La ciberseguridad bajo ataque: qué hay detrás de la orden ejecutiva de Trump
La ciberseguridad es uno de esos campos donde los avances y retrocesos pueden tener consecuencias monumentales. Y lo que estamos viendo actualmente en EE.UU. es, cuando menos, preocupante. El pasado 6 de junio de 2025, Donald Trump emitió una orden ejecutiva que desmantela varias medidas críticas de protección digital implementadas durante la administración Biden. Y no, no es una simple cuestión política: esto afecta directamente a cómo nos protegemos en el mundo digital.
¿Qué destruye exactamente esta orden ejecutiva?
Como especialista en ciberseguridad, me preocupa ver cómo se eliminan requisitos fundamentales que protegían tanto a agencias gubernamentales como, por extensión, a todos nosotros. Entre los elementos más alarmantes que ha eliminado esta orden se encuentran:
- La obligación de adoptar encriptación resistente a ataques cuánticos
- El marco de desarrollo de software seguro (SSDF) para productos usados por agencias federales
- La implementación de estándares de autenticación resistentes al phishing como WebAuthn
- Herramientas para proteger el enrutamiento de internet a través del Protocolo BGP
- El fomento de identidades digitales como método de verificación segura
Puede que suenen como simples tecnicismos, pero cada uno de estos elementos fue diseñado para prevenir desastres como el ataque SolarWinds de 2020, donde hackers vinculados al gobierno ruso comprometieron a más de 18.000 clientes, incluyendo departamentos federales críticos y gigantes tecnológicos como Microsoft, Intel y Cisco.
Pro-empresarial o anti-seguridad: la falsa dicotomía
La administración Trump justifica estos cambios alegando que las órdenes de Biden intentaban «colar temas problemáticos y distractores en la política de ciberseguridad». La realidad es que estamos ante un enfoque claramente pro-empresarial que prioriza la reducción de costes sobre la seguridad.
El caso del desarrollo de software seguro
El cambio más revelador está en cómo se aborda el marco SSDF. Bajo Biden, las empresas que vendían software crítico al gobierno tenían que proporcionar una auto-certificación firmada por un ejecutivo que garantizara el cumplimiento de estándares de seguridad. Trump ha eliminado este requisito y lo ha reemplazado por una simple «implementación de referencia» del NIST.
Como me comentaba un colega especializado en auditorías de seguridad: «Esto es como cambiar un control antidopaje obligatorio por un folleto que explica por qué no deberías doparte».
La consecuencia práctica es que ahora las organizaciones podrán marcar casillas sin realmente implementar las medidas de seguridad que habrían evitado brechas como la de SolarWinds.
La amenaza cuántica que nadie quiere afrontar
Otro retroceso significativo es la eliminación del requisito de adoptar algoritmos resistentes a los ataques cuánticos. Y no, no estoy hablando de ciencia ficción futurista.
El NIST lleva años desarrollando algoritmos post-cuánticos precisamente porque la computación cuántica avanzada podría romper la mayoría de los esquemas de cifrado actuales. Esta transición será uno de los mayores desafíos técnicos que enfrentaremos, y ahora, sin un mecanismo de aplicación, muchas organizaciones simplemente lo pospondrán hasta que sea demasiado tarde.
Como me dijo Alex Sharpe, con 30 años de experiencia en gobernanza de ciberseguridad: «Ahora que se eliminó el mecanismo de cumplimiento, muchas organizaciones serán menos propensas a ocuparse de esto». Y añadió algo que me parece certero: «Trump habla de la carga del cumplimiento. ¿Qué hay de la carga del incumplimiento?».
Las consecuencias menos visibles pero igual de graves
Examinar solo los titulares no cuenta toda la historia. Hay cambios que parecen menores pero que tienen implicaciones enormes:
La protección del BGP y la seguridad de internet
Se ha eliminado el lenguaje que declaraba vulnerable al Protocolo de Puerta de Enlace Fronteriza (BGP) y los requisitos para implementar métodos de seguridad como la Infraestructura de Clave Pública de Recursos. Esto puede sonar técnico, pero es fundamental: el BGP es como el sistema de señalización de carreteras de internet. Sin protecciones adecuadas, los ciberdelincuentes pueden secuestrar tráfico dirigido a bancos u otra infraestructura crítica.
Jake Williams, ex hacker de la NSA, lo definió perfectamente: «Eliminar los mensajes de seguridad de BGP es un regalo para los ISP, que saben que esto es un problema pero también saben que les costará caro arreglarlo».
Sanciones eliminadas para atacantes internos
En un movimiento sorprendente, la orden también prohíbe al Departamento del Tesoro sancionar a personas dentro de EE.UU. involucradas en ciberataques contra infraestructura estadounidense. La justificación oficial es prevenir el «mal uso contra oponentes políticos nacionales».
Sin embargo, esto crea un escenario peligroso donde los atacantes internos podrían operar con mayor impunidad. ¿Realmente queremos proporcionar este tipo de protección a quienes comprometan infraestructuras críticas desde dentro?
¿Qué significa esto para el futuro de la ciberseguridad?
Como profesional del sector, lo veo claro: estamos ante un retroceso considerable en nuestra postura de seguridad nacional. La filosofía de «menos regulación, más libertad empresarial» suena atractiva hasta que te enfrentas a un ataque masivo que podría haberse evitado.
El verdadero coste del «alivio regulatorio»
El argumento de reducir la carga regulatoria para las empresas ignora el coste astronómico de las brechas de seguridad. Solo el ataque de SolarWinds costó cientos de millones en daños directos, sin contar el impacto en seguridad nacional.
Esta orden ejecutiva está fundamentalmente desconectada de la realidad de las amenazas actuales. Mientras países como Rusia, China e Irán fortalecen sus capacidades ofensivas en el ciberespacio, EE.UU. decide voluntariamente bajar sus defensas.
La falsa dicotomía de seguridad vs. libertad
El error fundamental es presentar esto como una elección entre regulación excesiva y libertad empresarial, cuando en realidad necesitamos un enfoque balanceado basado en evidencias. Las protecciones que se han eliminado no eran caprichos burocráticos, sino respuestas directas a amenazas reales y documentadas.
Como me dijo un CISO de una empresa Fortune 500 que prefiere mantenerse anónimo: «No estamos hablando de formularios inútiles. Estamos hablando de medidas básicas de higiene digital que cualquier organización responsable debería implementar de todas formas».
La ciberseguridad no es un lujo ni un obstáculo para la innovación: es una necesidad existencial en el mundo digital. Y lo que estamos viendo es un peligroso paso atrás en nuestra capacidad colectiva para defendernos contra amenazas cada vez más sofisticadas.
Se puede estar a favor o en contra de determinadas políticas, pero cuando se trata de proteger nuestra infraestructura digital crítica, necesitamos decisiones basadas en la realidad tecnológica, no en ideologías. Y la realidad es que esta orden ejecutiva nos deja más vulnerables de lo que estábamos hace apenas unos días.
