La Seguridad de la Información como un problema de Seguridad Nacional

Hoy revisando la prensa, me encuentro con dos artículos de distintos medios especializados (RSA y SecurityFocus), donde se muestra con claridad la importancia y seriedad con que se están tratando los temas de Seguridad de la Información en EEUU.

En ese sentido, llama la atención la abierta crítica a la mediocre calificación que recibieron una serie de organismos importantes del Gobierno de EEUU (como del Departamento de Estado, Departamento de Defensa, etc.), tal como se muestra en el siguiente documento.

Por otra parte, también me llama la atención la creciente importancia política del tema, tal como lo demuestra la existencia de un sub comité de Emerging Threats, Cybersecurity, and Science & Technology, dentro de la cámara de representantes de los EEUU.

Me surge la enorme duda de qué estamos esperando en Chile, para comenzar a poner estos temas en la "agenda pública" y a tomarlos con la seriedad y responsabilidad que se merecen. Además, cabe destacar, que si bien se han realizado ejercicios de "ciberataques" en EEUU, es un hecho que no se ha producido en ese país ningún evento real (al menos no se ha informado) de mayor connotación pública que haya dado origen a este tipo de medidas, como por ejemplo, lo sucedido hace algunos meses en Estonia.

Estos hechos, sucedidos en Estonia, en Abril del 2007, se iniciaron a partir del cambio de ubicación de una estatua de la era soviética (en la fotografía), desde una plaza en la capital Tallin a un cementerio militar, lo que produjo una serie de críticas y comentarios, tanto dentro como fuera del país. A los pocos días se iniciaron una serie de ataques de denegación de servicio distribuído (DDos), sobre los dos principales sitios web de bancos del país, que dejaron en una ocasión al menos el 50% de las tarjetas de crédito del país fuera de operación por 90 minutos y aproximadamente al 75% de las mismas tarjetas durante 5 minutos (1). Además, una serie de sitios del gobierno fueron atacados y "hackeados" durante el par de semanas que duraron estas acciones. Sobre este ataque, uno de los puntos que sin duda más llamó la atención, fue la solicitud formal de Estonia hacia la OTAN para que tomara cartas en este asunto.

Entonces, ¿qué estamos esperando en Chile? ¿que suceda un evento de proporciones catastróficas para que recién empecemos a tratar entender la importancia de este tema y el profundo impacto que puede tener sobre la economía y en general, sobre la "continuidad operativa del país" ?.

Al respecto, antes que todo, hay que tener en mente, que a diferencia de los riesgos de seguridad a los que están acostumbrados los países (terrorismo, gripe aviar, etc.), donde es clave la variable geográfica y política del país y de la región en que se encuentra, estamos hablando de un nuevo tipo de amenaza a la que estamos expuestos de forma exactamente igual que cualquier otro país del mundo. Por esto, situaciones como la de Estonia, son completamente factibles de ocurrir en Chile y el problema pasa a ser, simplemente, que alguien tenga los motivos y recursos suficientes para planear y llevar a cabo un ataque de este tipo. En particular, la existencia hoy en día de verdaderas mafias alredededor de las botnets (o redes de computadoras zombies), determina que existe una clara disponibilidad técnica de equipamiento como para realizar acciones similares a las ocurridas en Estonia.

Sólo con el objetivo de incentivar la discusión, dejo un par de preguntas abiertas:

• ¿ Qué pasaría, si al igual como sucedió en Estonia, se realizada un ataque de denegación de servicios distribuído (DDoS) a sitios web de importancia nacional como el Servicio de Impuestos Internos, Tesorería General de la República, Registro Civil, etc., donde la infraestructura de Internet es parte importante de su oferta de servicios ?
• ¿ Qué pasaría si ocurre un ataque destinado a inhabilitar los servicios web de los principales bancos del país, durante un período considerable de tiempo ? Hay que recordar que los ataques de denegación de servicio son extremadamente difíciles de poder contrarrestar efectivamente, especialmente cuando surgen desde "botnets", puesto que el ataque en la práctica se origina en una infinidad de computadores que están en distintos lugares del mundo y para los que no existe ningún patrón claro que pueda ser utilizado para mitigar su efecto. De más está preguntarse sobre el impacto en la economía de una situación de este tipo.

Sobre esto, resulta urgente que tanto en el ámbito público como privado se comience a entender la importancia y trascendencia de este tipo de amenazas, partiendo por conocer las situaciones que se están produciendo a nivel mundial y ver como se están abordando en otros países este tipo de eventos.

Finalmente, también creo conveniente puntualizar que considerando la gravedad y relevancia del tema, el "analfabetismo digital", de ministros de estado o senadores, no puede ni debe ser tomado como algo "simpático" o "anecdótico". No es excusa la falta de conocimiento técnicos para entender que en la medida de que se depende de las TI es necesario tomar las medidas de forma de asegurar su correcta operación en sus tres ámbitos centrales: confidencialidad, integridad y disponibilidad y no solo poner el énfasis en el primer punto, como suele hacerse. Cualquier persona hoy en día, técnico o no, puede entender el efecto que produce que los sitios web de los bancos estén una semana sin operar de forma adecuada o que el sitio web servicio de impuestos internos quede fuera de servicio por un par de días. En ese sentido, la exposición de 6 millones de registros de personas ocurrida hace algunos días, independiente de si existió "hackeo" o no, es un evento bastante "menor" si se compara con lo que podría significar para la economía y la estabilidad del país, un incidente de seguridad mayor.

Citas a artículos:

• Key Congressional Committee Strongly Criticizes Efforts to Mitigate Electric Grid Cyber Security Vulnerabilities
• Gov't shows slow progress on system security