Manuel R Torres

Ciberguerra

12

Contenido

Oamp Introduccioacuten

Oamp Concepto y alcance de la ciberguerra

Oamp Los problemas de atribucioacuten

Oamp Disuasioacuten y represalias a traveacutes del ciberespacio

Oamp Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

Oamp Lecciones de estrategia nuclear aplicables a una estrategia de ciberguerra

CIB

ER

GU

ER

RA

331

Introduccioacuten

Se calcula que entre veinte y treinta paiacuteses han creado dentro de sus fuerzas armadas unidades especializadas en ciberguerra Dichos efectivos tienen como misioacuten desarrollar CDEampFDGDFHIDIJEampKJFJEDLHDEampGDLDampFMNPDQHLampJKampRKDampKRJSDampIHNJKEHTKampIJCampFMKUHFQMampPVCHFMampIMK-de el objetivo consiste en penetrar en los ordenadores y redes del enemigo para causar da-ntildeos y alterar sus sistemas informaacuteticos Las actividades econoacutemicas sociales y militares de los paiacuteses maacutes desarrollados muestran una profunda dependencia hacia este tipo de tecno-logiacuteas lo que implica una vulnerabilidad que puede ser atacada a traveacutes del ciberespacio

Los creadores y primeros usuarios de internet constituiacutean una pequentildea comunidad FMKampCDMEampIJampDNHEQDIamp]ampFMK^DKDampNRQRD_amp`Ramp HKQJKFHTKampMLHaHKDLHDampJLDampIHEJbDLampRKampEHEQJNDampabierto y dedicaron poca atencioacuten a la seguridad puesto que apenas contemplaban la posibilidad de que alguno de sus escasos miembros fuese a realizar un uso iliacutecito Los EHEQJNDEamp HKcMLNdQHFMEampeRJampGJLNHQJKampRKDamp HKQJLFMKJfHTKampdaHCamp]ampRKDamp HKQJLDFFHTKampJ^FDampFMKampcualquier otro equipo o red son por naturaleza vulnerables Su capacidad para operar con otros equipos es posible gracias al uso de protocolos de comunicacioacuten comunes que tam-PHVKampEMKampFMKMFHIMEampGMLampDeRJCCMEampRERDLHMEampeRJampPREFDKamp^KJEampHCJagQHNME_amphMLampJCampFMKQLDLHMiampCMEampsistemas realmente seguros son poco praacutecticos Dicha proteccioacuten se ha construido sobre la PDEJampIJampRKDampIJEFMK^DKDampeRJampCCJSDampDampRQHCHDLampGLMQMFMCMEampJEGJFg^FMEampeRJampKMampEMKampFMNGDQHPCJEampcon otros sistemas y mediante la canalizacioacuten de las interacciones del equipo a traveacutes de ^CQLMEiampEHEQJNDEampIJampDRQJKQH^FDFHTKamp]ampFMLQDcRJaMEiampCMampeRJampCJEampLJEQDampHKQJLMGJLDPHCHIDI_

Los productos informaacuteticos y las redes de informacioacuten que utilizamos actualmente son el resultado de un precario equilibrio entre estas dos dimensiones Los aspectos que convierten a los ordenadores y otras herramientas de la era de la informacioacuten en instrumen-tos versaacutetiles y faacuteciles de usar son las mismas caracteriacutesticas que los transforman en objeti-vos susceptibles de ser atacados La manera en que los Estados y otros actores desarrollan dichos instrumentos y preparan sus defensas ante posibles acciones hostiles ha generado RKDampEJLHJampIJampDCQJLDFHMKJEampJKampJCampFdCFRCMampJEQLDQVaHFMampEMPLJampFTNMampFMNPDQHLampCMEampFMKUHFQMEampJKampJCampciberespacio

Histoacutericamente la aparicioacuten de nuevas tecnologiacuteas no produce de manera inmediata una doctrina clara y contrastada sobre su uso militar (veacutease el capiacutetulo 4) Antes bien requiere de un considerable periodo de aprendizaje organizacional no exento de ambiguumle-IDIJEamp]ampFMKQLDIHFFHMKJE_amprDampLJUJfHTKampEMPLJampCDampFHPJLaRJLLDampJEampDsKampNR]ampLJFHJKQJ_amptampGJEDLampIJampque son ya varios los paiacuteses que han redactado y publicado sus respectivas estrategias de ciberseguridad todaviacutea no se ha logrado una visioacuten clara sobre cuestiones estrateacutegicas ta-les como los movimientos ofensivos y defensivos la disuasioacuten el establecimiento de nor-mas comunes el control de armamentos o la integracioacuten y coordinacioacuten de la ciberguerra dentro de una estrategia de seguridad nacional

332

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

uKampPRJKDampNJIHIDiampIHFvDampHKIJ^KHFHTKampQHJKJampERampMLHaJKampJKampCDampcDCQDampIJampcRKIDNJKQDFHTKampJNGgLHFDampEMPLJampCDampeRJampEJampEHJKQDKampCDEampLJUJfHMKJEampEMPLJampCDampFHPJLaRJLLDampwx]Jiampyz|_amptampJfFJG-cioacuten de varios incidentes puntuales hasta el momento no ha tenido lugar un enfrentamien-to beacutelico donde la ciberguerra haya desempentildeado un papel preferente Esto convierte el pensamiento sobre la ciberguerra en un saber con un alto contenido especulativo cuyas DEJSJLDFHMKJEampGRJIJKampSJLEJampGLMcRKIDNJKQJampNMIH^FDIDEampGMLampCDampJfGJLHJKFHDampIJampKRJSMEampJGH-sodios de enfrentamiento en el ciberespacio

Concepto y alcance de la ciberguerra

HFvDLIampt_amp~CDLJampwyzz|ampIJ^KJampCDampFHPJLaRJLLDampIJCampEHaRHJKQJampNMIMampse denomina ci-

berguerra cualquier penetracioacuten no autorizada por parte de en nombre de o en apoyo

a un gobierno en los ordenadores o las redes de otra nacioacuten en la que el propoacutesito es

7789lt7=gt979ltAltC7=B8DE79lt8FCA9G7E8HFltAltE7IB79lt7ABlt7ltAltJ9gtI9K79lt=lt7EI7AltCIFE8A-

namiento de un ordenador un dispositivo de red o los objetos controlados por el sistema

informaacutetico

En la ciberguerra las acciones tanto ofensivas como defensivas se transmiten a tra-veacutes de un lenguaje binario y de impulsos electromagneacuteticos pero sus efectos se pueden hacer sentir en el laquomundo realraquo Algunos analistas han considerado que junto al mar la tierra el aire y el espacio el ciberespacio constituye el quinto dominio en el cual se puede librar la guerra (Lynn 2010)

uCampGMIJLampIJEQLRFQHSMampIJampCDampFHPJLaRJLLDampEJampNDKH^JEQDampGLHKFHGDCNJKQJampDampQLDSVEampIJampERampFD-pacidad para incidir sobre los sistemas SCADA (acroacutenimo ingleacutes para Supervisioacuten Control y Adquisicioacuten de datos) La posibilidad de colapsar e incluso dantildear fiacutesicamente aacutembitos tales como los sistemas bancarios las redes globales de comunicacioacuten la regulacioacuten del QLd^FMampDVLJMamp]ampQJLLJEQLJiampJCampFMKQLMCampIJampHKcLDJEQLRFQRLDEampFLgQHFDEampIJampDPDEQJFHNHJKQMampJKJLaVQHFMamp]ampIJampDaRDiampJQF_iampCJEampFMK^JLJampCDampFDGDFHIDIampIJampDCQJLDLampaLDSJNJKQJampCDampJFMKMNgDamp]ampJCampcRKFHMKD-miento normal de un paiacutes No resulta por tanto sorprendente que el ministro de Defensa estonio llegase a equiparar el ciberataque que sufrioacute su paiacutes en 2007 con un bloqueo naval un tipo de accioacuten considerada tradicionalmente como un acto de guerra (Ruus 2008)

rMEampFHPJLDQDeRJEampDCFDKDKampERampNdfHNMampaLDIMampIJampJ^FDFHDampFMKQLDampDISJLEDLHMEampJEFDED-NJKQJampGLJGDLDIMEampGDLDampJEQJampQHGMampIJampDNJKDDEampJEampIJFHLiampDeRJCCMEampeRJampJEQdKampCMampER^FHJKQJ-mente desarrollados desde el punto de vista tecnoloacutegico como para depender de los siste-mas de informacioacuten pero que no cuentan con las capacidades para defenderse contra un DQDeRJampEM^EQHFDIMamp]ampGJLEHEQJKQJ_

CIB

ER

GU

ER

RA

333El recurso a la ciberguerra constituye una opcioacuten atractiva para los actores que buscan

estrategias asimeacutetricas de enfrentamiento contra adversarios mucho maacutes poderosos en el terreno militar convencional A diferencia de otros aacutembitos donde el desarrollo de capa-cidades militares requiere importantiacutesimas inversiones durante un prolongado espacio de tiempo en la generacioacuten de medios para la ciberguerra las barreras econoacutemicas y tempo-rales son mucho menores y no cabe la posibilidad de que un solo actor ejerza un dominio indisputado En ese sentido dotarse de capacidades ofensivas es incluso menos costoso que desarrollar mecanismos efectivos de ciberdefensa

Para entender el aacutembito en el cual se desenvuelve la ciberguerra es necesario identi-^FDLampJCampFHPJLJEGDFHMampFMNMampRKampJKQMLKMampFLJDIMampGMLampJCampvMNPLJamp]ampFMNGRJEQMampGMLampQLJEampKHSJCJEamp(Libicki 2009)

Nivel fiacutesico Se trata de las infraestructuras y equipamientos informaacuteticos que sus-tentan los sistemas de informacioacuten Sin este aacutembito laquomaterialraquo el resto de niveles que conforman el ciberespacio desapareceriacutean lo que le convierte en un posible objetivo de acciones armadas convencionales (operaciones cineacuteticas) para desbaratar las capacidades informaacuteticas de un determinado actor

Nivel sintaacutectico_amptPDLFDampCDEampHKEQLRFFHMKJEamp]ampFMK^aRLDFHMKJEampPdEHFDEampHKQLMIRFHIDEampGMLamplos disentildeadores y usuarios de los equipos informaacuteticos junto a los protocolos que permiten a los ordenadores comunicarse e interactuar entre siacute Eacuteste es el nivel sobre el cual actuacutean los hackers con el objeto de suplantar la autoridad de los responsables legiacutetimos y controlar el comportamiento de los equipos informaacuteticos o provocar un funcionamiento anoacutemalo

Nivel semaacutentico Engloba la informacioacuten que el equipo informaacutetico contiene inclu-yendo tanto los datos almacenados por el usuario como el software y los coacutedigos que permiten al ordenador desarrollar determinadas funciones Este nivel no siempre es faacutecil-mente distinguible del sintaacutectico

En la praacutectica los diferentes actores que usan el ciberespacio se encuentran a mili-EJaRKIMEampRKMEampIJampMQLMEiampCMampeRJampJfGCHFDampeRJampJKampJEQJampdNPHQMampCDEampIHEQDKFHDEampaJMaLd^FDEampEJDKampirrelevantes Dicha circunstancia incrementa el nuacutemero de participantes en la ciberguerra puesto que da acceso a nuevos actores que en el pasado quedaban excluidos por la se-paracioacuten fiacutesica o temporal La muerte de la distanciaampERGMKJampeRJampCMEampFMKUHFQMEampDLNDIMEiampHKFCREMamp CMEampIJampGJeRJbDampJEFDCDiamp EJDKampIHcgFHCJEampIJampDHECDLampaJMaLd^FDNJKQJ_ampuCamp FHPJLJEGDFHMampfacilita que los episodios beacutelicos desborden su aacutembito regional y puedan alcanzar un im-pacto global bien por sus dantildeos colaterales en actividades y ciberinfraestructuras de base internacional o por su capacidad de movilizar a los gobiernos y a la opinioacuten puacuteblica de otros paiacuteses (Betz amp Stevens 2011)

No obstante la ciberguerra es una actividad protagonizada fundamentalmente por Es-tados La capacidad de generar dantildeos de gran magnitud empleando uacutenicamente el ciberes-

334

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

pacio exige un nivel de recursos materiales y conocimientos teacutecnicos que no se encuentran actualmente al alcance de los actores no estatales Los grupos terroristas o criminales ocu-pan un lugar en el aacutembito de la ciberseguridad pero el nivel de amenaza que representan es menor Dotarse de capacidades reales de ciberguerra es un proceso complejo implica un considerable coste econoacutemico y requiere recursos humanos con un elevadiacutesimo nivel IJampFRDCH^FDFHTKampQVFKHFD_amphLMQDaMKHDLampDFFHMKJEampvMEQHCJEampIJamphackeo o robo de informacioacuten a traveacutes de internet no convierte automaacuteticamente a delincuentes y terroristas en cibergue-rreros del mismo modo que la posesioacuten de submarinos de bolsillo por parte de los carteles de la droga colombianos no les dota de una fuerza naval capaz de pugnar por el dominio del espacio mariacutetimo

Cuadro 1 iquestCiberterrorismo

678799lt=gt7A9ltB9CDgtEDDB9FEG9GFDHBD9lt9IHDJ9G9gtDEF79HDD7DHB9G-779 G9 DBltLBD9 M8gtBNBHIHBG7OP9 QI9 8CBDgt7A9 GRB9 BFDB7I9 I79 7I9IBGB9STlt9G9BHSBDP9UDgtBILB7I97879Vlt9WBGB9RBI9XFD8IHBG797I9medios de ciberguerra con resultados miacutenimos Incapaces de acceder a los recursos 8BHDBlt9k9Blt9BFHBlt9RE8BI79lE98BDB9lt9FEIH79G9ImX=IA9E9B7I9RBI9G79ltB9FD7FB9G9EI9RBnD9BEH7GGBHBA9I79kIG798T9BltltT9Glt9BC7HBo9G9H79pCA9D7I78IH79G97CoHq79k9D7C79G9GBH79FD7IBlt9B9HDBqJ9G9IHDIHP9Para los grupos terroristas la posibilidad de hacer caer redes bancarias provocar GBv79I98CBlt9k9IHDBlt9ltJHDB9797ltBFBD9lt9HDTw79BJD797IHHEk9B9GxB9G9R7k9EI97CoHq79IBltBILBCltP9QI98CBDgt7A9FBDB9BltgtEI79BEH7DA9ltB9BGlE=I9G9HB9BFBGBG99EIB98DB9EH=I9 H8F7DBltP9VxA9F7D9o8Flt7A9gtyI9lt9BIHgtE79GDH7D9IB7IBlt9G9zIHltgtIB9G9HBG79|IG7A9n967IIltlt~9Tarde

$amp()+-amp$((+0()1(2)+(03$450(06)78-(+9$+(

amp+$(06))0+$(6+9$220+lt=$gtA7

Los problemas de atribucioacuten

Una de las principales particularidades de la ciberguerra reside en los problemas de atribucioacuten de responsabilidades Un ciberataque no siempre deja tras de siacute una estela que pueda ser rastreada hasta llegar al responsable Los procesos de investigacioacuten forense son complejos teacutecnicamente y consumen gran cantidad de tiempo y esfuerzo Los ataques pue-den ejecutarse utilizando de manera temporal cientos de miles de ordenadores repartidos por todo el planeta sin el conocimiento de sus propietarios Utilizar un ejeacutercito de zombis es una condicioacuten teacutecnica para desarrollar la accioacuten y ademaacutes permite enmarantildear las res-GMKEDPHCHIDIJEamp]ampIH^FRCQDLampCDampLJEGRJEQD_

CIB

ER

GU

ER

RA

335Los paiacuteses atacados se ven en la necesidad de gestionar las consecuencias del ataque

pero tambieacuten de articular de manera inmediata una respuesta frente a una agresioacuten que procede de diferentes puntos del planeta sin que pueda conocerse la culpabilidad real de cada uno de los equipos atacantes

En este sentido una de las facetas maacutes controvertida del uso de la ciberguerra como recurso de poder es la compleja relacioacuten que se establece entre los Estados y los actores no estatales Aunque como se ha sentildealado anteriormente la posibilidad de hacer realidad algunas de las dimensiones maacutes destructivas de la ciberguerra estaacute reservada a algunos Estados sin embargo los grupos de hackers y otros elementos que actuacutean fuera de las estructuras estatales pueden ejercer un papel complementario en este tipo de operaciones

Los Estados pueden alentar tolerar e incluso subcontratar a estos grupos para que lle-ven a cabo ciberataques en la liacutenea de los intereses gubernamentales La motivacioacuten de los actores privados puede oscilar entre el patriotismo el narcisismo teacutecnico o el mero lucro criminal Su existencia otorga a los Estados patrocinadores una serie de ventajas Asiacute por ejemplo las unidades de ciberguerra del paiacutes pueden llevar a cabo operaciones encubier-tas negando su responsabilidad ante un ataque que parta de su territorio y atribuyendo su origen a la iniciativa de grupos descontrolados que no siguen directrices gubernamentales De este modo los Estados pueden contratar los servicios de organizaciones dedicadas a la ciberdelincuencia para llevar a cabo operaciones de menor envergadura disipando su res-GMKEDPHCHIDIiamp]ampIH^FRCQDKIMampCDEampLJGLJEDCHDEampIJCampGDgEampDQDFDIM_amptEgiampGMLampJJNGCMiampRKampJfGJLQMampJKampFHPJLaRJLLDampIJampCDamptxampKMampIRIDPDampJKampD^LNDLampsi quieres tener una cibercapacidad de

negacioacuten plausible necesitas ser capaz de aceptar cierto nivel de cibercrimen (Klimburg 2010 43)

Es loacutegico por tanto que algunos gobiernos encuentren uacutetil la existencia dentro de sus fronteras de una amplia comunidad de ciberdelincuentes la cual puede ser utilizada a modo de reserva estrateacutegica cuando las necesidades del enfrentamiento en el ciberes-pacio lo aconsejen Asiacute por ejemplo se especula con la posibilidad de que el virus Stux-net responsable del ataque contra el programa nuclear iraniacute habriacutea sido desarrollado en diferentes fragmentos por distintos equipos que no tendriacutean conexioacuten ni conocimiento JKQLJampJCCME_amprMampFRDCampLJUJDampeRJampJCampGLM]JFQMampGMILgDampvDPJLampEHIMampJKFDLaDIMampDampIHcJLJKQJEampMLaD-nizaciones algunas de ellas relacionadas con el cibercrimen (Broad Markoff amp Sanger 2011)

336

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Ideas clave

B9 CDgtEDDB9 9 EIB9 7F=I9 BHDBHqB9 HBIH79 FBDB9 HBG79 F7GD77A97879FBDB9BH7D9lE9CEBI9HDBHgtB9B8JHDB9G9ISDIHB8IH797IHDB9BGqDBD798ER798T9SEDH9I9lt9T8CH797IqI7IBltP

B9CDgtEDDB99EIB9BHqGBG9FD7HBgt7ILBGB9SEIGB8IHBlt8IH9F7D9-HBG7P9Q7I9JH79lt79lE9F7I9lt79DED798BHDBlt9k9HJI79IB-D79FBDB97IqDHD9lt9CDFB79I9EI9IBD79G97ImH79CJlt7P

79HBG79FEGI9DqD9G9BH7D9FDqBG79FBDB9F7HIBD9E9B-FBGBG9G9CDgtEDDB9k9GSE8IBD9E9DF7IBCltGBGP

Disuasioacuten y represalias a traveacutes del ciberespacio

Los Estados tratan de disuadir a sus potenciales enemigos desarrollando capacidades de respuesta que les permitan sobrevivir y responder militarmente a una agresioacuten previa rDampFDGDFHIDIampIJampHKUHaHLampRKampIDbMampEHNHCDLampMampND]MLampDCampFDREDIMampLJIRFJampCMEampHKFJKQHSMEampIJampRKampprimer ataque Sin embargo en el aacutembito de la ciberguerra este razonamiento pierde parte IJampERampJ^FDFHD_

En primer lugar es posible que un Estado posea los medios teacutecnicos y humanos necesarios para realizar una agresioacuten de ciberguerra contra otro Estado pero al mismo tiempo puede ser inmune en gran medida a una ciberrepresalia Esto es lo que sucede por ejemplo con Corea del Norte cuyo aislamiento del resto del mundo la mantiene desconec-tada de las redes globales de comunicacioacuten comercio e intercambio de informacioacuten que podriacutean ser utilizadas en un ciberataque La posibilidad de desplazar las represalias hacia otros aacutembitos como un mayor incremento de las sanciones econoacutemicas o diplomaacuteticas ha IJNMEQLDIMampvHEQTLHFDNJKQJampRKDampLJIRFHIDampJ^FDFHD_ampuCampREMampIJampLJGLJEDCHDEampNHCHQDLJEampFMKSJK-cionales soacutelo seriacutea viable si sus consecuencias fuesen proporcionales al dantildeo causado por el ciberataque Sin embargo un ataque contra un reacutegimen como el norcoreano provocariacutea seguramente una escalada beacutelica enormemente peligrosa

La legitimidad de una respuesta de este tipo queda igualmente en entredicho si la opinioacuten puacuteblica no percibe cierta equidad entre la agresioacuten y la respuesta En ocasiones es posible que la sociedad desconozca la existencia o la magnitud de una agresioacuten ciberneacutetica sobre todo si eacutesta ha consistido en acciones preparatorias para hacer viable en el futuro un ciberataque de gran escala o para facilitar una accioacuten militar convencional

CIB

ER

GU

ER

RA

337En el aacutembito del ciberespacio las agresiones pueden ser muy graves sin que por

ello sus consecuencias resulten visibles En ocasiones los Estados afectados pueden ser los primeros interesados en no divulgar la existencia del ataque Aunque en senti-do estricto no suponen actos de ciberguerra algunos paiacuteses como por ejemplo Rusia y China han sacado partido a sus capacidades en este aacutembito para llevar a cabo opera-FHMKJEampIJampFHPJLJEGHMKDJampDampQLDSVEampIJampCDampHK^CQLDFHTKampIJampCDEampLJIJEampHKcMLNdQHFDEamp]ampJCampLMPMampagresivo de secretos de sus adversarios Las viacutectimas pueden sentirse tentadas a no di-vulgar puacuteblicamente la existencia de acciones que ponen en evidencia las vulnerabili-dades en sus propios sistemas o la fuga de informacioacuten susceptible de comprometer la seguridad nacional La necesidad de mantener el secreto y por tanto la imposibilidad de concitar apoyos entre la opinioacuten puacuteblica reduce el abanico de posibles respuestas ante el agresor Asiacute por ejemplo se especula con que el bombardeo producido en sep-tiembre de 2007 por parte de la aviacioacuten israeliacute contra un reactor nuclear en construc-cioacuten en territorio sirio fue posible por una accioacuten previa de ciberguerra que engantildeoacute a los sistemas antiaeacutereos de Siria e hizo posible la penetracioacuten en su espacio aeacutereo (Clarke 2010) La necesidad de no transmitir debilidad ante el fracaso de los recieacuten adquiridos y costosos sistemas de radar rusos explicariacutea la contradictoria y dubitativa respuesta que tuvo el gobierno sirio que no pudo incluir en su lista de agravios contra de Israel el ciberataque sufrido

En otros casos los paiacuteses afectados pueden verse tentados a minimizar la gravedad de un ciberagresioacuten para eludir sus responsabilidades o para no asumir que se encuentran JKSRJCQMEampJKampRKampFMKUHFQMampcLJKQJampDampRKampJKJNHaMampGMIJLMEMampwMLLJEiampyz|_amphMIJNMEampJKFMKQLDLampun ejemplo en la reaccioacuten de la OTAN ante los ciberataques contra Estonia en 2007 El gobierno de este pequentildeo Estado acusoacute a Rusia de estar detraacutes de una serie de ataques ci-berneacuteticos dirigidos contra los sitios web gubernamentales al tiempo que como miembro de OTAN invocaba el artiacuteculo V del Tratado referido a la obligacioacuten de defensa mutua entre todos los aliados ante la agresioacuten a uno de sus miembros Sin embargo la perspectiva de iniciar una confrontacioacuten armada contra Rusia como respuesta a dantildeos producidos en el aacutembito virtual no resultoacute apetecible para sus miembros y eludieron catalogar los cibera-QDeRJEampFMKQLDampuEQMKHDampFMNMampRKampFDEMampIJampDaLJEHTKampNHCHQDLampeRJampREQH^FDEJampCDampDFQHSDFHTKampIJampCDampclaacuteusula de defensa mutua

Maacutes compleja aun es la respuesta hacia operaciones de ciberguerra cuyos efectos son un peligro potencial como por ejemplo las llamadas bombas loacutegicas Bajo esta denomi-nacioacuten se aglutina un amplio conjunto de operaciones de software cuyo propoacutesito consiste en permitir al manipulador disponer de una puerta trasera (y oculta) en los sistemas de su enemigo para utilizarla cuando considere necesario provocar dantildeos al sistema o lograr que eacuteste lleve a cabo un comportamiento anoacutemalo Asiacute por ejemplo una de las formas maacutes simples pero maacutes efectivas de bomba loacutegica son los comandos destinados a borrar toda la informacioacuten contenida en el equipo donde se encuentra alojada incluyendo la propia bomba Esto supone la posibilidad de llevar a cabo un ataque que no deja rastro y que

338

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

puede inutilizar los sistemas informaacuteticos del enemigo Otras versiones maacutes avanzadas de las bombas loacutegicas son aquellos comandos que propician que el hardware se provoque a siacute mismo dantildeos a traveacutes de una subida de tensioacuten eleacutectrica un aumento de temperatura o cualquier otra operacioacuten que provoque un estrago iquestCoacutemo deberiacutea reaccionar un paiacutes ante el descubrimiento de que otro gobierno ha sembrado sus sistemas de defensa con comandos cuya activacioacuten generariacutea consecuencias similares a las del bombardeo de esas instalaciones

Es loacutegico pensar que los diferentes paiacuteses con capacidades de ciberguerra preparan el campo de batalla ciberneacutetico en tiempos de paz Buscan las vulnerabilidades del potencial DISJLEDLHMiamp]ampEJampJEcRJLDKampGMLampHK^CQLDLampEREampEHEQJNDEamp]ampGCDaDLCMEampIJampPMNPDEampCTaHFDEamp]ampGRJLQDEamptraseras para poder utilizarlas ante un eventual enfrentamiento

Otro elemento que afecta profundamente a los caacutelculos sobre la disuasioacuten en ciber-guerra es la propia naturaleza de las armas con las que se combate (Libicki 2011) En la disuasioacuten convencional es habitual que los Estados hagan una demostracioacuten puacuteblica de sus arsenales para desanimar potenciales agresiones Los gobiernos no soacutelo recurren al efecto IJNMEQLDFHTKampJKampIJE^CJEampNHCHQDLJEamp]ampNDKHMPLDEampQDNPHVKampJNGCJDKampERampNJMLampDLNDNJKQMampJKampFMKUHFQMEampIMKIJiampDRKeRJampKMampJfHEQDampRKDampKJFJEHIDIampMGJLDFHMKDCiampGRJIDKampvDFJLampDCDLIJampIJampERampsuperioridad tecnoloacutegica

CIB

ER

GU

ER

RA

339Cuadro 2 Episodios destacados de ciberguerra

`HKampJNPDLaMiampCDEampFHPJLDLNDEampPDEDKampaLDKampGDLQJampIJampERampJ^FDFHDampJKampJCampEJFLJQMamp]ampCDampEMLGLJED_amprDampGMEHPHCHIDIampIJampIJEPDLDQDLampJampHK^CQLDLampCDampHKcLDJEQLRFQRLDampHKcMLNdQHFDampIJCampDISJLEDLHMampIJEFDK-sa generalmente en el descubrimiento de vulnerabilidades en el disentildeo de sus sistemas y el software que los mantiene operativos Son las llamadas zero-day vulnerabilities una serie de carencias y errores ineacuteditos que han pasado inadvertidos a los programadores o que una

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

CIB

ER

GU

ER

RA

331

Introduccioacuten

Se calcula que entre veinte y treinta paiacuteses han creado dentro de sus fuerzas armadas unidades especializadas en ciberguerra Dichos efectivos tienen como misioacuten desarrollar CDEampFDGDFHIDIJEampKJFJEDLHDEampGDLDampFMNPDQHLampJKampRKDampKRJSDampIHNJKEHTKampIJCampFMKUHFQMampPVCHFMampIMK-de el objetivo consiste en penetrar en los ordenadores y redes del enemigo para causar da-ntildeos y alterar sus sistemas informaacuteticos Las actividades econoacutemicas sociales y militares de los paiacuteses maacutes desarrollados muestran una profunda dependencia hacia este tipo de tecno-logiacuteas lo que implica una vulnerabilidad que puede ser atacada a traveacutes del ciberespacio

Los creadores y primeros usuarios de internet constituiacutean una pequentildea comunidad FMKampCDMEampIJampDNHEQDIamp]ampFMK^DKDampNRQRD_amp`Ramp HKQJKFHTKampMLHaHKDLHDampJLDampIHEJbDLampRKampEHEQJNDampabierto y dedicaron poca atencioacuten a la seguridad puesto que apenas contemplaban la posibilidad de que alguno de sus escasos miembros fuese a realizar un uso iliacutecito Los EHEQJNDEamp HKcMLNdQHFMEampeRJampGJLNHQJKampRKDamp HKQJLFMKJfHTKampdaHCamp]ampRKDamp HKQJLDFFHTKampJ^FDampFMKampcualquier otro equipo o red son por naturaleza vulnerables Su capacidad para operar con otros equipos es posible gracias al uso de protocolos de comunicacioacuten comunes que tam-PHVKampEMKampFMKMFHIMEampGMLampDeRJCCMEampRERDLHMEampeRJampPREFDKamp^KJEampHCJagQHNME_amphMLampJCampFMKQLDLHMiampCMEampsistemas realmente seguros son poco praacutecticos Dicha proteccioacuten se ha construido sobre la PDEJampIJampRKDampIJEFMK^DKDampeRJampCCJSDampDampRQHCHDLampGLMQMFMCMEampJEGJFg^FMEampeRJampKMampEMKampFMNGDQHPCJEampcon otros sistemas y mediante la canalizacioacuten de las interacciones del equipo a traveacutes de ^CQLMEiampEHEQJNDEampIJampDRQJKQH^FDFHTKamp]ampFMLQDcRJaMEiampCMampeRJampCJEampLJEQDampHKQJLMGJLDPHCHIDI_

Los productos informaacuteticos y las redes de informacioacuten que utilizamos actualmente son el resultado de un precario equilibrio entre estas dos dimensiones Los aspectos que convierten a los ordenadores y otras herramientas de la era de la informacioacuten en instrumen-tos versaacutetiles y faacuteciles de usar son las mismas caracteriacutesticas que los transforman en objeti-vos susceptibles de ser atacados La manera en que los Estados y otros actores desarrollan dichos instrumentos y preparan sus defensas ante posibles acciones hostiles ha generado RKDampEJLHJampIJampDCQJLDFHMKJEampJKampJCampFdCFRCMampJEQLDQVaHFMampEMPLJampFTNMampFMNPDQHLampCMEampFMKUHFQMEampJKampJCampciberespacio

Histoacutericamente la aparicioacuten de nuevas tecnologiacuteas no produce de manera inmediata una doctrina clara y contrastada sobre su uso militar (veacutease el capiacutetulo 4) Antes bien requiere de un considerable periodo de aprendizaje organizacional no exento de ambiguumle-IDIJEamp]ampFMKQLDIHFFHMKJE_amprDampLJUJfHTKampEMPLJampCDampFHPJLaRJLLDampJEampDsKampNR]ampLJFHJKQJ_amptampGJEDLampIJampque son ya varios los paiacuteses que han redactado y publicado sus respectivas estrategias de ciberseguridad todaviacutea no se ha logrado una visioacuten clara sobre cuestiones estrateacutegicas ta-les como los movimientos ofensivos y defensivos la disuasioacuten el establecimiento de nor-mas comunes el control de armamentos o la integracioacuten y coordinacioacuten de la ciberguerra dentro de una estrategia de seguridad nacional

332

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

uKampPRJKDampNJIHIDiampIHFvDampHKIJ^KHFHTKampQHJKJampERampMLHaJKampJKampCDampcDCQDampIJampcRKIDNJKQDFHTKampJNGgLHFDampEMPLJampCDampeRJampEJampEHJKQDKampCDEampLJUJfHMKJEampEMPLJampCDampFHPJLaRJLLDampwx]Jiampyz|_amptampJfFJG-cioacuten de varios incidentes puntuales hasta el momento no ha tenido lugar un enfrentamien-to beacutelico donde la ciberguerra haya desempentildeado un papel preferente Esto convierte el pensamiento sobre la ciberguerra en un saber con un alto contenido especulativo cuyas DEJSJLDFHMKJEampGRJIJKampSJLEJampGLMcRKIDNJKQJampNMIH^FDIDEampGMLampCDampJfGJLHJKFHDampIJampKRJSMEampJGH-sodios de enfrentamiento en el ciberespacio

Concepto y alcance de la ciberguerra

HFvDLIampt_amp~CDLJampwyzz|ampIJ^KJampCDampFHPJLaRJLLDampIJCampEHaRHJKQJampNMIMampse denomina ci-

berguerra cualquier penetracioacuten no autorizada por parte de en nombre de o en apoyo

a un gobierno en los ordenadores o las redes de otra nacioacuten en la que el propoacutesito es

7789lt7=gt979ltAltC7=B8DE79lt8FCA9G7E8HFltAltE7IB79lt7ABlt7ltAltJ9gtI9K79lt=lt7EI7AltCIFE8A-

namiento de un ordenador un dispositivo de red o los objetos controlados por el sistema

informaacutetico

En la ciberguerra las acciones tanto ofensivas como defensivas se transmiten a tra-veacutes de un lenguaje binario y de impulsos electromagneacuteticos pero sus efectos se pueden hacer sentir en el laquomundo realraquo Algunos analistas han considerado que junto al mar la tierra el aire y el espacio el ciberespacio constituye el quinto dominio en el cual se puede librar la guerra (Lynn 2010)

uCampGMIJLampIJEQLRFQHSMampIJampCDampFHPJLaRJLLDampEJampNDKH^JEQDampGLHKFHGDCNJKQJampDampQLDSVEampIJampERampFD-pacidad para incidir sobre los sistemas SCADA (acroacutenimo ingleacutes para Supervisioacuten Control y Adquisicioacuten de datos) La posibilidad de colapsar e incluso dantildear fiacutesicamente aacutembitos tales como los sistemas bancarios las redes globales de comunicacioacuten la regulacioacuten del QLd^FMampDVLJMamp]ampQJLLJEQLJiampJCampFMKQLMCampIJampHKcLDJEQLRFQRLDEampFLgQHFDEampIJampDPDEQJFHNHJKQMampJKJLaVQHFMamp]ampIJampDaRDiampJQF_iampCJEampFMK^JLJampCDampFDGDFHIDIampIJampDCQJLDLampaLDSJNJKQJampCDampJFMKMNgDamp]ampJCampcRKFHMKD-miento normal de un paiacutes No resulta por tanto sorprendente que el ministro de Defensa estonio llegase a equiparar el ciberataque que sufrioacute su paiacutes en 2007 con un bloqueo naval un tipo de accioacuten considerada tradicionalmente como un acto de guerra (Ruus 2008)

rMEampFHPJLDQDeRJEampDCFDKDKampERampNdfHNMampaLDIMampIJampJ^FDFHDampFMKQLDampDISJLEDLHMEampJEFDED-NJKQJampGLJGDLDIMEampGDLDampJEQJampQHGMampIJampDNJKDDEampJEampIJFHLiampDeRJCCMEampeRJampJEQdKampCMampER^FHJKQJ-mente desarrollados desde el punto de vista tecnoloacutegico como para depender de los siste-mas de informacioacuten pero que no cuentan con las capacidades para defenderse contra un DQDeRJampEM^EQHFDIMamp]ampGJLEHEQJKQJ_

CIB

ER

GU

ER

RA

333El recurso a la ciberguerra constituye una opcioacuten atractiva para los actores que buscan

estrategias asimeacutetricas de enfrentamiento contra adversarios mucho maacutes poderosos en el terreno militar convencional A diferencia de otros aacutembitos donde el desarrollo de capa-cidades militares requiere importantiacutesimas inversiones durante un prolongado espacio de tiempo en la generacioacuten de medios para la ciberguerra las barreras econoacutemicas y tempo-rales son mucho menores y no cabe la posibilidad de que un solo actor ejerza un dominio indisputado En ese sentido dotarse de capacidades ofensivas es incluso menos costoso que desarrollar mecanismos efectivos de ciberdefensa

Para entender el aacutembito en el cual se desenvuelve la ciberguerra es necesario identi-^FDLampJCampFHPJLJEGDFHMampFMNMampRKampJKQMLKMampFLJDIMampGMLampJCampvMNPLJamp]ampFMNGRJEQMampGMLampQLJEampKHSJCJEamp(Libicki 2009)

Nivel fiacutesico Se trata de las infraestructuras y equipamientos informaacuteticos que sus-tentan los sistemas de informacioacuten Sin este aacutembito laquomaterialraquo el resto de niveles que conforman el ciberespacio desapareceriacutean lo que le convierte en un posible objetivo de acciones armadas convencionales (operaciones cineacuteticas) para desbaratar las capacidades informaacuteticas de un determinado actor

Nivel sintaacutectico_amptPDLFDampCDEampHKEQLRFFHMKJEamp]ampFMK^aRLDFHMKJEampPdEHFDEampHKQLMIRFHIDEampGMLamplos disentildeadores y usuarios de los equipos informaacuteticos junto a los protocolos que permiten a los ordenadores comunicarse e interactuar entre siacute Eacuteste es el nivel sobre el cual actuacutean los hackers con el objeto de suplantar la autoridad de los responsables legiacutetimos y controlar el comportamiento de los equipos informaacuteticos o provocar un funcionamiento anoacutemalo

Nivel semaacutentico Engloba la informacioacuten que el equipo informaacutetico contiene inclu-yendo tanto los datos almacenados por el usuario como el software y los coacutedigos que permiten al ordenador desarrollar determinadas funciones Este nivel no siempre es faacutecil-mente distinguible del sintaacutectico

En la praacutectica los diferentes actores que usan el ciberespacio se encuentran a mili-EJaRKIMEampRKMEampIJampMQLMEiampCMampeRJampJfGCHFDampeRJampJKampJEQJampdNPHQMampCDEampIHEQDKFHDEampaJMaLd^FDEampEJDKampirrelevantes Dicha circunstancia incrementa el nuacutemero de participantes en la ciberguerra puesto que da acceso a nuevos actores que en el pasado quedaban excluidos por la se-paracioacuten fiacutesica o temporal La muerte de la distanciaampERGMKJampeRJampCMEampFMKUHFQMEampDLNDIMEiampHKFCREMamp CMEampIJampGJeRJbDampJEFDCDiamp EJDKampIHcgFHCJEampIJampDHECDLampaJMaLd^FDNJKQJ_ampuCamp FHPJLJEGDFHMampfacilita que los episodios beacutelicos desborden su aacutembito regional y puedan alcanzar un im-pacto global bien por sus dantildeos colaterales en actividades y ciberinfraestructuras de base internacional o por su capacidad de movilizar a los gobiernos y a la opinioacuten puacuteblica de otros paiacuteses (Betz amp Stevens 2011)

No obstante la ciberguerra es una actividad protagonizada fundamentalmente por Es-tados La capacidad de generar dantildeos de gran magnitud empleando uacutenicamente el ciberes-

334

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

pacio exige un nivel de recursos materiales y conocimientos teacutecnicos que no se encuentran actualmente al alcance de los actores no estatales Los grupos terroristas o criminales ocu-pan un lugar en el aacutembito de la ciberseguridad pero el nivel de amenaza que representan es menor Dotarse de capacidades reales de ciberguerra es un proceso complejo implica un considerable coste econoacutemico y requiere recursos humanos con un elevadiacutesimo nivel IJampFRDCH^FDFHTKampQVFKHFD_amphLMQDaMKHDLampDFFHMKJEampvMEQHCJEampIJamphackeo o robo de informacioacuten a traveacutes de internet no convierte automaacuteticamente a delincuentes y terroristas en cibergue-rreros del mismo modo que la posesioacuten de submarinos de bolsillo por parte de los carteles de la droga colombianos no les dota de una fuerza naval capaz de pugnar por el dominio del espacio mariacutetimo

Cuadro 1 iquestCiberterrorismo

678799lt=gt7A9ltB9CDgtEDDB9FEG9GFDHBD9lt9IHDJ9G9gtDEF79HDD7DHB9G-779 G9 DBltLBD9 M8gtBNBHIHBG7OP9 QI9 8CBDgt7A9 GRB9 BFDB7I9 I79 7I9IBGB9STlt9G9BHSBDP9UDgtBILB7I97879Vlt9WBGB9RBI9XFD8IHBG797I9medios de ciberguerra con resultados miacutenimos Incapaces de acceder a los recursos 8BHDBlt9k9Blt9BFHBlt9RE8BI79lE98BDB9lt9FEIH79G9ImX=IA9E9B7I9RBI9G79ltB9FD7FB9G9EI9RBnD9BEH7GGBHBA9I79kIG798T9BltltT9Glt9BC7HBo9G9H79pCA9D7I78IH79G97CoHq79k9D7C79G9GBH79FD7IBlt9B9HDBqJ9G9IHDIHP9Para los grupos terroristas la posibilidad de hacer caer redes bancarias provocar GBv79I98CBlt9k9IHDBlt9ltJHDB9797ltBFBD9lt9HDTw79BJD797IHHEk9B9GxB9G9R7k9EI97CoHq79IBltBILBCltP9QI98CBDgt7A9FBDB9BltgtEI79BEH7DA9ltB9BGlE=I9G9HB9BFBGBG99EIB98DB9EH=I9 H8F7DBltP9VxA9F7D9o8Flt7A9gtyI9lt9BIHgtE79GDH7D9IB7IBlt9G9zIHltgtIB9G9HBG79|IG7A9n967IIltlt~9Tarde

$amp()+-amp$((+0()1(2)+(03$450(06)78-(+9$+(

amp+$(06))0+$(6+9$220+lt=$gtA7

Los problemas de atribucioacuten

Una de las principales particularidades de la ciberguerra reside en los problemas de atribucioacuten de responsabilidades Un ciberataque no siempre deja tras de siacute una estela que pueda ser rastreada hasta llegar al responsable Los procesos de investigacioacuten forense son complejos teacutecnicamente y consumen gran cantidad de tiempo y esfuerzo Los ataques pue-den ejecutarse utilizando de manera temporal cientos de miles de ordenadores repartidos por todo el planeta sin el conocimiento de sus propietarios Utilizar un ejeacutercito de zombis es una condicioacuten teacutecnica para desarrollar la accioacuten y ademaacutes permite enmarantildear las res-GMKEDPHCHIDIJEamp]ampIH^FRCQDLampCDampLJEGRJEQD_

CIB

ER

GU

ER

RA

335Los paiacuteses atacados se ven en la necesidad de gestionar las consecuencias del ataque

pero tambieacuten de articular de manera inmediata una respuesta frente a una agresioacuten que procede de diferentes puntos del planeta sin que pueda conocerse la culpabilidad real de cada uno de los equipos atacantes

En este sentido una de las facetas maacutes controvertida del uso de la ciberguerra como recurso de poder es la compleja relacioacuten que se establece entre los Estados y los actores no estatales Aunque como se ha sentildealado anteriormente la posibilidad de hacer realidad algunas de las dimensiones maacutes destructivas de la ciberguerra estaacute reservada a algunos Estados sin embargo los grupos de hackers y otros elementos que actuacutean fuera de las estructuras estatales pueden ejercer un papel complementario en este tipo de operaciones

Los Estados pueden alentar tolerar e incluso subcontratar a estos grupos para que lle-ven a cabo ciberataques en la liacutenea de los intereses gubernamentales La motivacioacuten de los actores privados puede oscilar entre el patriotismo el narcisismo teacutecnico o el mero lucro criminal Su existencia otorga a los Estados patrocinadores una serie de ventajas Asiacute por ejemplo las unidades de ciberguerra del paiacutes pueden llevar a cabo operaciones encubier-tas negando su responsabilidad ante un ataque que parta de su territorio y atribuyendo su origen a la iniciativa de grupos descontrolados que no siguen directrices gubernamentales De este modo los Estados pueden contratar los servicios de organizaciones dedicadas a la ciberdelincuencia para llevar a cabo operaciones de menor envergadura disipando su res-GMKEDPHCHIDIiamp]ampIH^FRCQDKIMampCDEampLJGLJEDCHDEampIJCampGDgEampDQDFDIM_amptEgiampGMLampJJNGCMiampRKampJfGJLQMampJKampFHPJLaRJLLDampIJampCDamptxampKMampIRIDPDampJKampD^LNDLampsi quieres tener una cibercapacidad de

negacioacuten plausible necesitas ser capaz de aceptar cierto nivel de cibercrimen (Klimburg 2010 43)

Es loacutegico por tanto que algunos gobiernos encuentren uacutetil la existencia dentro de sus fronteras de una amplia comunidad de ciberdelincuentes la cual puede ser utilizada a modo de reserva estrateacutegica cuando las necesidades del enfrentamiento en el ciberes-pacio lo aconsejen Asiacute por ejemplo se especula con la posibilidad de que el virus Stux-net responsable del ataque contra el programa nuclear iraniacute habriacutea sido desarrollado en diferentes fragmentos por distintos equipos que no tendriacutean conexioacuten ni conocimiento JKQLJampJCCME_amprMampFRDCampLJUJDampeRJampJCampGLM]JFQMampGMILgDampvDPJLampEHIMampJKFDLaDIMampDampIHcJLJKQJEampMLaD-nizaciones algunas de ellas relacionadas con el cibercrimen (Broad Markoff amp Sanger 2011)

336

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Ideas clave

B9 CDgtEDDB9 9 EIB9 7F=I9 BHDBHqB9 HBIH79 FBDB9 HBG79 F7GD77A97879FBDB9BH7D9lE9CEBI9HDBHgtB9B8JHDB9G9ISDIHB8IH797IHDB9BGqDBD798ER798T9SEDH9I9lt9T8CH797IqI7IBltP

B9CDgtEDDB99EIB9BHqGBG9FD7HBgt7ILBGB9SEIGB8IHBlt8IH9F7D9-HBG7P9Q7I9JH79lt79lE9F7I9lt79DED798BHDBlt9k9HJI79IB-D79FBDB97IqDHD9lt9CDFB79I9EI9IBD79G97ImH79CJlt7P

79HBG79FEGI9DqD9G9BH7D9FDqBG79FBDB9F7HIBD9E9B-FBGBG9G9CDgtEDDB9k9GSE8IBD9E9DF7IBCltGBGP

Disuasioacuten y represalias a traveacutes del ciberespacio

Los Estados tratan de disuadir a sus potenciales enemigos desarrollando capacidades de respuesta que les permitan sobrevivir y responder militarmente a una agresioacuten previa rDampFDGDFHIDIampIJampHKUHaHLampRKampIDbMampEHNHCDLampMampND]MLampDCampFDREDIMampLJIRFJampCMEampHKFJKQHSMEampIJampRKampprimer ataque Sin embargo en el aacutembito de la ciberguerra este razonamiento pierde parte IJampERampJ^FDFHD_

En primer lugar es posible que un Estado posea los medios teacutecnicos y humanos necesarios para realizar una agresioacuten de ciberguerra contra otro Estado pero al mismo tiempo puede ser inmune en gran medida a una ciberrepresalia Esto es lo que sucede por ejemplo con Corea del Norte cuyo aislamiento del resto del mundo la mantiene desconec-tada de las redes globales de comunicacioacuten comercio e intercambio de informacioacuten que podriacutean ser utilizadas en un ciberataque La posibilidad de desplazar las represalias hacia otros aacutembitos como un mayor incremento de las sanciones econoacutemicas o diplomaacuteticas ha IJNMEQLDIMampvHEQTLHFDNJKQJampRKDampLJIRFHIDampJ^FDFHD_ampuCampREMampIJampLJGLJEDCHDEampNHCHQDLJEampFMKSJK-cionales soacutelo seriacutea viable si sus consecuencias fuesen proporcionales al dantildeo causado por el ciberataque Sin embargo un ataque contra un reacutegimen como el norcoreano provocariacutea seguramente una escalada beacutelica enormemente peligrosa

La legitimidad de una respuesta de este tipo queda igualmente en entredicho si la opinioacuten puacuteblica no percibe cierta equidad entre la agresioacuten y la respuesta En ocasiones es posible que la sociedad desconozca la existencia o la magnitud de una agresioacuten ciberneacutetica sobre todo si eacutesta ha consistido en acciones preparatorias para hacer viable en el futuro un ciberataque de gran escala o para facilitar una accioacuten militar convencional

CIB

ER

GU

ER

RA

337En el aacutembito del ciberespacio las agresiones pueden ser muy graves sin que por

ello sus consecuencias resulten visibles En ocasiones los Estados afectados pueden ser los primeros interesados en no divulgar la existencia del ataque Aunque en senti-do estricto no suponen actos de ciberguerra algunos paiacuteses como por ejemplo Rusia y China han sacado partido a sus capacidades en este aacutembito para llevar a cabo opera-FHMKJEampIJampFHPJLJEGHMKDJampDampQLDSVEampIJampCDampHK^CQLDFHTKampIJampCDEampLJIJEampHKcMLNdQHFDEamp]ampJCampLMPMampagresivo de secretos de sus adversarios Las viacutectimas pueden sentirse tentadas a no di-vulgar puacuteblicamente la existencia de acciones que ponen en evidencia las vulnerabili-dades en sus propios sistemas o la fuga de informacioacuten susceptible de comprometer la seguridad nacional La necesidad de mantener el secreto y por tanto la imposibilidad de concitar apoyos entre la opinioacuten puacuteblica reduce el abanico de posibles respuestas ante el agresor Asiacute por ejemplo se especula con que el bombardeo producido en sep-tiembre de 2007 por parte de la aviacioacuten israeliacute contra un reactor nuclear en construc-cioacuten en territorio sirio fue posible por una accioacuten previa de ciberguerra que engantildeoacute a los sistemas antiaeacutereos de Siria e hizo posible la penetracioacuten en su espacio aeacutereo (Clarke 2010) La necesidad de no transmitir debilidad ante el fracaso de los recieacuten adquiridos y costosos sistemas de radar rusos explicariacutea la contradictoria y dubitativa respuesta que tuvo el gobierno sirio que no pudo incluir en su lista de agravios contra de Israel el ciberataque sufrido

En otros casos los paiacuteses afectados pueden verse tentados a minimizar la gravedad de un ciberagresioacuten para eludir sus responsabilidades o para no asumir que se encuentran JKSRJCQMEampJKampRKampFMKUHFQMampcLJKQJampDampRKampJKJNHaMampGMIJLMEMampwMLLJEiampyz|_amphMIJNMEampJKFMKQLDLampun ejemplo en la reaccioacuten de la OTAN ante los ciberataques contra Estonia en 2007 El gobierno de este pequentildeo Estado acusoacute a Rusia de estar detraacutes de una serie de ataques ci-berneacuteticos dirigidos contra los sitios web gubernamentales al tiempo que como miembro de OTAN invocaba el artiacuteculo V del Tratado referido a la obligacioacuten de defensa mutua entre todos los aliados ante la agresioacuten a uno de sus miembros Sin embargo la perspectiva de iniciar una confrontacioacuten armada contra Rusia como respuesta a dantildeos producidos en el aacutembito virtual no resultoacute apetecible para sus miembros y eludieron catalogar los cibera-QDeRJEampFMKQLDampuEQMKHDampFMNMampRKampFDEMampIJampDaLJEHTKampNHCHQDLampeRJampREQH^FDEJampCDampDFQHSDFHTKampIJampCDampclaacuteusula de defensa mutua

Maacutes compleja aun es la respuesta hacia operaciones de ciberguerra cuyos efectos son un peligro potencial como por ejemplo las llamadas bombas loacutegicas Bajo esta denomi-nacioacuten se aglutina un amplio conjunto de operaciones de software cuyo propoacutesito consiste en permitir al manipulador disponer de una puerta trasera (y oculta) en los sistemas de su enemigo para utilizarla cuando considere necesario provocar dantildeos al sistema o lograr que eacuteste lleve a cabo un comportamiento anoacutemalo Asiacute por ejemplo una de las formas maacutes simples pero maacutes efectivas de bomba loacutegica son los comandos destinados a borrar toda la informacioacuten contenida en el equipo donde se encuentra alojada incluyendo la propia bomba Esto supone la posibilidad de llevar a cabo un ataque que no deja rastro y que

338

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

puede inutilizar los sistemas informaacuteticos del enemigo Otras versiones maacutes avanzadas de las bombas loacutegicas son aquellos comandos que propician que el hardware se provoque a siacute mismo dantildeos a traveacutes de una subida de tensioacuten eleacutectrica un aumento de temperatura o cualquier otra operacioacuten que provoque un estrago iquestCoacutemo deberiacutea reaccionar un paiacutes ante el descubrimiento de que otro gobierno ha sembrado sus sistemas de defensa con comandos cuya activacioacuten generariacutea consecuencias similares a las del bombardeo de esas instalaciones

Es loacutegico pensar que los diferentes paiacuteses con capacidades de ciberguerra preparan el campo de batalla ciberneacutetico en tiempos de paz Buscan las vulnerabilidades del potencial DISJLEDLHMiamp]ampEJampJEcRJLDKampGMLampHK^CQLDLampEREampEHEQJNDEamp]ampGCDaDLCMEampIJampPMNPDEampCTaHFDEamp]ampGRJLQDEamptraseras para poder utilizarlas ante un eventual enfrentamiento

Otro elemento que afecta profundamente a los caacutelculos sobre la disuasioacuten en ciber-guerra es la propia naturaleza de las armas con las que se combate (Libicki 2011) En la disuasioacuten convencional es habitual que los Estados hagan una demostracioacuten puacuteblica de sus arsenales para desanimar potenciales agresiones Los gobiernos no soacutelo recurren al efecto IJNMEQLDFHTKampJKampIJE^CJEampNHCHQDLJEamp]ampNDKHMPLDEampQDNPHVKampJNGCJDKampERampNJMLampDLNDNJKQMampJKampFMKUHFQMEampIMKIJiampDRKeRJampKMampJfHEQDampRKDampKJFJEHIDIampMGJLDFHMKDCiampGRJIDKampvDFJLampDCDLIJampIJampERampsuperioridad tecnoloacutegica

CIB

ER

GU

ER

RA

339Cuadro 2 Episodios destacados de ciberguerra

`HKampJNPDLaMiampCDEampFHPJLDLNDEampPDEDKampaLDKampGDLQJampIJampERampJ^FDFHDampJKampJCampEJFLJQMamp]ampCDampEMLGLJED_amprDampGMEHPHCHIDIampIJampIJEPDLDQDLampJampHK^CQLDLampCDampHKcLDJEQLRFQRLDampHKcMLNdQHFDampIJCampDISJLEDLHMampIJEFDK-sa generalmente en el descubrimiento de vulnerabilidades en el disentildeo de sus sistemas y el software que los mantiene operativos Son las llamadas zero-day vulnerabilities una serie de carencias y errores ineacuteditos que han pasado inadvertidos a los programadores o que una

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

332

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

uKampPRJKDampNJIHIDiampIHFvDampHKIJ^KHFHTKampQHJKJampERampMLHaJKampJKampCDampcDCQDampIJampcRKIDNJKQDFHTKampJNGgLHFDampEMPLJampCDampeRJampEJampEHJKQDKampCDEampLJUJfHMKJEampEMPLJampCDampFHPJLaRJLLDampwx]Jiampyz|_amptampJfFJG-cioacuten de varios incidentes puntuales hasta el momento no ha tenido lugar un enfrentamien-to beacutelico donde la ciberguerra haya desempentildeado un papel preferente Esto convierte el pensamiento sobre la ciberguerra en un saber con un alto contenido especulativo cuyas DEJSJLDFHMKJEampGRJIJKampSJLEJampGLMcRKIDNJKQJampNMIH^FDIDEampGMLampCDampJfGJLHJKFHDampIJampKRJSMEampJGH-sodios de enfrentamiento en el ciberespacio

Concepto y alcance de la ciberguerra

HFvDLIampt_amp~CDLJampwyzz|ampIJ^KJampCDampFHPJLaRJLLDampIJCampEHaRHJKQJampNMIMampse denomina ci-

berguerra cualquier penetracioacuten no autorizada por parte de en nombre de o en apoyo

a un gobierno en los ordenadores o las redes de otra nacioacuten en la que el propoacutesito es

7789lt7=gt979ltAltC7=B8DE79lt8FCA9G7E8HFltAltE7IB79lt7ABlt7ltAltJ9gtI9K79lt=lt7EI7AltCIFE8A-

namiento de un ordenador un dispositivo de red o los objetos controlados por el sistema

informaacutetico

En la ciberguerra las acciones tanto ofensivas como defensivas se transmiten a tra-veacutes de un lenguaje binario y de impulsos electromagneacuteticos pero sus efectos se pueden hacer sentir en el laquomundo realraquo Algunos analistas han considerado que junto al mar la tierra el aire y el espacio el ciberespacio constituye el quinto dominio en el cual se puede librar la guerra (Lynn 2010)

uCampGMIJLampIJEQLRFQHSMampIJampCDampFHPJLaRJLLDampEJampNDKH^JEQDampGLHKFHGDCNJKQJampDampQLDSVEampIJampERampFD-pacidad para incidir sobre los sistemas SCADA (acroacutenimo ingleacutes para Supervisioacuten Control y Adquisicioacuten de datos) La posibilidad de colapsar e incluso dantildear fiacutesicamente aacutembitos tales como los sistemas bancarios las redes globales de comunicacioacuten la regulacioacuten del QLd^FMampDVLJMamp]ampQJLLJEQLJiampJCampFMKQLMCampIJampHKcLDJEQLRFQRLDEampFLgQHFDEampIJampDPDEQJFHNHJKQMampJKJLaVQHFMamp]ampIJampDaRDiampJQF_iampCJEampFMK^JLJampCDampFDGDFHIDIampIJampDCQJLDLampaLDSJNJKQJampCDampJFMKMNgDamp]ampJCampcRKFHMKD-miento normal de un paiacutes No resulta por tanto sorprendente que el ministro de Defensa estonio llegase a equiparar el ciberataque que sufrioacute su paiacutes en 2007 con un bloqueo naval un tipo de accioacuten considerada tradicionalmente como un acto de guerra (Ruus 2008)

rMEampFHPJLDQDeRJEampDCFDKDKampERampNdfHNMampaLDIMampIJampJ^FDFHDampFMKQLDampDISJLEDLHMEampJEFDED-NJKQJampGLJGDLDIMEampGDLDampJEQJampQHGMampIJampDNJKDDEampJEampIJFHLiampDeRJCCMEampeRJampJEQdKampCMampER^FHJKQJ-mente desarrollados desde el punto de vista tecnoloacutegico como para depender de los siste-mas de informacioacuten pero que no cuentan con las capacidades para defenderse contra un DQDeRJampEM^EQHFDIMamp]ampGJLEHEQJKQJ_

CIB

ER

GU

ER

RA

333El recurso a la ciberguerra constituye una opcioacuten atractiva para los actores que buscan

estrategias asimeacutetricas de enfrentamiento contra adversarios mucho maacutes poderosos en el terreno militar convencional A diferencia de otros aacutembitos donde el desarrollo de capa-cidades militares requiere importantiacutesimas inversiones durante un prolongado espacio de tiempo en la generacioacuten de medios para la ciberguerra las barreras econoacutemicas y tempo-rales son mucho menores y no cabe la posibilidad de que un solo actor ejerza un dominio indisputado En ese sentido dotarse de capacidades ofensivas es incluso menos costoso que desarrollar mecanismos efectivos de ciberdefensa

Para entender el aacutembito en el cual se desenvuelve la ciberguerra es necesario identi-^FDLampJCampFHPJLJEGDFHMampFMNMampRKampJKQMLKMampFLJDIMampGMLampJCampvMNPLJamp]ampFMNGRJEQMampGMLampQLJEampKHSJCJEamp(Libicki 2009)

Nivel fiacutesico Se trata de las infraestructuras y equipamientos informaacuteticos que sus-tentan los sistemas de informacioacuten Sin este aacutembito laquomaterialraquo el resto de niveles que conforman el ciberespacio desapareceriacutean lo que le convierte en un posible objetivo de acciones armadas convencionales (operaciones cineacuteticas) para desbaratar las capacidades informaacuteticas de un determinado actor

Nivel sintaacutectico_amptPDLFDampCDEampHKEQLRFFHMKJEamp]ampFMK^aRLDFHMKJEampPdEHFDEampHKQLMIRFHIDEampGMLamplos disentildeadores y usuarios de los equipos informaacuteticos junto a los protocolos que permiten a los ordenadores comunicarse e interactuar entre siacute Eacuteste es el nivel sobre el cual actuacutean los hackers con el objeto de suplantar la autoridad de los responsables legiacutetimos y controlar el comportamiento de los equipos informaacuteticos o provocar un funcionamiento anoacutemalo

Nivel semaacutentico Engloba la informacioacuten que el equipo informaacutetico contiene inclu-yendo tanto los datos almacenados por el usuario como el software y los coacutedigos que permiten al ordenador desarrollar determinadas funciones Este nivel no siempre es faacutecil-mente distinguible del sintaacutectico

En la praacutectica los diferentes actores que usan el ciberespacio se encuentran a mili-EJaRKIMEampRKMEampIJampMQLMEiampCMampeRJampJfGCHFDampeRJampJKampJEQJampdNPHQMampCDEampIHEQDKFHDEampaJMaLd^FDEampEJDKampirrelevantes Dicha circunstancia incrementa el nuacutemero de participantes en la ciberguerra puesto que da acceso a nuevos actores que en el pasado quedaban excluidos por la se-paracioacuten fiacutesica o temporal La muerte de la distanciaampERGMKJampeRJampCMEampFMKUHFQMEampDLNDIMEiampHKFCREMamp CMEampIJampGJeRJbDampJEFDCDiamp EJDKampIHcgFHCJEampIJampDHECDLampaJMaLd^FDNJKQJ_ampuCamp FHPJLJEGDFHMampfacilita que los episodios beacutelicos desborden su aacutembito regional y puedan alcanzar un im-pacto global bien por sus dantildeos colaterales en actividades y ciberinfraestructuras de base internacional o por su capacidad de movilizar a los gobiernos y a la opinioacuten puacuteblica de otros paiacuteses (Betz amp Stevens 2011)

No obstante la ciberguerra es una actividad protagonizada fundamentalmente por Es-tados La capacidad de generar dantildeos de gran magnitud empleando uacutenicamente el ciberes-

334

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

pacio exige un nivel de recursos materiales y conocimientos teacutecnicos que no se encuentran actualmente al alcance de los actores no estatales Los grupos terroristas o criminales ocu-pan un lugar en el aacutembito de la ciberseguridad pero el nivel de amenaza que representan es menor Dotarse de capacidades reales de ciberguerra es un proceso complejo implica un considerable coste econoacutemico y requiere recursos humanos con un elevadiacutesimo nivel IJampFRDCH^FDFHTKampQVFKHFD_amphLMQDaMKHDLampDFFHMKJEampvMEQHCJEampIJamphackeo o robo de informacioacuten a traveacutes de internet no convierte automaacuteticamente a delincuentes y terroristas en cibergue-rreros del mismo modo que la posesioacuten de submarinos de bolsillo por parte de los carteles de la droga colombianos no les dota de una fuerza naval capaz de pugnar por el dominio del espacio mariacutetimo

Cuadro 1 iquestCiberterrorismo

678799lt=gt7A9ltB9CDgtEDDB9FEG9GFDHBD9lt9IHDJ9G9gtDEF79HDD7DHB9G-779 G9 DBltLBD9 M8gtBNBHIHBG7OP9 QI9 8CBDgt7A9 GRB9 BFDB7I9 I79 7I9IBGB9STlt9G9BHSBDP9UDgtBILB7I97879Vlt9WBGB9RBI9XFD8IHBG797I9medios de ciberguerra con resultados miacutenimos Incapaces de acceder a los recursos 8BHDBlt9k9Blt9BFHBlt9RE8BI79lE98BDB9lt9FEIH79G9ImX=IA9E9B7I9RBI9G79ltB9FD7FB9G9EI9RBnD9BEH7GGBHBA9I79kIG798T9BltltT9Glt9BC7HBo9G9H79pCA9D7I78IH79G97CoHq79k9D7C79G9GBH79FD7IBlt9B9HDBqJ9G9IHDIHP9Para los grupos terroristas la posibilidad de hacer caer redes bancarias provocar GBv79I98CBlt9k9IHDBlt9ltJHDB9797ltBFBD9lt9HDTw79BJD797IHHEk9B9GxB9G9R7k9EI97CoHq79IBltBILBCltP9QI98CBDgt7A9FBDB9BltgtEI79BEH7DA9ltB9BGlE=I9G9HB9BFBGBG99EIB98DB9EH=I9 H8F7DBltP9VxA9F7D9o8Flt7A9gtyI9lt9BIHgtE79GDH7D9IB7IBlt9G9zIHltgtIB9G9HBG79|IG7A9n967IIltlt~9Tarde

$amp()+-amp$((+0()1(2)+(03$450(06)78-(+9$+(

amp+$(06))0+$(6+9$220+lt=$gtA7

Los problemas de atribucioacuten

Una de las principales particularidades de la ciberguerra reside en los problemas de atribucioacuten de responsabilidades Un ciberataque no siempre deja tras de siacute una estela que pueda ser rastreada hasta llegar al responsable Los procesos de investigacioacuten forense son complejos teacutecnicamente y consumen gran cantidad de tiempo y esfuerzo Los ataques pue-den ejecutarse utilizando de manera temporal cientos de miles de ordenadores repartidos por todo el planeta sin el conocimiento de sus propietarios Utilizar un ejeacutercito de zombis es una condicioacuten teacutecnica para desarrollar la accioacuten y ademaacutes permite enmarantildear las res-GMKEDPHCHIDIJEamp]ampIH^FRCQDLampCDampLJEGRJEQD_

CIB

ER

GU

ER

RA

335Los paiacuteses atacados se ven en la necesidad de gestionar las consecuencias del ataque

pero tambieacuten de articular de manera inmediata una respuesta frente a una agresioacuten que procede de diferentes puntos del planeta sin que pueda conocerse la culpabilidad real de cada uno de los equipos atacantes

En este sentido una de las facetas maacutes controvertida del uso de la ciberguerra como recurso de poder es la compleja relacioacuten que se establece entre los Estados y los actores no estatales Aunque como se ha sentildealado anteriormente la posibilidad de hacer realidad algunas de las dimensiones maacutes destructivas de la ciberguerra estaacute reservada a algunos Estados sin embargo los grupos de hackers y otros elementos que actuacutean fuera de las estructuras estatales pueden ejercer un papel complementario en este tipo de operaciones

Los Estados pueden alentar tolerar e incluso subcontratar a estos grupos para que lle-ven a cabo ciberataques en la liacutenea de los intereses gubernamentales La motivacioacuten de los actores privados puede oscilar entre el patriotismo el narcisismo teacutecnico o el mero lucro criminal Su existencia otorga a los Estados patrocinadores una serie de ventajas Asiacute por ejemplo las unidades de ciberguerra del paiacutes pueden llevar a cabo operaciones encubier-tas negando su responsabilidad ante un ataque que parta de su territorio y atribuyendo su origen a la iniciativa de grupos descontrolados que no siguen directrices gubernamentales De este modo los Estados pueden contratar los servicios de organizaciones dedicadas a la ciberdelincuencia para llevar a cabo operaciones de menor envergadura disipando su res-GMKEDPHCHIDIiamp]ampIH^FRCQDKIMampCDEampLJGLJEDCHDEampIJCampGDgEampDQDFDIM_amptEgiampGMLampJJNGCMiampRKampJfGJLQMampJKampFHPJLaRJLLDampIJampCDamptxampKMampIRIDPDampJKampD^LNDLampsi quieres tener una cibercapacidad de

negacioacuten plausible necesitas ser capaz de aceptar cierto nivel de cibercrimen (Klimburg 2010 43)

Es loacutegico por tanto que algunos gobiernos encuentren uacutetil la existencia dentro de sus fronteras de una amplia comunidad de ciberdelincuentes la cual puede ser utilizada a modo de reserva estrateacutegica cuando las necesidades del enfrentamiento en el ciberes-pacio lo aconsejen Asiacute por ejemplo se especula con la posibilidad de que el virus Stux-net responsable del ataque contra el programa nuclear iraniacute habriacutea sido desarrollado en diferentes fragmentos por distintos equipos que no tendriacutean conexioacuten ni conocimiento JKQLJampJCCME_amprMampFRDCampLJUJDampeRJampJCampGLM]JFQMampGMILgDampvDPJLampEHIMampJKFDLaDIMampDampIHcJLJKQJEampMLaD-nizaciones algunas de ellas relacionadas con el cibercrimen (Broad Markoff amp Sanger 2011)

336

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Ideas clave

B9 CDgtEDDB9 9 EIB9 7F=I9 BHDBHqB9 HBIH79 FBDB9 HBG79 F7GD77A97879FBDB9BH7D9lE9CEBI9HDBHgtB9B8JHDB9G9ISDIHB8IH797IHDB9BGqDBD798ER798T9SEDH9I9lt9T8CH797IqI7IBltP

B9CDgtEDDB99EIB9BHqGBG9FD7HBgt7ILBGB9SEIGB8IHBlt8IH9F7D9-HBG7P9Q7I9JH79lt79lE9F7I9lt79DED798BHDBlt9k9HJI79IB-D79FBDB97IqDHD9lt9CDFB79I9EI9IBD79G97ImH79CJlt7P

79HBG79FEGI9DqD9G9BH7D9FDqBG79FBDB9F7HIBD9E9B-FBGBG9G9CDgtEDDB9k9GSE8IBD9E9DF7IBCltGBGP

Disuasioacuten y represalias a traveacutes del ciberespacio

Los Estados tratan de disuadir a sus potenciales enemigos desarrollando capacidades de respuesta que les permitan sobrevivir y responder militarmente a una agresioacuten previa rDampFDGDFHIDIampIJampHKUHaHLampRKampIDbMampEHNHCDLampMampND]MLampDCampFDREDIMampLJIRFJampCMEampHKFJKQHSMEampIJampRKampprimer ataque Sin embargo en el aacutembito de la ciberguerra este razonamiento pierde parte IJampERampJ^FDFHD_

En primer lugar es posible que un Estado posea los medios teacutecnicos y humanos necesarios para realizar una agresioacuten de ciberguerra contra otro Estado pero al mismo tiempo puede ser inmune en gran medida a una ciberrepresalia Esto es lo que sucede por ejemplo con Corea del Norte cuyo aislamiento del resto del mundo la mantiene desconec-tada de las redes globales de comunicacioacuten comercio e intercambio de informacioacuten que podriacutean ser utilizadas en un ciberataque La posibilidad de desplazar las represalias hacia otros aacutembitos como un mayor incremento de las sanciones econoacutemicas o diplomaacuteticas ha IJNMEQLDIMampvHEQTLHFDNJKQJampRKDampLJIRFHIDampJ^FDFHD_ampuCampREMampIJampLJGLJEDCHDEampNHCHQDLJEampFMKSJK-cionales soacutelo seriacutea viable si sus consecuencias fuesen proporcionales al dantildeo causado por el ciberataque Sin embargo un ataque contra un reacutegimen como el norcoreano provocariacutea seguramente una escalada beacutelica enormemente peligrosa

La legitimidad de una respuesta de este tipo queda igualmente en entredicho si la opinioacuten puacuteblica no percibe cierta equidad entre la agresioacuten y la respuesta En ocasiones es posible que la sociedad desconozca la existencia o la magnitud de una agresioacuten ciberneacutetica sobre todo si eacutesta ha consistido en acciones preparatorias para hacer viable en el futuro un ciberataque de gran escala o para facilitar una accioacuten militar convencional

CIB

ER

GU

ER

RA

337En el aacutembito del ciberespacio las agresiones pueden ser muy graves sin que por

ello sus consecuencias resulten visibles En ocasiones los Estados afectados pueden ser los primeros interesados en no divulgar la existencia del ataque Aunque en senti-do estricto no suponen actos de ciberguerra algunos paiacuteses como por ejemplo Rusia y China han sacado partido a sus capacidades en este aacutembito para llevar a cabo opera-FHMKJEampIJampFHPJLJEGHMKDJampDampQLDSVEampIJampCDampHK^CQLDFHTKampIJampCDEampLJIJEampHKcMLNdQHFDEamp]ampJCampLMPMampagresivo de secretos de sus adversarios Las viacutectimas pueden sentirse tentadas a no di-vulgar puacuteblicamente la existencia de acciones que ponen en evidencia las vulnerabili-dades en sus propios sistemas o la fuga de informacioacuten susceptible de comprometer la seguridad nacional La necesidad de mantener el secreto y por tanto la imposibilidad de concitar apoyos entre la opinioacuten puacuteblica reduce el abanico de posibles respuestas ante el agresor Asiacute por ejemplo se especula con que el bombardeo producido en sep-tiembre de 2007 por parte de la aviacioacuten israeliacute contra un reactor nuclear en construc-cioacuten en territorio sirio fue posible por una accioacuten previa de ciberguerra que engantildeoacute a los sistemas antiaeacutereos de Siria e hizo posible la penetracioacuten en su espacio aeacutereo (Clarke 2010) La necesidad de no transmitir debilidad ante el fracaso de los recieacuten adquiridos y costosos sistemas de radar rusos explicariacutea la contradictoria y dubitativa respuesta que tuvo el gobierno sirio que no pudo incluir en su lista de agravios contra de Israel el ciberataque sufrido

En otros casos los paiacuteses afectados pueden verse tentados a minimizar la gravedad de un ciberagresioacuten para eludir sus responsabilidades o para no asumir que se encuentran JKSRJCQMEampJKampRKampFMKUHFQMampcLJKQJampDampRKampJKJNHaMampGMIJLMEMampwMLLJEiampyz|_amphMIJNMEampJKFMKQLDLampun ejemplo en la reaccioacuten de la OTAN ante los ciberataques contra Estonia en 2007 El gobierno de este pequentildeo Estado acusoacute a Rusia de estar detraacutes de una serie de ataques ci-berneacuteticos dirigidos contra los sitios web gubernamentales al tiempo que como miembro de OTAN invocaba el artiacuteculo V del Tratado referido a la obligacioacuten de defensa mutua entre todos los aliados ante la agresioacuten a uno de sus miembros Sin embargo la perspectiva de iniciar una confrontacioacuten armada contra Rusia como respuesta a dantildeos producidos en el aacutembito virtual no resultoacute apetecible para sus miembros y eludieron catalogar los cibera-QDeRJEampFMKQLDampuEQMKHDampFMNMampRKampFDEMampIJampDaLJEHTKampNHCHQDLampeRJampREQH^FDEJampCDampDFQHSDFHTKampIJampCDampclaacuteusula de defensa mutua

Maacutes compleja aun es la respuesta hacia operaciones de ciberguerra cuyos efectos son un peligro potencial como por ejemplo las llamadas bombas loacutegicas Bajo esta denomi-nacioacuten se aglutina un amplio conjunto de operaciones de software cuyo propoacutesito consiste en permitir al manipulador disponer de una puerta trasera (y oculta) en los sistemas de su enemigo para utilizarla cuando considere necesario provocar dantildeos al sistema o lograr que eacuteste lleve a cabo un comportamiento anoacutemalo Asiacute por ejemplo una de las formas maacutes simples pero maacutes efectivas de bomba loacutegica son los comandos destinados a borrar toda la informacioacuten contenida en el equipo donde se encuentra alojada incluyendo la propia bomba Esto supone la posibilidad de llevar a cabo un ataque que no deja rastro y que

338

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

puede inutilizar los sistemas informaacuteticos del enemigo Otras versiones maacutes avanzadas de las bombas loacutegicas son aquellos comandos que propician que el hardware se provoque a siacute mismo dantildeos a traveacutes de una subida de tensioacuten eleacutectrica un aumento de temperatura o cualquier otra operacioacuten que provoque un estrago iquestCoacutemo deberiacutea reaccionar un paiacutes ante el descubrimiento de que otro gobierno ha sembrado sus sistemas de defensa con comandos cuya activacioacuten generariacutea consecuencias similares a las del bombardeo de esas instalaciones

Es loacutegico pensar que los diferentes paiacuteses con capacidades de ciberguerra preparan el campo de batalla ciberneacutetico en tiempos de paz Buscan las vulnerabilidades del potencial DISJLEDLHMiamp]ampEJampJEcRJLDKampGMLampHK^CQLDLampEREampEHEQJNDEamp]ampGCDaDLCMEampIJampPMNPDEampCTaHFDEamp]ampGRJLQDEamptraseras para poder utilizarlas ante un eventual enfrentamiento

Otro elemento que afecta profundamente a los caacutelculos sobre la disuasioacuten en ciber-guerra es la propia naturaleza de las armas con las que se combate (Libicki 2011) En la disuasioacuten convencional es habitual que los Estados hagan una demostracioacuten puacuteblica de sus arsenales para desanimar potenciales agresiones Los gobiernos no soacutelo recurren al efecto IJNMEQLDFHTKampJKampIJE^CJEampNHCHQDLJEamp]ampNDKHMPLDEampQDNPHVKampJNGCJDKampERampNJMLampDLNDNJKQMampJKampFMKUHFQMEampIMKIJiampDRKeRJampKMampJfHEQDampRKDampKJFJEHIDIampMGJLDFHMKDCiampGRJIDKampvDFJLampDCDLIJampIJampERampsuperioridad tecnoloacutegica

CIB

ER

GU

ER

RA

339Cuadro 2 Episodios destacados de ciberguerra

`HKampJNPDLaMiampCDEampFHPJLDLNDEampPDEDKampaLDKampGDLQJampIJampERampJ^FDFHDampJKampJCampEJFLJQMamp]ampCDampEMLGLJED_amprDampGMEHPHCHIDIampIJampIJEPDLDQDLampJampHK^CQLDLampCDampHKcLDJEQLRFQRLDampHKcMLNdQHFDampIJCampDISJLEDLHMampIJEFDK-sa generalmente en el descubrimiento de vulnerabilidades en el disentildeo de sus sistemas y el software que los mantiene operativos Son las llamadas zero-day vulnerabilities una serie de carencias y errores ineacuteditos que han pasado inadvertidos a los programadores o que una

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

CIB

ER

GU

ER

RA

333El recurso a la ciberguerra constituye una opcioacuten atractiva para los actores que buscan

estrategias asimeacutetricas de enfrentamiento contra adversarios mucho maacutes poderosos en el terreno militar convencional A diferencia de otros aacutembitos donde el desarrollo de capa-cidades militares requiere importantiacutesimas inversiones durante un prolongado espacio de tiempo en la generacioacuten de medios para la ciberguerra las barreras econoacutemicas y tempo-rales son mucho menores y no cabe la posibilidad de que un solo actor ejerza un dominio indisputado En ese sentido dotarse de capacidades ofensivas es incluso menos costoso que desarrollar mecanismos efectivos de ciberdefensa

Para entender el aacutembito en el cual se desenvuelve la ciberguerra es necesario identi-^FDLampJCampFHPJLJEGDFHMampFMNMampRKampJKQMLKMampFLJDIMampGMLampJCampvMNPLJamp]ampFMNGRJEQMampGMLampQLJEampKHSJCJEamp(Libicki 2009)

Nivel fiacutesico Se trata de las infraestructuras y equipamientos informaacuteticos que sus-tentan los sistemas de informacioacuten Sin este aacutembito laquomaterialraquo el resto de niveles que conforman el ciberespacio desapareceriacutean lo que le convierte en un posible objetivo de acciones armadas convencionales (operaciones cineacuteticas) para desbaratar las capacidades informaacuteticas de un determinado actor

Nivel sintaacutectico_amptPDLFDampCDEampHKEQLRFFHMKJEamp]ampFMK^aRLDFHMKJEampPdEHFDEampHKQLMIRFHIDEampGMLamplos disentildeadores y usuarios de los equipos informaacuteticos junto a los protocolos que permiten a los ordenadores comunicarse e interactuar entre siacute Eacuteste es el nivel sobre el cual actuacutean los hackers con el objeto de suplantar la autoridad de los responsables legiacutetimos y controlar el comportamiento de los equipos informaacuteticos o provocar un funcionamiento anoacutemalo

Nivel semaacutentico Engloba la informacioacuten que el equipo informaacutetico contiene inclu-yendo tanto los datos almacenados por el usuario como el software y los coacutedigos que permiten al ordenador desarrollar determinadas funciones Este nivel no siempre es faacutecil-mente distinguible del sintaacutectico

En la praacutectica los diferentes actores que usan el ciberespacio se encuentran a mili-EJaRKIMEampRKMEampIJampMQLMEiampCMampeRJampJfGCHFDampeRJampJKampJEQJampdNPHQMampCDEampIHEQDKFHDEampaJMaLd^FDEampEJDKampirrelevantes Dicha circunstancia incrementa el nuacutemero de participantes en la ciberguerra puesto que da acceso a nuevos actores que en el pasado quedaban excluidos por la se-paracioacuten fiacutesica o temporal La muerte de la distanciaampERGMKJampeRJampCMEampFMKUHFQMEampDLNDIMEiampHKFCREMamp CMEampIJampGJeRJbDampJEFDCDiamp EJDKampIHcgFHCJEampIJampDHECDLampaJMaLd^FDNJKQJ_ampuCamp FHPJLJEGDFHMampfacilita que los episodios beacutelicos desborden su aacutembito regional y puedan alcanzar un im-pacto global bien por sus dantildeos colaterales en actividades y ciberinfraestructuras de base internacional o por su capacidad de movilizar a los gobiernos y a la opinioacuten puacuteblica de otros paiacuteses (Betz amp Stevens 2011)

No obstante la ciberguerra es una actividad protagonizada fundamentalmente por Es-tados La capacidad de generar dantildeos de gran magnitud empleando uacutenicamente el ciberes-

334

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

pacio exige un nivel de recursos materiales y conocimientos teacutecnicos que no se encuentran actualmente al alcance de los actores no estatales Los grupos terroristas o criminales ocu-pan un lugar en el aacutembito de la ciberseguridad pero el nivel de amenaza que representan es menor Dotarse de capacidades reales de ciberguerra es un proceso complejo implica un considerable coste econoacutemico y requiere recursos humanos con un elevadiacutesimo nivel IJampFRDCH^FDFHTKampQVFKHFD_amphLMQDaMKHDLampDFFHMKJEampvMEQHCJEampIJamphackeo o robo de informacioacuten a traveacutes de internet no convierte automaacuteticamente a delincuentes y terroristas en cibergue-rreros del mismo modo que la posesioacuten de submarinos de bolsillo por parte de los carteles de la droga colombianos no les dota de una fuerza naval capaz de pugnar por el dominio del espacio mariacutetimo

Cuadro 1 iquestCiberterrorismo

678799lt=gt7A9ltB9CDgtEDDB9FEG9GFDHBD9lt9IHDJ9G9gtDEF79HDD7DHB9G-779 G9 DBltLBD9 M8gtBNBHIHBG7OP9 QI9 8CBDgt7A9 GRB9 BFDB7I9 I79 7I9IBGB9STlt9G9BHSBDP9UDgtBILB7I97879Vlt9WBGB9RBI9XFD8IHBG797I9medios de ciberguerra con resultados miacutenimos Incapaces de acceder a los recursos 8BHDBlt9k9Blt9BFHBlt9RE8BI79lE98BDB9lt9FEIH79G9ImX=IA9E9B7I9RBI9G79ltB9FD7FB9G9EI9RBnD9BEH7GGBHBA9I79kIG798T9BltltT9Glt9BC7HBo9G9H79pCA9D7I78IH79G97CoHq79k9D7C79G9GBH79FD7IBlt9B9HDBqJ9G9IHDIHP9Para los grupos terroristas la posibilidad de hacer caer redes bancarias provocar GBv79I98CBlt9k9IHDBlt9ltJHDB9797ltBFBD9lt9HDTw79BJD797IHHEk9B9GxB9G9R7k9EI97CoHq79IBltBILBCltP9QI98CBDgt7A9FBDB9BltgtEI79BEH7DA9ltB9BGlE=I9G9HB9BFBGBG99EIB98DB9EH=I9 H8F7DBltP9VxA9F7D9o8Flt7A9gtyI9lt9BIHgtE79GDH7D9IB7IBlt9G9zIHltgtIB9G9HBG79|IG7A9n967IIltlt~9Tarde

$amp()+-amp$((+0()1(2)+(03$450(06)78-(+9$+(

amp+$(06))0+$(6+9$220+lt=$gtA7

Los problemas de atribucioacuten

Una de las principales particularidades de la ciberguerra reside en los problemas de atribucioacuten de responsabilidades Un ciberataque no siempre deja tras de siacute una estela que pueda ser rastreada hasta llegar al responsable Los procesos de investigacioacuten forense son complejos teacutecnicamente y consumen gran cantidad de tiempo y esfuerzo Los ataques pue-den ejecutarse utilizando de manera temporal cientos de miles de ordenadores repartidos por todo el planeta sin el conocimiento de sus propietarios Utilizar un ejeacutercito de zombis es una condicioacuten teacutecnica para desarrollar la accioacuten y ademaacutes permite enmarantildear las res-GMKEDPHCHIDIJEamp]ampIH^FRCQDLampCDampLJEGRJEQD_

CIB

ER

GU

ER

RA

335Los paiacuteses atacados se ven en la necesidad de gestionar las consecuencias del ataque

pero tambieacuten de articular de manera inmediata una respuesta frente a una agresioacuten que procede de diferentes puntos del planeta sin que pueda conocerse la culpabilidad real de cada uno de los equipos atacantes

En este sentido una de las facetas maacutes controvertida del uso de la ciberguerra como recurso de poder es la compleja relacioacuten que se establece entre los Estados y los actores no estatales Aunque como se ha sentildealado anteriormente la posibilidad de hacer realidad algunas de las dimensiones maacutes destructivas de la ciberguerra estaacute reservada a algunos Estados sin embargo los grupos de hackers y otros elementos que actuacutean fuera de las estructuras estatales pueden ejercer un papel complementario en este tipo de operaciones

Los Estados pueden alentar tolerar e incluso subcontratar a estos grupos para que lle-ven a cabo ciberataques en la liacutenea de los intereses gubernamentales La motivacioacuten de los actores privados puede oscilar entre el patriotismo el narcisismo teacutecnico o el mero lucro criminal Su existencia otorga a los Estados patrocinadores una serie de ventajas Asiacute por ejemplo las unidades de ciberguerra del paiacutes pueden llevar a cabo operaciones encubier-tas negando su responsabilidad ante un ataque que parta de su territorio y atribuyendo su origen a la iniciativa de grupos descontrolados que no siguen directrices gubernamentales De este modo los Estados pueden contratar los servicios de organizaciones dedicadas a la ciberdelincuencia para llevar a cabo operaciones de menor envergadura disipando su res-GMKEDPHCHIDIiamp]ampIH^FRCQDKIMampCDEampLJGLJEDCHDEampIJCampGDgEampDQDFDIM_amptEgiampGMLampJJNGCMiampRKampJfGJLQMampJKampFHPJLaRJLLDampIJampCDamptxampKMampIRIDPDampJKampD^LNDLampsi quieres tener una cibercapacidad de

negacioacuten plausible necesitas ser capaz de aceptar cierto nivel de cibercrimen (Klimburg 2010 43)

Es loacutegico por tanto que algunos gobiernos encuentren uacutetil la existencia dentro de sus fronteras de una amplia comunidad de ciberdelincuentes la cual puede ser utilizada a modo de reserva estrateacutegica cuando las necesidades del enfrentamiento en el ciberes-pacio lo aconsejen Asiacute por ejemplo se especula con la posibilidad de que el virus Stux-net responsable del ataque contra el programa nuclear iraniacute habriacutea sido desarrollado en diferentes fragmentos por distintos equipos que no tendriacutean conexioacuten ni conocimiento JKQLJampJCCME_amprMampFRDCampLJUJDampeRJampJCampGLM]JFQMampGMILgDampvDPJLampEHIMampJKFDLaDIMampDampIHcJLJKQJEampMLaD-nizaciones algunas de ellas relacionadas con el cibercrimen (Broad Markoff amp Sanger 2011)

336

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Ideas clave

B9 CDgtEDDB9 9 EIB9 7F=I9 BHDBHqB9 HBIH79 FBDB9 HBG79 F7GD77A97879FBDB9BH7D9lE9CEBI9HDBHgtB9B8JHDB9G9ISDIHB8IH797IHDB9BGqDBD798ER798T9SEDH9I9lt9T8CH797IqI7IBltP

B9CDgtEDDB99EIB9BHqGBG9FD7HBgt7ILBGB9SEIGB8IHBlt8IH9F7D9-HBG7P9Q7I9JH79lt79lE9F7I9lt79DED798BHDBlt9k9HJI79IB-D79FBDB97IqDHD9lt9CDFB79I9EI9IBD79G97ImH79CJlt7P

79HBG79FEGI9DqD9G9BH7D9FDqBG79FBDB9F7HIBD9E9B-FBGBG9G9CDgtEDDB9k9GSE8IBD9E9DF7IBCltGBGP

Disuasioacuten y represalias a traveacutes del ciberespacio

Los Estados tratan de disuadir a sus potenciales enemigos desarrollando capacidades de respuesta que les permitan sobrevivir y responder militarmente a una agresioacuten previa rDampFDGDFHIDIampIJampHKUHaHLampRKampIDbMampEHNHCDLampMampND]MLampDCampFDREDIMampLJIRFJampCMEampHKFJKQHSMEampIJampRKampprimer ataque Sin embargo en el aacutembito de la ciberguerra este razonamiento pierde parte IJampERampJ^FDFHD_

En primer lugar es posible que un Estado posea los medios teacutecnicos y humanos necesarios para realizar una agresioacuten de ciberguerra contra otro Estado pero al mismo tiempo puede ser inmune en gran medida a una ciberrepresalia Esto es lo que sucede por ejemplo con Corea del Norte cuyo aislamiento del resto del mundo la mantiene desconec-tada de las redes globales de comunicacioacuten comercio e intercambio de informacioacuten que podriacutean ser utilizadas en un ciberataque La posibilidad de desplazar las represalias hacia otros aacutembitos como un mayor incremento de las sanciones econoacutemicas o diplomaacuteticas ha IJNMEQLDIMampvHEQTLHFDNJKQJampRKDampLJIRFHIDampJ^FDFHD_ampuCampREMampIJampLJGLJEDCHDEampNHCHQDLJEampFMKSJK-cionales soacutelo seriacutea viable si sus consecuencias fuesen proporcionales al dantildeo causado por el ciberataque Sin embargo un ataque contra un reacutegimen como el norcoreano provocariacutea seguramente una escalada beacutelica enormemente peligrosa

La legitimidad de una respuesta de este tipo queda igualmente en entredicho si la opinioacuten puacuteblica no percibe cierta equidad entre la agresioacuten y la respuesta En ocasiones es posible que la sociedad desconozca la existencia o la magnitud de una agresioacuten ciberneacutetica sobre todo si eacutesta ha consistido en acciones preparatorias para hacer viable en el futuro un ciberataque de gran escala o para facilitar una accioacuten militar convencional

CIB

ER

GU

ER

RA

337En el aacutembito del ciberespacio las agresiones pueden ser muy graves sin que por

ello sus consecuencias resulten visibles En ocasiones los Estados afectados pueden ser los primeros interesados en no divulgar la existencia del ataque Aunque en senti-do estricto no suponen actos de ciberguerra algunos paiacuteses como por ejemplo Rusia y China han sacado partido a sus capacidades en este aacutembito para llevar a cabo opera-FHMKJEampIJampFHPJLJEGHMKDJampDampQLDSVEampIJampCDampHK^CQLDFHTKampIJampCDEampLJIJEampHKcMLNdQHFDEamp]ampJCampLMPMampagresivo de secretos de sus adversarios Las viacutectimas pueden sentirse tentadas a no di-vulgar puacuteblicamente la existencia de acciones que ponen en evidencia las vulnerabili-dades en sus propios sistemas o la fuga de informacioacuten susceptible de comprometer la seguridad nacional La necesidad de mantener el secreto y por tanto la imposibilidad de concitar apoyos entre la opinioacuten puacuteblica reduce el abanico de posibles respuestas ante el agresor Asiacute por ejemplo se especula con que el bombardeo producido en sep-tiembre de 2007 por parte de la aviacioacuten israeliacute contra un reactor nuclear en construc-cioacuten en territorio sirio fue posible por una accioacuten previa de ciberguerra que engantildeoacute a los sistemas antiaeacutereos de Siria e hizo posible la penetracioacuten en su espacio aeacutereo (Clarke 2010) La necesidad de no transmitir debilidad ante el fracaso de los recieacuten adquiridos y costosos sistemas de radar rusos explicariacutea la contradictoria y dubitativa respuesta que tuvo el gobierno sirio que no pudo incluir en su lista de agravios contra de Israel el ciberataque sufrido

En otros casos los paiacuteses afectados pueden verse tentados a minimizar la gravedad de un ciberagresioacuten para eludir sus responsabilidades o para no asumir que se encuentran JKSRJCQMEampJKampRKampFMKUHFQMampcLJKQJampDampRKampJKJNHaMampGMIJLMEMampwMLLJEiampyz|_amphMIJNMEampJKFMKQLDLampun ejemplo en la reaccioacuten de la OTAN ante los ciberataques contra Estonia en 2007 El gobierno de este pequentildeo Estado acusoacute a Rusia de estar detraacutes de una serie de ataques ci-berneacuteticos dirigidos contra los sitios web gubernamentales al tiempo que como miembro de OTAN invocaba el artiacuteculo V del Tratado referido a la obligacioacuten de defensa mutua entre todos los aliados ante la agresioacuten a uno de sus miembros Sin embargo la perspectiva de iniciar una confrontacioacuten armada contra Rusia como respuesta a dantildeos producidos en el aacutembito virtual no resultoacute apetecible para sus miembros y eludieron catalogar los cibera-QDeRJEampFMKQLDampuEQMKHDampFMNMampRKampFDEMampIJampDaLJEHTKampNHCHQDLampeRJampREQH^FDEJampCDampDFQHSDFHTKampIJampCDampclaacuteusula de defensa mutua

Maacutes compleja aun es la respuesta hacia operaciones de ciberguerra cuyos efectos son un peligro potencial como por ejemplo las llamadas bombas loacutegicas Bajo esta denomi-nacioacuten se aglutina un amplio conjunto de operaciones de software cuyo propoacutesito consiste en permitir al manipulador disponer de una puerta trasera (y oculta) en los sistemas de su enemigo para utilizarla cuando considere necesario provocar dantildeos al sistema o lograr que eacuteste lleve a cabo un comportamiento anoacutemalo Asiacute por ejemplo una de las formas maacutes simples pero maacutes efectivas de bomba loacutegica son los comandos destinados a borrar toda la informacioacuten contenida en el equipo donde se encuentra alojada incluyendo la propia bomba Esto supone la posibilidad de llevar a cabo un ataque que no deja rastro y que

338

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

puede inutilizar los sistemas informaacuteticos del enemigo Otras versiones maacutes avanzadas de las bombas loacutegicas son aquellos comandos que propician que el hardware se provoque a siacute mismo dantildeos a traveacutes de una subida de tensioacuten eleacutectrica un aumento de temperatura o cualquier otra operacioacuten que provoque un estrago iquestCoacutemo deberiacutea reaccionar un paiacutes ante el descubrimiento de que otro gobierno ha sembrado sus sistemas de defensa con comandos cuya activacioacuten generariacutea consecuencias similares a las del bombardeo de esas instalaciones

Es loacutegico pensar que los diferentes paiacuteses con capacidades de ciberguerra preparan el campo de batalla ciberneacutetico en tiempos de paz Buscan las vulnerabilidades del potencial DISJLEDLHMiamp]ampEJampJEcRJLDKampGMLampHK^CQLDLampEREampEHEQJNDEamp]ampGCDaDLCMEampIJampPMNPDEampCTaHFDEamp]ampGRJLQDEamptraseras para poder utilizarlas ante un eventual enfrentamiento

Otro elemento que afecta profundamente a los caacutelculos sobre la disuasioacuten en ciber-guerra es la propia naturaleza de las armas con las que se combate (Libicki 2011) En la disuasioacuten convencional es habitual que los Estados hagan una demostracioacuten puacuteblica de sus arsenales para desanimar potenciales agresiones Los gobiernos no soacutelo recurren al efecto IJNMEQLDFHTKampJKampIJE^CJEampNHCHQDLJEamp]ampNDKHMPLDEampQDNPHVKampJNGCJDKampERampNJMLampDLNDNJKQMampJKampFMKUHFQMEampIMKIJiampDRKeRJampKMampJfHEQDampRKDampKJFJEHIDIampMGJLDFHMKDCiampGRJIDKampvDFJLampDCDLIJampIJampERampsuperioridad tecnoloacutegica

CIB

ER

GU

ER

RA

339Cuadro 2 Episodios destacados de ciberguerra

`HKampJNPDLaMiampCDEampFHPJLDLNDEampPDEDKampaLDKampGDLQJampIJampERampJ^FDFHDampJKampJCampEJFLJQMamp]ampCDampEMLGLJED_amprDampGMEHPHCHIDIampIJampIJEPDLDQDLampJampHK^CQLDLampCDampHKcLDJEQLRFQRLDampHKcMLNdQHFDampIJCampDISJLEDLHMampIJEFDK-sa generalmente en el descubrimiento de vulnerabilidades en el disentildeo de sus sistemas y el software que los mantiene operativos Son las llamadas zero-day vulnerabilities una serie de carencias y errores ineacuteditos que han pasado inadvertidos a los programadores o que una

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

334

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

pacio exige un nivel de recursos materiales y conocimientos teacutecnicos que no se encuentran actualmente al alcance de los actores no estatales Los grupos terroristas o criminales ocu-pan un lugar en el aacutembito de la ciberseguridad pero el nivel de amenaza que representan es menor Dotarse de capacidades reales de ciberguerra es un proceso complejo implica un considerable coste econoacutemico y requiere recursos humanos con un elevadiacutesimo nivel IJampFRDCH^FDFHTKampQVFKHFD_amphLMQDaMKHDLampDFFHMKJEampvMEQHCJEampIJamphackeo o robo de informacioacuten a traveacutes de internet no convierte automaacuteticamente a delincuentes y terroristas en cibergue-rreros del mismo modo que la posesioacuten de submarinos de bolsillo por parte de los carteles de la droga colombianos no les dota de una fuerza naval capaz de pugnar por el dominio del espacio mariacutetimo

Cuadro 1 iquestCiberterrorismo

678799lt=gt7A9ltB9CDgtEDDB9FEG9GFDHBD9lt9IHDJ9G9gtDEF79HDD7DHB9G-779 G9 DBltLBD9 M8gtBNBHIHBG7OP9 QI9 8CBDgt7A9 GRB9 BFDB7I9 I79 7I9IBGB9STlt9G9BHSBDP9UDgtBILB7I97879Vlt9WBGB9RBI9XFD8IHBG797I9medios de ciberguerra con resultados miacutenimos Incapaces de acceder a los recursos 8BHDBlt9k9Blt9BFHBlt9RE8BI79lE98BDB9lt9FEIH79G9ImX=IA9E9B7I9RBI9G79ltB9FD7FB9G9EI9RBnD9BEH7GGBHBA9I79kIG798T9BltltT9Glt9BC7HBo9G9H79pCA9D7I78IH79G97CoHq79k9D7C79G9GBH79FD7IBlt9B9HDBqJ9G9IHDIHP9Para los grupos terroristas la posibilidad de hacer caer redes bancarias provocar GBv79I98CBlt9k9IHDBlt9ltJHDB9797ltBFBD9lt9HDTw79BJD797IHHEk9B9GxB9G9R7k9EI97CoHq79IBltBILBCltP9QI98CBDgt7A9FBDB9BltgtEI79BEH7DA9ltB9BGlE=I9G9HB9BFBGBG99EIB98DB9EH=I9 H8F7DBltP9VxA9F7D9o8Flt7A9gtyI9lt9BIHgtE79GDH7D9IB7IBlt9G9zIHltgtIB9G9HBG79|IG7A9n967IIltlt~9Tarde

$amp()+-amp$((+0()1(2)+(03$450(06)78-(+9$+(

amp+$(06))0+$(6+9$220+lt=$gtA7

Los problemas de atribucioacuten

Una de las principales particularidades de la ciberguerra reside en los problemas de atribucioacuten de responsabilidades Un ciberataque no siempre deja tras de siacute una estela que pueda ser rastreada hasta llegar al responsable Los procesos de investigacioacuten forense son complejos teacutecnicamente y consumen gran cantidad de tiempo y esfuerzo Los ataques pue-den ejecutarse utilizando de manera temporal cientos de miles de ordenadores repartidos por todo el planeta sin el conocimiento de sus propietarios Utilizar un ejeacutercito de zombis es una condicioacuten teacutecnica para desarrollar la accioacuten y ademaacutes permite enmarantildear las res-GMKEDPHCHIDIJEamp]ampIH^FRCQDLampCDampLJEGRJEQD_

CIB

ER

GU

ER

RA

335Los paiacuteses atacados se ven en la necesidad de gestionar las consecuencias del ataque

pero tambieacuten de articular de manera inmediata una respuesta frente a una agresioacuten que procede de diferentes puntos del planeta sin que pueda conocerse la culpabilidad real de cada uno de los equipos atacantes

En este sentido una de las facetas maacutes controvertida del uso de la ciberguerra como recurso de poder es la compleja relacioacuten que se establece entre los Estados y los actores no estatales Aunque como se ha sentildealado anteriormente la posibilidad de hacer realidad algunas de las dimensiones maacutes destructivas de la ciberguerra estaacute reservada a algunos Estados sin embargo los grupos de hackers y otros elementos que actuacutean fuera de las estructuras estatales pueden ejercer un papel complementario en este tipo de operaciones

Los Estados pueden alentar tolerar e incluso subcontratar a estos grupos para que lle-ven a cabo ciberataques en la liacutenea de los intereses gubernamentales La motivacioacuten de los actores privados puede oscilar entre el patriotismo el narcisismo teacutecnico o el mero lucro criminal Su existencia otorga a los Estados patrocinadores una serie de ventajas Asiacute por ejemplo las unidades de ciberguerra del paiacutes pueden llevar a cabo operaciones encubier-tas negando su responsabilidad ante un ataque que parta de su territorio y atribuyendo su origen a la iniciativa de grupos descontrolados que no siguen directrices gubernamentales De este modo los Estados pueden contratar los servicios de organizaciones dedicadas a la ciberdelincuencia para llevar a cabo operaciones de menor envergadura disipando su res-GMKEDPHCHIDIiamp]ampIH^FRCQDKIMampCDEampLJGLJEDCHDEampIJCampGDgEampDQDFDIM_amptEgiampGMLampJJNGCMiampRKampJfGJLQMampJKampFHPJLaRJLLDampIJampCDamptxampKMampIRIDPDampJKampD^LNDLampsi quieres tener una cibercapacidad de

negacioacuten plausible necesitas ser capaz de aceptar cierto nivel de cibercrimen (Klimburg 2010 43)

Es loacutegico por tanto que algunos gobiernos encuentren uacutetil la existencia dentro de sus fronteras de una amplia comunidad de ciberdelincuentes la cual puede ser utilizada a modo de reserva estrateacutegica cuando las necesidades del enfrentamiento en el ciberes-pacio lo aconsejen Asiacute por ejemplo se especula con la posibilidad de que el virus Stux-net responsable del ataque contra el programa nuclear iraniacute habriacutea sido desarrollado en diferentes fragmentos por distintos equipos que no tendriacutean conexioacuten ni conocimiento JKQLJampJCCME_amprMampFRDCampLJUJDampeRJampJCampGLM]JFQMampGMILgDampvDPJLampEHIMampJKFDLaDIMampDampIHcJLJKQJEampMLaD-nizaciones algunas de ellas relacionadas con el cibercrimen (Broad Markoff amp Sanger 2011)

336

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Ideas clave

B9 CDgtEDDB9 9 EIB9 7F=I9 BHDBHqB9 HBIH79 FBDB9 HBG79 F7GD77A97879FBDB9BH7D9lE9CEBI9HDBHgtB9B8JHDB9G9ISDIHB8IH797IHDB9BGqDBD798ER798T9SEDH9I9lt9T8CH797IqI7IBltP

B9CDgtEDDB99EIB9BHqGBG9FD7HBgt7ILBGB9SEIGB8IHBlt8IH9F7D9-HBG7P9Q7I9JH79lt79lE9F7I9lt79DED798BHDBlt9k9HJI79IB-D79FBDB97IqDHD9lt9CDFB79I9EI9IBD79G97ImH79CJlt7P

79HBG79FEGI9DqD9G9BH7D9FDqBG79FBDB9F7HIBD9E9B-FBGBG9G9CDgtEDDB9k9GSE8IBD9E9DF7IBCltGBGP

Disuasioacuten y represalias a traveacutes del ciberespacio

Los Estados tratan de disuadir a sus potenciales enemigos desarrollando capacidades de respuesta que les permitan sobrevivir y responder militarmente a una agresioacuten previa rDampFDGDFHIDIampIJampHKUHaHLampRKampIDbMampEHNHCDLampMampND]MLampDCampFDREDIMampLJIRFJampCMEampHKFJKQHSMEampIJampRKampprimer ataque Sin embargo en el aacutembito de la ciberguerra este razonamiento pierde parte IJampERampJ^FDFHD_

En primer lugar es posible que un Estado posea los medios teacutecnicos y humanos necesarios para realizar una agresioacuten de ciberguerra contra otro Estado pero al mismo tiempo puede ser inmune en gran medida a una ciberrepresalia Esto es lo que sucede por ejemplo con Corea del Norte cuyo aislamiento del resto del mundo la mantiene desconec-tada de las redes globales de comunicacioacuten comercio e intercambio de informacioacuten que podriacutean ser utilizadas en un ciberataque La posibilidad de desplazar las represalias hacia otros aacutembitos como un mayor incremento de las sanciones econoacutemicas o diplomaacuteticas ha IJNMEQLDIMampvHEQTLHFDNJKQJampRKDampLJIRFHIDampJ^FDFHD_ampuCampREMampIJampLJGLJEDCHDEampNHCHQDLJEampFMKSJK-cionales soacutelo seriacutea viable si sus consecuencias fuesen proporcionales al dantildeo causado por el ciberataque Sin embargo un ataque contra un reacutegimen como el norcoreano provocariacutea seguramente una escalada beacutelica enormemente peligrosa

La legitimidad de una respuesta de este tipo queda igualmente en entredicho si la opinioacuten puacuteblica no percibe cierta equidad entre la agresioacuten y la respuesta En ocasiones es posible que la sociedad desconozca la existencia o la magnitud de una agresioacuten ciberneacutetica sobre todo si eacutesta ha consistido en acciones preparatorias para hacer viable en el futuro un ciberataque de gran escala o para facilitar una accioacuten militar convencional

CIB

ER

GU

ER

RA

337En el aacutembito del ciberespacio las agresiones pueden ser muy graves sin que por

ello sus consecuencias resulten visibles En ocasiones los Estados afectados pueden ser los primeros interesados en no divulgar la existencia del ataque Aunque en senti-do estricto no suponen actos de ciberguerra algunos paiacuteses como por ejemplo Rusia y China han sacado partido a sus capacidades en este aacutembito para llevar a cabo opera-FHMKJEampIJampFHPJLJEGHMKDJampDampQLDSVEampIJampCDampHK^CQLDFHTKampIJampCDEampLJIJEampHKcMLNdQHFDEamp]ampJCampLMPMampagresivo de secretos de sus adversarios Las viacutectimas pueden sentirse tentadas a no di-vulgar puacuteblicamente la existencia de acciones que ponen en evidencia las vulnerabili-dades en sus propios sistemas o la fuga de informacioacuten susceptible de comprometer la seguridad nacional La necesidad de mantener el secreto y por tanto la imposibilidad de concitar apoyos entre la opinioacuten puacuteblica reduce el abanico de posibles respuestas ante el agresor Asiacute por ejemplo se especula con que el bombardeo producido en sep-tiembre de 2007 por parte de la aviacioacuten israeliacute contra un reactor nuclear en construc-cioacuten en territorio sirio fue posible por una accioacuten previa de ciberguerra que engantildeoacute a los sistemas antiaeacutereos de Siria e hizo posible la penetracioacuten en su espacio aeacutereo (Clarke 2010) La necesidad de no transmitir debilidad ante el fracaso de los recieacuten adquiridos y costosos sistemas de radar rusos explicariacutea la contradictoria y dubitativa respuesta que tuvo el gobierno sirio que no pudo incluir en su lista de agravios contra de Israel el ciberataque sufrido

En otros casos los paiacuteses afectados pueden verse tentados a minimizar la gravedad de un ciberagresioacuten para eludir sus responsabilidades o para no asumir que se encuentran JKSRJCQMEampJKampRKampFMKUHFQMampcLJKQJampDampRKampJKJNHaMampGMIJLMEMampwMLLJEiampyz|_amphMIJNMEampJKFMKQLDLampun ejemplo en la reaccioacuten de la OTAN ante los ciberataques contra Estonia en 2007 El gobierno de este pequentildeo Estado acusoacute a Rusia de estar detraacutes de una serie de ataques ci-berneacuteticos dirigidos contra los sitios web gubernamentales al tiempo que como miembro de OTAN invocaba el artiacuteculo V del Tratado referido a la obligacioacuten de defensa mutua entre todos los aliados ante la agresioacuten a uno de sus miembros Sin embargo la perspectiva de iniciar una confrontacioacuten armada contra Rusia como respuesta a dantildeos producidos en el aacutembito virtual no resultoacute apetecible para sus miembros y eludieron catalogar los cibera-QDeRJEampFMKQLDampuEQMKHDampFMNMampRKampFDEMampIJampDaLJEHTKampNHCHQDLampeRJampREQH^FDEJampCDampDFQHSDFHTKampIJampCDampclaacuteusula de defensa mutua

Maacutes compleja aun es la respuesta hacia operaciones de ciberguerra cuyos efectos son un peligro potencial como por ejemplo las llamadas bombas loacutegicas Bajo esta denomi-nacioacuten se aglutina un amplio conjunto de operaciones de software cuyo propoacutesito consiste en permitir al manipulador disponer de una puerta trasera (y oculta) en los sistemas de su enemigo para utilizarla cuando considere necesario provocar dantildeos al sistema o lograr que eacuteste lleve a cabo un comportamiento anoacutemalo Asiacute por ejemplo una de las formas maacutes simples pero maacutes efectivas de bomba loacutegica son los comandos destinados a borrar toda la informacioacuten contenida en el equipo donde se encuentra alojada incluyendo la propia bomba Esto supone la posibilidad de llevar a cabo un ataque que no deja rastro y que

338

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

puede inutilizar los sistemas informaacuteticos del enemigo Otras versiones maacutes avanzadas de las bombas loacutegicas son aquellos comandos que propician que el hardware se provoque a siacute mismo dantildeos a traveacutes de una subida de tensioacuten eleacutectrica un aumento de temperatura o cualquier otra operacioacuten que provoque un estrago iquestCoacutemo deberiacutea reaccionar un paiacutes ante el descubrimiento de que otro gobierno ha sembrado sus sistemas de defensa con comandos cuya activacioacuten generariacutea consecuencias similares a las del bombardeo de esas instalaciones

Es loacutegico pensar que los diferentes paiacuteses con capacidades de ciberguerra preparan el campo de batalla ciberneacutetico en tiempos de paz Buscan las vulnerabilidades del potencial DISJLEDLHMiamp]ampEJampJEcRJLDKampGMLampHK^CQLDLampEREampEHEQJNDEamp]ampGCDaDLCMEampIJampPMNPDEampCTaHFDEamp]ampGRJLQDEamptraseras para poder utilizarlas ante un eventual enfrentamiento

Otro elemento que afecta profundamente a los caacutelculos sobre la disuasioacuten en ciber-guerra es la propia naturaleza de las armas con las que se combate (Libicki 2011) En la disuasioacuten convencional es habitual que los Estados hagan una demostracioacuten puacuteblica de sus arsenales para desanimar potenciales agresiones Los gobiernos no soacutelo recurren al efecto IJNMEQLDFHTKampJKampIJE^CJEampNHCHQDLJEamp]ampNDKHMPLDEampQDNPHVKampJNGCJDKampERampNJMLampDLNDNJKQMampJKampFMKUHFQMEampIMKIJiampDRKeRJampKMampJfHEQDampRKDampKJFJEHIDIampMGJLDFHMKDCiampGRJIDKampvDFJLampDCDLIJampIJampERampsuperioridad tecnoloacutegica

CIB

ER

GU

ER

RA

339Cuadro 2 Episodios destacados de ciberguerra

`HKampJNPDLaMiampCDEampFHPJLDLNDEampPDEDKampaLDKampGDLQJampIJampERampJ^FDFHDampJKampJCampEJFLJQMamp]ampCDampEMLGLJED_amprDampGMEHPHCHIDIampIJampIJEPDLDQDLampJampHK^CQLDLampCDampHKcLDJEQLRFQRLDampHKcMLNdQHFDampIJCampDISJLEDLHMampIJEFDK-sa generalmente en el descubrimiento de vulnerabilidades en el disentildeo de sus sistemas y el software que los mantiene operativos Son las llamadas zero-day vulnerabilities una serie de carencias y errores ineacuteditos que han pasado inadvertidos a los programadores o que una

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

CIB

ER

GU

ER

RA

335Los paiacuteses atacados se ven en la necesidad de gestionar las consecuencias del ataque

pero tambieacuten de articular de manera inmediata una respuesta frente a una agresioacuten que procede de diferentes puntos del planeta sin que pueda conocerse la culpabilidad real de cada uno de los equipos atacantes

En este sentido una de las facetas maacutes controvertida del uso de la ciberguerra como recurso de poder es la compleja relacioacuten que se establece entre los Estados y los actores no estatales Aunque como se ha sentildealado anteriormente la posibilidad de hacer realidad algunas de las dimensiones maacutes destructivas de la ciberguerra estaacute reservada a algunos Estados sin embargo los grupos de hackers y otros elementos que actuacutean fuera de las estructuras estatales pueden ejercer un papel complementario en este tipo de operaciones

Los Estados pueden alentar tolerar e incluso subcontratar a estos grupos para que lle-ven a cabo ciberataques en la liacutenea de los intereses gubernamentales La motivacioacuten de los actores privados puede oscilar entre el patriotismo el narcisismo teacutecnico o el mero lucro criminal Su existencia otorga a los Estados patrocinadores una serie de ventajas Asiacute por ejemplo las unidades de ciberguerra del paiacutes pueden llevar a cabo operaciones encubier-tas negando su responsabilidad ante un ataque que parta de su territorio y atribuyendo su origen a la iniciativa de grupos descontrolados que no siguen directrices gubernamentales De este modo los Estados pueden contratar los servicios de organizaciones dedicadas a la ciberdelincuencia para llevar a cabo operaciones de menor envergadura disipando su res-GMKEDPHCHIDIiamp]ampIH^FRCQDKIMampCDEampLJGLJEDCHDEampIJCampGDgEampDQDFDIM_amptEgiampGMLampJJNGCMiampRKampJfGJLQMampJKampFHPJLaRJLLDampIJampCDamptxampKMampIRIDPDampJKampD^LNDLampsi quieres tener una cibercapacidad de

negacioacuten plausible necesitas ser capaz de aceptar cierto nivel de cibercrimen (Klimburg 2010 43)

Es loacutegico por tanto que algunos gobiernos encuentren uacutetil la existencia dentro de sus fronteras de una amplia comunidad de ciberdelincuentes la cual puede ser utilizada a modo de reserva estrateacutegica cuando las necesidades del enfrentamiento en el ciberes-pacio lo aconsejen Asiacute por ejemplo se especula con la posibilidad de que el virus Stux-net responsable del ataque contra el programa nuclear iraniacute habriacutea sido desarrollado en diferentes fragmentos por distintos equipos que no tendriacutean conexioacuten ni conocimiento JKQLJampJCCME_amprMampFRDCampLJUJDampeRJampJCampGLM]JFQMampGMILgDampvDPJLampEHIMampJKFDLaDIMampDampIHcJLJKQJEampMLaD-nizaciones algunas de ellas relacionadas con el cibercrimen (Broad Markoff amp Sanger 2011)

336

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Ideas clave

B9 CDgtEDDB9 9 EIB9 7F=I9 BHDBHqB9 HBIH79 FBDB9 HBG79 F7GD77A97879FBDB9BH7D9lE9CEBI9HDBHgtB9B8JHDB9G9ISDIHB8IH797IHDB9BGqDBD798ER798T9SEDH9I9lt9T8CH797IqI7IBltP

B9CDgtEDDB99EIB9BHqGBG9FD7HBgt7ILBGB9SEIGB8IHBlt8IH9F7D9-HBG7P9Q7I9JH79lt79lE9F7I9lt79DED798BHDBlt9k9HJI79IB-D79FBDB97IqDHD9lt9CDFB79I9EI9IBD79G97ImH79CJlt7P

79HBG79FEGI9DqD9G9BH7D9FDqBG79FBDB9F7HIBD9E9B-FBGBG9G9CDgtEDDB9k9GSE8IBD9E9DF7IBCltGBGP

Disuasioacuten y represalias a traveacutes del ciberespacio

Los Estados tratan de disuadir a sus potenciales enemigos desarrollando capacidades de respuesta que les permitan sobrevivir y responder militarmente a una agresioacuten previa rDampFDGDFHIDIampIJampHKUHaHLampRKampIDbMampEHNHCDLampMampND]MLampDCampFDREDIMampLJIRFJampCMEampHKFJKQHSMEampIJampRKampprimer ataque Sin embargo en el aacutembito de la ciberguerra este razonamiento pierde parte IJampERampJ^FDFHD_

En primer lugar es posible que un Estado posea los medios teacutecnicos y humanos necesarios para realizar una agresioacuten de ciberguerra contra otro Estado pero al mismo tiempo puede ser inmune en gran medida a una ciberrepresalia Esto es lo que sucede por ejemplo con Corea del Norte cuyo aislamiento del resto del mundo la mantiene desconec-tada de las redes globales de comunicacioacuten comercio e intercambio de informacioacuten que podriacutean ser utilizadas en un ciberataque La posibilidad de desplazar las represalias hacia otros aacutembitos como un mayor incremento de las sanciones econoacutemicas o diplomaacuteticas ha IJNMEQLDIMampvHEQTLHFDNJKQJampRKDampLJIRFHIDampJ^FDFHD_ampuCampREMampIJampLJGLJEDCHDEampNHCHQDLJEampFMKSJK-cionales soacutelo seriacutea viable si sus consecuencias fuesen proporcionales al dantildeo causado por el ciberataque Sin embargo un ataque contra un reacutegimen como el norcoreano provocariacutea seguramente una escalada beacutelica enormemente peligrosa

La legitimidad de una respuesta de este tipo queda igualmente en entredicho si la opinioacuten puacuteblica no percibe cierta equidad entre la agresioacuten y la respuesta En ocasiones es posible que la sociedad desconozca la existencia o la magnitud de una agresioacuten ciberneacutetica sobre todo si eacutesta ha consistido en acciones preparatorias para hacer viable en el futuro un ciberataque de gran escala o para facilitar una accioacuten militar convencional

CIB

ER

GU

ER

RA

337En el aacutembito del ciberespacio las agresiones pueden ser muy graves sin que por

ello sus consecuencias resulten visibles En ocasiones los Estados afectados pueden ser los primeros interesados en no divulgar la existencia del ataque Aunque en senti-do estricto no suponen actos de ciberguerra algunos paiacuteses como por ejemplo Rusia y China han sacado partido a sus capacidades en este aacutembito para llevar a cabo opera-FHMKJEampIJampFHPJLJEGHMKDJampDampQLDSVEampIJampCDampHK^CQLDFHTKampIJampCDEampLJIJEampHKcMLNdQHFDEamp]ampJCampLMPMampagresivo de secretos de sus adversarios Las viacutectimas pueden sentirse tentadas a no di-vulgar puacuteblicamente la existencia de acciones que ponen en evidencia las vulnerabili-dades en sus propios sistemas o la fuga de informacioacuten susceptible de comprometer la seguridad nacional La necesidad de mantener el secreto y por tanto la imposibilidad de concitar apoyos entre la opinioacuten puacuteblica reduce el abanico de posibles respuestas ante el agresor Asiacute por ejemplo se especula con que el bombardeo producido en sep-tiembre de 2007 por parte de la aviacioacuten israeliacute contra un reactor nuclear en construc-cioacuten en territorio sirio fue posible por una accioacuten previa de ciberguerra que engantildeoacute a los sistemas antiaeacutereos de Siria e hizo posible la penetracioacuten en su espacio aeacutereo (Clarke 2010) La necesidad de no transmitir debilidad ante el fracaso de los recieacuten adquiridos y costosos sistemas de radar rusos explicariacutea la contradictoria y dubitativa respuesta que tuvo el gobierno sirio que no pudo incluir en su lista de agravios contra de Israel el ciberataque sufrido

En otros casos los paiacuteses afectados pueden verse tentados a minimizar la gravedad de un ciberagresioacuten para eludir sus responsabilidades o para no asumir que se encuentran JKSRJCQMEampJKampRKampFMKUHFQMampcLJKQJampDampRKampJKJNHaMampGMIJLMEMampwMLLJEiampyz|_amphMIJNMEampJKFMKQLDLampun ejemplo en la reaccioacuten de la OTAN ante los ciberataques contra Estonia en 2007 El gobierno de este pequentildeo Estado acusoacute a Rusia de estar detraacutes de una serie de ataques ci-berneacuteticos dirigidos contra los sitios web gubernamentales al tiempo que como miembro de OTAN invocaba el artiacuteculo V del Tratado referido a la obligacioacuten de defensa mutua entre todos los aliados ante la agresioacuten a uno de sus miembros Sin embargo la perspectiva de iniciar una confrontacioacuten armada contra Rusia como respuesta a dantildeos producidos en el aacutembito virtual no resultoacute apetecible para sus miembros y eludieron catalogar los cibera-QDeRJEampFMKQLDampuEQMKHDampFMNMampRKampFDEMampIJampDaLJEHTKampNHCHQDLampeRJampREQH^FDEJampCDampDFQHSDFHTKampIJampCDampclaacuteusula de defensa mutua

Maacutes compleja aun es la respuesta hacia operaciones de ciberguerra cuyos efectos son un peligro potencial como por ejemplo las llamadas bombas loacutegicas Bajo esta denomi-nacioacuten se aglutina un amplio conjunto de operaciones de software cuyo propoacutesito consiste en permitir al manipulador disponer de una puerta trasera (y oculta) en los sistemas de su enemigo para utilizarla cuando considere necesario provocar dantildeos al sistema o lograr que eacuteste lleve a cabo un comportamiento anoacutemalo Asiacute por ejemplo una de las formas maacutes simples pero maacutes efectivas de bomba loacutegica son los comandos destinados a borrar toda la informacioacuten contenida en el equipo donde se encuentra alojada incluyendo la propia bomba Esto supone la posibilidad de llevar a cabo un ataque que no deja rastro y que

338

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

puede inutilizar los sistemas informaacuteticos del enemigo Otras versiones maacutes avanzadas de las bombas loacutegicas son aquellos comandos que propician que el hardware se provoque a siacute mismo dantildeos a traveacutes de una subida de tensioacuten eleacutectrica un aumento de temperatura o cualquier otra operacioacuten que provoque un estrago iquestCoacutemo deberiacutea reaccionar un paiacutes ante el descubrimiento de que otro gobierno ha sembrado sus sistemas de defensa con comandos cuya activacioacuten generariacutea consecuencias similares a las del bombardeo de esas instalaciones

Es loacutegico pensar que los diferentes paiacuteses con capacidades de ciberguerra preparan el campo de batalla ciberneacutetico en tiempos de paz Buscan las vulnerabilidades del potencial DISJLEDLHMiamp]ampEJampJEcRJLDKampGMLampHK^CQLDLampEREampEHEQJNDEamp]ampGCDaDLCMEampIJampPMNPDEampCTaHFDEamp]ampGRJLQDEamptraseras para poder utilizarlas ante un eventual enfrentamiento

Otro elemento que afecta profundamente a los caacutelculos sobre la disuasioacuten en ciber-guerra es la propia naturaleza de las armas con las que se combate (Libicki 2011) En la disuasioacuten convencional es habitual que los Estados hagan una demostracioacuten puacuteblica de sus arsenales para desanimar potenciales agresiones Los gobiernos no soacutelo recurren al efecto IJNMEQLDFHTKampJKampIJE^CJEampNHCHQDLJEamp]ampNDKHMPLDEampQDNPHVKampJNGCJDKampERampNJMLampDLNDNJKQMampJKampFMKUHFQMEampIMKIJiampDRKeRJampKMampJfHEQDampRKDampKJFJEHIDIampMGJLDFHMKDCiampGRJIDKampvDFJLampDCDLIJampIJampERampsuperioridad tecnoloacutegica

CIB

ER

GU

ER

RA

339Cuadro 2 Episodios destacados de ciberguerra

`HKampJNPDLaMiampCDEampFHPJLDLNDEampPDEDKampaLDKampGDLQJampIJampERampJ^FDFHDampJKampJCampEJFLJQMamp]ampCDampEMLGLJED_amprDampGMEHPHCHIDIampIJampIJEPDLDQDLampJampHK^CQLDLampCDampHKcLDJEQLRFQRLDampHKcMLNdQHFDampIJCampDISJLEDLHMampIJEFDK-sa generalmente en el descubrimiento de vulnerabilidades en el disentildeo de sus sistemas y el software que los mantiene operativos Son las llamadas zero-day vulnerabilities una serie de carencias y errores ineacuteditos que han pasado inadvertidos a los programadores o que una

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

336

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Ideas clave

B9 CDgtEDDB9 9 EIB9 7F=I9 BHDBHqB9 HBIH79 FBDB9 HBG79 F7GD77A97879FBDB9BH7D9lE9CEBI9HDBHgtB9B8JHDB9G9ISDIHB8IH797IHDB9BGqDBD798ER798T9SEDH9I9lt9T8CH797IqI7IBltP

B9CDgtEDDB99EIB9BHqGBG9FD7HBgt7ILBGB9SEIGB8IHBlt8IH9F7D9-HBG7P9Q7I9JH79lt79lE9F7I9lt79DED798BHDBlt9k9HJI79IB-D79FBDB97IqDHD9lt9CDFB79I9EI9IBD79G97ImH79CJlt7P

79HBG79FEGI9DqD9G9BH7D9FDqBG79FBDB9F7HIBD9E9B-FBGBG9G9CDgtEDDB9k9GSE8IBD9E9DF7IBCltGBGP

Disuasioacuten y represalias a traveacutes del ciberespacio

Los Estados tratan de disuadir a sus potenciales enemigos desarrollando capacidades de respuesta que les permitan sobrevivir y responder militarmente a una agresioacuten previa rDampFDGDFHIDIampIJampHKUHaHLampRKampIDbMampEHNHCDLampMampND]MLampDCampFDREDIMampLJIRFJampCMEampHKFJKQHSMEampIJampRKampprimer ataque Sin embargo en el aacutembito de la ciberguerra este razonamiento pierde parte IJampERampJ^FDFHD_

En primer lugar es posible que un Estado posea los medios teacutecnicos y humanos necesarios para realizar una agresioacuten de ciberguerra contra otro Estado pero al mismo tiempo puede ser inmune en gran medida a una ciberrepresalia Esto es lo que sucede por ejemplo con Corea del Norte cuyo aislamiento del resto del mundo la mantiene desconec-tada de las redes globales de comunicacioacuten comercio e intercambio de informacioacuten que podriacutean ser utilizadas en un ciberataque La posibilidad de desplazar las represalias hacia otros aacutembitos como un mayor incremento de las sanciones econoacutemicas o diplomaacuteticas ha IJNMEQLDIMampvHEQTLHFDNJKQJampRKDampLJIRFHIDampJ^FDFHD_ampuCampREMampIJampLJGLJEDCHDEampNHCHQDLJEampFMKSJK-cionales soacutelo seriacutea viable si sus consecuencias fuesen proporcionales al dantildeo causado por el ciberataque Sin embargo un ataque contra un reacutegimen como el norcoreano provocariacutea seguramente una escalada beacutelica enormemente peligrosa

La legitimidad de una respuesta de este tipo queda igualmente en entredicho si la opinioacuten puacuteblica no percibe cierta equidad entre la agresioacuten y la respuesta En ocasiones es posible que la sociedad desconozca la existencia o la magnitud de una agresioacuten ciberneacutetica sobre todo si eacutesta ha consistido en acciones preparatorias para hacer viable en el futuro un ciberataque de gran escala o para facilitar una accioacuten militar convencional

CIB

ER

GU

ER

RA

337En el aacutembito del ciberespacio las agresiones pueden ser muy graves sin que por

ello sus consecuencias resulten visibles En ocasiones los Estados afectados pueden ser los primeros interesados en no divulgar la existencia del ataque Aunque en senti-do estricto no suponen actos de ciberguerra algunos paiacuteses como por ejemplo Rusia y China han sacado partido a sus capacidades en este aacutembito para llevar a cabo opera-FHMKJEampIJampFHPJLJEGHMKDJampDampQLDSVEampIJampCDampHK^CQLDFHTKampIJampCDEampLJIJEampHKcMLNdQHFDEamp]ampJCampLMPMampagresivo de secretos de sus adversarios Las viacutectimas pueden sentirse tentadas a no di-vulgar puacuteblicamente la existencia de acciones que ponen en evidencia las vulnerabili-dades en sus propios sistemas o la fuga de informacioacuten susceptible de comprometer la seguridad nacional La necesidad de mantener el secreto y por tanto la imposibilidad de concitar apoyos entre la opinioacuten puacuteblica reduce el abanico de posibles respuestas ante el agresor Asiacute por ejemplo se especula con que el bombardeo producido en sep-tiembre de 2007 por parte de la aviacioacuten israeliacute contra un reactor nuclear en construc-cioacuten en territorio sirio fue posible por una accioacuten previa de ciberguerra que engantildeoacute a los sistemas antiaeacutereos de Siria e hizo posible la penetracioacuten en su espacio aeacutereo (Clarke 2010) La necesidad de no transmitir debilidad ante el fracaso de los recieacuten adquiridos y costosos sistemas de radar rusos explicariacutea la contradictoria y dubitativa respuesta que tuvo el gobierno sirio que no pudo incluir en su lista de agravios contra de Israel el ciberataque sufrido

En otros casos los paiacuteses afectados pueden verse tentados a minimizar la gravedad de un ciberagresioacuten para eludir sus responsabilidades o para no asumir que se encuentran JKSRJCQMEampJKampRKampFMKUHFQMampcLJKQJampDampRKampJKJNHaMampGMIJLMEMampwMLLJEiampyz|_amphMIJNMEampJKFMKQLDLampun ejemplo en la reaccioacuten de la OTAN ante los ciberataques contra Estonia en 2007 El gobierno de este pequentildeo Estado acusoacute a Rusia de estar detraacutes de una serie de ataques ci-berneacuteticos dirigidos contra los sitios web gubernamentales al tiempo que como miembro de OTAN invocaba el artiacuteculo V del Tratado referido a la obligacioacuten de defensa mutua entre todos los aliados ante la agresioacuten a uno de sus miembros Sin embargo la perspectiva de iniciar una confrontacioacuten armada contra Rusia como respuesta a dantildeos producidos en el aacutembito virtual no resultoacute apetecible para sus miembros y eludieron catalogar los cibera-QDeRJEampFMKQLDampuEQMKHDampFMNMampRKampFDEMampIJampDaLJEHTKampNHCHQDLampeRJampREQH^FDEJampCDampDFQHSDFHTKampIJampCDampclaacuteusula de defensa mutua

Maacutes compleja aun es la respuesta hacia operaciones de ciberguerra cuyos efectos son un peligro potencial como por ejemplo las llamadas bombas loacutegicas Bajo esta denomi-nacioacuten se aglutina un amplio conjunto de operaciones de software cuyo propoacutesito consiste en permitir al manipulador disponer de una puerta trasera (y oculta) en los sistemas de su enemigo para utilizarla cuando considere necesario provocar dantildeos al sistema o lograr que eacuteste lleve a cabo un comportamiento anoacutemalo Asiacute por ejemplo una de las formas maacutes simples pero maacutes efectivas de bomba loacutegica son los comandos destinados a borrar toda la informacioacuten contenida en el equipo donde se encuentra alojada incluyendo la propia bomba Esto supone la posibilidad de llevar a cabo un ataque que no deja rastro y que

338

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

puede inutilizar los sistemas informaacuteticos del enemigo Otras versiones maacutes avanzadas de las bombas loacutegicas son aquellos comandos que propician que el hardware se provoque a siacute mismo dantildeos a traveacutes de una subida de tensioacuten eleacutectrica un aumento de temperatura o cualquier otra operacioacuten que provoque un estrago iquestCoacutemo deberiacutea reaccionar un paiacutes ante el descubrimiento de que otro gobierno ha sembrado sus sistemas de defensa con comandos cuya activacioacuten generariacutea consecuencias similares a las del bombardeo de esas instalaciones

Es loacutegico pensar que los diferentes paiacuteses con capacidades de ciberguerra preparan el campo de batalla ciberneacutetico en tiempos de paz Buscan las vulnerabilidades del potencial DISJLEDLHMiamp]ampEJampJEcRJLDKampGMLampHK^CQLDLampEREampEHEQJNDEamp]ampGCDaDLCMEampIJampPMNPDEampCTaHFDEamp]ampGRJLQDEamptraseras para poder utilizarlas ante un eventual enfrentamiento

Otro elemento que afecta profundamente a los caacutelculos sobre la disuasioacuten en ciber-guerra es la propia naturaleza de las armas con las que se combate (Libicki 2011) En la disuasioacuten convencional es habitual que los Estados hagan una demostracioacuten puacuteblica de sus arsenales para desanimar potenciales agresiones Los gobiernos no soacutelo recurren al efecto IJNMEQLDFHTKampJKampIJE^CJEampNHCHQDLJEamp]ampNDKHMPLDEampQDNPHVKampJNGCJDKampERampNJMLampDLNDNJKQMampJKampFMKUHFQMEampIMKIJiampDRKeRJampKMampJfHEQDampRKDampKJFJEHIDIampMGJLDFHMKDCiampGRJIDKampvDFJLampDCDLIJampIJampERampsuperioridad tecnoloacutegica

CIB

ER

GU

ER

RA

339Cuadro 2 Episodios destacados de ciberguerra

`HKampJNPDLaMiampCDEampFHPJLDLNDEampPDEDKampaLDKampGDLQJampIJampERampJ^FDFHDampJKampJCampEJFLJQMamp]ampCDampEMLGLJED_amprDampGMEHPHCHIDIampIJampIJEPDLDQDLampJampHK^CQLDLampCDampHKcLDJEQLRFQRLDampHKcMLNdQHFDampIJCampDISJLEDLHMampIJEFDK-sa generalmente en el descubrimiento de vulnerabilidades en el disentildeo de sus sistemas y el software que los mantiene operativos Son las llamadas zero-day vulnerabilities una serie de carencias y errores ineacuteditos que han pasado inadvertidos a los programadores o que una

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

CIB

ER

GU

ER

RA

337En el aacutembito del ciberespacio las agresiones pueden ser muy graves sin que por

ello sus consecuencias resulten visibles En ocasiones los Estados afectados pueden ser los primeros interesados en no divulgar la existencia del ataque Aunque en senti-do estricto no suponen actos de ciberguerra algunos paiacuteses como por ejemplo Rusia y China han sacado partido a sus capacidades en este aacutembito para llevar a cabo opera-FHMKJEampIJampFHPJLJEGHMKDJampDampQLDSVEampIJampCDampHK^CQLDFHTKampIJampCDEampLJIJEampHKcMLNdQHFDEamp]ampJCampLMPMampagresivo de secretos de sus adversarios Las viacutectimas pueden sentirse tentadas a no di-vulgar puacuteblicamente la existencia de acciones que ponen en evidencia las vulnerabili-dades en sus propios sistemas o la fuga de informacioacuten susceptible de comprometer la seguridad nacional La necesidad de mantener el secreto y por tanto la imposibilidad de concitar apoyos entre la opinioacuten puacuteblica reduce el abanico de posibles respuestas ante el agresor Asiacute por ejemplo se especula con que el bombardeo producido en sep-tiembre de 2007 por parte de la aviacioacuten israeliacute contra un reactor nuclear en construc-cioacuten en territorio sirio fue posible por una accioacuten previa de ciberguerra que engantildeoacute a los sistemas antiaeacutereos de Siria e hizo posible la penetracioacuten en su espacio aeacutereo (Clarke 2010) La necesidad de no transmitir debilidad ante el fracaso de los recieacuten adquiridos y costosos sistemas de radar rusos explicariacutea la contradictoria y dubitativa respuesta que tuvo el gobierno sirio que no pudo incluir en su lista de agravios contra de Israel el ciberataque sufrido

En otros casos los paiacuteses afectados pueden verse tentados a minimizar la gravedad de un ciberagresioacuten para eludir sus responsabilidades o para no asumir que se encuentran JKSRJCQMEampJKampRKampFMKUHFQMampcLJKQJampDampRKampJKJNHaMampGMIJLMEMampwMLLJEiampyz|_amphMIJNMEampJKFMKQLDLampun ejemplo en la reaccioacuten de la OTAN ante los ciberataques contra Estonia en 2007 El gobierno de este pequentildeo Estado acusoacute a Rusia de estar detraacutes de una serie de ataques ci-berneacuteticos dirigidos contra los sitios web gubernamentales al tiempo que como miembro de OTAN invocaba el artiacuteculo V del Tratado referido a la obligacioacuten de defensa mutua entre todos los aliados ante la agresioacuten a uno de sus miembros Sin embargo la perspectiva de iniciar una confrontacioacuten armada contra Rusia como respuesta a dantildeos producidos en el aacutembito virtual no resultoacute apetecible para sus miembros y eludieron catalogar los cibera-QDeRJEampFMKQLDampuEQMKHDampFMNMampRKampFDEMampIJampDaLJEHTKampNHCHQDLampeRJampREQH^FDEJampCDampDFQHSDFHTKampIJampCDampclaacuteusula de defensa mutua

Maacutes compleja aun es la respuesta hacia operaciones de ciberguerra cuyos efectos son un peligro potencial como por ejemplo las llamadas bombas loacutegicas Bajo esta denomi-nacioacuten se aglutina un amplio conjunto de operaciones de software cuyo propoacutesito consiste en permitir al manipulador disponer de una puerta trasera (y oculta) en los sistemas de su enemigo para utilizarla cuando considere necesario provocar dantildeos al sistema o lograr que eacuteste lleve a cabo un comportamiento anoacutemalo Asiacute por ejemplo una de las formas maacutes simples pero maacutes efectivas de bomba loacutegica son los comandos destinados a borrar toda la informacioacuten contenida en el equipo donde se encuentra alojada incluyendo la propia bomba Esto supone la posibilidad de llevar a cabo un ataque que no deja rastro y que

338

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

puede inutilizar los sistemas informaacuteticos del enemigo Otras versiones maacutes avanzadas de las bombas loacutegicas son aquellos comandos que propician que el hardware se provoque a siacute mismo dantildeos a traveacutes de una subida de tensioacuten eleacutectrica un aumento de temperatura o cualquier otra operacioacuten que provoque un estrago iquestCoacutemo deberiacutea reaccionar un paiacutes ante el descubrimiento de que otro gobierno ha sembrado sus sistemas de defensa con comandos cuya activacioacuten generariacutea consecuencias similares a las del bombardeo de esas instalaciones

Es loacutegico pensar que los diferentes paiacuteses con capacidades de ciberguerra preparan el campo de batalla ciberneacutetico en tiempos de paz Buscan las vulnerabilidades del potencial DISJLEDLHMiamp]ampEJampJEcRJLDKampGMLampHK^CQLDLampEREampEHEQJNDEamp]ampGCDaDLCMEampIJampPMNPDEampCTaHFDEamp]ampGRJLQDEamptraseras para poder utilizarlas ante un eventual enfrentamiento

Otro elemento que afecta profundamente a los caacutelculos sobre la disuasioacuten en ciber-guerra es la propia naturaleza de las armas con las que se combate (Libicki 2011) En la disuasioacuten convencional es habitual que los Estados hagan una demostracioacuten puacuteblica de sus arsenales para desanimar potenciales agresiones Los gobiernos no soacutelo recurren al efecto IJNMEQLDFHTKampJKampIJE^CJEampNHCHQDLJEamp]ampNDKHMPLDEampQDNPHVKampJNGCJDKampERampNJMLampDLNDNJKQMampJKampFMKUHFQMEampIMKIJiampDRKeRJampKMampJfHEQDampRKDampKJFJEHIDIampMGJLDFHMKDCiampGRJIDKampvDFJLampDCDLIJampIJampERampsuperioridad tecnoloacutegica

CIB

ER

GU

ER

RA

339Cuadro 2 Episodios destacados de ciberguerra

`HKampJNPDLaMiampCDEampFHPJLDLNDEampPDEDKampaLDKampGDLQJampIJampERampJ^FDFHDampJKampJCampEJFLJQMamp]ampCDampEMLGLJED_amprDampGMEHPHCHIDIampIJampIJEPDLDQDLampJampHK^CQLDLampCDampHKcLDJEQLRFQRLDampHKcMLNdQHFDampIJCampDISJLEDLHMampIJEFDK-sa generalmente en el descubrimiento de vulnerabilidades en el disentildeo de sus sistemas y el software que los mantiene operativos Son las llamadas zero-day vulnerabilities una serie de carencias y errores ineacuteditos que han pasado inadvertidos a los programadores o que una

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

338

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

puede inutilizar los sistemas informaacuteticos del enemigo Otras versiones maacutes avanzadas de las bombas loacutegicas son aquellos comandos que propician que el hardware se provoque a siacute mismo dantildeos a traveacutes de una subida de tensioacuten eleacutectrica un aumento de temperatura o cualquier otra operacioacuten que provoque un estrago iquestCoacutemo deberiacutea reaccionar un paiacutes ante el descubrimiento de que otro gobierno ha sembrado sus sistemas de defensa con comandos cuya activacioacuten generariacutea consecuencias similares a las del bombardeo de esas instalaciones

Es loacutegico pensar que los diferentes paiacuteses con capacidades de ciberguerra preparan el campo de batalla ciberneacutetico en tiempos de paz Buscan las vulnerabilidades del potencial DISJLEDLHMiamp]ampEJampJEcRJLDKampGMLampHK^CQLDLampEREampEHEQJNDEamp]ampGCDaDLCMEampIJampPMNPDEampCTaHFDEamp]ampGRJLQDEamptraseras para poder utilizarlas ante un eventual enfrentamiento

Otro elemento que afecta profundamente a los caacutelculos sobre la disuasioacuten en ciber-guerra es la propia naturaleza de las armas con las que se combate (Libicki 2011) En la disuasioacuten convencional es habitual que los Estados hagan una demostracioacuten puacuteblica de sus arsenales para desanimar potenciales agresiones Los gobiernos no soacutelo recurren al efecto IJNMEQLDFHTKampJKampIJE^CJEampNHCHQDLJEamp]ampNDKHMPLDEampQDNPHVKampJNGCJDKampERampNJMLampDLNDNJKQMampJKampFMKUHFQMEampIMKIJiampDRKeRJampKMampJfHEQDampRKDampKJFJEHIDIampMGJLDFHMKDCiampGRJIDKampvDFJLampDCDLIJampIJampERampsuperioridad tecnoloacutegica

CIB

ER

GU

ER

RA

339Cuadro 2 Episodios destacados de ciberguerra

`HKampJNPDLaMiampCDEampFHPJLDLNDEampPDEDKampaLDKampGDLQJampIJampERampJ^FDFHDampJKampJCampEJFLJQMamp]ampCDampEMLGLJED_amprDampGMEHPHCHIDIampIJampIJEPDLDQDLampJampHK^CQLDLampCDampHKcLDJEQLRFQRLDampHKcMLNdQHFDampIJCampDISJLEDLHMampIJEFDK-sa generalmente en el descubrimiento de vulnerabilidades en el disentildeo de sus sistemas y el software que los mantiene operativos Son las llamadas zero-day vulnerabilities una serie de carencias y errores ineacuteditos que han pasado inadvertidos a los programadores o que una

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

CIB

ER

GU

ER

RA

339Cuadro 2 Episodios destacados de ciberguerra

`HKampJNPDLaMiampCDEampFHPJLDLNDEampPDEDKampaLDKampGDLQJampIJampERampJ^FDFHDampJKampJCampEJFLJQMamp]ampCDampEMLGLJED_amprDampGMEHPHCHIDIampIJampIJEPDLDQDLampJampHK^CQLDLampCDampHKcLDJEQLRFQRLDampHKcMLNdQHFDampIJCampDISJLEDLHMampIJEFDK-sa generalmente en el descubrimiento de vulnerabilidades en el disentildeo de sus sistemas y el software que los mantiene operativos Son las llamadas zero-day vulnerabilities una serie de carencias y errores ineacuteditos que han pasado inadvertidos a los programadores o que una

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

SJampIJQJFQDIMEiampKMampvDampvDPHIMampQHJNGMampER^FHJKQJampGDLDampIHEJbDLamp]ampIHEQLHPRHLampCMEampGDLFvJEampeRJampCMEampcorrijan La utilidad de las ciberarmas depende directamente de que la viacutectima potencial desconozca la existencia de brechas en su seguridad Es por tanto improbable que un DFQMLampIJFHIDampvDFJLampRKDampIJNMEQLDFHTKampIJampEREampFDGDFHIDIJEampIJampFHPJLaRJLLDampFMKampRKDamp^KDCHIDIampexclusivamente disuasoria Ademaacutes la ejecucioacuten de un pequentildeo ataque si pretende ser disuasorio debe dejar tras de siacute un rastro digital hasta su autor un conjunto de datos que puede ser estudiado y que permite implementar las soluciones que eviten un nuevo ataque utilizando el mismo procedimiento En este sentido los actos de ciberguerra generan una curva de aprendizaje muy raacutepida

De igual manera la utilizacioacuten de una ciberarma conlleva el riesgo antildeadido de que su disentildeo pueda ser descubierto y descifrado por otros actores a traveacutes de ingenieriacutea inversa lo que la hace susceptible de convertirse en una especie de software libre que puede ser NMIH^FDIMamp ]amp DIDGQDIMamp GDLDamp MQLMEamp ^KJEiamp HKFCR]JKIMamp JCamp DQDeRJamp FMKQLDamp ERamp GLMGHMamp FLJDIMLamp(Zetter 2011)

El caraacutecter necesariamente secreto de estas armas junto al atractivo que poseen para DFQMLJEampHKFDGDFJEampIJampIJED^DLampFMKSJKFHMKDCNJKQJampDampEREampDISJLEDLHMEiampvDFJampNR]ampIHcgFHCampeRJampEJamppueda alcanzar un tratado de control y limitacioacuten de ciberarmas De hecho la loacutegica de la FHPJLaRJLLDampKMampETCMampFMNGCHFDampCDampIHERDEHTKiampEHKMampeRJampQDNPHVKampPJKJ^FHDampDCampFMKQJKIHJKQJampeRJampdecide tomar la iniciativa y lanzar el primer golpe (Crosston 2011) El tiempo transcurrido JKQLJampCDampIJFHEHTKampIJampDQDFDLamp]ampEREampJcJFQMEampJEampGLdFQHFDNJKQJampHNGJLFJGQHPCJiampCMampeRJampIH^FRCQDampCDampexistencia de sistemas de alerta temprana y anticipacioacuten

Ideas clave

VltgtEI79G9lt79FDIF79G9ltB9GEB=I97IqI7IBlt9I797I9HDB-ladables al aacutembito de la ciberguerra

La existencia de ciberarmas incrementa la inestabilidad en situa-7I9G9D9F7D9 lt79 IIHq79lE97IltltqB9lt9FD8D9gt7ltFA9 lt79FD7Clt8B9G9BHDCE=I9k9lt9BDTHD9DH79G9H9HF79G9IHDE-mentos

Ciberdefensa la difusa liacutenea entre lo puacuteblico y lo privado

La gestioacuten del ciberespacio es responsabilidad de muacuteltiples actores puacuteblicos y pri-vados A pesar de la indiscutible dimensioacuten militar de la ciberguerra no resulta posible limitar las labores de defensa uacutenicamente al entramado estatal La lista de objetivos po-

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

CIB

ER

GU

ER

RA

341tenciales incluye las infraestructuras criacuteticas operadas tanto por el gobierno como por el sector privado

Una estrategia de ciberdefensa centrada uacutenicamente en las redes gubernamentales EJLgDampHKER^FHJKQJampDampCDampvMLDampIJampJSHQDLampJCampIDbMampDampEJLSHFHMEampDINHKHEQLDIMEampGMLampPDKFMEiampEHEQJNDEampde transporte o abastecimiento energeacutetico La proteccioacuten de la seguridad nacional invita a la injerencia del Estado en la seguridad informaacutetica de individuos y actores sociales y econoacutemicos

Cuadro 3 Ciberespionaje

I9lt9FBBG7A9ltB9EHDB=I9G9BIHGBG98BqB9G9G7E8IHB=I98FDB9E-F7IxB9EI9DH7A9GCG79B9ltB9IGBG9G9GFltBLBD9gtDBIG9BIHGBG9G9FBFlt9B9HDBqJ9G9 DIH79FD7HgtG79k9RBDlt79DELBD9B9 HDBqJ9G9 SD7IHDB9qgtltBGBP9lt9CDFB79 RB9 7IqDHG79 lt9 D7C79 G9 IS7D8B=I9 IClt9 I9 EIB9 BHqGBG9 8E-R798T9RBGDBP9B9GgtHBltLB=I9G9ltB9IS7D8B=I9lt8IB9lt79ltx8H9Sx79lE98FGxBI9 ltltqBD9 B9 BC79 ltB9 BFD7FB=I9G9 BIHGBG98BqB9G9GBH79I9F779gtEIG796ltBDnA9P

B9FDTHB9Glt9CDF7IBo9DGE9BltgtEI79Dgt79FD7F79Glt9F7IBo9 HDBG-cional Supone un peligro menor para los encargados de sustraer los datos La res-F7IBCltGBG9FEG9D98T9STlt8IH9IgtBGBA9GoBIG79HDB9G9x9EI9B7979IElt79DBHD79GgtHBltA9 lt79lE9gtIDB9EIB9B8FltB9 ltHB9G9CDqxH8B9lE9G7I7I9E97IG=IP

lt9CDF7IBo9HBHBlt97IHDB9EIB98FDB9FDqBGB9XHDBIoDB9lE97FDB9I9E9HDDH7D79FEG9HID9EIB9ltHEDB9F7ltxHBA9lt79lE9BCD9ltB9F7CltGBG9G9lE9H9HF79G9B7I9BSHI9B9ltB9DltB7I9CltBHDBltP9VxA9F7D9o8Flt7A9I9977gtlt9ESD=9 EIB9 CDIwltHDB=I9 7DGIBGB9 F7D9 ltB9 yFEltB9 Glt9 BDHG79 678EIHB9 RI7~9EI9IGIH9lE9BE=9gtDBq9HI7I9IHD9BRIgtH7I9k9nxIP9B98FDB9I7DHB8DBIB9ESD=9lt9D7C79G97IHIG79IClt9G9E9FD7FGBG9IHltHEBltA9Bx97879F7IBo9I9EIHB9G97DD79ltHD=I79G977gtlt9EHltLBGB9F7D9G-GIH9RI7P9lt9BHBlE9SE9BltwBG79F7D9lt79GFlt78TH79HBG7EIGI97879I9F7D9I9F7ltxH79LL99DBG7A9P9V9GSDIB9G9lt79gt7CDI7A9lE9B9q9FEGI9HDBHBD9G9gtH7IBD9ltB9D9GFlt78THB9F7D9qxB9GDHB9lE9I79Iq7ltEDI9B9ltB97FI=I9FyCltB9k9FD8HBI9EI98Bk7D98BDgtI9G98BI7CDBA9I9BltgtEI79B79ltB98FDB9FEGI9CEBD9EIB9DFDE=I9FyCltB9lE9CIw9E9IHDP977gtlt9GIEI=9FyCltB8IH9lt9BHBlE9k9B8IBL=97I9DDBD9E97FDB7I9I9lt9FBx9BTH7A9Blt9H8F79lE9HDBH=9G9Iq7ltEDBD9Blt9gt7CDI79HB-G7EIGI97ltHBIG79lE9ltB9VgtIB9G9QgtEDGBG9B7IBlt9QV9lt9BkEGB9B9esclarecer lo sucedido

Las brechas de seguridad en el sector privado convenientemente explotadas por un Estado hostil pueden tener consecuencias desastrosas para la viabilidad econoacutemica de al-

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

342

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

gunos de los grandes proyectos empresariales de un paiacutes y la construccioacuten de sus sistemas de defensa Al mismo tiempo la necesidad de mejora de los productos y servicios infor-maacuteticos privados no soacutelo se debe a cuestiones econoacutemicas buena parte de los sistemas informaacuteticos militares proceden de los mismos productos desarrollados para su venta en el mercado puacuteblico

Sin embargo el desarrollo de una estrategia global de ciberseguridad que impli-que al sector privado se enfrenta con varios problemas Las empresas no siempre estaacuten dispuestas a asumir nuevos costes para conjurar una amenaza sobre la que existe escasa conciencia A la vez se produce una relacioacuten de suma cero entre el gasto en la mejora IJampCDampEJaRLHIDIampIJCampEMcQiexclDLJampFMNJLFHDCamp]ampCMEampPJKJ^FHMEampMPQJKHIMEampGMLampCDampIHEQLHPRFHTKampIJampesos productos Las empresas informaacuteticas generalmente estaacuten dispuestas a gastar en seguridad siempre y cuando el incremento del precio no encarezca en exceso y reste competitividad a sus creaciones Normalmente las grandes empresas apuntan hacia un mercado global lo que disminuye su predisposicioacuten a asumir acuerdos o reglamentacio-nes nacionales

Maacutes delicada aun es la posibilidad de que los Estados exijan de manera encubierta a corporaciones extranjeras que desean introducir sus productos en nuevos mercados la obli-gacioacuten de desvelar el disentildeo de seguridad de su software En caso de hacerlo los sistemas basados en ese software se vuelven vulnerables Esta situacioacuten ya ha tenido lugar en el caso del gobierno chino el cual se ha mostrado muy susceptible ante la posibilidad de que los nuevos productos tecnoloacutegicos (especialmente aquellos que incorporan encriptacioacuten de datos) pudiesen debilitar la capacidad de monitorizacioacuten de las comunicaciones de sus ciudadanos El acceso a dicho coacutedigo permite a China ejercer un estrecho control sobre sus internautas al tiempo que potencia sus capacidades de ciberguerra contra otros Estados que utilizan esos mismos productos (Harris 2008)

Las repercusiones estrateacutegicas de las iniciativas empresariales en la ciberguerra no se limitan al acceso por parte de algunos gobiernos a tecnologiacuteas y productos orientados al ciberespacio Algunas ciberarmas son aplicaciones informaacuteticas de un solo uso que han EHIMampIJEDLLMCCDIDEampIJampNDKJLDampJEGJFg^FDampGDLDampDQDFDLamp CDEampSRCKJLDPHCHIDIJEampIJampRKampIJQJLNH-nado sistema La viabilidad de este tipo de acciones depende de la capacidad de acceder y estudiar sin limitaciones la red o maquinaria que se quiere atacar asiacute como de testar el ciberarma en un entorno controlado y discreto (veacutease el cuadro 4)

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

CIB

ER

GU

ER

RA

343

Cuadro 4 Stuxnet

lt9QHEXIH99EI79G9lt79IHDE8IH79G9CDgtEDDB98T97wHBG79lE99RBI9EHltLBG79RBHB9lt9878IH79BDpltlt997R7LInA9P9Q9BltEltB9lE9E9B=I9SE9BFBL9G9GHDED98T9G9P9IHDSEgtBG7DB9G9EDBI79DBIx9IHD99k9A9lt79lE9gtyI9BltgtEI79BEH7D9RBCDxB97IgtEG79DHBDGBD9lt9FD7gtDB8B9IEltBD9IHD7GEIG798T9H8F79I9lt9Dlt7o9G9ltB978EIGBG9IHDIB7IBltP

799RB9DqltBG79lEJI9SBCD=9lt9QHEXIHA9FD799DBL7IBClt9FIBD9lE9E9GB-DD7ltlt797IH=97I9lt9DFBltG79G9EI79qBD79gt7CDI7P9E9DBG797I9lt9yI797CoHq79G9FD7q7BD9EI978F7DHB8IH79BEH7GHDEHq79I9ltB9IHDSEgtBG7DB9Glt978Flto79IEltBD9G9BHBILA9lE9EHltLBCBI9EI9H8B9IS7D8TH79GBDD7ltltBG79F7D9ltB978FBvxB9alemana Siemens Ademaacutes de conocer los detalles maacutes nimios del sistema a atacar E97DDH79SEI7IB8IH79DlEDxB9EI9FD779G9IBk7NDD7D97I98BlEIBDB9DBltA9FBDB97DDgtD9Bx9E9BDIB9k97IqDHDlt79I9EI9BD8B9qDGBGDB8IH9wBLP9H9DBL7IB8IH799q79I9CEIB98GGB9DFBltGBG79F7D9EIB9IS7D8B=I9FECltBGB9F7D9R9p97Dn98A9lE9IGBCB9lE9lt978Flto79IEltBD9G987IBA9I9lt9GDH79DBltxA9RBCxB9DqG79GEDBIH9G79Bv797879ltEgtBD9G9XFD8IHB=I9G9QHEXIHP

Una uacuteltima faceta interesante de la relacioacuten entre lo puacuteblico y lo privado en la ciber-guerra tiene lugar cuando una empresa privada ayuda a un Estado para que mejore sus ca-pacidades de ciberdefensa o desarrolle su arsenal ciberneacutetico Tales iniciativas pueden in-SMCRFLDLDampRKampQJLFJLampuEQDIMampJKampRKampFMKUHFQMampDJKM_amptEgiampGMLampJJNGCMiampIRLDKQJampJCampQLDKEFRLEMampIJCampFMKUHFQMampNHCHQDLampJKQLJampcentJMLaHDamp]ampREHDampJKampJCampSJLDKMampIJampyzzpoundiampRKDampJNGLJEDampKMLQJDNJLHFDKDiampsin que mediase autorizacioacuten ni conocimiento por parte de Washington decidioacute prestar sus servicios al gobierno georgiano trasladando su informacioacuten a servidores estadounidenses Los hackers rusos atacaron tambieacuten esos servidores afectando a otros servicios lo que extendioacute los dantildeos de la guerra ruso-georgiana a Estados Unidos

Ideas clave

B978FltoB9IBHEDBltLB9FyClt7NFDqBGB9G9 lt79FDIFBlt9BHq79G9 ltB9CDGSIB9RB9IBDB9EIB9HDRB977FDB=I9IHD9lt79gt7CDI7A9ltB9BgtIB9G9gtEDGBG9k9lt9H7D97I=879FDqBG7P

Lecciones de estrategia nuclear aplicables a una estrategia

de ciberguerra

A pesar de las evidentes diferencias en cuanto a su naturaleza capacidad destructiva y el contexto geopoliacutetico donde tiene su origen el desarrollo de una estrategia sobre ciber-

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

344

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

guerra puede alimentarse de la experiencia proveniente de varias deacutecadas de pensamiento estrateacutegico sobre el uso de armas nucleares Asiacute por ejemplo existen numerosos paralelis-mos entre ciberarmas y armas nucleares con respecto a (Nye 2011)

a) La superioridad de las acciones ofensivas sobre las defensivas

b) `RampGMQJKFHDCampDGCHFDFHTKampGDLDamp^KJEampQdFQHFMEamp]ampJEQLDQVaHFME_

c) La existencia de escenarios diferenciados de primer y segundo uso de estas armas

d) La posibilidad de crear respuestas automatizadas cuando el tiempo es escaso

e) La existencia de consecuencias imprevistas y efectos en cascada cuando una tecnologiacutea es nueva y escasamente comprendida

f) La creencia de que las nuevas armas pueden ejercer el papel de laquoniveladoresraquo eRJamp GJLNHQJKamp eRJamp RKamp uEQDIMamp GJeRJbMamp GRJIDamp IJED^DLamp IHLJFQDNJKQJamp Damp RKamp uEQDIMampmucho maacutes poderoso

Seguacuten Joseph S Nye estas similitudes hacen aconsejable tener presentes varias lec-ciones provenientes de la estrategia nuclear aplicables al aacutembito de la ciberguerra

a) El cambio tecnoloacutegico transforma continuamente los pilares sobre los que se asien-

ta la estrategia Asiacute por ejemplo inmediatamente despueacutes de la invencioacuten de la bomba DQTNHFDiampEJampFLJgDampeRJampCMEampNDQJLHDCJEampeRJampvDFgDKampGMEHPCJampCDamp^EHTKampKRFCJDLampJLDKampJEFDEMEamp]iampGMLamptanto la disponibilidad de bombas atoacutemicas muy limitada Sin embargo la invencioacuten de la bomba de hidroacutegeno en la deacutecada de los cincuenta no soacutelo aumentoacute la capacidad destructi-va de estas armas sino que permitioacute que su fabricacioacuten fuese ilimitada Al mismo tiempo su miniaturizacioacuten hizo factible desplegarlas en nuevos tipos de dispositivos como por ejemplo los misiles intercontinentales algo que alteroacute el caacutelculo estrateacutegico

En la actualidad se habla de la necesidad de reducir las vulnerabilidades en el cibe-respacio redisentildeando internet para que la atribucioacuten de responsabilidades sea maacutes sencilla mejorando el disentildeo del software o manteniendo fuera de las redes comerciales a los siste-mas maacutes sensibles Pero es inevitable que se sigan produciendo innovaciones tecnoloacutegicas que conviertan en obsoletas algunas de las actuales premisas Por tanto toda estrategia para la ciberguerra deberaacute someterse a un raacutepido reajuste de sus presupuestos

b) Las nuevas tecnologiacuteas afectan a las relaciones ciacutevico-militares Las diferentes instituciones del Estado extraen lecciones diferentes y a ritmos distintos de la introduccioacuten de tecnologiacuteas revolucionarias lo cual puede provocar alteraciones del statu quo alen-tando la competicioacuten entre los diferentes oacuterganos burocraacuteticos Al comienzo de la era nu-

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

CIB

ER

GU

ER

RA

345FCJDLiampCDEampVCHQJEampaRPJLKDNJKQDCJEampIJEDLLMCCDLMKampGLMFJIHNHJKQMEampGDLDampNDKQJKJLamp]ampLJD^LNDLampel control civil sobre dicha tecnologiacutea Este proceso fue complejo debido a la existencia de diferentes visiones y culturas organizacionales en el aacutembito poliacutetico y militar sobre coacutemo se veiacutea afectada la operatividad de la fuerza nuclear y la capacidad de respuesta por la reestructuracioacuten de las cadenas de mando y el establecimiento de mecanismos de auto-rizacioacuten muacuteltiple Puede ocurrir que en lo referido a la ciberguerra se reproduzcan y sean maacutes complejas por la necesidad de sumar en el proceso a un aacutembito tan heterogeacuteneo como el de las empresas multinacionales

c) Los usos civiles de las nuevas tecnologiacuteas complican el establecimiento de estra-

tegias de seguridad efectivas En el aacutembito de la ciberseguridad el sector privado no es soacutelo una parte afectada sino una pieza fundamental que gestiona la mayoriacutea de las redes e infraestructuras que sustentan el ciberespacio lo que provoca que la capacidad de ac-tuacioacuten del Estado sea mucho maacutes reducida Aunque las empresas estaacuten interesadas en incrementar su propia seguridad y la del conjunto la puesta en marcha de una estrategia de ciberseguridad capaz de aglutinar y coordinar a todas las partes se ve obstaculizada por la existencia de diferentes perspectivas y de un entorno de competencia econoacutemica y recelos que hacen difiacutecil la cooperacioacuten

d) El consenso puede originarse sin necesidad previa de cooperacioacuten Tanto la Unioacuten Sovieacutetica como Estados Unidos a partir de visiones distintas llegaron a compartir en para-lelo una misma visioacuten sobre las normas de conducta con respecto al uso del arma nuclear La experiencia acumulada a partir de falsas alarmas y algunos incidentes propiciaron que ambos gobiernos tuviesen una perspectiva semejante sobre los peligros de la escalada mi-CHQDLiampCDampIHcREHTKampIJampJEQDampQJFKMCMagDamp]ampCDampKJFJEHIDIampIJampJEQDPCJFJLampNJFDKHENMEampJEGJFg^FMEampIJampcontrol y autorizacioacuten Los acuerdos expliacutecitos constataron unas creencias a las que ambas partes habiacutean llegado por separado

La reticencia de algunos paiacuteses a sumarse a la cooperacioacuten internacional para estable-cer un mecanismo de gobierno del ciberespacio puede verse superada cuando estos actores lleguen por siacute solos a las mismas conclusiones Asiacute por ejemplo es posible que Rusia y China abandonen su negativa a suscribir los acuerdos internacionales en contra de la ciber-FLHNHKDCHIDIiampFRDKIMampGJLFHPDKampeRJampCMEampFMEQJEampIJampQMCJLDLampQDCJEampaLRGMEampERGJLDKampCMEampPJKJ^FHMEampde su presencia Aunque este aprendizaje puede producirse de manera discontinua y como FMKEJFRJKFHDampIJampFLHEHEampJEGJFg^FDEiampKMampJEampIJEFDLQDPCJiampGMLampQDKQMiampRKDampSHEHTKampHKQJLKDFHMKDCamphomogeacutenea sobre las grandes cuestiones de la ciberguerra sin que se haya producido una cooperacioacuten activa

e) La disuasioacuten es compleja y no se limita soacutelo a las represalias En el aacutembito de la ciberguerra cabe la posibilidad de generar una disuasioacuten que vaya maacutes allaacute del desarrollo de cibercapacidades ofensivas para una respuesta inmediata Por ejemplo una alternativa consistiriacutea en proteger los ciberintereses desarrollando defensas activas (como las que ejer-

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

346

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

FJLgDampRKDampSDCCDampJCJFQLH^FDID|ampeRJampGJLNHQDKampeRJampJCampDQDFDKQJampEJampHKcLHKDampDampEgampNHENMampJCampIDbM_ampDe igual modo se pueden implementar acciones que dantildeen el poder blando del atacante erosionando la reputacioacuten y credibilidad de aquellos actores que no respeten las reglas baacutesicas de conducta en el ciberespacio

Ideas clave

Debido a la existencia de algunos paralelismos el desarrollo de una es-HDBHgtB9G9CDgtEDGBG9FEG9qD9IDlEGB9F7D9ltB9I7DF7DB=I9G9lecciones procedentes del aacutembito de la estrategia nuclear

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

CIB

ER

GU

ER

RA

347

Para saber maacutes

HLA9BqG9P9k9QHqIA989A9M6kCDFB9BIG9HR9QHBH~97pBDG9B9QHDBHgtk9S7D96kCDNF7pDOA9Adelphi Series vol 51 No 424

6BDDA9SSDk9A9C)D$E=3$F(($QCBH7F7ltA9Ultltk9GBP

7kBIA9E9GP9 A9E3$$-D(D7G$=($)(1(( +($-D(D)(-

cional en el ciberespacio 6EBGDI79G9HDBHgtBA97P9A Madrid Ministerio de SIBP

DB8DA9DBInltI9P 9QHBDDA9QHEBDH9iexclPA9k9IHLA9BDDk9GP9A9Cyberpower and

National SecurityA9BRIgtH7I96A97H78B977n9zIP

BIgtqIA9P9P 9BEltA9P9P 96RBDIkA9QPA9k9BGEgtA9iexclP9A9Securing Cybers-

pace for the 44th PresidencyA9BRIgtH7I96A96IHD9S7D9QHDBHgt9BIG9zIHDIBH7IBlt9Studies

CnA9BDHI9 centA9Conquest in Cyberspace National Security and Information

F(($ 6B8CDGgtA96B8CDGgt9|IqDHk9DP

7DGA9DHI9P9k9QRBDFA9DBq9GP9A9L$0(ME=3$O$ Security and

Prosperity in the Information Age q7ltP9zzA9BRIgtH7I96A96IHD9S7D9B9p9V8DBI9QEDHkP

BH7IBlt9VBG8k97S9QI9A9Q0$$D)-(FRUamp)V$$)-E=-

3$L(0RWC))-X($-$()DV$Y$+amp)-Zamp)[7X7Q+0= Washington DC The National Academies Press

kA97FR9QP9DP9A9Cyber PowerA96B8CDGgt9VA9ltSD96IHD9S7D9QI9BIG9zIHDIBH7IBlt9VSSBDA9iexclBDqBDG9|IqDHkP

kA97FR9QP9DP9A9M6kCDFB9BDOA9The New York TimesA9cent9G9SCDD7P

BHHDBkA9Dgt7Dk9P9A9X($-0F(($)E=3$amp(0$ 7H7IA9R9z9DP

QRBRH8BIA97BR9A9Pirates of the ISPs Tactics for Turning online Crooks into

International Pariahs BRIgtH7I96A9D77nIgt9zIHHEH7IP

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel

348

MA

NU

AL

DE

ES

TU

DIO

S E

ST

RA

TEacute

GIC

OS

Y S

EG

UR

IDA

D IN

TE

RN

AC

ION

AL

Sitios web recomendados

6kCD967ImH9QHEG9V7BH7I966QV~

pppPkCD7ImHP7Dgtcurreniexcl78

BIgtD97789lt7gt~

wwwwiredcomdangerroom

ED7FBI9Hp7Dn9BIG9zIS7D8BH7I9QEDHk9VgtIk9zQV~

wwwenisaeuropaeu

zIS7pBD97IH7D~

pppPIS7pBDN87IH7DPIH

IDqB9D7oH~

webmiteduecirhomehtml

VU9677FDBHq96kCD9SI96IHD97S9XltltI9666U~9

wwwccdcoeorg

R96CDEDHk97DE89zIBHq~

pppPwPE

R9DpBltltP9R97DltG97S9QEDHk~

Clt7gtPS7DCP78currenwDpBltlt

RDBH9qlt9lt7gt~

wwwwiredcomthreatlevel