Charles Denyer ha trabajado para el Departamento de Defensa y para 17 organismos de inteligencia estadounidenses e internacionales, ya sea directamente o como consultor, durante la mayor parte de su carrera profesional.
Por eso se muestra escéptico ante las recientes directivas federales de la Oficina de Seguridad de la Información ( ) , que ordenan a los organismos estadounidenses corregir de inmediato las vulnerabilidades conocidas del software, como el reciente ataque informático al Log4j de código abierto. Las directivas exigen que la aplicación de parches se lleve a cabo en un plazo de semanas o meses.
Denyer, que asesora a líderes empresariales en materia de ciberseguridad, prácticas de ciberhigiene y cuestiones de cumplimiento normativo, afirma que las agencias federales «resultan más difíciles [que las empresas privadas] de corregir y gestionar». «El proceso de aprobación de las herramientas y soluciones de seguridad, así como el proceso de implementación, es extremadamente lento y burocrático».
A estos problemas se suma el hecho de que las agencias federales están sufriendo una fuga de cerebros en materia de ciberseguridad, ya que están perdiendo talento a favor de puestos mejor remunerados en el sector privado. (Según una estimación, siguen sin cubrirse 36,000 puestos de trabajo relacionados con la ciberseguridad en el sector público , incluidos 1,700 puestos solo en el Departamento de Seguridad Nacional.) Esto significa que hay menos expertos para gestionar la compleja infraestructura de red del Gobierno y, a menudo, herramientas y sistemas heredados obsoletos . Los organismos de control llevan años otorgando calificaciones insuficientes a estos sistemas.
«No estoy seguro de que los dirigentes comprendan el problema», afirma Nichoel Brooks, director del área de servicios federales de la consultora Optiv Security y ex coronel del Ejército de los Estados Unidos que dirigió la modernización de los servicios de inteligencia. «Todo se reduce a visualizar ese problema. «El resultado para los organismos federales es que no disponen de personal suficiente para llevar a cabo todas las tareas, ni siquiera en las mejores circunstancias».
A medida que las agencias reestructuran sus estrategias de contratación y simplifican sus entornos tecnológicos, pueden adoptar ya mismo tres medidas de ciberhigiene para obtener una mayor visibilidad y proteger sus redes.
1. Asegúrese de poder supervisar y analizar todo el entorno informático
Cada organismo federal es único. Sin embargo, todas ellas comparten el mismo talón de Aquiles: un entorno informático heterogéneo, compuesto por sistemas nuevos y antiguos, repartidos entre plataformas locales y en la nube. Es más, los dispositivos finales no gestionados han proliferado a raíz del cambio masivo hacia el teletrabajo. Esto, a su vez, ha mermado la visibilidad de la red. Al fin y al cabo, es imposible gestionar y proteger aquello que las organizaciones no pueden ver.
«Las agencias federales [cuentan] con un número insuficiente de personal para llevar a cabo todas las tareas, incluso en las mejores circunstancias.»Nichoel Brooks, ex coronel del Ejército de los Estados Unidos y director del servicio federal de Optiv Security
Y son muchos los profesionales de la ciberseguridad y de las tecnologías de la información que actúan a ciegas. Alrededor del 75 % de los responsables de TI encuestados por PwC para su informe « 2022 Global Digital Trust Insights Survey » señalan que sus entornos tecnológicos, de datos y operativos son demasiado complejos, lo que dificulta su capacidad para supervisar las redes en tiempo real. Un entorno complejo y poco transparente dificulta los esfuerzos de la agencia para cumplir las directivas federales.
El análisis en tiempo real de redes y dispositivos finales —y, por lo tanto, una mejor detección de amenazas— requiere algo más que personal dedicado a vigilar las alertas. «Ningún ser humano es capaz de hacer eso», afirma Andrew Plato, pionero en el ámbito de la seguridad desde hace 25 años y director general de la empresa de servicios profesionales Zenaciti. «Es una tarea totalmente imposible, tanto para una persona como para cien». «Esto supera la capacidad cognitiva de los seres humanos».
La integración de la automatización y la inteligencia artificial en la supervisión de « » ( ) puede resultar de gran ayuda —gracias a un software capaz de detectar patrones de comportamiento inusuales, y no solo las firmas existentes de ataques y vulnerabilidades conocidos— y, a continuación, alertar al personal del centro de operaciones de seguridad de una organización.
«Es necesario implementar tecnología y automatización que permitan escanear en tiempo real y detectar anomalías, de modo que los seres humanos puedan revisar posteriormente el material», explica Platón. Para ello sigue siendo necesario contar con suficiente personal que responda a las llamadas, lo que significa que los organismos federales deben comprometerse a formar, retener y recompensar a sus empleados.
2. Consolidar los datos en plataformas y ecosistemas
Los sistemas heredados se basan en demasiadas soluciones puntuales aisladas. No siempre colaboran eficazmente ni comparten la misma visión de la red.
«La proliferación de herramientas» supone un problema para las organizaciones. En una encuesta, el 55 % de los responsables de la toma de decisiones en materia de TI indicaron que utilizaban 20 herramientas o más entre seguridad y operaciones, y el 70 % señalaron que dichas herramientas carecían de una integración completa. La profusión de soluciones puntuales de poco integradas entre sí genera costes y complejidad adicionales que, en última instancia, obstaculizan la capacidad de una organización para detectar y responder ante las infracciones de seguridad.
Las organizaciones deben unificar las operaciones fundamentales del equipo y las capacidades de seguridad en una única plataforma. Esta plataforma debe ofrecer a todos los miembros del equipo la misma visión global y en tiempo real de su entorno, y ampliar su funcionalidad a través de un ecosistema de soluciones optimizadas que funcionen a la perfección entre sí.
Una norma federal, « : Managing Information Security Risk» (Gestión de los riesgos de seguridad de la información) (NIST SP 800-39), exige «un programa integrado, que abarque toda la organización, para gestionar los riesgos de seguridad de la información que afectan a las operaciones de la organización… a los activos de la organización, a las personas, a otras organizaciones y a la nación, y que se deriven del funcionamiento y el uso de los sistemas de información federales». Según el informe, una gestión eficaz de los riesgos requiere un enfoque amplio que tenga en cuenta tres niveles de riesgo: la misión y las estrategias de una organización, sus procesos empresariales y sus sistemas informáticos individuales.
Al integrar sus herramientas específicas en plataformas y crear ecosistemas interoperables, los equipos pueden reducir el número de herramientas que necesitan, lo que les permite disminuir los costes, la complejidad y los riesgos. Asimismo, pueden reducir el número de interfaces que utilizan para sus funciones de seguridad y minimizar la complejidad, la sobrecarga y los roces entre los equipos que deben colaborar para garantizar la seguridad de la organización. De este modo, crean una única fuente de información fiable y exhaustiva sobre su red, mejoran el uso y la eficacia de sus herramientas y aumentan el rendimiento de sus inversiones.
3. Integre el modelo «zero trust» en toda la infraestructura informática
Por último, las organizaciones deben implantar una estrategia de «confianza cero» ( ), lo que quizá constituya el aspecto más complejo de las directivas federales. «El modelo de confianza cero no es solo una tecnología», afirma Platón, de Zenaciti. «No se puede tomar una arquitectura antigua y aplicarle el modelo de confianza cero sin más; se lo estropea todo», afirma. «Eso no es algo que el equipo mejor remunerado de Google vaya a hacer en 90 días».
«. No se puede tomar una arquitectura antigua y aplicarle el modelo de confianza cero sin más: se lo estropea todo.»Andrew Plato, director ejecutivo de Zenaciti
El modelo «Zero Trust» es una arquitectura totalmente nueva y una forma de gestionar la infraestructura informática. «No basta con adquirir un producto de «cero confianza», afirma Plato. Hay que integrar este enfoque en todos los ámbitos, y todo ello en un entorno en el que las agencias no siempre se coordinan bien e insisten en «sus propios integradores de sistemas y sus propias plataformas».
La mayoría de las organizaciones que destacan en el modelo «zero trust» acaban dándose cuenta de que no se trata de un estado de perfección. Más bien, la seguridad es un objetivo. Es un proceso. Es algo a lo que hay que aspirar.
Pero es algo que el Gobierno puede llevar a cabo. «La razón por la que creo que la orden ejecutiva tiene muchas posibilidades de salir adelante es que se inscribe, en gran medida, en el ámbito que ellos controlan», afirma Eric Noonan, director ejecutivo de CyberSheath Services y antiguo director de seguridad de la información (CISO) de BAE Systems. «No supone ninguna novedad jurídica».
Noonan afirma que es posible que las directivas no se apliquen en el plazo previsto inicialmente por el Gobierno. En cambio, «todas ellas tienen como objetivo hacer avanzar el asunto», afirma.
En definitiva, las agencias que actúen con urgencia para implantar los sistemas y estrategias adecuados tendrán mucho más éxito a la hora de mantener a los delincuentes alejados de los sistemas y datos gubernamentales sensibles.
