Ciberseguridad en las relaciones internacionales

La ciberseguridad, en las relaciones internacionales, reúne disputas, reglas y capacidades vinculadas a la protección de los sistemas digitales usados por Estados y sociedades. El tema empieza en la seguridad informática, pero se vuelve internacional cuando una operación digital altera el margen político de un gobierno. Un hospital paralizado, comunicaciones diplomáticas robadas o una elección manipulada pueden obligar a tratar el incidente como algo más que una falla técnica. En ese punto, el problema afecta la soberanía, la confianza pública y la estabilidad entre Estados.

Esta agenda creció a medida que las funciones estatales pasaron a depender de infraestructuras conectadas. Oficinas públicas, autoridades financieras, sistemas militares y proveedores de servicios esenciales usan redes que cruzan fronteras. Una falla de software, una credencial robada o un proveedor comprometido pueden producir efectos políticos lejos del territorio donde empezó la intrusión. La ciberseguridad transforma la seguridad internacional al convertir la dependencia digital en exposición estratégica. La misma red puede sostener servicios públicos y recopilación de inteligencia, o convertirse en canal de lucro criminal, coerción y preparación militar.

Resumen

• La ciberseguridad entró en la agenda internacional cuando las operaciones digitales empezaron a afectar servicios públicos, secretos estatales y elecciones sin ocupación territorial.
• La atribución es difícil cuando los atacantes se esconden tras infraestructura intermediaria, actores delegados y rastros técnicos engañosos.
• La disuasión en el ciberespacio combina resiliencia, defensa y castigo para reducir el beneficio esperado de una operación hostil.
• Las normas de la ONU definen el comportamiento estatal responsable, aunque no crean un tratado único para toda operación cibernética entre Estados.
• La cooperación internacional es indispensable en investigaciones que dependen de pruebas electrónicas y proveedores de servicios en varios países.

El ciberespacio como dominio de conflicto

El ciberespacio suele describirse como un quinto dominio de conflicto, junto a los dominios militares más antiguos. La comparación es útil: las redes digitales pueden transportar órdenes militares, recopilación de inteligencia y presión estratégica. La analogía exige cautela. El ciberespacio descansa sobre una base civil de infraestructura privada, software comercial y dispositivos cotidianos que cruzan fronteras jurídicas y políticas.

Por esa razón, una operación cibernética rara vez pertenece a una sola categoría. Un ataque de denegación de servicio puede parecer una perturbación temporal. Durante una crisis, la misma técnica adquiere peso estratégico si derriba bancos, portales públicos o servicios de emergencia. Una intrusión en una red gubernamental puede obtener inteligencia hoy y preparar sabotaje futuro. Una operación informativa apoyada en correos robados puede afectar el debate público sin destruir ningún equipo físico.

Esa ambigüedad conecta la ciberseguridad con la diplomacia digital y el hard power. Cuando un Estado usa herramientas digitales para comunicar, prestar servicios o negociar reglas técnicas, actúa en el campo diplomático. Cuando usa una operación cibernética para encarecer la resistencia de otro Estado, el mecanismo se acerca al poder coercitivo. El mismo entorno tecnológico puede sostener cooperación e influencia. En una disputa política, puede desplazarse rápidamente hacia el espionaje o la presión.

Tipos de ataques e incidentes

Las operaciones cibernéticas varían según su objetivo. El espionaje busca información valiosa, desde mensajes diplomáticos hasta planificación militar. El sabotaje intenta volver un sistema poco fiable o inutilizable, sobre todo cuando el blanco pertenece a redes eléctricas, procesos industriales o servicios públicos. El ransomware bloquea acceso para exigir pago. Se convierte en cuestión de seguridad nacional cuando la víctima es un hospital, oleoducto, tribunal u organismo público. Las campañas de influencia digital usan material robado, cuentas coordinadas y mensajes segmentados para afectar la confianza social o las elecciones.

Algunos episodios muestran la evolución del problema. Los ataques contra Estonia en 2007 derribaron páginas y servicios digitales en medio de una disputa política con Rusia, y pusieron de manifiesto la vulnerabilidad de un Estado muy conectado. Stuxnet, descubierto en 2010, mostró que un código malicioso podía afectar equipos industriales vinculados al programa nuclear iraní. Las revelaciones de Edward Snowden, en 2013, expusieron la escala de la vigilancia electrónica de Estados Unidos y generaron crisis diplomáticas con aliados y socios. La interferencia rusa en las elecciones presidenciales estadounidenses de 2016 demostró cómo intrusión, filtración y manipulación informativa podían actuar sobre la política interna de una potencia.

Otros casos revelan cómo el daño digital puede convertirse en coste económico y social. WannaCry, en 2017, afectó a ordenadores en muchos países y perturbó partes del sistema sanitario británico. NotPetya empezó ese mismo año vinculado a Ucrania y causó pérdidas a empresas globales. La intrusión SolarWinds, revelada en 2020, comprometió una cadena de suministro de software y alcanzó a organismos públicos y compañías. El ataque contra Colonial Pipeline, en 2021, obligó a cerrar temporalmente un gran oleoducto estadounidense y mostró cómo un ransomware privado puede producir consecuencias públicas.

Estos episodios muestran que el daño cibernético adquiere significado internacional cuando altera capacidad estatal: prestación de servicios, secreto, confianza pública y margen de negociación. Los incidentes técnicos se vuelven estratégicos cuando modifican las condiciones políticas en que actúan los Estados. Estonia hizo visible la dependencia de los servicios gubernamentales respecto de sistemas en red. Stuxnet trasladó el debate a los equipos industriales. El caso Snowden dañó la confianza entre aliados. Colonial Pipeline acercó delincuencia privada, infraestructura crítica y seguridad energética.

Por qué atribuir un ataque es difícil

La atribución es el proceso de identificar quién realizó una operación cibernética y quién la ordenó, patrocinó o toleró. Combina análisis técnico y decisión política. Las pruebas importan, igual que el momento en que un gobierno acepta ligar consecuencias diplomáticas a esas pruebas. Los analistas examinan rastros técnicos, comparan métodos y estudian objetivos. La acusación pública llega cuando las autoridades deciden que las evidencias disponibles, la inteligencia clasificada y el coste diplomático justifican nombrar a otro Estado.

La dificultad empieza con el ocultamiento. Los atacantes pueden pasar por sistemas de terceros, reutilizar herramientas robadas o plantar pistas falsas. Además, que una operación use infraestructura situada en un país no prueba por sí mismo que el gobierno de ese país la dirigiera. Esa distinción aparece en los debates del Manual de Tallin y en los informes de Naciones Unidas sobre comportamiento responsable de los Estados. Contexto, consecuencias, capacidad técnica y vínculos con actores estatales deben evaluarse conjuntamente.

La atribución pública puede funcionar como presión. Cuando los gobiernos exponen a un operador, imponen sanciones o presentan acusaciones penales, intentan reducir la impunidad y señalar que la operación tendrá costes. La exposición por sí sola rara vez impide nuevas intrusiones. En muchos casos, la respuesta pública alcanza a operadores y entidades intermedias; la estructura estatal beneficiada por la operación conserva margen de negación.

La atribución funciona mejor cuando se conecta con una política de respuesta. Una acusación pública puede preparar sanciones, justificar cooperación policial, alertar a empresas vulnerables o crear base diplomática para una acción conjunta. Si la acusación queda aislada, el atacante puede absorber el coste reputacional y seguir por nuevos canales. La cuestión central es qué coste político, jurídico u operativo puede producir la atribución tras identificar al atacante, y si ese coste cambia el cálculo futuro de la agresión.

Disuasión: negación, castigo y resiliencia

La disuasión cibernética busca convencer a un adversario de que un ataque no producirá beneficios suficientes. En el ciberespacio, esa disuasión rara vez depende de una sola amenaza. La negación vuelve la operación más difícil o menos útil. El castigo hace que el atacante espere costes. La resiliencia mantiene servicios esenciales y ayuda a recuperar sistemas con rapidez.

La disuasión por negación empieza por la defensa práctica. Cierra vulnerabilidades, separa redes sensibles, refuerza la autenticación y prepara la recuperación antes del incidente. Su efecto político es directo: si el atacante no consigue producir un daño relevante, la operación pierde valor estratégico. Esta forma de disuasión es menos visible que una amenaza militar. Para los proveedores de servicios esenciales, suele ser más decisiva porque niega al atacante una crisis aprovechable.

La disuasión por castigo puede incluir sanciones, expulsión de diplomáticos, procesos penales, exposición pública u operaciones de respuesta. Es más difícil de calibrar, pues muchos ciberataques permanecen por debajo del umbral del uso de la fuerza armada. Una respuesta excesiva puede escalar la crisis; una respuesta débil puede reforzar la percepción de impunidad. Muchos gobiernos construyen una escala de respuesta que conecta acción jurídica, coordinación con aliados, inteligencia y diplomacia pública.

Esa lógica diferencia la disuasión cibernética de la disuasión nuclear clásica. En el ámbito nuclear, la amenaza principal suele ser excepcional, visible y concentrada en pocos actores. En el ciberespacio, la actividad hostil puede ser continua y barata, con intermediarios que dan margen de retirada al patrocinador. La defensa cotidiana, la redundancia de los sistemas y la recuperación rápida pasan a formar parte de la propia disuasión porque reducen la ganancia política de una intrusión antes de que sea necesario responder con castigo. La resiliencia se vuelve un activo diplomático.

Normas internacionales y cooperación

Naciones Unidas trata las tecnologías de la información y la comunicación en el contexto de la seguridad internacional desde finales de la década de 1990. El Grupo de Expertos Gubernamentales de 2019-2021, presidido por el diplomático brasileño Guilherme Patriota, reafirmó que las amenazas digitales se habían vuelto más amplias y sofisticadas. Su informe consolidó la idea de que el derecho internacional se aplica al comportamiento estatal en el ciberespacio y de que las normas voluntarias pueden reducir riesgos.

Estas normas orientan a los Estados hacia la contención práctica. Destacan cooperación, protección de infraestructuras críticas, asistencia a petición, respeto de derechos y salvaguardias para equipos de respuesta a emergencias. El mismo conjunto normativo pide prevenir usos maliciosos del territorio nacional cuando existe capacidad de actuar. El punto práctico es claro: no existe una autoridad mundial capaz de vigilar todas las redes. La estabilidad depende de conductas mínimas, canales de contacto, medidas de confianza y capacidad nacional, no de la fantasía de que una policía global única pueda proteger internet.

El Grupo de Trabajo de Composición Abierta de la ONU sobre TIC, con mandato de 2021 a 2025, amplió la participación de los Estados y discutió un mecanismo permanente para continuar el proceso. En paralelo, el Convenio de Budapest, en vigor desde 2004, ofrece una base jurídica para la ciberdelincuencia y la cooperación sobre pruebas electrónicas. La Convención de Naciones Unidas contra la Ciberdelincuencia, adoptada en 2024 y abierta a la firma en Hanói en 2025, busca crear un marco global para cooperación penal e intercambio de pruebas digitales. Su efecto dependerá todavía de ratificaciones, leyes nacionales y salvaguardias de derechos.

La diferencia entre esos instrumentos es relevante. Los informes de Naciones Unidas sobre comportamiento estatal tratan sobre todo de estabilidad estratégica: qué deben evitar los Estados y cómo pueden reducir riesgos de crisis. El Convenio de Budapest y la nueva convención de la ONU pertenecen al eje penal, sobre todo delitos, investigación, pruebas y asistencia jurídica. Las dos agendas se encuentran cuando una operación parece delictiva, cruza fronteras y al mismo tiempo beneficia a un gobierno o presiona a otro Estado.

Soberanía, derechos y sector privado

La ciberseguridad crea una tensión permanente entre soberanía e interdependencia. Los Estados quieren proteger redes nacionales, datos sensibles e infraestructuras críticas. Al mismo tiempo, internet funciona mediante protocolos, empresas y servicios transfronterizos. Un gobierno puede exigir control local de datos para proteger a la ciudadanía. El mismo lenguaje de seguridad puede justificar vigilancia, censura o aislamiento tecnológico.

El sector privado vuelve más compleja esa tensión. Partes esenciales de la infraestructura están en manos de empresas de software, proveedores de nube, operadores de telecomunicaciones, plataformas digitales y compañías de ciberseguridad. Los Estados dependen de esas empresas para prevenir ataques, detectar intrusiones, preservar pruebas y restaurar sistemas. La ciberseguridad internacional es un campo de negociación entre gobiernos, agencias de seguridad, reguladores, comunidades técnicas y empresas cuyos incentivos no siempre coinciden.

Esa dependencia cambia la diplomacia de crisis. Un gobierno puede necesitar registros técnicos conservados por una empresa extranjera, una actualización urgente de un proveedor privado o cooperación de plataformas para contener una campaña de influencia. Cuando esas empresas tienen sede fuera del país, la respuesta involucra derecho interno, tratados de asistencia jurídica, relaciones diplomáticas y confianza entre reguladores. Soberanía digital significa capacidad para negociar, regular y proteger dependencias transfronterizas.

Brasil en la agenda cibernética

Brasil entró en esta agenda por varias vías. En el plano interno, el Marco Civil de Internet de 2014 estableció principios como libertad de expresión, protección de la privacidad, neutralidad de la red y estabilidad de internet. La Ley General de Protección de Datos, de 2018, reforzó la dimensión de los datos personales. En defensa, el Ejército asumió un papel central en la defensa cibernética mediante estructuras como el Centro de Defensa Cibernética y el Comando de Defensa Cibernética.

En el plano internacional, Brasil defiende un equilibrio entre seguridad, derechos humanos, privacidad, internet abierta y gobernanza multiactor. La adhesión brasileña al Convenio de Budapest, en 2022, amplió los instrumentos de cooperación jurídica para delitos cibernéticos. En la ONU, diplomáticos brasileños desempeñaron papeles relevantes en grupos de expertos sobre comportamiento responsable de los Estados. Esa actuación refleja una posición recurrente: combatir delitos y ataques digitales sin convertir la ciberseguridad en licencia para el control político de la red.

La experiencia brasileña muestra por qué la capacidad nacional y la cooperación externa avanzan juntas. Instituciones de defensa, CTIR Gov y CERT.br ayudan a organizar prevención, alerta y respuesta dentro del país. Las filtraciones de datos, los ataques contra organismos públicos y las investigaciones de ransomware todavía pueden implicar servidores, pagos, autores y víctimas situados en jurisdicciones diferentes. Sin cooperación rápida sobre pruebas electrónicas, la capacidad interna queda incompleta.

Límites de la disuasión cibernética

La ciberseguridad no elimina el conflicto internacional. Reduce riesgos cuando mejora la defensa, crea canales de comunicación, aumenta costes para los atacantes y ofrece mecanismos jurídicos de cooperación. La lógica del ciberespacio aún favorece operaciones por debajo del umbral de guerra abierta. Espionaje, robo de datos, sabotaje limitado e influencia informativa siguen siendo atractivos porque permiten obtener ganancias sin reconocer públicamente la autoría.

La agenda internacional de ciberseguridad combina técnica y política. Cortafuegos, cifrado y equipos de respuesta son indispensables. Por sí solos, no definen conducta lícita, no construyen confianza y no gestionan escaladas. Los Estados necesitan normas, atribución responsable, cooperación policial, protección de infraestructuras críticas, debate sobre derechos y canales diplomáticos para crisis. La estabilidad cibernética depende de esa combinación: capacidad para defender sistemas, voluntad de cooperar y claridad sobre qué usos digitales vuelven más peligrosa la convivencia internacional. La estabilidad cibernética es una forma política de gestionar la interdependencia digital y sus vulnerabilidades compartidas entre Estados. No promete eliminar intrusiones. Busca impedir que incidentes técnicos se conviertan en crisis diplomáticas, fallos de servicios esenciales o escalada militar.