La alerta pública es una de las pocas funciones de una agencia local en las que una sola pulsación de tecla llega a todo el mundo al mismo tiempo y no se puede deshacer. Los incidentes que vale la pena estudiar son aquellos en los que alguien investigó después y publicó lo que encontró, porque esos registros señalan el mismo conjunto reducido de problemas de diseño: una lista de plantillas donde la entrada del ejercicio queda junto a la entrada real, un guion de simulacro escrito con lenguaje de evento real, ninguna segunda persona en el proceso de autorización, y ningún mensaje de corrección redactado de antemano. Esto está escrito para cualquier persona en una agencia que tenga autoridad de alerta, o esté a punto de tenerla.

Treinta y ocho minutos en Hawái, y lo que encontraron dos investigaciones

En la mañana del 13 de enero de 2018, la Agencia de Manejo de Emergencias de Hawái (Hawaii Emergency Management Agency) envió una Alerta Inalámbrica de Emergencia (Wireless Emergency Alert, WEA) y un mensaje del Sistema de Alerta de Emergencia (Emergency Alert System, EAS) que informaba al público que un misil balístico se dirigía hacia la zona, que buscara refugio inmediato, y que esto no era un simulacro. La Oficina de Seguridad Pública y Seguridad Nacional (Public Safety and Homeland Security Bureau) de la FCC, que publicó sus hallazgos a finales de ese mes, situó la alerta errónea a las 8:07 a.m., hora local, y el mensaje de corrección a las 8:45 a.m., de donde proviene la cifra de treinta y ocho minutos. El estado de Hawái publicó su propia investigación interna, realizada por el general de brigada Bruce Oliveira de la Guardia Nacional de Hawái (Hawaii National Guard), en ese mismo período.

El informe de la Oficina ubica la alerta dentro de un simulacro interno sin previo aviso realizado durante un cambio de turno. El mensaje grabado del simulacro que se reprodujo para el empleado de turno contenía lenguaje de ejercicio al principio y al final, y también contenía la frase del guion real de misil balístico que decía que esto no era un simulacro. El empleado declaró que creyó que la amenaza era real. Se negó a ser entrevistado por la Oficina y en su lugar presentó una declaración escrita, lo cual la Oficina señaló, y esa limitación forma parte del registro publicado y no es algo que deba pasarse por alto. La Oficina determinó que la agencia carecía de salvaguardas razonables, entre ellas cualquier requisito de que una segunda persona autorizara una alerta de esa magnitud, y que no contaba con ninguna plantilla preparada de antemano para corregir una falsa alerta de misil balístico.

En los pocos minutos posteriores a las 8:07, la agencia detuvo la retransmisión adicional de la alerta, lo cual importó para los teléfonos que aún no habían sido alcanzados y no sirvió de nada para los que ya lo habían sido. La media hora restante se dedicó a redactar y emitir algo que la agencia nunca había puesto por escrito. El administrador de la agencia renunció y el empleo del empleado terminó, y yo no trataría ninguno de los dos hechos como la lección, porque las recomendaciones de la Oficina se referían al procedimiento, a la autorización y al software, y no a la mañana de ese operador en particular.

La lista de plantillas, el aviso de confirmación, y lo que la pantalla realmente preguntaba

Las herramientas de origen de alertas (alert origination tools) le presentan al operador una lista de plantillas guardadas, y en la mayoría de las implementaciones las versiones de simulacro y las versiones reales de la misma alerta conviven en esa única lista, distinguidas por una palabra. Hawái entregó a los periodistas la imagen de un menú de ese tipo después del incidente y luego indicó que la imagen era un ejemplo ilustrativo y no la pantalla real que vio el operador, así que no construiría un argumento sobre el detalle exacto de esos píxeles. La condición general que ilustra sí es real, y la he visto en herramientas que están en servicio hoy, donde dos entradas difieren solo por un prefijo y las consecuencias de elegir mal difieren en todo lo demás.

Un aviso de confirmación (confirmation prompt) es la respuesta habitual a ese problema, y es una respuesta débil cuando el aviso aparece en cada acción que el operador realiza durante todo el turno. Las personas aprenden la forma de un cuadro de diálogo y lo responden sin leerlo, lo cual no es un defecto de carácter sino un resultado previsible de hacer una pregunta de sí o no cientos de veces cuando la respuesta casi siempre es sí. Un paso de confirmación se justifica cuando obliga al operador a aportar algo específico de la decisión en curso, como escribir la palabra que identifica la clase de alerta, volver a ingresar el nombre del polígono, o leer en voz alta un código de autorización que solo existe cuando hay un evento real en curso.

El diseño más sólido separa los modos en lugar de solo etiquetarlos. El trabajo de ejercicio ocurre en un entorno de entrenamiento o contra un objetivo de prueba, de modo que la lista de plantillas reales contiene únicamente plantillas reales y las plantillas de ejercicio están en un lugar al que el operador debe ir deliberadamente. FEMA opera un entorno de laboratorio para las autoridades de alerta de IPAWS (Integrated Public Alert and Warning System) donde se puede probar la composición y difusión de mensajes sin llegar al público, y cualquier agencia con un Grupo Operativo Colaborativo (Collaborative Operating Group, COG) debería saber si la herramienta de su propio proveedor puede apuntar a ese entorno y quién en la agencia sabe cómo cambiarlo. Pregúntele a su proveedor por escrito, porque la respuesta determina si su práctica mensual de competencia es una actividad segura o una cargada de riesgo.

Simulacros realizados en el sistema real, y guiones escritos con lenguaje de evento real

El registro de Hawái es el ejemplo publicado más claro de un guion de simulacro que llevaba una redacción de alerta real, ya que el mensaje del ejercicio contenía tanto los marcadores de ejercicio como la frase operativa que le decía al oyente que esto no era un simulacro. Cualquiera que haya escrito injertos (injects) de ejercicio sabe por qué ocurre esto, porque el realismo es precisamente el objetivo y un guion lleno de descargos de responsabilidad de ejercicio se lee como relleno. La solución es mantener la redacción realista dentro de la narrativa del escenario y mantener las palabras que activan la acción, incluida la frase que le indica al operador que envíe, distintas entre el simulacro y el evento real.

Ontario aporta un segundo caso documentado. En la mañana del 12 de enero de 2020, una alerta sobre un incidente en la Central Nuclear de Pickering (Pickering Nuclear Generating Station) llegó al público en toda la provincia, y el Gobierno de Ontario declaró que se había emitido por error durante un ejercicio de entrenamiento de rutina y ordenó una revisión. Reportes de prensa de la época situaron la alerta de seguimiento que informaba al público que no había peligro en aproximadamente una hora y tres cuartos después de la primera, y señalo esto como algo reportado y no como una cifra que haya verificado contra la cronología propia de la provincia, que es el documento que se debe consultar. La provincia anunció posteriormente cambios de procedimiento, y el mecanismo de la falla original fue un entrenamiento realizado con acceso a la vía de difusión real.

El Protocolo Común de Alerta (Common Alerting Protocol, CAP) tiene campos exactamente para esta distinción, con un valor de estado que marca un mensaje como Actual, Ejercicio, Sistema o Prueba, y tipos de mensaje que incluyen Alerta, Actualización, Cancelación y Error. Esos campos solo funcionan si los sistemas posteriores los respetan y las personas en la cadena los notan, y la pregunta útil en su agencia es cuál de sus rutas le muestra el estado a una persona y cuál lo descarta. Verifique eso con quien administre su herramienta de alerta en lugar de suponerlo, porque un mensaje marcado como Ejercicio que llega a un cintillo de transmisión (broadcast crawl) o a un teléfono como texto ordinario ha hecho un daño real sin importar lo que dijera el campo.

El mensaje que nadie redactó de antemano

La versión documentada más antigua de este problema en la práctica estadounidense es la activación del Sistema de Difusión de Emergencia (Emergency Broadcast System) del 20 de febrero de 1971, cuando el operador del centro nacional de alerta en Cheyenne Mountain transmitió una Notificación de Acción de Emergencia (Emergency Action Notification) real, con la palabra de autenticación hatefulness, en lugar de la prueba semanal programada. Los relatos de los cuarenta minutos siguientes difieren en sus detalles, y la propia revisión de la FCC sobre el incidente es el registro que se debe consultar, pero la forma de la falla es consistente en todos ellos: la activación fue autenticada y la cancelación también tenía que autenticarse, y las personas que necesitaban dejar de transmitir no tenían una forma verificada de saber que detenerse era legítimo. Pasaron cerca de cuarenta minutos antes de que una terminación válida llegara a las estaciones, y algunas ya habían salido del aire mientras otras habían ignorado el aviso por completo.

Medio siglo después, Hawái dedicó treinta y ocho minutos al mismo problema en una tecnología distinta, porque la Oficina determinó que la agencia no contaba con una plantilla de corrección preparada de antemano para una falsa alerta de misil balístico. Redactar un mensaje en un cuadro de texto mientras los teléfonos del propio edificio suenan y la propia familia está llamando no es una tarea que nadie realice bien, y no es una tarea que deba realizarse en absoluto. Cada tipo de alerta que su agencia esté autorizada a enviar debería tener una corrección correspondiente guardada junto a ella, con la redacción ya acordada por su oficial de información pública y su asesoría legal, de modo que el trabajo del operador se limite a seleccionarla, confirmar la geografía y enviarla.

Existe un límite duro sobre lo que una cancelación puede lograr, y quienes elaboran planes deberían decirlo en voz alta. Un mensaje WEA que ya se mostró en un teléfono no se puede retirar, de modo que una cancelación detiene la distribución adicional y una corrección es un mensaje nuevo que compite por la atención con el primero. Esa asimetría es la razón por la cual la corrección redactada de antemano importa tanto, ya que la única variable que su agencia realmente controla es cuántos minutos transcurren antes de que exista el segundo mensaje.

Cuánto tarda realmente una corrección, y quién sigue repitiendo el primer mensaje

El reloj de la corrección no se detiene cuando su segundo mensaje sale de la pasarela de alerta (alert gateway), porque para ese momento el primer mensaje ya ha sido reenviado, capturado en pantalla, leído al aire, empujado por aplicaciones del clima, repetido por redacciones de noticias fuera del área, y publicado por personas que nunca verán su mensaje de seguimiento. En Hawái, la agencia usó las redes sociales bastante antes de que saliera la alerta corregida, y el gobernador David Ige les dijo a los periodistas ese mismo mes que no conocía las credenciales de su propia cuenta de Twitter, lo cual retrasó su publicación. Ese detalle suele tratarse como una anécdota graciosa y en realidad es un hallazgo de planificación, porque la vía de corrección incluye cuentas, números telefónicos y relaciones que tienen que funcionar la peor mañana sin que nadie tenga que buscar una contraseña.

Construya la difusión de notificación para una falsa alerta de la misma manera en que construiría una para un incidente real, con roles nombrados y números vigentes. El centro 911 recibe primero el volumen de llamadas y necesita un saludo grabado y una decisión de supervisión sobre lo que dirán los telecomunicadores. Los socios de radiodifusión, el punto de alerta estatal, los Centros de Operaciones de Emergencia (Emergency Operations Center, EOC) de los condados vecinos y el distrito escolar reciben una llamada directa en lugar de quedar a la espera de leer su página de Facebook. Quien tenga a cargo las cuentas de redes sociales de su agencia tiene que estar disponible, y más de una persona tiene que tener acceso a ellas.

Cronometre esto en la práctica en lugar de suponerlo. Inicie el cronómetro en el momento en que alguien en la sala dice que la alerta fue errónea, y deténgalo cuando se haya enviado una corrección y la primera llamada saliente a un socio de radiodifusión haya sido contestada. Haga el ejercicio en un entorno de laboratorio para que nada llegue al público, anote el número de minutos en el informe posterior a la acción, y trate ese número como la medida de desempeño de su programa de alerta.

Codificado como prueba, entregado como real: el mensaje de tsunami de 2017

El 6 de febrero de 2017, un mensaje de prueba de rutina sobre tsunami del Servicio Meteorológico Nacional (National Weather Service) llegó al público a través de al menos un redistribuidor comercial como si fuera una advertencia de tsunami real en partes de la Costa Este y el Golfo. El Servicio Meteorológico Nacional declaró públicamente que el mensaje había sido identificado como una prueba. AccuWeather declaró públicamente que la codificación del mensaje que recibió indicaba una advertencia real. Esos dos relatos no coinciden, ambas partes publicaron sus posiciones en su momento, y aquí no voy a decidir cuál tiene razón, porque la lección de diseño se sostiene con cualquiera de las dos versiones.

La lección es que su mensaje viaja a través de sistemas que usted no administra, operados por personas que no asistieron a su capacitación, y cada uno de esos sistemas toma su propia decisión sobre qué campo confiar. Si un indicador de prueba vive en una parte del mensaje y el contenido accionable vive en otra, algún analizador (parser) en algún punto terminará respetando el segundo y descartando el primero. La implicación práctica para una agencia local es poner la palabra PRUEBA en el texto visible de un mensaje de prueba y no solo en un campo de protocolo, de modo que una persona al final de cualquier ruta pueda verla incluso si la maquinaria la perdió.

La integridad del mensaje pertenece a esta misma sección, a nivel de conciencia. En febrero de 2013, varias estaciones de radiodifusión transmitieron un mensaje falso de EAS sobre muertos que se levantaban de sus tumbas, y la Oficina de Seguridad Pública y Seguridad Nacional de la FCC emitió un aviso urgente ordenando a los participantes de EAS cambiar las contraseñas de fábrica por defecto en sus equipos codificadores y decodificadores, y mantener esos equipos fuera del internet abierto, detrás de un cortafuegos (firewall). Nada en ese episodio fue sofisticado, y nada en el remedio lo fue tampoco, razón por la cual la pregunta que debe hacerle a su ingeniero este mes es si todo dispositivo y estación de trabajo de alerta en su agencia todavía conserva una credencial por defecto.

Reglas de dos personas, permisos, y su costo a las tres de la mañana

Los hallazgos de la FCC sobre Hawái recomendaron salvaguardas que incluían el requisito de que más de una persona participara en la emisión de una alerta de esa gravedad, y esa recomendación es fácil de escribir en un plan y difícil de cumplir a las 3:00 a.m. de un fin de semana festivo con una sola persona de turno. Una regla de dos personas que el personal real no pueda ejecutar será eludida la primera vez que resulte inconveniente, y será eludida en silencio, lo cual es peor que no tenerla. Decida según la clase de alerta en lugar de una regla única: una alerta que le indica al público tomar una acción irreversible, como refugiarse de un misil balístico o evacuar un corredor, recibe un segundo autorizador, mientras que un aviso de hervir el agua o un mensaje de cierre de vía no necesita uno.

Haga que la segunda persona sea localizable por diseño. Eso significa un rol de guardia nombrado con un número que suene en un teléfono que alguien esté sosteniendo, un respaldo documentado si el primer número no responde en dos minutos, y autoridad explícita para que el operador de turno envíe sin la segunda firma cuando se cumpla una condición específica de seguridad de vida, y documente esa decisión después. Si su plan no dice qué sucede cuando no se puede localizar a la segunda persona, su plan ha decidido que la alerta espera, y nadie que participó en escribirlo tuvo esa intención.

Los permisos son la otra mitad del control. Las herramientas de origen de alertas admiten cuentas basadas en roles, y la mayoría de las agencias que he revisado tienen más cuentas con autoridad de envío real de las que pueden justificar, incluidas personas que se trasladaron, se jubilaron o pasaron a otra agencia. Imprima la lista, concíliela con la nómina actual, elimine lo que no debería estar ahí, y revise al mismo tiempo los registros de capacitación, ya que las autoridades de alerta operan bajo un acuerdo con FEMA que trae consigo expectativas de entrenamiento, y usted quiere conocer ese estado antes de que otra persona pregunte.

Lo que una falsa alerta le hace a la siguiente alerta real

Las Alertas Inalámbricas de Emergencia (WEA) permiten a los suscriptores desactivar todas las categorías excepto la alerta nacional, de modo que una falsa alerta un sábado por la mañana les da a miles de personas una razón concreta para entrar a la configuración de su teléfono y darse de baja de los mensajes de amenaza inminente antes del próximo huracán. Eso es una característica documentada del sistema y no una especulación sobre la naturaleza humana, y es la razón por la cual una falsa alerta es un problema estructural para un programa de alerta y no solo una vergüenza pública. Nadie le entrega a usted un informe sobre cuántos teléfonos se dieron de baja en su condado el mes pasado, lo cual significa que el daño es real e invisible al mismo tiempo.

La reacción dentro de las agencias puede costar tanto como la reacción fuera de ellas. Después de los incendios forestales del norte de California en 2017, la decisión de algunos funcionarios locales de no enviar alertas inalámbricas se convirtió en objeto de revisión posterior a la acción y de atención legislativa, y California le ordenó a su Oficina de Servicios de Emergencia (Office of Emergency Services, Cal OES) desarrollar lineamientos estatales de alerta y advertencia en respuesta, lo cual usted debería verificar en su forma actual con Cal OES en lugar de con mi resumen. La preocupación que expresaron esos funcionarios, de que una alerta amplia movilizaría a personas que no estaban en peligro y congestionaría las vías para quienes sí lo estaban, era una preocupación real que la focalización geográfica (geotargeting) previa a 2019 empeoraba. Desde entonces, la FCC ha exigido una focalización geográfica más precisa por parte de los operadores participantes, y vale la pena confirmar los requisitos vigentes en las páginas de WEA de la Comisión antes de planificar con base en ellos.

Toda agencia que tenga autoridad de alerta está, por lo tanto, gestionando dos modos de falla al mismo tiempo, y la manera honesta de manejarlos es escribir los umbrales por adelantado. Decida ahora, en pleno día, qué condiciones justifican una alerta de amenaza inminente en su jurisdicción, quién aprueba cada clase, cómo se ve el polígono, y qué dice la corrección si se equivocan. Una agencia que tiene esas decisiones por escrito envía más rápido cuando debe hacerlo y se recupera más rápido cuando no debió haberlo hecho, y el registro de Hawái, Ontario y 1971 señala en los tres casos la misma documentación faltante y no una tecnología faltante.

Qué hacer en su agencia

• Pida a la persona que administra su Grupo Operativo Colaborativo de IPAWS que imprima la lista de cuentas con permiso de envío real y la fecha del último entrenamiento de IPAWS de cada titular, que la concilie con la nómina actual este mes, y que elimine las cuentas de personas que ya se fueron.
• Siéntese en la estación de trabajo de origen de alertas junto con su coordinador de alerta, lea en voz alta la lista de plantillas guardadas, identifique cualquier par de entradas que difieran solo por una palabra como simulacro o prueba, y pregúntele por escrito al proveedor cómo renombrarlas, reordenarlas o sacarlas de la lista de plantillas reales.
• Haga que su oficial de información pública redacte la corrección para cada tipo de alerta que esté autorizado a enviar, y que el administrador de la herramienta guarde cada una como plantilla junto a la alerta que corrige, de modo que emitir una corrección sea una selección y no un ejercicio de redacción.
• Realice un simulacro cronometrado en el entorno de laboratorio de IPAWS de FEMA en lugar del sistema real, iniciando el reloj cuando alguien anuncie que la alerta fue errónea y deteniéndolo cuando se haya enviado la corrección y un socio de radiodifusión haya contestado la llamada, y registre ese número de minutos en el informe posterior a la acción.
• Agregue un punto a la próxima reunión del EOC o del comité de comunicaciones que ya esté en el calendario: quién es el segundo autorizador para una alerta de seguridad de vida a las 3:00 a.m., qué número contacta a esa persona, y qué hace el operador de turno si nadie contesta en dos minutos.
• Pídale a su ingeniero o a su responsable de tecnología de la información que confirme por escrito que ningún dispositivo o estación de trabajo de alerta, incluidos los codificadores y decodificadores de EAS, todavía conserva una contraseña de fábrica por defecto o es accesible desde el internet público.
• Escriba un párrafo en su anexo de alerta existente que enumere los roles notificados dentro de los cinco minutos siguientes a una sospecha de falsa alerta, nombrando el centro 911, los socios de radiodifusión, los EOC vecinos y las escuelas, con números vigentes adjuntos como apéndice que alguien actualice trimestralmente.

Puntos clave

• El informe de la Oficina de Seguridad Pública y Seguridad Nacional de la FCC sobre la falsa alerta de misil balístico del 13 de enero de 2018 en Hawái situó el mensaje erróneo a las 8:07 a.m., hora local, y la corrección a las 8:45 a.m., y determinó que la agencia no tenía plantilla de corrección preparada ni requisito de que una segunda persona autorizara la alerta.
• El guion del simulacro de Hawái contenía tanto marcadores de ejercicio como la frase real que le decía al oyente que esto no era un simulacro, razón por la cual el realismo del ejercicio pertenece a la narrativa del escenario y no a las palabras que activan un envío.
• El Gobierno de Ontario declaró que la alerta nuclear de Pickering del 12 de enero de 2020 se emitió por error durante un ejercicio de entrenamiento de rutina y ordenó una revisión, y reportes de prensa situaron la alerta de seguimiento aproximadamente una hora y tres cuartos después, una cifra que vale la pena verificar contra la cronología publicada por la propia provincia.
• La activación del Sistema de Difusión de Emergencia del 20 de febrero de 1971 muestra que la vía de cancelación necesita tanta atención de diseño como la vía de activación, porque las estaciones que necesitaban detenerse no tenían una forma verificada de saber que detenerse estaba autorizado.
• Un cuadro de diálogo de confirmación que aparece en cada acción no es una salvaguarda, y un paso de confirmación solo ayuda cuando exige información específica de la decisión real, como escribir una clase de alerta o leer en voz alta una autorización de una segunda persona.
• Un mensaje WEA que ya se mostró en un teléfono no se puede retirar, así que la única variable que una agencia controla es el número de minutos antes de que exista una corrección, y una plantilla de corrección redactada de antemano es la forma más económica de acortarlo.
• En el incidente del mensaje de tsunami del 6 de febrero de 2017, el Servicio Meteorológico Nacional dijo que el mensaje fue identificado como una prueba mientras que AccuWeather dijo que la codificación que recibió indicaba una advertencia real, los dos relatos no coinciden, y la respuesta práctica es poner la palabra PRUEBA en el texto visible y no solo en un campo de protocolo.
• Debido a que los suscriptores pueden darse de baja de todas las categorías de WEA excepto la alerta nacional, una falsa alerta elimina personas de su audiencia de alerta de forma permanente y silenciosa, lo cual convierte los umbrales escritos, los aprobadores nombrados y una vía de corrección ensayada en parte del sistema de alerta y no en papeleo alrededor de él.