La Agencia de Seguridad Nacional "aplica su conocimiento especializado al desarrollo de la tecnolog・ necesaria para crear un sistema nacional de detecci・ y respuesta en caso de una agresi・ cibern・ica", afirma el teniente general de la Fuerza A・ea Kenneth A. Minihan. Asimismo, subraya que "la superioridad en informaci・ en la era de la inform・ica es un claro imperativo nacional".

"Estamos en peligro. Norteam・ica depende de las computadoras. Estas controlan la distribuci・ de la energ・, las comunicaciones, la aviaci・ y los servicios financieros. Las computadoras se utilizan para guardar informaci・ vital: desde archivos m・icos hasta planes de empresas y expedientes penales. Y aunque confiamos en ellas, pueden fallar, ya sea debido a un mal dise・ o a un control de calidad deficiente, o a accidentes y, lo que todav・ es peor, debido a una agresi・ deliberada. El ladr・ de hoy puede robar m・ cosas con una computadora que con un rev・ver. El terrorista del ma・na podr?hacer m・ da・ con un teclado de computadora que con una bomba". "Computers at risk", Consejo de Investigaci・ Nacional, 1991

Pr・ogo

Quiz?lo que m・ sorprende de las palabras que arriba se citan, es que se escribieron casi en los albores de la era de la inform・ica. Hasta hace poco nosotros, como naci・, casi no les hab・mos prestado atenci・. Estados Unidos, y el resto del mundo, contin・ adentr・dose de lleno en la revoluci・ cibern・ica: la tecnolog・ de la inform・ica incursiona profundamente en la misma trama de nuestra sociedad y en nuestra econom・ como una naci・ la comunidad mundial. Realmente, la "supercarretera de la informaci・" se ha convertido en el elemento econ・ico vital de nuestra naci・.

Aunque Estados Unidos lidera al mundo en la era de la inform・ica, el pa・ se ha vuelto especialmente dependiente de la tecnolog・ inform・ica: de las computadoras y de la red mundial que las conecta. Esta dependencia se ha convertido en una clara y apremiante amenaza a nuestro bienestar econ・ico, a nuestra seguridad ciudadana y a nuestra seguridad nacional.

Las redes del mundo, que muchos llaman "ciberespacio", no saben de fronteras f・icas. Nuestra capacidad cada vez mayor de conectarnos a trav・ del ciberespacio nos deja cada vez m・ expuestos a nuestros adversarios de toda la vida y de un creciente n・ero de nuevos adversarios. Los terroristas, los grupos radicales, los narcotraficantes y el crimen organizado se unir・ a las naciones-estado adversarias para aprovechar una creciente serie de medios inform・icos de agresi・ avanzados. Las agresiones cibern・icas complementar・ o reemplazar・ las tradicionales agresiones militares, lo cual complicar?y exacerbar?las vulnerabilidades que debemos prevenir y combatir. Entre los recursos que corren riesgo se encuentra no s・o la informaci・ que se almacena o que recorre el ciberespacio, sino adem・ todos los componentes de nuestra infraestructura nacional que dependen de la tecnolog・ de la inform・ica y de la disponibilidad oportuna de informaci・ exacta. Estos incluyen la infraestructura de las telecomunicaciones misma; nuestros sistemas bancario y financiero; nuestro sistema de energ・ el・trica; otros sistemas de energ・, como los oleoductos y los conductos de gas natural; nuestras redes de transporte; los sistemas de distribuci・ de agua; los sistemas m・icos y de salud; los servicios de emergencia, como la polic・, los bomberos y los cuerpos de rescate, y el funcionamiento del gobierno a todos los niveles. Todos ・tos son necesarios para el ・ito econ・ico y la seguridad nacional.

Seguridad de informaci・: la meta nacional

En 22 de mayo de 1998, el presidente firm?la Directiva de Decisi・ Presidencial 63 (PDD-63) sobre la Protecci・ de la Infraestructura Cr・ica. En ・ta se・la: "Mi intenci・ es que Estados Unidos tome todas las medidas necesarias para eliminar con prontitud cualquier vulnerabilidad significativa a las agresiones tanto f・icas como cibern・icas contra nuestras infraestructuras cr・icas, especialmente nuestros sistemas cibern・icos.

La meta nacional es que, para el a・ 2000, a lo sumo, Estados Unidos haya logrado una capacidad operativa inicial, y que para dentro de 5 a・s, a m・ tardar, Estados Unidos haya logrado y pueda mantener la capacidad de proteger las infraestructuras cr・icas de nuestra naci・ de actos intencionales que debilitar・n considerablemente la capacidad de:

el gobierno federal de desempe・r las misiones esenciales de seguridad nacional y garantizar la salud y seguridad de los ciudadanos;
los gobiernos estatales y locales de mantener el orden y proporcionar un m・imo esencial de servicios p・licos;
el sector privado de asegurar el funcionamiento ordenado del sistema econ・ico y proporcionar servicios esenciales de telecomunicaciones, energ・, financieros y de transporte.

Elementos esenciales

Cualquier estrategia que haga que nuestras Infraestructuras Cr・icas sean m・ fiables (resistentes) debe comprender tres elementos b・icos: una mayor protecci・ frente a las agresiones cibern・icas, la capacidad de detectar cu・do ocurre una agresi・ y la capacidad de responder y recuperarse cuando una agresi・ ha sido detectada.

La protecci・ frente a la agresi・ cibern・ica se basa en la tecnolog・ del cifrado de datos -- incluyendo las firmas codificadas digitalmente -- la cual proporciona servicios de auntentificaci・, integridad, prevenci・ de la posibilidad del repudio y privacidad y confidencialidad necesarios para garantizar la informaci・. Quiz?la mejor arma de protecci・ contra la agresi・ cibern・ica sea la autentificaci・ basada en la codificaci・ digital que se emplea para dar acceso a la informaci・. El cifrado se emplea en computadoras, en los servidores y en todas las redes para asegurar que la informaci・ referente a asuntos confidenciales de gobierno y de particulares se mantenga en esas condiciones. La tecnolog・ del cifrado, que anta・ fue patrimonio exclusivo de los gobiernos, se distribuye hoy libremente en el mercado y constituye un garantizador b・ico de la seguridad de informaci・. De hecho, el 16 de septiembre de este a・, el vicepresidente anunci?que se llevar・ a cabo una actualizaci・ general de la Pol・ica de Control de Exportaci・ de Estados Unidos sobre la Tecnolog・ del Cifrado, lo cual es una clara indicaci・ de la importancia del cifrado en la protecci・ de la infraestructura cr・ica, as?como en el comercio electr・ico mundial y la prosperidad econ・ica.

Dado que la tecnolog・ de cifrado ya es un hecho, el siguiente objetivo es utilizarla de un modo coherente y eficaz en todas nuestras infraestructuras cr・icas. Para hacer esto hace falta establecer un marco donde el cifrado se pueda emplear a diferentes niveles y de modo interoperativo (es decir, que pueda funcionar en distintos sistemas inform・icos) y, al mismo tiempo, hace falta establecer una infraestructura de claves p・licas (PKI) que provea firmas digitales y certificados de claves de cifrado que sean fiables y reconocibles a nivel mundial: "la identificaci・ electr・ica" particular y exclusiva de la era de la inform・ica. Los servicios de PKI surgen en el sector privado para satisfacer la demanda del comercio electr・ico a nivel mundial y pueden adaptarse para proporcionar protecci・ a la infraestructura cr・ica.

En cuanto al diagn・tico, detecci・ y respuesta a la agresi・ cibern・ica, la tecnolog・ no est?tan avanzada ni es tan efectiva. Hoy d・, Estados Unidos tiene muy poca capacidad de detectar o reconocer una agresi・ cibern・ica dirigida a las infraestructuras del gobierno o del sector privado, y todav・ tiene menos capacidad de respuesta. La capacidad de identificar una agresi・ cibern・ica estrat・ica contra a uno o varios componentes de la infraestructura cr・ica, y responder de un modo apropiado, es claramente un tema de seguridad nacional importante. Uno de los factores que complica la situaci・ es el hecho de que tradicionalmente los intrusos que interfieren con las computadoras se han considerado delincuentes que incumben a las agencias encargadas de ejecutar la ley. Cuando aparece alguno, es de esperar que se lo rastree, detenga y enjuicie. Adem・, el sector privado no ha estado muy dispuesto a compartir informaci・ sobre alg・ caso de intrusi・ en sus sistemas computarizados, por miedo de recibir mala prensa (v.g., titulares en los diarios tales como: "Se estima en millones las p・didas bancarias en allanamiento de computadoras" o "Piratas cibern・icos dislocan el servicio telef・ico") y por la reacci・ del p・lico. Para llegar a tener una capacidad de defensa nacional efectiva frente a las agresiones cibern・icas, han de crearse nuevas normas de acci・ rec・roca que permitan la colaboraci・ abierta y din・ica entre el sector privado, las fuerzas policiales y la comunidad de seguridad nacional.

Funci・ de la Agencia de Seguridad Nacional
en la seguridad de la informaci・

En la era de la inform・ica, las misiones tradicionales de la Agencia de Seguridad Nacional (NSA) -- inteligencia de comunicaciones y seguridad de sistemas de informaci・ -- confluyen en una: proporcionar superioridad de informaci・ a Estados Unidos y sus aliados. Teniendo en cuenta este esquema, es fundamental comprender bien la Infraestructura de Informaci・ Mundial y las vulnerabilidades de los Sistemas de Informaci・ de Redes ante las agresiones cibern・icas. Desde una postura defensiva, la NSA ha llevado a cabo una serie de iniciativas para establecer la base t・nica para proteger nuestras infraestructuras cr・icas.

Como antes mencion? la tecnolog・ del cifrado es de dominio p・lico y constituye la principal fuente de protecci・ de los sistemas de informaci・ en caso de una agresi・ cibern・ica. Lo malo es que hay muchos productos en el mercado que no pueden funcionar de forma segura en distintos sistemas informativos y varian en cuanto a su robustez, y, adem・, hay muchas maneras, a menudo confusas, de cifrar datos. Por ejemplo, est?por un lado el cifrado del correo electr・ico, el cifrado de archivos, el cifrado de la web o servidor de informaci・, el cifrado de enlaces y el cifrado de redes virtuales privadas, entre otros. Para solucionar esta situaci・, la NSA se ha asociado con los principales proveedores de tecnolog・ para facilitar la seguridad en la informaci・ con el fin de desarrollar un marco com・ de servicios de cifrado y proveer soluciones a la seguridad de informaci・ que incluyan al sector privado. Este marco establece un modo coherente de utilizar la tecnolog・ del cifrado en el sector privado, al mismo tiempo que define c・o dicho cifrado interact・ y apoya otras tecnolog・s y productos relacionados con seguridad; v.g.: cortafuegos, servidores, routers, sistemas operativos, detecci・ de intrusos, detecci・ de c・igos da・nos, dispositivos auditivos, y servicios de infraestructura de claves p・licas (PKI).

Otro aspecto del problema es el de los diferentes grados de fiabilidad en muchos de los productos de seguridad que se le venden al p・lico. Para tratar de resolver este problema, la NSA se ha asociado con el Instituto Nacional de Est・dares y Tecnolog・ (NIST). Este acuerdo establece que la NSA y el NIST comisionar・ los servicios de diferentes laboratorios privados para que eval・n los productos relacionados con la seguridad cibern・ica que hayan salido al mercado, ya sea con el fin de avalar las aseveraciones del fabricante, o para cerciorarse de que se atengan a los requisitos definidos en el marco de la seguridad de redes. La revisi・ de los productos la llevar・ a cabo diversos laboratorios certificados que ser・ remunerados de acuerdo con los servicios que presten; el costo y el ritmo del trabajo se acordar・ mediante negociaciones entre el laboratorio y el fabricante del producto.

Por ・timo, la Agencia de Seguridad Nacional opina que la naci・ necesita compartir una serie de elementos que garanticen la seguridad de la informaci・ nacional y destinao recursos a fin de desarrollar la tecnolog・ necesaria para crear un sistema nacional de detecci・ y respuesta ante una agresi・ cibern・ica. Este modelo integra una variedad de sensores que pueden colocarse en lugares cr・icos de la infraestructura y en la infraestructura de telecomunicaciones misma, y comprende t・nicas anal・icas avanzadas y de amplio alcance para proveer un panorama din・ico de cualquier amenaza a las infraestructuras cr・icas desde el ciberespacio mundial. Estas t・nicas deben compartirse entre los diferentes componentes nacionales: los de seguridad nacional, federal, industrial y regional, para que, concurrentemente, puedan detectar, defender, reconstituir y recuperar los servicios vitales.

Conclusi・

La prosperidad econ・ica de que hoy disfruta nuestra naci・, se debe en gran parte a la era de la inform・ica y a nuestro liderazgo mundial en el campo de la tecnolog・ de la inform・ica. Nuestro continuo liderazgo y prosperidad en el campo de la econom・ mundial puede muy bien depender de nuestro compromiso nacional de actuar como l・eres y proporcionar integridad y responsabilidad -- seguridad de informaci・ -- en el ・bito de la inform・ica mundial, con cuya creaci・ hemos contribuido. En su mensaje al emitir la PDD-43, el gobierno ha dejado bien patente que es el momento de actuar, y que la NSA se encuentra lista para apoyar dicha responsabilidad con nuestro conocimiento t・nico. La superioridad en el campo de la informaci・ en la era de la inform・ica es un claro imperativo nacional.