La informática en la Defensa Nacional uruguaya

1. Introducción

La incorporación de la informática a la Defensa Nacional no consiste únicamente en digitalizar expedientes, instalar redes internas o utilizar computadoras para administrar personal y recursos. En el ámbito militar, la informática se ha convertido en una capacidad estratégica, porque condiciona la posibilidad misma de observar el entorno, comunicarse, ejercer el mando, obtener inteligencia, movilizar unidades, proteger infraestructuras y responder frente a una agresión.

Una fuerza militar contemporánea puede disponer de efectivos, vehículos, aeronaves, buques, sensores y armamento y, sin embargo, quedar operacionalmente neutralizada si pierde sus comunicaciones, sus sistemas de mando y control, la información sobre la situación operacional, sus capacidades de navegación, sus redes logísticas, sus bases de datos, la integridad de sus órdenes o el acceso a sus sistemas de vigilancia.

La informática no es un apoyo externo a la actividad militar: es una dimensión interna del poder militar moderno.

En Uruguay, esta conclusión posee respaldo normativo. La Política de Defensa Nacional 2020-2025 consideró interés nacional vital la integridad territorial, marítima, aeroespacial y del ciberespacio; definió como objetivo estratégico mantener la integridad de ese dominio; identificó como amenaza la violación de la soberanía ciberespacial y dispuso avanzar en capacidades conjuntas de ciberdefensa.

La Estrategia Nacional de Ciberseguridad 2024-2030 profundizó esa orientación al establecer que Uruguay debe prepararse para responder a eventos sistémicos derivados de ciberataques y desarrollar una ciberdefensa nacional basada en prevención, detección temprana, respuesta coordinada, resiliencia y capacitación de las Fuerzas Armadas.

2. Defensa Nacional, defensa militar, ciberseguridad y ciberdefensa

La Ley N.º 18.650 define la Defensa Nacional como el conjunto de actividades civiles y militares dirigidas a preservar la soberanía, la independencia, la integridad territorial, los recursos estratégicos y la paz de la República, contribuyendo además al bienestar presente y futuro de la población.

La Defensa Nacional es más amplia que la defensa militar. Comprende conducción política, diplomacia, inteligencia estratégica, protección civil, seguridad de infraestructuras críticas, planificación económica, preparación sanitaria, comunicaciones, continuidad institucional y capacidades militares.

La ciberdefensa puede incluir capacidades:

• preventivas;
• de vigilancia y alerta;
• de inteligencia y contrainteligencia;
• de protección, detección y respuesta;
• de recuperación y continuidad;
• de apoyo a operaciones militares;
• de producción de efectos cibernéticos autorizados.

La ciberseguridad protege sistemas. La ciberdefensa protege, mediante capacidades cibernéticas, los intereses esenciales de la Defensa Nacional.

3. El ciberespacio como dominio operacional

La doctrina militar contemporánea utiliza el concepto de dominio operacional para identificar espacios en los cuales pueden desarrollarse acciones relevantes para una campaña. Tradicionalmente se reconocían los dominios terrestre, marítimo, aéreo y espacial. A ellos se incorporó el ciberespacio.

3.1. Capa física

Comprende cables, antenas, estaciones, servidores, centros de datos, satélites, dispositivos, sensores, sistemas de comunicaciones, equipos de red e infraestructura eléctrica.

3.2. Capa lógica

Incluye sistemas operativos, protocolos, programas, direcciones, configuraciones, bases de datos, identidades digitales, servicios, redes virtuales y algoritmos.

3.3. Capa humana

Comprende usuarios, administradores, operadores, programadores, analistas, autoridades, proveedores, adversarios y organizaciones. Muchos incidentes no se producen por una vulnerabilidad sofisticada, sino por errores de configuración, engaño, negligencia, abuso de privilegios o incumplimiento de procedimientos.

El ciberespacio se conecta con todos los demás dominios. Una operación cibernética puede impedir el despegue de una aeronave, desorientar una embarcación, alterar información de radar, interrumpir comunicaciones terrestres, afectar un satélite, paralizar una cadena logística o provocar daños físicos mediante sistemas industriales.

4. La doctrina militar y el poder de decisión

La doctrina militar es el conjunto sistematizado de principios, conceptos y criterios que orienta la preparación y el empleo del instrumento militar. Define cómo se interpreta una amenaza, cómo se organiza una fuerza, cómo se distribuye la autoridad, cómo se planifican operaciones y cómo se integran capacidades.

En Uruguay, el Estado Mayor de la Defensa tiene cometidos relacionados con la elaboración doctrinaria, las reglas de enfrentamiento, la planificación de operaciones conjuntas, la valoración de escenarios estratégicos, la logística, los sistemas de comunicaciones, las nuevas tecnologías y la inteligencia militar.

4.1. Superioridad de información

Una fuerza posee superioridad de información cuando puede obtener, verificar, procesar, compartir y proteger información relevante y convertirla en decisiones antes que el adversario.

4.2. Superioridad de decisión

El objetivo militar no es acumular datos, sino decidir mejor y más rápido. Una ventaja de decisión existe cuando el mando comprende la situación, identifica cambios, evalúa alternativas, transmite órdenes confiables, supervisa su ejecución y adapta el plan antes que el adversario.

5. Ciclo de decisión militar y sistemas C4ISR

Una representación clásica del ciclo de decisión militar comprende:

1. Observar: recopilar información mediante radares, sensores, drones, inteligencia y vigilancia.
2. Orientar: interpretar el contexto, las capacidades, intenciones y restricciones jurídicas.
3. Decidir: seleccionar un curso de acción.
4. Actuar: transmitir la orden y ejecutarla.

Un ciberataque puede dirigirse contra cualquiera de esas etapas: cegar sensores, introducir información falsa, retrasar comunicaciones, suplantar al mando, alterar una orden o impedir su ejecución.

5.1. Arquitecturas C4ISR

La sigla C4ISR comprende:

• Command: mando;
• Control: control;
• Communications: comunicaciones;
• Computers: sistemas informáticos;
• Intelligence: inteligencia;
• Surveillance: vigilancia;
• Reconnaissance: reconocimiento.

Estos sistemas integran posición de unidades, estado de aeronaves y buques, información meteorológica, disponibilidad de combustible, imágenes aéreas, alertas, datos de radar, cartografía, inteligencia y estado de comunicaciones.

5.2. Centralización y resiliencia

Una arquitectura excesivamente centralizada puede ser eficiente en condiciones normales, pero frágil en una crisis. Si todas las unidades dependen de un único centro de datos, una única red o un único proveedor, la neutralización de ese punto puede afectar a toda la fuerza.

5.3. Mando por misión

Una doctrina resiliente debe permitir que los subordinados comprendan la intención del superior, el objetivo operacional, los límites jurídicos y las prioridades, de forma que puedan continuar actuando cuando se pierden las comunicaciones.

6. Planificación militar por capacidades

La planificación por capacidades no comienza preguntando qué enemigo concreto atacará, sino qué efectos debe estar en condiciones de producir o impedir el Estado.

En ciberdefensa deben desarrollarse capacidades para:

• identificar activos esenciales;
• mantener vigilancia continua;
• detectar intrusiones;
• analizar código malicioso;
• aislar redes;
• conservar comunicaciones alternativas;
• responder a incidentes;
• recuperar sistemas;
• atribuir técnicamente operaciones;
• proteger sistemas industriales;
• sostener el mando bajo ataque;
• intercambiar información clasificada;
• apoyar operaciones conjuntas;
• evaluar jurídicamente las respuestas.

Cada capacidad requiere doctrina, organización, personal, instrucción, material, liderazgo, infraestructura, interoperabilidad y marco jurídico. Comprar software sin desarrollar los restantes componentes no genera una auténtica capacidad militar.

7. Operaciones cibernéticas defensivas y de efectos

7.1. Protección pasiva

Comprende segmentación, cifrado, autenticación, respaldos, control de accesos, actualización, redundancia, endurecimiento de sistemas, seguridad física y procedimientos.

7.2. Defensa activa dentro de sistemas autorizados

Puede incluir detección automatizada, bloqueo, aislamiento, análisis de comportamiento, desactivación de credenciales, contención de programas maliciosos y engaño defensivo dentro de redes propias.

7.3. Respuesta a incidentes

Incluye identificación, contención, erradicación, recuperación, documentación, preservación de evidencia, comunicación de crisis y aprendizaje posterior.

7.4. Operaciones de recuperación

La defensa eficaz no promete invulnerabilidad. Procura limitar el daño, conservar servicios esenciales, mantener modos alternativos de operación y recuperar rápidamente la capacidad.

7.5. Operaciones cibernéticas de efectos

Desde una perspectiva doctrinal, una fuerza militar puede desarrollar capacidades destinadas a negar, degradar, interrumpir, alterar o neutralizar funciones adversarias. Sin embargo, la existencia técnica de una capacidad no autoriza su empleo.

Toda operación de efectos externos requiere:

• competencia jurídica;
• autorización política;
• cadena de mando;
• objetivo definido;
• reglas de enfrentamiento;
• evaluación de efectos;
• análisis de proporcionalidad;
• protección de sistemas civiles;
• registro y asesoramiento jurídico.

7.6. Convergencia con la guerra electrónica

La guerra electrónica actúa sobre el espectro electromagnético; la operación cibernética actúa principalmente sobre software, redes, protocolos, datos, identidades y configuraciones. Ambas áreas convergen en sistemas como drones, comunicaciones, navegación, radares y enlaces de datos.

8. Uruguay como Estado digitalizado y dependiente de infraestructuras críticas

Uruguay posee una elevada dependencia de sistemas digitales para administración pública, identidad, telecomunicaciones, servicios financieros, energía, agua, transporte, salud, recaudación, seguridad social, logística y comercio exterior.

Esa digitalización genera eficiencia, pero también interdependencia. Un ataque contra un único proveedor puede afectar simultáneamente a numerosos organismos. Una interrupción prolongada de energía o telecomunicaciones puede repercutir sobre Fuerzas Armadas, policía, hospitales, puertos, aeropuertos, bancos, abastecimiento, centros de datos y servicios de emergencia.

8.1. Estrategia de un Estado pequeño

Uruguay no puede competir cuantitativamente con grandes potencias militares o tecnológicas. Su estrategia debe buscar ventajas cualitativas mediante formación especializada, cooperación internacional, desarrollo nacional de software, integración civil-militar y fortalecimiento de la resiliencia.

La estrategia debería apoyarse en cinco principios:

1. resiliencia antes que invulnerabilidad;
2. capacidad conjunta antes que fragmentación por Fuerza;
3. autonomía decisoria antes que aislamiento tecnológico;
4. cooperación internacional sin dependencia operacional absoluta;
5. legalidad y control democrático como componentes de eficacia.

8.2. Infraestructuras particularmente relevantes

• redes gubernamentales;
• sistemas de mando y control militar;
• radares y vigilancia marítima;
• navegación y control aéreo;
• puertos y aeropuertos;
• energía y combustibles;
• agua potable;
• centros de datos;
• identificación digital;
• sistema financiero;
• telecomunicaciones;
• salud y emergencias.

La protección exige coordinación entre el Ministerio de Defensa, el ESMADE, las Fuerzas Armadas, D-CSIRT, Agesic, CERTuy, el Ministerio del Interior, la inteligencia estratégica, las empresas públicas, los reguladores, el sector privado y la academia.

9. Marco constitucional y legal uruguayo

9.1. Conducción política y subordinación militar

La Constitución atribuye al Poder Ejecutivo el mando superior de todas las Fuerzas Armadas. La Asamblea General posee competencias relativas a la fuerza armada y a la declaración de guerra. La ciberdefensa debe permanecer sometida a dirección política civil, control democrático y responsabilidad identificable.

9.2. Ley Marco de Defensa Nacional N.º 18.650

La ley concibe la Defensa Nacional como actividad integral y atribuye a las Fuerzas Armadas la ejecución de sus actividades militares. También reserva el recurso al uso de la fuerza para los casos de agresión militar, sin perjuicio de las medidas preventivas y disuasorias.

9.3. Ley Orgánica de las Fuerzas Armadas N.º 19.775

La organización y despliegue de las Fuerzas Armadas deben permitir el cumplimiento eficaz de sus misiones dentro de la Constitución y las leyes. La capacidad informática debe organizarse con mando definido, personal calificado, doctrina, recursos, responsabilidades y auditoría.

9.4. Política de Defensa Nacional y Estrategia de Ciberseguridad

La Política de Defensa Nacional 2020-2025 reconoció la soberanía ciberespacial, la necesidad de capacidades conjuntas, los ejercicios de mando y comunicaciones y la protección de infraestructuras críticas. La Estrategia Nacional de Ciberseguridad 2024-2030 prevé fortalecer el D-CSIRT, capacitar a las Fuerzas Armadas y analizar una estructura conjunta de ciberdefensa.

9.5. D-CSIRT, CERTuy y coordinación institucional

El D-CSIRT fue creado por el Decreto N.º 36/015 para gestionar incidentes en el ámbito de Defensa, coordinar respuestas, mitigar impactos, analizar riesgos y colaborar con CERTuy.

9.6. Inteligencia de Estado

La Ley N.º 19.696 regula el Sistema Nacional de Inteligencia de Estado. La recolección y procesamiento de información deben sujetarse a competencia legal, finalidad, necesidad, proporcionalidad, control y prohibición de persecución ideológica o partidaria.

9.7. Protección de datos personales

La Ley N.º 18.331 mantiene relevancia en ámbitos de defensa, seguridad e inteligencia. La finalidad de defensa no elimina toda protección jurídica. Deben existir finalidad legítima, acceso limitado, seguridad, conservación controlada, trazabilidad y responsabilidad funcional.

9.8. Acceso a la información y secreto

La Ley N.º 18.381 permite reservar información cuya difusión comprometa la Defensa Nacional, pero no autoriza a declarar secreta toda la actividad informática militar. Debe distinguirse entre doctrina pública, presupuesto controlable, vulnerabilidades restringidas, planes operacionales y fuentes de inteligencia.

9.9. Documentos y firmas electrónicas

La Ley N.º 18.600 reconoce eficacia jurídica a documentos y firmas electrónicas. En el ámbito militar son esenciales la autenticidad de órdenes, la integridad, el sellado de tiempo, la identificación del emisor, la conservación y la trazabilidad.

9.10. Ciberdelincuencia

La Ley N.º 20.327 estableció normas para la prevención y represión de la ciberdelincuencia. Sin embargo, un ataque contra la Defensa Nacional puede constituir simultáneamente ciberdelito, espionaje, sabotaje, operación militar, terrorismo o actividad atribuible a un Estado.

10. La necesidad de distinguir categorías jurídicas

La expresión ciberataque se utiliza en informática de forma muy amplia. Jurídicamente deben distinguirse varios niveles:

Estas categorías no son sinónimas. Un mismo hecho puede integrar varias, pero no necesariamente todas.

10.1. Ciberdelito

Un ransomware ejecutado por una organización criminal puede constituir un delito grave y producir una emergencia nacional, pero no transforma automáticamente a sus autores en fuerzas armadas extranjeras.

10.2. Ciberespionaje

El acceso destinado exclusivamente a obtener planes, comunicaciones o datos militares puede ser una actividad hostil, una violación de soberanía y una conducta delictiva, pero normalmente no constituye por sí solo un ataque armado.

10.3. Intervención ilícita

Una operación puede violar el principio de no intervención cuando busca coaccionar al Estado en materias soberanas, por ejemplo manipular coercitivamente un proceso electoral, impedir el funcionamiento de instituciones o paralizar servicios para imponer una decisión política.

11. Ciberoperación como uso de la fuerza y ataque armado

11.1. Uso de la fuerza

El artículo 2.4 de la Carta de las Naciones Unidas prohíbe la amenaza o el uso de la fuerza contra la integridad territorial o la independencia política de los Estados. El Derecho Internacional se aplica también a las actividades estatales en el ciberespacio.

Los indicadores relevantes para determinar si existe uso de la fuerza incluyen:

• muertes o lesiones;
• destrucción o daño físico;
• interrupción prolongada;
• extensión territorial;
• número de personas afectadas;
• pérdida de capacidad militar;
• impacto sobre servicios esenciales;
• gravedad económica;
• duración y reversibilidad;
• carácter invasivo y finalidad coercitiva.

11.2. Ataque armado

El artículo 51 de la Carta reconoce el derecho de legítima defensa individual o colectiva cuando se produce un ataque armado. Todo ataque armado constituye uso de la fuerza, pero no todo uso de la fuerza alcanza la gravedad necesaria para ser ataque armado.

Podría configurar ataque armado una operación estatal que:

• provoque muertes mediante manipulación de sistemas;
• destruya instalaciones militares;
• cause la caída de aeronaves;
• produzca una interrupción nacional prolongada de energía con graves consecuencias;
• inutilice de forma extensa el mando militar durante una crisis;
• cause inundaciones, incendios o explosiones;
• paralice sistémicamente servicios esenciales con efectos humanos graves.

Normalmente no alcanzarían ese umbral:

• alteración temporal de una página web;
• robo de información sin daño;
• interrupción breve de un servicio no esencial;
• propaganda o desinformación aislada;
• espionaje sin efectos destructivos;
• accesos exploratorios;
• fraude económico común.

11.3. Agresión militar en el derecho uruguayo

La expresión “agresión militar” utilizada por la Ley N.º 18.650 debe interpretarse de forma material y no exclusivamente instrumental. Una operación informática puede constituir agresión militar cuando sea atribuible a un Estado o actor controlado por él, persiga una finalidad militar o estratégica, posea gravedad suficiente y afecte soberanía, independencia, integridad territorial, Fuerzas Armadas, recursos estratégicos o continuidad institucional.

11.4. Ataque combinado

El supuesto más claro se produce cuando la operación cibernética acompaña una acción convencional. Si se interrumpen radares, se degradan comunicaciones militares y simultáneamente ingresan aeronaves, buques o tropas extranjeras, la ciberoperación integra inequívocamente el ataque armado general.

11.5. Ataque exclusivamente cibernético

También una operación exclusivamente digital puede constituir ataque armado cuando su escala y efectos sean equivalentes a los de una operación militar convencional grave.

Una operación cibernética puede constituir ataque armado cuando su escala y efectos sean comparables con los de una operación militar convencional que indudablemente sería calificada como ataque armado.

11.6. Pérdida de funcionalidad sin daño físico

Uno de los debates centrales consiste en determinar si inutilizar un sistema sin destruir físicamente sus componentes constituye un ataque. La respuesta debe considerar la duración, extensión, criticidad, posibilidad de sustitución, consecuencias humanas y capacidad militar perdida.

Una indisponibilidad de pocos minutos no equivale a neutralización estratégica. Una paralización nacional prolongada, aunque no queme los equipos, puede producir efectos equivalentes a un ataque material.

11.7. Acto de agresión

Una operación cibernética de efectos equivalentes a un bombardeo, bloqueo o ataque contra fuerzas armadas podría conceptualizarse como acto de agresión. No obstante, la calificación penal individual como crimen de agresión exige un umbral especialmente elevado y presenta mayores incertidumbres.

12. El concepto de ataque en el Derecho Internacional Humanitario

Debe distinguirse el “ataque armado” del artículo 51 de la Carta del “ataque” en el Derecho Internacional Humanitario. El primero determina si puede ejercerse legítima defensa. El segundo refiere a actos de violencia contra el adversario durante un conflicto armado.

El Derecho Internacional Humanitario se aplica a las operaciones cibernéticas realizadas en el contexto de un conflicto armado. El uso de software no crea una zona exenta de derecho.

12.1. Distinción

Las operaciones deben dirigirse contra objetivos militares. En el ciberespacio, la distinción es compleja porque una misma infraestructura puede servir simultáneamente a la población, empresas, gobierno y Fuerzas Armadas.

12.2. Proporcionalidad

Está prohibido ejecutar un ataque cuando pueda esperarse que cause daños incidentales excesivos en relación con la ventaja militar concreta y directa prevista.

En una operación cibernética deben estimarse:

• población afectada;
• duración de la interrupción;
• hospitales conectados;
• servicios de agua;
• transporte;
• comunicaciones de emergencia;
• sistemas financieros;
• efectos acumulativos;
• propagación del programa;
• dependencias externas.

12.3. Precauciones

El atacante debe verificar el objetivo, seleccionar el medio menos dañino, limitar la propagación, permitir la reversibilidad, suspender la operación si cambian las condiciones y evitar afectar servicios protegidos.

12.4. Protección de datos civiles

La destrucción de historias clínicas, registros de propiedad, datos bancarios, listas electorales o identidades digitales puede producir consecuencias sociales gravísimas. Una doctrina uruguaya prudente debería reconocer protección reforzada a los datos civiles esenciales.

13. Atribución del ciberataque

Identificar el origen técnico no equivale a atribuir jurídicamente la operación a un Estado. La atribución posee varias dimensiones.

13.1. Atribución técnica

Examina infraestructura, herramientas, direcciones, código, patrones, servidores, horarios y comportamiento.

13.2. Atribución operacional

Reconstruye la campaña, sus objetivos, fases, persistencia, técnicas y coordinación.

13.3. Atribución de inteligencia

Evalúa motivación, capacidad, antecedentes, relaciones, beneficiarios e información clasificada.

13.4. Atribución jurídica y política

Determina si la conducta puede imputarse a un Estado, órgano estatal, grupo controlado, organización no estatal o persona.

Cuanto más grave sea la respuesta prevista, más sólido debe ser el fundamento de atribución. No debería utilizarse fuerza militar basándose exclusivamente en similitud de código, ubicación aparente, afirmaciones anónimas o conveniencia política.

14. Respuestas jurídicamente disponibles

14.1. Incidentes por debajo del uso de la fuerza

Uruguay puede recurrir a:

• medidas técnicas defensivas;
• investigación penal;
• cooperación internacional;
• sanciones administrativas;
• protesta diplomática;
• restricciones y retorsiones lícitas;
• denuncia pública;
• fortalecimiento de sistemas;
• contramedidas no armadas, cuando corresponda.

14.2. Uso de la fuerza que no alcanza ataque armado

Si la operación constituye uso de la fuerza, pero no ataque armado, no queda automáticamente habilitada una respuesta armada. Pueden corresponder acciones diplomáticas, medidas defensivas, contramedidas no armadas, actuación ante el Consejo de Seguridad y cooperación internacional.

14.3. Legítima defensa frente a ataque armado cibernético

Cuando el ataque alcance el umbral del artículo 51 de la Carta, Uruguay puede ejercer legítima defensa individual o solicitar legítima defensa colectiva. La respuesta debe cumplir necesidad, proporcionalidad, finalidad defensiva y comunicación al Consejo de Seguridad.

14.4. La respuesta no tiene que ser cibernética

El Derecho Internacional no exige identidad entre el medio del ataque y el medio de respuesta. Una agresión cibernética podría recibir una respuesta cibernética, electrónica, diplomática, económica o militar convencional, siempre que sea jurídicamente necesaria y proporcionada.

14.5. Competencias constitucionales uruguayas

En una crisis debe diferenciarse la defensa técnica inmediata, la respuesta operacional, el empleo de capacidades militares, la legítima defensa internacional y la eventual declaración formal de guerra. Las decisiones estratégicas deben permanecer bajo conducción política y control constitucional.

15. Matriz de escenarios y calificación probable

15.1. Ataque contra un radar militar

Si un Estado inutiliza temporalmente un radar uruguayo, la calificación dependerá de la duración, contexto, finalidad y consecuencias. Si se ejecuta para permitir el ingreso de aeronaves militares, integra una operación armada.

15.2. Ataque contra el sistema eléctrico

Una interrupción local breve normalmente no será ataque armado. Un apagón nacional prolongado que afecte hospitales, agua, comunicaciones, transporte, servicios de emergencia y Fuerzas Armadas podría constituir uso de la fuerza y, según su gravedad, ataque armado.

15.3. Ataque contra el sistema financiero

La pérdida económica aislada no equivale necesariamente a fuerza armada. Sin embargo, una operación que produzca colapso sistémico, imposibilidad prolongada de adquirir bienes esenciales y afectación severa del funcionamiento estatal podría acercarse al umbral del uso de la fuerza.

15.4. Ataque contra datos sanitarios

La destrucción masiva de historias clínicas puede impedir tratamientos, generar errores médicos y producir muertes. Aunque no exista destrucción física directa, sus consecuencias pueden ser equivalentes a las de un ataque convencional.

16. Inteligencia artificial aplicada a la defensa

La inteligencia artificial puede utilizarse para:

• detectar anomalías;
• analizar tráfico;
• clasificar alertas;
• reconocer patrones;
• procesar imágenes;
• priorizar incidentes;
• predecir fallas;
• asistir en logística;
• apoyar simulaciones y decisiones.

Sus riesgos incluyen:

• falsos positivos y falsos negativos;
• sesgo;
• opacidad;
• manipulación de datos;
• dependencia del proveedor;
• automatización excesiva;
• vulnerabilidad frente a entradas adversariales;
• dificultad para atribuir responsabilidad.

16.1. Control humano significativo

En decisiones que afecten vida, integridad, selección de objetivos, empleo de fuerza, servicios esenciales o escalada internacional debe existir intervención humana real. No basta una aprobación formal si el operador no comprende el sistema, no puede revisar sus datos ni detener la operación.

17. Propuestas doctrinales e institucionales para Uruguay

17.1. Nueva Política de Defensa Nacional

Debería actualizar expresamente ciberdefensa, inteligencia artificial, sistemas autónomos, computación en nube, guerra electrónica, infraestructura espacial, cadenas de suministro, desinformación y tecnologías emergentes.

17.2. Doctrina Nacional de Operaciones Cibernéticas

Debería contener una parte pública con definiciones, principios, competencias y controles, y anexos reservados con procedimientos técnicos, capacidades, planes y reglas operativas.

17.3. Comando Conjunto de Ciberdefensa

Una estructura conjunta debería integrar a las tres Fuerzas, coordinar con D-CSIRT, CERTuy y Agesic, desarrollar doctrina, realizar ejercicios, gestionar inteligencia de amenazas y asesorar al Poder Ejecutivo.

17.4. Reglas de enfrentamiento cibernéticas

Deben determinar quién autoriza, qué acciones pueden automatizarse, cuándo aislar redes, cómo preservar evidencia, cómo evitar daños civiles y cómo proceder cuando la infraestructura utilizada se encuentra en terceros Estados.

17.5. Asesoramiento jurídico operacional

Los abogados militares y especialistas en Derecho Internacional deben participar desde la planificación y no solamente después del incidente.

17.6. Reserva cibernética

Uruguay podría crear una reserva técnica con programadores, ingenieros, analistas, expertos en telecomunicaciones, especialistas industriales, criptógrafos, juristas y académicos.

17.7. Seguridad de la cadena de suministro

Toda adquisición crítica debería evaluar el origen del hardware, firmware, actualizaciones, subcontratistas, soporte, control de claves, ubicación de datos, posibilidad de auditoría y continuidad si desaparece el proveedor.

17.8. Continuidad operacional

Cada sistema crítico debe contar con planes de contingencia, respaldos, restauración probada, comunicaciones alternativas, procedimientos manuales, personal suplente, redundancia y ejercicios.

18. Conclusiones

18.1. Conclusión militar

La informática es una capacidad transversal del instrumento militar. Interviene en mando, control, comunicaciones, inteligencia, vigilancia, logística, entrenamiento, navegación, protección y operaciones conjuntas.

18.2. Conclusión doctrinal

La ciberdefensa debe integrarse en la estrategia, el planeamiento, las operaciones, la inteligencia, la logística, la formación, las reglas de enfrentamiento y la continuidad institucional.

18.3. Conclusión jurídica

Un ciberataque puede configurar delito, espionaje, violación de soberanía, intervención ilícita, uso de la fuerza, ataque armado, agresión militar o ataque en sentido humanitario. La calificación depende del autor, atribución, intención, objetivo, contexto, escala, efectos, gravedad, duración y consecuencias.

Para Uruguay, la necesidad principal consiste en transformar las capacidades existentes en una arquitectura nacional de ciberdefensa conjunta, jurídicamente regulada, técnicamente resiliente y subordinada al poder civil.

La finalidad no debe ser militarizar todo el ciberespacio, sino asegurar que la República pueda continuar gobernándose, defendiendo a su población y ejerciendo soberanía aun frente a una operación tecnológica hostil.