La cercanía de las dos importantes citas electorales de los próximos meses ha llevado al Gobierno de Pedro Sánchez a reforzar la seguridad. Pero no sólo la seguridad en los centros electorales, o en las calles en general, ante unos días de especial movilización ciudadana. Ha diseñado un plan de protección informática para blindar la información de esos comicios.
Lo ha hecho a través del Ministerio del Interior, que ha aprobado una orden ministerial sobre “la política de la seguridad de la información en el ámbito de la administración electrónica del Ministerio del Interior”, que viene a sustituir una orden anterior aprobada en noviembre de 2013.
Según ha podido Confidencial Digital, la principal novedad de esta norma es que Interior incluye ahora especiales “directrices en materia de seguridad de la información para la difusión de resultados provisionales en procesos electorales”.
La primera convocatoria en la que esta orden ya estará en vigor serán las generales del 28 de abril. Las anteriores elecciones a Cortes Generales fueron en junio de 2016. Desde entonces se han denunciado casos de manipulación electoral en distintas partes del mundo, realizado por distintas vías. Algunas investigaciones han confirmado la actividad de hackers durante las campañas mediante la difusión de noticias falsas, casos de espionajes, intentos de alterar los resultados de las elecciones…
Alerta ante “ciberamenazas en procesos electorales”
La orden aprobada ahora por el departamento de Fernando Grande-Marlaska tiene como objetivo, según el texto, “fortalecer la capacidad de identificación, detección, prevención, contención y adecuada gestión ante posibles ciberamenazas en el ámbito de los procesos electorales, coordinando actuaciones a través de la creación del Subcomité de Seguridad de la Información en Procesos Electorales, adscrito al Comité Superior para la Seguridad de la Información”.
Ese objetivo no se mencionaba en el anterior orden ministerial, la de 2013. Ahora, el ministerio lo considera uno de sus fines, y para ello crea un órgano encargado de esa vigilancia: el Subcomité de Seguridad de la Información para la Difusión de Resultados Provisionales en Procesos Electorales.
Hay que recordar que en cada jornada electoral de su competencia, el Ministerio del Interior se encarga de difundir los datos provisionales del escrutinio, a las pocas horas de que se cierren los colegios electorales. Son, en todos los casos, datos provisionales: los resultados oficiales no se proclaman hasta un par de días más tarde.
El subcomité estará formado por seis personas: el subsecretario del Ministerio del Interior, que ejercerá de presidente del subcomité; el director general de Política Interior; el subdirector general de Política Interior y Procesos Electorales; el subdirector general de Sistemas de Información y Comunicaciones; el subdirector general de Calidad de los Servicios e Innovación; y un funcionario de la Subdirección General de Sistemas de Información y Comunicaciones.
“Grave repercusión en la ciudadanía”
Junto a la creación de ese subcomité, Interior ha aprobado unas directrices de seguridad para la difusión de resultados, un protocolo que tampoco aparecía en la orden anterior sobre seguridad de la información electrónica del ministerio.
El departamento le concede una gran importancia a este asunto, y destaca que los sistemas dedicados a difundir los resultados provisionales en procesos electorales “requieren unos niveles elevados de confidencialidad, disponibilidad e integridad”. ¿A qué responden esas exigencias? Al “grado de criticidad de la información y la grave repercusión e impacto que se produciría en la ciudadanía, en caso de afectación negativa”.
Es decir, Interior quiere evitar que a través de un ciberataque, un hacker o grupo de hackers puedan manipular los datos del escrutinio electoral la misma noche de los comicios. Una vez que cierran los colegios electorales, el ministerio va difundiendo el resultado con la ayuda de una empresa privada (que suele ser Indra), a través de una página web que se actualiza conforme avanza el escrutinio en toda España, así como de otros medios tecnológicos.
Cabe la posibilidad de que el sistema del Ministerio del Interior, o esa página web, sean atacados por medios cibernéticos y, por ejemplo, se trasladen a los medios de comunicación y a la ciudadanía datos falsos sobre el recuento de votos.
Obviamente, eso no afectaría a los resultados oficiales, que se proclaman días después al comprobar los votos físicos de cada colegio y cada urna; pero sí introduciría una distorsión importante en la noche electoral y en los días posteriores, y sobre todo extendería las sospechas de los votantes sobre la limpieza de las elecciones.
Podrá suspender la difusión de datos provisionales
El Gobierno de Sánchez, a través del Ministerio del Interior, contempla el peor de los escenarios. De ahí que establezca la posibilidad de que se suspenda el servicio de difusión de los resultados provisionales.
Esta es una de las funciones que asigna a este Subcomité. Este nuevo órgano, en el seno del Ministerio del Interior, tendrá la potestad de decidir “la suspensión total o parcial de la prestación del Servicio [de difusión], si es informado de deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos”.
Dicha decisión la tomaría a propuesta del “Responsable del Sistema en Procesos Electorales”, cargo que corresponde a la persona titular de la Subdirección General de Sistemas de Información y Comunicaciones; miembro, como se ha indicado antes, del subcomité.
Auditorías previas y posteriores
Además, se designan a otros miembros del subcomité como responsables de distintos niveles de protección de la información que maneja el Ministerio del Interior en relación a los resultados provisionales de las elecciones.
Interior ha diseñado una estructura compleja de análisis de riesgos y vulnerabilidades, redacción de protocolos, coordinación de planes, concienciación del personal del ministerio, elaboración de informes y ejecución de medidas frente a incidentes de seguridad de la información. Todo ello, dependiente de los miembros del citado Subcomité de Seguridad.
También habrá de realizar auditorías para cada proceso electoral: una auditoría previa, 15 días antes de la jornada electoral (ya se habría realizado para la jornada del 28-A), y una auditoría de evaluación continua, para en los 30 días posteriores identificar los objetivos de seguridad cumplidos y también los puntos de mejora para poder fortalecer el blindaje de la difusión de los resultados provisionales para próximas convocatorias de elecciones.
Del CNI al Mando de Ciberdefensa
En los últimos años, distintas administraciones públicas se han puesto como objetivo reforzar la seguridad de la parte informática o electrónica del dispositivo electoral. Por ejemplo, impedir un hackeo fue uno de las obsesiones del Gobierno de Mariano Rajoy en las elecciones autonómicas de Cataluña convocadas para diciembre de 2017, tras la aplicación del artículo 155 de la Constitución.
Para ello se empleó a fondo el Centro Criptológico Nacional (dependiente del CNI), con la asistencia de Telefónica, que fue contratada para esa jornada.
También las Fuerzas Armadas, a través del Mando Conjunto de Ciberdefensa, se han entrenado para defender distintas redes y sistemas cibernéticos del ataque de piratas informáticos que pudieran intentar boicotear por distintas vías unas elecciones celebradas en España.
