C¨®mo afrontar la ciberseguridad en los procesos electorales

La influencia que pueden tener algunos grupos de ciberdelincuentes en los procesos electorales es una preocupaci¨®n general en estos d¨ªas y no es para menos. La ciberseguridad juega un papel clave en los procesos electorales, ya que afecta a muchos elementos de la cadena de votaci¨®n: los votantes, los dispositivos electr¨®nicos utilizados para el voto ¡ªdonde los haya¡ª, los registros de potenciales electores, el listado de candidatos, los recuentos, las transmisiones de los datos a las juntas electorales centrales, la publicaci¨®n de los resultados...

A esto, debemos sumar las diferentes amenazas que existen en estos procesos y que pueden ir desde la explotaci¨®n de vulnerabilidades de los sistemas inform¨¢ticos, a los ataques de phishing, la denegaci¨®n de servicios ¡ªpor ejemplo, en la publicaci¨®n de resultados¡ª o incluso las fake news para influir en el votante antes de las elecciones.

Cuanto m¨¢s digitalizado est¨¦ el proceso, mayor ser¨¢ la superficie de ataque

Desde hace algunos a?os, numerosos procesos electorales se han visto amenazados ¡ªcuando no afectados¡ª por incidentes de ciberseguridad. Por ejemplo, en 2014, durante las elecciones en Polonia, se produjo un ciberataque que oblig¨® al chequeo manual para hacer el recuento de votos. En 2015, durante las ¨²ltimas elecciones europeas, se produjo un ataque de DDoS que mantuvo inactivo el servicio web de las autoridades b¨²lgaras durante varias horas. En 2017, durante la campa?a a las elecciones presidenciales de Francia, se produjo un ciberataque a la infraestructura del candidato, y actual presidente, Emmanuel Macron. Ese mismo a?o, el servicio electoral de la Rep¨²blica Checa se vio afectado por un ataque de denegaci¨®n de servicio.

Sin embargo, no todos los pa¨ªses se ven afectados de igual manera, ni todos afrontan esta problem¨¢tica de forma id¨¦ntica. Algunos pa¨ªses utilizan el voto electr¨®nico de forma masiva a trav¨¦s de urnas electr¨®nicas donde el voto se deposita a trav¨¦s de papeletas marcadas en papel con l¨¢pices de colores que son le¨ªdas con tecnolog¨ªas como OCR; otros pa¨ªses permiten la votaci¨®n de forma completamente online utilizando identidades digitales; y una gran mayor¨ªa, como en Espa?a, establece un procedimiento con papeletas en papel y recuentos netamente manuales. De cualquier forma, cuanto m¨¢s digitalizado est¨¦ el proceso, mayor ser¨¢ lo que se conoce como ¡°superficie de ataque¡±.

M¨¢s informaci¨®n

?Se puede asegurar la ciberseguridad en las pr¨®ximas elecciones generales?

?Todav¨ªa no sabes a qui¨¦n votar? Este chatbot te ayuda a decidirte

Algunos organismos, como la Fundaci¨®n Internacional de Sistemas Electorales (IFES, por sus siglas en ingl¨¦s), trabajan en proteger estos procesos desde el punto de vista de los posibles ciberataques. En su caso, han definido una metodolog¨ªa conocida como HEAT que marca las pautas a seguir a la hora plantear medidas contra las posibles amenazas. Tambi¨¦n la Comisi¨®n Europea ha elaborado un compendio de las experiencias recogidas por diferentes pa¨ªses en cuanto a las medidas pr¨¢cticas que la organizaci¨®n de un proceso electoral debe tener en cuenta y que afectan a los datos de electores y candidatos, las herramientas utilizadas para recoger los votos, los procedimientos utilizados para enviar, procesar y contar los votos y los sistemas utilizados para publicitar los resultados, as¨ª como otros servicios de apoyo al proceso. Todos ellos forman parte de un estudio realizado por un grupo de cooperaci¨®n europeo que bajo la directiva NIS permite compartir e intercambiar experiencias entre los Estados miembros.

Entre las medidas recomendadas por la Comisi¨®n Europea se encuentra la definici¨®n de un enfoque unificado para garantizar la integridad de los datos (por ejemplo, utilizando elementos criptogr¨¢ficos), el control de la cadena de suministros de los elementos tecnol¨®gicos (incluyendo el desarrollo seguro de aplicaciones de soporte o incluso de recuento) o el testeo y las pruebas piloto antes de su utilizaci¨®n real (realizando pruebas de pentesting de seguridad).

Otras medidas tecnol¨®gicas incluyen la protecci¨®n frente a ataques de DDoS, el control del acceso a los sistemas, la integridad y seguridad en la transmisi¨®n de los datos, el an¨¢lisis y monitorizaci¨®n del tr¨¢fico de las redes, la segmentaci¨®n de redes por niveles de seguridad y los procedimientos y procesos de respuesta ante incidentes y copias de seguridad y recuperaci¨®n de datos en caso de necesidad.

Recientemente ENISA ha publicado una docena de recomendaciones que sirven de directrices generales a seguir cara a un proceso electoral y que recopilan gran parte de los puntos aqu¨ª mencionados ¡ªincluso algunos otros m¨¢s. Todos son clave a la hora proteger el acto democr¨¢tico de depositar el voto y tener garant¨ªas de que ser¨¢ valorado de acuerdo al procedimiento electoral definido, sin otras intromisiones.

Lo importante, sin embargo, es que las votaciones se producen cada cuatro a?os. Y qui¨¦n sabe si lo que hoy sirve para un proceso electoral estar¨¢ tecnol¨®gicamente anticuado en una posible votaci¨®n futura.

Mientras tanto, deberemos pensar, al menos a nivel nacional, en las soluciones inform¨¢ticas que actualmente dan apoyo a nuestro proceso electoral y que se centran en la protecci¨®n de la identidad de los votantes y en gestionar ¡ªuna vez realizado el recuento de los votos¡ª la transmisi¨®n de las actas, las herramientas, las aplicaciones y los servicios desplegados en los centros de recopilaci¨®n de datos y, como no, la publicaci¨®n de los resultados finales.

Juanjo Gal¨¢n es Business Strategy de All4Sec