El escándalo crece en EE.UU. conforme se van conociendo más detalles del ciberataque (presuntamente ruso) que sufrieron SolarWinds y, al menos 100 organismos oficiales y grandes corporaciones americanas, el pasado mes de diciembre.

Los legisladores (Cámara de Representantes y Senado) ven la puerta abierta para sacar adelante leyes que obliguen a las empresas de ciberseguridad norteamericanas a presentar informes periódicos "sobre el estado de la piratería", ante el temor a que estos hackeos se conviertan en "oportunidades para futuras intrusiones".

El enfado en EE.UU. es muy considerable. Se supone que Estados Unidos es el país tecnológicamente más avanzado de la tierra, con un Silicon Valley que es único en el mundo y las empresas más valiosas en Bolsa, que son mayoritariamente tecnológicas: Apple, Amazon, Microsoft, Alphabet-Google, Facebook, Salesforce, Intel, Oracle, etc. Parece contradictorio que, por ejemplo, Amazon sea líder mundial en comercio electrónico, cloud computing (AWS) e Inteligencia Artificial con Alexa y, sin embargo, América sea hackeada masivamente por chinos o por rusos. Igualmente, Google está en vanguardia de la computación cuántica e Intel de la computación informática mundiales…; Microsoft, Oracle, Salesforce dominan el reino del software; luego: "¿No deberíamos ser los primeros en ciberseguridad también?", se preguntó hace años el presidente Barack Obama, en el discurso del estado de la Unión de 2010. Entonces la primera potencia en ciberseguridad era China. Once años después, China y Rusia parecen ir por delante de Norteamérica.

La respuesta del sector tecnológico norteamericano es que "el hackeo de los sistemas informáticos del gobierno federal -por parte de presuntos agentes rusos- era más amplio, más complejo y más difícil de rastrear de lo que se sabía anteriormente". Eso dijeron ante el legislador los directivos de las principales empresas tecnológicas de EE.UU. ante el escándalo desatado en el país. En 2021, con el 25% del PIB mundial, el principal sector TIC del mundo y empresas punteras y líderes, sea Microsoft en software o Facebook en redes sociales, es incomprensible que chinos, coreanos del norte y rusos hagan lo que aquellos que tienen la obligación de defender el país de los ciberataques dijeron había pasado: el ciberataque, que comprometió al menos a nueve agencias federales y 100 grandes empresas privadas, reveló “vulnerabilidades sistémicas en la cadena de suministro de software de las que dependen todas las empresas e instituciones gubernamentales de EEUU”.

El Senado norteamericano, desde que se descubrió el llamado “hackeo de SolarWinds” ha llamado la atención sobre problemas de ciberseguridad de gran envergadura, que requieren una respuesta federal; es decir, estatal, de país: seguridad nacional.

Según los legisladores, "las indicaciones preliminares, sugieren que el alcance y la escala de este incidente van más allá de cualquiera otro a que nos hayamos enfrentado previamente como nación…, y sus implicaciones son muy significativas", dijo Warner. "Los puntos de apoyo que estos piratas informáticos ganaron en las redes privadas, incluidos algunos de los proveedores estadounidenses de TI más grandes del mundo, pueden brindar oportunidades para futuras intrusiones cibernéticas en los próximos años". Si ya publicamos en Escudo Digital hace un año que el ciberataque chino a 16 agencias de seguridad y 30 más grandes corporaciones norteamericanas habían sido un escándalo que reveló la vulnerabilidad de las defensas cibernéticas en EE.UU., doce meses más tarde volvemos a publicar en este medio acerca de un ataque mucho mayor y del que surgen preguntas que no hace falta se haga el Senado de EE.UU.: ¿qué se ha hecho desde el anterior ciberataque chino para evitar lo que, desgraciadamente, ha sucedido, ahora con hackers rusos?

Pues parece que, en los últimos doce meses, se ha hecho poco, porque es ahora cuando el Congreso (Cámara de Representantes y Senado) empieza a considerar propuestas legislativas y políticas, como la creación de una entidad federal “para examinar rápidamente las principales infracciones cibernéticos, en busca de problemas sistémicos; establecimiento de un sistema de informes obligatorios sobre el estado de la ciberseguridad del país”, etc.

Por su parte, los directivos de empresas de tecnología piden una mejor coordinación público-privada después del “hackeo de SolarWinds” (típico de Estados Unidos, a todo se le pone un nombre de contenido cuasi histórico, como cuando el pistolero Jesse James atracaba bancos en el Wild West y su robo más importante ha pasado a la historia como “The Great Northfield Minnesota Raid de 1876”: entonces los bancos se atracaban a punta de pistola y hoy se hackean desde los ordenadores).

Un ataque de amplio alcance a agencias y empresas estadounidenses el año pasado destaca la necesidad de que los sectores público y privado se coordinen más estrechamente en materia de ciberseguridad, dijeron ejecutivos de empresas de tecnología a los legisladores.

La respuesta al ataque contra el proveedor de software SolarWinds Corp., con sede en Austin, Texas, y otras organizaciones, a veces se vio obstaculizada por la falta de comunicación entre las empresas y los departamentos del sector público, según los directivos de las empresas TIC, "La información está demasiado compartimentada en silos", dijo el presidente de Microsoft: "Existen silos en el gobierno, existen en diferentes empresas… y nadie se preocupa de poner la información en común". Gracias a Dios que “esto” no sucedió tan a menudo durante la Guerra Fría contra la Unión Soviética, porque en caso contrario…

El Senado reunió el martes 23 de febrero a ejecutivos de cuatro de las empresas más cercanas a la respuesta al ciberataque: SolarWinds, Microsoft, FireEye y CrowdStrike (estas dos últimas son compañías especializadas en ciberseguridad, como Symantec o McAffee). Y lo que dijeron estas empresas al legislador fue muy significativo:

• Un ciberataque a un proveedor de software ampliamente utilizado como SolarWinds puede tener impactos significativos en las cadenas de suministro de tecnología, cuando las empresas trabajan en ecosistemas amplia y profundamente interconectados por la red y el cloud.
• Las empresas hackeadas a menudo son cautelosas a la hora de revelar que han sido atacadas “para limitar las consecuencias financieras y evitar la vergüenza pública”, dicen los expertos en ciberseguridad: en otras palabras, miedo a que el valor en bolsa se desplome y haya pérdida de confianza de los clientes.
• Los contratos de los proveedores de TIC con sus clientes suelen incluir cláusulas de confidencialidad que impiden comunicar -incluso a las autoridades- que han sido cibernéticamente atados, por miedo a las consecuencias.

Rusia -que ha negado cualquier implicación en el ciberataque- y China tienen individualmente unidad de propósito a la hora de actuar cuando hackean a Norteamérica. EE.UU. parece poner hoy más atención en la protección de los derechos jurídicos de las empresas e individuos que en su propia seguridad nacional. Rusia y China no son propiamente dichas democracias al estilo occidental. Estados Unidos es la primera democracia del mundo. Pero, si quiere conservar su primacía económica y militar, tendrá que tomarse en serio su seguridad nacional poniendo de acuerdo al sector público y privado en materia de ciberseguridad. Como durante la Guerra Fría.