El masivo ataque informático o crónica de un asalto anunciado

(versión en español del anterior)
Durante el último Congreso de Derecho Informático organizado por ADIAR y la Universidad Nacional del Sur, dí una conferencia sobre la Internet de las cosas, delitos informáticos y la peligrosa situación generada por la falta de regulación adecuada, tema sobre el que trata uno de mis proyectos de investigación. En ese entonces algunas personas decía que estaba hablando de algo que podía pasar en un futuro relativamente distante, contra mi visión de que la posibilidad era inminente...el masivo ataque informático de ayer mostró el escenario al que me refería ese día.

Los informes hablan de un masivo ataque de negación de servicios distribuido que tuvo lugar usando una multiplicidad de aparatos conectados a Internet, aparatos que son más vulnerables al malware por la falta de medidas de seguridad en los mismos, aparatos que forman lo que se conoce como Internet de las cosas.

Aun si olvidamos que demasiados usuarios no tienen ni siquiera programas antivirus en sus computadoras, la mayoría de los usuarios no tienen ni el conocimiento ni la capacidad de asegurar aparatos conectados a Internet, sólo la conexión en sí misma, no que no es siempre suficiente en estos casos. Entonces, cual es la respuesta de las autoridades en estos casos?

Diferentes jurisdicciones están tratando con el tema de diversas maneras, pero hay un silencio ensordecedor acerca de impulsar algún tipo de marco regulatorio sobre seguridad obligatoria dirigido a fabricantes y vendedores, y demasiadas voces sobre educar a los consumidores y esperanzas de autorregulación, y ataques como el del jueves demuestran cuan insuficientes son esos enfoques.

Como muchas cosas en la sociedad de la información, las cosas son dejadas a la suerte de la autorregulación, con las muy ideológicas bases de que la tecnología en cuestión es demasiado dinámica para ser regulada en forma apropiada y que, teniendo en cuenta la necesidad de mantener la confianza de los consumidores, las empresas harán lo que corresponde. El problema con esa idea, no siempre apoyada por los hechos como hemos visto, es que olvida que las empresas en general, incluyendo a las del sector tecnológico, están para generar ganancias y, sin importar cuanto “no hacer el mal” traten de promover, pueden tener hasta la obligación legal de asegurar las ganancias de los accionistas aun cuando signifique hacer algo de mal (como censurar sitios de Internet en ciertas jurisdicciones como China). Por lo tanto, y entendiblemente, de la misma manera los fabricantes y vendedores van a gastar en seguridad no más que lo estrictamente necesario para evitar potenciales juicios, lo que actualmente representa mucho menos que lo que constaría hacer los aparatos más seguros que hoy en día.

Uno de los argumentos para no regular la tecnología de la información ha sido la posibilidad de que la misma sofoque su desarrollo, pero puede afirmarse con confianza que es hora de dejar ese argumento atrás. El sector tecnológico y sus empresas han resultado en una de las mayores y veloces concentraciones del ingreso en tiempos recientes y nuevos multimillonarios han aparecido como hongos luego de la lluvia...es difícil de creer que una fuerte regulación obligando a las empresas a producir y vender aparatos conectados a Internet que sean seguros, vaya a desincentivar a demasiadas de esas empresas a desarrollar más de ellos, resultando -en el peor de los casos- en menos artículos de lujo vendidos a los tecnomillonarios alrededor del mundo a cambio de un ambiente digital más seguro.