Todo lo que hacemos está en la red. Si usted ha sido víctima de un robo de identidad o de una estafa mediante suplantación de identidad en su correo electrónico, sabrá lo rápido que sus datos personales pueden ser robados o resultar amenazados.
Por eso es importante conocer la diferencia entre los distintos tipos de ciber-amenazas y la forma más correcta de combatirlos.
Existen tres niveles de amenaza informática:
1. Ciber-delincuencia. Los delitos informáticos perjudican a gran cantidad de estadounidenses en forma de robo y suplantación de identidad o ciber-vandalismo. En 2006, la Contraloría General de Estados Unidos (GAO) estimó que los robos de identidad en el ámbito informático les costaron a los ciudadanos y empresas de Estados Unidos casi $50,000 millones y la amenaza no ha hecho sino crecer desde entonces. Estos delitos son cometidos habitualmente por delincuentes individuales (los llamados ‘hackers’) o por organizaciones delictivas, representando la forma más común de amenaza informática.
2. Ciber-espionaje. El espionaje persigue objetivos importantes y de gran envergadura, como planos militares o planes empresariales, estando a menudo patrocinados por algún estado. Por ejemplo, China es un conocido actor malicioso del ciberespacio. Los chinos no sólo consienten y patrocinan a los hackers, sino que tienen unidades militares y gubernamentales dedicadas por entero a robar datos de otros gobiernos y de compañías privadas. China ha estado inmersa en una prolongada campaña de robo de propiedad intelectual y secretos militares de Estados Unidos. Junto con otros hackers y operaciones informáticas, China ha sustraído miles de millones, si no billones de dólares, en propiedad intelectual de Estados Unidos, por no mencionar el robo de secretos comprometedores para la seguridad nacional de Estados Unidos.
3. Guerra cibernética. Aunque los delitos y el espionaje informáticos son un grave problema, Estados Unidos se enfrenta también a la amenaza de la guerra cibernética. El desmantelamiento de las comunicaciones, los transportes u otros sistemas clave afectaría gravemente a la capacidad de respuesta de Estados Unidos frente a un ataque físico, aumentando así el daño recibido. Y aunque tal suceso es “improbable” según el director de Inteligencia Nacional, James Clapper, Estados Unidos se debe preparar para estas amenazas, ya que es probable que los terroristas o algún estado aislado hagan uso de dichos ataques a medida que vayan adquiriendo la capacidad de realizarlos.
En los tres niveles, uno de los principales problemas es el no compartir la información y, en este caso, el gobierno debería ofrecer protección en lugar de regulación. Los expertos de la Fundación Heritage recomiendan que “las entidades que compartan información sobre amenazas, vulnerabilidades y brechas informáticas deberían recibir protección legal. El hecho de que compartan con las autoridades datos relativos a un ataque o incluso sobre una brecha no debería nunca exponerlas a sufrir acciones legales”.
El gobierno no ha abordado de manera significativa estos problemas y no los puede resolver mediante regulaciones. Piense en Obamacare: la ley fue aprobada en 2010, sin embargo, sólo ahora estamos viendo las decenas de miles de páginas de regulaciones que se están redactando. Si las regulaciones sobre ciberseguridad se creasen del mismo modo, las amenazas online habrían cambiado muchas veces antes de que las regulaciones hubiesen entrado en vigor.
El presidente Obama se mostró descontento ante la falta de acción del Congreso durante el año pasado, de modo que lo eludió con una orden ejecutiva que favorece un planteamiento de ciberseguridad basado en regulación. Se tomó el camino equivocado, pero el Congreso aún puede remediarlo.