Durante años hemos tendido a pensar la ciberseguridad mediante el símil de una fortaleza: construir murallas, cerrar puertas, vigilar los accesos y, de vez en cuando, comprobar que nadie haya dejado una contraseña escrita en un post-it amarillo pegado al monitor.
Los abogados también formamos parte de ese entramado defensivo. Nuestra contribución consiste en elaborar proyectos de ley, participar en la preparación y revisión de reglamentos, redactar protocolos de actuación —conforme a lo que alcanzábamos a comprender de los riesgos técnicos involucrados—, diseñar cláusulas de responsabilidad y revisar contratos.
Pero se cometió un grave error de diseño: creímos que, para levantar esa fortaleza, había un margen de tiempo. Es decir, si se detectaba un problema, había tiempo para investigar, informar, desarrollar un parche e instalarlo. Buena parte de la arquitectura tradicional de la ciberseguridad se construyó sobre la idea de que, con sus más y con sus menos, siempre íbamos a disponer de esa ventana temporal.
Pero apenas dos años después de dictada la Ley Marco de Ciberseguridad, ya tenemos claro que, para la inteligencia artificial, ese margen de tiempo es un lujo asiático del cual somos indignos, pues ella hace mucho más rápido todo lo que ya conocíamos: analiza sistemas, encuentra vulnerabilidades, reconoce objetivos y prepara estrategias de ataque en plazos que no guardan relación alguna con aquellos en que funcionan las organizaciones humanas ni con los tiempos previstos en los protocolos de crisis.
Creíamos que la ciberseguridad era una competencia por conocimiento, en la que ganaba quien conocía mejor su infraestructura, mantenía actualizados sus sistemas, sabía qué amenazas circulaban y contaba con profesionales capaces de reaccionar.
Y tal vez todo lo anterior siga siendo cierto, pero la inteligencia artificial introduce una nueva variable absolutamente determinante: la velocidad, tanto aquella con que se genera el conocimiento como, todavía peor, aquella con que ese conocimiento se convierte en acción.
Y entonces, gracias a esta nueva variable, el adversario comienza a operar a velocidad de máquina, mientras nuestras organizaciones continúan decidiendo a velocidad humana, por lo que el problema deja de ser exclusivamente tecnológico y se transforma también en un problema de diseño estructural.
Cuando un atacante puede reconocer una infraestructura, probar vulnerabilidades, cambiar de estrategia y desplazarse dentro de una red en cuestión de minutos, ¿cuánto tiempo transcurre desde que una anomalía es detectada hasta que alguien puede hacer algo respecto de ella?
Más que probablemente, para enfrentar ataques automatizados necesitaremos defensas también automatizadas, con sistemas capaces de vigilar permanentemente, correlacionar enormes cantidades de información, detectar comportamientos anómalos y ejecutar algunas medidas de contención en segundos. Ello presupone que debemos evolucionar hacia operaciones continuas e inteligentes.
Pero tampoco podemos entregar las llaves del castillo a una inteligencia artificial y desearle buena suerte, porque una defensa automatizada puede bloquear redes, desconectar servicios críticos o adoptar medidas cuyas consecuencias resulten más graves que el ataque que pretendía detener, como el hospital cuyo sistema de seguridad, para proteger máquinas de soporte vital, opta por apagarlas.
Entonces, habrá decisiones que una máquina podrá adoptar automáticamente: aislar temporalmente un dispositivo, bloquear una dirección maliciosa conocida, elevar el nivel de vigilancia o activar mecanismos de respaldo. Pero otras deberán quedar sometidas a supervisión humana, especialmente cuando puedan afectar la continuidad de un servicio esencial, comprometer derechos de las personas o producir consecuencias difíciles de revertir.
Y aquí aparece un desafío especialmente importante para el Derecho.
Las normas, como muchas de las que tenemos actualmente, pueden exigir que los incidentes sean reportados, que las vulnerabilidades sean gestionadas o que determinadas medidas de seguridad sean adoptadas. Pero, ante esta nueva realidad, los criterios regulatorios deberían reorientarse también a hacer posible reaccionar antes.
Esto significa simplificar notificaciones, automatizar intercambios de información y permitir que una amenaza detectada por una organización pueda servir para proteger a otras casi inmediatamente: cuando la ventana de reacción se mide en minutos, informar a tiempo deja de ser una obligación burocrática y se convierte en una forma de defensa colectiva.
Durante los últimos años, como país, hemos construido una institucionalidad de ciberseguridad considerablemente más robusta que la que existía apenas un tiempo atrás. Pero no debemos seguir avanzando sin introducir sistemáticamente la variable tiempo, tanto en las políticas públicas como en los protocolos de actuación.
Incluso es posible que debamos comenzar a medir cosas que hasta ahora parecían secundarias: tiempo medio de detección, tiempo de contención, demora en el intercambio de información, velocidad de las autorizaciones internas. Porque el problema que enfrentamos es que una organización puede cumplir formalmente con todas sus obligaciones legales y, aun así, seguir siendo demasiado lenta.
Lo mismo vale para la cooperación entre instituciones y empresas. Si cada organismo guarda celosamente la información sobre una amenaza hasta completar su propio análisis, redactar un informe, obtener las autorizaciones respectivas y enviarlo finalmente a sus contrapartes, puede que terminemos produciendo excelentes documentos históricos destinados a ilustrar desastres que, para entonces, ya serán irrecuperables.
Incluso, desde esta nueva perspectiva, el trámite de informar a la Agencia Nacional de Ciberseguridad mediante el login y la contraseña de un oficial autorizado en una página web comienza a parecer una representación algo teatral, impropia de los tiempos y, sobre todo, de la velocidad de las amenazas que pretende enfrentar.
Durante mucho tiempo pensamos que proteger sistemas digitales consistía principalmente en reducir vulnerabilidades. Ahora tendremos que preocuparnos también de reducir demoras, porque la pregunta que debemos responder ya no es solamente si estamos preparados para enfrentar un ataque, sino si estamos preparados para enfrentarlo en tiempos imposibles.
Y probablemente allí se jugará buena parte de la próxima etapa de la ciberseguridad.
El Derecho tendrá que seguir fijando límites, distribuyendo responsabilidades y protegiendo derechos. Las organizaciones tendrán que seguir adoptando decisiones prudentes. Y las personas tendrán que seguir conservando el control sobre aquellas decisiones que no podemos entregar completamente a las máquinas. Pero todo ello deberá ocurrir bajo una condición nueva e inexorable: antes de que sea demasiado tarde.
Durante siglos el Derecho aprendió a poner orden en el espacio: definir fronteras, competencias, atribuciones y responsabilidades. Ahora tendrá que aprender también a gobernar el tiempo.
Porque el adversario ya no está esperando al otro lado de la muralla: viene hacia nosotros a velocidad de máquina.