Hace algunos días la prensa daba cuenta de una  alerta dentro del poder judicial de Chile, tras detectar el ataque informático en la forma de ransomware,  afectando a un número importante de equipos con que funcionan los tribunales de justicia.

El ataque llevó a la paralización de muchas de las funciones regulares de la justicia en Chile. Ocurrió poco después de una enorme filtración de correos desde las Fuerzas Armadas chilenas tras otro ataque que explotaba una vulnerabilidad antigua y conocida. Fue semanas después de un ataque al Servicio Nacional del Consumidor en el mismo país.  Son algunos de los tantos  episodios solamente dentro del último año en la región, que también incluyen ataques y filtraciones en servicios públicos tales como sistemas de salud y de asistencia social en Brasil, servicios de importación y de supervigilancia de empresas en Colombia, servicios municipales y de tránsito en Ecuador, y una importante seguidilla de ataques en Costa Rica, con elevados costos.

Desde la perspectiva de los órganos atacados, resulta evidente que el riesgo de estos ataques termina siendo soportado por las personas usuarias de los servicios públicos, es decir, potencialmente toda la población y especialmente aquellos sectores con más interacción con el Estado. Es por ello que resulta crucial que los esfuerzos de seguridad mantengan a las personas en el centro, y que los riesgos se consideren de manera sistémica no como problemas de computadoras, sino como una posibilidad real de intensa afectación de los derechos de las personas. Sea en ámbitos de salud, defensa nacional o administración de justicia, la falla de sistemas del Estado puede tener consecuencias muy gravosas.

Desde la perspectiva del rol del Estado, se hace cada vez más  necesario contar con herramientas para prevenir y mitigar daños, y de manera integral, para incorporar mejores prácticas organizacionales sobre seguridad y asegurar su actualización.

No es este el espacio para reiterar el sinnúmero de recomendaciones en términos de seguridad, sino más bien para reiterar aquello que con cada nuevo ataque se vuelve patente: es urgente que los Estados latinoamericanos se tomen en serio las necesidades de seguridad que ya son parte de sus agendas, políticas nacionales y estrategias de ciberseguridad.

Por cierto, ni los más avanzados sistemas tecnológicos de defensa son suficientes sin capacitación y buenas prácticas. Organizaciones como Derechos Digitales han sido insistentes en la promoción de prácticas de seguridad digital, que incluyen la concientización para hacer frente a los riesgos de la ingeniería social como forma de vulneración de sistemas informáticos. A la vez, es importante que exista institucionalmente capacidad para promover y exigir estándares altos de seguridad en la operación cotidiana.

Los caminos globales a un ciberespacio seguro

Una de las grandes preocupaciones en torno a los ataques cibernéticos es la relativa a los ataques iniciados a gran distancia geográfica o a través de las fronteras de distintos países y la seguridad de las redes de comunicación global. Así, la ciberseguridad será parte de la agenda de la Conferencia de Plenipotenciarios de la UIT. Por otra parte, la persecución de los delitos propiamente cibernéticos y de los delitos facilitados por el ciberespacio se ha vuelto una materia donde la cooperación internacional se torna necesaria. El Convenio de Budapest, de creciente adopción en la región, invita a la colaboración entre los Estados; su segundo Protocolo Adicional, en tanto, pretende justamente reforzar la colaboración entre estados. El análisis de ese protocolo por Veridiana Alimonti expone las debilidades del mismo para el resguardo de derechos en la investigación y persecución de delitos. Esa cooperación es también parte de la discusión en la ONU de un nuevo tratado sobre ciberdelitos.

El rol de los Estados en la preservación de la paz y la seguridad internacionales en el ciberespacio ha sido objeto de intensa discusión entre los Estados. Esa discusión también tiene su centro en el segundo Grupo de Trabajo de Composición Abierta sobre los Avances en la Esfera de la Información y las Telecomunicaciones en el Contexto de la Seguridad Internacional convocado por la Organización de las Naciones Unidas (el OEWG). Allí, se ha destacado con frecuencia el riesgo tanto a nivel interno como internacional que representan las amenazas en el ciberespacio. Ataques sobre servicios o infraestructuras críticas, incluyendo a servicios públicos y poderes del Estado, afectan no solamente los derechos y las posibilidades de desarrollo, sino también la paz y la estabilidad internacional. Especialmente preocupante es que tanto los Estados como actores no estatales han adquirido capacidades crecientes para conducir ataques sobre infraestructura crítica y sobre infraestructura crítica de la información. Pomover la colaboración como el aprendizaje mutuo y la formación de confianza se vuelven necesarias también a nivel internacional.

En el OEWG, durante la sesión de julio de 2022, una propuesta de varios países del mundo, incluidos Chile y Costa Rica, sugería incorporar al texto del informe de progreso del OEWG la mención explícita tanto a las capacidades cibernéticas militares de los Estados, como al ransomware como forma concreta de amenaza a sistemas críticos en el uso malicioso de las tecnologías de información y comunicación. Es significativo que países tan célebremente afectados por estos ataques destaquen que distintos países con distintas capacidades pueden sufrir de manera distinta y más grave con ataques informáticos sofisticados. Aunque el texto no llegó al informe final, y considerando también el largo camino que queda hacia el futuro en el OEWG, las tensiones geopolíticas propias del proceso pueden volverse así un obstáculo para el consenso mundial.

Octubre: el mes de la ciberseguridad

La responsabilidad de los Estados en relación con las tecnologías va más allá de la respuesta a incidentes específicos o al hackeo exitoso de la semana. Se requiere una conducta activa tanto para promover un ciberespacio seguro como para proteger su propia infraestructura, y medidas que acojan la pericia recogida por distintas partes interesadas, apoyándose en ellas para promover la capacitación y generar confianza, así como para generar los cambios que la seguridad requiere sin afectar negativamente intereses legítimos. Es llamativo que justo al iniciar otro mes de la ciberseguridad, la contingencia nos recuerde cuán en deuda están los Estados.