En una llamada posterior para analizar el juego, le pregunto a Corman: ¿Era realmente posible ganar su juego? ¿O siquiera cambiar su resultado? ¿O se trataba de una especie de “Kobayashi Maru”, una prueba imposible diseñada para enseñar algún otro tipo de lección?
Corman entiende la referencia a Star Trek, pero no está de acuerdo con la analogía. Había jugadas que los participantes podrían haber hecho y que habrían sido importantes, explica, como dar prioridad desde el principio a la recuperación de agua en las ciudades con hospitales. También le interesaba ver si alguno de los equipos invocaba las exclusiones de sus pólizas de seguro basadas en actos de guerra (un argumento que dio lugar a prolongadas batallas legales tras los miles de millones de dólares en daños causados por el ciberataque ruso NotPetya en 2017), o si tenían previsto reclamar al Gobierno federal el reembolso de sus gastos en virtud de la Ley de Seguros contra Riesgos de Terrorismo (TRIA, por sus siglas en inglés). Sin embargo, nada de eso surgió en la partida de mi mesa, debido en parte a la incertidumbre que reinaba el segundo día sobre quién estaba detrás de la campaña de piratería informática.
Pero sí, Corman añade: el objetivo del juego no era crear una competencia para ganar. En cambio, se diseñó para “abrumar”; para “sacar a la luz y desmontar suposiciones”.
Más concretamente, explica Corman, quiere demostrar al sector que, si incluso una versión relativamente leve del potencial ataque informático de Volt Typhoon se produjera en las condiciones actuales (Corman sostiene que la versión real podría ser mucho peor que la inactividad de 5,000 servicios de abastecimiento de agua), superaría la capacidad del sector asegurador para gestionarlo.
Mark Camillo, director general de CyberAcuView, que coorganizó el juego de guerra junto a Corman, manifiesta que los resultados muestran que un ciberataque cataclísmico bien podría ser “no asegurable”: los costos de un suceso de este tipo llevarían sin duda a la quiebra al sector si las aseguradoras no invocaran las exclusiones por “acto de guerra” que las eximirían de responsabilidad (lo que, a su vez, causaría un daño enorme a la confianza que la sociedad estadounidense deposita en los seguros). Una de las lecciones del juego, sostiene Camillo, es que las compañías de seguros podrían necesitar un fondo gubernamental como el TRIA (centrado en el terrorismo) para ayudar a cubrir sus costos, que se repondría con los pagos de los asegurados en los años posteriores a un desastre cibernético.
Pero Corman piensa que la lección más importante es que el sector de los seguros, quizá incluso más que el Gobierno de EE UU, tiene el poder único de cambiar todo esto (no aprendiendo a responder en medio de una catástrofe de piratería informática, sino centrándose en cómo prevenirla). Podría, por ejemplo, exigir a través de las pólizas de seguro que los clientes se protejan mejor, obligándoles a revisar sus redes en busca de dispositivos vulnerables y sin parches que Volt Typhoon aprovecha, o exigiéndoles que se unan a grupos de intercambio de información sobre ciberseguridad. Actualmente, según Corman, solo el 0.3% de las 151,000 empresas de suministro de agua del país forman parte de esas organizaciones, una cifra de afiliación espantosamente baja en comparación con grupos similares en sectores como el financiero o el eléctrico.
“La idea es ayudar a las aseguradoras a darse cuenta de que esto no va a salir como ellas pensaban”, resume Corman. “Y hacerlas reflexionar sobre qué podrían hacer de forma diferente una vez que salgan de la sala”.
Como enseña la lección final de WarGames, al fin y al cabo, hay juegos en los que la única jugada ganadora es no jugar (o, al menos, no hacerlo según las reglas del adversario).
Artículo originalmente publicado en WIRED. Adaptado por Andrea Baranenko.
