El apagón mundial muestra la falta de soberanía digital y resistencia

El 19 de julio, una actualización de CrowdStrike derribó innumerables sistemas de Microsoft e interrumpió vuelos, operaciones quirúrgicas y bancarias en todo el mundo. El increíble impacto que tuvo esta única interrupción demuestra la importancia de la resiliencia digital, especialmente en el sector público. Esto sólo puede lograrse de forma creíble mediante la descentralización y la diversidad en la infraestructura y la tecnología.

Increíble impacto de la interrupción de CrowdStrike-Microsoft

Aunque el sitio de noticias satíricas alemán Der Postillion señaló que las máquinas de fax no se vieron afectadas, por lo que el sector público alemán no tuvo problemas, los efectos se dejaron sentir en todas partes.

Muchos políticos ya han hecho declaraciones sobre la resistencia digital. En los Países Bajos, el Ministro de Justicia señaló que debería haber planes para hacer frente a las consecuencias de sucesos como éste. «La concentración de la producción puede concentrar el riesgo, de modo que una sola catástrofe natural o interrupción tenga efectos en cascada», escribió la presidenta de la Comisión Federal de Comercio de EE. UU., Lina Khan, en una serie de entradas en X.

Legislación en vigor y futura

Existe una serie de iniciativas legislativas para proteger la resistencia de las infraestructuras. Algunos ejemplos son DORA, la Ley de Resiliencia Operativa Digital, para el sector financiero, que entrará en vigor en 2025, y la Ley de Resiliencia Cibernética (CRA) para la tecnología de consumo. La Directiva sobre la Seguridad de las Redes y los Sistemas de Información, NIS, se centra específicamente en la protección y resistencia de las infraestructuras críticas y los servicios digitales, imponiendo medidas de seguridad y la notificación de incidentes.

En Estados Unidos, la Ley Federal de Gestión de la Seguridad de la Información (FISMA) obliga a los organismos federales a implantar un programa de seguridad de la información que incluya medidas para mitigar el impacto de las interrupciones informáticas. Además, existe un Marco del Instituto Nacional de Normas y Tecnología (NIST) que proporciona directrices para mejorar la ciberseguridad de las infraestructuras críticas.

Pero ninguna de las normativas parece abordar eficazmente los riesgos relacionados con la centralización de las TI. Esto significa que la soberanía digital y la resiliencia del sector público, así como de hospitales, bancos y otras infraestructuras críticas, siguen estando en peligro crítico. Una monocultura de servicios prestados por un puñado de grandes empresas tecnológicas amenaza la continuidad del servicio en caso de errores, ciberataques y conflictos políticos.

Soluciones

Aunque esto fue sólo un error, un ciberataque sostenido tendría consecuencias mucho más devastadoras, y eso por no hablar de los ataques a infraestructuras físicas. Los cables submarinos son increíblemente vulnerables, y en 2021 Rusia también demostró que los satélites pueden ser derribados por cohetes.

La clave de la resiliencia digital es la descentralización y la heterogeneidad. Al final, todos los sistemas informáticos fallarán en algún momento. Por tanto, depender en exceso de un único servicio es inevitablemente un riesgo. Incluso si ese proveedor es «demasiado grande para fallar» y tiene toneladas de redundancia y centros de datos.

Descentralizar y federar

El sector público, en particular, debería seguir una estrategia centrada en diferenciar su infraestructura informática, reduciendo la dependencia de un pequeño número de grandes gigantes tecnológicos.

En primer lugar, una sólida estrategia multiproveedor y multiplataforma puede hacer maravillas contra las ciberamenazas. Pero más allá de eso, las propias soluciones deben estar menos centralizadas.

La propia nube es un riesgo particular: los centros de datos conectados globalmente pueden tener una mayor capacidad para absorber ataques de denegación de servicio, pero al mismo tiempo son más vulnerables a errores y ciberataques más avanzados. Las tecnologías que están fundamentalmente distribuidas y federadas, en lugar de depender de un único punto de fallo, ofrecen una gran ventaja.

Con las soluciones locales, las plataformas más críticas pueden incluso estar totalmente aisladas, desconectadas de Internet, ya sea todo el tiempo o en respuesta a ataques. Esto puede garantizar su disponibilidad incluso en el peor de los casos.

El código abierto aporta resistencia

Las soluciones de código abierto no sólo son más robustas frente a las constantes amenazas a la seguridad. También ofrecen más transparencia en su funcionamiento. Cuando hay problemas, los ingenieros pueden profundizar más que en las soluciones de caja negra, hasta el punto de que simplemente leen el código o incluso lo modifican para añadir información extra que les permita cazar los problemas. Los parches de proveedores como Crowdstrike, si fueran de código abierto, podrían examinarse antes de su despliegue.

Y lo que es más importante, el acceso a su código fuente y un conocimiento más amplio de su base de código significa que los productos de código abierto pueden parchearse y corregirse en caso de emergencia incluso sin la ayuda del proveedor.

Existen soluciones a los riesgos y perjuicios económicos causados por nuestra dependencia de unos pocos grandes proveedores de tecnología. Ahora es el momento de tomar decisiones.