Ciberguerra asimétrica

Tradicionalmente, unos de las características que más les gusta destacar a algunos analistas sobre la ciberguerra es su carácter eminentemente asimétrico. 

Una guerra asimétrica es aquella donde el tamaño, los recursos o la estrategia de los contendientes difieren notablemente 

El aspecto que más se suele destacar de esta asimetría es la posibilidad de que un contendiente pequeño pero con una fuerza de hacking de élite pueda dañar de forma importante a un oponente mayor, a pesar de la diferencia de tamaños o recursos. 

Inicialmente esto se ha dado por sentado y se han aportado múltiples ejemplos (caso HBGary, caso Target, caso Diginotar) para apoyar esta idea, pero a nosotros nos surgen varias dudas. 

¿Realmente un oponente pequeño con pocos recursos e inversión puede llegar a tener capacidades suficientes como para dañar de forma notable a uno mayor? 

En algunos casos puede ser así y tenemos ejemplos que lo apoyan, pero puede que esta no sea la norma. 

Si analizamos por ejemplo el catálogo de herramientas de inteligencia de la unidad TAO de la NSA salido a la luz recientemente, veremos hasta que punto pueden llegar las capacidades de una organización con abundantes recursos económicos invertidos en seguridad. Estas capacidades pueden llegar a hacer parecer ridículas las capacidades de organizaciones más pequeñas. 

En caso de conflicto, una organización con estas capacidades podría “machacar” fácilmente a un oponente menor en la mayoría de frentes. 

Como decíamos en el post anterior, muchas veces el tamaño si importa.

¿Realmente la inversión en ciber seguridad de las grandes organizaciones se corresponde a su tamaño?

Los ejemplos que se ponen para demostrar que la ciberguerra es asimétrica, suelen consistir en casos conocidos donde un pequeño grupo ha infligido un grave daño a una gran organización. 

Pero, realmente estas grandes organizaciones estaban invirtiendo en seguridad de acorde a su tamaño. 

No tenemos cifras detalladas para valorar esto, pero conociendo el sector es probable que en la mayoría de estos casos, estas grandes organizaciones realmente no estaban invirtiendo en seguridad de acorde a su tamaño, o no lo estaban haciendo de manera adecuada. 

La asimetría pues no sería tanta. La mayoría de estos casos no serían por tanto realmente ejemplos de un enfrentamiento entre un "David" y un "Goliat". En la mayoría de casos, el supuesto "David" estaría haciendo una gran inversión en tiempo y personal especializado (que también son costosos) en su enfrentamiento contra un “Goliat” en horas bajas y con más fachada que otra cosa.

Fuente: Areópago21