Trump autoriza un programa para que empresas estadounidenses participen en ciberataques contra grupos criminales extranjeros bajo supervisión del Gobierno y con aprobación previa para cada operación
El nuevo esquema busca aprovechar las capacidades del sector privado contra el ransomware y otros delitos digitales, pero establece controles para limitar los objetivos, las consecuencias de los ataques y los posibles conflictos con operaciones oficiales
El presidente Donald Trump autorizó un programa que permitirá a determinadas empresas estadounidenses participar en operaciones cibernéticas ofensivas contra organizaciones criminales extranjeras, una medida que modifica el papel que hasta ahora había tenido el sector privado en la estrategia de Estados Unidos contra el cibercrimen. Según información de la Casa Blanca, el memorando firmado el 12 de agosto establece que las compañías seleccionadas podrán realizar operaciones bajo la dirección y supervisión del Gobierno federal.
La medida busca utilizar las capacidades de empresas privadas para combatir ransomware, fraude y otras actividades delictivas realizadas mediante redes informáticas. Sin embargo, el documento no concede a las compañías libertad para elegir objetivos o lanzar ataques por cuenta propia.
Cada operación tendrá que pasar por un proceso de evaluación y aprobación gubernamental.
¿Qué podrán hacer las empresas?
El memorando contempla dos grandes tipos de actividades.
La primera es la vigilancia cibernética, que permitirá obtener información sobre las redes y actividades de organizaciones criminales.
La segunda contempla operaciones capaces de interrumpir, degradar, manipular, negar o destruir sistemas y redes informáticas utilizados por los grupos señalados como objetivos.
Esta segunda facultad es la que marca el cambio más importante. Las compañías seleccionadas no solamente proporcionarían herramientas o información al Gobierno, sino que podrían participar directamente en determinadas operaciones cibernéticas.
Aun así, el memorando establece que esas acciones deberán realizarse en nombre y bajo la supervisión del Gobierno de Estados Unidos.
No cualquier empresa podrá participar
El programa no estará abierto para todas las compañías de ciberseguridad o tecnología.
Según el documento de la Casa Blanca, las empresas tendrán que someterse a un proceso de selección y evaluación antes de ser incorporadas.
El Gobierno analizará aspectos relacionados con sus capacidades técnicas, seguridad, personal y capacidad para cumplir las condiciones establecidas en el programa.
Las empresas elegidas tendrán que firmar acuerdos con el Departamento de Justicia o el Departamento de Seguridad Nacional, dependiendo de la operación y de las responsabilidades asignadas.
Además, su participación tendrá que ser revisada periódicamente.
Cada ataque necesitará autorización previa
Uno de los principales límites establecidos por el memorando es que las empresas no podrán decidir por sí mismas cuándo atacar.
Antes de realizar una operación, los responsables del programa deberán revisar el objetivo y las acciones propuestas.
El documento establece que cada operación deberá contar con aprobación escrita previa de los funcionarios correspondientes del Departamento de Justicia y del Departamento de Seguridad Nacional.
Esto significa que la nueva política no convierte a las compañías privadas en unidades independientes de ciberguerra.
Su participación estará vinculada a una cadena de autorización gubernamental.
¿Contra quién podrán actuar?
El programa está dirigido contra organizaciones extranjeras identificadas como organizaciones criminales transnacionales habilitadas por medios cibernéticos.
Se trata de grupos que utilizan redes y sistemas informáticos para cometer delitos contra Estados Unidos, ciudadanos estadounidenses o intereses estadounidenses.
El memorando establece además una condición importante: las organizaciones objetivo deben ser consideradas independientes de gobiernos extranjeros, salvo que exista información de inteligencia clara que demuestre una relación diferente.
Esta distinción busca evitar que una empresa privada termine realizando una operación contra una organización que en realidad forma parte de las estructuras de seguridad de otro país.
El problema de saber quién está detrás de un ataque
Aquí aparece una de las principales dificultades de la nueva estrategia.
En el mundo de la ciberseguridad, identificar al responsable de un ataque no siempre es sencillo.
Un grupo puede utilizar servidores de terceros, robar identidades digitales, ocultar su ubicación o utilizar infraestructura que pertenece a otras organizaciones.
Además, una banda criminal puede tener vínculos con actores estatales sin formar oficialmente parte de un Gobierno.
El New York Times recogió las advertencias de especialistas y exfuncionarios estadounidenses que consideran que esta dificultad de atribución representa uno de los principales riesgos del nuevo modelo.
Nick Carr, responsable de inteligencia sobre amenazas en Microsoft y antiguo funcionario de ciberseguridad, señaló que la dificultad para atribuir los delitos de manera consistente era una de sus principales preocupaciones.
Michael Garcia, quien ocupó un puesto directivo en la Agencia de Seguridad de Infraestructura y Ciberseguridad, también advirtió que, aunque las capacidades de atribución han mejorado, la incertidumbre todavía existe.
Hay operaciones que estarán prohibidas
El memorando también establece límites sobre las consecuencias que podrán tener las operaciones.
Las empresas no podrán realizar acciones cuando exista una probabilidad de que provoquen pérdida de vidas o lesiones graves.
Tampoco podrán ejecutar operaciones que constituyan un uso de la fuerza o un ataque armado según el derecho internacional.
El objetivo es mantener las operaciones dentro del ámbito de las acciones cibernéticas contra infraestructura y sistemas criminales sin convertirlas en ataques que puedan tener consecuencias físicas graves.
Sin embargo, expertos citados por el New York Times señalan que determinar con anticipación cuáles serán las consecuencias de una operación cibernética puede ser complejo.
¿Qué pasa si el ataque afecta a alguien que no era el objetivo?
El Gobierno también estableció procedimientos para enfrentar posibles errores.
Si una empresa detecta que una operación está afectando involuntariamente a una persona estadounidense, a un sistema ubicado dentro de Estados Unidos o a infraestructura controlada por un estadounidense, deberá detener la operación y tomar medidas para limitar sus efectos.
También tendrá que informar inmediatamente a las autoridades correspondientes.
La misma obligación se aplica si la compañía identifica un posible ataque contra infraestructura crítica estadounidense o descubre que la operación autorizada podría producir consecuencias graves.
Estas condiciones buscan reducir el riesgo de que una operación contra un grupo criminal termine afectando a terceros.
Las empresas podrían enfrentar multas de un millón de dólares
La participación también tendrá consecuencias económicas si una compañía incumple las reglas.
Según el memorando presidencial, los acuerdos podrán exigir a las empresas una fianza de al menos un millón de dólares.
El Gobierno podrá utilizar ese mecanismo en caso de que una compañía incumpla las condiciones establecidas en su contrato.
El requisito busca establecer una responsabilidad financiera adicional para las empresas que participen en el programa.
Todavía faltan detalles sobre cómo funcionará
Aunque el memorando ya establece las bases del programa, varios aspectos todavía no son públicos.
La Casa Blanca estableció un plazo de 60 días para desarrollar los procedimientos necesarios para seleccionar a las empresas, evaluar los objetivos y coordinar las operaciones.
También existe un anexo clasificado que contiene información sobre el funcionamiento del programa y los mecanismos para evitar conflictos entre las operaciones privadas y las actividades de las agencias federales.
Por esta razón, todavía no está claro qué empresas participarán, cuántas serán seleccionadas ni qué operaciones concretas podrían realizar.
¿Por qué Estados Unidos está recurriendo al sector privado?
La administración Trump sostiene que el crecimiento del cibercrimen y el ransomware requiere utilizar más capacidades para identificar y desarticular a los grupos responsables.
La Casa Blanca plantea que las empresas privadas poseen conocimientos técnicos, infraestructura y capacidades de inteligencia que pueden complementar las herramientas disponibles para el Gobierno.
Amanda Naylor, directora de política cibernética del Consejo de Seguridad Nacional, afirmó que el memorando proporcionará a Estados Unidos nuevas herramientas para proteger a los ciudadanos frente al cibercrimen y el fraude.
La lógica de la política es ampliar la capacidad de respuesta frente a grupos que pueden operar desde otros países y cambiar rápidamente de infraestructura.
Un cambio respecto a la estrategia tradicional
Las compañías estadounidenses de tecnología y ciberseguridad ya colaboran con el Gobierno.
Durante años han proporcionado herramientas, inteligencia sobre amenazas, sistemas de vigilancia y capacidades técnicas a organismos como la Agencia de Seguridad Nacional y el Comando Cibernético de Estados Unidos.
La diferencia ahora es que el nuevo programa contempla que algunas empresas puedan participar directamente en operaciones contra objetivos criminales, y no solamente proporcionar tecnología o información.
El New York Times señala que esta diferencia representa un cambio respecto a la práctica que había predominado durante administraciones anteriores, tanto republicanas como demócratas.
Expertos advierten sobre el riesgo de una escalada
El nuevo esquema también ha generado preocupación entre algunos exfuncionarios y especialistas.
Uno de los principales riesgos es que una operación realizada contra un grupo criminal termine afectando a terceros, empresas legítimas o infraestructura ajena al objetivo.
Otro problema es determinar quién debe asumir la responsabilidad cuando una operación privada produce consecuencias inesperadas.
Mieke Eoyang, exfuncionaria del Pentágono y profesora visitante de la Universidad Carnegie Mellon, consideró que el crecimiento de las operaciones cibernéticas hace difícil que el ámbito militar pueda enfrentar por sí solo todas las amenazas.
Sin embargo, también señaló que el éxito del nuevo modelo dependerá de los procedimientos de evaluación y aprobación que todavía deben desarrollarse.
La comparación con China y Rusia
El cambio también acerca parcialmente a Estados Unidos a una práctica que expertos han identificado en China y Rusia, donde actores privados han sido vinculados con operaciones cibernéticas relacionadas con intereses estatales.
El New York Times recogió esta comparación de especialistas en ciberseguridad, aunque no significa que el memorando estadounidense establezca que Washington adoptará los mismos mecanismos utilizados por esos países.
La diferencia está en que el programa anunciado por Trump establece formalmente una cadena de supervisión y autorización federal para las empresas estadounidenses participantes.
¿Qué cambia para los usuarios y las empresas?
Para el ciudadano común, el cambio no significa que una empresa privada pueda comenzar a hackear libremente a cualquier delincuente.
El programa está dirigido a objetivos extranjeros específicos y establece controles gubernamentales antes de cada operación.
Su impacto principal estará en la forma en que Estados Unidos responde a grupos de ransomware, fraude y otros delitos digitales transnacionales.
Para las empresas que eventualmente participen, en cambio, el cambio será mayor: tendrán acceso a un papel operativo que hasta ahora estaba concentrado principalmente en agencias gubernamentales, militares y de inteligencia.
El Gobierno deberá determinar durante los próximos meses qué compañías cumplen los requisitos y cómo funcionará el sistema de autorizaciones.
Un nuevo frente contra el cibercrimen
El memorando firmado por Trump abre una nueva vía para combatir el cibercrimen transnacional mediante la participación directa de empresas privadas.
La medida permite operaciones de vigilancia y acciones capaces de interrumpir, manipular o destruir sistemas informáticos, pero no concede libertad absoluta a las compañías.
Cada empresa tendrá que ser seleccionada, firmar un acuerdo con el Gobierno y someter sus operaciones a autorización previa.
El principal desafío será determinar con precisión quién está detrás de cada ataque y evitar que una operación contra una organización criminal termine afectando a terceros o genere un conflicto con otro Estado.
Por ahora, el alcance real del programa dependerá de las reglas que la administración Trump desarrolle durante los próximos 60 días y de las empresas que finalmente sean incorporadas.
Sigue nuestro canal de WhatsApp
Recibe las noticias más importantes del día. Da click aquí
Te recomendamos
Un sitio de 
Grupo Healy © Copyright Impresora y Editorial S.A. de C.V. Todos los derechos reservados