La perspectiva integral de la UE para afrontar las amenazas del ciberespacio

La ciberseguridad es crítica para nuestra prosperidad y seguridad. Las actividades cibernéticas maliciosas no sólo amenazan las economías, sino también el funcionamiento mismo de nuestras democracias, libertades y valores. Nuestra seguridad futura depende de que sepamos transformar la capacidad para protegernos contra las amenazas cibernéticas: tanto la infraestructura civil como la capacidad militar dependen de sistemas digitales seguros.

Esto ha sido reconocido en la Estrategia Global para la Política Exterior y de Seguridad de la Unión Europea (UE). La UE considera los enfoques del Mercado Único Digital, la Estrategia Global, la Comunicación Conjunta al Parlamento Europeo y al Consejo de Resiliencia, Disuasión y Defensa, la Agenda Europea de Seguridad, el Marco conjunto sobre la lucha contra las amenazas híbridas y la Comunicación sobre el lanzamiento del Fondo Europeo de Defensa. Sobre la base de todos ellos, la UE ha decidido ha decidido construir una mayor resiliencia y autonomía estratégica, aumentar las capacidades en términos de tecnología y habilidades, conformar un mercado único fuerte, y desarrollar e implementar un enfoque integral para la ciberdiplomacia a nivel mundial.

Resiliencia

Una resiliencia cibernética fuerte requiere un abordaje colectivo y amplio. Se necesitan estructuras eficaces para promover la ciberseguridad y responder a los ciberataques en los Estados Miembros de la UE, pero también en las propias instituciones, agencias y organismos de la UE. Asimismo, esto demanda un enfoque más integral y de políticas transversales para construir resiliencia cibernética y autonomía estratégica, con un mercado único fuerte, grandes avances en la capacidad tecnológica de la UE y un número mucho mayor de expertos calificados.

La Directiva NIS, sobre medidas para un alto nivel común de seguridad de redes y sistemas de información, cumple un papel vital en el desarrollo de una nueva cultura de ciberseguridad en la UE. Gracias a la Directiva NIS, los Estados miembros de la UE intercambian información sobre incidentes de seguridad cibernética, comparten mejores prácticas de seguridad cibernética, cooperan y están mejor coordinados. El Grupo de Cooperación NIS, creado por la directiva mencionada, apoya y facilita la cooperación estratégica y el intercambio de información entre los Estados Miembros de la UE. Según la Directiva NIS, los operadores de servicios esenciales (por ejemplo, bancos, empresas de telecomunicaciones, proveedores de energía, hospitales, etc.) están obligados a informar a las autoridades nacionales cuando se ven afectados por incidentes graves de seguridad cibernética y tienen planes de evaluación de riesgos para identificarlos. Las responsabilidades para garantizar la seguridad de la red y los sistemas de información recaen, en gran medida, en los operadores de servicios esenciales y proveedores de servicios digitales. Sin embargo, debe promoverse y desarrollarse una cultura de gestión de riesgos, que implique la evaluación de riesgos y la implementación de medidas de seguridad apropiadas a los riesgos enfrentados, a través de requisitos reglamentarios adecuados y prácticas voluntarias de la industria. Se necesita más que nunca la cooperación y el intercambio de información, así como la combinación de diferentes habilidades y expertos, ya que las amenazas cibernéticas y los incidentes de seguridad cibernética se están volviendo cada vez más sofisticados en nuestra economía y sociedad digital.

Ya se dio un paso hacia la mejora de la respuesta del derecho penal a los ciberataques con la adopción en 2013 de la Directiva relativa a los ataques contra los sistemas de información. Esta establecía reglas mínimas sobre la definición de delitos y sanciones penales en el área de ataques contra los sistemas de información y preveía medidas operativas para mejorar la cooperación entre las autoridades. La Directiva ha producido avances sustanciales en la criminalización de los ciberataques a un nivel comparable en todos los Estados Miembros, lo que facilita la cooperación transfronteriza de las autoridades policiales que investigan este tipo de delitos. Dada la naturaleza sin fronteras de Internet, el marco de cooperación internacional provisto por el Convenio de Budapest sobre Ciberdelincuencia del Consejo de Europa ofrece la oportunidad, entre un grupo diverso de países, de utilizar un estándar legal óptimo para las diferentes legislaciones nacionales que abordan el delito informático. Ahora se está explorando una posible incorporación de un protocolo al convenio, lo que también podría brindar una oportunidad útil para abordar la cuestión del acceso transfronterizo a la evidencia electrónica en un contexto internacional.

Investigación y desarrollo

Al cooperar, uniendo los conocimientos especializados de ciberseguridad de la UE y desarrollando una hoja de ruta común europea de investigación e innovación (I+I) en ciberseguridad y una estrategia industrial europea de ciberseguridad, Europa puede ayudar a que la industria de la ciberseguridad y el ecosistema crezcan, lo que también daría lugar a un aumento de la capacidad de ciberseguridad de la UE. Por ello, en 2016 la Comisión Europea firmó con la Organización Europea de Seguridad Cibernética (ECSO, por sus siglas en inglés) una asociación público-privada (APP) contractual. Esta es fundamental para estructurar y coordinar los recursos industriales de seguridad digital en Europa. La misma incluye una amplia gama de actores, desde pequeñas y medianas empresas (pyme) innovadoras hasta productores de componentes y equipos, operadores de servicios esenciales e institutos de investigación, reunidos bajo el paraguas de ECSO. La UE se ha comprometido a invertir hasta €450 millones en esta asociación bajo su programa de investigación e innovación Horizon 2020; a cambio, la industria tiene que invertir tres veces más en las mismas áreas. Como siguiente paso ambicioso, en septiembre de 2018 se propuso expedir un nuevo reglamento que establece una Red de Centros Nacionales de Coordinación de Ciberseguridad y el nuevo Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad. Esta propuesta está siendo discutida actualmente entre los colegisladores de la UE. El Centro se convierte así en una forma de abordar la fragmentación del ecosistema de ciberseguridad de Europa, afronta la falta de habilidades y experiencia en ciberseguridad, une los recursos europeos, coordina los esfuerzos para fortalecer las capacidades de ciberseguridad de la UE y permite que las industrias de la UE desarrollen productos y servicios competitivos a nivel mundial. Lo anterior allanará el camino para una Europa digital segura, abordando todos los próximos desafíos de ciberseguridad derivados de las tecnologías emergentes (por ejemplo, IoT, inteligencia artificial, cuántica, computación de alto rendimiento, blockchain) y que son utilizados en sectores críticos, tales como transporte, energía, salud, finanzas, fabricación, defensa. También configurará e implementará las inversiones apropiadas en ciberseguridad para el próximo Marco Financiero Plurianual (MFP) de la UE.

Creación de capacidad

La estabilidad cibernética global se basa en la capacidad local y nacional de todos los países para prevenir y reaccionar ante incidentes cibernéticos e investigar y procesar casos de delitos cibernéticos. El apoyo a las gestiones para desarrollar resiliencia nacional en terceros países aumentará el grado de ciberseguridad a nivel mundial, con consecuencias positivas para la UE. Para contrarrestar las amenazas cibernéticas en rápida evolución, se debe contar con políticas, legislación y capacitación, así como con equipos de respuesta a emergencias informáticas y unidades de ciberdelincuencia en todos los países del mundo.

Desde 2013, la UE ha liderado la creación de capacidades internacionales de seguridad cibernética y ha vinculado sistemáticamente estos esfuerzos con su cooperación para el desarrollo. La UE continuará promoviendo un modelo de creación de capacidades basado en derechos, en línea con el enfoque Digital4Development. Las prioridades en este sentido abarcan tanto la vecindad de la UE como países en desarrollo que experimentan una conectividad en rápido crecimiento y un veloz surgimiento de amenazas. Los esfuerzos de la UE serán complementarios a la luz de la Agenda 2030 para el Desarrollo Sostenible y los esfuerzos generales para la puesta en marcha de capacidades institucionales.

LaUEtambiéndefiniósuenfoquesobrelacreación de capacidad cibernética en junio de 2018, cuando el Consejo, al presentar sus conclusiones sobre las directrices externas de creación de capacidad cibernética de la UE, recordó que dicha creación se está convirtiendo en uno de los temas clave de la agenda internacional de política cibernética, y destacó el papel del desarrollo de capacidades cibernéticas en los países y regiones socias como un componente estratégico de la gestión de la diplomacia cibernética de la UE.

Diplomacia cibernética

Guiada por los valores y derechos fundamentales de la UE, como la libertad de expresión y el derecho a la privacidad y protección de datos personales, además de la promoción del ciberespacio abierto, libre y seguro, la política internacional de ciberseguridad de la UE está diseñada para abordar el desafío en constante evolución de promover la estabilidad cibernética global, así como contribuir a la autonomía estratégica de Europa en el ciberespacio. Dada la naturaleza global de la amenaza, la construcción y preservación de alianzas y asociaciones sólidas con terceros países es fundamental para la prevención y disuasión de los ataques cibernéticos, que son cada vez más trascendentales para la estabilidad y la seguridad internacional. La UE le dará prioridad al establecimiento de un marco estratégico para la prevención de conflictos y la estabilidad en el ciberespacio en sus compromisos bilaterales, regionales, de múltiples partes interesadas y multilaterales. La UE promueve firmemente la posición de que el derecho internacional, y en particular la Carta de las Naciones Unidas, se aplica al ciberespacio. Como complemento del derecho Internacional vinculante, la UE respalda las normas, reglas y principios de carácter voluntario y no vinculante de comportamiento responsable de los Estados que han sido articulados por el Grupo de Expertos Gubernamentales de Naciones Unidas. También alienta el desarrollo y la implementación de medidas regionales de fomento de la confianza, tanto en la Organización para la Seguridad y la Cooperación en Europa como en otras regiones. A nivel bilateral, los diálogos cibernéticos se desenvuelven y complementan aún más con las gestiones para facilitar la cooperación con terceros países, y para reforzar los principios de debida diligencia y responsabilidad estatal en el ciberespacio. La UE también destaca que la ciberseguridad no es un pretexto para la protección del mercado y la limitación de los derechos y libertades fundamentales, incluida la libertad de expresión y el acceso a la información. Un enfoque integral de la ciberseguridad requiere el respeto de los derechos humanos. A ese respecto, la UE destaca la importancia de la participación de todos los interesados en la gobernanza de Internet.

Adoptado en 2017, el marco de una respuesta diplomática conjunta de la UE a las actividades cibernéticas maliciosas (la “caja de herramientas de la diplomacia cibernética”) establece las medidas de la Política Exterior y de Seguridad Común, incluidas las disposiciones restrictivas que pueden utilizarse para fortalecer la respuesta de la UE a las actividades que perjudican sus intereses políticos, de seguridad y económicos. El marco constituye un paso importante en el desarrollo de la señalización y las capacidades reactivas a nivel de la UE y de los Estados Miembros.

Conclusiones

La preparación cibernética de la UE es fundamental tanto para el Mercado Único Digital como para la Seguridad y Defensa de la Unión. Es imprescindible fortalecer la ciberseguridad europea y abordar las amenazas a objetivos civiles y militares. En este gran esfuerzo, contamos igualmente con el apoyo de nuestros socios globales. Solo juntos, siendo resistentes, capaces de proteger a nuestra población de manera efectiva al anticipar posibles ciberamenazas e incidentes de ciberseguridad, al construir una fuerte resiliencia en nuestras estructuras y defensa, al recuperarnos rápidamente de cualquier ciberataque y al disuadir a los responsables, podremos proporcionar un ciberespacio abierto, seguro y protegido para todos.

Pawel Herczynski, Director Gerente de PCSD y Respuesta a Crisis, Servicio Europeo de Acción Exterior

Reporte de Ciberseguridad 2020 |  InterAmerican Development Bank – Organization of American States

DESCARGA EL REPORTE CIBERSEGURIDAD 2020: RIESGOS, AVANCES Y EL CAMINO A SEGUIR EN AMÉRICA LATINA Y EL CARIBE