SMART CITIES BAJO CIBERATAQUE @Uliman73
Luego de un Ciberataque a una ciudad suceden muchas cosas, o al menos eso se cree, pero, ¿qué sucede con los ciudadanos o público general? Esto no es una pregunta simplemente retórica o académica, ya que han sido múltiples y variados los casos donde se han producido ciberataques de magnitud que han afectado en forma directa a las comunidades. Esto no se circunscribe solamente a ataques perpetrado por actores Estatales o de al menos pseudo origen Estatal como podría ser el caso de Osetia. Recordemos el caso del wanacry o el ataque a la ciudad de Atlanta en USA, no eran actores Estatales los que llevaron adelante el ataque, sino simplemente grupos u organizaciones criminales que como tales buscan un fin de lucro; claro está que también podremos encontrarnos con ataques Ciberterrorisras o proveniente de activistas de diversa índole.
Pese a todo ello o ante todo ello, persiste el interrogante inicial, ¿qué
sucede con los ciudadanos luego de Ciberataque?, para ello trataremos como
modelo de caso el reciente ataque que sufrió la ciudad de Atlanta, donde un ransomware
paralizó a la ciudad.
Desde
que se produjera el Ciberataque a pasaron poco más de 80 días, el que dejó a la
mayoría de los sistemas informáticos inactivos durante días, y algunos durante
semanas. Aun así, es muy poco conocido el plan o medidas que piensa adoptar el
Gobierno Local para arreglar las cosas a largo plazo.
En
un principio hubo una clara comunicación sobre el trabajo mancomunado que se
llevaría a cabo con las autoridades del FBI tanto para dar con los culpables
como así también para junto a empresas del sector privado poder volver a poner
en línea los sistemas afectados, como suele suceder ante emergencias globales
son pocos los detalles particulares sobre estas acciones, pero sin embargo
rápidamente se destinaron fondos por un valor de u$s 5 millones en autorizaciones
de emergencia para iniciar la recuperación ante el ciberataque.
Es
en este punto, donde mas allá de la información general que se brinda, subyace
la pregunta en si es necesario brindar mas detalles, tanto sobre el hecho en si
como de las acciones que se están planificando tomar ya sea para recuperarse de
lo acontecido como la prepararse para no volver a caer ante este tipo de
ciberataque.
Hay
Organizaciones No Gubernamentales (ONG) como Code for America, que es una red a
nivel nacional en USA que conglomera a tecnólogos, investigadores, técnicos,
ingenieros en sistemas, periodistas y personas en general que desean o trabajan
sobre temas de equidad, justicia y transparencia a través del uso de datos y
tecnología en general, que junto a su filial local Code for Atlanta han presentado
una petición para que la ciudad publique una "autopsia sin culpa"
sobre los hechos ocurridos a partir del Ciberataque sufrido.
Tal
como los peticionantes de Code for Atlanta lo refieren en una “autopsia sin
culpa", otros peticionantes como los de change.org desean buscar conocer
los hechos y circunstancias sin necesidad de buscar señalar con el dedo algún
culpable o responsable, otras ONG en cambio, su objetivo es crear una
contabilidad justa y equitativa de los errores cometidos antes del fracaso y de
lo que se hizo en respuesta.
Hasta
este punto hay una clara idea de las ONG en conocer detalladamente los hechos y
circunstancias, es el sector privado el más interesado de momento en conocer,
siendo el Estado un poco más lento en rendir cuentas.
Desde
Code for Atlanta, uno de sus cofundadores, Ray-Montanez indicó que "la
realización de esta autopsia, en la industria del software, ahora se considera
una buena práctica después de cualquier falla de software o interrupción del
sitio web o pérdida de datos". Explicó que una autopsia irreflexiva brinda
la oportunidad de "aprender verdaderamente lo que salió mal".
Ray-Montanez
dijo que reconoce que "hay riesgos políticos". Sin embargo, argumentó
al dejar en claro que el proceso no consiste en culpar, sino en "tratar de
crear un entorno donde los hechos se puedan presentar de manera honesta y
clara", los ciudadanos y otros que pueden estar en riesgo, pueden obtener
una mejor evaluación y estar mejor protegidos contra futuros ataques.
Sin
embargo, existen peligros reales al hacer que determinada información sea
pública. Un incidente de ciberseguridad es algo difícil de gestionar para
cualquier organización. Revelar información sobre el ataque cibernético podría
no solo abrir a Atlanta y sus ciudadanos a ataques adicionales, sino también
darles a otros hackers ideas sobre cómo causar estragos en diferentes ciudades.
Asocie eso con las expectativas de divulgación pública, y las cosas se vuelven
complicadas.
Un
punto a tener en cuenta, la mayoría de las personas tienden a creer que todos
los desastres son iguales y por ende tienen el mismo tratamiento, no es lo
mismo que ante unas inundaciones, donde los ciudadanos quieren saber qué
sucedió, por qué sucedió y que se está haciendo para solucionarlo, en el mundo
del ciberataque esto es muy diferente porque un desastre natural no se adapta a
la forma en que un adversario cibernético se adapta para continuar ocasionando
estragos.
Keisha
Lance-Bottoms, asumía como Alcaldesa de la ciudad de Atlanta el 2 de enero de
2018, y apenas a unos 80 días de asumir en el cargo se encontró frente al Ciberataque, cuando fue
entrevistada en un evento a inicios de mes en la Ciudad de New York dijo que el
incidente la tomó por "sorpresa", y que recordaba que durante la
campaña había discutido todos los temas que hacían a la Ciudad de Atlanta pero
que "la ciberseguridad no había sido tema de campaña o de conversación".
"Si
bien es algo que siempre está presente y debe ser una prioridad para nosotros
como funcionarios electos, no es lo que la gente ve y nuestras comunidades
están discutiendo", dijo Lance-Bottoms durante un panel en SmartCities NY.
"Así que el mayor desafío realmente ha sido poner eso en un contexto en el
que las personas comprendan por qué es importante para su comunidad".
Atlanta
se negó a pagar el rescate de u$s 51,000 que los hackers exigieron para
eliminar el ransomware, lo que, Lance-Bottoms le dijo a la multitud, significa
que "han tenido que empezar de cero de muchas maneras".
Para
mediados de Mayo, el director de operaciones Richard Cox dijo a la estación de
radio pública local WABE que "el 90 por ciento" de las funciones han
vuelto a la normalidad. En la entrevista, Cox declinó dar un plazo para la
recuperación por razones de seguridad.
Si
bien la comunicación a los medios fue relativamente abierta, cuando se trata de
indagar sobre los temas particulares de ciberseguridad de frente hay un muro
inexpugnable que se ampara en que las investigaciones están activas y que por
razones de seguridad no se puede divulgar información alguna, lo cual es
siempre razonable y dable entender.
Pero
el caso de Atlanta no es un caso aislado, sorprendentemente en una encuesta,
realizada en 2016 por la Asociación Internacional de Administración de Ciudades
/ Condados y la Universidad de Maryland, Condado de Baltimore, encontró que
alrededor de una cuarta parte de los gobiernos locales informaron que estaban
experimentando intentos de ataques al menos una vez cada hora. y sin embargo,
menos de la mitad de los gobiernos locales encuestados dijeron que habían
desarrollado una política formal de ciberseguridad y solo un poco más de un
tercio dijo que tenían una estrategia escrita para recuperarse de las
infracciones.
A
la vista de los hechos ocurridos, esta claro que los Gobiernos, sean Locales o
Nacionales, no están muy en claro a la hora de comunicar este tipo de
incidentes, no hay todavía una clara perspectiva de como comunicar los hechos y
consecuencias de los Ciberataques, mucho menos de como lidiar y comunicar a los
ciudadanos sin que se entre en pánico o se comience a desconfiar de las
capacidades de los Gobiernos de garantizar los servicios básicos, mucho menos
pensar en las infraestructuras críticas. Hoy día las ciudades todas tienden a tener
una tecnodependencia muy grande, pensar en Smart City es ello, pero es algo muy
necesario no solo por la eficiencia y eficacia que agrega al colectivo de la
sociedad, sino por todo lo que en materia de prevención integral de riesgos se
puede tratar de desde ese tipo de plataformas.
Es
evidente y por sobre todo en los Gobiernos Locales, sean provincias o
municipios dependiendo de la denominación que se les dé, que son muy débiles a
la hora de comprender la magnitud del Ciberespacio y las Ciberamenazas que hay,
no cuentan con equipos para tratar estos temas, como sucedió en Atlanta,
tampoco hay doctrina de como tratar la emergencia y comunicarla.
Es
hora que las Ciudades y Gobiernos Locales tomen conciencia que el Ciberespacio,
IoT, BlokChain, Big Data y otros son parte integrante de la vida cotidiana y
que como tales no solo hay que integrarlos en el consiente colectivo, sino que
hay que atenderlos técnicamente con todo lo que ello implica. Una Ciudad Segura
hoy también debe ser una Ciudad Cibersegura.
Internet
of Things (IoT) ofrece posibilidades virtualmente ilimitadas para automatizar
los activos físicos que toda ciudad necesita para operar: suministro de agua,
electricidad, transporte público y servicios médicos, incluso vehículos de
residentes. La consecuencia que alguien explote las vulnerabilidades en estos
sistemas va mucho más allá del ransomware y entra en el ámbito mucho más
peligroso de la seguridad nacional.
Para
dimensionar esto y no quedar en el marco teórico, vuelvo al caso de Atlanta,
donde apenas unos días antes del Ciberataque, el FBI y Homeland Security
emitieron un boletín conjunto en el que indicaba que hackers rusos penetraron
con éxito los sistemas de control en los sitios de energía, energía nuclear,
agua, aviación y fabricación.
Recuerden
también que, en octubre de 2016, cuando se lanzó el mayor ataque DDoS en el
proveedor de servicios Dyn, se usó un botnet IoT para propagar un malware
llamado Mirai.
Una
vez infectadas, las computadoras buscan continuamente en Internet dispositivos
IoT vulnerables y luego usan nombres de usuario y contraseñas conocidos para
iniciar sesión, infectándolos con malware. Estos dispositivos son dispositivos
comunes como cámaras digitales y reproductores de DVR.
Es
muy probable que la ciudad de Atlanta "haya aprendido algunas lecciones
valiosas" pero de la forma dura y difícil, "compartir información y
lecciones es lo más importante desde el punto de vista de la seguridad".
Sin embargo, debe hacerse con cuidado, es correcto compartir la información,
pero hay que hacerlo con las personas adecuadas, de la manera adecuada y cuando
esa información viene en formato de alerta por parte de un Organismo Central,
hay que retomar la vieja leyenda que reza: “si el animal que tengo en frente
ruje como león, tiene cola de león y melena de león, entonces estoy frente a un
león”.
No hay comentarios.