuarta línea de acción se consagra a potenciar las capacidades para detectar, investigar y perseguir las actividades terroristas y delictivas en el ciberespacio, sobre la base de un marco jurídico y operativo eficaz, lo cual es muy necesario y no es tarea fácil. Sin embargo, quizás vaya siendo hora de abandonar el término “ciberterrorismo” de estos textos ya que realmente nunca ha existido tal cosa. Se trata de un término acuñado en las campañas mediáticas de la Global War on Terror⁶ de la administración Bush y no hay realmente ningún ejemplo de tal (ciber)cosa. Que grupos terroristas puedan utilizar el ciberespacio no convierte en “ciber” todas sus acciones; de hecho, hay proxenetas que utilizan la red para comunicarse y organizarse y no por ello podríamos hablar de “ciberprostitución”.

Es sorprendente que la quinta línea de acción, la que se refiere a la seguridad y resiliencia de las TIC en el sector privado sea tan escueta y tan etérea. Tal parquedad podría dar la impresión de que en esto de la ciberseguridad industrial, este país no tiene nada hecho, ni nada pensado al respecto.

Las líneas de acción sexta (Conocimientos, Competencias e I+D+i) y séptima (Cultura de ciberseguridad) son las que, en el futuro, nos van a permitir evaluar si esta estrategia realmente pretende dar, o no, soluciones al futuro cibernético de nuestra realidad social y económica. Pronto podremos ver en el desarrollo y la financiación de la I+D+i si realmente se quiere cambiar significativamente algo, o si este documento sólo es el puente hasta la redacción del siguiente. El desarrollo de una “cultura de la ciberseguridad” es tan exigente como el desarrollo de cualquier otra cultura, por lo que podremos ver qué medidas se toman desde La Moncloa para la formación real y continuada de los ciudadanos, trabajadores, cuadros medios y mandos que conforman nuestra sociedad.

Llevar a efecto lo que hay escrito en la actual Estrategia de Ciberseguridad Nacional sin duda requerirá múltiples desarrollos y normativas posteriores, pero es desde este mismo momento en el que deben plantearse todas estas cuestiones y muchas otras más con importantes connotaciones y consecuencias técnicas, sociales y jurídicas.

Sin duda, en el diseño de la propia Estrategia, sus autores han debido plantearse esas disyuntivas y deben haber resuelto algo en cada una de ellas para poder redactar el documento que nos ocupa. Sin embargo, por el momento, no son públicas esas deliberaciones y cuáles son esas “opciones y requisitos de diseño” que en este documento marco ni están presentes, ni se las insinúa. Habrá que esperar a nuevos decretos para vislumbrar qué hay de real en este listado de buenos deseos.

Documento en PDF