Una nueva dimensión de la ciberdefensa: la BKA recibe competencias ampliadas
La arquitectura de seguridad alemana se enfrenta a un cambio importante: con la prevista ley de refuerzo de la ciberseguridad, la Oficina Federal de Investigación Criminal (BKA) quedará facultada en el futuro para actuar activamente contra las infraestructuras de los atacantes. El ministro federal del Interior, Alexander Dobrindt (CSU), calificó el proyecto de «hito para la arquitectura de seguridad de Alemania» y anunció: «Devolvemos el golpe, eliminamos la amenaza. Si nos atacan, podremos perturbar a los atacantes y destruir su infraestructura».
Esta nueva forma de «ciberdefensa activa» marca un cambio de paradigma en la estrategia alemana de ciberseguridad. Mientras que hasta ahora primaban las medidas defensivas, ahora será posible actuar preventivamente contra las amenazas potenciales.
De la protección pasiva a la defensa activa
Hasta ahora, la ciberdefensa alemana se limitaba principalmente a medidas reactivas. «Hasta ahora reaccionábamos ante los ataques intentando redirigirlos a zonas inocuas de la red», explicó el ministro Dobrindt sobre el procedimiento seguido hasta la fecha. Estos métodos eran eficaces, pero representaban el máximo de las medidas de defensa activa existentes.
En el futuro podrá ponerse también en el punto de mira el software y los servidores de atacantes en el extranjero. Esta ampliación de competencias se justifica políticamente con la situación de seguridad cambiante y la mayor urgencia en el ciberespacio.
Escenarios concretos de uso de las nuevas competencias
Según la nueva regulación, la BKA quedará facultada para combatir distintos tipos de infraestructuras de los atacantes:
- Dispositivos IoT utilizados indebidamente para ciberataques
- Servidores que actúan como centros de mando y control
- Instancias cloud secuestradas
- Servidores de mando y control para coordinar ataques DDoS
El objetivo es poder intervenir tempranamente para impedir de raíz ataques como los DDoS antes de que puedan causar daños.
Delimitación frente al controvertido concepto de hackback
El ministro Dobrindt subrayó que las medidas previstas no constituyen un hackback. Un hackback sería un «golpe de represalia indiscriminado», mientras que aquí prima la prevención concreta de peligros por parte de la Oficina Federal de Investigación Criminal, la Policía Federal y la Oficina Federal de Seguridad en Tecnologías de la Información.
Para ilustrarlo, el ministro recurrió a una analogía: «Si una maleta abandonada supone un peligro, intervenimos y no averiguamos primero de quién es esa maleta». Quién esté exactamente detrás de un sistema atacante resulta irrelevante para la prevención del peligro. Lo importante es que de la estructura de servidores emane una amenaza concreta.
Sobre la base de esta delimitación, el Gobierno federal no ve necesidad de modificar la Constitución. Las medidas previstas deben moverse dentro de las posibilidades constitucionales existentes.
Voces críticas desde la sociedad civil
Pese a las garantías del Gobierno federal, los críticos ven en la regulación una problemática facultad de hackback. Su principal preocupación: en los ciberataques profesionales se utilizan habitualmente de forma indebida dispositivos ajenos, de modo que las medidas podrían no afectar a los verdaderos autores, sino a terceros no implicados.
Las medidas de ciberseguridad previstas se suman a una serie de proyectos legislativos destinados a ampliar las competencias de policías y fiscalías. Tras los planes de conservación de datos, las leyes de aplicación sobre aseguramiento digital de pruebas y las competencias de análisis de datos y cotejo biométrico en internet, este es ya el tercer gran paquete de este tipo.
Se critica especialmente el ritmo previsto de la tramitación legislativa, ya que los proyectos deben pasar por el Bundestag a marchas forzadas.
Contexto e importancia para el sector de la seguridad
Las nuevas competencias suponen una ampliación considerable de las medidas estatales de ciberseguridad. Para las empresas y organizaciones ello significa, por un lado, una protección potencialmente mayor frente a ciberataques y, por otro, la aparición de nuevos retos jurídicos y técnicos.
La ciberdefensa activa se considera un complemento necesario a las medidas de protección existentes, como el endurecimiento de los sistemas de TI o las obligaciones legales de mayor seguridad informática derivadas de las normas NIS2.
Efectos sobre el sector de la tecnología de seguridad
Las competencias estatales ampliadas podrían modificar los requisitos exigidos a las soluciones de seguridad privadas. Es posible que las empresas puedan apoyarse cada vez más en medidas de defensa robustas y coordinadas por el Estado, mientras que, al mismo tiempo, la documentación y transparencia de sus propias medidas de seguridad cobrará más importancia.
Perspectivas: retos jurídicos y técnicos
La aplicación de las nuevas competencias traerá consigo diversos retos. Habrá que tener en cuenta tanto los aspectos de derecho internacional como la distinción práctica entre sistemas legítimos y sistemas utilizados de forma indebida.
Para el sector de la seguridad surgen nuevas posibilidades de cooperación con los organismos públicos, pero al mismo tiempo aumentan las exigencias de documentación y trazabilidad de las medidas de seguridad.
Los próximos meses mostrarán cómo evoluciona el debate sobre las competencias ampliadas y qué efectos concretos tendrán las nuevas normas en el panorama de la ciberseguridad en Alemania.
