Actores privados y capacidad ofensiva en el ciberespacio

Todos conocemos la diferenciación entre seguridad pública y seguridad privada —vigilantes, escoltas, empresas de seguridad o detectives privados—, así como el papel de las empresas militares privadas (PMC) o los servicios de inteligencia privada (económica, de seguridad, geopolítica, etc.) que prestan servicios a grandes corporaciones. Allí donde el sector público no puede o no debe llegar, surgen estos actores privados que complementan y colaboran con las capacidades estatales.

En el ciberespacio ocurre exactamente lo mismo, con un matiz adicional: la mayor parte de la infraestructura de Internet está operada o directamente en manos de actores privados. Y en las grandes infraestructuras críticas este peso es todavía mayor. Un ejemplo claro: el 95% de los cables submarinos pertenecen a compañías privadas, pese a que por ellos circula el 99% del tráfico global. Por tanto, el rol del sector privado en la seguridad, inteligencia y defensa del ciberespacio es, si cabe, más determinante que en otros dominios tradicionales (tierra, mar, aire o espacio). La colaboración público-privada es, por ello, crítica.

Te puede interesar: Outbound Cyberspace Defense

Capacidades defensivas consolidadas… ¿y las ofensivas?

Nadie cuestiona los servicios de detección y respuesta, análisis forense, seguridad gestionada o inteligencia de amenazas que ofrecen actores privados. El ámbito defensivo está completamente consolidado en el sector. Sin embargo, hay servicios cuya prestación por empresas privadas no es tan habitual ni tan aceptada: nos referimos a las capacidades de ataque y explotación en el ciberespacio.

El desarrollo de estas capacidades —incluyendo ciberarmas— sí recae habitualmente en el sector privado, como ocurre en otros ámbitos de seguridad y defensa: armas, misiles o vehículos militares suelen ser fabricados por empresas. De hecho, se utilizan términos como PSOA (Private Sector Offensive Actors) o CSV (Commercial Surveillance Vendor) para referirse a actores cuyo negocio es desarrollar y vender capacidades ofensivas o de ciberespionaje: desde malware a infraestructuras de mando y control.

¿Puede un actor privado ejecutar acciones ofensivas?

La cuestión clave es si una empresa privada puede usar estas capacidades, es decir, prestar servicios ofensivos o de ciberespionaje. Aunque pueda resultar sorprendente, la pregunta razonable es: ¿por qué no? Con los requisitos adecuados y bajo marcos estrictos, el rol privado también podría extenderse a estos ámbitos, igual que sucede en el defensivo.

Las consideraciones más relevantes, sin duda, son las legales.

Sin ser experto en la componente jurídica de la ciberdefensa, parece factible diseñar un modelo en el que servicios ofensivos prestados por actores privados se ejecuten bajo control público, subordinados a intereses de seguridad nacional. En algunos países de nuestro entorno, esto es ya una realidad, tanto en el ámbito físico como en el ciberespacio, aunque se utilicen términos como “ciberdefensa activa”, “seguridad preventiva” o eufemismos equivalentes.

Te puede interesar: Las bitácoras de lo invisible y el caso de ciberespionaje de Easter Bunny

Ventajas e inconvenientes operativos

Desde un punto de vista operativo, la participación de actores privados en operaciones ofensivas presenta beneficios y riesgos, similares a los del ámbito físico.

Ventajas:

• Reducción de costes.
• Mayor agilidad operativa.

Inconveniente principal:

• Pérdida de control por parte del actor público.

Para mitigar estos riesgos, sería necesario establecer reglas contractuales claras, como:

• Quién autoriza cada acción.
• Qué controles previos se realizan (legales, políticos, técnicos…).
• Qué umbrales de daño son aceptables.
• En qué condiciones debe suspenderse una operación si existen riesgos colaterales o dudas legales.

Un papel clave para la colaboración público-privada

Las ventajas de incorporar actores privados a las operaciones ofensivas deben ser aprovechadas, y los inconvenientes gestionados adecuadamente. No es sencillo, pero tampoco imposible.

Los actores privados tienen un papel clave en la seguridad, inteligencia y defensa del ciberespacio. Limitar su rol únicamente al ámbito defensivo supone imponernos barreras innecesarias que reducen nuestras capacidades reales de protección. Si no garantizamos una colaboración sólida entre sector público y privado también en el terreno ofensivo, estaremos renunciando a capacidades importantes que otros aprovecharán más pronto que tarde.

Este artículo ha sido publicado previamente en medios de comunicación especializados.
Puedes leer la publicación de Defensa.com aquí: Colaboración público privada, clave para la seguridad en ciberespacio - Noticias Defensa CIBERSEGURIDAD