La coalición de gobierno ha acordado en su contrato que «dentro de los límites constitucionales, ampliaremos nuestras capacidades de defensa activa en el ciberespacio». Ahora se plantea la pregunta de cómo se puede implementar este aumento. ¿Cuáles serán las capacidades de defensa activa en el ciberespacio que tendrá Alemania en el futuro y quién tendrá acceso a ellas?
Hasta ahora, no hay una definición unificada de defensa activa en el ciberespacio en Alemania. En general, la defensa activa en el ciberespacio incluye todas las medidas de seguridad informática que se toman por debajo del umbral del conflicto armado, con el objetivo de prevenir, investigar o detener ataques cibernéticos. Estas medidas se toman cuando se espera un ataque cibernético inminente o cuando ya ha comenzado. Las medidas de defensa activa en el ciberespacio incluyen: la manipulación del tráfico de datos e Internet, la desconexión, el acceso o la neutralización de los recursos de red utilizados por el atacante, la eliminación de vulnerabilidades y software malicioso en los sistemas del atacado y el aprovechamiento de vulnerabilidades (públicas y no públicas).
Objetivos de la defensa activa en el ciberespacio
Para lograr este objetivo, la administración federal debe abordar primero lo siguiente: en primer lugar, definir con claridad qué entiende por defensa activa en el ciberespacio, y en segundo lugar, qué efectos se desean producir mediante las diferentes formas de defensa activa en el ciberespacio. A partir de los efectos deseados que se producen mediante las medidas, se puede desarrollar una caja de herramientas de respuesta en la que se ordenen las medidas según categorías (por ejemplo, intervenciones técnicas, investigación, engaño o cooperación internacional) y se vinculen a posibles oportunidades y riesgos. De esta manera, se puede elegir una medida adecuada para diferentes contextos de aplicación (por ejemplo, limitación de daños, disuasión o investigación).
Las actuales análisis se centran principalmente en las posibilidades de la defensa activa en el ciberespacio. Se centran principalmente en la infraestructura del atacante y del atacado, y pasan por alto los efectos adicionales que se producen. Una consideración sistemática de los efectos permite una evaluación más completa de los costos y beneficios y una mejor estimación de las consecuencias de la medida. El objetivo es un mejor entendimiento de las opciones de acción políticas.
Tipos de efectos de la defensa activa en el ciberespacio
Los efectos de las medidas de defensa activa en el ciberespacio se pueden clasificar en efectos técnicos, cognitivos, legales y socioeconómicos.
Efectos técnicos
El efecto técnico de las medidas de defensa activa en el ciberespacio consiste principalmente en perturbar o interrumpir las operaciones del atacante, por ejemplo, desconectando los servidores de control y comando o reenviando los flujos de datos. A través de medidas específicas, se pueden retrasar, sabotear o neutralizar completamente las herramientas del atacante (cambio técnico). Al mismo tiempo, las medidas pueden proporcionar detalles técnicos valiosos sobre las infraestructuras y vulnerabilidades del atacante (investigación técnica). Sin embargo, la defensa activa en el ciberespacio siempre conlleva el riesgo de efectos secundarios no deseados en sistemas no afectados.
Efectos cognitivos
La defensa activa en el ciberespacio puede producir un efecto cognitivo en el atacante en el nivel táctico. Puede ser engañante, manipulador o confundente. Para mitigar un ataque, por ejemplo, se pueden cambiar los contraseñas o los datos recibidos en los sistemas del atacante. La esfera cognitiva del atacante se vería afectada y podría ser desviada. Esto supone que el atacante cree que la falla se produjo en su esfera o en sus sistemas y que no se produjo sin la intervención activa del defensor. Si el atacante sabe que el defensor está en sus sistemas o que transmite datos falsos, puede producirse un efecto disuasorio, incluso si no se pueden transferir los efectos disuasorios directamente al ciberespacio, especialmente debido a los problemas de atribución y demostración.
Un ejemplo es una operación policial multinacional en la que participaron también las autoridades alemanas. Como parte de la defensa activa en el ciberespacio, se tomaron los servidores de una red de ransomware y se reemplazó la página de clientes de la red con un banner policial. Esta comunicación de la desvelación produjo un efecto disuasorio. Incluso dos meses después de la operación, la red de ransomware casi no realizó nuevos ataques ni nuevos objetivos en su página de «leak».
Efectos legales
El efecto legal de la defensa activa en el ciberespacio muestra las actuales limitaciones legales y destaca la necesidad de crear reglas claras. Se encuentra en un campo de tensión entre el derecho estatal de actuar y las obligaciones constitucionales y völkerrechticas existentes. Las intervenciones en sistemas de TI extranjeros pueden considerarse una violación de la soberanía estatal y ser constitucionalmente problemáticas. Incluso intervenciones técnicamente limitadas, como el reenvío de flujos de datos, plantean preguntas procesales y de responsabilidad. En el nivel nacional, esto produce un problema de legitimación si las autoridades estatales actúan sin una base legal clara o sin suficiente control parlamentario. Además, la defensa activa en el ciberespacio puede producir incertidumbre legal, controversias diplomáticas y pérdida de confianza. Internacionalmente, estas medidas conllevan el riesgo de controversias diplomáticas y pueden servir como precedentes que cuestionen el derecho existente.
Una sozioökonomica efectiva puede ser vertrauensbildend ante la opinión pública. Si se comunica una medida exitosa de la defensa activa contra el ciberataque, puede aumentar la confianza en la seguridad y la capacidad de acción del Estado. Sin embargo, también pueden surgir daños colaterales o medidas de defensa fallidas que generen desconfianza y plantean cuestiones de responsabilidad.
Desde una perspectiva económica, las medidas de defensa activa contra el ciberataque tienen diferentes efectos mixtos. Para las empresas y las autoridades, los beneficios incluyen la reducción de costos de daños, ya que se pueden evitar paradas de producción, pérdidas de datos o pagos de rescate. Para los atacantes, en cambio, aumentan los costos y los riesgos. Deben invertir más recursos en investigación, desarrollo de herramientas y ejecución, mientras que la rentabilidad disminuye. A nivel macroeconómico, las medidas de defensa activa pueden generar externalidades positivas al aumentar la resiliencia de una economía y fomentar nuevos mercados para tecnologías de seguridad. Además, el sector de seguros beneficia de una disminución de las pérdidas.
Sin embargo, se enfrentan importantes inversiones y costos de operación para los defensores. Una escalada con el atacante es posible, lo que puede generar costos de reputación o consecuencias.
Recomendaciones de acción: registrar medidas, sistematizar efectos, crear una caja de herramientas de reacción
No todas las medidas de defensa activa contra el ciberataque cumplen con todos los efectos y, por supuesto, no en igual medida. El caso individual decide sobre la amplitud. Sin embargo, siempre deben tenerse en cuenta todos los efectos. Para ello, cada medida de defensa activa contra el ciberataque debe someterse a una análisis costo-beneficio. En este sentido, una caja de herramientas de reacción puede ser de ayuda.
Esta caja de herramientas es un conjunto digital de herramientas en forma de matriz que representa las medidas, la categoría de efecto y las oportunidades y riesgos. Puede servir como un conjunto de herramientas para ayudar a los tomadores de decisiones en el espacio cibernético a actuar de manera situacional y a considerar los criterios relevantes. Las opciones de acción están disponibles y los responsables políticos pueden elegir qué combinación de medidas es más adecuada. Los riesgos y oportunidades están documentados sistemáticamente y permiten una cálculo costo-beneficio provisional rápido. Además, crea legitimidad a través de un procedimiento establecido.
Si se produce un ataque cibernético contra infraestructura energética crítica, podrían ser utilizadas diferentes medidas de la caja de herramientas de reacción: técnicamente, por ejemplo, la desconexión de servidores de control y comando del atacante podría detener el ataque inmediatamente, pero con riesgo de daños colaterales. Cognitivamente, a través de advertencias y datos engañosos, se podría generar confusión y desestimulación, pero con riesgo de escalada. Legalmente, la creación de consultas internacionales podría generar legitimidad, pero a menudo es más lento. Socialmente, una comunicación transparente de crisis puede fortalecer la confianza de la población, pero puede volverse en su contra si los ataques persisten.
La administración federal ahora tiene un momento favorable para ampliar y fortalecer la defensa activa contra el ciberataque basada en hechos. Muchas cosas son técnicamente posibles, pero no todas son eficaces. Por lo tanto, el enfoque en la efectividad de las medidas de la defensa activa contra el ciberataque en el marco de una caja de herramientas de reacción es decisivo. Además, parece aconsejable iniciar una discusión sobre cuáles de las autoridades dentro de la arquitectura de seguridad cibernética estatal deberían tener qué facultades de la defensa activa contra el ciberataque.
La caja de herramientas de reacción debería ser integrada en la estrategia de seguridad cibernética revisada y en la estrategia de seguridad nacional. En este contexto, podría ser posible elevar el Centro Nacional de Defensa contra el Ciberataque (Cyber-AZ) a una institución que merezca su nombre. El Cyber-AZ podría ser el foro adecuado para la defensa activa contra el ciberataque en Alemania, como centro de defensa cibernética y guardián de la caja de herramientas de reacción. Para que esto se haga realidad, la administración federal debe asumir la cuestión con urgencia y prioridad para aprovechar el momento decisivo.
