La ciberdefensa europea

 Joaquín Mª Aguirre (UCM)

En RTVE.es nos traen un problema que ya tenemos desde hace tiempo y que el momento hace especialmente conflictivo: el uso de Internet como espacio de lucha y desinformación. El artículo se publicó el pasado día 13 se titula "Nuevos pasos de la UE para afrontar la desinformación y las injerencias digitales extranjeras".

Desde la invasión rusa de Ucrania nos hemos ido acostumbrando al concepto de "guerra híbrida" del que forma parte la llamada "guerra cibernética". La guerra híbrida usa diversas tácticas, desde el uso de los inmigrantes a los bombardeos, de los bloqueos de cuentas de internet y ataques cibernéticos a organismos a la desinformación en las redes.

Una parte de la guerra se hace ya en las redes. Esto es claro por dos motivos esencialmente: la importancia de las infraestructuras cibernéticas para los países y el alto grado de conectividad y vida social que se ha trasladado a las redes y a su conjunto, Internet, la red de redes.

A medida que crecía la importancia en nuestras vidas, el ciberespacio era un objetivo más apetecible. Igualmente, cuando la informatización ha pasado a ser parte esencial de empresas e instituciones, su manipulación, corte, restricción o sabotaje causa un daño mayor. La guerra busca hacer el mayor daño posible y los ataques y manipulaciones a través de las redes son capaces de hacerlo y muchas veces de forma más eficaz cuanto más invisibles son los ataques.

El artículo de RTVE.es nos muestra los pasos que se están dando preparando acciones legales para 2024, respondiendo a las crecientes amenazas que se reciben desde el exterior, pero también desde el interior de la Unión Europea: 

Las instituciones europeas preparan un conjunto de medidas que entrarán en vigor en 2024 y que cambiarán las reglas del juego en Internet. Entre ellas está la Ley de Servicios Digitales que, entre otros objetivos, persigue regular los algoritmos de las grandes plataformas y combatir las campañas de desinformación consistentes, por ejemplo, en el empleo de bots y cuentas falsas. El Parlamento Europeo también ha aprobado un informe que denuncia a Rusia y China como los grandes focos de desinformación que pueden desestabilizar las democracias. Propone invocar el Art. 5 de la OTAN, que activa la respuesta conjunta de esta organización, cuando un país miembro sea víctima de un ciberataque de envergadura.

Antes de la Guerra en Ucrania o de la pandemia, las instituciones de la Unión Europea llegaron a la conclusión de que las leyes que ordenan el entorno de Internet eran abiertamente insuficientes. El comisario europeo de Industria, Thierry Breton, llegó a decirle al consejero delegado de Google, Sundar Pichai, una frase que ya se ha hecho célebre: “Internet no puede seguir siendo el ‘Salvaje Oeste’”. Este es el motivo por el que desde las instituciones europeas se están preparando nuevas leyes sobre el entorno digital que, de ser aprobadas, cambiarán las reglas del juego en Internet a partir de 2024.*

 

Si pensamos que el origen de Internet está en los sistemas defensivos de los Estados Unidos, que después pasó a las universidades y centros de investigación norteamericanos y finalmente se expandió por todo el mundo con lo que el entonces vicepresidente Al Gore llamó "las súper autopistas de la Información" como una forma de llevar el poder norteamericano al terreno mundial de la información, entendemos esa idea del "salvaje oeste", que es algo metafórico, sí, pero también una descripción del origen del problema. Los Estados Unidos han controlado todo el sistema desde el inicio, han impuesto sus reglas y de allí salen todas las grandes empresas que han creado este universo, de Google a Facebook pasando por casi todo lo que hay, visible e invisible.

Esto lleva a Europa a tener que buscarse otras formas para tratar de proteger lo que se ha convertido ya desde hace años en un sistema de manipulación, desinformación, ciberataques, etc.

Si desde hace años el gran problema era cómo conseguir que las empresas norteamericanas tributaran fuera de su país por sus pingües beneficios mundiales, que respetaran las leyes de los diversos países (algo que no siempre han hecho), que tuvieran transparencia, etc., el problema es ahora mucho más serio pues las redes han pasado a formar claramente parte de la guerra. En varias ocasiones hemos hecho referencia aquí a los intentos de legislar para evitar que los periodos electorales sean el foco de los ataques desestabilizadores en Europa. Diversos países han tratado de establecer normas para evitar que sus elecciones atraigan a todo tipo de grupos de hackers, divulgadores de bulos, etc. en un intento de modificar las lecciones. El caso más evidente, sin embargo, se produjo en favor de Donald Trump, como fue con el Cambridge Analytica, una empresa destinada a la investigación de usuarios de Facebook para usar la información en campañas electorales y a la destrucción de los candidatos rivales. Su participación en campañas electorales de diversos países y los vínculos con partidos de extrema derecha internacionales acabó de completar el perfil del modelo de manipulación política.

Hoy la Unión Europea identifica a Rusia y China como las principales amenazas en este sentido en las redes mundiales, es decir, países con una estrategia clara de manipulación de la información y que han creado burbujas de acceso al exterior. Filtran la información entrante y saliente y emiten hacia el exterior con diversos fines. Eso va de deshacerse de candidatos poco favorables a sus políticas en diversos países a los ataques directos a los sistemas de cualquier tipo, de bancos a aeropuertos, tratando de crear caos.

La ley es de enorme complejidad y entra en ámbitos que afectan a diversos tipos de "actividades" en la red, muchas de ellas estrictamente comerciales, pero otras centradas en el problema de la desinformación o los ataques: 

Parte del paquete de normas europeas en preparación está recogido en la futura Ley de Servicios Digitales que pretende regular los algoritmos de recomendación en Internet y la denuncia de contenidos dañinos o que promuevan la desinformación. Actualmente esta ley se encuentra en fase de negociación entre los grandes actores de la política europea: Consejo y Parlamento con la mediación de la Comisión. Los borradores de este reglamento colocan a la desinformación intencionada en el centro del debate. Se explica que la manipulación informativa amenaza la democracia. Promueve tomar medidas ante capacidad de “generar información falsa o engañosa” (Considerando 68) y se propone actuar contra “las cuentas falsas, el uso de bots y (...) comportamientos total o parcialmente automatizados, que pueden dar lugar a la difusión rápida y extendida de información que sea un contenido ilícito” (Considerando 57).

De llegar a buen término, una de las grandes novedades de esta ley es que obligará a los grandes operadores de Internet a abrir su gran secreto, el algoritmo de recomendación​  (Considerando 64), que hace que unos contenidos queden por encima de otros en las búsquedas o en los mensajes de las redes sociales. La regulación de los algoritmos también está en el centro de otra de las leyes estrella del paquete de normas digitales europeas en tramitación, la Ley de Inteligencia Artificial, que se está debatiendo ahora en una comisión del Parlamento Europeo.

Según explicó la eurodiputada socialdemócrata Christel Schaldemose, negociadora del Parlamento Europeo para esta normativa, a un grupo de periodistas españoles presentes en Estrasburgo entre el 4 y el 6 de abril, toda la sociedad en general tiene que prestar su ayuda para “abrir la caja negra del algoritmo” mediante la participación de investigadores o de ONG especializadas. El objetivo de medidas como esta iría más allá del cumplimiento de las normas actuales: “Debemos hablar de evaluación de riesgos. [Las plataformas de Internet] deben tener en cuenta también el posible impacto negativo del contenido dañino, incluso cuando es legal”.*

 Quizá se corra el riesgo de mezclar demasiadas cosas en esta ley, ya que lo que ocurre en las redes es muy variado en su procedencia, significado y objetivos. El énfasis en dejar al descubierto los algoritmos de recomendación pone el centro en el aspecto económico, de mercado, de las redes. Se preocupa por la "competencia" y los mecanismos que la distorsionan. Va a ser una dura lucha porque será difícil que los gigantes de la industria digital revelen más allá de lo obvio cuáles son sus secretos, que también tienen protección. Gran parte del interés europeo ha sido cómo ponerle el cascabel a Google.

Pero hay otros problemas  más allá de los comerciales sobre la competencia o las maniobras sucias en el mercado por parte de las grandes compañías. Los problemas de ataques a instituciones, desinformación, etc. que quizá no sea bueno meter en el mismo saco que los comerciales.

En el artículo se recogen las propuestas sobre cómo tratar los ciberataques:

El 9 de marzo el Parlamento Europeo aprobó el primer texto de conclusiones de la Comisión sobre interferencias extranjeras en todos los procesos democráticos en la Unión Europea, incluida la desinformación (INGE). Los parlamentarios europeos sostienen que “la desinformación puede desestabilizar la democracia europea” y señalan con el dedo a los que consideran culpables de la situación: “Hay regímenes extranjeros, como Rusia y China, que utilizan estas herramientas en línea a gran escala para influir en el debate público en los países europeos”.

A la hora de hacer sus recomendaciones el informe INGE sostiene que la “Unión y la OTAN deben adoptar un enfoque más prospectivo y estratégico en materia de amenazas híbridas” e incorpora a su texto la tesis de la Alianza Atlántica cuando dice que los ataques informáticos pueden ser un acto de guerra: “Un ciberataque conllevaría la invocación del artículo 5 del Tratado de la OTAN, (...) [pues] el impacto de una acumulación de actividades cibernéticas malintencionadas significativas podría considerarse, en determinadas circunstancias, equivalente a un ataque armado”. Si bien los ciberataques y la desinformación interesada buscan desestabilizar a instituciones o países por medios digitales, son dos técnicas diferentes. Un ciberataque usa la tecnología para, por ejemplo, inutilizar los ordenadores de un servicio público o una empresa a través de un virus. En cambio la desinformación se basa en la difusión a través de redes de bulos o engaños con la intención de ocultar los hechos, confundir a la población o sembrar la desconfianza en las instituciones.** 

Lo importante aquí son esas ambiguas "determinadas circunstancias" que, si se asemejan a un ataque convencional, nos adentran en un campo peligroso. No se trata evidentemente de restarle importancia sino de saber dónde están los límites, algo que no es sencillo de establecer. Solo los efectos podrán llegar a un cierto ajuste. Es decir, si los efectos del ciberataque causan "daños", entre los que se podrían producir muertes obviamente, que puedan ser equivalente. Estamos asistiendo a la masacre del pueblo ucraniano a manos de Rusia sin que la OTAN o Europa pueda hacer ciertas acciones de apoyo o defensa. ¿Tendremos las mismas contenciones en los ciberataques según quién sea atacado?

El tipo de respuesta es importante, desde luego, por eso lo esencial pasa a ser las posibilidades de defensa. Es mejor prevenir. Al igual que se va a invertir en presupuestos militares de defensa, las inversiones en mecanismos de defensa cibernética debe ser una prioridad, máxime teniendo en cuenta que un ciberataque puede tener consecuencias más dañinas que ataques convencionales según los desastres causados.

Desde hace tiempo esto debería ser una prioridad, pero lo efectos que tiene protegerse parece que no gustan a todos en la medida que supone ciertos tipos de limitaciones, pesando de nuevo el factor económico comercial.

En estas décadas pasados se ha creado un orden abierto, global y del que el ciberespacio es un importante contribuyente, lo que ha sido aprovechado en su contra por los que los usan para destruir ese orden a través de la guerra informativa y los ciberataques.

Desgraciadamente es más fácil atacar que defender, distribuir información falsa que verificarla. Es indudable que esto es un problema o, mejor, varios problemas que a lo mejor sería más conveniente tratar por separado ya que sus problemas pueden ser distintos. Entre el hackeo de empresas y centros de investigación, instituciones oficiales, servicios aéreos, control del tráfico, etc., por ejemplo, y las maniobras de desinformación hay enormes diferencias, lo que no convierte una cosa en mejor que otra, sino en diferentes. Son diferentes, sobre todo, en la forma de defendernos de ellas, que deben ser precisas y eficaces.

Un ley que intente regular todos los problemas que se producen, todo los conflictos habido en la red, que mezcla países y empresas, instituciones y particulares es demasiado complicada para dar soluciones satisfactorias a todo ello. Ya el artículo refleja desacuerdos entre diversas interpretaciones de los eurodiputados. Y estas se acabarán acentuando conforme el énfasis se ponga en diversos aspectos. Hay que vigilar y prevenir cada problema aislándolos convenientemente, pero sin perder de vista el conjunto. No es fácil, pero de otra forma se corre el riesgo de hacer un texto que deje demasiados huecos y que plantee demasiadas incógnitas.

Esta bien hacer leyes que nos protejan, pero esto servirá de poco sin grandes inversiones en la vigilancia y la potenciación (como se dice para los sistemas de verificación) de las defensas institucionales y ciudadanas. También habrá que tener en cuenta, como es cada vez más evidente, los problemas internos de la propia Unión, nuestros focos de desinformación, ciberdelincuencia, etc.

Desgraciadamente, el espíritu de concordia y humanidad, de universalidad que acompañó los inicios de la Red han quedado sustituidos por los intereses comerciales, políticos y bélicos. Una oportunidad de confraternizar perdida. Era una hermosa utopía pensar en el ciberespacio solo como un espacio de paz donde compartir lo mejor. 

  

* Xavier Obach "Nuevos pasos de la UE para afrontar la desinformación y las injerencias digitales extranjeras" 13/04/2022 https://www.rtve.es/noticias/20220413/nuevas-leyes-europeas-servicios-digitales-desinformacion-ciberguerra/2331100.shtml