Con un lustro de vida, los boinas grises son la unidad de élite encargada de proteger y dar seguridad a las FFAA en el ámbito del ciberespacio. Un espacio cambiante invisible (conectado a través de internet) que está presente en todos los sectores civiles y militares de la vida. 

Desde la sección #DefensaCulturaDivulga de El Camino de los héroes, accedemos a la Base de Retamares, donde se ubica el cuartel general del Mando Conjunto del Ciberespacio (MCCE). Tras pasar los controles de seguridad propios de unas instalaciones de acceso restringido, me recibe el Jefe del MCCE, el Vicealmirante Francisco Javier Roca Rivero, que nos detalla cómo trabajan, su proyección a futuro y cómo la ciberseguridad y ciberdefensa forman parte del tablero de guerra híbrida y multidominio de una nueva era marcada por la irrupción de la Inteligencia Artificial.

Gonzalo Jiménez Tapia para ECH: ¿Qué es para usted la Cultura de Defensa?

Francisco Javier Roca Rivero (FJRR): Hacer llegar a toda la sociedad lo que las FAS hacen por los españoles, por el país, para defender nuestro modelo de vida, nuestro estado de derecho, nuestros valores; es decir, lo que somos.

GJT: ¿Qué es el MCCE?

FJRR: El mando conjunto del Ciberespacio es una unidad de élite de las Fuerzas Armadas encargada de proteger la paz, la seguridad y la libertad en el ámbito ciberespacial. ¿Qué es el ciberespacio? Toda la tecnología que hace posible la sociedad interconectada digital en la que vivimos. Es decir, el mundo de ahora tiene una parte física que es la tierra, la mar o el aire o el espacio, y luego tiene una parte digital. Y está unido. El MCCE es el encargado de protegerlo y defenderlo.

GJT: ¿Y qué capacidades tiene el mando para defenderlo?

FJRR: Lo importante que tenemos son las personas. Personas con valores. La tecnología se dice que no tiene ética, pero sí puede utilizarse para el bien o para el mal. ¿Qué herramientas utilizamos? Utilizamos tecnología para hacer, digamos, tres tipos de ciber operaciones: defensivas, es decir, nos defendemos de las ciber amenazas que comprometen nuestro sistema, o pretenden robar nuestra información; hacemos ciber operaciones ofensivas, con capacidad de disuasión para que no haya ninguna guerra; y las que llamamos de vigilancia y reconocimiento de inteligencia, saber que está pasando. Esto es vital tanto para saber de quien nos tenemos que defender. No te puedes defender de todos en todo momento, y también necesitas ciber inteligencia para atacar, para saber dónde está la vulnerabilidad de tu enemigo. 

GJT: A nivel militar parece que estamos preparados, pero ¿En qué situación se encuentra España a nivel de ciberseguridad y ciberdefensa?

FJRR: En España, dentro de las Fuerzas Armadas, y con el Centro Criptológico Nacional, o el Instituto Nacional de Ciberseguridad, somos súper robustos. Somos un ejemplo para muchísimos países en cuestión de ciberseguridad. Ahora bien, la ciberseguridad es como la salud. No es responsabilidad única del Ministerio de Sanidad, ni siquiera de los médicos. La salud es responsabilidad de todos los ciudadanos. Si uno no se cuida a sí mismo, da igual que tenga un médico muy bueno, ¿no? En el ciberespacio pasa lo mismo. Por mucho que invirtamos o coordinemos, es imposible dar la seguridad plena a todo el mundo si no existe concienciación. El 80% de los problemas son de concienciación, de que los ciudadanos, las empresas y las organizaciones se den cuenta de que esto no es un problema del personal de ciberseguridad, del personal técnico de telecomunicaciones, sino que es un problema de todos. 

Lo que nos jugamos no es que te roben los datos o que te dejen de dar un servicio durante un tiempo, nos jugamos la democracia y nuestro modelo de vida. España ha invertido muchísimo, sigue invirtiendo y es un ejemplo para todos, pero el trabajo que nos queda es de concienciación, de formación desde muy pequeños. El 80% de los problemas surgen por falta de concienciación. Si la gente tiene las mismas contraseñas en todos los servicios, no las cambian y las comparte, por mucho que inviertas en ciberseguridad es imposible. 

GJT: Uno de los objetivos es la defensa de las propias Fuerzas Armadas. ¿Cómo se articula ese trabajo con el resto de las Fuerzas Armadas para defender esas capacidades?

FJRR: Hace tiempo la ciberseguridad o la ciberdefensa en el ámbito militar solamente estaba enfocada a los sistemas de información, a las redes de telecomunicaciones (redes IT). Ahora mismo todo está conectado con todo. Suelo decir que un coche hoy en día es un ordenador con ruedas. Lo más probable que te puede ocurrir es recibir ciberataques en tus redes o sistemas, pero lo más peligroso es que ataquen la tecnología de la operación, es decir, los barcos, los carros de combate, los aviones, porque todo está conectado. Entonces, ¿cómo lo hacemos? El que mejor defiende un sistema es el operador, el dueño de ese sistema. En el MCCE damos herramientas y formación al personal del Ejército de Tierra, de la Armada, y del Ejército del Aire y del Espacio, para que ellos puedan ciberdefender sus sistemas de armas y sus sistemas de combate in situ. Por ejemplo, cuando estén desplegados en una misión, navegando o en una base aérea fuera de territorio nacional. En caso de que necesiten capacidades adicionales de operaciones especiales entraríamos nosotros. 

Todavía no está decidido el modelo de si será personal propio especializado en ciberseguridad o irán embarcados e integrados boinas grises en las dotaciones y unidades. Eso es algo que tendrán que decidir los Ejércitos y la Armada en breve, pero la necesidad existe, eso es indudable. 

GJT: El armamento en otras unidades está claro, pero ¿Qué armas utiliza el MCCE?

FJRR: Nosotros no tenemos grandes sistemas de armas, porque el arma somos nosotros: las personas. El arma más compleja que existe es el cerebro humano. El teclado o la pantalla las necesitamos para acceder al ciberespacio, pero la capacidad está en el cerebro de cada persona. Y lo que importa siempre son los efectos de esas armas. Puedes neutralizar un objetivo con artillería, o puede destruirlo desde el teclado con un virus o un malware.  El Jefe de Estado Mayor de la Defensa del Reino Unido dijo una vez que necesitaba menos James Bond y más ingenieros de la sección Q que le hicieran los artefactos. 

GJT ¿Qué perfil técnico debe tener el militar que llega al MCCE? 

FJRR: Siempre pido que primero tenga actitud para aprender y valores. Que no le importe lo que hacemos, sino por qué lo hacemos. Eso es lo más importante, luego ya le formaremos. En el MCCE tenemos 12 perfiles diferentes y casi todas las ramas de ingeniería: informáticos, telecomunicaciones, industriales, físicos, matemáticos. Pero cada vez más hace falta personal de humanidades, porque la tecnología se puede utilizar para el bien o para el mal y tenemos que saber por qué hacemos las cosas. Uno puede venir muy formado y ser muy relevante, pero si no continúa aprendiendo en cinco años ya está obsoleto. 

GJT: El MCCE colabora con el mundo civil ¿Cómo es la relación?

FJRR: La ciberseguridad es un deporte de equipo. La palabra clave es colaboración y es muy importante. El círculo virtuoso de lo que es la academia, la universidad, la administración y la empresa civil es fundamental porque todos compartimos el mismo ciberespacio.

De hecho, la mayor parte del ciberespacio está en manos o es propiedad de empresas civiles. Es más, cuando nosotros tenemos que proteger las infraestructuras críticas, los servicios esenciales para para el Estado y la seguridad nacional, tenemos que contar con los operadores de ese servicio, que son los que mejor lo conocen. Tenemos que colaborar y cooperar con ellos antes de que ocurra la crisis. Para eso la confianza es fundamental. Todos formamos parte del mismo equipo y luchamos contra los malos, que también colaboran entre sí. 

GJT: ¿Cuál es la mayor amenaza en la que se está centrando el MCCE?

FJRR: Nos centramos en amenazas persistentes avanzadas (APT en inglés), que son organizaciones esponsorizadas por algún estado u organizaciones criminales, que tienen como objetivo comprometer la infraestructura crítica y los servicios esenciales de un país para poder forzar su voluntad cuando llegue el momento. Están formadas por centenares de personas con acceso a recursos económicos, personal y tiempo casi ilimitados. Pero esto está cambiando porque esas organizaciones requerían unos recursos muy grandes para poder operar. Con la inteligencia artificial, el umbral de entrada para esas capacidades ha bajado mucho. Y no es que un adolescente desde su casa pueda tener las mismas capacidades semejantes a un grupo APT, pero sí que se van acercando.  Por eso digo que el ciberespacio es como el paradigma de la guerra asimétrica. Eso no pasa en los ámbitos físicos. Con la inteligencia artificial nos enfrentamos a un tsunami. Alguien con muy pocos conocimientos y recursos, va a poder hacer mucho daño a mucha gente, porque la sociedad está interconectada y es dependiente del ciberespacio. 

GJT Una vez detectado un ciberataque, ¿A nivel legal cómo se puede actuar?

FJRR: En teoría el derecho internacional se aplica en el ciberespacio, en la práctica eso se incumple todos los días. Eso es así. Pero hay dos tipos de atribución: política y técnica. La importante siempre es la política, atribuirle un ciberataque a un Estado o a un grupo asociado. La atribución técnica puede llevar más tiempo, descubre capacidades tuyas, pero lo importante es la atribución política. ¿Hay medidas para luchar contra eso? Sí. Por ejemplo, en la Unión Europea está lo que se llama la caja de herramientas de la ciber, con una serie de medidas diplomáticas y políticas y en función de la gravedad del ciberataque se aplican unas u otras. 

GJT: Estados Unidos ha utilizado ciberataques para neutralizar sistemas de defensa en Irán. ¿Qué papel juegan los ciberataques en una zona de combate?

FJRR: A mí no me gusta llamarlo ciberguerra. Existe la guerra, que es un acto político: imponer la tu voluntad sobre el otro. ¿Qué herramientas utilizo para la guerra? Todas las que tenga: políticas, diplomáticas, económicas y la última es la militar. Las guerras antes eran sangrientas y crueles, pero visibles. Ahora las guerras siguen siendo crueles y sangrientas, pero a veces son invisibles. La gente sufre y muere por lo que pasa en el ciberespacio. Por ejemplo, en Irán, se ha dicho que ninguna autoridad política tenga ni móvil, ni acceso a Internet, porque están identificados. Es decir, en la guerra tú utilizas todas las herramientas que tengas, y ciber es una muy potente. 

GJT: Debido a su importancia, el MCCE crecerá en los próximos años ¿Cómo va a ser la evolución de este comando de aquí a cinco años?

FJRR: Tendremos alrededor de mil personas. Ahora somos 500. Estará ya a pleno rendimiento la Escuela Militar de Ciberoperaciones, que forma al personal de las Fuerzas Armadas, con 400 alumnos. Y tendremos activo el Ciber Ranch, un campo de maniobras virtual donde todos los ejercicios que hagamos en el ámbito físico podrán reproducirlos en el ámbito virtual, es decir, la integración en multidominio. No solo habrá barcos en la mar, aviones en el aire o carros en el campo, sino también estará el componente ciber. En la parte operacional tendremos un Centro de Operaciones en el Ciberespacio. Ahora tenemos centros de ciberseguridad que son los que primero responden a la incidencia.

GJT: ¿Qué futuro le espera a la ciberseguridad?

FJRR: La IA lo va a cambiar todo, lo está cambiando todo. No somos conscientes todavía porque estamos al comienzo de esta era, pero supone un auténtico tsunami. Hoy dos visiones: una es catastrofista, que dice que la inteligencia artificial supondrá el fin de la humanidad; y otra más esperanzadora, en la que la inteligencia artificial podrá curar los grandes problemas de la humanidad (enfermedades, cambio climático, la generación de energía). 

Si tuviera que escoger una sería la optimista, porque hay más gente buena que mala en el mundo. Tratando de buscar comparativas encuentro una situación similar. Fíjate, hace mil años, en España y Europa los caminos eran fundamentales para el comercio, pero había bandoleros que robaban, asaltaba, mataban. Entonces todos los reyes se pusieron de acuerdo y se creó la paz de los caminos, que prohibía asaltar y robar en los caminos. ¿Y por qué dejaron de asaltarlos? Si te detenían perdías el amor del rey y te expulsaban de ese territorio. 

Entonces llegará un momento que nos daremos cuenta de que es fundamental el ciberespacio, fundamental para el progreso y el desarrollo de la humanidad. Llegará un momento que toda la gente buena nos pondremos de acuerdo y haremos una paz del ciberespacio donde la gente no se pueda aprovechar, no pueda robar, matar, etc. Y yo creo que eso llegará. ¿Cuándo? Cuando seamos conscientes de que esto es un problema de seguridad nacional, de la vida. Cuando nos demos cuenta de que esto no es un problema de la gente tecnológica, sino de todos, entonces podremos remedio. 

GJT: Mientras llega esa solución ¿Qué aspecto podrían mejorar para impulsar la labor que se hace desde el MCCE?

FJRR: Mi deseo es que al personal militar dedicado a ciberdefensa se le reconozca el mismo estatus militar que a la tradicional élite guerra: pilotos, al infantes o dotación de un buque de Armada. Hay mucha gente que quiere servir a su país trabajando en el ámbito ciberespacial, pero los que vienen y después se marchan al sector civil no se debe a una cuestión de dinero, es por falta de reconocimiento.