El mito del innovador serial

(Versión en inglés aquí/English version heres)

En los últimos días se han sucedido noticias sobre la difícil situación que estaría atravesando Marissa Mayer, CEO de Yahoo, como en este artículo de CNN Money.   Al nombrarla en 2012, Yahoo había recibido grandes elogios y Mayer había generado una gran expectativa, con sus decisiones ejecutivas y estilo de gestión.  Actualmente, analistas e inversores parecen estar previendo un reemplazo a corto plazo (a tal punto que ya circulan algunos nombres). ¿Qué sucedió para este brutal cambio de percepción?

Marissa Mayer (CEO de Yahoo)
Photo by Andrew H. Walker/Getty Images for Yahoo News

Fundada en 1995, por Jerry Yang y David Filo, Yahoo fue una de las primeras start-up de éxito en el mundo .com.  En 1998 era el punto inicial búsqueda más popular del mundo.  Abierta a bolsa desde 1996, sus acciones se dispararon durante la "burbuja de Internet" pero, a pesar de sufrir grandes caídas, consiguió sobrevivir a su explosión por la solidez de sus finanzas, basada en ingresos genuinos por publicidad y el pago por uso de sus plataformas.

Sin embargo, a medida que avanzaba la primera década del siglo XXI comenzó a sufrir por la competencia de otras plataformas, sobre todo Google.   Aun así, en 2008 Microsoft ofreció pagar 44,000 millones de U$S para adquirir la compañía, lo que fue rechazado con el argumento de que "valía mucho más". La cotización se desplomó, provocando severas críticas a la dirección, ejercida por Jerry Yang, que debió dimitir a principios de 2009, reemplazado por Carol Bartz, una profesional de larga carrera en la industria.

Cuando Bartz asumió el mando, Yahoo era todavía el 4to sitio web más visitado del mundo.  La nueva ejecutiva hizo una gestión prolija y recortó drásticamente los costes, pero los resultados no mejoraron lo esperado y en septiembre de 2011 fue despedida, "mediante una llamada telefónica", como ella misma relató, sorprendida. Siguió un período de inestabilidad y continua caída, en la que se sucedieron tres CEOs en menos de 1 año.

El Consejo de Yahoo tenía que decidir urgentemente la designación de un nuevo CEO que diera un vuelco a la situación. Tenía para ello, como ahora, varias opciones sobre la mesa. Entre ellas, recurrir a un sobrio profesional de perfil financiero o apostar por un ejecutivo de éxito comercial proveniente del propio staff de la Compañía.  En cambio, decidieron apostar por la innovación y contrataron a una persona que, ellos creyeron, tendría la capacidad de "reinventar la compañía", aportando nuevas ideas sobre productos y servicios.

A priori, Marissa Mayer, de 37 años, tenía un historial brillante para ese propósito. Graduada con honores en Stanford y becaria del SRI, ostentaba varias patentes en tecnología de Inteligencia Artificial. Había sido la empleada número 20 de Google en 1999 y su primera mujer ingeniera, creadora de la estética minimalista de la página inicial y carta de presentación del buscador. En 2005 fue nombrada VP de Search Products & User Experience y tuvo roles clave en el diseño de Google Search, Images, News, Maps, Books, Product Search, Toolbar, iGoogle y Gmail. Nada menos.

Marissa Mayer, el "arma secreta" de Google
Foto de Adam Rifkin en flickr
(https://www.flickr.com/photos/ifindkarma/95553021)

La expectativa generada por Mayer fue brutal.  El valor de la acción se duplicó durante los primeros 14 mese de gestión. Recibió una enorme atención de la prensa, tanto acerca su estilo de gestión y sus decisiones ejecutivas, como acerca de su vida personal.  Implementó nuevos sistemas de consulta a los empleados para generar ideas de producto, seleccionó personalmente una cantidad de compañías a adquirir para incorporar nuevas tecnologías y desarrolló nuevos programas de work-life balance, alargando los permisos por maternidad y pagando un bonus por nacimiento.  Ella misma dio a luz un niño siendo ya CEO (y actualmente espera gemelas).

Sin embargo, con el tiempo su proyecto empezó a marchitarse.  No surgió ninguna idea nueva o producto rompedor, ninguna de las adquisiciones pareció funcionar como se esperaba. El clima laboral empeoró por algunas medidas polémicas (implementó la ortodoxa curva de Gauss).  La rentabilidad mejoró algo en su primer año (2012-13), aunque los ingresos siguieron cayendo. En 2014 comenzaron a llegar las primeras críticas de la prensa.  Este año la acción viene cayendo un 30% y hasta 12 altos ejecutivos han abandonado la Compañía. ¿Qué sucedió?

El liderazgo de Marissa sufre críticas
(Fast Company, Abril 2015)

En mi opinión, Yahoo cometió el error de creer que es posible "contratar" en el mercado la capacidad de innovar con éxito.  Ya hemos comentado en el blog ("Grandes errores..." o "Barbarians..") que la "innovación" es un proceso muy incierto, de altísimo riesgo y con escasas garantías de resultado. La innovación exitosa es muy improbable, una excepción, son muy pocas las ideas nuevas que realmente triunfan, generalmente de forma casual, sin buscarlo.  También son muy escasas, excepcionales, los emprendedores o "innovadores" naturalmente "exitosos".

En el fondo, existe en muchas grandes compañías el mito de que, tirando de chequera, es posible contratar a gente que "replique" sus historias de innovación desarrolladas en otras compañías en el pasado.  Cuando lo más probable es que su "cuota de suerte" se haya agotado en esa primera experiencia.  Por lo cual, primero se genera una expectativa desmedida en cuanto a los posibles resultados, luego aparece la desconfianza y, finalmente, la frustración.

Por supuesto, existen casos extraordinarios, los sospechosos de siempre: Steve Jobs, Thomas Alva Edison, Nikola Tesla y pocos más.  Pero eso son: excepcionales, no es para nada la norma en el mundo real. Uno puede contratar a un buen delantero centro en un equipo de futbol, a un excelente director comercial o a un gerente financiero muy hábil, sabiendo que harán uso de sus habilidades para superar a la competencia o para superar los obstáculos que se les presentan en el día a día: pero no para cambiar las reglas del juego regularmente.  Eso sólo ocurre de forma, nuevamente, excepcional.

Espero sinceramente que Marissa Mayer pueda superar los problemas actuales y consiga revertir la situación de Yahoo.  Es una mujer con grandes habilidades y virtudes.  Pero no se puede pretender de ella que esté "inventando" nuevos productos disrruptivos cada día, ni apostar la supervivencia de una compañía a esta incierta capacidad de algunas personas de ser "visionarios".  Hacer esto, en una gran compañía, es como invertir todo su dinero en un pleno de la ruleta.  Lo mejor que puede hacer es usar todo ese bagaje profesional para gestionar su día a día y su estrategia futura, en escenarios plausibles y no en la búsqueda de la excepción salvadora.

Existen mejores formas de gestionar la innovación en una compañía. El "endiosamiento" de las ideas y de los "innovadores seriales" remite a un pensamiento mágico, mítico. Además, se corre el riesgo de descartar buenas y competentes gestiones profesionales, buscando lo excepcional.  Por supuesto, no es que los Consejeros de Yahoo hayan perdido la cabeza, existen algunas tendencias académicas e intereses que fomentan este tipo de pensamiento, como veremos en otras notas.

Los atentados de Paris y el uso miserable de las Redes Sociales

(English version here/Versión en Inglés aquí)

En estos últimos días, cientos de mensajes y posts inundan las redes sociales en relación con los atentados de Paris.  La mayoría son mensajes solidarios sin cortapisas pero, entre ellos, se cuelan también algunos que intentan “explicar” la violencia, como una respuesta a las acciones de Europa, en general, y de Francia, en particular, en la zona.  Todos los hemos visto: no voy a colaborar en su difusión.

La mayoría de ellas son una mezcla de mentiras, tergiversaciones o medias verdades, ocultando los aspectos de la historia que no cuadran con su “explicación”. Algunas están muy bien elaboradas, con un aire erudito, utilizado para ganar credibilidad.   Se trata de construir un relato donde la conclusión ya está predeterminada, tomando las partes de la historia real que les sirven para armar el discurso, e ignorando o descartando los episodios reales que son contradictorios con este fin.

Sin embargo, hay que recordar que esto no es más que una forma sutil de propaganda. Que detrás de esos mensajes normalmente hay un interés político o económico.  Se trata, como en toda publicidad, de destacar las características positivas del “producto” que quieren “vender” e ignorar los argumentos negativos. 

En la Era Digital, cuentan a su favor con un factor: un video breve o un texto de 128 caracteres tiene mucho más impacto y llega a mucha más gente, que una historia completa. El “ciudadano digital” recibe un bombardeo constante de contenidos, debe seleccionar lo que consume y, muchas veces, no tiene tiempo de contrastar la información. Sólo puede quedarse con los titulares o imágenes, que le llamen la atención.

En el caso de los atentados de Francia, la utilización de este recurso es particularmente miserable.  En estas circunstancias, vale la pena recordar el origen de la presencia francesa (y europea) en el Medio Oriente, sin omisiones (aunque lleve un poco más que un twitt).

Para mediados del Siglo XIX, Siria y El Líbano eran provincias del Imperio Otomano desde hacía más de 3 siglos.  El régimen político era feudal.    Los Señores pertenecían mayoritariamente a la tribu drusa que, apoyados en milicias musulmanas, sometían a vasallaje a los campesinos cristianos, a los que cobraban altísimos impuestos.  En 1858, un levantamiento cristiano expulsó a los Señores Drusos y repartió sus tierras. Siguió un período de inestabilidad con frecuentes escaramuzas.

Pero en 1860, milicias irregulares drusas y musulmanas emprendieron una “limpieza étnica” contra los cristianos. Once mil personas fueron asesinadas, incluyendo mujeres y niños, y cientos de poblaciones fueron arrasadas. Sólo en Damasco (la actual capital Siria), las milicias formadas por drusos y musulmanes sunníes radicales, mataron en 3 días a 3000 personas, arrasando el barrio cristiano.  

El barrio cristiano de Damasco luego de la masacre de 1860

Si algunos salvaron la vida sólo fue porque fueron protegidos por sus vecinos musulmanes, con quienes convivían en paz desde hacía siglos. Particularmente heroica fue la actuación de Abdel Kader, el líder argelino exiliado en Damasco, y su guardia, que enfrentaron a los milicianos y resguardaron muchas familias. Por esto, fue condecorado luego con la “Legión de Honor” de Francia.

Aunque el Sultán de Estámbul no apoyó la matanza, las tropas del Imperio Otomano eran débiles, mal armadas, no muy disciplinadas, y, además, no querían comprometerse contra los clanes drusos y musulmanes. Los cónsules europeos informaron puntualmente de la masacre a sus países. La prensa del Continente se hizo eco extensamente de los hechos, provocando una reacción pública. La Iglesia Católica francesa, particularmente, reclamó ayuda para la comunidad cristiana.

Fue entonces que Napoleón III, tomó la iniciativa y ofreció al Sultán el envío de un contingente militar internacional para ayudar a restaurar el orden.  Este aceptó.  El 3 de agosto de 1860, en Paris, se firmó un acuerdo entre el Imperio, Francia, Austria, Prusia, Gran Bretaña y Rusia. Se acordó enviar 12,000 soldados europeos a la región, de los cuales la mitad serían franceses, con el General Beaufort como jefe de la expedición. 

Artículo del "Times" sobre la expedición a Siria

"No van a hacer la guerra a ninguna potencia extranjera, sino a ayudar al Sultán a devolver a sus súbditos a la obediencia, cegados por el fanatismo de un siglo anterior". Las palabras de Napoleón III en la despedida a sus tropas, suenan extrañamente actuales (por supuesto, sin dejar de reconocer que Napoleón III evoca, al mismo tiempo, lo mejor y lo peor de la historia francesa).

En un par de meses, se restableció la paz.  Fue una novedad en la época: una expedición sin motivos imperialistas. Las tropas estuvieron menos de 1 año en la zona y se retiraron. Los soldados europeos habían arriesgado sus vidas sin motivaciones patrióticas ni económicas. Sólo para ayudar a sus semejantes. El Imperio Otomano nunca perdió su soberanía, pero miles de personas salvaron sus vidas y sus hogares. 

Antes de retirarse, una comisión internacional evaluó las causas de los hechos violentos y recomendó un nuevo sistema administrativo y judicial. El Sultán luego sancionó el “Reglamento Orgánico”, que daba un autogobierno limitado a la región, dentro de la unidad del Imperio. Entre otras reformas se estableció un consejo interreligioso con representantes de seis grupos: sunníes, drusos, maronitas, chíitas, ortodoxos y melquitas.  El nuevo régimen ganó 50 años de paz: hasta la I Guerra Mundial.

En 1914, el Imperio Otomano se alió con las Potencias Centrales (Alemania y Austria-Hungría), contra la Entente, formada por Francia, Gran Bretaña y Rusia (luego EE.UU.).  Con la rendición de éstos en 1918, la provincia sirio-libanesa quedó bajo ocupación de fuerzas británico-francesa, vencedora. Desde 1916, con el protocolo Sykes-Picot, se habían previsto “zonas de ocupación”, para los aliados combatientes, en caso de victoria.

Francia recibió el mandato sobre Siria y El Líbano, mientras los británicos lo hicieron sobre Palestina e Iraq. Las autoridades de ocupación francesa, transformaron la antigua región del Imperio: se legalizaron los partidos políticos, la libertad de prensa, se multiplicó por 4 el número de escuelas, se estableció la educación obligatoria hasta los 14 años, se creó una administración de justicia y un Ejército y una Policía local.  Un aspecto muy importante fue la emancipación de la mujer: se igualaron sus derechos con los hombres, el acceso a la educación y al trabajo e incluso a los cargos políticos.

Graduados de Medicina en Damasco en 1940

Pero, otra vez, esta no era una cuestión imperialista o colonial. En 1928, sólo 10 años tras la Guerra Mundial, se realizaron las primeras elecciones democráticas. Siria, tuvo su Parlamento y, un año después, una Constitución.  En 1936, se acordó llegar a la Independencia en 5 años, un proceso interrumpido por la II Guerra Mundial y la ocupación de Francia por Alemania. A pesar de todo, las Fuerzas Francesas Libres, proclamaron la independencia en 1941 y la hicieron efectiva, con la retirada de todas sus tropas al final de la guerra.  Una transición de un régimen feudal, de una provincia sometida a una monarquía absoluta, a un país independiente y democrático en poco más de 20 años efectivos.  Convengamos en que lo que ocurrió después no tiene mucho que ver con el mandato francés.

Conviene recordar la historia completa. No podemos impedir la circulación de bulos, falsificaciones y propaganda oculta por las redes sociales. Pero si podemos, prevenir sobre su existencia. Animar a la gente a verificar los datos y a separar la paja del trigo. A reconocer las fuentes éticas y las que no lo son. Y, en la medida que podamos, desenmascarar a quienes utilizan una tragedia de una forma tan miserable.

¡ Qué inventen ellos !

Todos hemos escuchado la expresión "¡Qué inventen ellos!" atribuida en diferentes obras y circunstancias al escritor español Miguel de Unamuno, en la primera década del Siglo XX. La misma surge en medio de una agria polémica entre dos bandos intelectuales, que se enfrentaban públicamente a través de artículos periodísticos, conferencias y cátedras universitarias, a veces hasta el nivel de la ofensa personal.

La polémica pasaba por la posición relativa de España en Europa.  Un bando, liderado por José Ortega y Gasset, sostenía que España era un país atrasado respecto de las grandes potencia europeas (el Imperio Británico, el Imperio Alemán o la República Francesa). Y que el motivo de este atraso era que la producción científica y tecnológica de los españoles era muy baja respecto de estos países.  Para ellos, el bienestar futuro de la sociedad pasaba por converger con estos países e incentivar la investigación científica y el desarrollo tecnológico.

José Ortega y Gasset

El otro bando, liderado por Unamuno, no compartía esta visión, y consideraba que el desarrollo científico y tecnológico no era el modo de medir el bienestar o progreso de una sociedad.  Consideraba, que el desarrollo cultural o moral tenía una impotancia mayor que el bienestar material de la sociedad.  No creían, en definitiva, que el modelo de desarrollo propuesto por Ortega y Gasset fuese adecuado para España y, por tanto, no creían que el país estuviese atrasado respecto al resto de Europa.

Miguel de Unamuno

Este enfrentamiento intelectual tampoco era exclusivo de España.  El bando de Ortega y Gasset asumía las ideas del positivismo de finales del siglo XIX.  Unamuno había crecido bajo esta misma ideología, pero había ido cambiando con el paso del tiempo hacia criterios más humanistas o existencialistas.

La expresión de Unamuno fue utilizada por sus críticos para denostarlo y atribuirle a él y a sus seguidores ese presunto atraso de España en Europa.  A pesar de los años transcurridos la expresión sigue siendo utilizada tanto en el discurso periodístico como en el político. En general, como crítica a la sociedad española por su escasa producción científica y tecnológica y, en particular, la escasa prioridad que las ciencias y la investigación tienen en los partidos políticos, la administración pública y el tejido empresarial.

En realidad, Unamuno probablemente jamás pronunció las palabras que se le atribuyen, al menos no en el sentido literal que le atribuyen.  En 1911 declaró: "Y he aquí el significado de mi exclamación, algo paradójica, lo reconozco, "¡que inventen ellos!", exclamación de que tanto finge indignarse algún atropellado cuyo don es el de no querer entender o hacer como que no se entera".  

Probablemente lo más aproximado a lo que realmente pensaba Unamuno es lo que puso en boca de uno de los personajes de su obra "El Pórtico del Templo" en 1906: "Inventen, pues, ellos y nosotros nos aprovecharemos de sus invenciones. Pues confío y espero en que estarás convencido, como yo lo estoy, de que la luz eléctrica alumbra aquí tan bien como allí donde se inventó." 

Si lo analizamos detenidamente, en realidad, lo que vemos son dos visiones del desarrollo económico.  Ortega defendía la investigación en ciencias básicas y la elaboración de patentes tecnológicas como fuente genuina de desarrollo.  En la visión de Unamuno, sin desdeñar para nada la ciencia, esto no era tan prioritario como el aprovechamiento o aplicación de estas tecnologías.

Esta discusión sigue siendo perfectamente actual si la trasladamos a las empresas españolas en la Era Digital.   ¿Qué debemos hacer? ¿Invertir en el desarrollo de nuevas tecnologías, con la esperanza de llegar primero que otros (y luego licenciarlas)? ¿O adquirir las tecnología desarrolladas por otros y dar forma a nuevas aplicaciones y modelos de negocio? ¿Ambas cosas son incompatibles?

Para tomar una decisión al respecto hay que considerar algunas condiciones de partida.  La investigación en ciencias básicas y tecnologías punteras es mucho más costosa y de resultado más incierto que el ensayo de sus aplicaciones.  Por otro lado, sus beneficios son mucho más altos, dado que tienen un efecto multiplicador (como cuando Microsoft introdujo su sistema operativo en los ordenadores de cientos de fabricantes).

Además, no todos los campos de investigación son iguales. Unamuno nos da otra pista: "en Suiza no pueden desarrollarse grandes marinos".  Existen empresas, países o territorios con grandes ventajas comparativas para el desarrollo de determinadas tecnologías por tradición, necesidad o la suerte (de que naciera un genio en ellas).  Por el contrario, también se pueden tener grandes desventajas, que hagan que invertir en ciertas tecnologías en una compañía o país, sea mucho más costoso y el resultado más incierto, que en otros.

Basado en esto, en mi opinión, ambas visiones pueden coexistir en una compañía o a nivel país.  Lo verdaderamente importante elegir adecuadamente los campos en los cuáles invertir fuerte en investigación (donde el objetivo de ser líder es alcanzable) y aquellos en los cuáles debemos adquirir la tecnología y mejorarla o darle una mejor y original aplicación.

Si atisbamos en el pasado podemos apreciar lo que seguramente advirtió Unamuno:

• La vacuna antivariólica se inventó en el Reino Unido, pero fue el Reino de España el primero en realizar una campaña de vacunación eficaz a nivel intercontinental (expedición Balmis) entre 1803 y 1806.
• Aunque la red eléctrica y el alumbrado público no se desarrollaron en España, su difusión fue muy rápida y ya en la década de 1880 estaba en línea con el resto de Europa y América.
• El telégrafo no se inventó en España, pero se extendió muy rápido. El telégrafo Morse fue adoptado como estándar en la Europa continental en 1851.  Pero en 1855 ya había servicio público en España y en sólo 3 años se habían enlazado todas las capitales de provincias y las principales ciudades. Para 1900 la red era comparable a la de Francia.
• Los ferrocarriles se desarrollaron muy rápidamente. España desarrolló su primera línea comercial en Cuba en 1837) y, a pesar de su difícil orografía, entre 1855 y 1865 se construyó una red ferroviaria moderna a un ritmo muy rápido y homologable al resto de Europa.
• El cine llegó a España muy pocos meses después de su invención en Francia en 1895. Rápidamente entusiastas fotógrafos y emprendedores adoptaron la tecnología. La primera película argumental se rodó ya en 1897 y con animación en 1898.

Unamuno era perfectamente consciente de estos éxitos cuando formuló su célebre expresión.  También sabía que, en algunos campos, España podía despuntar entre los líderes.  Podemos citar a dos: la construcción naval (revolucionada por el submarino eléctrico de Isaac Peral) y el ámbito de la salud, con el desarrollo muy adelantado de la sanidad pública y las investigaciones pioneras de Miguel Servet o Santiago Ramón y Cajal.

En la actualidad, pasa un poco lo mismo.  Existe un tópico o cliché repetido, a través de la prensa y en los debates políticos, de que España está a la cola de los países desarrollados en inversión privadas en I+D+i, registro de patentes o en el ranking de investigación universitaria.  Todo lo cual es una verdad parcial, porque soslaya algunos aspectos importantes:

• Sin haber inventado el "smartphone", España es el líder europeo en la penetración de esta tecnología (10 puntos por encima de la media europea)
• Sin ser fabricante de equipamiento, España cuenta con las redes de 4G con mayor velocidad de descarga del mundo.
• Sin elaborar hardware o software básico originales, cuenta con líderes sectoriales globales de software de aplicación como Amadeus (turismo) e INDRA (Defensa), siendo España la 7ª potencia mundial por líneas de código desarrolladas
• Sin ser líder en investigación farmaceútica o en equipamiento médico, el sistema sanitario español (visto en conjunto) aparece en los ránkings, entre los 5 mejores del mundo, por cobertura, resultados y eficiencia.  Varios hospitales y unidades clínicas aparecen siempre entra los centros mundiales de referencia.
• Aunque las Universidad españolas no sobresalen en ciencia y tecnología,  dos de sus Escuelas de Negocios (el IE y el IESE) siempre están entre los 5 o 10 primeros en todos los ránkings mundiales.
  
  
  Es más, las empresas españolas destacan en algunas tecnologías punteras como las energías renovables (a pesar de las polémicas), las infraestura de transportes, la investigación en materiales novedosos como el grafeno, algunas áreas de la industria aeronáutica y, por supuesto, en el sector de la restauración y de la moda.
  
  Esta performance no sólo se produce entre las grandes empresas.  En los últimos años, cientos de pequeños startups han aparecido para explorar nuevos modelos de negocio. Apps como LogQuiz ya han logrado batir las decenas de millones de descargas, así como Dogfight, iBasket, o similares.  En el ámbito de la salud personal, Tu Peso Ideal y otras, alcanzan varios millones de descargas y han figurado mucho tiempo como líderes en los rankings.

Entonces...¿ Dónde deberían poner sus recursos las grandes empresas y emprendedores españoles? 

En mi opinión, estas reglas siguen valiendo en la Era Digital. Si invierten en investigación de nuevas tecnologías en sectores donde no hay claras ventajas competitivas, probablemente no obtengan ningún retorno.  En estos casos, sería mejor que adquirieran tecnología y buscasen formas originales de explotarlas ("aprovecharlas" diría Unamuno).  En los sectores o nichos con claras ventajas es donde habría que poner el énfasis en I+D y mantener o alcanzar el liderazgo. 

Del análisis objetivo y estratégico de la situación de cada mercado, dependerá que se tome la decisión correcta (resumiendo "Make" or "Buy"). El profesor Unamuno no abogaba en contra la tecnología como tal. Opinaba sobre como deberían los españoles posicionarse ante ella para obtener el mayor beneficio. Y su perspectiva sigue tan vigente hoy como en 1906.

La gestión de la sorpresa en Ciberseguridad

("Management of surprise in Cybersecurity"/English version here)

Hemos visto anteriormente formas de prepararnos para gestionar la diferentes amenazas que afectan a la seguridad de la información: el perímetro defensivo, los fallos de los empleados, los insiders, la movilidad...Sin embargo, hay algo para lo que se diría que es imposible estar preparado: la sorpresa.

El ataque por sorpresa es un fenómeno estudiado desde hace miles de años. Sun Tzu ya teorizaba sobre ello en la Antigua China. El manual de doctrina de la USAF da una buena definición de sorpresa: 

"Golpear al enemigo en un momento, lugar o modo para el cual no está preparado. En forma gruesa, el principio de sorpresa es recíproco del principio de seguridad. Escondiendo las propias capacidades e intenciones se crea la oportunidad de golpear al enemigo cuando no está atento o preparado"

En el ámbito de la Ciberseguridad la sorpresa se consigue utilizando tecnologías novedosas que pasen inadvertidas a través del perímetro de seguridad, explotando fallos de seguridad no reportados en sistemas o aplicaciones, identificando puntos débiles o únicos de fallo en una infraestructura y otras formas similares.

En reciprocidad, para evitar la sorpresa, el responsable de Seguridad busca informarse acerca de estos modos (e intenciones) de ataque, a través de fuentes de inteligencia de muy diverso tipo: foros, fabricantes, grupos de usuarios, organismos de control, servicios online, intentando anticiparse y establecer medidas de protección para el más amplio espectro posible de amenazas.  No obstante, la mayor parte de esta fuentes se basan en experiencias de ataques pasados.

Por definición, el atacante, tiene la ventaja de preparar con tiempo nuevas modalidades de ataque y de poder elegir, el momento y la víctima del mismo, tratando de no dejar rastros que puedan comprometerlo.  El primer golpe es el normalmente el más efectivo, puesto que a partir de allí ya existe una experiencia que se puede analizar y esbozar medidas preventivas. Por eso, actualmente se fomenta de diversas formas la compartición y reporte de información de nuevas formas de ataque, que ayuden a evitar nuevas víctimas, incluso por imperativo legal en algunos países.

Sabiendo esto, es muy posible que alguna vez en su historia una organización sea víctima de un ciberataque para el que no está preparada.  Es decir, que sus medidas preventivas no hayan podido evitar o rechazar antes de provocar daños.  Sin embargo, esto no es para caer en la desesperarnos, aún tenemos formas minimizar las probabilidades de que el atacante alcance la sorpresa.

La forma más obvia es recolectar toda la inteligencia previa posible que indique se está preparando un ataque de una nueva tipología.  Como en este tipo de ataques careceremos de fuentes directas, podemos intentar utilizar aproximaciones indirectas: identificar ataques de "tanteo", pruebas realizadas para demostrar la eficacia de una nueva tecnología y otras anomalías.  Nuevamente, aquí la colaboración entre diferentes organizaciones y autoridades es muy importante.

Una alternativa muy original es el uso de modelos matemáticos que permitan predecir con una cierta probabilidad la aparición de una nueva amenaza, como se indica en este magistral artículo.  Este enfoque probabilístico nos permite encarar el problema con algunas estrategias contra-intuitivas: a veces conviene dejar abiertas algunas "brechas conocidas" (de escaso impacto).  O a no comprar informes de "zero-day exploits". Ambas medidas tienden a disminuir la velocidad de aparición de nuevas amenazas, contra las que no estamos preparados.

Pero, incluso así, no podemos descartar una sorpresa efectiva. Pero aún nos queda la posibilidad de gestionar las sorpresas. ¿Cómo puede hacerse eso?

En diciembre de 1941, la base naval de Pearl Harbor en Hawaii fue tomada completamente por sorpresa cuando el Imperio Japonés lanzó un ataque aéreo. Curiosamente, la Inteligencia Militar americana había recopilado gran cantidad de información sobre las intenciones agresivas y los preparativos bélicos japoneses e incluso sobre la fecha estimada del ataque, pero falló en determinar el lugar del esfuerzo principal: concluyeron que debía ser en Filipinas. Descartaron la idea del ataque a Hawaii, porque pensaron que los japoneses no se arriesgarían tan lejos de sus bases. En su defensa hay que decir, que era realmente una apuesta muy arriesgada.

La cuestión es que, para los efectivos de Hawaii, la sorpresa fue total.  Pero el desastre militar fue completo por la pésima preparación de la base para afrontar un ataque sorpresa, que era responsabilidad del Comandante en Jefe de la Flota del Pacífico, Husband Kimmel.  El propio Kimmel había escrito 10 meses antes del ataque "Creo que un ataque por sorpresa (submarino, aéreo, o combinado) en Pearl Harbor es una posibilidad, y estamos adoptando de forma inmediata las necesarias para minimizar los posibles daños y garantizar que la fuerza atacante lo pagará".

Sin embargo, no se realizaron ejercicios o simulaciones del posible ataque, ni se adoptaron medidas especiales de entrenamiento.  Los japoneses se encontraron con una serie de facilidades inesperadas como que los aviones estaban en las propias pistas uno junto al otros (facilitando las explosiones e incendios por simpatía).  No se habían tomado medidas de coordinación entre la aviación naval y la del Ejército, ni realizado patrullas de largo alcance ni desplegado redes antitorpedos, para proteger a los barcos.

Aviones americanos destruidos formados uno junto al otro
La mala disposición de los aviones en las pistas evidencia la falta de preparación de la base para un ataque sorpresivo

Tampoco se sabía muy bien que hacer a continuación. La única reacción de Kimmel fue planificar en el papel, con los barcos que le quedaban (que no eran pocos), acciones de represalia a los pocos días del desastre, que no pudo concretar porque fue destituido y degradado una semana después. En los años siguientes Kimmel se presentó como una víctima de la falta de recursos, de información de Inteligencia errónea y de las decisiones de sus superiores, generándose un intenso debate sobre su actuación. Probablemente tenía parte de razón, pero su falta de reacción ante la sorpresa (de la que no era responsable) es evidente.

Tres años después se produjo una situación muy similar con los mismos contendientes.  Para enfrentar el desembarco de los Aliados en Filipinas, la Armada japonesa ejecutó un plan de engaño magistral. Cuando se aproximaba el momento del asalto a las playas, un grupo de batalla formado por 4 portaaviones nipones se presentó por el norte del archipiélago.  Creyendo que esta era la fuerza principal de ataque del enemigo, el jefe de la Flota, Almirante Halsey, envió todos sus grandes portaviones y acorazados en esa dirección, dejando a la fuerza principal de desembarco solo protegida por una cortina de unidades menores (destructores y portaviones de escolta, que transportaban pocos aviones).

Parecía una apuesta segura, Halsey estaba convencido de que ninguna otra fuerza japonesa amenazaba el grupo de desembarco y que su única preocupación eran los portaaviones enemigos.  Se equivocaba.  El grupo de portaaviones no era más que un señuelo muy hábil: apenas tenían aviones de combate y pilotos entrenados.  Mientras tanto, todos los acorazados y cruceros pesados japoneses,  remanentes, mandados por el Almirante Takeo Kurita, cruzaban los estrechos centrales del archipiélago durante la noche y aparecían de repente ante la escolta del grupo de desembarco, mandada por el contraalmirante Clifton Sprague.  Igual que para Kimmel, la sorpresa para Sprague fue total (y tampoco era responsable de ella).

La "sorpresa" de Samar
Halsey vira al norte con las unidades pesadas
dejando a Sprague solo contra los acorazados de Kurita

Los japoneses habían logrado una enorme superioridad local: 4 acorazados, 8 cruceros y 11 destructores, se enfrentaban a distancia de tiro contra 6 portaviones ligeros y 7 destructores. La corta distancia anulaba la ventaja de los portaaviones. Si esta sorprendida línea de defensa entraba en el desconcierto o, peor, en pánico, detrás estaban los desprotegidos buques logísticos y de desembarco, que serían fácilmente destruidos con miles de vidas perdidas, sin siquiera llegar a tocar la playa.

Pero Sprague supo reponerse a la sorpresa y no entró en pánico.  Era un piloto naval experimentado, obsesivo en los detalles.  Sus hombres habían recibido un entrenamiento intensivo. Decidió enfrentar la situación y, en un contexto de grave desventaja, tomar las medidas que maximizaran sus escasas posibilidades de éxito.

Hizo virar a sus barcos hacia el este, hacia donde se veían nubes de tormenta mientras lanzaba una cortina de humo (lo que reducía la visibilidad y dificultaba la puntería), alejándose de la costa y obligando a los japoneses a perseguirlos en fila (lo que anulaba los cañones de popa del enemigo).  Al mismo tiempo, ordenó a la escolta de destructores que redujera distancias con los buques enemigos para ponerse a tiro de sus pequeños cañones y torpedos.  Y, por supuesto, hizo despegar todo lo que pudiera volar desde los portaaviones.

Sprague explotó hasta el límite los escasos recursos de que disponía y las habilidades de sus hombres.  Se llegó a disparar con pistolas de calibre .38 de buque a buque.  Hubo aviones que lanzaron hasta cargas de profundidad a falta de bombas y algunos hicieron pasadas rasantes, sin bombas ni munición solamente para distraer o molestar a los japoneses.  Cada recurso se utilizó al máximo para revertir la situación.

Contraalmirante Clifton Sprague

Al acabar la batalla, Sprague había perdido 2 portaaviones, 3 destructores y 23 aviones.  Otros 3 destructores y 1 portaaviones flotaban casi desechos, mientras los restantes tenían daños.  Pero, inesperadamente, habían machacado 6 cruceros japoneses, hundiendo 3 de ellos.  La actuación decidida de Sprague hizo creer a Kurita, que se enfrentaba a una fuerza mucho mayor, y ordenó la retirada, sin atacar a los vitales transportes y buques de desembarco.

En el recuento final los americanos tuvieron 2500 bajas (muertos y heridos) contra las 4000 de Pearl Harbor, un porcentaje mucho mayor sobre el total de fuerzas involucradas. Un alto precio que hace recordar la efectividad de la sorpresa.  Sin embargo, gracias a un alto nivel de entrenamiento y una dirección eficaz, que maximizó sus posibilidades, Sprague consiguió evitar daños catastróficos. El desembarco se concretó y las Filipinas fueron liberadas.

Pearl Harbor y Samar nos recuerdan que ante un ataque sorpresivo, se puede reaccionar de diferentes maneras. Puede uno maldecir a la mala suerte y quedarse quieto, o se puede intentar gestionar las situación con los recursos disponibles.  Puede uno preparar su discurso de justificación para cuando la sorpresa ocurra o preparar al equipo para enfrentar situaciones inesperadas.

Algunas recomendaciones de los expertos militares nos pueden ayudar a prepararnos. Por ejemplo, si nos basamos en las sugerencias del Dr. Michael Handel, profesor de estrategia del Naval War College, adaptadas a la Ciberseguridad, podemos:

a. Actualizar los procedimientos de Seguridad en la eventualidad de un ataque sorpresa: planes de contingencia detallados, simulaciones, ensayos.

b. Preparar especialmente la protección de los activos críticos. Estimar que en toda situación, los recursos críticos del negocio puedan seguir operando, aunque algunas infraestructuras no estén operativas.

c. Desarrollar planes para disponer de todos los recursos humanos en forma acelerada ante un ataque. Probar y ensayar el tiempo de respuesta rápidamente.

d. Planificar contra-sorpresas, en dos formas:

• Preparar "falsos" agujeros de seguridad, simular la protección de ficheros con datos irrelevantes

• Estar preparado para contratacar las infraestructuras desde las cuales se dirige el ataque.

El Gobierno de los EE.UU. se ha tomado muy en serio estas enseñanzas de la historia. Desde el año 2000, se realizan los ejercicios TOPOFF para "prevenir, proteger de, responder a y recuperarse de ataques terroristas a gran escala con armas de destrucción masivas". Desde 2009, se denominan Tier 1 National Level Exercise dentro de los programas de la FEMA, junto con posibles catástrofes naturales y todos los años se testean supuestos diferentes ("bombas sucias", terremotos, tsunamis). En 2012, por primera vez, se hizo una prueba nacional de un ciberataque a gran escala, comentado aquí por el propio Presidente Obama.

Aspectos morales de la seguridad y el proyecto Manhattan

(Versión en inglés aquí/nglish version here)

En una nota anterior hemos visto como la inversión que las grandes empresas y administraciones han dedicado a la ciberseguridad en los últimos años está empezando a dar frutos, dificultando el accionar de los delincuentes.  Adicionalmente, hemos visto, usando el ejemplo de los datos móviles, cómo podemos hacer un uso racional de estas medidas de seguridad, clasificando los datos por su sensibilidad y protegiendo los activos realmente críticos. Finalmente, vimos lo importante que es la concienciación de los empleados.

Ahora abordaremos uno de los aspectos más importantes pero incómodos de tratar en las organizaciones:  las amenazas internas a la Seguridad, provocadas generalmente por empleados infieles, asociaciones ilícitas entre empleados y terceras partes, y otras similares.  No nos referimos  a las amenazas causadas por empleados negligentes (que pueden llegar a ser más de la mitad) sino a aquellas que conllevan intencionalidad.

Estas amenazas no son nuevas, han existido siempre, pero en la medida en que la informatización llega actualmente a todos los puestos de trabajo, son un elemento fundamental en el diseño de cualquier estrategia de ciberseguridad. Quizás no sean las amenazas más numerosas, pero según un estudio de la OTA (Online Trust Alliance), un 29% de todas las fugas de información que se producen en las empresas se deben a negligencia o intencionalidad de los empleados.

Otro estudio contratado por el U.S. Department of Homeland Security, el CERT Insider Threat Center at Carnegie Mellon University’s Software Engineering Institute and the U.S. Secret Service, cifra en el 28% estas amenazas internas intencionales.  Pero lo peor, hay consenso en que son mucho más dañinas, y se descubrió que los "insiders" dentro de la industria financiera tardan ¡32 meses!, en promedio, en ser descubiertos.  Un 75% de los incidentes ni siquiera se denuncia, como se muestra en el siguiente cuadro.

Source: 2014 US State of Cybercrime Survey, CSO Magazine, U.S. Secret Service, Software Engineering Institute CERT Program at Carnegie Mellon University and Price Waterhouse Cooper, April 2014

El enfoque clásico para tratar esta amenaza en las organizaciones es replicar a nivel de sistemas las normas de control interno:  controles y niveles de acceso individualizado, segregación de funciones, auditoría de logs, controles múltiples de autorización.  Algunas organizaciones ponen énfasis también en el proceso de selección de los empleados, analizando sus antecedentes legales y familiares, aspectos psicológicos, valores, etc.

Por supuesto, todo esto es útil. Además, las empresas imponen normas internas muy rigurosas para sancionar faltas éticas, sobre todo aquellas organizaciones alcanzadas por la ley Sarbanes-Oxley en los EE.UU., las nuevas normas de Códigos de Conducta en Europa, leyes de Protección de Datos y otras normativas antifraude.  Pero ¿Cómo considerar el impacto de este factor humano en nuestra estrategia de Ciberseguridad? Mas allá, por supuesto, de la concienciación básica de todos los empleados.

Posiblemente, la mejor estrategia es introducir la ciberseguridad como uno de los valores reputacionales de la Compañía.  Las organizaciones buscan generalmente el compromiso de los empleados inculcando unos valores positivos, una misión y visión común: calidad de servicio, excelencia en la producción, atención esmerada.  La Ciberseguridad puede ser uno de ellos: la protección de la privacidad de nuestros clientes o proveedores, la defensa de la propiedad intelectual de nuestros creadores (en la empresa o en la Sociedad), la seguridad de nuestros ciudadanos o servicios públicos (en la Administración). Y, como se ve, no enfocado en los aspectos económicos sino en las consecuencias sobre terceros.

Los responsables de Ciberseguridad deberían intentar introducir estos aspectos, en todas las acciones motivacionales, de compromiso y en los "mission statement" de compañías cada vez más integradas en la economía digital, además de hacer campañas específicas. Y fomentar que se introduzca en el discurso de los directivos. No sólo es bueno para la reputación de la Compañía en el mundo digital, también es bueno para que los empleados lo asuman como un valor positivo, no sólo como un hecho punible si no se cumple un norma.

¿Qué ganamos con esto? Los "insiders" generalmente se autojustifican moralmente sacrificando un "bien menor" (la privacidad de datos de terceros, la propiedad de dinero de la compañía o del Estado) por un "bien mayor" (una necesidad familiar, una demanda social o política).  Se trata de aumentar el peso de lo que un potencial "insider" considera el "bien", haciéndoles conocer la consecuencia de sus actos en terceros, más que en cumplir una norma "porque si".

Esta estrategia no debe ser mininizada, es finalmente muy importante en nuestra planificación de Ciberseguridad: si lo hacemos bien la probabilidad de un "insider", dañino y de larga duración, será más escasa (nunca imposible).  La consecuencia de hacerlo mal puede ser grave, como le ocurrió al General Leslie Groves.

Posiblemente, no hubo jamás en la historia de Occidente (que conozcamos) una estrategia de Seguridad tan rigurosa como la del Proyecto Manhattan: nada menos que la producción de la primera bomba atómica.

El proyecto Manhattan era tan secreto que obligó a reinventar la Seguridad de la Información en los EE.UU. de la década del ´40.  Los orígenes del proyecto hay que rastrearlos hasta 1938 cuando los científicos alemanes consiguieron producir la primera fisión nuclear en un laboratorio.  Esto provocó un revuelo en la comunidad científica americana, que se dio cuenta que la Alemania estaba en el camino de producir una bomba atómica que, en términos teóricos, ya se conocía.

A partir de esto, los físicos Leo Szilard y Eugene Wigner convencieron a Albert Einstein en agosto de 1939 que enviara una carta (redactada por ellos) al Presidente Roosevelt advirtiendo de este peligro.  Roosevelt puso el tema en manos de sus asesores científicos y tras largas discusiones internas y el intercambio de información con los británicos (que tenían su propio proyecto), aprobó un programa nuclear en octubre de 1941, dirigido por un Comité Secreto que tenía solo 6 personas: él mismo, más el Vicepresidente Wallace, el Secretario de Guerra Stimson, el Jefe de EM del Ejército, Marshall, el Director de I+D de Defensa, Vannegar Bush y su subordinado, James B. Connant.

Mantener el secreto de las deliveraciones de un Comité tan pequeño y selecto era relativamente sencillo.  Durante casi un año, se trabajó en definir objetivos factibles, el diseño general de las tecnologías necesarias, en la planificación de su producción industrial y, muy importante, en determinar el presupuesto necesario.  Para junio de 1942 había un plan de proyecto consistente, que fue aprobado por el Presidente Roosevelt.

El paso siguiente era mucho más complejo. Había que ejecutar un proyecto que, a priori, involucraría a cientos de científicos de diversas ramas de la física, miles de ingenieros, técnicos y personal militar y decenas de miles de trabajadores. En el cómputo final, hubo 129,000 personas involucradas en las tareas de construcción de la infraestructura que permitiría construir la bomba y un gasto total de 2,000 millones de U$S.  Algo muy difícil de ocultar. Y el secreto era fundamental por dos razones: (1) no incentivar a los nazis a acelerar sus esfuerzos y (2) evitar que el enemigo accediera al conocimiento de tecnologías vitales para desarrollar el arma.

En septiembre de 1942, la dirección del proyecto fue asignada a un brillante Ingeniero Militar, Leslie Groves, famoso por haber liderado el proyecto de construcción del Pentágono en los años anteriores. Groves recibió un ascenso a General de Brigada y se le dieron amplios poderes para disponer de recursos financieros, firmar contratos, fichar y organizar personal esencial, diseñar procesos de trabajo y, establecer medidas de seguridad, para evitar cualquier filtración.

General Leslie Groves

Uno de los problemas más severos para la Seguridad que Groves debió enfrentar era la diversidad del equipo del proyecto y su falta de experiencia militar. Se reclutaron los mejores físicos nucleares de Universidades e instituciones de investigacion, gente no acostumbrada al secreto (más bien lo contrario) ni al cumplimiento de rígidos reglamentos y órdenes. Además, muchos de ellos eran exiliados europeos, víctimas del nazismo o el fascismo, como el italiano Enrico Fermi, el húngaro Leo Szilard, el danés Niels Bohr y muchos otros, sin nacionalidad americana.  Pero también ingenieros y técnicos civiles procedentes de la industria, secretarias, personal administrativo, de sanidad, etc. Hasta obreros de construcción.

Este era un contexto muy complejo para establecer medidas de Seguridad que, no obstante, era vital para el éxito.  Sobre todo porque ya se habían detectado redes de espías nazis e intentos de infiltración y sabotaje en instalaciones industriales norteamericanas. A continuación, resumiremos algunas de las políticas y procedimientos de Seguridad establecidos por Groves y su equipo:

• Las instalaciones clave del proyecto se construyeron ad hoc en lugares aislados, lejos de las grandes ciudades (el desierto de Nuevo México, áreas rurales de Tenessee, etc). Gran parte del personal y sus familias tenía alojamientos allí.
• Cada sitio tenía múltiples barreras perimetrales con altas alambradas de espino y controles de acceso ("checkpoints") en secuencia, vigilados las 24 horas por personal militar.
• Cada trabajador debía pasar por un proceso de "security clearance" por el FBI descartando cualquier persona con antecedentes penales o lazos con el Eje
• Todo el personal estaba identificado con una tarjeta de identificación con su foto, nombre y apellido y su nivel de autorización (una innovación para la época)
• La identidad de la persona establecía un nivel de acceso a la información según un sencillo "código de colores"
  
• Amarillo: acceso a las áreas técnicas pero no a información clasificada
• Azul: nivel básico de información clasificada pero no acceso a áreas técnicas
• Roja: nivel mayor de información clasificada a nivel de departamento
• Blanca: acceso a información clasificada de los diferentes departamentos (sólo para directores y equipo científico clave)
• La información fue "compartimentada" de tal forma que cada unidad no sabía lo que estaba haciendo otra y, muchas veces, tampoco comprendía la utilidad de su propio trabajo.  El único que tenía toda la visión completa era Groves y un pequeño equipo científico (liderado por el Director Técnico del Proyecto, Robert Oppenheimer)
• Todo el correo entrante y saliente pasaba por la censura militar, que podía interrogar a cualquiera que introdujera algún elemento sospechoso (ciertas palabras estaban prohibidas, así como revelar ubicaciones)
• Nadie podía viajar de una instalación a otra sin autorización del propio Groves
• Todos los trabajadores debieron firmar un formulario con condiciones de confidencialidad, Ningún empleado podía hablar de su trabajo con otro sino sólo con su Supervisor.
• Para evitar que nadie olvidara sus obligaciones, la Administración lanzó una gran campaña de concenciación de los trabajadores basada en la necesidad del secreto, indicando que incluso ciertos datos aparentemente inocentes podían ser utilizados por el enemigo 

Cartel de propaganda utilizando en las instalaciones del "Proyecto Manhattan"

• Groves segregó las funciones de inteligencia, contrainteligencia y vigilancia en tres departamentos diferentes, con registros y archivos separados, que solo reportaban directamente a él.
  
  (Como se puede apreciar, muchos de estos conceptos se siguen aplicando en los procesos de seguridad de las organizaciones del siglo XXI. Todos los profesionales en Seguridad de la Información son, en cierta forma, tributarios del General Groves)

El proyecto Manhattan fue un éxito desde el punto de vista que consiguió el objetivo que se había planteado: construir la bomba antes que los nazis.  Sin embargo, a pesar de todos los esfuerzos, desde el punto de vista de la seguridad fue un fracaso rotundo. Mucho antes de lanzar la bomba la información confidencial del proyecto, sin que Groves lo supiera, ya había sido filtrada a otro Estado: la Unión Soviética.

Roosevelt había aceptado compartir (parcialmente) su secreto atómico con los británicos. Pero no lo hizo con su aliado soviético, de quien desconfiaba. Sabía que la URSS y los EEUU emergerían como las Superpotencias de la posguerra y quería conservar una carta ganadora. Mientras tanto compartía mucha otra información técnica con ellos (técnicas de producción, diseño de maquinarias, secretos energéticos, etc), pero no la bomba.

¿Qué había pasado? A pesar de todas las medidas legales, de seguridad y la campaña de divulgación ciertos "insiders" habían filtraron a los soviéticos información técnica muy relevante sobre el proyecto.

El más relevante era Klaus Fuchs, un destacado científico alemán exiliado en Gran Bretaña, que se incorporó al proyecto tras el acuerdo de colaboración con estos. Fuchs fue un miembro clave (tarjeta "blanca") en la elaboración del mecanismo de implosión de la bomba y era nada menos que el titular de la patente, junto con John Von Neumann, ¡ de la patente del detonador de la bomba !.  Pero Fuchs era también (lo había ocultado a los británicos) militante comunista en Alemania y estuvo pasando secretos a los soviéticos desde 1944.

Tarjeta de identificación "blanca" de Klaus Fuchs

Pero no lo más increíble es que no fue el único.  Otro físico, Theodore Hall, sumistró material secreto similar al de Fuchs.  Un ingeniero militar, David Greenglass, pasó secretos a través del matrimonio Rosenberg (ambos agentes del KGB).  Otros dos científicos de la planta de producción de agua pesada, el británico Alan Nunn May y el italiano Bruno Pontecorvo pasaron datos los soviéticos. May, incluso detalló lo aprendido en una entrevista con el propio Groves.  Según este informe del Departamento de Energía de los EE.UU. hay al menos otros 4 espías no identificados, sólo conocidos por sus claves de FOGEL/PERSEUS, MAR, ERIC y QUANTUM.

Por si fuera poco, en los años ´90 se publicaron las memorias del General Pavel Sudoplatov de la KGB.  En ellas afirma (sin pruebas documentales) que el propio Director Técnico, Robert Oppenheimer, y los destacados físicos Enrico Fermi, Niels Bohr y Leo Szilard eran espías soviéticos y que desde el primer momento estaban brindando información a los mismos.

¿Qué fue lo que falló? Una seguridad violada por tanta cantidad de "insiders" desde el "corazón" del proyecto hace pensar más en un factor moral que técnico (nadie pudo penetrar los secretos desde fuera).   Posiblemente, Groves falló en algo fundamental: dotar a su campaña de comunicación y a su propio "mission statement" de un mensaje capaz de generar escrúpulos morales a los potenciales "insiders".

El mensaje de Groves estaba basado en dos cosas: el respeto a las normas, el miedo a la sanción y el patriotismo.  Es normal: estaba acostumbrado a dirigirse a personal militar y americano. Pero no se percató de que su target efectivo estaba compuesto por científicos, muchos de ellos extranjeros, cuyas motivaciones no se basaban en el patriotismo ni en un "espíritu de cuerpo" militar. 

Los científicos, aunque odiaban a los nazis, no consideraban un "bien moral" preservar el secreto de un aliado, los soviéticos. O, aun más, consideraban a estos, como Fuchs, superiores moralmente.  Los agentes soviéticos, con mucha astucia, ayudaban a crear esta atmósfera transmitiendo a los espías que su fin era la "paz mundial".  En síntesis creaban un argumento moral inverso: valía la pena "romper las normas" (el bien menor) por el "paz mundial" (como bien mayor).

No sabemos que hubiese ocurrido si Groves hubiese ajustado bien su mensaje o hubiese sido más transparente en sus fines: una democracia global, basada en la ONU, que incluyera a la Unión Soviética, como quería Roosevelt. Quizás si la URSS no hubiese tenido acceso a los secretos de la bomba, la "glasnost" se hubiera dado 40 años antes de Gorvachev (fue lo que la élite soviética hizo cuando creyó que ya no poseía capacidad nuclear disuasoria por la IDE de Reagan). Pero lo que sabemos es que la consecuencia del trabajo de los "insiders" fue la "guerra fría", que destruiría miles de vidas en guerras satélite y llevaría a una carrera armamentística, que pondría al mundo al borde de la aniquilación.