  
 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ALGO DIFERENTE A LA GUERRA
"Al salir a la superficie, torrentes de balas AK-47 nos atacaron. Yo no le llamo paz a eso. Mientras las esferas mortales llovían sobre nosotros, podía hablarse de mantenimiento de la paz, no de guerra". Comandante James K. Campbell, USN, Mogadishu, Somalia.
Yo me pregunto: "¿qué es exactamente la guerra? y "¿resulta adecuada nuestra definición de guerra para enfrentar los desafíos actuales?". Pasé mis años de adolescencia observando la Guerra de Vietnam que, en la jerga legal, no fue una guerra. La de Corea fue una "acción política". La Guerra del Golfo ...¿qué fue?. Con el debido respeto a las decenas de miles de norteamericanos que han realizado enormes sacrificios en los últimos 50 años, Estados Unidos no ha participado técnicamente de una guerra desde la II Guerra Mundial. Tampoco lo han hecho nuestros aliados más cercanos. Hemos atravesado acciones políticas, escaramuzas, coaliciones y misiones de mantenimiento de la paz -en verdad, empleamos una plétora de zieglerismos para definir la intervención militar, la acción militar y la muerte de soldados, personal aéreo y marinos, menos la palabra guerra. La palabra "guerra" tiene una intención y un significado específicos en los tribunales internacionales y para otras naciones-estados, pero hemos evitado el término diplomática y políticamente en aras de la "paz". Enviamos la Fuerza Aérea de Estados Unidos a Libia para los bombardeos de 1986; estuvimos en Granada y luego probamos los F-117 en Panamá, pero no hemos estado en guerra. Por lo tanto, el problema se vuelve patético: si los políticos fracasan y también fallan los diplomáticos, enviamos las tropas -pero así y todo no hay guerra. Bueno, si no es una guerra, entonces, ¿qué es?. Este enigma no es un fenómeno exclusivamente norteamericano. La Guerra Soviética en Afganistán. La Guerra de Chechenia. Las escaramuzas en la frontera ruso-china. Un análisis de la historia del último medio siglo sugeriría "paz", en el sentido de ausencia de una declaración formal de Guerra. Sin embargo, millones de personas han muerto durante la "Paz de nuestro Tiempo". Entre Daniel Webster y un sinnúmero de diccionarios, "Guerra" ofrece un espectro de alternativas semánticas: conflicto, choque, batalla, contienda, oposición, lucha, ataque, atropello, hostilidades. Estos términos son utilizados a veces como una alternativa de la palabra "Guerra", pero también resultan aplicables a disputas conyugales, competencia empresarial y juegos infantiles. Me parece lamentable tener que señalar que, mientras hemos convertido a las máquinas de matar y a nuestros soldados y sus armas en maravillas de alta tecnología, no ha pasado lo mismo con la evolución de nuestros conceptos de conflicto ni la incorporación de las sutilezas de la hostilidad en el léxico moderno. Lo sublime. Con el fin de la Guerra Fría y cuando Estados Unidos parecía reinar como la única superpotencia militar, ciertos sectores reclamaron el Dividendo de la Paz como propio. Obviamente, señalaban, el Pentágono ya no necesitaba su presupuesto inflado. Un comentarista proclamó el "Fin de la Historia". Otros no veían el futuro con cristales rosas sino con capas de silicona transparentes y de un espesor microscópico. Otro tipo de guerra estaba emergiendo. -En 1991 este autor se presentó ante el Congreso y testificó que el "Gobierno y los sistemas de computación comercial tienen tan poca protección que pueden ser considerados indefensos, pudiendo producirse un Pearl Harbor electrónico". La Guerra de Información ya no era el hijo exclusivo de sus padres clasificados. -Alvin y Heidi Toffler escribieron sobre la "Anti-Guerra", a medida que la civilización alcanzaba la Tercera Ola de una sociedad basada en la información y la forma en que dicha capacidad podría alterar el aspecto de la guerra. -"La Primera Guerra de Información" de Al Campen analizaba la naturaleza del conflicto de alta tecnología frente a la "Guerra" del Golfo. -El libro no clasificado "Guerra de Información" apareció en 1994 y por primera vez describió la naturaleza del futuro conflicto "sin bombas, balas ni bayonetas". Las compuertas de las capacidades ofensivas ya no estaban obstruídas por censores militares o de inteligencia. Los materiales de fuentes abiertas se transformaron en un problema para algunos sectores. -"La Guerra por otros Medios" de John Fialko adoptó los conceptos de la Guerra de Información Clase II establecidos en mi "Guerra de Información" y analizó varios casos en los cuales el espionaje era equiparado con la guerra. -Al Campen y Doug Deán introdujeron la "Guerra Cibernética" en 1996, un compendio de conceptos sobre Guerra de Información con otro nombre. -"La Guerra de Información, 2° Edición" fue publicada en 1997, y las obras combinadas de cincuenta o más autoridades internacionales sobre Guerra de Información contribuyeron a este libro de referencia. -"Guerras cibernéticas: Espionaje sobre Internet" fue publicada por primera vez en Francia y luego en inglés como una forma específica de Guerra Cibernética: una definición que todavía busca aceptación. -La última, "Mafias Cibernéticas", otro libro francés, abarca el estilo Clase II de guerra de información desde el punto de vista del crimen organizado. La taxonomía generalmente aceptada para Guerra de Información es: Clase I - Invasiones a la privacidad personal, control de percepción, los medios y áreas relacionadas. Clase II - Espionaje económico e industrial. Clase III - Pearl Harbors electrónicos, ataques a nivel nacional de infraestructuras críticas y sistemas de apoyo. Sin embargo, a pesar de todos estos esfuerzos, ninguno de nosotros ha podido definir o redefinir con éxito el término "guerra". Por lo tanto, la Guerra de Información ¿es realmente una guerra? Semántica alternativa. La expresión "Guerra de Información" representa todavía un anatema para gran parte de la actividad empresaria de Estados Unidos y los observadores que tienen dificultades con las connotaciones de la expresión "conflicto armado". La expresión "Guerra cibernética" tranquiliza a algunos críticos pero la desagradable palabra "Guerra" sigue siendo urticante. La gente del Pentágono, en respuesta desafiante a nuestros propios debates internos, está utilizando la expresión "Operaciones de Información" para explicar lo que hacen - pero todavía no tiene el alcance necesario. La consecuencia es que el Pentágono está en la actividad de la guerra física, y cualquier otra cosa es un elemento periférico de esa directiva principal. Ese concepto es una cuestión de saludable debate cuando nos preguntamos "quién protege al sector privado de los ataques internacionales que no involucran bombas, aviones y submarinos?". Actualmente, nadie ha podido introducir un término que satisfaga a todos los interesados. Si nos retrotraemos a cincuenta años atrás, al momento del nacimiento de la Fuerza Aérea de Estados Unidos, cuando el Ejército "padre" permitía de mala gana que su "prole" volara por sí misma, podíamos comprender la profundidad del hecho de agregar una nueva dimensión a la guerra. Además, en los cientos de presentaciones que he realizado sobre "Guerra de Información" durante los últimos ocho años, llego a este debate preguntándole a la audiencia: "¿Podemos convenir que, a pesar de que no coincidamos sobre el término más conveniente, en realidad, todos sabemos de qué estamos hablando?". Dicho consenso es generalmente rápido, por lo tanto mi audiencia y yo podemos llegar a la esencia de los temas y postergar los argumentos semánticos hasta otro momento. Pero ahora hablemos de semántica. ¿Es la Guerra de Información realmente una Guerra? Yo podría sostener que cuando el objetivo de las acciones es el de diezmar las infraestructuras del adversario (civiles, militares o de apoyo) estamos lo más cerca posible de la guerra. Pero entonces, nunca hemos estado en guerra con Irak: este es un caso de semántica sin resolver. En el trabajo ECI-D que realicé para el ejército, la finalidad de las actividades ofensivas desarrolladas por nosotros era la de conseguir que un adversario actuara dentro de ciertos límites, o de que dejara de actuar de algunas maneras específicas. Guerra en términos clausewitzianos: imponer la propia voluntad sobre el adversario. ¿Guerra cibernética? ¿Es una guerra? Probablemente no muy distinta de la Guerra de Información ya descripta, pero menos "ofensiva". Las Operaciones de Información no aportan mucho. Las InfoOps representan el apoyo al ejército en una operación independientemente de sus objetivos o intenciones. Algunos analistas incluyen en esta categoría el uso ofensivo de los sistemas de información, pero el sentido semántico de su naturaleza ofensiva o defensiva reduce cualquier rasgo de voluntad nacional. "No nos persigan o recurriremos a las Operaciones de Información". No lo creo así. Muchos de nosotros hemos sostenido con éxito que la economía es un bien de seguridad nacional que debe ser defendido. Pero, ¿de qué manera?. ¿Nos defendemos de los "ataques cibernéticos" con los bancos de Estados Unidos o la infraestructura?. En estos casos, ¿significa una buena defensa que también tengamos una buena ofensiva? ¿Qué condiciones deben cumplirse antes? Ese debate no será resuelto ahora y aquí, pero el tema pone de manifiesto la necesidad de comprender cómo debemos defendernos, a través de qué medios y hasta dónde estamos preparados para avanzar. En los cientos de presentaciones hechas en todo el mundo ante grupos militares y políticos, organizaciones de inteligencia y dirigentes financieros y empresarios, les he brindado la oportunidad de decidir -hipotéticamente- cómo reaccionarían ante determinados escenarios. La consternación fue desde el grado de la diversión hasta la perturbación, dado que muy pocas personas habían pensado en estos problemas. Ahora, tengamos en cuenta que nuestros adversarios son completamente diferentes de lo que eran hasta hace algunos años. La lista es mucho más larga, y la naturaleza de la relación entre adversarios no está tan claramente definida como en los términos de "Paz" y "Guerra" de Webster. "Los buenos viejos tiempos" de la Guerra Fría también eran más simples porque no había que codificar y monitorear los innumerables adversarios mundiales. *Competencia
Económica Nacional Privada por Normas de EE.UU. Los gobiernos seguramente querrán completar esta lista con nombres más específicos. Las organizaciones privadas interesadas también tendrán sus propias listas de adversarios, desde la competencia nacional hasta las Naciones-Estados aliadas con respecto a los secretos de seguridad nacional. El espectro de opciones y escenarios disponibles para determinadas vulnerabilidades y amenazas está mejor representado por un ambiente tranquilo, con una infinidad de sutilezas. En la práctica, sin embargo, debemos dimensionar la amenaza. El Gráfico 1 es un ejemplo de la forma de definir los grados de interacción entre las organizaciones que enfrentamos actualmente y las que enfrentaremos en los próximos años. A la izquierda, se crea una serie de posibles interacciones, desde el mejor caso (o ausencia de caso) al peor, como se sugiere más arriba. Luego, en la parte superior, se elige un conjunto representativo de los posibles efectos cuantificables de dicha interacción. Esto no es "adversario-específico", pero al tomar las listas de los potenciales competidores o adversarios, puede crearse un gráfico de opciones para cada uno. Gráfico de Opciones Intensidad/Objetivo. Estos gráficos pueden ser completados en diversas formas y se recuerda la "Escala de uno a diez". No obstante, cuando hablamos sobre elasticidad organizativa y vulnerabilidades nacionales, parece conveniente aplicar un sistema más específico. Con ese objetivo en mente, sugiero que las grandes organizaciones y empresas, infraestructuras, entidades gubernamentales y Estados Unidos en su totalidad, establezcan un medio común de medir la amenaza a través del cual desarrollar la política aplicable. Tomando en consideración el conocido sistema de defensa de Estados Unidos que hemos utilizado durante décadas -DefCon-1 a DefCon-5-, propongo establecer un sistema paralelo para representar la "Ciber-Salud" y la "postura de defensa virtual" de las empresas y naciones por igual. Con una serie de estados-de-preparación, denominados tal vez: CyCon-I integramos la detección y preparación de respuesta del comercio de Estados Unidos y del país en su totalidad. El siguiente gráfico es sólo un ejemplo sugerido de los tipos de condiciones que podríamos esperar ver con el fin de representar la Ciber-Salud de las empresas y del país. CyCon-I representa el nivel más bajo de actividad ofensiva detectada, y el CyCon-V representa las terribles consecuencias para la víctima. Adviértase que la escala está en un nivel intermedio entre lo social/organizativo y lo nacional. Si bien una empresa u organización particular podría estar incluída en CICLO o Cycon-IV, el efecto es menor con respecto al nivel CyCon Nacional. Independientemente de lo difícil que pueda ser para una empresa o sus clientes, por ejemplo, se produciría un efecto insignificante a nivel nacional. Por lo tanto, las escalas propuestas del CyCon Nacional requieren más ataques organizados. Adviértase que con el uso de la clasificación CyCon, no hay necesidad de recurrir al término Guerra. Lo que sugiere el modelo CyCon es un enfoque más coordinado de la preparación organizativa y nacional. Gran parte del trabajo realizado por este autor se refiere a la TBS (Seguridad Basada en el Tiempo) como alternativa del modelo de seguridad computarizada militar convencional de la Mentalidad Fuerte; refuerza la necesidad de sensores amplios o mecanismos de detección a través de la empresa, independientemente de su naturaleza. Los sensores deben ser capaces de entender la naturaleza de los ataques y las anomalías de conducta a través de la existencia virtual de las redes e infraestructuras, e informar a un repositorio centralizado y estación de respuesta. Esto es logrado a nivel de la red de la empresa por diferentes productos populares. No obstante, es utilizado en un pequeño porcentaje de las organizaciones que realmente podrían beneficiarse con su uso. Lo que hace falta, además, es el medio para crear un repositorio de información nacional centralizada, donde el nivel CyCon nacional pueda ser medido sobre una base de tiempo real como en el gráfico de la página 61. Con un sistema de monitoreo de tiempo-real y los adecuados canales de información hacia una instalación centralizada (privada o pública), los amplios niveles de CyCon pueden ser establecidos después de haber completado los Gráficos de Opciones ya discutidos. Con la apropiada evaluación de tiempo, intensidad, valor y otras consideraciones, una empresa o un país puede rápidamente considerar la actividad en la misma forma en que hoy empleamos las herramientas de control de redes para ajustar el rendimiento de una red. En aplicaciones más sofisticadas, la heurística entrará en acción. Los sistemas serán más adaptables a sí mismos. Las respuestas remotas automáticas también serán controladas; y los picos momentáneos de los altos niveles CyCon serán rápida y automáticamente manejados. Por lo tanto, si se produce un severo ataque contra una importante empresa nacional, siempre que sus propios sistemas de Detección/Reacción funcionen, los informes que transmita al repositorio CyCon nacional raramente registren una cresta. Por lo tanto, en el gráfico de la página 61, vemos un mes completo de actividad hipotética. Con un alerta menor CICLO en el día 8 del mes, todo parece normal hasta que el 13, 14 y 15 reflejan una serie extraordinaria de ataques, desatando una condición CyCon-4. Aparentemente, los ataques fueron resueltos rápidamente, dado que el estado de los asuntos volvió inmediatamente a nominal, sin utilizar el término Guerra. El resto del mes no transcurrió sin incidentes: el día 23, una serie de hechos elevó el nivel CyCon; y en los días 28 y 29, una serie similar -aunque no grave- de ataques causó un pico muy importante. La forma en que una organización o nación responde a las condiciones de alerta CyCon es independiente de este sistema propuesto, pero efectivamente un mecanismo de información que refleja el proceso de detección y reacción es una defensa más importante. Robert Aires y yo hemos desarrollado un sistema que cuantifica matemáticamente la seguridad para las empresas y la infraestructura. El Modelo TBS está basado en el concepto de que una defensa fuerte está basada en la capacidad de detectar ataques en proceso (no después de producidos) y de reaccionar oportunamente ante dichos ataques. Consideremos la aplicación convencional de las leyes. Supongamos que Ud. está en la ciudad de Nueva York y sufre un asalto. En la estación de policía, Ud. le indica al sargento que el asaltante lo lastimó con un cuchillo, le robó el reloj, dos tarjetas de crédito y $200. ¿Qué dirá el policía? "Tuvo suerte de salvar su vida. Ahora váyase de aquí". La aplicación convencional de las leyes está basada en la premisa de esperar que se produzca el delito y después elegir los delitos que pueden ser resueltos, y mandar al diablo a los demás. Esta situación es la misma que la producida con los "ciber-delitos". La aplicación de las leyes no puede dar respuesta a todos los ciber-delitos o agresiones cometidas contra una empresa -o incluso contra el Pentágono. Con una mentalidad tan "física" y limitada, la aplicación de las leyes le dice esencialmente al hacker y al potencial delincuente: "Siga adelante. Si su delito no alcanza el límite artificial de $50.000 (por ejemplo, en el caso de una organización de aplicación de las leyes), no tenemos el tiempo, los recursos ni el dinero para perseguirlo". Mis clientes y yo hemos experimentado la intensa frustración de que la actitud de los adolescentes supere la aplicación de las leyes. Actualmente, a nivel nacional, intensifiquemos los ataques y analicemos qué sucede si se produce una serie de ataques graves, y tal vez se desencadene un CyCon-III o un alerta más importante. La primera cuestión es: ¿Quién está a cargo? ¿Es el FBI como sugiere la reciente propuesta del Procurador General, con una ayuda mínima del Departamento de Defensa?. Tal vez sea adecuado para gran parte del ciber-delito nacional y aún para el ciber-terrorismo de umbral bajo. No obstante, ¿qué sucede cuando los ataques de la infraestructura intensificada provienen del exterior?. El FBI ha tenido algunas exitosas respuestas coordinadas con los rusos, italianos y argentinos en casos muy conocidos; pero estas respuestas repetían aquel débil "laisse-faire-ism": "Hagan su mejor intento, y nosotros trataremos de seguirlos". En el ciber-mundo, una defensa enérgica significa cada vez más una ofensiva enérgica. Es decir, si aquéllos encargados de defender nuestro infraestructura y bienestar económicos se limitan a capturar delincuentes, ¿dónde entra en juego la política de disuasión? Hemos construído una formidable y confiable capacidad de respuesta en el armamento convencional y estratégico. Por lo tanto, en el ciber-mundo, ¿dónde está nuestra política creíble de disuasión? Suponiendo que el sistema de alerta CyCon o algo parecido entre en acción, ¿nos limitaremos a adoptarlo o vamos a desarrollar una Política de Información Nacional basada en la fuerza? Evidentemente, no tenemos todas las respuestas. A menos que se cree un sistema de disuasión, todos los sistemas de alerta CyCon y Centros de Protección de Información Nacional y las buenas intenciones del FBI, la CIA y las comunidades de Defensa e Inteligencia no valdrán de nada. Supongamos que nos encontramos en el CyCon-III por alguna razón. Nosotros no necesitamos recurrir o responder inmediatamente con Guerra de Información o Guerra Cibernética u Operaciones de Información, independientemente de quién dirija la entidad de Estados Unidos. Podemos optar por iniciar una "Respuesta CyCon-III" que incluya una serie de maniobras ofensivas y defensivas, suponiendo que tenemos una política de disuasión. De cualquier forma, no necesitamos recurrir a la guerra ni comenzar a debatir si estamos en guerra porque ya no interesa. Podríamos encontrarnos en una condición CICLO con una organización no gubernamental que esté físicamente ubicada dentro de los límites de una nación-estado amiga. No estamos en guerra; sin embargo, estamos en un mayor estado defensivo y, tal vez, ofensivo, según lo define la política y el Gráfico de Opciones. Los temas principales son: ¿Quién responde y cuál es la respuesta?. La disuasión es la respuesta a la última pregunta. Aún no hemos determinado el "quién". Por otra parte, el sistema de alerta CyCon nos da una forma de acertijo lingüístico con respecto al término Guerra. Alternativamente,
supongamos que existe la condición CyCon-IV Mientras nosotros en el "coro de la guerra de información" comprendemos el uso de la fuerza virtual en el sentido ofensivo, deberíamos participar de las opciones que sean política y diplomáticamente agradables a los formuladores de políticas. El uso de los niveles CyCon para aludir a la postura defensiva y la participación en el mundo virtual con adversarios intangibles representa una forma razonable de evitar la temida palabra Guerra. Sin embargo, aún consigue nuestros objetivos.
|