La Directiva Política Presidencial 20 (PPD-20 por sus siglas en inglés), proporciona un marco para la ciberseguridad de Estados Unidos estableciendo principios y procesos. Firmada por el presidente Barack Obama en octubre de 2012, esta directiva sustituye a la Directiva Presidencial de Seguridad Nacional (NSPD-38). Integrando las herramientas cibernéticas con las de seguridad nacional,[1] la directiva complementa la Directiva Presidencial de Seguridad Nacional (NSPD-54/HSPD-23).
Su existencia fue hecha pública en junio de 2013 por el ex analista de infraestructuras de la NSA, Edward Snowden.
Antecedentes
Debido a la industria privada y a las cuestiones relacionadas con el derecho internacional y nacional,[3] la asociación público-privada se convirtió en la «piedra angular de la estrategia de ciberseguridad de Estados Unidos».[4] Las sugerencias para el sector privado se detallaron en la Estrategia Nacional para la Seguridad del Ciberespacio, desclasificada en 2003.[5] Su documento complementario, la Directiva Presidencial de Seguridad Nacional (NSPD-38), fue firmado en secreto por George W. Bush al año siguiente.[5]
Aunque el contenido del NSPD-38 aún no se ha revelado,[1] el ejército estadounidense no reconoció el ciberespacio como un «teatro de operaciones» hasta la Estrategia de Defensa Nacional de 2005.[3] En ella se declaraba que la «capacidad de operar en y desde el espacio común global, las aguas y el espacio aéreo internacionales y el ciberespacio es importante... para proyectar poder en cualquier parte del mundo desde bases de operaciones seguras».[6] Tres años más tarde, George W. Bush creó la Iniciativa Integral de Ciberseguridad Nacional (CNCI), de carácter confidencial.
Alegando la seguridad económica y nacional, la administración de Obama priorizó la ciberseguridad al asumir el cargo.[7] Tras una revisión en profundidad de la «infraestructura de comunicaciones e información»,[8] el CNCI fue parcialmente desclasificado y ampliado bajo el mandato del presidente Obama.[8] Esboza «elementos clave de una estrategia nacional de ciberseguridad más amplia y actualizada de EE. UU.».[9] En 2011, el Pentágono anunció su capacidad para realizar ciberataques.[10]
En general
Después de que el Senado de los Estados Unidos no aprobara la Ley de Ciberseguridad de 2012 en agosto,[11] se firmó en secreto la Directiva Política Presidencial 20 (PPD-20). El Centro de Información sobre Privacidad Electrónica (EPIC) presentó una solicitud de libertad de información para verla, pero la NSA no accedió.[12] En noviembre de 2012 se informaron de algunos detalles[13] a través del The Washington Post, del cual se escribió que la PPD-20 «es el esfuerzo más extenso de la Casa Blanca hasta la fecha para luchar con lo que constituye una acción "ofensiva" y una "defensiva" en el mundo de la ciberguerra y el ciberterrorismo, que evoluciona rápidamente».[13] En enero siguiente,[14] el gobierno de Obama publicó una hoja informativa de diez puntos.[15]
Controversia
El 7 de junio de 2013, la PPD-20 se hizo público.[14] Divulgado por Edward Snowden y publicado por The Guardian gracias a los periodistas Glenn Greenwald y Ewen MacAskill,[14] forma parte de las revelaciones de vigilancia masiva de ese mismo año. Aunque la hoja informativa de Estados Unidos afirma que la PPD-20 actúa dentro de la ley y es «coherente con los valores que promovemos a nivel nacional e internacional, como hemos articulado previamente en la Estrategia Internacional para el Ciberespacio»,[15] no revela las operaciones cibernéticas en la directiva,[14] así como por ejemplo las posibles realizaciones que de ataques a servidores extranjeros en otros países.[16]
La revelación de Snowden llamó la atención sobre los pasajes que señalan la política de ciberguerra y sus posibles consecuencias.[14][17] La directiva denomina a las medidas defensivas y ofensivas como Operaciones de Efectos Cibernéticos Defensivos (DCEO) y Operaciones de Efectos Cibernéticos Ofensivos (OCEO), respectivamente.
Puntos notables
«Pérdida de vidas, acciones de respuesta significativas contra los Estados Unidos, daños significativos a la propiedad, consecuencias adversas graves para la política exterior de los Estados Unidos o impacto económico grave en los Estados Unidos».
«La OCEO puede ofrecer capacidades únicas y no convencionales para avanzar en los objetivos nacionales de EE. UU. en todo el mundo con poco o ningún aviso al adversario o al objetivo y con efectos potenciales que van desde sutiles hasta gravemente perjudiciales. Sin embargo, el desarrollo y el mantenimiento de las capacidades de OCEO pueden requerir un tiempo y un esfuerzo considerables si no existen ya el acceso y las herramientas para un objetivo específico».
«El gobierno de los Estados Unidos identificará objetivos potenciales de importancia nacional en los que la OCEO pueda ofrecer un equilibrio favorable de eficacia y riesgo en comparación con otros instrumentos del poder nacional, establecerá y mantendrá capacidades de OCEO integradas, según proceda, con otras capacidades ofensivas de los EE. UU., y ejecutará dichas capacidades de forma coherente con las disposiciones de esta directiva».
