Washington ha redescubierto las consecuencias. Simplemente no de manera consistente.

El 6 de marzo orden ejecutiva se basa en una idea simple y correcta: el fraude cibernético persiste porque es rentable, escalable y con demasiada frecuencia tolerado. Entonces la respuesta del gobierno es aumentar el costo. Más coordinación. Más perturbaciones. Más procesamientos. Más presión diplomática sobre los estados que acogen estas operaciones.

Bien.

Pero hace semanas, un memorando de la OMB anuló memorandos federales anteriores sobre la cadena de suministro de software emitidos durante la administración Biden. En la práctica, eso se alejó del modelo anterior centrado en la certificación e hizo que herramientas como el Formulario de certificación de desarrollo de software seguro y las solicitudes SBOM fueran opciones opcionales en lugar de expectativas duraderas.

Dicho claramente, nos estamos volviendo más duros con las personas que explotan los sistemas digitales y al mismo tiempo nos estamos volviendo más suaves con las condiciones que hacen que esos sistemas sean tan fáciles de explotar.

La orden ejecutiva acierta en algo importante. El fraude cibernético no es una colección de molestias aleatorias en línea. Es una forma industrializada de depredación: ransomware, phishing, suplantación de identidad, sextorsión y fraude financiero que se ejecuta como modelos de negocios repetibles, a menudo transnacionales y a veces protegidos por estados permisivos. La orden responde con una postura federal más centralizada basada en la disrupción, la coordinación, el intercambio de inteligencia, el procesamiento, la resiliencia y la presión internacional.

Eso es direccionalmente correcto. Los ecosistemas criminales no retroceden porque publiquemos mejores orientaciones. Se retiran cuando aumenta el costo de hacer negocios.

Pero luego llegamos al software.

La crítica al antiguo régimen federal de garantía no es del todo errónea. El cumplimiento puede convertirse en teatro. Las burocracias son muy buenas para convertir objetivos de seguridad legítimos en rituales de recopilación de formularios y gestión de casillas de verificación. Se justificaba cierto escepticismo. La OMB lo dice explícitamente, argumentando que el modelo anterior se volvió oneroso y priorizaba el cumplimiento sobre la inversión genuina en seguridad.

Aún así, el fracaso del mal cumplimiento no es prueba de que la rendición de cuentas en sí fuera el problema.

Ahí es donde se rompe la lógica. La administración está claramente dispuesta a creer que los actores criminales responden a la disuasión. Está dispuesto a utilizar procesamientos, sanciones, restricciones de visas y presión coordinada en sentido descendente. Pero aguas arriba, donde la tecnología insegura da forma al terreno que explotan esos delincuentes, la teoría cambia repentinamente. Allí se nos dice que confiemos en la discreción. Juicio local. Decisiones flexibles y basadas en riesgos.

A veces eso es sabiduría. A menudo es simplemente una forma más elegante de decir que nadie quiere un requisito estricto.

Por eso también mi posición no ha cambiado. en un publicación que escribí en 2024sostuve que la industria no necesitaba expectativas más suaves ni otra ronda de estímulo cortés. Se necesitaban acciones más concretas y consecuencias lo suficientemente fuertes como para cambiar los incentivos. El problema nunca fue que exigiéramos demasiada responsabilidad. El problema era que el software inseguro seguía siendo demasiado barato para distribuirse.

Ésa es la cuestión más profunda. El cibercrimen a gran escala no prospera sólo porque existan delincuentes. Prospera porque el medio ambiente los recompensa. Los sistemas de identidad débiles, el software frágil, las cadenas de dependencia en expansión, la mala visibilidad y la rendición de cuentas difusa hacen que la depredación sea más barata. Las personas que conllevan riesgos evitables rara vez absorben el costo total del mismo. Todos los demás lo hacen.

Así que estas dos medidas políticas, tomadas en conjunto, revelan algo incómodo. El gobierno parece creer en las consecuencias para los ciberdelincuentes, pero no del todo en las consecuencias para una producción insegura. Quiere disuasión para el estafador, pero discreción para el proveedor.

Una estrategia cibernética coherente lograría ambas cosas. Interrumpiría agresivamente las redes criminales y también crearía una presión significativa para una producción y adquisición seguras desde el diseño. Reconocería que castigar a los atacantes es importante, pero también lo es cambiar el terreno que sigue haciendo que el ataque sea rentable.

La administración tiene razón en una cosa: el cibercrimen no disminuirá hasta que aumenten los costos de la depredación.

La pregunta sin respuesta es por qué esa lógica debería detenerse en el borde del centro de estafa.

Brian Fox es el cofundador y director de tecnología de Sonatype.