5 Tratados de Ciberseguridad Que Protegen Tu Dinero y Tus Datos Sin Que Lo Sepas

Trabajé en seguridad informática durante años, y siempre me sorprendió lo poco que la gente común sabe sobre los acuerdos que mantienen a salvo sus ahorros, su historial médico y hasta el voto que depositan en una urna. La economía digital global no se sostiene solo con firewalls y contraseñas: se sostiene con tratados, directivas y pactos que pocos periodistas mencionan cuando hablan de ciberataques. Quiero contarte cinco de esos acuerdos, pero no como aparecen en los boletines de prensa, sino como los viví desde las trincheras de un centro de operaciones de seguridad, donde cada clic podía significar una factura de millones o un hospital sin quirófano.

Empecemos por el más antiguo, el Convenio de Budapest sobre Ciberdelincuencia, firmado en 2001. Cuando alguien dice que internet es una zona sin ley, olvida que 76 países ya armonizaron sus códigos penales para perseguir a los mismos delincuentes. Lo que no se cuenta es que Budapest no nació para proteger redes eléctricas ni bancos, sino para detener a niños prodigio que se colaban en sistemas de la NASA. Los autores originales pensaban en hackers adolescentes, no en grupos patrocinados por Estados. Ese desajuste generó un vacío: las extradiciones rápidas funcionan para un joven con un portátil en Rumanía, pero fallan cuando el atacante es un oficial de inteligencia sentado en una oficina gubernamental. Aun así, Budapest sigue siendo la columna vertebral de la cooperación policial. Cada vez que un banco en México recupera fondos robados gracias a una orden judicial emitida en Letonia, ese tratado está operando. El problema real es que muchos países firmantes no actualizan sus leyes domésticas al ritmo de los delitos. Un fiscal en Argentina puede tener el convenio en la mano, pero si su código procesal exige una firma notariada en papel que debe viajar por correo diplomático, la velocidad de la justicia sigue siendo la de 1995.

Pasemos a la Directiva NIS de la Unión Europea, promulgada en 2016 y actualizada en 2022. La mayora de la gente cree que la NIS solo obliga a las grandes empresas de energía y transporte a reportar incidentes en 24 horas bajo amenaza de multas de hasta 20 millones de euros. Pero lo fascinante es cómo cambió la cultura de la seguridad en los equipos de TI. Antes de la NIS, los administradores de sistemas escondían los incidentes por miedo a perder su empleo. La directiva transformó ese miedo en un incentivo opuesto: ahora ocultar un ataque te expone a una sanción mayor que reportarlo a tiempo. Conozco a un CISO de un operador de red eléctrica española que me confesó que la NIS le salvó el puesto. Su junta directiva quería pagar el rescate de un ransomware en silencio; él mostró la letra pequeña de la multa posible, y la junta prefirió llamar a la policía. El efecto secundario menos comentado es la estandarización de los equipos de respuesta. Al obligar a todas las empresas críticas europeas a tener un mismo marco de notificación, la directiva creó una comunidad de practicantes que antes ni se conocían. Los foros de intercambio de indicadores de compromiso entre operadores de salud alemanes y compañías de gas italianos son hijos directos de la NIS.

Luego está el Acuerdo de Ciberseguridad del G7, firmado en 2023, que nació de dos crisis muy concretas. En 2022, Costa Rica sufrió un ataque de ransomware que paralizó aduanas, impuestos y pagos gubernamentales durante semanas. Ese mismo año, Ucrania soportó oleadas de ataques contra su red eléctrica y su sistema bancario justo antes de la invasión rusa. Los ministros financieros del G7 se dieron cuenta de algo que los técnicos sabíamos desde hace tiempo: los pagos transfronterizos son el eslabón más débil. Cuando un banco en Singapur congela una transferencia por sospecha de ciberataque, pero el banco corresponsal en Londres no tiene la misma alerta, el dinero se escapa. El acuerdo del G7 creó un protocolo de coordinación en tiempo real entre bancos centrales y reguladores financieros. Lo que pocos saben es que el documento original incluía una cláusula sobre el uso de criptomonedas para evadir sanciones, pero fue retirada tras la presión de algunos lobbies. La versión final se enfoca en la interoperabilidad de los sistemas de alerta. Hoy, cuando un ataque a un banco en Chile interrumpe las transferencias a proveedores en Japón, un equipo conjunto del G7 puede activar un canal cifrado para verificar la legitimidad de las órdenes. El acuerdo no es una varita mágica, pero redujo el tiempo de respuesta de días a horas.

El cuarto es el más polémico: el Pacto de No Agresión Cibernética de Shanghái, firmado en 2015 por Rusia, China y los miembros de la Organización de Cooperación de Shanghái (OCS). La prensa occidental lo describe como un gesto vacío, sin mecanismos de verificación. Sin embargo, quienes trabajamos en inteligencia de amenazas sabemos que sí tuvo efectos reales, aunque no públicos. Después del pacto, los grupos de ciberespionaje asociados a esos países redujeron significativamente los ataques contra infraestructuras civiles dentro de los estados firmantes. China dejó de hostigar las redes eléctricas de Kazajistán; Rusia evitó golpear los sistemas de salud de India. Pero, y esto es clave, el pacto no cubría a los países fuera de la OCS. De hecho, liberó capacidad de ataque: al dejar de preocuparse por sus vecinos, los equipos ofensivos se concentraron en objetivos en Estados Unidos y Europa. El Pacto de Shanghái no es un tratado de desarme; es un acuerdo de delimitación de zonas de caza. Los diplomáticos que lo redactaron entendieron perfectamente que la ciberseguridad global no es un juego de suma cero, sino de canchas compartidas. Y ellos trazaron sus propias líneas.

Finalmente, las Normas de Comportamiento Responsable de la ONU, aprobadas en 2021 por 193 estados. Los titulares destacaron que los países se comprometían a no dañar cadenas de suministro médicas ni sistemas críticos. La letra pequeña, sin embargo, es más interesante. Las normas incluyen una cláusula que prohíbe los ataques contra infraestructuras de procesos electorales, pero no definen qué es un proceso electoral. ¿Incluye las máquinas de votación? ¿Las bases de datos de registro de votantes? ¿Los sitios web de los partidos? Esa ambigüedad fue intencional. Los negociadores sabían que una definición precisa habría hecho imposible el consenso. Lo que lograron fue un marco ético que, aunque no se pueda hacer cumplir, funciona como un mecanismo de vergüenza pública. Cuando en 2022 un grupo atribuido a Corea del Norte atacó hospitales en Polonia, la comunidad internacional usó las normas de la ONU para aislar diplomáticamente a Pyongyang. No hubo sanciones económicas nuevas, pero sí una condena unánime que afectó las negociaciones de ayuda humanitaria. Las normas también establecieron un precedente para futuros tratados vinculantes. Cada vez que un estado firma un acuerdo bilateral de ciberseguridad, las partes suelen referirse a las normas de la ONU como piso mínimo.

Hay un hilo que conecta estos cinco acuerdos: todos surgieron de fallos catastróficos. Budapest nació después del ataque del amor en 2000. La NIS fue una respuesta directa al desorden regulatorio que permitió al gusano Stuxnet manipular centrifugadoras iraníes en 2010. El G7 reaccionó a los ataques paralizantes en Costa Rica y Ucrania. Shanghái se firmó tras años de incidentes entre miembros de la OCS que escalaron a disputas comerciales. Y las normas de la ONU llegaron después de que el ransomware WannaCry y NotPetya cerraran hospitales y puertos en todo el mundo. La ciberseguridad no avanza por inspiración, sino por cicatrices.

Sin embargo, el talón de Aquiles de todos estos acuerdos es la velocidad de implementación. Mientras escribo esto, los atacantes usan inteligencia artificial generativa para crear phishing imposible de detectar. Los acuerdos que mencioné tardaron entre cinco y quince años en negociarse. La brecha entre el ritmo de la amenaza y el ritmo de la diplomacia se ensancha cada trimestre. Los ingenieros de seguridad ya hablan de acuerdos automatizados, donde el cumplimiento de las normas se verifica mediante blockchain y contratos inteligentes. Suena a ciencia ficción, pero el año pasado un consorcio de bancos centrales probó un sistema donde las sanciones por no reportar un incidente se ejecutan automáticamente mediante un smart contract. Eso sí que cambiaría las reglas del juego.

Al final, la economía digital global no está blindada por un escudo único, sino por una red de parches frágiles que dependen de la voluntad política. Cada acuerdo tiene agujeros. Budapest no alcanza a estados patrocinadores. La NIS solo cubre Europa. El G7 no incluye a los países en desarrollo. Shanghái es una promesa sin dientes. La ONU es un manual de buenos modales. Pero juntos, estos cinco acuerdos crean un sistema de capas que, aunque imperfecto, ha evitado que el ciberespacio se convierta en el salvaje oeste que algunos profetizaban. La próxima vez que transfieras dinero, te vacunes o recibas un correo del banco, recuerda que detrás de esa transacción hay un tratado firmado por burócratas que nunca conocerás, pero que trabajan para que tu pantalla no se apague para siempre.