El hackeo que nadie vio, los expertos que aplauden y los funcionarios responsables que siguen cómodamente en sus sillones

En Formosa acaba de ocurrir algo extraordinario. Un ataque informático habría puesto en jaque los sistemas digitales de distintos organismos públicos, numerosos portales quedaron fuera de servicio, otros comenzaron a funcionar a medias y una parte de la administración provincial entró en una especie de apagón tecnológico. Sin embargo, hay un pequeño inconveniente: los formoseños todavía no saben exactamente qué pasó.

El Gobierno de Gildo Insfrán denunció un hackeo. La noticia circuló, los portales desaparecieron, los servicios comenzaron a presentar dificultades y la explicación oficial quedó instalada como una verdad que nadie debería discutir. Pero entre denunciar un ataque informático y demostrar que efectivamente ocurrió existe una distancia que, en cualquier administración mínimamente transparente, debería ser obligatoria recorrer para dar por cierto solo una versión oficial.

No se trata de negar que haya existido un ataque. Tampoco de desconocer que los organismos públicos, las empresas y hasta los sistemas más sofisticados pueden ser víctimas de organizaciones criminales. Se trata de algo bastante más elemental: si el Gobierno asegura que fue hackeado, tiene la obligación de demostrar qué ocurrió y explicar por qué los ciudadanos deben aceptar que esa es la causa de la caída de los servicios públicos.

Porque apagar servidores, desconectar plataformas o suspender servicios puede ser una medida preventiva razonable ante una amenaza. Pero esa decisión no demuestra, por sí misma, que haya existido una intrusión consumada. Un intento de ataque, una vulnerabilidad detectada, una sospecha de acceso no autorizado y un hackeo efectivo son situaciones técnicamente diferentes. Y el Gobierno parece haberlas metido todas en la misma bolsa, esperando que nadie pregunte demasiado.

Pero la historia tiene otro capítulo que vuelve todavía más llamativa la secuencia.

Horas antes, el Poder Judicial de Formosa había decidido sacar de Internet su propia plataforma, invocando razones de vulnerabilidad informática. El sistema permaneció fuera de servicio durante días, mientras los usuarios quedaban privados de una herramienta que forma parte del funcionamiento cotidiano de la Justicia.

Tampoco en ese caso se conoció públicamente una explicación técnica suficientemente detallada que permitiera distinguir entre una actualización programada, una vulnerabilidad detectada, una amenaza concreta o un ataque consumado.

La coincidencia temporal merece explicaciones, no especulaciones. Dos estructuras fundamentales del Estado formoseño, el Poder Judicial y el Ejecutivo, con problemas de disponibilidad de sus plataformas digitales y con explicaciones vinculadas a la seguridad informática, pero sin una exhibición pública de evidencias que permita reconstruir con precisión lo sucedido.

Y hay otro detalle: mantener un sistema fuera de línea durante días no es, por sí mismo, una demostración de responsabilidad tecnológica. Existen procedimientos de mantenimiento, actualizaciones, respaldos, segmentación de redes y planes de contingencia que permiten intervenir infraestructuras digitales sin convertir cada inconveniente en una desaparición prolongada de los servicios.

Por supuesto, hay incidentes que justifican desconexiones prolongadas. Nadie que conozca mínimamente el funcionamiento de una infraestructura crítica podría sostener que todo se resuelve en un par de horas. Pero justamente por eso se necesitan explicaciones técnicas, cronogramas de recuperación y responsabilidades identificables.

En Formosa, por ahora, parece suficiente con bajar la persiana digital y esperar que los usuarios se acostumbren.

El segundo acto de esta puesta en escena es todavía más interesante: aparecen los especialistas para explicar lo bien que actuó el Gobierno.

Una de las emisoras que integra el circuito de medios con pauta oficial del insfranismo, presentó las declaraciones del licenciado en Ciberseguridad Mariano Kabakian, quien destacó la respuesta institucional de la provincia.

«Es un ejemplo de la manera en que actuaron, porque enseguida reconocieron el tema, publicaron información, dieron conocimiento y actuaron bastante rápido», sostuvo.

La afirmación merece ser examinada, porque contiene una valoración que va mucho más allá de la explicación técnica.

Kabakian podrá tener veinte años de experiencia en el sector, podrá conocer perfectamente cómo funcionan las amenazas informáticas y podrá explicar con solvencia los riesgos que representan los ciberdelincuentes. Pero una cosa es hablar de ciberseguridad en términos generales y otra muy distinta es certificar que una administración pública actuó correctamente frente a un incidente concreto.

Para eso hacen falta elementos técnicos.

Si no tuvo acceso a  información sobre los detalles, su opinión podrá ser una valoración personal sobre la comunicación pública del Gobierno, pero no una certificación técnica de la eficacia de la respuesta.

Y aquí aparece la operación comunicacional que merece una autopsia aparte: primero se instala un hecho cuya evidencia no se exhibe; después se convoca a un especialista para elogiar la reacción oficial; finalmente, la propaganda transforma ese elogio en una suerte de certificado de buena conducta para quienes administran los sistemas informáticos provinciales.

El problema no es que un especialista opine. El problema es presentar una opinión como si fuera una auditoría.

Porque el elogio se construye sobre una premisa que todavía necesita demostración: que hubo un ataque de determinadas características y que el Gobierno respondió de la mejor manera posible.

En cualquier empresa privada de cierta dimensión, un incidente de seguridad informática que paraliza servicios, compromete información o deja fuera de funcionamiento una infraestructura importante provoca una revisión interna. Se investigan las causas, se determina si hubo negligencia, se evalúan los protocolos y se identifican las responsabilidades. Si se comprueba que alguien incumplió sus obligaciones, puede perder su puesto. Si hubo fallas de gestión, alguien debe responder.

En Formosa, en cambio, parece funcionar una lógica bastante más confortable: los sistemas se caen, los ciudadanos se quedan sin servicios, el Gobierno anuncia un ataque, aparecen los elogios y los responsables de administrar semejante estructura continúan tranquilamente en sus oficinas.

Nadie parece tener que explicar nada. Nadie parece tener que rendir cuentas. Nadie parece correr el riesgo de perder su cargo.

Los funcionarios que deberían explicar cómo estaban protegidos los sistemas, qué mecanismos de prevención tenían implementados, cuándo se realizaron las últimas auditorías, cómo funcionaban los respaldos y por qué fue necesario sacar de servicio tantas plataformas siguen siendo parte del paisaje administrativo.

Y mientras tanto, el ciudadano paga.

Paga cuando no puede consultar un expediente, cuando no puede acceder a un trámite, cuando el IASEP funciona parcialmente, cuando una plataforma pública desaparece o cuando tiene que perder tiempo y dinero para resolver presencialmente aquello que debería poder gestionar desde una computadora o un teléfono.

Paga por la interrupción del servicio, por la desorganización y por una administración que parece descubrir la importancia de la seguridad informática recién cuando sus sistemas dejan de funcionar.

El Gobierno puede contratar especialistas, convocar consultores, organizar entrevistas y difundir explicaciones sobre las amenazas digitales. Pero hay una pregunta que ningún experto invitado a una radio puede responder en nombre de los funcionarios: ¿quién es responsable de que la infraestructura informática de la provincia haya llegado a esta situación?

Porque la ciberseguridad no consiste solamente en reaccionar cuando algo ocurre. Consiste, sobre todo, en prevenir, monitorear, actualizar, auditar, respaldar y tener planes de contingencia. Es un trabajo permanente, no una ceremonia de emergencia que comienza cuando desaparecen los portales.

Y si efectivamente hubo un ataque, la sociedad tiene derecho a conocer su magnitud. Si fue un intento de intrusión, también. Si se detectaron vulnerabilidades antes de que fueran explotadas, corresponde explicarlo. Y si hubo fallas de gestión, alguien debe hacerse cargo.

Lo mismo vale para el Poder Judicial, cuya autonomía institucional no lo exime de informar por qué su plataforma estuvo fuera de línea durante días y qué medidas concretas fueron necesarias para recuperarla.

En el modelo formoseño parece existir una nueva especialidad administrativa: cuando los sistemas funcionan, el mérito es del Gobierno; cuando dejan de funcionar, la culpa es de los hackers. Y cuando alguien pregunta por los responsables, aparecen los especialistas para explicar lo bien que se hizo todo.

Es una fórmula extraordinaria. No hay auditoría conocida, no hay informe técnico público, no hay responsables identificados, pero ya hay elogios.

En cualquier organización seria, primero se investiga el incidente y después se evalúa la respuesta. En Formosa parece que el orden se invirtió: primero se celebra la reacción y después, si alguien insiste demasiado, quizás se explique qué fue lo que pasó.

El hackeo, si existió, no puede convertirse en un salvoconducto para la incompetencia. Y mucho menos en una oportunidad para que los mismos funcionarios que deberían rendir cuentas se escondan detrás de una amenaza informática.

Porque los hackers pueden ser responsables de un ataque. Pero no pueden ser responsables de todo lo que una administración pública hizo, dejó de hacer o nunca explicó.

Y en Formosa, después de tantos años de gobierno, hay algo que ya no sorprende: cuando el Estado falla, siempre encuentra una explicación. Lo que nunca encuentra es un responsable.