Estados Unidos permitirá a empresas privadas atacar redes de ciberdelincuentes bajo control del Gobierno

El Gobierno de Estados Unidos avanzó con un nuevo esquema para ampliar su capacidad de respuesta frente a las amenazas informáticas. La medida contempla la participación de empresas privadas especializadas en ciberseguridad, pero bajo una estructura de control federal que impide que actúen por iniciativa propia frente a un ataque.

HACÉ CLICK AQUÍ PARA UNIRTE AL CANAL DE WHATSAPP DE DIARIO PANORAMA Y ESTAR SIEMPRE INFORMADO

El cambio supone una modificación respecto del modelo tradicional, que mantenía las tareas defensivas dentro de las redes de las compañías y reservaba las acciones ofensivas al Estado. En este caso, las empresas que integren el programa podrán intervenir en sistemas externos únicamente cuando hayan recibido una autorización expresa del Gobierno estadounidense.

El programa contempla dos tipos principales de operaciones. Por un lado, estarán las acciones de vigilancia, que permitirán acceder de manera encubierta a sistemas vinculados con una organización investigada para obtener información útil para tareas de inteligencia.

Por otro, aparecen las denominadas operaciones de efectos, con un alcance considerablemente mayor. Estas podrán incluir acciones destinadas a manipular, bloquear, interrumpir, degradar o incluso destruir datos, redes e infraestructura controlada mediante sistemas informáticos.

En la práctica, esto podría permitir que una compañía contratada por el Gobierno inutilice servidores utilizados para actividades delictivas, interrumpa plataformas empleadas por organizaciones criminales o elimine información relacionada con una operación ilícita.

Sin embargo, los objetivos estarán limitados a organizaciones criminales extranjeras involucradas en delitos informáticos contra el Gobierno, ciudadanos o intereses de Estados Unidos.

La normativa establece una diferencia con aquellas estructuras que estén vinculadas directamente con gobiernos extranjeros. Cuando exista evidencia de que un grupo responde completamente a otro Estado, quedará fuera de esta categoría, aunque la distinción podría resultar difícil de establecer en casos donde se mezclen actividades criminales con respaldo o coordinación estatal.

Parte de los criterios utilizados para determinar los blancos permanecerá bajo reserva, debido a que el programa contempla un anexo clasificado sobre la selección de objetivos.

La supervisión estará a cargo del Centro Nacional de Coordinación (NCC), que será administrado por dos codirectores: uno designado por el Departamento de Justicia y otro por el Departamento de Seguridad Nacional.

Antes de cualquier intervención, deberán analizarse el objetivo, el método previsto y los posibles riesgos. Solo después de obtener una aprobación escrita la compañía podrá ejecutar la operación.

El procedimiento contempla varias etapas:

1. Los organismos públicos o entidades privadas aportarán información sobre una amenaza.
2. Una empresa incorporada al programa podrá presentar una propuesta de operación ante el NCC.
3. Los responsables del centro analizarán el objetivo, la metodología y los riesgos.
4. Una vez aprobada, la compañía realizará la intervención en representación del Gobierno estadounidense y bajo supervisión federal.
5. Al finalizar, deberá informar los resultados y comunicar inmediatamente cualquier desviación respecto del plan autorizado.

Las compañías que participen tendrán que celebrar un contrato con el Departamento de Justicia o el Departamento de Seguridad Nacional y demostrar capacidad técnica, experiencia, condiciones de seguridad y confiabilidad de su personal.

El esquema, además, no estará reservado exclusivamente para grandes empresas tecnológicas. También podrán participar firmas pequeñas con conocimientos especializados para determinadas tareas.

El memorando también establece límites para reducir el riesgo de daños colaterales. Si durante una intervención una compañía alcanza accidentalmente a un ciudadano estadounidense, un sistema ubicado en Estados Unidos o una infraestructura bajo control de una persona del país, deberá detener la actividad, limitar el impacto y comunicar inmediatamente lo ocurrido a las autoridades correspondientes.

Además, los responsables del programa no podrán autorizar operaciones que razonablemente puedan provocar muertes, lesiones graves o consecuencias equiparables al uso de la fuerza o a un ataque armado según el derecho internacional.

También deberán recibir información cuando una empresa detecte una amenaza inminente contra infraestructura crítica estadounidense.

A pesar del alcance de las nuevas facultades, la medida no establece una autorización general para que las empresas respondan por su cuenta a los ataques informáticos, una práctica conocida como hack back.

Las compañías solo podrán actuar dentro de operaciones previamente aprobadas por el Gobierno y vinculadas con tareas de investigación, inteligencia o protección frente a amenazas cibernéticas.

De esta manera, Washington busca incorporar capacidades del sector privado a sus operaciones digitales, pero mantiene la decisión sobre cuándo, contra quién y de qué manera se puede intervenir en manos de las autoridades federales. Las acciones, además, deberán ajustarse a la legislación estadounidense y a las obligaciones internacionales asumidas por el país.