Las empresas japonesas se enfrentan cada vez más a ataques de ciberdelincuentes y el gobierno está dispuesto a intervenir y coordinar un enfoque más agresivo de la ciberdefensa. El gobierno de Kishida quiere fortalecer las capacidades de ciberdefensa de Japón mediante el establecimiento de un «sistema activo de ciberdefensa» que monitoree el ciberespacio y tome medidas preventivas para neutralizar un ataque antes de que se intensifique.
Sin embargo, el ambicioso plan para asegurar el ciberespacio se está debatiendo por cuestiones de vigilancia gubernamental, protección de datos y protección de la información personal de posibles abusos de poder.
Las medidas de ciberdefensa de Japón están en el punto de mira tras una serie de ciberataques a empresas. El sitio japonés de vídeos de noticias Nico Nico se ha convertido en la última empresa en cerrar su sitio web debido a un presunto ciberataque. El daño se ha extendido a varias plataformas de entretenimiento y comercio electrónico propiedad de la empresa matriz Kadokawa, cuyas acciones en la Bolsa de Tokio cayeron temporalmente un 4 por ciento esta semana. Kadokawa dice que la investigación sobre el cierre actual continúa con la ayuda de expertos y la policía.
El cibercrimen en Japón va en aumento. El número de ataques se ha multiplicado por 35 en los últimos 10 años. Un tipo de delito cibernético son los ataques distribuidos de denegación de servicio, o DDoS, en los que los atacantes bloquean sitios web que inundan un servidor con tráfico de Internet para impedir que los usuarios accedan al sitio web. El número de ataques DDoS reportados a las autoridades ha aumentado casi 15 veces en comparación con el año anterior.
El gobierno ha clasificado la ciberdefensa como una cuestión de seguridad nacional porque los ciberataques pueden amenazar infraestructuras críticas como las telecomunicaciones, la red eléctrica, la atención sanitaria, los pagos sin efectivo y el teletrabajo. Empresas conocidas como Mitsubishi Heavy Industries, que tiene contratos de defensa con el gobierno, y el puerto de Nagoya, el mayor puerto de Japón, han sido víctimas de ciberataques a gran escala. El año pasado, un ataque de ransomware en el puerto de Nagoya paralizó la logística de mercancías durante tres días. La agencia de ciberseguridad del gobierno, el Centro Nacional de Preparación para Incidentes y Estrategia para la Ciberseguridad (NISC), también confirmó públicamente una violación de seguridad.
La semana pasada, el Primer Ministro Kishida Fumio ordenó al Ministerio de Transformación Digital dirigido por Kono Taro que redactara una legislación para el planeado “sistema activo de ciberdefensa”. Kono pidió a un panel de expertos que se reuniera durante varios meses e informara sobre los resultados de la discusión.
Kishida dijo que quería alinear a Japón con Estados Unidos y Gran Bretaña, que ya han adoptado defensas cibernéticas activas. El sistema planeado por el gobierno requerirá inicialmente compartir información con proveedores de telecomunicaciones privados para identificar servidores sospechosos de ser la fuente de los ataques. Luego se pretende penetrar en los servidores y neutralizarlos antes de que lleven a cabo el ataque. Está diseñado para detectar signos de un ataque observando cambios en el volumen de comunicación y enviando un contravirus para neutralizar el ataque.
El sistema de “defensa activa” requiere una revisión varias leyes existentes en materia de comunicaciones, protección de datos y ciberdelincuencia. El panel de expertos señaló que la formulación de un marco legal debe ser consistente con el artículo 21 de la Constitución, que garantiza el “secreto de las comunicaciones”. Además, la Ley de Acceso No Autorizado a Computadoras prohíbe el uso de malware para penetrar en redes, sistemas y servidores y prevé penas de prisión y multas por infracciones.
También está la cuestión legal de si a las empresas privadas que son víctimas de ataques cibernéticos se les puede exigir legalmente que informen sobre los delitos cibernéticos al gobierno. Los expertos dicen que la falta de requisitos de presentación de informes ha llevado a que las empresas en general eviten revelar públicamente los ciberataques por vergüenza. Esto también ha retrasado el intercambio de información entre organizaciones sobre ciberataques, lo que ha resultado en una falta de progreso en la comprensión de los patrones y técnicas comunes en los ciberataques, un paso necesario en el desarrollo de contramedidas. Un desafío importante para el gobierno será consolidar la información sobre delitos cibernéticos fortaleciendo la comunicación y la cooperación público-privadas.
El Reino Unido y Estados Unidos han creado organismos independientes de ciberdefensa. El gobierno japonés dice que está explorando la creación de un regulador independiente que sería responsable de garantizar que el gobierno solo recopile información relevante destinada únicamente a fines de ciberseguridad. Los expertos sostienen que la vigilancia debería limitarse principalmente a las comunicaciones desde el extranjero, ya que Japón enfrenta crecientes amenazas cibernéticas por parte de piratas informáticos de Rusia, China y Corea del Norte.
Se espera que el proyecto de ley se presente al Parlamento durante la próxima sesión extraordinaria en otoño. Sin embargo, el momento depende de los resultados del debate de expertos.