La planta de tratamiento de aguas residuales del Distrito Municipal de Utilidad de East Bay el 20 de marzo de 2024 en Oakland, California. La Administración de Biden y la Agencia de Protección del Medio Ambiente habían advertido a los estados de posibles ciberataques en los sistemas de agua. —Justin Sullivan-Getty Images

A finales de julio, la Oficina Federal de Investigación recibió informes de ciberataques sobre instalaciones de agua de empresas de servicios públicos en al menos siete estados en los Estados Unidos.

Uno de esos ataques, en Braham, Minnesota, una ciudad de alrededor de 1.800 personas, afectó el funcionamiento de una bomba en una planta de tratamiento de agua y amenazó el suministro de agua. Los equipos de obras públicas de la ciudad aislaron rápidamente e impresionantemente el sistema, restauraron una copia de seguridad, y tuvieron la planta de agua de vuelta y corriendo en unos 90 minutos, según Nate George, el alcalde de Braham.

Aunque esta respuesta ad hoc funcionó esta vez, se necesita mucho más para hacer que América sea realmente resiliente a los ataques híbridos de actores maliciosos sobre la infraestructura crítica que los estadounidenses dependen cada día para las transacciones de agua, poder, salud y finanzas.

En abril, la Agencia de Seguridad de la Ciberseguridad e Infraestructura de los Estados Unidos emitió una advertencia diciendo que grupos respaldados por Irán están apuntando a la infraestructura crítica de Estados Unidos, incluidos los sistemas de agua. Los adversarios más capaces de América, China y Rusia, también están apuntando activamente a la infraestructura crítica en los Estados Unidos, según funcionarios estadounidenses.

El presidente Donald Trump dijo que no cree que Irán está detrás de estos ciberataques más recientes. Según informes, funcionarios estadounidenses sin nombre creen que los grupos respaldados por Irán son los culpables probables, pero también advierten que los hallazgos son preliminares y que existe la posibilidad de que los atacantes puedan estar imitando a Irán para agitar las tensiones.

Mientras tanto. la Administración Trump ha estado destripando las capacidades de ciberseguridad de Estados Unidos, cortando aproximadamente un tercio de la fuerza laboral de la agencia cibernética federal exactamente en el momento en que las pequeñas empresas lo necesitan más. Se necesita un nuevo enfoque. Washington necesita un enfoque basado en la resistencia de toda la sociedad para disuadir y defender estas crecientes amenazas híbridas a la patria americana.

Washington puede aprender mucho de sus aliados europeos. Europa ha pasado décadas endureciendo sus sistemas a través de un esfuerzo de toda la sociedad que llama “defensa total”. Finlandia y Estonia son ejemplos especialmente instructivos. Finlandia dirige una agencia nacional de suministro que tiene reservas de combustible, granos y medicinas y ensaya escasez junto con las empresas privadas que en realidad tendrían que gestionarlas.

Estonia cuenta con una unidad cibernética voluntaria dentro de su Liga de Defensa, una milicia bajo el mando de su ministerio de defensa. Los voluntarios son civiles con empleos diurnos que se entrenan con el estado y aparecen cuando los atacantes golpean. Se ejecutan programas de ejercicio construidos en torno a la resistencia cibernética, el intercambio de información y asociaciones público-privadas.

Entonces, ¿qué necesita Washington para endurecer los sistemas de agua de América y otras infraestructuras críticas? En primer lugar, Estados Unidos debe adoptar ampliamente un enfoque de “defensa total” de toda la sociedad a la seguridad de la patria, adoptando y adaptando ideas innovadoras de socios y aliados.

Más específicamente, los responsables de la formulación de políticas pueden tomar tres pasos específicos ahora que ayudarán a prepararse para, y quizás disuadir, el próximo ataque. En primer lugar, deben renovar el Programa estatal y local de becas de ciberseguridad, un pequeño programa de subvenciones para estados que ayuda a construir defensas cibernéticas estatales y locales. El programa ya ha transcurrido una vez y ahora se ejecuta en extensiones de año a año, que no es forma de financiar una defensa. Hazlo permanente y haz una parte considerable para el agua.

En segundo lugar, Washington debería establecer una planta de respuesta para los municipios del agua y medirla en horas. Las utilidades eléctricas funcionan bajo estándares federales vinculantes respaldados por sanciones financieras reales. Las fuentes de agua no tienen equivalente, y el Organismo de Protección del Medio Ambiente no tiene autoridad para imponer una. El Congreso debe darle una versión estrecha: cada sistema por encima de un tamaño modesto debe poder funcionar manualmente durante 72 horas y debe probarlo en un simulacro anual. Este no es un mandato tecnológico; es un estándar de tiempo, y es el único número que importa una vez que se detengan las bombas. Braham lo hizo en 90 minutos. Ese debería ser el punto de referencia.

Finalmente, Estados Unidos necesita construir el banco. Hay aproximadamente 50.000 pequeños sistemas de agua en este país, y la mayoría no tienen personal dedicado a la TI en absoluto. Ningún programa de subvenciones puede contratar su salida. Los gobernadores pueden actuar mañana con las autoridades que ya tienen: equipos cibernéticos de la Guardia Nacional en órdenes de servicio activos estatales permanentes, vinculados a un pacto de ayuda mutua de agua modelado en la única potencia que las compañías utilizan para restaurar las líneas de los demás después de los huracanes. Cuando una planta que sirve a 1.800 personas es golpeada a las dos de la mañana, alguien ya debe tener el número de teléfono.

Un país que puede pagar 11 portaaviones puede permitirse enseñar a 50.000 operadores de agua a girar una válvula a mano. La resiliencia no es un premio de consolación por la disuasión fallida. Forzando a un adversario a pensar dos veces sobre si una operación tendrá éxito, la resiliencia es disuasión.

La actividad cibernética malintencionada ha afectado la tecnología en los sistemas de agua en al menos siete estados la semana pasada, obligando a algunas instalaciones a cambiar a las operaciones manuales e incitando al FBI y a la Agencia de Protección Ambiental (EPA) a advertir instalaciones a nivel nacional de hackers.