|
JournalOnline
Cibercrimen y Ciberterrorismo:
Dos Amenazas Emergentes
Por Jeimy J. Cano, Ph.D., CFE
Volume 6, 2008
|
|
| |
Al hablar de ciberterrorismo, Dan Verton comenta en
su libro: “Esta es la nueva cara del terrorismo. Es un
juego de inteligencia que aplica las tácticas violentas
del viejo mundo a las realidades y vulnerabilidades de la
nueva era tecnológica. (…) El terrorismo ahora implica atacar
de forma indirecta, inteligente y bien planeada los tendones
electrónicos de una nación.”1 Si esta afirmación es cierta,
estamos en un contexto donde los intrusos comienzan a superar
sus propias fronteras, para considerar ahora a una nación
como su objetivo de ataque; el ciberterror como evolución del
terrorismo tradicional y el cibercrimen como la transformación
de la delincuencia en medios informáticos y electrónicos.
De manera complementaria a lo expuesto por Verton,
Rice2 hace lo propio para tratar de responder la pregunta:
¿Qué factores contribuyen a un crecimiento explosivo y
exponencial de los ataques? Para ello establece cinco factores
de análisis que tratan de dar respuesta a la pregunta y al
mismo tiempo se plantean nuevas consideraciones que se
integran a lo sugerido por Verton.
Factor No. 1—La velocidad es
bendición y ruina.
Según el autor incrementar la velocidad en la cual la gente
y los negocios pueden tener las cosas, facilita de manera
rápida y eficiente los métodos para cometer delitos o crímenes
conocidos como fraudes o robos, ahora de una nueva forma.
Esta afirmación es interesante y refuerza una vez más que
las inversiones en seguridad informática son inversamente
proporcionales a los datos. Es decir, mientras más volátil
es la tecnología, en cuanto a sus nuevas funcionalidades
y rápida obsolescencia, más eficiente se vuelve el intruso
para materializar sus acciones. El no conocer el desarrollo
tecnológico y estar sometido a la curva de aprendizaje
para dominarlo, son factores claves para avanzar en el
reconocimiento de la inseguridad tanto en las aplicaciones
como en los servicios que ofrecen las organizaciones a sus
clientes.
Factor No. 2—Si el software hace más
fácil y rápida la materialización de los
delitos informáticos, la cantidad de dinero
que se podría ganar en un mes, ahora sólo
toma unos segundos.
Rice comenta que ahora nos enfrentamos al segundo
factor, un simple incentivo financiero: ganar más dinero
con menos esfuerzo. Es decir, la magnitud de las ganancias
ilícitas, se están incrementando; existen cantidades enormes
de dinero en forma electrónica que son susceptibles de fallas
y asaltos que aún estamos por descubrir. Esta reflexión
es desafiante y exigente al tiempo, si ahora los intrusos
“saben” que requieren menos tiempo para tener dinero, pues
la tecnología es su aliada, la pregunta es: ¿Qué estamos
haciendo nosotros para hacerles la vida más difícil?
Factor No. 3—Otro factor que contribuye al
explosivo crecimiento de los ataques es el
volumen de vulnerabilidades reportadas en
el software.
El autor afirma que estas vulnerabilidades ofrecen a los
atacantes un sin fin de formas para explotar y vulnerar los
sistemas de todos los tipos y sabores, desde aplicaciones
corporativas como Oracle y PeopleSoft hasta computadores
de uso en casa como Apple OS X y Windows. En este punto
el autor dice que con este escenario, es difícil imaginar porqué
no existen más personas involucradas con el cibercrimen.
Si bien, este factor, no sólo requiere un reclamo a los
proveedores del software y sus estrategias de aseguramiento
de calidad de software, sino a nosotros los usuarios que
“no reportamos” los eventos que puedan ser extraños o
fuera del funcionamiento normal. Los atacantes se valen de
nuestra “ignorancia” para avanzar y generar la incertidumbre
requerida para que sus acciones pasen desapercibidas.
Factor No. 4—Las soluciones de seguridad
para proteger el software de ciberataques
son sustancialmente más complejas de
configurar correctamente o requieren una
importante cuota de “cuidado y alimentación”
para asegurar su eficiencia.
El autor sugiere que la configuración y afinamiento
permanente de los mecanismos de seguridad, particularmente
habla de los firewalls, exige una complejidad propia del
mismo y conocimiento de las interacciones para mantenerlo
funcionando adecuadamente. Esta afirmación de Rice,
apunta precisamente al esfuerzo continuado que requiere la
seguridad, a la constante evolución de las infraestructuras y a
las maneras como los atacantes desafían las nuevas propuestas
de seguridad y control. La inseguridad de la información es
dinámica y parte de la labor es tratar de seguirle el rastro y
porqué no enfrentarnos con ella para entenderla y desafiarla.
Factor No. 5—El quinto factor es la falta
de coordinación transnacional de los agentes
gubernamentales para tratar el tema
del delito informático.
Rice argumenta que a menos que dos naciones no
compartan normas o acuerdos sobre control, persecución y
judicialización de los temas de crímenes informáticos, los
atacantes seguirán manteniendo su estatus de “intocables,” lo
cual no envía un buen mensaje a los ciudadanos de los países.
Esta connotación del autor, marca un punto importante en el
tema de los ataques en Internet y las implicaciones jurídicas
del asunto. Por un lado, los abogados y juristas deben
avanzar en la era del electronic compliance,3 lo cual implica
comprender los riesgos derivados del cruce entre tecnologías,
leyes y mercados, como una manera de profundizar en las
normas y estrategias para comprender el delito informático
y las relaciones entre el mundo offline (mundo real) y el
mundo online (virtual) y, por otro, los técnicos y especialistas
en seguridad informática (o sencillamente apasionados
por el tema) deben avanzar no en la identificación de las
vulnerabilidades y sus posibilidades, sino en la comprensión y
entendimiento de la inseguridad como esa propiedad inherente
a los objetos y que requiere una mente que “piense en el
margen,” “sin restricciones” y de manera creativa.
Revisando lo expuesto por Rice y Verton no es claro
identificar hasta donde el ciberterrorismo se basa en el
cibercrimen o vice versa, pues los intrusos ahora tienen un
panorama mucho más amplio para conquistar y desarrollar.
Si el intruso se concentra en atacar una nación y sus recursos
computacionales propios de su funcionamiento, algunos
expertos lo denominarían ciberterrorismo; mientras otros
pueden sugerir acciones punibles en medios informáticos
de alcance nacional que responden a tipos penales locales,
lo cual implica la utilización de medios informáticos para
vulnerar los derechos del estado y sus ciudadanos en la red.
Ante este aparente cruce de conceptos, se presenta
este documento que busca abrir la discusión sobre el
ciberterrorismo y el cibercrimen como una excusa académica
para profundizar más en cada uno de estos temas y así
advertir posible efectos adversos sobre los individuos,
organizaciones y naciones, como amenazas emergentes que
deben ser estudiadas en profundidad de manera expedita,4
para disminuir la incertidumbre propia de los temas, la cual
será capitalizada por los intrusos cuando sean procesados por
uno u otro contexto.
Ciberterrorismo: La evolución de un
concepto violento en el mundo offline y en
un mundo online
El ciberterrorismo es la convergencia entre el terrorismo
y el ciberespacio, una conjunción de fuerzas que utilizando
las ventajas y capacidades del terrorismo físico, ahora basado
en fallas y vulnerabilidades tecnológicas, logran intimidar o
presionar a un estado y sus ciudadanos.5
De otra parte, algunos establecen que el ciberterrorismo
esta relacionado con las vulnerabilidades propias de las
infraestructuras críticas de una nación: energía eléctrica,
producción, almacenamiento y suministro de gas y petróleo,
telecomunicaciones, bancos y finanzas, sistemas de suministro
de agua, transporte, servicios de emergencia y operaciones
gubernamentales, aquellos sistemas que hacen parte de la
dinámica de la economía de un país y el bienestar de los
ciudadanos.6 Si bien, las vulnerabilidades no son sinónimo de
amenazas, dado que ellas son debilidades que se presentan
en un sistema, las amenazas requieren de un actor con
motivación, recursos y deseos de explotar la misma.
De igual forma otros autores7 comentan que las
acciones ciberterroristas son actividades terroristas que
son llevadas a cabo completamente (de manera preferente)
en el mundo virtual. En este contexto, los investigadores
mencionados establecen un modelo base para comprender el
ciberterrorismo, como una extensión del terrorismo, para lo
cual establecen siete elementos de análisis a saber:
- Si el perpetrador es un grupo o un individuo
- El sitio donde se adelanta la acción
- La acción misma realizada
- La herramienta o estrategia utilizada: violencia, secuestro,
bomba, etc.
- El objetivo de la acción: el gobierno, una organización
particular
- La afiliación a la que pertenece el perpetrador
- La motivación
Como se puede observar no hay un consenso sobre lo
que se debe entender por ciberterrorismo, sin embargo la
definición sugerida por Pollit, mencionada en Taylor et al.,8
muestra una forma interesante de comprender el mismo,
la cual conjuga los aspectos mencionados por los autores
anteriores: “El ciberterrorismo es un ataque premeditado,
políticamente o ideológicamente motivado o una amenaza de
ataque contra la información, los sistemas de información,
programas de computadores y datos que puede llevar una
acción violenta contra objetivos civiles.”
Cuando entendemos el ciberterror, como esa fuerza
emergente que reconoce en las vulnerabilidades propias de
los sistemas y en la tendencia convergente de la tecnologías
de información, la manera de ocasionar el mayor daño, con
el menor esfuerzo y el mayor impacto en las infraestructuras
de misión crítica de una nación, sabe que está en un margen
de acción que escribe una nueva historia de los intrusos, que
ahora no conocen límites para demostrar que han aprendido a
explotar las ventajas de la tecnología para intimidar y desafiar
a los estados en un mundo donde no existen fronteras y cuyo
límite no está en las instituciones, sino en la imaginación
del hombre.
En este sentido, el ciberterrorismo abarca cuatro variables
que deben ser parte del análisis de esta nueva amenaza, la
cual se confunde con las fallas mismas de los sistemas de
información y deja sin argumentos tanto a los profesionales
de la seguridad, como a los analistas de inteligencia.
Las variables propias del ciberterrorismo son: ataques
a la infraestructura de tecnologías de información—TI,
ataques a la información, utilización de las TI para labores
de coordinación de los planes terroristas y la promoción y
difusión de sus consignas ideas, así como del entrenamiento
de sus grupos de acción.
Al estudiar como mínimo estas cuatro variables y sus
relaciones entre ellas, podemos ver comportamientos
emergentes que nos permitirán ver cómo las naciones, las
organizaciones y los individuos deben cerrar sus filas para que
el terror en línea no se convierta en esa amenaza invisible y
predecible que todos advertimos pero no queremos enfrentar.
Si esta tendencia actual persiste, estaremos allanando el
camino para eventos de mayor magnitud, que permitirán al
atacante demostrar que puede atemorizar a un estado, que ha
faltado a su deber de protección de sus ciudadanos ahora en
un mundo online.
El cibercrimen: Viejos hábitos del mundo
offline, nuevas armas en el mundo online
Para la UIT,9 la ciberseguridad consiste en “(…) proteger
contra el acceso no autorizado y la manipulación y
destrucción de recursos y activos esenciales, (…),” definición
que si bien establece un lineamiento concreto para los
gobiernos e interesados, limita un entendimiento profundo
del concepto de seguridad informática, pues considera a
la inseguridad de la información, causante de los riesgos
identificados, como la enemiga de la sociedad.
Cuando comprendemos que el estudio de la inseguridad de
la información nos permite ver el otro lado de la distinción de
la seguridad, podemos alimentar un modelo de estrategias más
consistente y real frente a las fallas emergentes de un sistema
y no frente a los controles que se diseñan para protegerlo. Es
decir, pensando como “el atacante”: puedo ver aquello que
desde la cotidianidad del uso del sistema, no puedo ver.
La realidad de la inseguridad de la información y la
materialización de la delincuencia en medios electrónicos, nos
debe llevar a mirar en perspectiva, lo que la justicia requiere
para enfrentar el desafío de un atacante anónimo, que se
mimetiza en la red, que manipula evidencias, que elimina
rastros y que conoce en los detalles las herramientas de apoyo
y soporte de investigaciones informáticas.
Los constantes avances tecnológicos y los altos niveles
de conocimientos técnicos involucrados en los nuevos
desarrollos electrónicos y computacionales10, 11 establecen un
reto para presentar una definición general de lo que puede
denominarse un “computer crime” o delito por computador o
semejante. En este sentido, existen múltiples interpretaciones
y sugerencias que buscan modelar esta naciente y conflictiva
área para el derecho y las tecnologías de información.
El no contar con una definición concreta sobre el tema,
desestima los esfuerzos para una adecuada detección,
investigación y judicialización de este tipo de conductas en
medios electrónicos y computacionales. A pesar de que las
estadísticas actuales nos muestran un importante incremento
de eventos relacionados con explotación de vulnerabilidades
informáticas en diferentes ramos y campos, dejando pérdidas
millonarias para las organizaciones y grandes vacíos en la
sociedad sobre las acciones que el estado toma al respecto,
no se han experimentado avances significativos ni estrategias
desde el punto de vista jurídico, que articulen los limitados
esfuerzos sugeridos desde la perspectiva de la administración
de la seguridad de la información.
La dificultad existente para perseguir la criminalidad
informática radica en varias razones como el entendimiento
de las tecnologías y las vulnerabilidades inherentes por parte
de los cuerpos de seguridad del estado y la administración
de justicia, la comprensión y análisis de la evidencia digital
y los rastros electrónicos, la información y su valor en los
mercados internacionales y la falta de precisión en el perfil de
un delincuente tecnológico, como elementos que exigen
de la academia, el gobierno, la industria y las instituciones
de la justicia un esfuerzo conjunto para avanzar en la
construcción de caminos que confronten a los nuevos y
organizados criminales.12
En este contexto, el National Institute of Justice (NIJ) del
Departamento de Justicia de los Estados Unidos13 adelantó un
estudio que establece aquellos elementos y consideraciones
que se hacen necesarias para apoyar tanto táctica como
operacionalmente a la administración de justicia para
enfrentar el reto de la cibercriminalidad informática y de las
telecomunicaciones.
Los resultados del estudio establecen 10 temas críticos
donde se debe trabajar para avanzar en el fortalecimiento de
las habilidades de la Administración de Justicia y su relación
con las nuevas armas de delincuencia informática:
- Concientización del público
- Estadísticas y datos sobre delitos informáticos
- Entrenamiento uniforme y cursos de certificación
para investigadores
- Asistencia en sitio para las unidades de lucha contra el
delito informático
- Actualización del marco normativo
- Cooperación con los proveedores de alta tecnología
- Investigaciones y publicaciones especializadas en
crímenes de alta tecnología
- Concientización y soporte de la gerencia
- Herramientas forenses y de investigación criminal
informática
- Estructuración de unidades de lucha contra el delito
informático
Como se puede observar en el resultado del estudio del NIJ
el combate del cibercrimen requiere toda una estrategia de
formación y articulación que permita a la sociedad contar con
una administración de justicia moderna y acorde con los retos
que la criminalidad le impone. El no considerar algunos de los
elementos planteados por la investigación, implica debilitar el
modelo de Administración de Justicia en el escenario de una
sociedad de la información y generar un espacio de acción
más amplio para los artificios jurídicos que serán utilizados
por los delincuentes para evadir las sanciones que deben tener
por sus acciones.
Protección de infraestructuras críticas: La
inseguridad de la información en el contexto
de una nación
La información se ha convertido en activo tan
importante que cada uno de los ministerios y departamentos
administrativos cuentan con datos suficientes para que
personas inescrupulosas, terroristas o delincuentes puedan
“manipular,” “alterar,” “eliminar” o “borrar” dicha
información y desinformar a toda una nación.
Las consecuencias de actos como estos, sumados a la
alteración y mal funcionamiento de los sistemas de información
que manejan y administran los sistemas de salud en los
hospitales, los expedientes recientes de los juicios en el sistema
penal acusatorio, los servidores de las fuerzas militares, las
redes eléctricas interconectadas y monitoreadas, así como los
cables de telecomunicaciones disponibles para el desarrollo
de las relaciones comerciales y de estado, son elementos que
pueden comprometer el control general de una nación.
Parece que este escenario fuese sólo para países del primer
mundo con alto desarrollo tecnológico que tienen que cuidar
sus sistemas automatizados vigentes, pero la realidad es otra.
Las fallas conjuntas que se pueden ocasionar por fallas en un
sistema y sus dependencias asociadas pueden generar un caos
similar o peor al ocurrido el 911 (11 de septiembre de 2001).
Si bien es probable que estemos entrenados para eventuales
catástrofes naturales y eventos en el mundo físico, la pregunta
válida es: ¿Lo estaremos para eventos en el mundo de la
informática y la electrónica?
La cibercriminalidad sigue en aumento y dado que no la
percibimos de manera directa, ni nos afecta en esta forma,
pasa inadvertida, generando un ambiente ideal para seguir
echando raíces en sus diferentes maneras y mutaciones,
generando barreras de defensa que cuando se quieran atacar
tendremos que hacer importantes esfuerzos para derribarlas.
La infraestructura crítica de información de una nación
inicia en la dinámica de uso de los ciudadanos de cada uno
de los servicios que ofrece el estado y termina, en un ciclo
de mejoramiento continuo y discontinuo que repiense las
estrategias de coordinación y acción ante fallas que afecten
aquellos servicios públicos de la nación como la banca
central, el sistema de acueducto, las redes eléctricas, los
hospitales, los sistemas de aeronavegación, los poliductos
de combustibles, entre otros. Si lo anterior es correcto,
los estados deben asumir el reto de prepararse tanto para
mejorar la infraestructura de tecnologías de información y
comunicaciones, como para las fallas de la misma.
En razón a lo anterior, el Grupo de los Ocho (G8)
estableció una serie de recomendaciones para los estados,
con el fin de avanzar en una estrategia de coordinación
internacional para comprender las relaciones propias de las
infraestructuras de información crítica de las naciones y así
prepararse para enfrentar el reto de las amenazas, ahora en un
mundo interconectado y sin fronteras físicas. A continuación
se detalla un listado compendiado de los Principios del G8
para la protección de las infraestructuras de información
crítica (IIC):
14
- Los países deben tener un sistema de redes de advertencias
sobre ciber vulnerabilidades, amenazas e incidentes.
- Los países deben incrementar la concientización sobre
el entendimiento y naturaleza de las infraestructuras de
información crítica, para que los stakeholders comprendan
su papel en la protección de la misma.
- Los países deben analizar sus infraestructuras y las
dependencias entre las mismas para mejorar sus estrategias
de coordinación y protección.
- Los países deben promover alianzas entre el gobierno, el
sector privado y público para analizar las IIC con el fin de
prevenir, investigar y responder a los daños o ataques a
las IIC.
- Los países deben crear y mantener redes de notificación
y comunicación ante crisis y probarla con frecuencia
para generar una cultura de prevención y acción segura y
estable en estas situaciones.
- Los países deben asegurar las políticas de disponibilidad
de los datos tomando como base la necesidad de proteger
las IIC.
- Los países deben facilitar el seguimiento de los ataques
a las IIC, considerando la revelación de la información
requerida a otras naciones.
- Los países deben desarrollar ejercicios y entrenamientos
para mejorar su capacidad de respuesta y así probar los
plantes de continuidad y contingencia cuando las IIC
son sometida a un ataque. Se recomienda adicionalmente
involucrar a los stakeholders.
- Los países deben adecuar las regulaciones y
legislaciones, siguiendo lo establecido en la Convención
de Cibercrimen.15 Así mismo, deben entrenar al personal
requerido para investigar y perseguir los ataques a las IIC
y coordinar las investigaciones con otros países cuando
se requiera.
- Los países deben promover la cooperación internacional,
cuando sea apropiado, para asegurar las IIC, incluyendo
el desarrollo y coordinación de sistemas de emergencias,
compartir y analizar información relacionada con
vulnerabilidades, amenazas e incidentes y coordinación
de investigaciones de ataques sobre las IIC de acuerdo
con las regulaciones y leyes locales vigentes.
- Los países deben promover investigación y desarrollo
a nivel nacional e internacional, así como promover la
aplicación de tecnologías de seguridad que se encuentren
alineadas con las mejores prácticas y estándares
internacionales.
Cibercrimen y Ciberterrorismo: Dos sorpresas
predecibles
Las sorpresas predecibles, como el 11 de septiembre, son
costosas y llevan a reflexiones profundas luego de que éstas
ocurren. En este sentido, Bazerman y Watkins16 establecen
que una organización se vuelve más vulnerable a una sorpresa
predecible cuando:
- La organización falla en el análisis de su entorno interno y
externo, alineado con sus objetivos de negocio
- La organización no es capaz de encajar las piezas de
información recolectadas de varios puntos de la misma, para
analizarla y establecer posibles amenazas
- La empresa no incentiva a los analistas o personas en
posiciones claves para adelantar los análisis requeridos de
información
- La comunidad empresarial no preserva la memoria de fallas
anteriores y las aproximaciones establecidas para evitarlas
- La organización no hace un ejercicio conciente para
desaprender de lo ocurrido, como una manera de
repensar sus acciones anteriores y desarrollar un diseño
ideal de inteligencia que le permite construir e influir el
futuro cercano
Cuando se advierten amenazas emergentes, las cuales
están sustentadas en información procesada y analizada,
basada en los objetivos y tendencias verificadas, y éstas, no
corresponden al modelo de creencias y valores del que toma
decisiones sencillamente son ignoradas.
En razón a lo anterior, el cibercrimen y el ciberterrorismo
se convierten en sorpresas predecibles que constantemente
nos envían mensajes de su presencia, que sistemáticamente
evadimos o ignoramos, aún teniendo elementos para
evidenciar su presencia. Mientras no reconozcamos en la
inseguridad de la información la fuente permanente de las
fallas y fuente misma para aprender de la mente del terrorista
o del intruso, estaremos avocados a enfrentar situaciones que
pudimos haber prevenido y que ahora sólo debemos controlar
o tratar.
“Las indicaciones y los avisos de que el terrorismo está
evolucionando hacia un mayor uso de las tácticas
del ciberterrorismo están ahí, si las queremos reconocer.
La única pregunta que queda por responder es sí los estados
actuarán antes de que sea tarde. Desde ahora, en todo el
mundo todos los días son el 10 de septiembre”.17
De manera complementaria a lo anteriormente expuesto,
podemos afirmar que con los constantes descubrimientos de
vulnerabilidades (falla de día cero) y la inevitabilidad de la falla
de los sistemas, un atacante o intruso se tomará algunas horas,
para materializar su actividad criminal, con una probabilidad
de éxito mayor al 50 por ciento, mientras que una investigación
de lo que ocurrió puede tomar semanas, meses o años con una
probabilidad de logro inferior al 50 por ciento.
Ante este panorama, las estrategias de los estados,
organizaciones e individuos deben orientarse a desarrollar
sistemas de inteligencia estratégica de información18, 19 en
la industria, academia y gobierno de tal forma que puedan
formular un sistema de simulación de escenarios previsibles,
que preparen a todos los involucrados en los esquemas de
contención y reacción ante una situación de falla parcial o
total. Estamos en medio de un sistema emergente altamente
conectado e integrado, donde el concepto de territorialidad y
límites de las naciones se hace difuso, que ante una falla de
uno de sus componentes podemos advertir una emergencia o
un desastre; ya las proporciones del mismo y sus impactos,
corren por cuenta de todos nosotros y nuestras decisiones.
Reflexiones finales
Siguiendo a Nelson et al.20 y Littleton,21 el ciberterror es un
subconjunto del terrorismo, en el cual se usa la información
como un arma, método u objetivo con el fin de lograr los
objetivos del terrorista. El ciberterrorismo existe en y más
allá del ciberespacio, incluyendo entre otros aspectos,
manipulación o destrucción física de cualquier dispositivo,
sistemas de dispositivos o procesos con un alto componente
de información.
Esta nueva realidad del ciberterrorismo advierte el uso de
técnicas de guerra de la información,22 guerra psicológica,
propaganda diseminada, reclutamiento, entrenamiento y
formación de agentes virtuales, los cuales mantienen un
bajo perfil en la sociedad, que hacen muy compleja su
identificación y actuación. Mientras este nuevo terrorista usa
la red como un escenario para mimetizarse, los ciudadanos
continúan durmiendo con un enemigo con el cual conviven e
interactúan sin conocer sus intenciones.
Si bien este documento no busca generar una sensación
alarmista sobre esta realidad emergente, si quiere concienciar
a sus lectores para que comiencen a leer en lo que
constantemente se publica, no el contenido, sino el trasfondo
de las noticias y las acciones que sobre ellas se advierten.
Tanto el estado como los ciudadanos son parte del nuevo
juego del ciberterror, donde cualquier movimiento de las
piezas implica acciones bien sea de ataque o evasión por parte
de alguno de sus actores.
En este sentido, el cibercrimen se conjuga con el
ciberterror en una línea difusa de comprender, pues cuando
el criminal informático no sólo busca un lucro económico
de sus acciones, sino que las acciones mismas atentan contra
la soberanía de la una nación en un entorno digital, estamos
entrando en terrenos donde podemos hablar de un atentado
contra la infraestructura de información crítica de una nación,
que puede ser catalogada como ciberterrorismo.
Dado que estas dos amenazas son tan reales como la
información existente en todos los formatos, es deber tanto de
individuos, organizaciones y estados dedicar esfuerzos y recursos
para avanzar en una estrategia de administración de riesgos que
permitan hacer evidente esa propiedad inherente a los objetos
como lo es la inseguridad, para así, no sorprendernos ante los retos
que ésta nos proponga, sino que podamos responder al desafío con
la misma fuerza y habilidad con que ella nos pone a prueba.
Cibercrimen y ciberterror son dos amenazas que se hacen
invisibles al tejido social, a las regulaciones estatales, a las
consideraciones de la industria, pues saben que existen otras
prioridades que preocupan a gobiernos, industria e individuos.
Por tanto, si esto es correcto, estamos gestando un escenario
emergente de variables intangibles, que actualmente viven
entre nosotros, que se pasean frente a nosotros, sin que las
podamos comprender o percibir. Cibercrimen y ciberterror
son dos verdades tan evidentes, que sistemáticamente
negamos y evadimos, por ser demasiado creíbles.
Notas
1 Verton, D.; Blackice. La Amenaza Invisible del
Ciberterrorismo, McGraw Hill, 2004, p. 16-17
2 Rice, D.; Geekonomics: The Real Cost of Insecure
Software, Addison Wesley, 2008, p. 78-81
3 Gasser, U.; Haeusermann, D.; “E-compliance: Toward a
Roadmap to an Effective Risk Management,” Research
Publications, Harvard Law School, 2007
4 Aldrich, R.; “Internationalized Information Terror: Does It
Call for an International Treaty?,” INSS Occasional Paper,
No. 32, Information Operation Series, USAF Institute for
National Security Studies, 2000, www.usafa.af.mil/df/inss/OCP/ocp32.pdf
5 Denning, D.; Cyberterrorism, 2000, www.cs.georgetown.edu/~denning/infosec/cyberterror.html
6 Nelson, B.; R. Choi; M. Iacobucci; M. Mitchell; G. Gagnon;
“Cyberterror: Prospect and Implications,” United States
Navy, Naval Postgraduate School, 1999, http://handle.dtic.mil/100.2/ADA393147
7 Gordon, S.; R. Ford; “Cyberterrorism,” Symantec, 2003,
www.symantec.com/avcenter/reference/cyberterrorism.pdf
8 Taylor, R.; T. Caeti; D. Kall Loper; E. Fritsch;
J. Liederbach; Digital Crime and Digital Terrorism,
Pearson Prentice Hall, 2006, p. 23
9 Unión Internacional De Telecomunicaciones (UIT),
“Agenda Sobre Ciberseguridad Global,” 2008, www.itu.int/cybersecurity/
10 Howard, J.; “An Analysis of Security Incidents on the
Internet 1989-1995,” Tesis doctoral, Carnegie Mellon
University, 1997, www.cert.org/research/JHThesis/Start.html
11 Raymond Choo, K. K.; R. Smith; R. McCusker; “Future
Directions in Technology-enabled Crime: 2007-09,”
Research and Public Policy Series, No. 78, 2007,
www.aic.gov.au/publications/rpp/78/rpp78.pdf
12 Knetzger, M.; J. Muraski; Investigating High-tech Crime,
Pearson Prentice Hall, 2008
13 Stambaugh, H.; D. Beaupre; D. Icove; R. Baker;
W. Cassaday; W. Williams; “Electronic Crime Needs
Assessment for State and Local Law Enforcement,”
National Institute of Justice, Research Report, 2001,
www.ncjrs.gov/pdffiles1/nij/186276.pdf
14 www.cybersecuritycooperation.org/documents/G8_CIIP_Principles.pdf
15 www.cybersecuritycooperation.org/documents/CoE_cybercrime_convention.doc, 23 de noviembre de 2001
16 Bazerman, M.; M. Watkins.; Predictable Surprises: The
Disasters You Should Have Seen Coming and How to
Prevent Them, Harvard Business School Press, 2004
17 Adaptado de Verton, 2004, p. 258
18 Khalsa, S.; Forecasting Terrorism: Indicators and Proven
Analytic Techniques, The Scarecrow Press Inc., 2004
19 Clark, R.; Intelligence Analysis: A Target-centric
Approach, CQ Press, 2004
20 Ibid., Nelson, et al.
21 Littleton, M.; “Information Age Terrorism: Toward
Cyberterror,” United States Navy, Naval Postgraduate
School, 1995, www.fas.org/irp/threat/cyber/docs/npgs/terror.htm
22 Longstaff, T.; J. Ellis; H. Shawn; H. Lipson; R. McMillan;
L. Hutz Pesante; D. Simmel; “Security of the Internet,” en
The Froehlich/Kent Encyclopedia of Telecommunications vol. 15, Marcel Dekker, 1997, p. 231-255,
www.cert.org/encyc_article/tocencyc.html
Jeimy J. Cano, Ph.D., CFE
es miembro investigador del Grupo de Estudios en Comercio
Electrónico, Telecomunicaciones e Informática (GECTI) en
la Facultad de Derecho de la Universidad de los Andes, en
Colombia. También es ingeniero de Sistemas y Computación
y Magíster en Ingeniería de Sistemas y Computación, ambos
por la Universidad de los Andes, y Ph.D., en Administración
de empresas en la Newport University, California, USA. Está
diplomado en Sistema Penal Acusatorio por la Universidad
Militar Nueva Granada, Colombia. Es profesional certificado en
Computer Forensic Analysis (CFA) del Instituto Mundial para la
mejora de la seguridad, Estados Unidos de América, y profesional
certificado como Certified Fraud Examiner (CFE) por la
Association of Certified Fraud Examiners. Contacto en: jjcano@yahoo.com.
Information Systems Control Journal, formerly the IS Audit & Control Journal, is published by the ISACA. Membership in the association, a voluntary organization of persons interested in information systems (IS) auditing, control and security, entitles one to receive an annual subscription to the Information Systems Control Journal.
Opinions expressed in the Information Systems Control Journal represent the views of the authors and advertisers. They may differ from policies and official statements of the Information Systems Audit and Control Association and/or the IT Governance Institute® and their committees, and from opinions endorsed by authors' employers, or the editors of this Journal. Information Systems Control Journal does not attest to the originality of authors' content.
Instructors are permitted to photocopy isolated articles for noncommercial classroom use without fee. For other copying, reprint or republication, permission must be obtained in writing from the association. Where necessary, permission is granted by the copyright owners for those registered with the Copyright Clearance Center (CCC), 27 Congress St., Salem, Mass. 01970, to photocopy articles owned by the Information Systems Audit and Control Association Inc., for a flat fee of US $2.50 per article plus 25¢ per page. Send payment to the CCC stating the ISSN (1526-7407), date, volume, and first and last page number of each article. Copying for other than personal use or internal reference, or of articles or columns not owned by the association without express permission of the association or the copyright owner is expressly prohibited.
