La justicia digital y los ciberataques

Bayron Prieto

Perito informático

En las últimas semanas, se ha hablado mucho acerca de los ciberataques que han afectado a proveedores de servicios tecnológicos, así como a posibles repercusiones en diversas entidades públicas, tanto en Colombia como en toda la región. Con la intención de extraer lecciones constructivas de estos eventos, me gustaría abordar algunos aspectos clave que deberíamos considerar para comprender la importancia de estas situaciones para los actores involucrados: usuarios, empresas e instituciones públicas en nuestro país.

Aspectos financieros

Es importante destacar que la seguridad correctiva resulta siempre más costosa que la prevención. Quienes hemos tenido que gestionar incidentes de seguridad digital en organizaciones sabemos que las decisiones y medidas adoptadas tras un evento de esta magnitud suelen ser costosas.

Aunque no puedo proporcionar una cifra exacta, salvo mencionar los casi dos millones de dólares diarios que el gobierno chileno perdió en compras públicas, es evidente que la respuesta ante un incidente de seguridad tiene costos más altos que la inversión en controles preventivos.

Por lo tanto, es fundamental que enfoquemos nuestros esfuerzos en desarrollar medidas que eviten la materialización de amenazas y la explotación de vulnerabilidades en los sistemas de información digital. Esto implica una mayor inversión en seguridad y tecnología por parte de las instituciones. Es crucial que dejemos de ver esta inversión en seguridad digital como un “gasto” y, en su lugar, verla como una ventaja competitiva para los negocios.

Unidad para enfrentar a los ciberdelincuentes

La estrategia gubernamental no puede limitarse a visiones locales, ya que no poseen la óptica global necesaria para enfrentar a un enemigo internacional, como la gran mayoría de ciberdelincuentes. Los egos profesionales o políticos no contribuyen a la solución, por el contrario, fortalecen a estos grupos delictivos, debilitan las instituciones y generan caos en los Estados. Debemos comprender el impacto tecnológico que implica la falta de cooperación entre los gobiernos, incluso cuando han intentado colaborar, como lo demuestra el Convenio de Budapest sobre Ciberdelincuencia.

La comunicación ágil y eficiente entre gobiernos es esencial para prevenir y rastrear a los responsables de los ataques a las infraestructuras tecnológicas.

En nuestro país, aún luchamos por unificar esfuerzos. Existen diversas instituciones encargadas de abordar incidentes informáticos, como ColCert, CSIRT en diferentes sectores, la Dijín, la Superintendencia de Industria y Comercio, entre otras. Sin embargo, no se han definido claramente los roles de cada entidad en respuesta a un incidente. Los ciberatacantes están evaluando nuestras capacidades y seguimos improvisando, creando puestos de mando unificados y actuando como “observadores reactivos”, mientras nuestros sistemas de información colapsan.

En resumen, debemos unirnos para enfrentar a los cibercriminales, ellos ya lo están haciendo. De lo contrario, nos enfrentaremos a situaciones aún más graves que las vividas en los últimos días, siendo espectadores impotentes ante ellas.

Alta disponibilidad

Los servicios en la nube se han vuelto fundamentales en la gestión de información digital, tanto en el ámbito corporativo como en la administración de justicia. Por lo tanto, los ciberataques que afectan la disponibilidad de los sistemas de información también socavan la confianza en estos sistemas. No debemos retroceder, la transformación digital en la administración de justicia debe ser irreversible.

Yuval Noah Harari señala en su libro Homo deus: “Las nuevas tecnologías matan a los dioses antiguos y dan a luz a otros”. Estos “nuevos dioses” traen nuevos riesgos con un mayor impacto, en algunos casos, con una probabilidad de ocurrencia menor. Por ejemplo, ya no se puede pensar en que si “el sistema no funciona” se afectan dos o tres juzgados, en este caso, el impacto es la indisposición parcial de toda una rama del poder público en un Estado.

Por esta razón, los controles deben ser rigurosos, y aunque la alta disponibilidad conlleva costos adicionales, son garantía de la continuidad de los servicios. Podemos preguntarnos entonces: si nuestro servicio es tan importante, ¿por qué no invertimos en asegurar su disponibilidad permanente?

Relevancia de los datos personales

Muchos expertos afirman que “los datos personales son el nuevo petróleo de la era digital”, pero yo prefiero decir que “los datos personales son como la radioactividad de la era digital”. La responsabilidad de manejar adecuadamente los datos personales radica en la comprensión de que un tratamiento adecuado de esta información puede mejorar la sociedad, pero un tratamiento inadecuado puede llevarnos a situaciones angustiantes que amenacen nuestra supervivencia.

Estas situaciones plantean interrogantes y lecciones en los ámbitos tecnológicos, normativos y éticos. Por ejemplo, en cuanto a los datos personales, ¿podemos considerar un ataque de ransomware como un incidente de seguridad? Según el régimen de protección de datos, si se produce una “adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, se trata de un incidente de seguridad. Desde una perspectiva técnica y general, un ransomware se clasifica como un incidente de seguridad, debido a la naturaleza misma de este tipo de malware, que implica un acceso no autorizado, aunque hasta el momento no se haya identificado evidencia de filtración o robo de datos personales.

La multidisciplinariedad en la atención de un incidente

Si bien un incidente puede afectar tanto de manera significativa como leve a un negocio, el paradigma de que debe ser atendido exclusivamente por el departamento de tecnología es una noción que tiene que evolucionar. Los negocios, vistos como sistemas abiertos, deben superar la idea de que un solo departamento puede resolver un incidente.

En los últimos ataques informáticos que ha sufrido nuestro país, hemos observado cómo varios departamentos, aunque puedan operar en segundo plano, desempeñan un papel fundamental en la gestión del incidente. Departamentos como operaciones, mercadeo, comunicaciones, entre otros, son esenciales para esto.

Resiliencia y autopoiesis

Hace unos años, un buen amigo y colega me dijo: “Todos estamos en el mismo barco”. Esto es cierto, ya que todos somos afectados por los incidentes informáticos, lo que nos obliga a actuar de manera coordinada. Esto me lleva a reflexionar sobre los conceptos de resiliencia y autopoiesis.

La resiliencia, por definición, implica la capacidad de adaptarse a situaciones adversas, lo que, en mi opinión, se vuelve algo obligatorio, debido a las condiciones del entorno que requieren que las organizaciones establezcan pautas y directrices para su gestión. Por otro lado, la autopoiesis es un proceso más natural, una adaptación que surge de un aprendizaje o autoconstrucción más que de una obligación. Por lo tanto, creo que los sistemas afectados por un incidente de seguridad deben aplicar más la autopoiesis que la resiliencia.

Incidentes recientes, como el ocurrido hace unas semanas, nos llevan a cuestionar si los controles de seguridad deben limitarse a lo que “exige” la norma, el estándar, la política o el procedimiento. Sin tener en cuenta factores éticos, tecnológicos y de negocio que hacen que estas medidas se conviertan en un simple formalismo, que “cumple” con requisitos burocráticos pero que, en esencia, no se ajusta a la realidad sistémica de la organización.

Con lo anterior, no pretendo cuestionar los estándares internacionales, sino plantear una problemática que estamos observando en la gestión de incidentes. Estos incidentes requieren el desarrollo de controles basados en la autoconstrucción y no en el simple cumplimiento de una norma.

Lo más interesante de la gestión de incidentes de seguridad es la capacidad que tienen para inspirar el aprendizaje y la innovación. Las “lecciones aprendidas” representan una oportunidad no solo para mejorar la seguridad digital en las instituciones, sino también para desarrollar la tecnología necesaria para brindar servicios fundamentales que sirvan para mantener la armonía en nuestra sociedad.