Desde el 19 de febrero, Libia ha experimentado cortes irregulares en todo el país que duran desde unos pocos minutos hasta siete horas.
Esto es algo prácticamente sin precedentes—sólo unos incidentes fortuitos en Nepal y Birmania , en 2005 y 2007 respectivamente, pueden comparársele. Estos acontecimientos han renovado el debate sobre la legislación propuesta en EE.UU. que daría a nuestro gobie o una capacidad similar para tirar del enchufe de las comunicaciones de Inte et en caso de emergencia.
El proyecto de ley, presentado en el Senado primero el pasado otoño y de nuevo esta primavera por los senadores Susan Collins, de Maine, y Joseph Lieberman, de Connecticut, primero tuvo el título "Ley de 2010 para proteger el ciberespacio como un activo nacional" y, más tarde, "Ley de 2011 para la ciberseguridad y la libertad de Inte et. "Muchos observadores simplemente lo han llamado el proyecto de ley "interruptor", lo que sugiere que otorgaría al presidente la autoridad de desconectar Inte et, tal vez de una forma similar a la que acabamos de ver en el Oriente Medio. Ésa es una caracterización injusta. Sin embargo, hay otras razones para ser escépticos acerca del S.3480.
El proyecto de ley contiene mucho más que sólo la creación del llamado interruptor. Éste establecería una Oficina de Política de Ciberespacio de la Casa Blanca con la tarea de supervisar todos los "instrumentos de poder nacional relacionados con garantizar la seguridad y la resistencia del ciberespacio" y con el cumplimiento de unas normas de seguridad a desarrollar por el Instituto Nacional de Estándares y Tecnología (NIST) sobre "sistemas de infraestructuras críticas" de los sectores públicos y privados.
Éste también establecería un Centro Nacional para la Seguridad Cibe
ética y las Comunicaciones en el Departamento de Seguridad Nacional, para supervisar el Equipo de Respuesta a Emergencias Informáticas de EE.UU., el cual difunde información sobre seguridad cibe
ética de investigadores y del gobie o al sector privado.
Sin embargo, lo más polémico es la propuesta de que si el presidente declara una "emergencia cibe
ética", el Departamento de Seguridad Nacional podría emitir órdenes y directivas obligatorias sobre los "sistemas de infraestructuras críticas". Esto es lo que ha sido interpretado como el interruptor de desconexión.
Bajo qué circunstancias se podría exigir el cierre de Inte et es una cuestión de interpretación. El proyecto de ley define una "emergencia cibe
ética" como una acción real o inminente "llevada a cabo por cualquier persona o entidad para explotar un riesgo cibe
ético de manera que interrumpa, o intente interrumpir, o represente un notable riesgo de perturbación sobre el funcionamiento de la infraestructura de información esencial para la operación confiable de las infraestructuras críticas cubiertas." "Infraestructuras críticas", a su vez, se define como aquellos sistemas "cuya interrupción o destrucción causaría un evento con gran cantidad de víctimas el cual incluye un extraordinario número de víctimas mortales; graves consecuencias económicas; evacuaciones masivas con una ausencia prolongada; o una grave degradación de la capacidad de seguridad nacional , incluyendo las funciones de inteligencia y de defensa."
Todo esto suena muy limitado: la mayoría de los servidores Web no podrían considerarse infraestructuras de ese tipo—tampoco los pequeños proveedores de Inte et. En respuesta a las críticas a la idea del interruptor, el Senado ha comentado que el proyecto de ley tiene por objeto proporcionar una "forma precisa, dirigida y adecuada al Presidente para defender nuestras infraestructuras más sensibles", y ,además, definió estas infraestructuras como los sistemas que participan en el mantenimiento vital de las redes de telecomunicaciones, red eléctrica, sistemas de agua y sistemas financieros. Por supuesto, a medida que los sistemas se trasladan a la nube, surgen más preguntas sobre si vamos a empezar a encontrar estos sistemas de infraestructura crítica integrando recursos civiles mundanos, y cuáles serían las implicaciones de tal mezcla en este proyecto de ley.
nEn resumen, la disposición significa que una emergencia cibe ética sería declarada sólo en algunos de los peores escenarios posibles a nivel nacional. Sin embargo, un asunto crítico es qué tipo de examen se realizaría para determinar si y cuándo debería ser declarado el estado de emergencia cibe ética.
El nuevo borrador del proyecto de ley—probablemente, en respuesta a la ansiedad pública sobre la idea del interruptor—prohíbe explícitamente la idea de una desconexión: "ni el Presidente, ni el Director del Centro Nacional para la Ciberseguridad y las Comunicaciones, ni cualquier funcionario o empleado del Gobie o de los Estados Unidos tendrá la autoridad para desconectar Inte et ".
Es más, las medidas de emergencia aplicadas en respuesta a una emergencia cibe ética expirarían en un plazo de 30 días, con la posibilidad de varias extensiones de 30 días. Sin duda, 30 días es un tiempo largo en tiempo de Inte et. No obstante, es difícil imaginar bajo qué circunstancias se invocarían estas disposiciones. El lenguaje del proyecto de ley parece querer señalar que menos importante que un masivo virus de ordenador o un ataque físico en los que los proveedores de Inte et se quedaran de brazos cruzados permitiendo que el software malicioso se propagara como por un reguero de pólvora podría hacer que se activara. Por supuesto, en caso que se produjera tal situación, no está claro que la intervención del gobie o hiciera ninguna diferencia. Los proveedores de Inte et ya estarían haciendo todo lo posible para contrarrestar el ataque. Además, no hay razón para creer que el gobie o tendría una ventaja comparativa en la comprensión de la situación frente a los propios ingenieros de Inte et.
De cualquier modo, es probable que el gobie o de EE.UU. ya disponga de la autoridad para desconectar Inte et. La Sección 706 de la Ley de Comunicaciones de 1934—añadida a la Ley poco después del ataque a Pearl Harbor en 1941—otorga al Presidente la facultad de cerrar "cualquier instalación o estación de comunicación por cable" o tomar el control federal de las instalaciones en caso de "estado de guerra" y hasta seis meses después de la expiración de ese estado. Aunque, evidentemente, el Congreso de la Guerra de 1941 no estaba pensando en Inte et, hay algunos indicios de que el Departamento de Seguridad Nacional considera que esta disposición podría aplicarse. En junio de 2010, Seguridad Nacional citó la sección 706 como "una de las autoridades en las que el Presidente podría basarse si la nación se encontrara bajo un ataque cibe ético".
Más allá de la legalidad o de la política de medidas drásticas, vale la pena preguntarse si una desconexión de Inte et como la vista en Egipto y en otros lugares es posible en los Estados Unidos. La penetración de Inte et en Egipto es de alrededor del 15 por ciento—un valor alto para África, pero bajo en comparación con el resto de Oriente Medio. La penetración en Libia es de alrededor del 5 por ciento. (La penetración de Inte et en Birmania es de menos del 1 por ciento.)La desconexión de uno o dos proveedores de Inte et tiene un efecto mucho mayor en estos pequeños mercados que en los EE.UU..
Es poco probable que el gobie o pudiera forzar la totalidad de los cientos de proveedores de Inte et que operan en los EE.UU. a cerrar a la vez. Si el gobie o estuviera decidido a impedir el acceso a Inte et, probablemente se centraría en los proveedores de Nivel 1, aquellos que proporcionan acceso a Inte et a los otros proveedores y cuya interrupción tendría mayores consecuencias. Otra posibilidad sería desconectar los principales puntos de intercambio de Inte et, o "hoteles portadores," que existen en todo el país. Y aún otras, consistiría en perseguir a los principales proveedores de servicios inalámbricos. Sin embargo, la probabilidad de un cierre total sigue siendo baja: en el momento en que se intentara aplicar tal medida, tendríamos sin duda alguna un montón de otros problemas que tratar con un gobie o tan controlador.
nEn conclusión, mientras que en el nuevo proyecto de ley no se incluye el llamado interruptor, de aprobarse establecería dos órganos federales para el desarrollo y asegurar el cumplimiento de las normas de seguridad para sistemas de infraestructuras críticas, y esclarecería el poder del gobie o en caso de una emergencia cibe ética para tramitar órdenes obligatorias para los operadores privados de sistemas de infraestructuras críticas.
Además, éste otorgaría al Instituto Nacional de Estándares y Tecnología la capacidad, conjuntamente con el sector privado, para crear normas de seguridad, que luego se impondrían a las agencias federales y los operadores privados de sistemas de infraestructuras críticas. Esto introduce la posibilidad de ampliación de la misión.
Por otra parte, no se sabe cuáles serían esas normas. ¿Permitirían el rastreo profundo de paquetes, otros métodos de vigilancia, o puertas traseras? ¿Quién tendría la última palabra acerca de las normas y su aplicación y cumplimiento? ¿Posee el gobie o la experiencia necesaria para asumir esta tarea? Si no, ¿cómo obtendrán los organismos pertinentes la experiencia necesaria antes de desarrollar las normas?
En lo que a mejorar mejorar el ento o de la seguridad en línea se refiere, en este país todo el mundo tiene trabajo que hacer, incluido el gobie o federal. Mantenerse al día con los parches y actualizaciones, cambiar regularmente los nombres de usuario y contraseñas de los sistemas críticos, y elegir contraseñas complejas y únicas son sólo algunos de los hábitos para una buena seguridad que deberían ser generalizados, pero no lo son. Algunas partes de este proyecto de ley—como la sección 301, que permitiría la retención de las primas de los funcionarios superiores de las agencias que no estén al nivel—podrían ser buenos pasos hacia la implementación de un ento o habitual de seguridad funcional en el ámbito federal. Otras partes claramente requieren más consideración y debate.
Que el ámbito de seguridad de la información en este país y en todo el mundo requiere trabajo es algo evidente. Si éste es el proyecto de ley que se necesita, o incluso si el gobie o federal debería tener un papel en la regulación de la seguridad de la información del sector privado, no lo es tanto.
Jonathan Zittrain es profesor de derecho e ingeniería informática en la Universidad de Harvard y cofundador de su Centro Berkman para Inte et y la Sociedad; Molly Sauter es asistente de investigación en el Centro Berkman. Las actualizaciones aparecerán en www.jz.org