Regla de dos personas

La regla de las dos personas es un mecanismo de control diseñado para lograr un alto nivel de seguridad para materiales u operaciones especialmente críticos. Según esta regla, el acceso y las acciones requieren la presencia de dos o más personas autorizadas en todo momento.

Según la Instrucción de la Fuerza Aérea de los Estados Unidos (AFI) 91-104, el "concepto de dos personas" está diseñado para prevenir el lanzamiento accidental o malicioso de armas nucleares por parte de un solo individuo. ^{[ 1 ]}

En el caso de las tripulaciones de lanzamiento de misiles Minuteman , una vez recibida la orden de lanzamiento, ambos operadores deben confirmar su validez comparando el código de autorización con un Autenticador Sellado (un sobre especial sellado que contiene un código de verificación). Estos Autenticadores Sellados se guardan en una caja fuerte con dos cerraduras independientes . Cada operador solo puede abrir una cerradura (con llave o combinación), por lo que ninguno puede abrir la caja fuerte solo. Además, cada operador dispone de una de las dos llaves de lanzamiento; una vez verificada la orden, deben insertar las llaves en las ranuras del panel de control y girarlas simultáneamente. Como medida de precaución adicional, las ranuras para las dos llaves están lo suficientemente separadas como para que un solo operador no pueda acceder a ambas a la vez. Para mayor seguridad, la tripulación de otro centro de control de lanzamiento debe verificar el código de autorización y girar sus llaves para que se lancen los misiles. Por lo tanto, se deben abrir un total de cuatro cerraduras y girar cuatro llaves para iniciar un lanzamiento.

En un submarino , tanto el comandante como el segundo al mando deben estar de acuerdo en que la orden de lanzamiento es válida y luego autorizar el lanzamiento conjuntamente con su personal de operaciones. En lugar de que una tercera persona confirme el lanzamiento de un misil, como en el caso de los ICBM terrestres , un tercer oficial —el oficial de armamento— también debe confirmarlo. Además, el juego de llaves se distribuye entre el personal clave del submarino y se guarda en cajas fuertes (cada miembro de la tripulación solo tiene acceso a su llave). Algunas llaves se almacenan en cajas fuertes especiales a bordo, protegidas con cerraduras de combinación . Nadie a bordo tiene la combinación para abrir estas cajas fuertes; solo se proporciona como parte de la orden de lanzamiento ( Mensaje de Acción de Emergencia ) de la autoridad superior. ^{[ 2 ]}

El periodista Ron Rosenbaum ha señalado que, una vez emitida la orden, el proceso se centra exclusivamente en autenticar la identidad de los oficiales al mando y la autenticidad de la orden, y no existen salvaguardias para verificar que la orden o la persona que la emite estén realmente en su sano juicio . ^{[ 3 ]} Cabe destacar que el mayor Harold Hering fue dado de baja de la Fuerza Aérea por preguntar: "¿Cómo puedo saber que una orden que recibo para lanzar mis misiles proviene de un presidente cuerdo?". ^{[ 3 ]}

La regla de las dos personas solo se aplica en los silos de misiles y submarinos; no existe ningún control sobre la autoridad exclusiva del presidente de los Estados Unidos para ordenar un lanzamiento nuclear. ^{[ 4 ]}

La integridad de dos personas (TPI) es la medida de seguridad que se toma para evitar el acceso de una sola persona al material de claves COMSEC y a los manuales criptográficos. La TPI se logra de la siguiente manera: ^{[ 5 ]}

• La presencia constante de dos personas autorizadas cuando se manipula material COMSEC; ^{[ 5 ]}
• El uso de dos cerraduras de combinación en contenedores de seguridad utilizados para almacenar material COMSEC; y ^{[ 5 ]}
• El uso de dos dispositivos de bloqueo y una barrera física para el equipo. ^{[ 5 ]}

En ningún momento una persona puede tener en su poder las combinaciones o claves para obtener acceso exclusivo a un contenedor de seguridad o equipo criptográfico que contenga material COMSEC. Tampoco puede una persona tener la posesión exclusiva de material COMSEC que requiera seguridad TPI. ^{[ 5 ]}

Una zona de acceso restringido es un área que, cuando está dotada de personal, debe contar con dos o más personas cualificadas o con autorización de seguridad. ^{[ 6 ]} Dichas personas deben mantener contacto visual entre sí y con el o los componentes que requieren la designación de zona de acceso restringido. Esta zona puede contener un componente criptográfico, hardware de un sistema de armas en fase de prueba, un arma nuclear, controles de armas activos u otra información o dispositivos críticos similares.

En la política de la Fuerza Aérea de los Estados Unidos (USAF) relativa a las armas críticas, una zona de acceso restringido es un área donde está prohibido el ingreso de una sola persona sin acompañante. El concepto de dos personas requiere la presencia de al menos dos individuos con conocimiento de la(s) tarea(s) a realizar; además, cada individuo debe ser capaz de detectar cualquier procedimiento incorrecto o no autorizado por parte de otros en relación con la(s) tarea(s). ^{[ 7 ]}

La regla de las dos personas se utiliza en otras aplicaciones críticas para la seguridad donde se requiere la presencia de dos personas antes de realizar una operación potencialmente peligrosa. Esta es una práctica de seguridad común en, por ejemplo, laboratorios y talleres mecánicos. En este contexto, la seguridad adicional puede ser menos importante que el hecho de que, si una persona resulta herida, la otra pueda pedir ayuda. Como otro ejemplo, los bomberos que operan en un entorno peligroso ( es decir , incendio en el interior de una estructura, zona HAZMAT, también conocida como IDLH , o "inmediatamente peligroso para la vida o la salud") funcionan como un equipo de al menos dos personas. Generalmente hay más de un equipo en el mismo entorno, pero cada equipo opera como una unidad.

Las llaves dobles requieren la autorización de dos partes distintas antes de realizar cualquier acción. La forma más sencilla de seguridad con llaves dobles es una cerradura que requiere dos llaves para abrirse, cada una en posesión de una persona diferente. La cerradura solo puede abrirse si ambas partes dan su consentimiento simultáneamente. En 1963, Canadá aceptó tener ojivas nucleares estadounidenses W-40 bajo control de llaves dobles en territorio canadiense, para ser utilizadas en los misiles canadienses Bomarc .

De manera similar, muchos bancos implementan alguna variante de la regla de las dos personas para asegurar grandes sumas de dinero y objetos de valor. Según este concepto, para abrir la bóveda se requieren dos personas con llaves diferentes si la bóveda está protegida con un sistema de cerradura de llave. En el caso de las bóvedas bancarias protegidas con cerraduras de combinación, se puede asignar a dos o más empleados una parte de la combinación. Ninguno de ellos conoce la combinación completa, y todos deben estar presentes físicamente para abrir la bóveda.

Los proveedores de servicios en la nube han implementado mecanismos de aprobación multipartita para proteger las operaciones de infraestructura sensibles. Amazon Web Services (AWS) ofrece la aprobación multipartita como una funcionalidad de AWS Organizations, que requiere un número configurable de aprobadores de un equipo de aprobación designado para autorizar las operaciones protegidas antes de su ejecución. Cuando un usuario intenta realizar una operación protegida, el sistema crea una sesión de aprobación con límite de tiempo y notifica a los miembros del equipo, quienes deben revisar y aprobar la solicitud de forma independiente ^{[ 8 ]} . Esto extiende el concepto de dos personas a la gobernanza de la infraestructura en la nube, protegiendo operaciones como el acceso a bóvedas de copias de seguridad o la asunción de roles administrativos privilegiados. A diferencia de los sistemas físicos de dos claves, las implementaciones en la nube suelen admitir umbrales de aprobación M de N configurables, donde M aprobadores de un total de N miembros del equipo deben aprobar, y se integran con los sistemas de gestión de identidades existentes para vincular cada aprobación a una identidad humana individual.

Como extensión de la justificación general de la regla de las dos personas, las regulaciones para algunas empresas u organizaciones sin fines de lucro pueden exigir la firma de dos ejecutivos en los cheques. Estas reglas dificultan que una persona que actúe sola defraude a la organización.

Algunos sistemas informáticos imponen una regla de dos personas, según la cual ciertas acciones (por ejemplo, transferencias bancarias ) solo pueden realizarse si son aprobadas por dos usuarios autorizados. Esto ayuda a prevenir errores costosos y dificulta la comisión de fraudes o malversaciones . Si bien estos requisitos son comunes en los sistemas financieros, también se utilizan en los controles de infraestructuras críticas, como los reactores nucleares para la generación de energía eléctrica, y en operaciones peligrosas, como las instalaciones de investigación de riesgos biológicos .

Finalmente, el testimonio de dos testigos es valioso en diversas situaciones para disuadir un acto ilícito o una falsa acusación de uno, o para probar que se produjo un acto ilícito.

En algunos centros penitenciarios, a los reclusos se les puede asignar la regla de las dos personas, lo que significa que se deben utilizar al menos dos funcionarios penitenciarios para trasladar a ese recluso en particular, principalmente por razones disciplinarias o posibles problemas de seguridad para los funcionarios.

• En la película La caza del Octubre Rojo , cuando el capitán Ramius toma la llave del misil del oficial político muerto, un compañero, el médico del barco, le pide que se quede con la llave, usando la regla de las dos personas como razón, diciendo: "La razón por la que hay dos llaves de misiles es para que ningún hombre pueda armar los misiles".
• La regla de las dos personas fue crucial en la película Marea Roja cuando el capitán y el segundo al mando del USS Alabama discreparon sobre el lanzamiento de armas nucleares.
• En la novela de Tom Clancy, La suma de todos los miedos , el presidente Robert Fowler y Jack Ryan, como subdirector de la Agencia Central de Inteligencia , eran las dos personas autorizadas para dar la orden de lanzamiento nuclear contra una ciudad que se creía albergaba a un líder terrorista. Ryan se negó a validar la orden y el ataque nuclear fue abortado. Ryan era el segundo al mando porque el secretario de Defensa había muerto en un atentado terrorista.
  • En la versión cinematográfica , en la que Ryan era analista de la CIA , el segundo personaje era el Secretario de Estado Sidney Owens.
• En la película Juegos de guerra , un equipo de dos personas a bordo de un misil recibe y verifica la orden de lanzamiento, pero uno de ellos se niega a girar la llave de lanzamiento incluso después de que el otro lo amenace con dispararle. Sin que ellos lo sepan, el ataque era una simulación; este incidente (así como una tasa significativa de negativas similares entre otros equipos de misiles) sienta las bases de la película, en la que el Departamento de Defensa pone el sistema de lanzamiento de misiles bajo control totalmente automático para evitar futuras negativas a lanzar.
• De forma similar a WarGames , en el videojuego Command & Conquer: Red Alert 2 un oficial apunta con un arma al segundo cuando recibe la orden de lanzar misiles nucleares. Sin embargo, esto no se debe a un desacuerdo, sino a un control mental directo .
• La franquicia Star Trek muestra la regla de dos personas y otras variaciones similares en situaciones críticas, a menudo relacionadas con armar o desactivar el mecanismo de autodestrucción de una nave (excepto en Star Trek: Voyager, donde solo se requería la autorización del Capitán). Algunas variantes requieren la autorización de tres oficiales superiores (el episodio original de Star Trek " Let That Be Your Last Battlefield ", Star Trek III: The Search for Spock , Star Trek: First Contact ), otras solo los oficiales al mando y ejecutivo ( episodios de Star Trek: The Next Generation " 11001001 " y " Where Silence Has Lease ", episodio de Star Trek: Deep Space Nine " The Adversary "). Todas las representaciones incluyen la autorización verbal de los oficiales involucrados, mientras que la variante de dos personas también incluía la identificación por huella dactilar.
• En la película Bee Movie , cuando se ordena detener la producción de miel, dos trabajadores giran simultáneamente las llaves de contacto de sus vehículos para desbloquear un botón de apagado.
• En «La Antorcha de la Libertad» , de Eric Flint, el dispositivo de autodestrucción nuclear de una instalación importante requiere al menos dos personas para su activación. Sin embargo, una sola persona consigue acceder a todos los códigos necesarios y logra activar el dispositivo.
• En el primer episodio de la serie de ABC Last Resort , Marcus Chaplin y Sam Kendal, capitán y segundo al mando respectivamente, realizan un procedimiento de lanzamiento entre dos personas, antes de cuestionar la orden de ataque.
• En El día después , Estados Unidos inicia un contraataque contra la Unión Soviética. Esto incluye una secuencia completa del lanzamiento de un misil LGM-30 Minuteman por dos personas , tomada de la película anterior Primer ataque .
• En la película de animación Inside Out de Pixar , las emociones personificadas del padre inician el castigo por el mal comportamiento de Riley utilizando un sistema de reglas para dos personas que activa un mecanismo para "poner los pies en la tierra".
• En el episodio " Soledad " de la serie Supergirl de CBS , la villana Indigo mata a todo el personal del silo para robar las llaves y luego estira los brazos para girar ambas llaves al mismo tiempo, lanzando un misil nuclear destinado a destruir National City.
• En GoldenEye, el satélite de ataque EMP que da nombre al juego solo puede ser disparado de esta manera tanto en las instalaciones de Severnaya como en las de Cuba.
• En un episodio de Madam Secretary , dos oficiales inician la regla de dos personas para lanzar un misil balístico intercontinental, pero en el último momento llega una orden de cancelación.
• En la tercera temporada de la serie de Netflix Stranger Things , una máquina soviética subterránea requiere que dos personas abran y cierren una puerta al Mundo del Revés. ^{[ 19 ]} Joyce Byers se ve obligada a girar ambas llaves simultáneamente para operar la máquina dañada, lo que provoca una explosión.
• En los episodios de la primera temporada " ¿Qué hay para cenar?" y "El nosotros que somos" de la serie Severance de Apple TV , Dylan tiene dificultades para activar la contingencia de horas extras que se supone que está protegida por una regla de posicionamiento de interruptores que requiere de dos personas.

• Sistema de compañeros
• Fallo mortal
• Enlace de acción permisiva (PAL)
• Separación de funciones
• El secreto compartido de Shamir

• Artículo del Servicio de Parques Nacionales de EE. UU. sobre los centros de control de lanzamiento de misiles Minuteman , con detalles sobre su funcionamiento.
• Manual de recuperación de armas nucleares del Departamento de Defensa de EE. UU. con referencia a la regla de los dos hombres.