El día « November 3rd», la Administración Biden emitió una directiva de amplio alcance dirigida a los organismos federales para que subsanaran cerca de 300 vulnerabilidades cibernéticas conocidas que los piratas informáticos podrían aprovechar para infiltrarse en las redes informáticas del Gobierno y causar daños. En conjunto, estas vulnerabilidades constituyen una cadena de desastres cibernéticos.
«Muchas de estas vulnerabilidades críticas y exploits pueden combinarse para generar un impacto mayor», afirma Edward Debish, antiguo comandante del Grupo de Operaciones Cibernéticas del Cuerpo de Marines y actual director de relaciones con los clientes del sector público en Tanium. «Por eso es importante cerrar el mayor número posible de estos».
Emitida por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), la nueva directiva tiene por objeto subsanar unas 200 brechas de seguridad —todas ellas bien conocidas por los piratas informáticos malintencionados— que los profesionales de la ciberseguridad identificaron entre 2017 y 2020 , así como otras 90 vulnerabilidades que descubrieron en 2021.
La directiva se produce seis meses después de que el presidente Biden emitiera un decreto ejecutivo titulado « » () , que obliga a los organismos a compartir información sobre ciberseguridad y a adoptar nuevos protocolos en materia de ciberseguridad. Esto pone el broche final a un año sin precedentes en materia de ciberdelincuencia, en el que organizaciones de empresas de servicios públicos y empresas de telecomunicaciones han sido víctimas de ataques a la cadena de suministro, ransomware, y extorsión.
«Esta es otra forma de mantener el ritmo», afirma Debish. «La ciberseguridad es fundamental. Afecta a todos los aspectos de nuestras vidas. Todo lo que hacemos actualmente se basa en el ámbito cibernético. Si se ve afectado de alguna manera, podría provocar problemas graves, dificultades en la cadena de suministro y todo lo que se le ocurra. «Se trata del presidente y su equipo, que están haciendo todo lo que pueden para garantizar la seguridad de las infraestructuras críticas de esta nación».
La nueva directiva establece un catálogo, gestionado por la CISA, de «vulnerabilidades conocidas que han sido objeto de explotación» y que entrañan un «riesgo significativo», y establece los requisitos que deben cumplir los organismos para subsanar dichas vulnerabilidades. El catálogo incluye software y configuraciones suministradas por proveedores de software como SolarWinds —que fue objeto de un ataque muy sonado el año pasado— y grandes empresas tecnológicas como Adobe, Apple, Cisco, Google, Microsoft y Oracle. Abarca todo el software y el hardware de los sistemas de información federales, incluidos aquellos alojados por terceros, como los contratistas federales.
Sistemas obsoletos
La nueva directiva y el decreto ejecutivo de mayo de la Administración Biden reflejan la prioridad que el Gobierno está otorgando a la seguridad digital. Debish afirma que el 95 % de la nueva directiva se centra en corregir las vulnerabilidades del software existente, pero señala que es «absolutamente fundamental» que las agencias sean conscientes de otros vectores de ataque, incluidos los ataques procedentes de terceros.
«Existe la expectativa de que se confíe en los proveedores y de que lo que se obtiene de la página web de un proveedor sea una solución fiable que se pueda implementar rápidamente», afirma Debish.
Asimismo, afirma que las agencias deben gestionar de forma segura los sistemas obsoletos o heredados. Es posible que dichos sistemas no sean compatibles con técnicas modernas de ciberseguridad , como la higiene cibernética , la detección de activos y la supervisión continua , que permiten a las organizaciones disponer de visibilidad en todas sus redes. De lo contrario, pueden convertirse en un blanco fácil para los piratas informáticos. En los casos en que estos sistemas no puedan desinstalarse ni desconectarse fácilmente, el Sr. Debish afirma que es necesario supervisar los puntos de acceso a estas redes para impedir el acceso de los piratas informáticos.
«. El presidente y su equipo están haciendo todo lo posible para proteger las infraestructuras críticas de esta nación.»Edward Debish, director de relaciones con los clientes del sector público de Tanium
Además, según afirma Debish, las agencias deberían aplicar estrategias sólidas de higiene cibernética. Esto implica gestionar los privilegios de administrador, examinar las configuraciones de red y utilizar protocolos de «cero confianza» . Por encima de todo, afirma, las agencias deberían utilizar herramientas que permitan supervisar exhaustivamente las vulnerabilidades de la red y detectar de forma proactiva a los posibles intrusos antes de que actúen.
«Necesita visibilidad y control en tiempo real de su red», afirma Debish. «El adversario está actuando activamente para acceder a las redes y a la infraestructura del Gobierno».
El Departamento de Seguridad Nacional, organismo del que depende la CISA, ha impuesto anteriormente obligaciones en materia de ciberseguridad a los organismos gubernamentales, a menudo en forma de requisitos de emergencia para solucionar de inmediato un problema crítico de software. Sin embargo, esta nueva directiva destaca por la enorme variedad de deficiencias que pretende subsanar.
Se exigirá que las deficiencias detectadas este año se subsanen en un plazo de dos semanas. Las agencias dispondrán de un plazo de hasta seis meses para subsanar las brechas de seguridad detectadas en años anteriores. La directiva se aplica a todos los departamentos y organismos del poder ejecutivo, salvo el Departamento de Defensa, la Agencia Central de Inteligencia y la Oficina del Director de Inteligencia Nacional. La ciberseguridad de los organismos civiles suele gestionarse de forma independiente de la de los organismos militares y de seguridad nacional.
«Con una directiva como esta, al proceder del presidente, puede estar seguro de que mucha gente va a dedicar grandes esfuerzos a resolver el problema», afirma Debish.
