Mi comentario más frecuente sobre las iniciativas de leyes de ciberseguridad

Me ha tocado participar en la revisión, comentarios e incluso colaborar en la creación de distintas iniciativas de ley en materia de ciberseguridad, seguridad de información y otras relacionadas. En ellas hay varios comentarios recurrentes, algunos sobre si la ley es federal o es general, sobre la separación de las responsabilidades entre ciberseguridad y ciberdefensa, sobre las responsabilidades que existen para el monitoreo a nivel privado y a nivel de las instituciones de la administración pública para compartir información, para notificar incidentes, preocupaciones sobre problemas de derechos humanos, libertas de expresión y privacidad y varios otros elementos.

Pero el elemento que más recurrentemente he señalado sobre estas iniciativas de ley es el de que deben contar con una visión basada en riesgos. Si bien varias de las iniciativas mencionan el tema de los riesgos, no basta con mencionarlo, sino hace falta implementarlo en el texto y las propuestas que establece la iniciativa.

Para explicarlo me gusta usar el ejemplo de las herramientas de seguridad informática y de investigación sobre vulnerabilidades. Varias iniciativas mencionan y establecen como tipos penales para la posesión, distribución, comercialización y uso de herramientas que permitan la intervención de comunicaciones, la modificación de sistemas, la ingeniería inversa de código y varias otras funcionalidades que pueden ser utilizadas de manera maliciosa y que en efecto los delincuentes utilizan todos los días.

Sin embargo, hay que recordar que los delincuentes, por definición, van a ignorar la ley y si la ley prohíbe su posesión, va a haber un grupo que decida ignorarla y se haga de estas herramientas por un medio o por otro.

Pero las empresas que busquen cumplir con la ley van a tener que deshacerse de herramientas, por ejemplo de escaneo de vulnerabilidades, de ingeniería inversa, de análisis de la topología de una red y varias otras con las que se utilizan para realizar pruebas de penetración y para identificar os posible vectores de ataque que pudiera utilizar alguien para entrar de manera inadvertida a los sistemas y afectar la confidencialidad, integridad y disponibilidad de estos sistemas y de los servicios, infraestructura e incluso personas que depende de ellos. De forma que quedarían indefensos ante los atacantes que sí cuentan con estas herramientas.

Es común decir que las herramientas no son ni buenas ni malas, sino que depende del uso que se les dé, por tanto, lo que habría que tipificar como un delito no es la posesión sino el uso de las herramientas. Sin embargo, esta discusión a veces parece superflua, por lo me gustaría ahondar un poco en algunos detalles, porque no todas las herramientas son iguales. Para explicarlo me gusta compararlo con otras herramientas que son más comúnmente utilizadas y que posiblemente sirvan para proponer soluciones que han sido probadas. Es el caso de un martillo, una sierra o un cuchillo que pueden ser utilizados para el bien, para construir, para crear, en general realizar labores útiles y benéficas. Pero también pueden ser utilizadas para el mal, para dañar a una persona, para agredir, lastimar e incluso para matar a alguien. Sin embargo, un cuchillo o una sierra, que puedes comprar en una ferretería, puede causar daño puede causar daño a una persona a la vez, lo cual hace que su impacto sea limitado y por lo tanto cualquiera tenemos acceso a poseer cuchillos, pero está limitado el uso por la intención con la que se utilizan.

También existen otras herramientas que pueden causar más daño y a más gente a la vez, por ejemplo una pistola. Las armas en México, por lo menos, no cualquiera puede tenerlas. Se necesita un permiso o una licencia y entrenamiento especial, además que no se pueden portar de manera abierta ni en cualquier lugar y se deben utilizar bajo ciertas condiciones.

Por otro lado tenemos armas, por ejemplo, las armas largas y de repetición, que son consideradas (por lo menos en teoría) para uso exclusivo de las fuerzas armadas, que no cualquiera tiene acceso y su uso está limitado a funciones que llevan a cabo los órganos que brindan seguridad pública, que ven por la seguridad nacional, la defensa de la soberanía y la contención de eventos que afecten la paz en general.

Pero también hay herramientas mucho más grandes, por ejemplo, la energía nuclear, para la que no solamente se requiere una licencia, sí no existen tratados y convenios internacionales que establecen qué países pueden tener capacidades nucleares y para qué finalidades puede ser utilizada. Hay acuerdos al respecto de su uso para de generación eléctrica y algunos más restrictivos para otras funciones, por ejemplo enriquecer uranio para crear bombas nucleares.

Con base en lo anterior considero que la solución no está en prohibir el uso, posesión o comercialización de estas herramientas de manera general, porque sería tanto como decir que está prohibido el uso o comercialización de objetos que puedan causar daño a las personas y eso incluiría a los cuchillos, martillos y sierras. Lo que requerimos es utilizar esta visión basada en los riesgos derivados del daño que una herramienta puede hacer, qué tan sencillo es su uso, a qué sistemas, infraestructuras o personas puede afectar y los potenciales uso malintencionados e incluso accidentales que puede dársele a estas herramientas.

De forma que tendríamos niveles de riesgo como existen para las otras herramientas antes mencionadas y establecer reglas para la posesión, comercialización, distribución entrenamiento de estas herramientas de ciberseguridad, estableciendo de manera análoga cuáles son de nivel cuchillo, cuáles son de nivel pistola y cuáles son de nivel arma larga, energía nuclear o arma nuclear.

Con esta visión podríamos tener un mecanismo para establecer tipos penales y esquemas de licenciamiento, monitoreo y vigilancia para el uso y aplicación de las herramientas, tanto para las labores que los individuos, organizaciones, entes del estado y de la administración pública, así como para la defensa nacional.