Seguridad electoral

La ciberseguridad electoral o seguridad electoral se refiere a la protección de las elecciones ^{[ 1 ]} y la infraestructura de votación contra ciberataques o ciberamenazas ^{[ 2 ]} , incluyendo la manipulación o infiltración de máquinas y equipos de votación , redes y prácticas de oficinas electorales y bases de datos de registro de votantes . ^{[ 3 ]}

Las ciberamenazas o los ataques contra las elecciones o la infraestructura electoral podrían ser perpetrados por personas con información privilegiada dentro de una jurisdicción electoral , o por diversos actores, desde estados nación malintencionados hasta delincuentes cibernéticos organizados o hackers solitarios . Los motivos pueden variar, desde el deseo de influir en el resultado electoral hasta desacreditar los procesos democráticos, generar desconfianza pública o incluso provocar disturbios políticos.

Han surgido diversos expertos y grupos de interés para abordar las vulnerabilidades de la infraestructura electoral y apoyar a las democracias en sus esfuerzos de seguridad. ^{[ 4 ]} De estos esfuerzos ha surgido un conjunto general de ideas políticas para la seguridad electoral, que incluyen:

• Transición de sistemas de votación propietarios de caja negra a sistemas de votación transparentes de código abierto ^{[ 5 ] [ 6 ] [ 7 ]}
• Implementar el uso universal de papeletas de voto en papel, marcadas a mano y leídas por escáner óptico, garantizando un registro de auditoría en papel verificado por el votante ( VVPAT ). ^{[ 8 ] [ 9 ] [ 7 ]}
• Cumplir con los requisitos de certificación de las máquinas de votación ^{[ 10 ]} que, por ejemplo, eliminen gradualmente las máquinas de votación con pantalla táctil, especialmente los dispositivos electrónicos de registro directo (DRE) más vulnerables ^{[ 11 ]} , y seguir recomendaciones como las de la Comisión de Asistencia Electoral de EE. UU .
• Verificar los resultados de la votación exigiendo a los funcionarios electorales que realicen auditorías con limitación de riesgos , una auditoría estadística posterior a las elecciones antes de la certificación de los resultados finales. ^{[ 11 ] [ 7 ] [ 12 ]}
• Contabilización y conciliación de las papeletas para garantizar que se contabilicen todas las papeletas ^{[ 10 ].}
• Brindar a los votantes la oportunidad de corregir cualquier error que, de otro modo, provocaría la anulación de sus votos.
• Prohibir el voto electrónico ^{[ 10 ]}
• Proteja toda la infraestructura de votación, desde las bases de datos hasta los equipos, utilizando herramientas de higiene cibernética como los "20 controles críticos de seguridad" del CIS o el Marco de Ciberseguridad del NIST . ^{[ 10 ] [ 12 ] [ 13 ]}
• Proporcionar recursos, capacitación e intercambio de información a los líderes electorales para el mantenimiento cibernético y el monitoreo continuo. ^{[ 14 ] [ 15 ]}
• Designar las elecciones como infraestructura crítica ^{[ 14 ]} y proporcionar financiación adecuada para implementar mejoras de infraestructura, auditorías y medidas de higiene cibernética.
• Pruebas de lógica y precisión previas a las elecciones para comprobar si hay fallos en los equipos ^{[ 10 ].}
• Instituir un plan de evaluación de amenazas preelectorales para reforzar la capacidad de apoyo técnico para los funcionarios electorales que soliciten asistencia. ^{[ 14 ]}
  • Recurrir a expertos externos para realizar evaluaciones cibernéticas: especialistas gubernamentales, hackers éticos , proveedores de ciberseguridad e investigadores de seguridad, cuando sea necesario. ^{[ 15 ]}

Los intentos de Rusia en 2016 de interferir en las elecciones estadounidenses se ajustan a un patrón de incidentes similares en toda Europa durante al menos una década. Los ciberataques en Ucrania , Bulgaria , Estonia , Alemania , Francia y Austria, que los investigadores atribuyeron a presuntos hackers respaldados por el Kremlin, parecían tener como objetivo influir en los resultados electorales, sembrar la discordia y socavar la confianza en las instituciones públicas, incluidas las agencias gubernamentales, los medios de comunicación y los funcionarios electos. ^{[ 23 ]}

Estados Unidos se caracteriza por un sistema de administración electoral altamente descentralizado. Las elecciones son responsabilidad constitucional de las entidades electorales estatales y locales, como secretarios de estado, directores electorales, secretarios de condado u otros funcionarios locales, que abarcan más de 6000 subdivisiones locales en todo el país. ^{[ 24 ]}

Sin embargo, la seguridad electoral se ha caracterizado como una preocupación de seguridad nacional que atrae cada vez más la participación de entidades del gobierno federal, como el Departamento de Seguridad Nacional de los Estados Unidos . A principios de 2017, Jeh Johnson , Secretario de Seguridad Nacional, designó las elecciones como "infraestructura crítica", lo que hizo que el subsector fuera elegible para recibir asistencia prioritaria en ciberseguridad y otras protecciones federales del Departamento de Seguridad Nacional. La designación se aplica a las instalaciones de almacenamiento, los centros de votación y los lugares centralizados de tabulación de votos utilizados para apoyar el proceso electoral, y la tecnología de la información y las comunicaciones, incluidas las bases de datos de registro de votantes, las máquinas de votación y otros sistemas para administrar el proceso electoral e informar y mostrar los resultados en nombre de los gobiernos estatales y locales. ^{[ 25 ]} En particular, los piratas informáticos que falsifiquen las instrucciones oficiales antes de una elección podrían afectar la participación electoral, o los piratas informáticos que falsifiquen los resultados en línea después de una elección podrían sembrar la discordia. ^{[ 26 ]}

La Ley de Ayuda a Votar en Estados Unidos de 2002 exige que todos los estados con registro de votantes implementen “una lista de registro de votantes estatal única, uniforme, oficial, centralizada, interactiva e informatizada” ^{[ 40 ]} o base de datos de registro de votantes (VRDB).

La importancia de la seguridad de VRDB quedó de manifiesto durante las elecciones generales de 2016, cuando los sistemas de varios estados fueron blanco de ataques cibernéticos. Solo se logró acceder a la base de datos de Illinois. El Departamento de Seguridad Nacional evaluó con alta probabilidad que la intrusión fue llevada a cabo por agentes rusos ^{[ 41 ]} , quienes pudieron visualizar —aunque no editar— los registros de votantes antes de que el estado cerrara VRDB durante casi dos semanas ^{[ 42 ]} . Ningún registro de votantes se vio comprometido en el ataque.

Una encuesta bienal sobre las prácticas de seguridad de las bases de datos de registro de votantes estatales, realizada por el Centro para la Innovación e Investigación Electoral desde 2018, ha constatado sistemáticamente que "las políticas y prácticas sólidas y en constante mejora para garantizar la seguridad de las bases de datos de registro de votantes están muy extendidas en todos los estados".

Entre las políticas y prácticas señaladas en los resultados de 2024 se encuentran:

• Contratación de personal informático profesional y formación en ciberseguridad
• Acceso protegido mediante autenticación multifactor o similar, limitando a los usuarios a la información necesaria, o ambas cosas.
• Identificar y detener posibles amenazas mediante la monitorización de la actividad de VRDB, auditorías periódicas del sistema y del tráfico, o ambas.
• Copia de seguridad de datos críticos ^{[ 43 ]}

• Sistemas de votación de código abierto
• Registro de votantes en los Estados Unidos

• Votación Verificada : organización estadounidense de defensa que cataloga los equipos de votación utilizados en cada estado.
• Glosario de seguridad electoral: términos relacionados con la interferencia electoral : definiciones respaldadas por fuentes del NIST, la CISA y el Director de Inteligencia Nacional que abarcan tácticas de interferencia electoral y terminología clave.