En el corazón de los conflictos contemporáneos, junto a tanques, drones y tropas, se libra una guerra invisible, silenciosa y a menudo subestimada: la ciberguerra. No es solo un escenario futurista ni una amenaza hipotética. Es la realidad. Desde los conflictos entre Rusia y Ucrania, pasando por los ataques paralelos ocurridos durante el enfrentamiento entre Israel y Hamás, hasta las recientes tensiones entre Israel e Irán, el ciberespacio se ha convertido en un auténtico campo de batalla.
El ciberespacio como nuevo ámbito de la guerra
El ciberespacio ya no es solo el entorno donde se cometen fraudes informáticos, se difunde pornografía infantil o se accede sin autorización. Ha sido reconocido oficialmente por la OTAN como el quinto ámbito de la guerra, junto con la tierra, el mar, el aire y el espacio. Esto significa que las operaciones ofensivas y defensivas realizadas a través de sistemas de información pueden tener el mismo peso estratégico y geopolítico que los ataques convencionales.
En el contexto de las relaciones internacionales, la ciberguerra se distingue de otras actividades digitales como el cibercrimen, la guerra de la información, el ciberterrorismo o la vigilancia digital estatal.
Aquí hablamos de ataques reales llevados a cabo por un Estado contra otro, con el objetivo de desestabilizar, sabotear o adquirir estratégicamente datos sensibles.
Derecho internacional y los desafíos de la ciberguerra
Una de las grandes preguntas abiertas es la jurídica: ¿cómo se regulan los ciberconflictos? ¿Necesitamos una ley a medida para el ciberespacio?
La postura predominante, también apoyada por Estados Unidos, es que las normas del derecho internacional, tanto en tiempos de paz como de guerra, también se aplican en el ciberespacio. Sin embargo, persisten cuestiones críticas evidentes:
la atribución del ataque: en el ciberespacio es difícil identificar al atacante con certeza;
el concepto de arma cibernética: ¿cuándo puede considerarse un ciberataque «militar»? ¿Cuándo se puede reaccionar también con fuerza?
La proporcionalidad de la respuesta: el derecho internacional exige que la respuesta a un ataque armado sea proporcionada. Pero ¿cómo se mide un ataque digital?
Según muchos expertos, un ciberataque se considera armado si produce daños físicos, muertes o destrucción de infraestructuras críticas. En este contexto, hablamos de un arma cibernética cuando el ataque:
ocurre en el contexto de un conflicto entre actores estatales o comparables;
tiene el objetivo de dañar física o electrónicamente infraestructuras sensibles;
se lleva a cabo utilizando herramientas tecnológicas avanzadas.
Para el Departamento de Defensa de los Estados Unidos, las operaciones cibernéticas se dividen en:
CNA (Ataque a la Red Informática): ataques dirigidos a perturbar, degradar o destruir los sistemas de información (estas son las verdaderas operaciones de «ciberguerra»);
CNE (Explotación de la Red Informática): recopilación secreta de información; estas son operaciones de inteligencia;
CND (Defensa de redes informáticas): acciones defensivas para proteger redes y sistemas.
Solo las CNA que representan una amenaza o el uso de la fuerza caerían dentro del ámbito de la guerra cibernética. Los demás se sitúan más apropiadamente en el contexto del espionaje o la guerra de la información.
Ciberataque y Artículo 5: ¿cuándo se puede activar la defensa colectiva de la OTAN?
El artículo 5 del Tratado del Atlántico Norte, firmado en 1949, dispone que:
“Un ataque armado contra uno o más miembros de la Alianza se considerará un ataque contra todos ellos, y cada uno de ellos tomará las medidas necesarias para ayudar al Estado atacado, incluido el uso de la fuerza armada.”
Originalmente, esta disposición estaba destinada a ataques militares convencionales (terrestres, marítimos o aéreos). Sin embargo, desde 2014, en particular después de los ataques de hackers a la infraestructura occidental y la anexión de Crimea, la OTAN ha extendido oficialmente el concepto de «ataque armado» también al ciberespacio. (p. ej. parálisis de todo un sistema eléctrico nacional, sabotaje de infraestructura hospitalaria, desactivación de la defensa aérea);
efectos (víctimas humanas, daños materiales a gran escala);
claridad de atribución (cierta identificabilidad del actor responsable, y si este es un Estado o está directamente vinculado a él).
En 2007, Estonia, miembro de la OTAN, sufrió un ciberataque masivo atribuido a grupos rusos: el artículo 111 de la Ley de Ciberataques de la OTAN de 2007 no se activó. 5, pero desde entonces, la OTAN ha establecido el Centro de Excelencia de Ciberdefensa en Tallin. En 2021, la OTAN declaró oficialmente que «un ciberataque significativo podría activar el Artículo 5», sin especificar umbrales cuantitativos. La crisis entre Rusia y Ucrania ha aumentado aún más el nivel de atención: si Rusia lanzara un ciberataque devastador contra una infraestructura crítica de la OTAN, la Alianza podría considerarlo un ataque armado en toda regla. En conclusión, el Artículo 5 El Artículo 5 puede aplicarse a la ciberguerra, pero solo si existen pruebas contundentes, consecuencias graves y se demuestra la responsabilidad estatal. La Alianza Atlántica se mantiene cautelosa: el ciberespacio es un campo de batalla dinámico, donde una respuesta incorrecta corre el riesgo de degenerar el conflicto en lugar de contenerlo. Por lo tanto, el Artículo 5 es hoy una herramienta más política que operativa en la ciberguerra: sirve para disuadir a posibles atacantes, pero su aplicación concreta sigue siendo excepcional y está llena de complejas implicaciones jurídicas y diplomáticas. src=»https://www.redhotcyber.com/wp-content/uploads/2021/12/traliccio-elettricita-luce-2-free-1024×683.jpg» alt=»» class=»wp-image-49531″/>
De los documentos regulatorios europeos a la defensa nacional
La urgencia de protegernos de estas amenazas se demuestra mediante una serie de actos regulatorios y estratégicos, tanto internacionales como nacionales. En el contexto europeo, destacan la Directiva NIS de 2016, el Documento G7 de Taormina y los Manuales de Tallin, auténticas referencias legales sobre el tema. En Italia, el esfuerzo regulatorio se ha materializado en medidas como: el Libro Blanco para la Seguridad y la Defensa Internacional; el Plan Nacional de Ciberprotección; el Decreto del Primer Ministro del 17 de febrero 2017“Directiva que contiene directrices para la ciberprotección nacional y la seguridad de las TI” ;
Ley núm. 133/2019, que establece el perímetro de la ciberseguridad nacional;
Ley 109/2021, que contiene “ Disposiciones urgentes sobre ciberseguridad, definición de la arquitectura nacional de ciberseguridad y establecimiento de la Agencia Nacional de Ciberseguridad” , que estableció la Agencia Nacional de Ciberseguridad (ACN);
Ley núm. 90/2024, “Disposiciones sobre el fortalecimiento de la ciberseguridad nacional y la ciberdelincuencia”, que impone nuevas obligaciones de notificación, reacción y coordinación en caso de incidentes cibernéticos.
Los Manuales de Tallin: el marco jurídico internacional de los ciberconflictos
Los dos Manuales de Tallin (2013 y 2017), elaborados por un grupo internacional de expertos bajo los auspicios del Centro de Excelencia para la Ciberdefensa de la OTAN (CCDCOE), representan el intento más avanzado de dar una interpretación jurídica al papel del derecho internacional en el ciberespacio, en ausencia de tratados vinculantes específicos.
El primer Manual se centra exclusivamente en situaciones de conflicto armado: es decir, se aplica cuando la guerra cibernética se suma o acompaña a una guerra convencional. Analiza cómo las normas del derecho internacional humanitario (o derecho de la guerra), como la Convención de Ginebra, y las del derecho internacional general, incluyendo los principios de:
soberanía: cada Estado tiene el derecho exclusivo de controlar su propio ciberespacio e infraestructura digital;
no injerencia: las operaciones cibernéticas no deben comprometer la soberanía o la independencia política de otro Estado;
prohibición del uso de la fuerza, excepto en legítima defensa;
Responsabilidad del Estado: un Estado es responsable de los actos cometidos en su ciberespacio o por entidades bajo su control.
También define lo que puede considerarse “uso de la fuerza” en el ámbito cibernético, distinguiendo entre acciones disruptivas (p. ej., DDoS) y ataques destructivos a infraestructuras críticas, que potencialmente pueden justificar una respuesta militar.
El segundo Manual amplía enormemente el alcance del primero. Se centra en las operaciones cibernéticas que ocurren por debajo del umbral de un conflicto armado, es decir, en tiempos de paz, y a menudo sin declaraciones oficiales de guerra.
Tallin 2.0 aborda nuevas cuestiones cruciales:
la responsabilidad de los Estados por las actividades de espionaje, sabotaje y desinformación realizadas por grupos «no estatales» pero toleradas o apoyadas;
la definición y protección de infraestructuras críticas;
la interacción entre el derecho cibernético y otras ramas del derecho internacional, como:
el derecho del mar (p. ej., cables submarinos);
el derecho espacial (para las comunicaciones por satélite);
el derecho diplomático y consular (en relación con la violación de las oficinas y datos de representaciones extranjeras);
la aplicación de los derechos humanos Derechos al ciberespacio: libertad de expresión, protección de la privacidad, acceso a la información;
El tratamiento jurídico de las operaciones de ciberespionaje, hasta ahora excluidas de las normas explícitas, pero que ponen en riesgo la seguridad nacional y la confianza entre los Estados;
Los métodos de resolución pacífica de controversias digitales y las responsabilidades de los Estados con respecto a los ciberataques lanzados por actores internos o alojados en su territorio.
Si el primer Manual representa una especie de «Manual de Emergencia» para la ciberguerra, el segundo es una verdadera enciclopedia de derecho internacionalaplicado al ciberespacio, útil también para prevenir escaladas y promover la responsabilidad Uso de tecnologías digitales.
Paolo Galdieri Abogado penalista, también conocido como profesor de Derecho Penal Informático, ha ocupado puestos académicos clave, entre ellos la coordinación didáctica de un Máster de Nivel II en La Sapienza de Roma y tareas docentes en diversas universidades italianas. Es autor de más de cien publicaciones sobre derecho penal cibernético y ha participado en importantes conferencias internacionales como representante sobre el tema de la ciberdelincuencia. Además, ha colaborado con organizaciones y programas de televisión, aportando su contribución como experto en ciberdelincuencia.
Se ha descubierto un ejemplo inusual de código malicioso en un entorno informático real. Por primera vez, se registró un intento de atacar no los mecanismos de defensa clásicos, si...
En el corazón de los conflictos contemporáneos, junto a tanques, drones y tropas, se libra una guerra invisible, silenciosa y a menudo subestimada: la ciberguerra. No es solo un escenario fu...
Por Aldo Di Mattia, Director de Ingeniería de Sistemas Especializados y Asesor de Ciberseguridad para Italia y Malta en Fortinet Tras años definiendo nuevas estrategias regulatorias, el pano...
La ciudad francesa de Lyon ha anunciado el abandono masivo de los productos de Microsoft y la transición al software de código abierto, otra señal del creciente interés de Europa p...
Se ha identificado una vulnerabilidad crítica de denegación de servicio (DoS) en varias versiones del servidor MongoDB, en las versiones 6.0, 7.0 y 8.0.. La vulnerabilidad, clasificada como ...
Paolo Galdieri
