Ejército y ordenadores © 2024 by Ministerio de Defensa, España
Varios expertos aconsejan al gobierno de Alemania a independizarse lo antes posible de China en cuanto a la importación de tierras raras.
El economista Jürgen Matthes, experto en materias primas del Instituto de Economía Alemana (Institut der deutschen Wirtschaft Köln e.V.), con sede en la ciudad de Colonia, urgió días pasados a los políticos a ampliar las asociaciones con otros países, por ejemplo Australia, Canadá y Chile, para el suministro de materias primas y eludir la posición cuasi monopolística de China en tierras raras, que constituye un problema para Alemania.
Las empresas alemanas no han conseguido acumular sus propias reservas, afirmaba Matthes en una entrevista con la emisora de radio Deutschlandfunk.
Ante los planes de defensa del gobierno de Alemania, es necesario buscar alternativas rápidamente. Hoy no se puede construir ningún avión de combate sin tierras raras. China fue anteriormente un importante proveedor de tierras raras para Europa. Sin embargo, Pekín endureció sus controles de exportación a principios de octubre.
La Dra Alexandra Paulus, investigadora del Grupo de Investigación sobre Política de Seguridad y directora coordinadora del Grupo de Investigación sobre Ciberseguridad y Política Digital de la Fundación Ciencia y Política (SWP), gabinete estratégico que asesora al gobierno y al parlamento de Alemania, ve en los riesgos de la cadena de suministro de software y de las opciones de protección un talón de Aquiles de las fuerzas armadas modernas.
En un amplio estudio publicado por la SWP bajo licencia CC BY 4.0, la Dra Paulus afirma que las fuerzas armadas modernas dependen enormemente de los productos de software. Estos son el resultado de complejas redes de proveedores de software, proveedores de servicios, componentes de software y otras empresas que juntas forman la cadena de suministro de software.
En los incidentes de ciberseguridad "tradicionales", los actores de la amenaza suelen obtener acceso directo a su objetivo. Por el contrario, los riesgos de la cadena de suministro de software se originan en la parte superior de la cadena de suministro y luego crean un impacto en otro lugar, a menudo en el usuario final.
Las fuerzas armadas son especialmente susceptibles a estos riesgos. Los incidentes en el sector militar en los que la cadena de suministro de software ha desempeñado un papel han interrumpido las operaciones militares o han permitido a actores malintencionados dedicarse al espionaje industrial, el espionaje político y el sabotaje.
Los responsables políticos federales y el Bundeswehr disponen de varias medidas para proteger a las fuerzas armadas de los efectos de los riesgos de la cadena de suministro de software. En primer lugar, los responsables de la toma de decisiones deben definir un nivel adecuado de protección para las diferentes áreas de uso del software, con el fin de mantener un equilibrio entre la protección contra los riesgos, por un lado, y la funcionalidad, los costes y la rapidez de uso, por otro.
Por un lado, el Gobierno alemán y la Bundeswehr deberían tomar medidas para que las fuerzas armadas puedan afrontar conscientemente los riesgos de la cadena de suministro de software y protegerse; por otro, deberían animar a los proveedores de software a reducir la vulnerabilidad de sus productos. Combinando ambos enfoques, se puede mantener bajo control esta amenaza potencial.
Las fuerzas armadas modernas dependen enormemente del software, tanto para tareas administrativas y logísticas como para sistemas de armamento modernos, tales como tanques, buques de guerra y aviones de combate. Los productos de software en cuestión son el resultado de una compleja red de proveedores de software, prestadores de servicios, componentes de software y otras empresas que, en conjunto, forman la cadena de suministro de software.
En los incidentes de ciberseguridad “convencionales”, los actores maliciosos suelen acceder directamente a su objetivo. Por el contrario, los riesgos de la cadena de suministro de software tienen su origen en un punto anterior de la cadena de suministro y luego se manifiestan en otro punto en forma de efecto perjudicial, a menudo para los usuarios finales.
Por ejemplo, entre 2019 y 2020, los espías rusos no penetraron directamente en los sistemas informáticos de la agencia estadounidense que mantiene el arsenal nuclear de EE.UU. En su lugar, obtuvieron acceso al fabricante de software SolarWinds para enviar desde allí una actualización con software malicioso a la agencia, que estaba bien protegida, y así acceder a los datos de su objetivo.
Todos los eslabones de la cadena de suministro están conectados mediante software, ya sea a través del propio producto de software, sus componentes o el acceso al producto de software, que se concede, por ejemplo, a un proveedor de servicios. En consecuencia, todos los eslabones de la cadena de suministro de productos de software utilizados por las fuerzas armadas pueden constituir puertas de entrada a los sistemas militares.
Las pequeñas y medianas empresas o los proyectos de software de código abierto (proyectos OSS) suelen estar mal protegidos y, por lo tanto, son un blanco fácil para los atacantes. Además, las fuerzas armadas no suelen tener una visión general de todos los productos de software que utilizan, y mucho menos de todos los actores y componentes que forman parte de las cadenas de suministro de estos productos.
Por último, las fuerzas armadas no tienen ningún control, o solo uno muy limitado, sobre gran parte de la cadena de suministro. Por lo tanto, las cadenas de suministro de software son el talón de Aquiles de las fuerzas armadas modernas: incluso el ejército más avanzado tecnológicamente puede ser víctima de ataques que aprovechan la compleja estructura de las cadenas de suministro de software.
Los incidentes en los que interviene la cadena de suministro de software pueden interrumpir las operaciones militares o permitir que actores malintencionados lleven a cabo espionaje industrial, espionaje político y sabotaje. Por ejemplo, entre 2013 y 2018, personas vinculadas a los servicios de inteligencia chinos obtuvieron acceso a los sistemas del mayor astillero naval de Estados Unidos a través de proveedores de servicios en la nube. Y en 2022, el primer día de la invasión rusa de Ucrania, los servicios secretos militares rusos secuestraron una actualización de software de un proveedor de comunicaciones por satélite para interrumpir la conectividad del ejército ucraniano en el campo de batalla.
Los errores involuntarios también pueden causar grandes daños a los usuarios finales, como demuestra el incidente de «CrowdStrike» del verano de 2024, que dejó temporalmente inutilizables alrededor de 8,5 millones de dispositivos en todo el mundo. Por último, la falta de soporte de software también puede tener consecuencias profundas: en marzo de 2025, los aviones de combate ucranianos corrieron el riesgo de quedar inutilizados sin el soporte de software de Estados Unidos. En resumen, este tipo de incidentes pueden poner en peligro la capacidad bélica de las fuerzas armadas.
En este contexto, el presente estudio responde a la pregunta de cómo pueden protegerse las fuerzas armadas frente a los riesgos de la cadena de suministro de software. En los capítulos principales del estudio se describen
(1) la estructura de las cadenas de suministro de software y los riesgos que se derivan de ellas;
(2) se analizan las características especiales de las fuerzas armadas que aumentan su vulnerabilidad a estos riesgos y se examinan las repercusiones de incidentes importantes en el ámbito militar; y, por último, se explica
(3) cómo las fuerzas armadas pueden protegerse mejor contra estos riesgos y
(4) cómo los políticos y las fuerzas armadas pueden animar a los proveedores de software a reducir los riesgos de sus productos.
Como resultado, se recomienda que los políticos y las Fuerzas Armadas alemanas evalúen primero cuál debería ser el nivel de protección deseado para los productos de software en función de su ámbito de aplicación. Además, las propias Fuerzas Armadas alemanas deberían tomar medidas para protegerse de los riesgos de la cadena de suministro de software:
Para poder actuar, se debería asignar a un organismo la responsabilidad de gestionar estos riesgos. La tarea de esta persona responsable sería formular directrices para la gestión de riesgos en la cadena de suministro de software, así como para el uso militar de software de código abierto.
A fin de integrar las medidas correspondientes en los procesos operativos de las Fuerzas Armadas alemanas, deberían establecerse en todo el ejército procesos para gestionar los riesgos de la cadena de suministro de software; por ejemplo, el personal informático especializado de las Fuerzas Armadas alemanas debería comprobar periódicamente si los productos de software utilizados siguen recibiendo actualizaciones de seguridad y mejoras funcionales.
El estudio puede verse en toda su extensión bajo este enlace.
Desde 1996, informamos con independencia sobre música clásica en español.
La lectura es libre. Si quieres participar en los comentarios, crea una cuenta.
🙌 Registrarse ahora
Comentarios