La última vez que tuvimos un gobierno laborista fue hace 14 años y las cosas eran muy diferentes en lo que respecta a la ciberseguridad. En el pasado (dice, en su mecedora junto al fuego) sabías dónde estaban los actores de amenazas y tenías un firewall. Si tuvieras un firewall y un antivirus, ¡te reirías!
Recuerdo que cuando comencé mi carrera en seguridad cibernética siempre existió la creencia de que Internet no debería usarse para obtener información crítica para el negocio. Pero la mayor diferencia ahora es nuestra dependencia fundamental de la tecnología para las comunicaciones: todo está mediado por computadoras e Internet. Ya no hay vuelta atrás al papel, el genio ya salió de la botella.
Las amenazas que enfrentan ahora las organizaciones y empresas son tan grandes porque el dinero que un delincuente podría ganar, o las perturbaciones que puede causar, es significativamente mayor que hace 14 o incluso cinco años. Hace 10 años, el ransomware era simplemente una predicción, ¿te imaginas? Bueno, aquí están mis predicciones sobre lo que la nueva administración debería vigilar en materia de seguridad cibernética.
Trabajando juntos para acabar con los criminales
Necesitamos centrarnos en el trabajo y la cooperación internacionales y transnacionales. Keir Starmer ya ha estado restableciendo las relaciones con la OTAN y la UE, y espero que más personas sigan su ejemplo.
Esto es importante porque los ciberdelincuentes actúan localmente pero se esconden globalmente. Pueden generar cambios significativos en un pequeño pueblo al otro lado del mundo mientras roban en la casa de alguien en el sureste de Londres. Necesitamos acuerdos para que podamos extraditar a personas para que cooperen con las fuerzas del orden. Hay muchos buenos indicios por parte de la nueva administración de que esto mejorará.
El nuevo gobierno anunció un nuevo proyecto de ley de resiliencia y seguridad cibernética en el discurso del rey, cuyo objetivo es abordar las vulnerabilidades existentes y fortalecer las defensas del Reino Unido contra los ataques cibernéticos. Esto incluye ampliar el alcance del régimen NIS existente para proteger más servicios digitales y cadenas de suministro e imponer obligaciones adicionales de notificación de incidentes. También hay planes para una inversión significativa en infraestructura y capacidades de seguridad cibernética, lo que mejorará la capacidad del Reino Unido para colaborar con socios internacionales.
Trabajando con la gran tecnología
Ahora estamos en un mundo donde existe el capitalismo de vigilancia, donde las grandes empresas tecnológicas pueden poseer, mapear y vender su identidad y datos personales, en lugar de los gobiernos, que pueden ser eliminados.
Comencé a trabajar en el gobierno cuando Tony Blair se marchaba, y recuerdo una serie de debates profundamente apasionados sobre la vigilancia, las libertades civiles y las tecnologías en ese momento. En aquel entonces, políticamente no era el momento ni el entorno adecuado para las tarjetas de identificación. Pero si nosotros, como país, hubiéramos entrado en ese entorno, creo que las cosas serían muy diferentes. La identidad es un principio fundamental de la seguridad cibernética y ahora tenemos un sistema fragmentado en el que no tenemos una “verdad fundamental de identidad”. Algunos pueden decir que esto es lo mejor, mientras que otros no estarán de acuerdo con mi opinión.
Una cosa que será crucial para el éxito de la nueva administración es hacer que el gobierno, las empresas y las grandes tecnologías rindan cuentas.
Abordar la guerra cibernética transfronteriza
Un desafío interesante es qué hacer con los grupos proxy. Estos grupos de ciberdelincuentes trabajan en nombre de los gobiernos, pero este acuerdo permite a estos países una negación plausible. Siento que hemos sido bastante negligentes al desafiar a estos gobiernos más allá de las simples sanciones. No ha habido nada de importancia real.
Estamos sujetos a los valores democráticos occidentales en el Reino Unido, pero ¿están estos actores amenazantes sujetos a las mismas reglas? ¿Cuál es el equivalente a “no atacar hospitales ni civiles” en el ciberespacio? Sólo necesitamos mirar WannaCry para comprender que no se aplican los mismos estándares. Es necesario abordar esto. Pero se necesita tiempo, dinero e innovación para entender cómo regularlo y gestionarlo. Ha habido pasos tentativos en esta dirección; por ejemplo, el Comité Internacional de la Cruz Roja (CICR) publicó reglas de enfrentamiento en 2023 para los piratas informáticos civiles involucrados en conflictos.
Combinando ardor con habilidad
Finalmente, personalmente espero que el gobierno enfrente estos desafíos con las habilidades adecuadas en los roles correctos. El nuevo gobierno está incorporando personas que son competentes y que han hecho el trabajo antes. Ministros de ciencia que tienen una sólida formación académica y científica, personas que trabajan en Hacienda y que tienen títulos en economía. Tengo la sensación de que a la gente de la nueva administración les apasiona lo que necesitan hacer y hacerlo a largo plazo.
También es importante establecer expectativas realistas. Cualquier medida nueva debe ser proporcional a lo que nuestra nación y sus organizaciones pueden implementar razonablemente. Pero si comenzamos con estos elementos básicos y fundamentos, es de esperar que podamos cosechar los beneficios dentro de cinco a diez años.