Una reflexión sobre la ciberseguridad, la arquitectura de los sistemas informáticos y la necesidad de gobernar las acciones institucionales más allá de la identidad de los usuarios.
Una reciente publicación de PCMag, escrita por Alan Henry, utiliza la controversia alrededor del entonces CEO de Nvidia, Jensen Huang, junto con otros incidentes de seguridad, para reiterar una conocida afirmación: el eslabón débil de la cadena de seguridad es el factor humano.
Comparto una parte importante de esa conclusión. Las personas pueden equivocarse, ser engañadas, ignorar procedimientos, actuar bajo presión o convertirse en objetivos de manipulación.
Sin embargo, no comparto completamente el diagnóstico.
Decir que el ser humano constituye el eslabón más débil identifica quién puede fallar, pero no necesariamente explica por qué el sistema permite que esa falla se convierta en una falla institucional.
Creo que ahí existe un problema arquitectónico más profundo.
Una persona confiable no produce automáticamente una acción confiable
El problema puede resumirse mediante una distinción sencilla:
Actor confiable ≠ Acción confiable
Una institución puede saber perfectamente quién está ingresando a un sistema. Puede autenticar su identidad, verificar una contraseña e incluso requerir múltiples factores de autenticación.
Pero haber demostrado quién soy no demuestra que lo que estoy intentando hacer sea correcto.
Tampoco determina si tengo autoridad para realizar esa acción bajo esas circunstancias particulares.
Por eso considero insuficiente una arquitectura basada principalmente en identidad y confianza.
En sistemas que administran información o decisiones importantes deberíamos separar, como mínimo:
Identidad → Autoridad → Acción → Evidencia → Reglas → Verificación → Registro
Cuando una acción supera determinados límites, debería además existir la posibilidad de requerir una segunda autorización, escalar la decisión o impedirla.
El objetivo no es desconfiar de las personas
Esto podría interpretarse como una propuesta para vigilar permanentemente a funcionarios, ejecutivos o empleados.
No lo es.
La premisa es mucho más sencilla: ninguna institución debería necesitar seres humanos infalibles para funcionar de manera segura.
Todos podemos equivocarnos.
Por eso diseñamos controles internos, auditorías, firmas conjuntas y separación de funciones.
La tecnología debería llevar ese mismo principio hasta el nivel de cada acción relevante.
Un funcionario autorizado podría estar perfectamente identificado y, aun así, intentar realizar una operación que excede sus atribuciones.
Un administrador informático podría poseer acceso legítimo y cometer un error.
Y un futuro agente de inteligencia artificial podría tener capacidad técnica para ejecutar una acción sin que eso signifique que deba poseer autoridad para hacerlo.
Capacidad y autoridad tampoco son equivalentes.
Una lección particularmente importante para el sector público
Esta discusión no debería limitarse a Nvidia ni a una controversia ocurrida en Estados Unidos. Tiene implicaciones directas para cualquier país que esté digitalizando sus instituciones, incluida Costa Rica.
Digitalizar un procedimiento no garantiza gobernanza.
Podemos convertir expedientes, formularios, autorizaciones, inventarios y transacciones en registros electrónicos y continuar reproduciendo exactamente el mismo problema: una persona posee determinado acceso y el sistema confía en que lo utilizará correctamente.
La pregunta que deberíamos incorporar en nuestros sistemas públicos es diferente:
¿Podemos reconstruir quién hizo qué, con qué autoridad, basándose en qué información y bajo cuáles reglas?
Si no podemos responder esas preguntas posteriormente, tenemos digitalización, pero nuestra capacidad de gobernanza y auditoría sigue siendo limitada.
Existe además un problema de evidencia
La publicación de PCMag reconoce que Nvidia sostenía que no creía que información sensible hubiese sido comprometida, aunque el artículo considera razonable preocuparse por la información que pudiera haberse conocido debido a las circunstancias descritas.
Aquí aparece otra distinción fundamental:
Riesgo de que algo haya ocurrido ≠ evidencia de que ocurrió
Podemos identificar un riesgo serio sin convertir una posibilidad en un hecho demostrado.
Precisamente por eso una buena arquitectura de gobernanza necesita preservar la diferencia entre información reportada, sospechada, inferida, verificada y demostrada.
De lo contrario, podemos resolver un problema de seguridad creando otro: decisiones institucionales tomadas sobre conclusiones que la evidencia disponible todavía no permite sostener.
El verdadero eslabón débil
Por eso modificaría ligeramente la conocida afirmación de que “el ser humano es el eslabón más débil”.
Los seres humanos cometeremos errores. También las máquinas.
El verdadero problema aparece cuando una arquitectura permite que el error, compromiso o conducta incorrecta de un actor autorizado se transforme automáticamente en una falla del sistema.
La seguridad madura debería partir precisamente de la realidad contraria:
los actores confiables también pueden fallar.
Por eso, en lugar de intentar construir instituciones que dependan de personas permanentemente confiables, deberíamos construir sistemas capaces de continuar siendo confiables cuando una persona no lo sea.
El principio podría expresarse de forma muy sencilla:
Confiemos en las personas cuando corresponda. Gobernemos las acciones siempre.
