Buenas tardes, soy Enrique Cáritas, moje, secretario
del Instituto Universitario General Gutiérrez Mellado,
y lo primero es darle la bienvenida al Instituto.
Va a dar comienzo a continuación el acto de presentación del libro,
del desafío de la ciberseguridad global,
cuyo autores, Antonio segura
Serrano, por favor, recuerden apagar sus teléfonos móviles
o silenciarlos y recuerden que este acto está siendo
también seguido a través de la aplicación.
Fue un a continuación, tiene la palabra
el subdirector militar del Instituto General García Blázquez.
Bueno, de nuevo, buenas tardes y como subdirector del instituto,
es un placer para mí dar la bienvenida a esta casa
a todos los asistentes,
tanto con presencia aquí como aquellos que están viendo
el la actividad a través del sistema azul.
Como saben, estamos presentando.
El motivo de la presentes,
es presentar el libro, el desafío de la ciberseguridad global,
cuyo autor aquí presente, Antonio Segura Serrano,
se encuentra hoy aquí acompañado del general don
carlos Javier Frías Sánchez, que es el director de la Escuela de guerra
del Ejército de Tierra.
Hoy es un día especial para nosotros,
porque tenemos el honor de albergar en este salón de actos
el acto de presentación de un libro que sin duda,
se identifica totalmente con el adn del
Instituto General Gutiérrez Mellado, que como saben,
es la columna de los estudios de más alto nivel sobre paz,
seguridad y defensa,
y este libro tiene mucho que ver con la obra que hoy se presenta.
Viene a aportar argumentos
para llenar un vacío que todos vemos un vacío jurídico y doctrinal
que acompaña las acciones de delincuencia en el ciberespacio
como tristemente ya sabemos todos los que estamos aquí
porque lo vivimos día a día.
Los ciberataques de carácter transfronterizo e internacional
se han convertido en un fenómeno cada vez más cotidiano, más creciente
y que constituye una amenaza de primer orden
para el desenvolvimiento de las actividades cotidianas
de todos cuantos estamos aquí de las empresas
con las que trabajamos y de los organismos públicos,
sí Tales ministerios están por todos los sitios.
Este libro analiza la problemática de la ciberseguridad
desde el punto de vista del derecho internacional y europeo,
examinando las cuestiones jurídico e internacionales más relevantes
con el objeto de contrarrestar esta lacra,
abordando las la atribución jurídica de la responsabilidad de todos
estos delitos,
así como el análisis de las posibles reacciones
de los Estados, aquellas que pueden adoptar con especial atención
a la necesidad de una cooperación internacional en carácter normativo
y dando sobre todo un primer impulso a las nociones
de lo que actualmente se denomina la ciber de dimos diplomacia,
como me va a costar.
Antonio Segura aquí presente es
profesor titular de derecho internacional público
y Relaciones Internacionales de la Universidad de Granada usando acusado
posgrados en Relaciones Internacionales
por el Instituto de altos estudios internacionales
de la Universidad de Ginebra
y es doctor en derecho por la Universidad de Granada,
siendo a su vez premio extraordinario del curso,
si no me equivoco.
4.000 1, además de la regulación internacional
del ciberespacio que hoy nos trae aquí,
sus líneas de investigación principales han girado
en torno al derecho de la Unión Europea,
tanto institucional como material, al derecho internacional económico
y especialmente en lo relativo al comercio internacional,
y la Organización Mundial de Comercio así también
ha dedicado parte de su vida al derecho humanitario.
Respecto a sus publicaciones,
son muchas y no las vamos a traer aquí todas, pero sí que sepamos
que ha publicado varios libros y parte y capítulos de otros libros
en prestigiosas editoriales de carácter internacional,
también de universidades extranjeras, y numerosos artículos
en revistas internacionales, de los que los que están duchos
en el argot académico son de las revistas indexadas,
son las de mayor nivel debido a su gran relación
con la comunidad militar a través del mando de adiestramiento
y doctrina del Ejército de Tierra.
Hoy también le acompaña aquí presente el general de brigada
de artillería, don carlos frías,
es doctor en paz y seguridad internacionales y máster
en estudios estratégicos,
por la unidad por la Universidad de Granada
y también es máster en seguridad y defensa
por el Centro Superior de estudios de la defensa nacional
y, como he dicho al principio de mi disertación,
es el director de la Escuela de guerra del ejército,
que a su vez es responsable en gran parte de las relaciones
de las Fuerzas Armadas con el mundo universitario en materia académica
y de investigación Carlos.
Sin más, presentación de paso,
muchas gracias.
Quiero reiterar mis disculpas veces, solo pueden en directo,
bueno, pues sí quería resaltar hoy un elemento fundamental,
que ya ha comentado general Blázquez es la relación que hay
entre las Fuerzas Armadas y el mundo de la ciencia y de la cultura.
No hay que ir más allá del discurso de las armas
y las letras de El Quijote para recordar que la ciencia
y la milicia siempre han estado unidas
y siempre han ido de la mano.
De hecho, el arma más poderosa del soldado no son sus brazos,
son sus tierras, no son, supieron en su cerebro,
es la capacidad de pensar la que hace a un soldado ser capaz de vencer
incluso en situaciones extraordinariamente complejas.
En ese sentido, el cultivo de las ciencias
y el cultivo de la cultura, en general,
es una obligación de todos soldado que se precie de serlo,
y en ese ambiente es en el que se forjó
una colaboración fructífera entre la Universidad Granada
y el mando de doctrina del Ejército de Tierra.
Las dos unidades,
las dos instituciones se encuentra en Granada,
con lo cual dicen que el proceso del cariño y la proximidad también.
Gracias a eso se ha forjado un partenariado, una asociación,
en la que se colabora en muchísimos campos
con resultado óptimo, desde nuestro punto de vista,
y yo creo que también igual entre beneficioso para la universidad
Granada.
El profesor segura es participan como profesor en un máster,
en el Máster de pensamiento estratégico Luis de Granada.
Conozco bien que es uno de estos actividades que nos permiten
profundizar en lo que es el ser de la razón de ser de los ejércitos,
que es al final defender los intereses de España,
y para eso hace falta conocer cómo funciona la estrategia
y cómo funcionan los diferentes elementos que la conforman.
De la misma manera estamos aquí en las el Instituto
Universitario Gutiérrez Mellado, que como bien hecho el general
este acto reúne casi los elementos fundamentales
que crean el instituto.
Este hermanamiento entre las artes, las ciencias y la milicia,
la seguridad y la defensa, hasta hace bien poco,
la seguridad y la defensa eran campos relativamente separados.
La seguridad vamos a decir que es tiempo de paz
y la defensa quiere específico los casos de conflicto.
De hecho, eran dos situaciones absolutamente distintas que además
tiene un marco jurídico completamente diferentes.
Cada vez más la seguridad y defensa
se van agrupando y son parte de un mismo concepto,
y aquí entramos en un elemento fundamental
del que trae este libro, que es la vigencia del derecho.
La ciberseguridad es un campo, es fundamental tanto en paz
como en guerra.
Mientras estamos situación de paz,
el derecho es 1.
Cuando estamos en guerra, el derecho es otro, pero cada vez más
esos hechos están unidos y además en el campo de la ciberseguridad,
encontrar cómo está la frontera entre la paz y la guerra,
que cada vez es más difícil el campo de la ciberseguridad yo creo
que es casi imposible,
con lo cual en principio tenemos que suponer
que siempre estamos dentro de la situación normal,
que gracias a ellos es la de paz,
y eso quiere decir que los aspectos de derecho son fundamentales.
Hablaba de tratar con esta cuestión la seguridad,
tiene un aspecto técnico muy importante, también muy cambiante
y, sin embargo,
tiene un aspecto derecho de legalidad, que es fundamental,
que condiciona todo lo que se puede y lo que no se puede hacer
en este campo
y que además es mucho más permanente.
Esto es lo que le daba la.
Este libro,
así como muchos libros dedicados a la ciberseguridad
se quedan obsoletos rápidamente, conforme Hamza las tecnologías,
el marco jurídico que la regula va a permanecer constante,
teniendo en cuenta que es un campo jurídico
que está todavía en desarrollo y es un campo jurídico
que tiene el gran desafío de irse adaptando
a los cambios que la tecnología implica en esta materia,
pero sin embargo es un campo que, como podemos ver,
el libro un campo fructífero y un campo que ha avanzado bastante
más de lo que puede para desde fuera, donde ya hay una idea,
como todo nunca es definitivas, pero sí que es bastante claras
que se puede, que no se puede hacer dentro del campo
de la ciberseguridad, pero tiene en cuenta que el mundo
cíber cada vez nos acepta más a todos.
Antes del mundo cíber la preocupación casi de los Estados,
poco a poco pasó de ser una preocupación,
de que las instituciones preocupación de todos es difícil encontrar
una persona que no haya tenido en algún momento alguna preocupación
relacionada con la ciberseguridad, un intento de estafa,
de phising de intrusión, solo de 1.000 cosas,
y eso estamos hablando de un mundo que estaba mucho menos,
-42 que el mundo que se nos avecina en muy poco tiempo.
Cada vez dependemos para más cosas de las redes,
de la interconexión de datos y por lo tanto somos vulnerables.
En el aspecto de una intrusión o de cualquier acción
que pueda comprometer la seguridad de nuestras genes,
y esto es un una tendencia que va a aumentar,
lejos de reducirse, esta tendencia va a ser cada vez mayor
un desafío sobre la Internet de las cosas,
porque hasta ahora los datos están comprometidos.
Qué va a ocurrir cuando los órganos manejen directamente
elementos físicos que ya ocurre y elementos físicos capaces
de causar importantes daños.
Hemos visto que estos ataques de range uer
que acaban en los hospitales o instituciones educativas
tenían muchísimos problemas.
De momento son problemas casi administrativos,
pero ya hay casos en los que, empleando programación,
ampliando su cuerpo, somos capaces de conseguir
daños físicos.
Un caso famoso es el de las centrifugadoras iraníes,
que se ven afectadas por un virus aparentemente,
filtro Israel y consiguió destruir físicamente
una serie de máquinas extraordinariamente caras.
Bueno, bueno, esto es un aviso, lo que puede ser el futuro
y de los riesgos que implica la Internet de las cosas.
La protección ante ante este tipo de ataques tiene,
como he dicho, una componente técnica fundamental,
pero no tenemos que olvidar que la técnica hace lo que el derecho
le permite hacer y ese derecho no es un impedimento la técnica,
sino que es lo que nos garantiza seguridad a todos.
Es una herramienta que nos protegen, es decir,
el derecho no debemos verlo como un obstáculo a nuestra libertad
de operar en la red, sino como una defensa precisamente
frente a aquellos que no van a respetar
ni la privacidad de asegura en las redes.
Entonces, en este sentido,
conocer el derecho es un elemento fundamental para saber
cuáles son las reglas del juego al que estamos jugando.
El derecho.
En cierta medida
actúa como las líneas que limitan un campo de fútbol donde dice
es el área pequeña, que es el blanco en donde está el medio campo,
donde están los límites en terreno.
Bueno, pues el Derecho nos da esas herramientas,
y eso es lo que nos permite conocer con seguridad
a qué jugo estamos jugando qué reglas tiene que se puede hacer
y que no se puede hacer.
Entonces.
En este sentido, este libro supone una contribución muy interesante,
porque además a una el derecho nacional con el derecho internacional
igual dicho bien europea lo mío europea es una fuente de derecho,
es taurinamente fértil en muchos campos
y exigirles una potencia normativa,
es decir, una potencia que imponga o que oriente al resto de los Estados
a aplicar una serie de medidas que entendemos que nacen
de una serie de valores compartidos por nuestras sociedades.
El sentido del análisis, derecho europeo es una forma
de entender quizá no lo que hay ahora mismo el mundo,
derecho entendido como lo que es válido
en todas partes, pero sí como lo que en Europa
consideramos, que es la forma lógica.
Y cómo debe articularse este mundo.
De la ciberseguridad, de acuerdo con los valores
que compartimos todos, es entendido el libro,
supone una aportación muy importante,
una aportación.
Esto obviamente, valida en un campo que solo va a crecer,
como he dicho, es un compuesto en evolución.
Eso quiere decir que este libro muy probablemente verá
ediciones posteriores, corregidas, aumentadas cambiadas,
conforme vaya evolucionando la técnica y el mundo,
derecho que va asociado a ella, pero sin embargo es importante
conocer dónde estamos ahora y cuáles son las entidades,
y creo que es ese sentido.
Este libro supone la contribución muy importante
de la valía del autor.
Me ciño a lo que nos han contado el general Blázquez.
Como en los toros diríamos que un primer espada.
Bueno, pues hay que aprovechar los conocimientos de personas
que realmente son expertos en un campo,
cuando cabe para vivimos en un mundo el que somos,
la mayoría aficionados.
Bueno, pues tenemos la ocasión de disfrutar del trabajo
de un experto valorémoslo agradézcaselo.
Muchas gracias.
Pues buenas tardes a todo muchas gracias
primero al general Fernando García a que ha permitido
que podamos celebrar hoy aquí este acto
en el Instituto Gutiérrez Mellado;
en segundo lugar, al general Carlos frías,
que ha tenido a bien participar también en este evento.
Me siento muy honrado con su presencia de ambos aquí
y también quisiera mencionar al coronel Ruiz Arévalo
porque, gracias a su buen quehacer,
también es verdad que se puede llevar a cabo hoy esta presentación.
El es una de las personas más importantes
dentro del centro mixto; Madoc, Universidad de Granada;
es el alma, el centro, por decirlo así;
y le agradezco especialmente que haya tenido
Pues suficiente tiempo para dedicarse a que podamos celebrar hoy aquí
este acto.
Sin más preámbulo.
Entonces voy a intentar llevar a cabo mi presentación en un tiempo
que pretende que no sea que no vaya más allá de 30 minutos,
pero sí me gustaría hacer una presentación
ayudándome por tanto, de las diapositivas,
en donde.
No sé si esto funciona ahora.
Ambos con la tecla funciona seguramente si ahora perfecto,
pues con la tecla funciona casi mejor.
Bien, en una pequeña introducción
lo primero que cabe decir es que, como decía el general,
los ciberataques son un problema creciente no van a disminuir;
lo que vamos a enfrentarnos es a un proceso de crecimiento
cada vez mayor de este tipo de lacra,
y como a mí me parece que lo es, que es una lacra creciente,
pero tenemos que distinguir desde un punto de vista
del derecho internacional, como es el que aquí adoptamos,
tenemos que distinguir aquellos ciberataques que tienen
un origen privado por una parte de aquellos otros que tienen
un origen público, cuando estamos ante ataques de origen
privado que están en crecimiento también,
sobre todo aquellos en donde se pide un rescate, el famoso gran software
que dio pie, por ejemplo,
a el que tengo ahí en la diapositiva,
a que hubiera que pagar un rescate de más de 4.000.000 de dólares,
el ejemplo de colonial online,
que efectivamente supuso que un grupo criminal ruso
pusiera en jaque la distribución del bici en Estados Unidos,
que no es cualquier cosa.
Sin embargo, yo me voy a centrar sobre todo en aquellos ciberataques
que tienen un origen público y, en ese sentido,
utilizando una herramienta que ha puesto en marcha
el Consejo de Relaciones Exteriores,
que es esta utilidad, sabe por o pero hay visión
su acá hay se nos dice se hace un seguimiento
de las de los ciberataques que acontecen al cabo del año
y se dice que hay a alrededor de unos si en ciberataques,
es decir 100 operaciones importantes,
luego hay más importantes al año, de las cuales más del 70 por 100
dice.
El Consejo de Relaciones Exteriores
se pueden atribuir directamente a rusia.
China y corea.
Por tanto, aquí tenemos un problema al que el derecho internacional
tiene que hacer frente porque es un problema,
como decía el general, relativo a la paz
y la seguridad internacional.
Por tanto, el derecho internacional tiene que intentar aportar soluciones
a esta lacra que es la relativa a los ciberataques de origen público
cada vez más frecuentes.
De hecho, el manual de tallin es.
Eso, es un esfuerzo liderado por un conjunto de expertos
con el soporte del centro de excelencia
del agotan en esa ciudad.
Entre ahí pues ha hecho una obra, que es una obra de referencia.
Cabe decir en esta materia
y que yo voy a también referirme a ella a lo largo de mi exposición.
Parece que lo que funciona para ahora bueno, claro,
tenemos que partir de un presupuesto de partida,
que no es que es un problema inexcusable,
es el relativo a la atribución,
es decir, lo primero que hay que resolver
cuando se produce un hecho ilícito internacional,
si un ciberataque constituye un hecho ilícito internacional,
cómo resolvemos el previo?
La cuestión previa relativa
a quién está detrás de ese ciberataque
y claro para ello hay dos problemas distintos
que conviene tener en cuenta.
Uno es el de la atribución técnica, es decir,
quién está detrás físicamente de ese ciberataque?
Ahí hablamos desde el sistema informático
a la persona que toca la tecla a la entidad que soporta
a la persona que toca la tecla bien,
esto es un problema de orden técnico.
Yo no tengo competencia para extenderme aquí mucho.
Lo que sí puedo decir es que son las técnicas forenses
las que se tienen que aplicar.
En el ámbito de la Ingeniería Informática
para poder detectar dónde está la atribución
donde podemos alcanzar, a identifica a ese sistema informático
o la persona que toca la tecla o la entidad que está detrás
del ciberataque.
Claro, el problema no se resuelve solo con la atribución técnica,
es que luego hay una atribución jurídica
que resolver desde el punto de vista del derecho internacional.
Claro, en derecho internacional, cuando se produce un ciberataque,
lo que tenemos que resolver es a qué estado se atribuye
ese ciberataque,
si es un cierto ciberataque de origen público para ello,
se utilizan en derecho internacional y en ese sentido
utilizamos en informe de la Comisión de derecho internacional del año 2001
sobre responsabilidad internacional del Estado, que a día
de hoy está asumido que configura el derecho internacional general.
Incluso el tribunal internacional de justicia
ha venido a apoyarse en ese informe para su argumentación jurídica.
Pues en ese informe se establecen dos criterios.
Tiene institucional artículo cuatro del informe y un criterio funciona,
es decir, o es un órgano del Estado,
criterio institucional o es un órgano que actúa en nombre del Estado
en última instancia, artículos 5,
seis de ese informe de acuerdo hasta aquí todo más o menos bien,
pero qué pasa?
Como sucede actualmente,
cuando lo que hay detrás de un ciberataque
podría ser más bien un conjunto de particulares,
actores particulares.
Hasta qué punto podemos atribuir al Estado de acuerdo
esos actos de los particulares grupo criminal ruso.
Un ciberataque de origen ruso.
Hay un conjunto de actores particulares.
Detrás de este ciberataque
pretendidamente se le puede atribuir a Rusia
o no bien, pues aquí hay que utilizar
un doble criterio, que es el relativo al control efectivo
o el control global.
El tribunal internacional de justicia ha dicho siempre
que para atribuir un acto de un particular al Estado
debe de, conforme al artículo ocho del informe
de la Comisión de derecho internacional,
debe de concurrir el criterio del control efectivo.
Eso qué significa?
Eso significa que detrás de cada ciberataque concreto
de cada ciberataque concreto tendría que estar el Estado ruso.
De acuerdo, por tanto, debe demostrarse
que existe un control efectivo del Estado sobre dicha
sobre cada actividad atribuible al Estado.
Eso aplicar eso en el ámbito del ciberespacio.
Efectivamente, dificulta excesivamente
que se pueda llevar a cabo una atribución jurídica,
por eso muchísima doctrina y sobre todo el lado trina
de origen anglosajón ha argumentado a favor de un criterio más laxo,
que sería el criterio del control global.
No, mire usted, no hace falta que el Estado ruso
esté detrás de cada ataque concreto de que cada ciberataque concreto
que se lleva a cabo, sino que basta con que podamos demostrar
que existe un vínculo global entre ese grupo criminal ruso
y el Estado,
cuyo caso podemos llevar a cabo la atribución jurídica
de todos los ciberataques que se produzcan pretendidamente
llevados a cabo por ese grupo criminal rus.
Esto no está aceptado de momento por el tribunal internacional
de justicia.
De acuerdo, no es un criterio aceptado
por el tribunal internacional de justicia.
El criterio del control global lo ha aceptado otro tipo
de jurisdicciones internacionales, por ejemplo, el tribunal penal,
para la antigua yugoslavia lo aceptado de acuerdo,
pero incluso después de defender ese criterio,
el tribunal internacional de justicia ha criticados ese criterio
y ha criticado al tribunal penal para la antigua yugoslavia
de acuerdo.
Entonces no está claro que en el ámbito internacional,
desde el derecho internacional público,
sea aceptable el criterio del control global,
aunque eso evidentemente, facilitaría la atribución jurídica.
Una opción que se ha mantenido
es la de que podríamos solventar esta cuestión.
Objetivizando la.
El proceso de atribución jurídica.
Eso cómo se se conseguiría?
Pues creando un mecanismo internacional
para la atribución jurídica, es decir,
una especie de tribunal internacional de justicia,
pero dedicado solo a la atribución jurídica,
con lo cual sobre la base de los expertos internacionales,
que ahí se pudieran, efectivamente nombrar,
pues que se llevan a cabo.
Ese tipo de atribución va a costar mucho llevar a efecto esta idea,
porque si los Estados ya son recelosos hoy en día
de el tribunal internacional de justicia,
tal y como lo conocemos,
pues la creación de otro órgano similar
para este ámbito resulta bastante difícil en la práctica,
no en lo que sería llevar a cabo esto a efecto, de verdad,
pero hay mucha gente detrás de esta idea.
Estamos hablando de empresas como macro
-soft de Zintán,
como el rán, el Consejo Atlántico.
Es decir, que no, no, estamos hablando
de que no tenga un apoyo importante desde el ámbito
de la reflexión tranquila y sopesada desde los actores internacionales
que tienen algo que decir en este ámbito.
Valen en siguiente lugar.
La siguiente diapositiva.
Por allí es por donde tengo que ir ahora a ver bien
lo siguiente que voy a hacer es dedicarme un poco
a ver qué regulación más importante se puede aplicar
a los ciberataques en tiempo de paz siempre de la regulación aplicable
en tiempos de paz,
y en ese sentido la siguiente diapositiva.
Por tanto, sería.
La relativa a el principio de prohibición del uso de la fuerza,
primer tipo de obligación aplicable en este ámbito
a la que efectivamente habría que dedicar un minuto de atención,
al menos porque es el primer límite.
Como decía el general que todo el mundo
tiene en la cabeza, es decir,
hasta qué punto un ciberataque puede ser interpretado
como un uso de la fuerza armada de acuerdo.
Esta es una cuestión a la que se ha dedicado mucho tiempo.
Por parte de nuevo, desde la doctrina anglosajona,
yo llevo casi 20 años dedicado a esta temática
y desde ya hace 20 años la doctrina anglosajona
le había dedicado otros tantos a esta cuestión.
Es una cuestión problemática.
Bien es verdad que hay pocos eventos que den lugar
a que se pueda identificar la vulneración del principio
de prohibición del uso de la jota.
Pocos ciberataque se pueden identificar
como que han vulnerado el principio de prohibición del uso de la joya,
pero se ha dedicado un esfuerzo descomunal
desde la doctrina a esta cuestión.
Bien, aquí que hay que tener en cuenta aquí hay
que tener en cuenta la doctrina del tribunal internacional
de justicia en el asunto Nicaragua,
y otros, que han venido a repetir esa doctrina a relativo al criterio
de la escala de los efectos.
Es decir, podríamos entender que un ciberataque es equivalente
a un uso de la fuerza armada,
como se regula en el artículo cuatro de la Carta de Naciones Unidas,
aplicando el criterio de la escala y los efectos,
si el ciberataque tiene tal magnitud y provoca los mismos efectos
que provocaría un ataque cinética o el uso de la fuerza armada,
pues podríamos llegar a la conclusión,
efectivamente.
De qué se ha producido una vulneración del artículo 2,
cuatro de la trata.
Esto tiene un ejemplo claro que es el que ha mencionado también
el general, y es el de el virus éxtasis.
Efectivamente,
si se produce un ciberataque que provoca pérdidas de vidas humanas
o destrucción física equivalente a un ataque cine tipo,
como cuando se lanza un misil, verdad, pues es evidente
que efectivamente aquí el ciberataque se puede identificar
como que ha vulnerado el artículo 2, cuatro de la carga.
Esto pasó.
Hay acuerdo general en el sentido de que con el virus Stack
-Sinemet este, que pretendidamente saldaron Israel y Estados Unidos,
para que las centrifugadoras que hay en atamos,
entraran en una dinámica de revoluciones que no podían,
digamos que eran que convertían en inoperativas a las centrifugadoras
pasadas un tiempo in inutilizando, las físicamente,
pues efectivamente se puede llegar a la conclusión de casas;
miles de centrifugadoras que sirven para enriquecer uranio
y generar la bomba atómica.
En su caso obtindran.
Siempre he dicho que era para el uso civil
de la energía nuclear.
Pues efectivamente, en aquella instancia, año 2010 se puede decir
que se llevó a cabo un ciberataque con consecuencias similares
a un uso de la fuerza armada.
Yo creo que hay acuerdo aquí pero es el único ejemplo
en el que hay coincidencia entre los expertos
en que se ha vulnerado el principio de provisión de los fuerzas.
Ya no ha habido más,
otro criterio es esta aduciendo cada vez más.
En este sentido
es el de que no hace falta que se produzca pérdida de vidas humanas
o destrucción física.
Necesariamente.
También podríamos decir que se vulnera el artículo 2, 4.
Cuando se produce una perturbación grave
de las infraestructuras críticas del Estado,
supongamos un virus que hace caer el sistema bancario del Estado;
o un virus, un ciberataque que hace caer el sistema de navegación aérea
del Estado, poniendo en peligro las vidas de todos los que viajan.
En ese momento, en avión todavía no se ha muerto
nadie no se ha destruido nada, pero hay Estados
que ya están diciendo.
Esto podría ser similar
a un ataque armado, Holanda, Países Bajos, por tanto,
y otros Estados lo están ya señalando claramente
como un camino que se puede recorrer de acuerdo.
Lo dejo abierto porque efectivamente igual
surgió alguna pregunta más.
El siguiente principio es el principio de no intervención,
digamos, es la siguiente obligación importante.
En derecho internacional,
que se puede vulnerar.
Cuando se lanza un ciberataque, el principio
de no intervención en derecho internacional tiene dos elementos.
El elemento de la coerción, obligar a un Estado
hacer algo que no quiere hacer y, en segundo lugar,
el elemento del ámbito reserva de acuerdo,
es decir, lo que entraría dentro de la jurisdicción del Estado.
Estos son los elementos básicos del principio de la intervención.
Bien.
Cuando se lanza un ciberataque se puede
estar vulnerando este principio de no intervención,
pues vamos a utilizar dos ejemplos para verlo.
El caso de estonia estonia,
como saben muchos seguramente es un Estado muy digitalizado,
de los más digitalizados en el año 2007
fue objeto de un ciberataque,
un ataque de denegación de servicio masivo,
pretendidamente con origen en Rusia y que tuvo como digamos
desencadenante el hecho de que esto ni había decidido trasladar
un monumento al soldado ruso o soviético
a las afueras de la ciudad, porque entendían que aquel monumento
allí en el centro de la ciudad pues tenía,
será un poco vestigio colonial la dominación rusa
y que y que no estaban dispuestos a seguir teniéndola allí.
Bueno, pues eso desembocó en este ciberataque masivo
que hizo que durante dos tres semanas muchísimas agencias del Estado,
pero sistemas bancarios también, casi todos los bancos del país,
muchísimos servicios públicos se vieran inutilizados.
Hay acuerdo en ese sentido.
Entre la doctrina
en que aquí se vulneró el principio de no intervención,
claramente fue una actuación que afectó al ámbito
de la jurisdicción interna del Estado
claramente y que quiso torcer el brazo de estonia.
En ese sentido, por tanto,
el elemento de cohesión también estuvo otros ejemplos.
No están tan claros el caso de los procesos electorales,
cuando se interfiere en los procesos electorales
de otros estados con ocasión de los ciberataques
que se desencadena el ejemplo quizá más famoso
que todos tendrán en mente será el caso del jaque
o contra el comité nacional demócrata,
de las elecciones de 2016, de Estados Unidos,
en donde efectivamente el comité nacional demócrata objeto
de un ciberataque con extracción de información
pretendidamente también de nuevo desde Rusia
para que se supone que Rusia quería influir
en las elecciones de Estados Unidos y que saliera elegido como.
Al final sucedió que pretendidamente también iba a ser no tan contrario
como su ponentes y lo que intenta a un
o a un gobierno como el ruso,
con el que efectivamente no se teníamos las relaciones
en el momento.
Bien, aquella penetración en el sistema informático
y extracción de información del comité nacional demócrata
vulneró el principio de no intervención,
en principio no porque el mero acceso a un sistema informático
no implica que se vulnere una obligación internacional
como el principio de no intervención.
De acuerdo,
no se está llevando a cabo una acción coercitiva y también sería debatible
que fuera del ámbito de la jurisdicción interna
del Estado.
Hay muchos autores,
sobre todo también desde Estados Unidos que han dicho.
Bueno, quizá la extracción de información no fue lo que llevó
a la vulneración del principio de mi intervención,
sino la utilización de esa información
para coaccionar para conseguir torcer también,
para modificar el resultado electoral.
Bien, pues esto es algo que también está debatido,
no está tan claro que si tipo de comportamiento haya supuesto
una vulneración del principio de no intervención, de acuerdo,
y lo dejo ahí por si surge la duda
o una cuestión relativa a esto en el futuro en el futuro.
Quiero decir ahora después la siguiente regla importante
en este ámbito es la regla de la soberanía.
Esta es para mí la regla capital del derecho internacional.
Hoy en día, en relación con los ciberataques
es donde más vamos a tener que discutir de cara al futuro.
Por qué?
Pues por lo siguiente.
La regla de la soberanía hoy en día digamos
se debate entre los Estados
si es o estamos ante una regla primaria de derecho internacional
o es solo un principio de referencia
sobre el que se apoyan otras obligaciones internacionales,
es decir, la regla de la soberanía soportaría,
por ejemplo, apoyaría la construcción del principio de prohibición del uso
de la fuerza,
pero la soberanía en sí no sería más que una categoría jurídica,
un principio de referencia, pero no una regla primaria
que uno vulnera cuando lleva a cabo un ciberataque.
Esto es lo que dice en Estados Unidos y el Reino Unido,
sobre todo el Reino Unido lo ha dicho más claro que nadie.
La regla de la soberanía
es un principio de referencia en derecho internacional,
pero no es una regla primaria en derecho internacional.
Por tanto, una actuación en forma de ciberataque,
por ejemplo, nunca, nunca, nunca vulneraria la regla
de la soberanía podría vulnerar otras cosas,
pero no la regla de la soberanía.
Acuerdo.
Ahora veremos por qué se sostiene esta postura desde Estados Unidos
y el Reino Unido.
Otra versión de esta regla de las soberanías
es la que podríamos definir
como la versión que defiende la primera postura
existe una regla primaria relativa a la soberanía,
pero su enfoque es más relativo de lo que podría pensarse
es por tanto una doctrina relativa sobre la regla de la a
-sin sobre la regla de la soberanía.
Esta es la postura que, por ejemplo, defiende el manual de Tallin,
para manual de allí.
Esto significa lo siguiente.
Se podría vulnerar la regla de la soberanía con un ciberataque;
si, por ejemplo hay afectación a la integración territorial
del Estado un ejemplo, el virus sea un virus,
un fue un virus que pretendidamente con origen en Irán
supuso que para Arabia Saudí en concreto la empresa
Saudí arrancó, pues se destruyeran miles de discos duros;
fue objeto de un ciberataque que supuso
la destrucción de miles de discos duros
y que hubo que renovar miles de de Computadores.
Hubo que renovarlos como consecuencia consecuencia de esa inutilización.
De acuerdo, manual de índice.
Claramente.
Aquí hubo vulneración de la regla de la soberanía de Arabia Saudí.
Otra fórmula por la cual también podríamos llegar
a la misma conclusión es que se produzcan una situación
que supone usurpación de funciones del Estado, por ejemplo, un estado.
Supongamos Estados Unidos lo que hace es penetrar en el sistema informático
de otro Estado para extraer información
y quiere utilizar para llevar a cabo adelante.
Un proceso penal estaría llevando a cabo, por tanto
en actuación extraterritorial de su jurisdicción ejecutiva.
De acuerdo, bueno, pues está usurpando funciones de ese
otro Estado al que le está extrayendo la información
y, por tanto, ahí también habría una afectación
de la regla de la soberana del Estado que es objeto del ciberataque
y hay una versión tercera de la regla de la soberanía,
que es la que podríamos denominar como el enfoque pura
y que supone que cualquier acceso a un sistema informático
de otro Estado, sea cual sea el objetivo,
la mera penetración del sistema informático,
supone ya la vulneración de la regla de la soberanía.
Esta postura la mantienen casi todos los estados europeos.
Alemania, Suiza, Francia, muchísimos estados europeos
lo han puesto claramente de manifiesto,
y el problema se plantea con el ciberespionaje.
El ciberespionaje consiste precisamente en eso penetrar
el sistema informático de otro Estado,
acceder a información, no causar ningún daño,
no usurpar funciones gubernamentales,
pero utilizar esa información para las los intereses estratégicos
del Estado que lleva a cabo ese acceso informático,
eso es contrario al derecho internacional.
El ciberespionaje es contrario al derecho internacional bueno,
pues por supuesto para los Estados
que mantienen la doctrina pura sobre la regla de la soberanía,
existe vulneración de la regla de la soberanía, salvo para Francia;
Francia tiene una postura aquí contradictoria,
porque mantienen un enfoque puro de la regla de la soberanía,
pero dice que el ciberespionaje está bien,
que siempre ha estado bien el espionaje,
que el ciberespionaje, si bien es contradictoria
para quienes sostienen la regla de la soberanía
desde el punto de vista relativo;
el ciberespionaje es correcto porque no llega a afectar
la integridad territorial del Estado,
ni supone usurpación de funciones y, por supuesto, para Estados Unidos
y el Reino Unido, ciberespionaje.
Eso es nada que decir.
De acuerdo.
Por qué?
Lo dejo ahí el ejemplo de solar Wing es un ejemplo en el que en el año
2021 Estados Unidos sale a efectivamente condenar el ataque
pretendidamente llevado a cabo por Rusia o grupos rusos en donde más
de 17.000 sistemas informáticos habían visto penetrados por ese virus
en donde se produjo, por tanto, un ciberespionaje,
por decirlo así masivo y Estados Unidos, lo condenó
cuando el ciberespionaje no es condenable según Estados Unidos,
Estados Unidos vino a decir.
Mire usted, está bien el ciberespionaje
pero no masivo.
Por favor, no me haga usted
esto porque esto es una faena, sea el ciberespionaje, bien,
pero no tan poco menos vino a ser un poco
la postura de Estados Unidos en aquella ocasión
y pasamos enseguida al siguiente.
La siguiente diapositiva, que es la relativa a la obligación
de diligencia debida, la obligación de diligencia debida,
tiene un origen en derecho internacional
en el asunto canal de Cofuc,
en el asunto de la jurisprudencia,
pero donde la a, lo diré.
Arbitraje internacional, el caso de la fundición del Training.
No me voy a detener mucho.
Lo que quiero es destacar que en derecho internacional
existe una obligación de diligencia debida,
que tiene dos elementos.
El deber de prevención,
y el segundo elemento, el relativo al conocimiento constructivo
aplicado al ciberespacio.
Todo Estado debe de prevenir que su territorio
sea utilizado para lanzar un ciberataque frente a otro,
haciendo daño a otro Estado y, en segundo lugar,
el elemento del conocimiento constructivo significa que todo
Estado debe hacer eso.
Cuando tenga conocimiento de la existencia de un ciberataque
o incluso cuando hubiera debido tener conocimiento
de la existencia de ese ciberataque, de modo que producido el ciberataque
sin haber sido frenado por el Estado del que ha partido,
ese Estado está vulnerando la obligación de diligencia ética.
De acuerdo?
Es esta obligación de diligencia
debida una obligación que gusta mucho a cierta doctrina
porque resuelve de un plumazo el problema relativo
a la atribución.
Por tanto, no me hace falta demostrar
que ese Estado está detrás del ciberataque.
Incluso si yo sé que hay actores no estatales,
detrás de ese ciberataque que viene de tal estado,
no me hace falta llegar a la conclusión
de que el Estado está apoyando a esos actores no estatales.
Simplemente con demostrar
que ese ciberataque tiene su origen en Rusia,
por decirlo así hemos resuelto el problema.
Claro, el problema que se plantea ulterior es el siguiente.
Cuál es la respuesta a esa vulneración
de la obligación de diligencia debida?
Una contra medida,
pero, claro, si Estados Unidos adopta una contabilidad contra Rusia
porque cree que está vulnerando la obligación de diligencia
debida a Rusia puede decir no, mire usted,
usted no ha demostrado que yo estoy detrás de este ciberataque,
de modo que frente a su compromiso aquí está mi contra medida
y podemos entrar en un riesgo de escalada que es peligroso
para la estabilidad de las relaciones internacionales.
Luego se plantea otro problema con relación a la diligencia debida
y es el monitorio de las ruedas de las redes que podría hacer falta
para obtener, para llevar a cabo un respeto escrupuloso
de esta obligación de diligencia debida, que es
una obligación de comportamiento más que de resultado.
Paso rápidamente a lo siguiente,
que es un poco a intentar poner de manifiesto cuáles pueden ser
las respuestas unilaterales que los Estados
pueden con base en derecho internacional
utilizar para hacer frente a los ciberataques.
De acuerdo,
y en ese sentido el primero es la legítima defensa.
Evidentemente, si un ciberataque puede ser calificado
como un ataque armado,
de acuerdo con el artículo 51 de la Carta de Naciones Unidas,
entonces un Estado tiene derecho a utilizar
la legítima defensa para ello hay que aplicar
el criterio que antes hemos visto jurisprudencia ni cara.
Agua.
El criterio de la escala y los efectos vale,
no es fácil, no es fácil llegar a esa conclusión,
incluso el único suceso que hemos podido calificar
como vulneración del principio de prohibición del uso
de la fuerza, que fue el virus Stack -Sinemet.
Hay un acuerdo total en la doctrina en el sentido
de que es si tipo de actuación no llegó a alcanzar el nivel
de un ataque; arma, por tanto, no podría haber habilitado
a nadie al uso de la legítima defensa de acuerdo.
Es un criterio, por tanto, muy elevado de acuerdo,
porque la escala, la magnitud y los efectos graves
que tiene que generar el ciberataque tienen que ser tales,
que es difícil;
a día de hoy no se ha podido demostrar
que ningún ciberataque ha alcanzado ese nivel
como antes.
Yo decía.
Hay Estados que ya están intentando adelantarse
a una posible perturbación grave de su sistema nacional
desde el punto de vista de las infraestructuras críticas,
como han tenido, decía el sistema bancario.
Y qué pasa?
Si se cae la bolsa de no mayor como consecuencia de un ciberataque,
el perjuicio económico se genera,
puede ser muy superior que el poner una bomba y la puerta de la bolsa
de una mayor y que aquello genere pérdidas físicas,
o sea daños físicos,
sin que haya necesidad de de pérdida de vidas humanas.
Entonces, este camino lo tenemos que recorrer,
tenemos que identificar si efectivamente estamos de acuerdo
en dar ese paso.
Como he dicho antes, hay países que están de acuerdo
en dar ese paso Países Bajos entre otros lo menciono
porque es el que más se ha señalado en este a estos efectos,
pero además hay un problema específico
que a mí me interesa destacar,
y es el hecho de que hay quien plantea un manual de allí;
lo hace que actuaciones llevadas a cabo por actores
no estatales podrían dar lugar a la legítima defensa.
Hasta ahora me ha pasado, pero la idea es.
Puede haber actuaciones que lleven a cabo actores,
no estatales; que, lancen un ciberataque
y que, sin llegar a atribuirlos a un Estado necesariamente pudiéramos
de alguna manera, justificar una respuesta.
En legítima defensa de acuerdo
es todo la de donde arranca por decirlo así
pues, esto arranca evidentemente desde el 11 de septiembre
los ataques a la torres gemelas de Nueva York,
en donde, pues de alguna manera el consejo
de seguridad vino a avalar la actuación de Estados Unidos
en Afganistán,
como si fuera legítima defensa.
Yo no estoy tan seguro de que aquello fuera tal cual no creo
que se pueda interpretar tal cual que aquello fue
una a por decirlo así un endose de la actuación de Estados Unidos,
en legítima defensa,
pero en cualquier caso se plantean otros problemas
que no son menos difíciles de resolver.
Cómo resolvemos el problema relativo a la integridad territorial
del Estado?
Dónde están esos actores estatales cuando se lanza la legítima defensa
y cómo resolvemos otro problema ulterior, que es el peligro
de escalada que se puede dar si el Estado,
en donde están esos actores no estatales,
frente a los cuales se usa la legítima defensa?
Dice usted.
Me está atacando a mí
de modo que soy yo el que ahora va usar la legítima defensa.
Por tanto, un peligro de escalada importante
que hay que tener en cuenta y dejando de lado toda la dificultad
de aplicación que puede tener la aplicación de la legítima defensa
que, como sabemos,
la legítima defensa en derecho internacional necesita ser
o cumplir los requisitos de necesidad,
es el único medio para responder, inmediatez de acuerdo;
inmediatez en el ciberespacio que es inmediatez;
en el ciberespacio; 10 minutos, una hora, 10 horas,
10 días, que es inmediatez en el ciberespacio
y proporcionalidad.
Si yo me defiendo en legítima defensa en el ciberespacio
como estoy seguro de que voy, por ejemplo,
si yo quiero utilizar un unas cives defensas activas de acuerdo,
como estoy seguro
de que mi ciberataque en legítima defensa,
se va a limitar al espacio, al territorio del estado
al que yo quiero dirigir mi ciberataque
y que no va a haber un desbordamiento.
Internet está configurado de tal manera que funciona de modo
descentralizado.
De acuerdo, estar a la idea de detrás de Estados Unidos,
del origen de todo esto está Arpanet el crear un sistema descentralizado,
que no haya posibilidad de destruir el sistema de comunicación,
atacando tal o cual nodo,
porque, de todas formas el sistema va a seguir funcionando,
porque es descentralizado.
Pues como contenemos un ciberataque en legítima, defensa complicado,
la siguiente diapositiva es la relativa a contra medidas.
Las contraías son el recurso inmediato,
el que más gusta a mucha doctrina,
porque, efectivamente, si yo soy objeto de un ciberataque,
qué voy a hacer?
Pues contramedidas.
Lo primero contra medida,
medidas de autotutela derecho internacional
vale un recurso fácil, por decirlo así;
pero tiene muchos problemas que voy a intentar poner de manifiesto aquí.
Lo primero es que las contramedidas no se pueden utilizar
de forma preventiva,
es decir, hay que demostrar primero dónde está el origen del ciberatac,
es decir, hay que resolver la atribución
y la atribución no es fácil de resolver,
como antes he mencionado.
En segundo lugar, las contravenidas tienen
un carácter instrumental que quiere decir.
Es.
Lo que quiere decir es que las contaminadas
están ideadas para hacer cumplir con el derecho al Estado
que ha cometido el hecho ilícito.
En primer lugar, por tanto, no tienen un carácter de castigo,
sino que yo lo que quiero es hacer que el Estado que está cometiendo
el hecho ilícito internacional fuese y compense
y, por tanto,
con que adecúe su comportamiento al derecho internacional además,
las contabilidades se tienen que adoptar entre Estados.
Ojo, luego tiene que ser un Estado frente a otro Estado.
No puede ser un Estado frente a una empresa
o una empresa frente a un estado de acuerdo, por más que macros,
os estoy seguro de que podría hacer más cosas que muchos Estados
en el ciberespacio.
Luego eso no es posible y es un Estado frente a otro Estado,
no un Estado o muchos Estados.
Frente a un estado de acuerdo,
las contramedidas colectivas no caben en derecho internacional
y luego hay otros muchos requisitos de carácter procesal.
Por ejemplo, la notificación previa, la proporcionalidad,
por supuesto la protección de los derechos humanos,
no se puede lanzar;
una contra medida con dejación de todos los derechos humanos,
que hay que proteger.
Desde el punto de vista del derecho internacional,
empezando por la privacidad
y la protección de los datos personales,
pasa, lo que pasa es que mucha doctrina ha visto
en las contramedidas una gran huirá cuál es la utilidad,
pues que se puede hacer uso de las contramedidas
en aquellos ciberataques que son la mayoría que están por debajo
del umbral de qué umbral del umbral del uso de la fuerza, artículo 2,
cuatro de la carta y del umbral de la coerción principio
de no intervención que antes hemos mencionado eso
no significa que las contraminas no puedan tener utilidad
desde mi punto de vista, y yo concuerdo con mucha doctrina.
El enfoque bueno en el uso de la contra medida no es tanto
el punitivo, que es el que mucha doctrina mantiene,
verdad?
Venga contramedidas porque vamos a perdón
y porque vamos a castigar al Estado
que está en el origen del hecho ilícito,
sino que por qué la contaminada,
podría utilizarse cuando de lo que se trata
es de encauzar una reclamación para conseguir
una compensación económica.
Ahí sí que tienen utilidad.
La siguiente diapositiva sería.
El estado de necesidad,
la tercera posibilidad, tercer tipo de reacción importante.
Cuando un Estado quiere unilateralmente resolver,
hacer frente a un ciberataque llevado a cabo por otro Estado
es una alternativa que se entiende positiva
frente a los problemas que tiene la legítima defensa,
o las contramedidas, tal y como las hemos visto,
y la ventaja principal es que no se necesita resolver
el problema previo relativo a la atribución de acuerdo.
Cuando un Estado reacciona sobre la base del estado de necesidad
no hace falta claramente atribuir el ciberataque
previamente producido; es más,
no hace falta ni siquiera que ese ciberataque
constituya un hecho ilícito internacional,
con lo cual la ventaja es enorme y tenemos un mecanismo
en derecho internacional que puede hacer frente a los ciberataques
sin tener que preocuparnos ni de la atribución
ni de la comisión de un hecho ilícito
previo internacional.
Eso es lo que hace.
El manual de Tallín adopta un enfoque positivo
sobre la, sobre el estado de necesidad
que se contrapone con el enfoque negativo,
que siempre ha defendido la Comisión de derecho internacional,
sobre el estado de necesidad,
porque la comisión del derecho internacional
ha circunscrito tanto la posibilidad del recurso al estado de necesidad,
que difícilmente es invocable en la realidad cotidiana,
porque hace falta que concurran dos elementos.
Primero, el elemento relativo a la amenaza a un interés esencial
del Estado, que es una amenaza a un interés esencial,
un Estado esa es una cuestión puramente subjetiva y contextual solo
el Estado puede decir que qué entiende
el en un momento determinado como una amenaza
a un interés esencial del Estado provocada por un ciberataque.
Luego además esa amenaza el interés esencial,
tiene que presentar los rasgos de ser grave e inminente y grave,
llegara a la destrucción del interés esencial
del Estado inminente que puede.
Efectivamente fiscalizar.
Lo que es inminente es muy difícil perdón,
porque probarlo de forma contra fáctica,
no es realista, inminente.
Qué quiere decir?
Claro, lo que sí quiere decir
es que no se puede utilizar preventivamente acuerdo inminente,
no puede ser preventivamente.
Entonces hay una dificultad de aplicación
aquí y luego, efectivamente, hay otros límites que se añaden
por la Comisión de derecho internacional
internacional, que es que sea el único modo
de responder que tiene el Estado esto pil fiscalizar,
controlar.
Esto resulta realmente dificultoso
y que no venga a afectar a otro interés esencial
de otros trabajos, porque si hay otro interés esencial
de otro estado afectado no se puede invocar;
es decir, yo no puedo responder con el estado de necesidad,
porque ha sufrido un ciberataque y mi sistema informático
que no se sostiene, por ejemplo, la gestión de los hospitales
de del sistema de salud del Estado.
Si yo lo que hago es responder con otro ciberataque que lo que hace
es afectar al sistema informático que soporta una central nuclear
del otro Estado, porque hay dos intereses esenciales,
ahí es muy difícil contrabalanceada, luego es complicado alcanzar
una solución aplicando el estado de necesidad,
y la siguiente diapositiva es una diapositiva
en la que ya lo que quiero poner de manifiesto un poco
son los avances de la cooperación internacional que se han dado
en este ámbito, que es un ámbito en construcción.
Como decía también en general antes,
primero es el ámbito relativo a la Organización de Naciones Unidas.
La Organización de Naciones Unidas lleva años trabajando en este ámbito
y, sobre todo, lleva trabajando a través de la creación de grupos
de expertos gubernamentales.
Estos grupos de expertos gubernamentales
se componen básicamente de, pues 20,
25 representantes gubernamentales suelen ser embajadores representantes
de los Estados que son convocados a ese grupo.
Luego no son todos los miembros de Naciones Unidas y en este ámbito
hay que poner de manifiesto cómo se ha avanzado hasta el punto
de que los informes, por ejemplo, del año 2013, 2015 2021,
han supuesto la aceptación de la aplicabilidad del derecho
internacional en este ámbito, sobre todo el de 2013.
Fue el primero que dio el paso.
El derecho internacional resulta aplicable al ciberespacio.
Es evidente.
El derecho internacional general por defecto tiene que ser aplicable
porque Internet o el ciberespacio no es un mundo aparte,
es una nueva tecnología, pero el derecho internacional
se tiene que aplicar desde un punto de vista neutro
cuando afecta a una nueva tecnología
y, por tanto el derecho internacional tiene que ser aplicable,
pero una cosa es eso que afirmemos eso desde el punto de vista doctrinal
y otra cosa es que se acepte por los Estados,
y el consenso.
Se alcanzó en primer lugar en el año 2013
a partir de aquí los grupos de expertos gubernamentales
han ido trabajando en la identificación progresiva
de las normas que específicamente resultan aplicables al ciberespacio.
En ese sentido, me voy a permitir citar aquí un poco qué ha sucedido
con el derecho internacional humanitario.
El derecho internacional humanitario
no ha sido aceptado por un bloque importante de Estados,
digamos, no ha sido aceptada su aplicabilidad,
con su aplicabilidad al ciberespacio por un grupo importante de Estados
a la cabeza de ello, de esos estados estaban Rusia,
China y muchos países en vías de desarrollo,
porque decían que con eso lo que quería Estados Unidos
y sus aliados era generar un espacio bélico,
un nuevo espacio bélico,
que sería el ciberespacio para contrarrestar eso,
pues ellos negaban.
La aplicabilidad del derecho internacional humanitario
en el ciberespacio finalmente se ha conseguido,
han aceptado han consensuado esa aplicación
del derecho internacional humanitario como otras normas que no es poco,
porque efectivamente estos Estados, Rusia,
China y otros países en vías de desarrollo tienen una visión distinta
del ciberespacio.
No es que ellos no quieran regulación internacional;
en el ciberespacio es que quieren otra regulación,
quieren una regulación en donde la soberanía del Estado
esté primero en donde la seguridad interna del Estado
esté primero y, por tanto el control estatal del ciberespacio
sea prácticamente total?
Claro, eso se se contrapone como se puede observar
a simple vista, con una idea de un espacio abierto.
Como es el ciberespacio desde su fundación,
en donde la libertad y la libertad de expresión
han sido señas de identidad del mismo y eso ha generado
que no se haya podido avanzar todo lo rápido que se debería avanzar
en la aceptación de la aplicabilidad del derecho internacional
en el ciberespacio,
lo que es peor bueno o mejor según se vea.
Esto es Estados, Rusia, China y un conjunto de países
en vías de desarrollo que los han apoyado,
han dado pie a la creación de un grupo de trabajo
de composición abierta,
que rivaliza con los grupos de expertos gubernamentales,
porque se va a dedicar a lo mismo a identificar las normas aplicables
en derecho internacional en el ciberespacio.
Y por qué se ha generado esta otra vía?
Porque muchos países en vías de desarrollo
han apoyado la iniciativa de Rusia
y de China que han pretendido hacer ver que el enfoque occidental
no es el único posible y quizá no sea el más compartido.
Qué pasa, que en ese grupo de trabajo de composición
abierta participan todos los estados de la o no,
y eso gusta a los países en vías de desarrollo, de acuerdo,
y si ha llegado a un informe en el año 2001, 2021 perdón,
que ha sido el primero en este ámbito y los países en vías de desarrollo
vienen a decir aquí es donde yo quiero
estar vamos unidos y la Unión Europea
no querían estar ahí pero se han visto
un poco empujados a rastras a participar por no quedar fuera
y por también controlar un poco el proceso vale
y un ejemplo concreto está en el de la ciberdelincuencia.
La ciberdelincuencia es un ámbito en donde ya
tenemos un convenio internacional desde hace mucho tiempo.
El convenio de budapest del año 2001,
que ha sido complementado con un protocolo adicional
segundo muy reciente, del año 2021,
también es todo ello en el marco del Consejo de Europa.
De ese convenio forman parte más de ese o próximamente 60 Estados,
o sea, más de los miembros del Consejo de Europa.
Pero qué pasa, Rusia se opone a ese convenio,
China supone ese convenio y muchos países en vías de desarrollo
no están dispuestos a participar en un convenio
en el que no han tenido ni voz ni voz y por eso en el marco de la UNED
se ha puesto en marcha.
Ahora mismo se está negociando el convenio
contra la ciberdelincuencia,
la uno que no va a ser muy distinto del convenio de budapest
o, digamos, no va a tener muchas más herramientas distintas
desde el punto de vista jurídico
que las que ya ofrece el convenio de budapest,
pero la posición de Rusia,
China y muchos países en vías de desarrollo
es no queremos aceptar un convenio en el que no hemos estado
desde el principio.
Muchos países en vías de desarrollo le están diciendo a Estados Unidos
y la Unión Europea no queremos seguir en el trágala de siempre.
Queremos participar en un proceso desde el principio
y es muy probable que este convenio arribe del Milne
en un resultado que no sea superior al de convenio de budapest,
pero es un doble proceso al que habrá que estar muy atento
y ya.
Finalmente, la última diapositiva es la relativa
a la cooperación que se lleva a cabo en el ámbito de la Unión Europea.
La Unión Europea,
como es evidente, lleva a cabo una actuación,
que es la propia de una organización internacional
que tiene competencias de atribución,
como es la Unión Europea,
y aquí se puede decir que la Unión Europea
en materia de ciberseguridad
ha puesto en marcha tres tipos de política.
Una, la política de ciberseguridad en sentido estricto, otra,
la política de ciberdiplomacia
y, otra, la política de ciberdefensa.
En materia de ciberseguridad,
a quien no me voy a extender mucho.
Básicamente la Unión Europea, en sus estrategias en este ámbito,
ha intentado avanzar para conseguir, por una parte,
la ciber resiliencia en la directiva del año 2016,
sobre todo sobre seguridad en los sistemas de información,
la red de información
y, sobre todo también en ciberdelincuencia
de acuerdo con su normativa, también secundaria en este ámbito.
La directiva del año 2013
quiero recordar la dejó de lado porque nos interesa más
lo siguiente que es la política, es decir,
de ciberdiplomacia la política es ciberdiplomacia,
tiene su origen en unas conclusiones del Consejo Europeo
del año 2015, que encontraron un marco de aplicación
con la caja de herramientas, toolbox sobre divertida,
ciberdiplomacia, como digo, adoptadas en el año 2017
que han permitido poner un poco sobre la mesa
la regla con la que va a jugar la Unión Europea
a partir de ese momento,
de modo que se han adoptado unas medidas restrictivas con base
en una decisión del año 2019 su reglamento paralelo
a que por primera vez en el año 2020 han dado lugar a la adopción de,
como digo,
si se llaman también comúnmente sanciones de la Unión Europea.
Son medidas restrictivas de forma más específica
frente a todas las personas que están en las listas anexos
a esas medidas restrictivas adoptadas en sendas decisiones tanto de julio
como de octubre, y quiero recordar del año 2000.
Esas medidas restrictivas consisten básicamente,
pues dentro de las sanciones inteligentes que se conoce
en derecho internacional, consiste en las restricciones de movilidad
y la congelación de fondos aplicables
a ciertas personas que se recogen en esas listas.
Como muchos probablemente sabrán,
se trata de personas que se han identificado,
porque son agentes que trabajan en el servicio de inteligencia ruso,
en Moscú o en el servicio;
en el tapete;
la fórmula para referirse a un grupo de Cibeles Pías de China
y lo mismo para a Corea del Norte,
o sea, que son personas con nombre y apellido,
pero que son fácilmente identificables
como agentes del Estado.
Para mí lo que más, lo que resulta más llamativo
de esta medida restrictiva es que aunque se diga lo contrario,
porque las cuando adopta las medidas la Unión Europea dice.
Nosotros aquí no llevamos a cabo ningún tipo de atribución jurídica
desde el punto de vista del derecho internacional
eso corresponde a cada Estado soberano.
Esta es una cuestión en la que la Unión Europea
no se mete todo lo contrario.
La Unión Europea está adoptando medidas restrictivas
frente a personas que son agentes claramente de un Estado extranjero.
La atribución es clara,
la atribución de responsabilidad en derecho internacional
está claramente establecido, luego se está haciendo prisa,
que se diga lo contrario, una atribución colectiva,
y es muy importante que la Unión Europea
se haya dotado de esa posibilidad, un querido que no lo está haciendo,
pero lo está haciendo.
Otra cosa es la efectividad de estas medidas.
La efectividad de esta medidas es muy limitada.
Por qué?
Por una parte, restricciones de movilidad
y congelación de fondos de personas que son trabajadores,
agentes del Estado ruso, en el servicio de inteligencia ruso
que no sale nunca en su trayecto cotidiano,
de casa al servicio de inteligencia, etcétera,
pues no hace mucho por decirlo así hay quien dice incluso
que estamos hablando.
Estamos ante un tipo de política simbólica de la Unión Europea
que no tiene mucha efectividad.
De hecho no se salda la responsabilidad internacional
de estos estados con ocasión de los ciberataques
por los que se han adoptado estas medidas restrictivas.
El virus humana Krahe,
el virus no pedía que ha sido uno de los más dañinos
en términos económicos de la historia.
No se está consiguiendo ningún tipo de compensación económica.
Frente a ese daño ocasionado,
luego la efectividad es muy limitada,
pero al menos la Unión Europea
ha empezado a enseñar los dientes en este ámbito.
Ha mostrado el camino que puede seguir de cara al futuro
y no está mal que hayamos dado este paso por pequeño que sea.
Por último, la política de ciberdefensa de la Unión Europea
es deudora un poco de la política común de seguridad y defensa
que, bueno, está un poco por desarrollar todavía,
porque efectivamente en el marco de si ver Defensa,
hay un marco político adoptado en el año 2018
ya se pusieron las bases sobre cuáles podrían ser
las actuaciones en este ámbito y ya se pusieron de manifiesto
que hay dos posibilidades.
Una es la cláusula de defensa mutua del artículo 47 del tratado
de la Unión Europea.
Esto es un precepto por a desarrollar la defensa mutua.
No es una realidad en la Unión Europea.
Como todos sabemos, la defensa mutua
descansa en Europa hoy en día en la optan
y mientras sigamos ahí
será difícil que avancemos en una auténtica política
de defensa mutua dentro de la Unión Europea,
de modo que esa es una vía en la que se podrá trabajar,
pero a día de hoy es limitada
y la otra vía es la cláusula de solidaridad,
la regulada en el artículo 200 veintidos
del tratado de funcionamiento de la Unión Europea,
y esta implica una fórmula de ayuda a los Estados que puedan ser objeto
de un ciberataque.
Tiene su decisión
del año 2014 que regula esa cláusula de solidaridad
y es una cláusula que está pensada más hacia dentro de la Unión
porque no está prevista que se ponga en marcha
cuando se trate de una actuación hacia el exterior de la unidad.
De acuerdo.
Es una vía que se puede, efectivamente,
convertir en algo muy útil.
Una vez que se produzca el ciberataque
pero también por decirlo así,
falta mucho que poner en marcha en este ámbito,
como todo lo que tiene que ver con la ciberdefensa
dentro de la Unión Europea,
y esto es todo lo que quería decir.
Gracias.
Perdón, que me he extendido más de la cuenta
y muchas gracias a todos por su presencia.
Muy interesante Antonio
y, efectivamente, ha habido un poquito más de extensión,
pero yo creo que ha respondido la mayoría
de las preguntas que podríamos hacer,
con lo cual ahora, como nos queda poquito tiempo,
hay tiempo para un de preguntas y si alguien
quiere ampliar algunos de los conocimientos que nos ha ofrecido
Antonio ahora es.
Pues no bien.
Muchísimas gracias, ha sido vamos a súper clarificador
y yo creo que también un poco me he quedado temerosa, pero bueno,
yo soy teleco entonces lo veo todo desde la parte técnica
y en ese sentido lo primero.
La primera positiva era la parte de la atribución técnica.
En esa atribución técnica se está avanzando en disponer
o interconectar cada uno de los centros que haya en las naciones
para que se puedan intercambiar esa información para poder
hacer esa atribución del ataque,
que entiendo que es de lo más complicado.
Luego también ha apuntado usted que al final es entre países,
es de un país a otro país.
No se tiene que atribuir, pero en el medio
los sistemas de telecomunicaciones se interconectan
y hay unas empresas privadas que son los proveedores de servicios.
Entonces,
hasta qué punto dentro de otra vez esa atribución,
cómo puedes decir que es el propio país
el que no lo permite o la propia compañía
de telecomunicaciones?
Luego otro debate que aquí con la teniente coronel
tenemos nosotras siempre es, y si ya me he extendido disculpe
es que es otro tema que también queríamos consultarle.
Ya habíamos ya preparado
la la pregunta siempre llevándola al dominio
de los ámbitos no el ámbito terrestre el ámbito marítimo etcétera
entonces el ámbito del ciberespacio
usted qué opina sobre el espectro electromagnéticos?
Yo entiendo que es un dominio específico, pero bueno;
se suele meter dentro del ciberespacio,
pero creo que tendría que tener, en esa atribución que también
apuntamos una perturbación electromagnética,
de una fuente también me parece que es un tema fascinante
y cómo se podría resolver
en esa atribución que incluso me parece más complicada
que al final una y detrás de un estado.
Muchísimas gracias.
Muchísimas gracias por las preguntas,
que son muchas preguntas también, como decía el general.
En relación con la atribución técnica,
como ya he dicho antes, no soy el más competente
para este ámbito porque yo no soy ingeniero informático,
pero efectivamente hay dos problemas aquí que preguntaba en relación
con las interconexiones posibles entre los centros.
Supongo que se refiere a los centros de emergencia,
no a los cert que son los encargados un poco de hacer frente
a a las eventualidades que se puedan producir
en torno a un ciberataque concreto,
bien contestando eso específicamente.
Aquí hay mucho que hay mucho que avanzar todavía,
porque la Unión Europea está haciendo todo lo posible
para que haya auténtica interconexión.
De hecho,
la última estrategia que ha lanzado la Comisión
ha sido un poco una estrategia que va encaminada a que los Estados miembros
sean más favorables al intercambio de información,
pero esto está todavía por hacer.
Es difícil que la información se comparta de manera solidaria
dentro de la Unión Europea,
cuando hay tantas diferencias entre Estados.
En cuanto a capacidades, me explico.
Cuando el Reino Unido se sale de la Unión Europea,
hay quien ha dicho que hemos perdido prácticamente más del 50 por 100
de las capacidades de inteligencia, en el ciberespacio,
porque el Reino Unido es una potencia en el ciberespacio,
capacidades similares no las tienen inauguró en la Unión Europea,
salvo Estados que se acerquen a esos salvo.
Alemania.
Francia, países bajos,
quizá el resto del Estado estaba bastante por detrás.
Entonces estamos con grandes capacidades de inteligencia,
en el ciberespacio les cuesta mucho compartir información
y según qué información, sobre todo la y en ese sentido,
por decirlo así tenemos mucho que andar.
La Comisión estaba haciendo un gran esfuerzo,
pero hay que reconocer que en este ámbito
todavía vamos un poco arrastrando los pies en relación
con el problema relativo a las empresas privadas.
Si efectivamente es un problema.
La Real además es un problema real, porque como los Estados
no todos tienen esas capacidades tecnológicamente hablando,
lo que hacen es contratar a una empresa que si las tiene,
yo no tengo capacidad de ciberinteligencia,
para defenderme frente a un ciberataque.
En un momento determinado ni lo voy a tener en el corto plazo,
pues contrata una empresa que me hace ese servicio perfectamente en derecho
internacional, están muy bien resuelto,
porque, como he dicho antes, la atribución jurídica
de un ciberataque o de una actuación en reacción
a un ciberataque, porque esa también es una actuación estatal,
se puede reconducir.
No solamente al Estado, se puede reconducir al Estado,
no solamente cuando hay un vínculo vínculo institucional
de acuerdo, artículo 4, no solo cuando es un órgano del Estado,
es un órgano del Estado.
Si es el mando del cíber con Estados Unidos,
evidentemente no tenemos duda,
pero sí es una empresa lo lo que hay que ver es si trabaja para el Estado
o no de acuerdo entonces artículos
cinco seis si una empresa actúa en nombre del Estado,
evidentemente esa actuación es atribuible al Estado.
En última instancia.
Habrá que ver si hay un contrato o no hay un contrato,
incluso si habiendo contrato el la empresa se ha excedido
en su actuación.
Si ha actuado como en Derecho,
decimos ultra vires entonces, el artículo 7,
de la, del informe de la comisión de derecho internacional.
También lo resuelven mecanismo jurídico,
sí que hay para hacer frente a esta cuestión.
De acuerdo?
Entonces, si es una empresa la que actúa en nombre del Estado,
sí que tenemos fórmulas para hacer frente a esa cuestión,
y la última cuestión era la relativa a los dominios.
Bien, yo sé que la optan ha venido a aclarar que el ciberespacio
es el quinto dominio, no es,
pero desde el punto de vista de un jurista esto no aporta mucho,
porque nosotros,
desde el derecho internacional nosotros creemos
que el derecho internacional general es aplicable siempre y en todo lugar
y en todos los espacios, el derecho internacionales,
tecnológicamente neutro, las soluciones que nosotros encontramos
en el derecho internacional son aplicables
en todos los lugares físicos y en los no físicos los virtuales
también el ciberespacio incluido luego por tanto el espectro
también es decir da igual donde esté lo que hace falta
es simplemente acomodar la norma a esa parcela física o virtual
en la que nos encontramos.
A veces la dificultad está en eso,
en adecuar la norma a ese nuevo sector de actividad humana,
pero no hay espacio.
En principio, no hay nada que impida.
Por defecto a defender que el derecho internacional
es aplicable siempre de acuerdo.
No hay tiempo para una última pregunta.
Sí?
El nuevo concepto estratégico del agotan mantiene
bueno, ya presenta como una de las posibilidades
de invocación del artículo quinto explícitamente.
Bueno, pues la respuesta de la otra en ante un ataque cibernético,
no que van a la vista de su presentación.
Qué valoración hace de eso en estos momentos?
Porque yo veo vería muchas dificultades
para poder invocarlo y hacer una respuesta.
No, muchas gracias por la pregunta.
Efectivamente, el artículo 5, yo jurídicamente hablando creo
que la otra no ha hecho bien en afirmar la.
La aplicabilidad del artículo cinco que pone en marcha
la defensa mutua del tratado de Guasch
y entonces con ocasión de un a ciberataque
que fuera equiparable a un ataque armado de acuerdo.
Esto hay que decirlo, primero porque manda una señal
y decir.
A todo el que quiera escucharla en el sentido de nosotros
estamos dispuestos a llevar a cabo esta actuación.
Una vez que se produzca un ciberataque que sea equiparable
a un ataque armado, yo creo que es correcto,
incluso jurídicamente es correcta esa afirmación.
Otra cosa es que sea, digamos, un problema cotidiano.
De acuerdo,
un ciberataque que alcance el umbral de ataque armado es difícil,
no se ha producido nunca, y ojalá no se produzca,
porque estaríamos en una situación complicada,
en el sentido de que sería la primera vez en que se invoca el artículo
cinco por tanto también el artículo 51 de la Carta de Naciones Unidas,
con ocasión de un ciberataque que sea difícil
desde el punto de vista de la práctica de,
de lo que cotidianamente observamos en los últimos años
dentro de las actividades maliciosas en el ciberespacio y con origen
en las actuaciones estatales que sea difícil.
La concreción material de ese evento no significa que jurídicamente
no se pudiera argumentar llegado el caso,
porque efectivamente se podría argumentar.
Llegado el caso, de acuerdo?
Supongamos que un ciberataque, efectivamente.
Supongamos que pasa, que ahora estamos,
iba a poner un ejemplo con con ocasión del de la guerra
o de la invasión de Ucrania por parte de Rusia,
pero mejor no hacerlo,
porque aquí estaríamos ya en una dinámica de aplicación
del derecho internacional humanitario.
Pero supongo que, efectivamente, en un escenario de paz
como es el actual,
pues yo que sé China llevó a cabo una actuación efectivamente,
sobre la base de un ciberataque que ocasiona,
efectivamente, pérdida de vidas; supongamos que en el estrecho
de Taiwán que ahora estamos todos los días
viendo a ver qué pasa allí hay una situación en ese sentido.
Evidentemente se podría argumentar
que ese ciberataque alcanzado el umbral
de un ataque armado que ha ocasionado pérdidas de vidas humanas
o una destrucción física importante, y supongamos que sus genera yo,
que sé el hundimiento de un barco, lo que fuera,
evidentemente se podría aplicar y evidentemente también
sería argumentable jurídicamente la aplicación del artículo
cinco del tratado de guasilla,
o sea, que impecable desde el punto de vista jurídico,
si bien que esperemos no habitual en la práctica cotidiana
de los Estados acuerdo.
Antonio ha sido muy clarificante, la verdad,
aunque no sabemos si de verdad luego ha se va a poder aplicar
con realidad el en el ámbito jurídico con con éxito este tipo de acciones.
No cabe duda que la profundidad de tus estudios
sí que abre las puertas y el desarrollo que tenga,
abre el desarrollo para un futuro que seguramente
sea el objetivo final que se deben tener para esto,
que para nosotros bases siempre la nueva,
la nueva forma de guerra,
la nueva forma de ataque y la más habitual,
porque aunque no parezca cruenta
efectivamente sí que sí que afectará sensiblemente a,
como decíamos al principio, a organizaciones internacionales,
a empresas incluso a los particulares te agradecemos tu palabras,
agradecemos al general Frías la participación por parte del mando
de adiestramiento y doctrina del ejército,
y agradecemos su presencia, las preguntas que se han hecho
y esperemos que les ayudara, que les haya gustado.
Les había llenado, y verdaderamente haya abierto sus ojos
a un nuevo campo que en el futuro sin duda será muy importante también
por otra parte decir a Dios y agradecer la presencia
del personal que ha seguido.
La.
La presentación del libro de manera virtual,
a través de un, y les emplazamos a la próxima presentación
de libros que, sin duda, en breve tendremos de otros temas,
siempre muy interesantes y relacionados
con la paseo ebriedad, extensa y con el Instituto.
Muchas gracias.