F-Secure alerta de la dependencia digital europea

Una administrativa de un hospital llega a su turno un lunes por la mañana. El edificio funciona, los cables de red siguen en su sitio y los servidores del sótano continúan encendidos. Pero la pantalla de acceso rechaza su contraseña. No ha habido un ciberataque ni un corte eléctrico: la empresa estadounidense que gestiona el sistema de autenticación del hospital ha cambiado las condiciones de acceso. Las historias clínicas de sus pacientes están a unos metros. Ella no puede consultarlas.

La dependencia digital se parece más a eso que a un centro de datos en llamas. No siempre se manifiesta con cables cortados, sino con alguien que cambia el código de la puerta mientras los demás duermen. Cuando Timo Laaksonen, consejero delegado de la finlandesa F-Secure, advirtió este mes de que Europa depende en exceso de servicios críticos controlados desde Estados Unidos, describía precisamente esa exposición silenciosa y estructural (Yle).

El código de la puerta no está en Europa

Para entender dónde está la vulnerabilidad conviene seguir lo que ocurre antes de que esa empleada del hospital vea siquiera su bandeja de entrada.

Introduce sus credenciales en un sistema de acceso. Muchas organizaciones europeas dependen de servicios de identidad operados por empresas estadounidenses, con Entra ID de Microsoft como referencia dominante, para comprobar quiénes son sus empleados. Si ese proveedor cae o retira el acceso, todas las aplicaciones que dependen de él quedan fuera de alcance al mismo tiempo (Hypergate). Una puerta cerrada, y detrás de ella decenas de salas.

Después está lo que podría llamarse el mando a distancia de la infraestructura en la nube: el panel desde el que los equipos informáticos crean servidores, gestionan bases de datos y administran las llaves digitales que protegen información sensible. Las historias clínicas de un hospital pueden estar físicamente alojadas en un servidor de Fráncfort. Pero si el panel de control, la cuenta de facturación y esas llaves digitales dependen de una matriz estadounidense, «alojado en Europa» no significa «controlado por Europa» (JRC).

El mismo patrón se repite en el correo electrónico, el almacenamiento de documentos, las actualizaciones de software e incluso el sistema de nombres de dominio, la agenda de direcciones de internet que indica a los navegadores dónde encontrar una web. Una investigación alemana concluyó que alrededor del 96% de las empresas alemanas dependen de tecnologías digitales importadas, mientras los proveedores estadounidenses de nube concentran más del 70% del mercado europeo (egovernment.de).

Cuando la cerradura se movió de verdad

Tres casos recientes muestran que no se trata de una hipótesis.

Anthropic, la empresa de inteligencia artificial, suspendió el acceso a sus modelos más recientes para algunos usuarios con el fin de cumplir los controles de exportación de Estados Unidos. No se desenchufó ningún servidor. Una orden jurídica bastó para que una capacidad digital desapareciera de determinadas pantallas (AP, Reuters).

En Países Bajos, un tribunal bloqueó la compra de Solvinity, la empresa que aloja DigiD, el sistema de identidad digital que los ciudadanos neerlandeses utilizan para trámites fiscales y sanitarios, por parte de la estadounidense Kyndryl. El motivo fue que la legislación de EE UU, en particular la CLOUD Act y FISA, permite obligar a compañías de propiedad estadounidense a entregar datos con independencia de dónde estén almacenados. Un sistema nacional de identidad no puede quedar bajo ese paraguas legal (Ius Mentis).

En Francia, una comisión de investigación de la Asamblea Nacional concluyó que cerca del 80% de las compras públicas de software pasan por actores estadounidenses, con un valor aproximado de 1.500 millones de euros al año. Ministerios, operadores energéticos y redes de transporte dependen de proveedores que, al menos en teoría, podrían restringir el acceso por presión política o jurídica (Banque des Territoires, Clubic).

Alternativas de respaldo, no fantasías

Europa no puede reconstruir desde cero toda la pila tecnológica estadounidense. Las economías de escala hacen que esa ambición sea poco realista a corto plazo. Pero sí puede reducir el daño que se produce cuando desaparece una capa de acceso.

Francia exige ya que los servicios en la nube certificados para usos sensibles de la Administración no puedan quedar sometidos a una legislación extranjera capaz de forzar la cesión de control (CER). Alemania desarrolla openDesk, un paquete de herramientas de trabajo de código abierto. La Comisión Europea plantea su paquete de soberanía tecnológica como un problema conjunto de chips, inteligencia artificial, nube y software libre (European Commission).

El investigador finlandés en ciberseguridad Mikko Hyppönen añade un matiz que suele quedar fuera del debate: incluso las herramientas defensivas se convierten en dependencias. Un cortafuegos instalado en Helsinki, pero alimentado con inteligencia sobre amenazas, firmas de virus y actualizaciones de software procedentes del extranjero, sigue necesitando acceso continuo a un servicio externo. Si se corta ese suministro, el muro se queda ciego (YouTube / Hyppönen).

La prueba práctica para cualquier hospital, ayuntamiento o ministerio europeo es sencilla: si mañana por la mañana desaparecen una cuenta de proveedor, un sistema de identidad o un canal de actualizaciones, ¿puede el personal iniciar sesión, consultar expedientes y comunicarse? Las instituciones que pueden responder que sí tienen soberanía. Las que no, siguen siendo inquilinas que aún no han comprobado quién guarda la llave.