La FCC retira sus reglas de ciberseguridad por presión de las operadoras
En un movimiento que ha despertado preocupación entre los expertos en ciberseguridad, la Comisión Federal de Comunicaciones (FCC) ha decidido dar marcha atrás en la normativa que obligaba a los proveedores de telecomunicaciones a proteger sus redes. Esta decisión, prevista para votarse en noviembre de 2025, responde directamente a la presión ejercida por los principales grupos de lobby de proveedores de Internet.
Un giro de 180 grados en la política de seguridad
La declaración original, adoptada en enero cuando los demócratas aún mantenían el control de la comisión, surgió como respuesta directa a los ataques cibernéticos procedentes de China, especialmente tras la infiltración «Salt Typhoon» que afectó a gigantes como Verizon y AT&T.
El presidente actual de la FCC, Brendan Carr, justifica esta marcha atrás argumentando que la normativa «excedía la autoridad de la agencia y no presentaba una respuesta efectiva o ágil a las amenazas de ciberseguridad relevantes». Según Carr, tras un «extenso compromiso de la FCC con las operadoras», estas ya han tomado «medidas sustanciales para fortalecer sus defensas».
Me pregunto si este argumento no os suena a cuando un adolescente promete a sus padres que limpiará su habitación «sin necesidad de reglas» porque «ya ha aprendido la lección». La historia nos dice que estas promesas voluntarias rara vez son suficientes cuando hay intereses económicos de por medio.
Lo que realmente estaba en juego
La resolución de enero establecía que, según la Ley de Asistencia a las Fuerzas del Orden en las Comunicaciones (CALEA) de 1994, las operadoras tenían «la obligación afirmativa de evitar el riesgo» de que equipos no confiables pudieran «activar ilegalmente interceptaciones u otras formas de vigilancia dentro de las instalaciones de conmutación del operador sin su conocimiento».
En términos más simples, la FCC estaba diciendo: «No basta con que tengáis cuidado con el equipo que compráis; también debéis gestionar correctamente vuestras redes para evitar espionaje no autorizado».
Medidas básicas que ahora serán opcionales
Aunque la resolución de enero no establecía reglas específicas, sí señalaba prácticas básicas que las operadoras deberían implementar:
- Control de acceso basado en roles
- Cambio de contraseñas predeterminadas
- Requisitos mínimos de fortaleza de contraseñas
- Autenticación multifactor
- Parcheo de vulnerabilidades conocidas
Estas medidas son el ABC de la ciberseguridad moderna. No estamos hablando de tecnologías avanzadas o costosas, sino de prácticas elementales que cualquier empresa responsable debería implementar por defecto.
La respuesta del sector: un rechazo frontal
Las operadoras de cable, fibra y móviles no tardaron en protestar. En febrero, asociaciones como CTIA, NCTA y USTelecom presentaron una petición argumentando que CALEA «solo obliga a los proveedores a facilitar interceptaciones legales de las fuerzas del orden» y que «la FCC carece de autoridad para promulgar estándares técnicos» bajo esta ley.
La verdad es que no me sorprende. Estas medidas de seguridad, aunque básicas, suponen inversión y mantenimiento. Y si algo conocemos del mundo corporativo es que cualquier gasto que no se traduzca directamente en ingresos suele verse como «prescindible».
¿Promesas voluntarias como sustituto de la regulación?
El borrador de la orden que se votará en noviembre indica que la FCC «rescindirá la resolución declaratoria por considerarla ilegal e innecesaria», argumentando que la interpretación de CALEA por parte de la comisión anterior era «legalmente errónea e ineficaz para promover la ciberseguridad».
La FCC actual parece confiar plenamente en las promesas voluntarias de las operadoras. Según el borrador, «los proveedores han acordado implementar controles adicionales de ciberseguridad para fortalecer sus redes», incluyendo parches acelerados, revisión de controles de acceso y mejora en la detección de amenazas.
Me gustaría creerlo, pero la historia de la autorregulación en sectores críticos no inspira precisamente confianza. ¿Recordáis cuando las aerolíneas prometían regular por sí mismas sus emisiones de carbono? ¿O cuando la industria financiera aseguró que podía controlar sus propios riesgos antes de 2008?
La interpretación legal en disputa
La ley establece que cada «operador de telecomunicaciones garantizará que cualquier interceptación de comunicaciones o acceso a información identificativa de llamadas efectuada dentro de sus instalaciones de conmutación pueda activarse únicamente de acuerdo con una orden judicial u otra autorización legal».
La anterior presidenta, Jessica Rosenworcel, defendía que esta redacción creaba una obligación afirmativa para las operadoras de prevenir interceptaciones no autorizadas. El actual liderazgo de la FCC argumenta que esta interpretación era excesiva, pues convertía una ley sobre escuchas legales en una obligación general de ciberseguridad.
Las consecuencias para nuestra seguridad digital
Esta marcha atrás tendrá implicaciones reales para millones de usuarios. Cuando una red de telecomunicaciones es vulnerable, no solo se comprometen datos empresariales; nuestras conversaciones privadas, ubicaciones, hábitos de navegación y datos financieros también quedan expuestos.
El ataque Salt Typhoon demostró que estas amenazas no son teóricas. Los atacantes comprometieron dispositivos como routers y switches explotando equipos obsoletos y componentes de red que carecían de protocolos básicos de ciberseguridad.
Un enfoque «colaborativo» con interrogantes
La FCC de Carr propone abordar la seguridad mediante un enfoque «colaborativo» a través de «asociaciones público-privadas». Suena bien en teoría, pero en la práctica, los enfoques voluntarios suelen diluirse cuando chocan con los intereses económicos.
Lo cierto es que estamos hablando de infraestructura crítica. Nuestras telecomunicaciones son tan esenciales como las carreteras o el suministro eléctrico. ¿Permitiríamos que cada empresa eléctrica decidiera voluntariamente qué medidas de seguridad implementar en sus centrales?
El equilibrio entre regulación e innovación
No todo es blanco o negro en este debate. La regulación excesivamente rígida puede, efectivamente, ralentizar la innovación o crear cargas desproporcionadas para empresas más pequeñas. Pero la ausencia de reglas claras en áreas críticas como la ciberseguridad deja demasiado margen para la interpretación y el incumplimiento.
El verdadero desafío está en encontrar un punto medio: regulaciones lo suficientemente flexibles para adaptarse a un panorama tecnológico cambiante, pero lo bastante firmes para garantizar que no se comprometa nuestra seguridad por ahorrar costes.
Mientras la FCC avanza hacia esta votación, queda por ver si el enfoque voluntario será suficiente ante las sofisticadas amenazas cibernéticas estatales que ya han demostrado su capacidad para penetrar nuestras redes de comunicación más críticas.
