Si hace tan solo unos años hubiera planteado la pregunta «¿Qué es la ciberseguridad a nivel estatal?», la respuesta más habitual habría sido una mirada de desconcierto.
Hoy en día, este tema ha cobrado mucha más relevancia, ahora que los gobiernos estatales y locales se encuentran bajo presión.
Los ciberataques dirigidos al sector público se incrementaron en un 95 % a nivel mundial durante el segundo semestre de 2022 , en comparación con el mismo periodo de 2021. El ransomware es muy agresivo: el 58 % de las organizaciones de la administración estatal y local se vieron afectadas por el ransomware en 2021, lo que supone un aumento del 70 % con respecto al año anterior. Y los costes se están disparando: para las administraciones locales, el coste de subsanar un ataque de ransomware —incluidos los gastos relacionados con los recursos, el tiempo de inactividad, la pérdida de oportunidades y el rescate pagado— ascendió a una media de 1.64 millones de dólares por ataque en 2021.
Son pocas las jurisdicciones que cuentan por sí solas con recursos suficientes para hacer frente a este nivel sin precedentes de ciberdelincuencia. Por eso, muchos estados, municipios y distritos escolares de educación primaria y secundaria están uniendo fuerzas y poniendo en común sus recursos para defenderse mejor frente a esta creciente oleada de amenazas comunes. Las estrategias que están aplicando se conocen, en conjunto, como «en todo el estado».
¿En qué consiste exactamente la ciberseguridad a escala estatal?
La ciberseguridad a nivel estatal es un enfoque en el que los gobiernos estatales colaboran con los municipios, las instituciones educativas, las entidades tribales y otras organizaciones públicas de su estado para reforzar sus defensas cibernéticas. Conecta a estas entidades para que puedan elaborar estrategias de forma conjunta, intercambiar datos y recursos, hacer frente a la escasez de personal y obtener fondos estatales y federales , creando así una alianza contra el ransomware, los ataques a la cadena de suministro y otras amenazas comunes a la ciberseguridad.
«No trabajan juntos porque alguien les obligue a ello, sino porque así lo han decidido.»Jennifer Pittman-Leeper, estratega para todo el estado, Tanium
«No colaboran porque alguien les obligue a ello, sino porque así lo han decidido», afirma Jennifer Pittman-Leeper, estratega a nivel estatal de la empresa de gestión de ciberseguridad Tanium. Las entidades gubernamentales que no unen sus fuerzas a pesar de enfrentarse a las mismas amenazas cibernéticas se pierden una gran oportunidad, afirma.
Cómo poner en marcha una estrategia de ciberseguridad a escala estatal
La iniciativa para comenzar a trabajar conjuntamente puede partir de prácticamente cualquier nivel de la administración pública, pero se necesita el apoyo tanto de la base como de las altas esferas para desarrollar una plataforma que abarque todo el Estado.
«Cualquier persona puede empezar diciendo: “Oiga, necesitamos ayuda”», afirma Pittman-Leeper. «Sin embargo, el éxito implica contar con el apoyo de las más altas instancias del Gobierno, incluidos los cargos electos, para poder colaborar con otras entidades gubernamentales. Además, tendrá que ponerse en contacto con el personal del departamento de informática. «Es necesario que todos se comprometan con la idea de trabajar juntos».
Las relaciones deberían formalizarse en un equipo independiente de ciberseguridad interorganizacional. Este grupo puede establecer un foro para la celebración de reuniones periódicas con las partes interesadas, crear un marco para la toma de decisiones y elaborar políticas eficaces en materia de ciberseguridad. No es necesario crearlos desde cero. Se pueden extraer de marcos normativos consolidados, como los del Instituto Nacional de Estándares y Tecnología (NIST) de la Administración Nacional de Estándares y Tecnología ( ) o los del Centro para la Seguridad en Internet (CIS) de la Fundación para la Seguridad en Internet ( ).
Cómo financiar su plan de ciberseguridad para todo el estado
Las subvenciones federales y los aumentos de financiación a corto plazo resultan útiles para poner en marcha un plan que abarque todo el estado. Para mantener un plan más allá del primer año, es probable que sea necesario recurrir al fondo general del Estado. En cualquier caso, Pittman-Leeper afirma que es fundamental hablar de dinero desde el principio.
«No evite hablar de dinero», afirma. «De lo contrario, va a crear algo extraordinario que no será sostenible».
«Es como una patrulla vecinal». Cuando todos participamos en la vigilancia de las calles y nos fijamos en los patios traseros de los demás, conseguimos que todos estemos más protegidos y seguros.»Pittman-Leeper
Qué debe incluirse en un programa electoral para todo el Estado
Una vez que las partes interesadas hayan obtenido el apoyo necesario, hayan establecido las políticas básicas y hayan debatido la financiación, deberán definir los detalles concretos de su programa para todo el estado. Pittman-Leeper recomienda seguir estos cuatro pilares:
- Intercambio de información —Ya se trate de inteligencia sobre amenazas , inteligencia sobre amenazas, indicadores de compromiso o simplemente actualizaciones generales, todas las organizaciones participantes deben estar dispuestas a compartir datos. Los equipos interdepartamentales y los procesos de comunicación que los respalden serán fundamentales.
- Un plan de respuesta ante incidentes —Un plan eficaz debe definir las funciones y responsabilidades del personal, así como los procedimientos paso a paso. Y debe ensayarse mediante simulacros de incidentes hasta que todos conozcan su función. «Cada segundo cuenta durante un incidente cibernético», afirma Pittman-Leeper. «Cuanto más rápido responda, mayor será el daño que pueda mitigar».
[Lea también: 5 pasos para elaborar un plan de respuesta ante incidentes sólido como una roca]
- Desarrollo de la mano de obra —Las colaboraciones con los centros de formación profesional y las universidades constituyen un componente que a menudo se pasa por alto, pero que resulta importante, de los planes a escala estatal. Al ofrecer prácticas, las entidades públicas pueden paliar en parte la escasez de personal y proporcionar a los estudiantes experiencia práctica en el ámbito de las tecnologías de la información , lo que les dará una ventaja a la hora de incorporarse al mercado laboral. Estas colaboraciones también permiten al sector público proporcionar información continua a los centros educativos. «Es importante», afirma, «explicarles qué competencias necesitarán sus alumnos para hacer frente a los retos actuales en materia de seguridad». «Y la de mañana».
- Conjuntos de herramientas estandarizadas —. Para compartir información entre organismos, es imprescindible contar con herramientas básicas. «Si usted mide en pies y yo en metros, siempre vamos a tener confusiones», afirma. «Con una sola herramienta, se envía un único conjunto de instrucciones a todo el mundo».
Cómo gestionar el conjunto del Estado a largo plazo
Tres prácticas interdependientes impulsan una estrategia que abarca todo el Estado:
- La gobernanza ofrece un marco para la toma de decisiones, la implementación de herramientas y el seguimiento y la presentación de informes de los resultados de una manera que resulte justa para todos. «Hay personas que trabajan juntas por primera vez», afirma Pittman-Leeper. «Debe establecer algunas medidas de seguridad».
- La fase de ejecución constituye la fase de acción de la iniciativa «Whole-of-State». Es el lugar donde los responsables e ingenieros de TI ponen en práctica las políticas de ciberseguridad que han elaborado previamente, utilizando esos conjuntos de herramientas y procesos estandarizados.
- La validación es el paso final, cuando sus políticas y prácticas funcionan de manera eficaz. Los equipos deberían poder demostrar el cumplimiento de los requisitos basándose en los datos de los informes de seguridad, en lugar de en declaraciones propias. Una supervisión integral, en tiempo real y la elaboración de informes deberían ofrecer una visión global de sus puntos fuertes y débiles actuales, de modo que pueda identificar rápidamente las deficiencias y reforzar la postura de seguridad del grupo.
«Todas las agencias gubernamentales de un estado están interconectadas, por lo que es lógico que nuestra estrategia de ciberseguridad sea colaborativa», señala Pittman-Leeper.
«Es como una patrulla vecinal», afirma. «Cuando todos participamos en la vigilancia de las calles y nos fijamos en los patios traseros de los demás, conseguimos que todos estemos más fuertes y más seguros».
