La coalición de gobierno ha acordado en su contrato que “dentro del marco de lo que es constitucionalmente posible, vamos a mejorar nuestras capacidades de defensa activa en el ciberespacio”. Ahora se plantea la pregunta de cómo se puede implementar este aumento de capacidades. ¿Cuáles serán las habilidades de defensa activa en el ciberespacio que tendrá Alemania en el futuro y quién tendrá acceso a ellas?
En la actualidad, Alemania no tiene una definición unificada de defensa activa en el ciberespacio. En general, la defensa activa en el ciberespacio incluye todas las medidas de seguridad informática que se toman por debajo del umbral del conflicto armado, con el objetivo de prevenir, investigar o detener ataques cibernéticos. Estas medidas se toman cuando se espera un ataque cibernético inminente o cuando ya ha comenzado. Las medidas individuales de la defensa activa en el ciberespacio incluyen la manipulación del tráfico de datos e Internet, la desconexión, el acceso o la neutralización de los recursos de red utilizados por el atacante, la eliminación de vulnerabilidades y software malicioso en los sistemas del atacado y el aprovechamiento de vulnerabilidades (públicas y no públicas).
Para lograr este objetivo de la defensa activa en el ciberespacio, se recomienda que el gobierno federal alemán tome las siguientes medidas: en primer lugar, establezca claramente qué entiende por defensa activa en el ciberespacio y, en segundo lugar, determine qué efectos se desean lograr mediante las diferentes formas de defensa activa en el ciberespacio. A partir de los efectos deseados, se puede desarrollar una caja de herramientas de respuesta en la que las medidas se ordenen por categorías (por ejemplo, intervenciones técnicas, investigación, engaño o cooperación internacional) y se vinculen a posibles oportunidades y riesgos. De esta manera, se puede elegir una medida adecuada para diferentes contextos de aplicación (por ejemplo, la limitación de daños, la disuasión o la investigación).
Reacciones de los analistas
Las actuales análisis se centran principalmente en las posibilidades de la defensa activa en el ciberespacio. Se centran principalmente en la infraestructura del atacante y del atacado, y pasan por alto las consecuencias más amplias de las medidas. Una consideración sistemática de las consecuencias permite una evaluación más completa de los costos y beneficios y permite una mejor estimación de los resultados de la medida. El objetivo es un mejor entendimiento de las opciones de acción políticas.
Las diferentes consecuencias de las medidas de defensa activa en el ciberespacio se pueden categorizar en consecuencias técnicas, cognitivas, legales y sociales.
Consecuencias técnicas: herramientas cambian y prácticas se aclaran
La consecuencia técnica de las medidas de defensa activa en el ciberespacio consiste principalmente en perturbar o interrumpir las operaciones del atacante, por ejemplo, mediante el apagado de los servidores de control y comando o el reenvío de los flujos de datos. A través de medidas específicas, se pueden retrasar, sabotear o neutralizar completamente las herramientas del atacante (cambio técnico). Al mismo tiempo, las medidas pueden proporcionar valiosos detalles técnicos sobre las infraestructuras y vulnerabilidades del atacante (investigación técnica). Sin embargo, la defensa activa en el ciberespacio siempre conlleva el riesgo de efectos secundarios no deseados en sistemas no involucrados.
Consecuencias cognitivas: atacantes se engañan tácticamente y se disuaden estratégicamente
La defensa activa en el ciberespacio puede provocar una consecuencia cognitiva en el atacante, tanto en el ámbito estatal como en el ámbito no estatal (incluidos ciberdelincuentes y grupos privados). Pueden ser engañosos, manipuladores o confusos. Para mitigar un ataque, por ejemplo, se pueden cambiar los contraseñas o los datos recibidos en los sistemas del atacante. La esfera cognitiva del atacante se vería influenciada y potencialmente desorientada. Esto requiere que el atacante crea que la falla se produjo en su esfera o en sus sistemas y que no se produjo sin un activo intercambio del defensor. Si el atacante sabe que el defensor está en sus sistemas o que transmite falsos datos activamente, esto puede provocar una consecuencia disuasoria, incluso si los principios de la disuasión no se pueden transferir fácilmente al ciberespacio, especialmente debido a los problemas de atribución y demostración.
Un buen ejemplo es una operación policial multinacional en la que participaron también las autoridades alemanas. Como parte de la defensa activa en el ciberespacio, se tomaron los servidores de una red de ransomware y se reemplazó la página de clientes de la red con un banner policial. Esta comunicación de la desenmascaramiento ha provocado una consecuencia disuasoria. Incluso dos meses después de la operación, la red de ransomware casi no ha realizado nuevos ataques ni ha presentado nuevos objetivos en su “leak” web.
Consecuencias legales: responsabilidad jurídica se confirma
La consecuencia legal de la defensa activa en el ciberespacio muestra las actuales limitaciones legales y destaca la necesidad de crear reglas claras. Se encuentra en un campo de tensión entre el derecho estatal a actuar y las obligaciones constitucionales y völkerrechticas existentes. Las intervenciones en sistemas de IT extranjeros pueden considerarse una violación de la soberanía estatal y ser constitucionalmente problemáticas. Incluso intervenciones técnicamente limitadas, como el reenvío de flujos de datos, plantean preguntas procesales y de responsabilidad. En el nivel nacional, esto genera un problema de legitimidad si las autoridades estatales actúan sin una base legal clara o sin un control parlamentario adecuado. Además, la defensa activa en el ciberespacio puede provocar incertidumbre legal, controversias diplomáticas y pérdida de confianza. Internacionalmente, estas medidas conllevan el riesgo de controversias diplomáticas y pueden funcionar como precedentes que cuestionan el derecho existente.
Una sozioökonomica efectiva puede ser verificable y evitar daños. Comunicar una medida exitosa de la defensa cibernética activa puede generar confianza en la seguridad y la capacidad de acción del Estado. Sin embargo, daños colaterales o medidas de defensa fallidas pueden generar desconfianza y cuestionar la responsabilidad.
Desde una perspectiva económica, las medidas de defensa cibernética activa tienen efectos mixtos. Para las empresas y las autoridades, los beneficios incluyen la reducción de costos de daños, ya que se pueden evitar paradas de producción, pérdidas de datos o pagos de rescate. Para los atacantes, los costos y riesgos aumentan. Deben invertir más recursos en investigación, desarrollo de herramientas y ejecución, mientras que la rentabilidad disminuye. A nivel macroeconómico, las medidas de defensa activa pueden generar externalidades positivas, aumentando la resiliencia de una economía y promoviendo nuevos mercados para tecnologías de seguridad. Además, el sector de seguros se beneficia con la disminución de las sumas de daños.
Sin embargo, las autoridades defensoras enfrentan importantes costos de inversión y operación. Una escalada con el atacante es posible, lo que puede generar costos de reputación o consecuencias.
Recomendaciones de acción: capturar medidas, sistematizar efectos, crear una caja de herramientas de reacción
No todas las medidas de defensa cibernética activa cumplen con todos los efectos y, por supuesto, no en igual medida. El caso individual decide sobre el alcance. Sin embargo, siempre deben considerarse todos los efectos. Para ello, cada medida de defensa cibernética activa debe someterse a una análisis costo-beneficio. En este sentido, una caja de herramientas de reacción puede ser de ayuda.
Esta caja de herramientas es un conjunto digital de herramientas en forma de matriz que representa las medidas, la categoría de efecto, así como las oportunidades y riesgos. Puede servir como una caja de herramientas para ayudar a las tomadoras y tomadores de decisiones en el espacio cibernético a actuar de manera situacional y considerando los criterios relevantes. Las opciones de acción están disponibles y las autoridades políticas pueden elegir qué combinación de medidas es más sensata. Los riesgos y oportunidades están documentados sistemáticamente y permiten una cálculo de costo-beneficio provisional. Además, crea legitimidad a través de un procedimiento establecido.
Si se produce un ataque cibernético en la infraestructura energética crítica, varias medidas de la caja de herramientas de reacción pueden ser utilizadas: técnicamente, por ejemplo, la desconexión de servidores de control y comando del atacante para detener el ataque inmediatamente – efectivo, pero con riesgo de daños colaterales. Cognitivamente, se pueden generar confusión y desorientación a través de advertencias y datos engañosos, pero con riesgo de escalada. Legalmente, la creación de consultas internacionales genera legitimidad, pero a menudo es lenta. Socialmente, la comunicación transparente de crisis fortalece la confianza de la población, pero puede volverse en su contra si los ataques persisten.
La administración federal tiene ahora un momento favorable para ampliar y fortalecer la defensa cibernética activa de manera basada en hechos. Muchas cosas son técnicamente posibles, pero no todo es eficaz. Por lo tanto, el enfoque en las consecuencias de las medidas de la defensa cibernética activa en la caja de herramientas de reacción es decisivo. Además, parece aconsejable iniciar una discusión sobre cuáles de las autoridades dentro de la arquitectura de seguridad cibernética estatal deberían recibir qué facultades de la defensa cibernética activa o no.
La caja de herramientas de reacción debe ser integrada en la estrategia de seguridad cibernética revisada y en la estrategia de seguridad nacional. En este contexto, podría también lograrse que el Centro Nacional de Defensa Cibernética (Cyber-AZ) sea una institución que merece su nombre. El Cyber-AZ podría ser el foro adecuado para la defensa cibernética activa de Alemania como centro de la defensa cibernética y guardián de la caja de herramientas de reacción. Para que esto se haga realidad, la administración federal debe asumir la cuestión con urgencia y prioridad para aprovechar el momento decisivo.
