Infraestructura nacional y ciberresiliencia: la ilusión de control

La infraestructura nacional de Gran Bretaña podría quedar parcialmente bajo control estatal en un futuro próximo. Los especialistas debaten acaloradamente sobre inversiones, gestión y rendición de cuentas. Sin embargo, en la sombra de estas discusiones queda una amenaza clave: la ciberseguridad. Da igual quién sea el propietario de las instalaciones críticas, si empresas privadas o el Estado: la amenaza de un ataque informático no desaparece. Al contrario: la gente deposita muchas más esperanzas en los servicios públicos, esperando estabilidad, coordinación y protección frente a catástrofes digitales.

El principal peligro no reside en las propias empresas, sino en la maraña de cadenas de suministro, contratistas digitales e intermediarios tecnológicos. Las compañías eléctricas, las empresas de agua, los operadores de transporte y las clínicas llevan tiempo viviendo en un mundo de dependencias mutuas, donde el fallo de un componente contagia a todo el ecosistema. Los hackers lo saben perfectamente: atacar a uno es paralizar a cientos.

Así ocurrió con el célebre ataque a SolarWinds: la intrusión en un programa propagó sus consecuencias a miles de organizaciones de todo el mundo. O con el caso reciente del ataque de ransomware contra Synnovis, que inutilizó los sistemas de diagnóstico de los hospitales del NHS y paralizó la atención a los pacientes. ¿La conclusión? Las amenazas se cuelan por las cadenas de suministro con la misma facilidad que el agua por un grifo agujereado.

El viejo enfoque de «cada uno a lo suyo» ya no funciona. Aumentar a ciegas el número de alertas e informes de vulnerabilidades hace que la seguridad se ahogue en una avalancha de ruido informativo. La industria de la ciberseguridad insistía en que lo importante era ver todas las amenazas. En la práctica, cuanto más informes ve un especialista, más a menudo se le escapa lo esencial.

Informes recientes, como Filigran State of Threat Management, lo confirman: las organizaciones utilizan una media de 14 fuentes de amenazas, pero menos de la mitad sabe aprovechar esos datos como es debido. El 84 % de los encuestados admitió que los atacan aprovechando precisamente esas vulnerabilidades que conocían desde hacía tiempo, pero que no se habían molestado en cerrar. Y casi todos se pierden intentando averiguar si la amenaza que tienen delante es real o un fantasma más.

Hoy el principal problema no es detectar riesgos, sino decidir a cuál atender primero. Al final, las tareas importantes se hunden en un pantano de informes irrelevantes y hay que resolverlo todo a la vez, sin llegar a ninguna parte. Cada investigación innecesaria supone una hora menos para proteger los procesos que de verdad importan.

También están las barreras organizativas dentro de las propias empresas: unos analizan las amenazas, otros hacen las pruebas y otros elaboran las políticas. Coordinar esfuerzos sigue siendo más difícil que implantar un nuevo sistema informático de moda. En cambio, donde esa simbiosis empieza a funcionar con antelación, también mejora la resiliencia general de la infraestructura.

En Gran Bretaña acaba de arrancar la iniciativa Cyber Shield: un sistema de protección nacional en el que el Estado invita a empresas, expertos y académicos a coordinarse, implantar inteligencia artificial, compartir análisis y responder de forma conjunta. La idea es sencilla: el Estado no puede arreglárselas solo. El nuevo proyecto de ley sobre ciberresiliencia (Cyber Security and Resilience Bill) también pretende acercar los distintos enfoques. Las plataformas universales y estandarizadas no son un mero eslogan bonito: por ejemplo, en los Países Bajos, la reciente decisión de hacer obligatorios STIX y TAXII 2.1 para intercambiar información sobre ciberamenazas aceleró la respuesta a estas.

Sin embargo, las tecnologías brillantes pueden resultar inútiles si se utilizan a la antigua: sin entender el contexto, sin colaboración y confiando en algoritmos milagrosos. La rapidez de respuesta se convierte en un correteo de pánico cuando no se sabe qué hay que proteger exactamente.

Así pues, la receta principal para garantizar la resiliencia futura de los servicios críticos no está en acumular ruido informativo ni en adoptar tecnologías de moda. Consiste en convertir la protección en una tarea común, aprender a detectar y validar de antemano las amenazas reales, compartir experiencias y responder al unísono. La amenaza no pregunta si se enfrenta a una empresa privada o estatal. Busca el eslabón débil. Y para hacerle frente hace falta un ejército unido, no soldaditos desperdigados.