La nueva Estrategia Cibernética para Estados Unidos de Donald Trump se presenta como un plan para reforzar la seguridad digital del país, proteger las infraestructuras críticas y hacer frente a las amenazas de potencias extranjeras y actores criminales; la protección de la privacidades es una mera mención.

Sin embargo, detrás de estos objetivos aparece una arquitectura que merece un análisis mucho más crítico: mayor cooperación entre Gobierno y empresas privadas, utilización intensiva de inteligencia artificial, monitorización permanente de redes, intercambio de información y autorización de operaciones cibernéticas ofensivas y de disrupción. Ninguna de estas medidas implica por sí misma vigilancia masiva, pero su combinación puede ampliar considerablemente la capacidad de observar, clasificar y actuar sobre la actividad digital de millones de personas.

El problema, por tanto, no es únicamente lo que la estrategia dice que pretende hacer, sino los mecanismos que podrían desarrollarse en su aplicación y qué garantías existirán para impedir que la defensa frente a las ciberamenazas termine convirtiéndose en una nueva infraestructura de vigilancia.

Si bien el documento no plantea explícitamente una política de vigilancia masiva de ciudadanos, e incluso afirma que quiere proteger la privacidad y combatir los Estados de vigilancia, el problema está en cómo algunas de las medidas propuestas podrían desarrollarse en la práctica si no existen límites jurídicos, transparencia y controles independientes, a los que este documento ni menciona. Revisado el documento original de la Casa Blanca así como el análisis del Congressional Research Service y de especialistas en privacidad, se pueden sacar ciertas conclusiones que paso a desgranar.

La frontera entre defensa y vigilancia puede hacerse muy difusa

El punto más delicado está en el primer pilar. La estrategia propone utilizar «la gama completa» de operaciones cibernéticas defensivas y ofensivas del Gobierno estadounidense, pero además pretende incentivar al sector privado para que identifique y sabotee redes consideradas adversarias.

Esto plantea una pregunta fundamental:

¿Quién decide qué actividad, persona, empresa o infraestructura constituye una amenaza?

¿Quién decide qué actividad, persona, empresa o infraestructura constituye una amenaza?

Si la definición de adversario se interpreta de manera muy amplia, una infraestructura digital civil podría terminar siendo objeto de monitorización o intervención por motivos de seguridad nacional. El Congressional Research Service señala precisamente que quedan abiertas cuestiones como cómo se identificarán y autorizarán los objetivos, qué capacidades podrán utilizarse y qué protección jurídica tendrá el sector privado. (EveryCRSReport)

Incentivar al sector privado a «disrumpir» (interferir) redes

Este es, probablemente,........

© Kaos en la red