Seguridad como identidad frente a seguridad como robustez

El ingeniero de seguridad Adrian Colyer distingue dos perfiles profesionales en el lado defensivo de la ciberseguridad. El primero, la 'Seguridad como Identidad', construye su imagen alrededor del arquetipo del hacker: descubrir lo inesperado, revelar fallos espectaculares y reforzar una subcultura con raíces en el phone phreaking y el cine de los años noventa, y que hoy reúne a unas 25.000 personas en DEF CON. El problema, argumenta Colyer, es que esa identidad tiende a rechazar soluciones que, siendo efectivas, no encajan con la imagen de 'detective' o 'cazador de vulnerabilidades'. Pone como ejemplo el movimiento ambientalista estadounidense de los años 2000, que durante dos décadas minusvaloró propuestas tecnológicas como la energía solar, las baterías y los coches eléctricos por no encajar con su relato, aunque esas tecnologías fueron las que más redujeron las emisiones. Trasladado a la seguridad, esto se traduce en parches reactivos sobre vulnerabilidades puntuales, lo que Colyer describe como 'jugar al whack-a-mole'. Frente a este perfil, propone la 'Seguridad como Robustez', centrada en diseñar sistemas correctos que preserven sus propiedades ante fallos, errores de borde y ataques. Para ilustrarlo, analiza los programas de recompensas por vulnerabilidades (bug bounties): cuando se limitan a contar fallos parcheados, incentivan la dinámica del whack-a-mole. Cuando, en cambio, se usan como insumo estratégico —información sobre tipos de vulnerabilidades, ubicaciones en el producto y equipos responsables— permiten construir hojas de ruta hacia productos donde los fallos sean raros. Los cazadores de bugs, recuerda, responden a incentivos: ajustar reglas y recompensas del programa permite validar hipótesis y orientar prioridades, porque lo que buscan no está constreñido por las creencias internas del equipo. Asegurar algo, concluye, sigue siendo responsabilidad del diseño, no del parche.