Cuando un trámite pasa a un sistema digital, puede mejorar la experiencia del ciudadano y la gestión del Estado. Pero también aumenta la dependencia de esa infraestructura: de que esté disponible, de sus datos y de quién puede entrar.
Un expediente en papel se puede perder o alterar, pero eso suele afectar un caso. Un sistema digital comprometido puede afectar a miles o millones de personas al mismo tiempo. La escala que hace valiosa la digitalización es la misma que multiplica el daño de una falla de seguridad.
La cadena que casi nadie explica
Toda transformación digital trae esta secuencia:
- Más servicios digitales.
- Más dependencia tecnológica.
- Más superficie posible de ataque.
- Más necesidad de resiliencia.
Resiliencia es la capacidad de seguir operando y de recuperarse después de un incidente. Tiene que planificarse desde el diseño, junto con el resto de la arquitectura, no como reacción cuando el problema ya pasó.
Proteger un servicio público significa tres cosas
- Confidencialidad: que los datos del ciudadano los vea solo quien debe verlos.
- Integridad: que la información no se pueda alterar sin autorización ni sin dejar rastro.
- Disponibilidad: que el servicio funcione cuando el ciudadano lo necesita.
Si falla cualquiera de las tres, falla el servicio público, no solo el sistema. Una filtración de datos, un registro alterado o una plataforma caída el día del vencimiento son fallas del Estado frente al ciudadano.
Los riesgos que cualquier servicio tiene que resistir
Ransomware, robo de credenciales, fraude, caída de servicios, alteración de datos y dependencia de proveedores. Son categorías de riesgo, no casos atribuidos: no hablo aquí de incidentes concretos ni de entidades específicas.
Poner la seguridad al final es ponerla tarde
En muchos proyectos la secuencia es: diseño, desarrollo, lanzamiento y, al final, seguridad. La que propongo es otra: diseño, desarrollo, lanzamiento y operación, con la seguridad presente en todas las etapas.
Corregir la seguridad al final suele costar más y puede obligar a rehacer partes estructurales del sistema. Un sistema mal diseñado desde la seguridad no se arregla con un antivirus.
Mi propuesta: ocho decisiones antes de construir o contratar
Propongo que todo servicio digital del Estado resuelva estas ocho cosas antes de construir o contratar la solución:
- Arquitectura: cómo se ordenan los componentes y dónde están los límites de confianza.
- Identidad: cómo se identifica a usuarios y sistemas.
- Accesos: quién puede hacer qué.
- Monitoreo: cómo se detecta un comportamiento raro.
- Respaldos: qué se respalda, cada cuánto y dónde.
- Recuperación: cuánto se tarda en restablecer el servicio.
- Respuesta a incidentes: quién hace qué cuando algo falla.
- Pruebas: cómo se verifica que todo lo anterior funciona.
Ninguna es una decisión técnica menor. Todas definen qué pasa el día en que algo falla.
Lo que no estoy diciendo
No digo que digitalizar sea peligroso. Un trámite en papel también se pierde, se altera y se cae. Digo algo más exigente: digitalizar bien obliga a diseñar la seguridad al mismo tiempo que el servicio.
La alternativa a un servicio digital mal protegido no es volver al papel. Es hacerlo bien.
Cómo lo implementaría
- Incluir las ocho decisiones como requisito en los términos de referencia de todo proyecto digital del Estado, según la criticidad del servicio.
- Clasificar los servicios por criticidad: no se protege igual un portal informativo que el sistema de identidad o de pagos.
- Exigir planes de recuperación probados, no solo escritos.
- Verificar antes de lanzar: pruebas de seguridad independientes en los servicios críticos.
- Medir en operación: incidentes, tiempo de detección y tiempo de recuperación.
En mi propuesta de CENIT, estos requisitos formarían parte de los estándares comunes del Estado. CENIT es mi propuesta; hoy no existe.
La objeción obvia: encarece y retrasa los proyectos
Sí, sube el costo inicial. Pero baja el costo total, porque evita rehacer cosas y, sobre todo, evita el costo de un incidente grave.
La otra objeción es que muchas entidades no tienen personal especializado para cumplir esto. Es un problema real, y por eso la seguridad del Estado necesita capacidades compartidas. Eso lo desarrollo en otro artículo de esta serie.
Qué cambia para el ciudadano
Servicios digitales que protegen tus datos, que no se alteran sin dejar rastro y que funcionan cuando los necesitas. Y un Estado que, cuando pasa algo, sabe cómo responder y cuánto va a tardar en recuperarse.
Hacia 2050
Mientras más funciones del Estado dependan de sistemas digitales, más la ciberseguridad se vuelve una condición de la continuidad del propio Estado. Quiero ver un Perú con servicios públicos digitales diseñados para resistir, detectar y recuperarse, con la seguridad metida desde el primer día de cada proyecto.
Conclusión
Un servicio digital que no se puede proteger ni recuperar no es infraestructura moderna. Es una vulnerabilidad con una interfaz bonita.
Fuentes
- Propuesta de Letras de Cambio sobre ciberseguridad desde el diseño en los servicios digitales del Estado. CENIT es una propuesta editorial de Letras de Cambio; no es una entidad existente.