La Ley MEGABYTE
Para proteger su red, debe conocerla bien. Esta máxima constituye la base de todo lo que hacemos en Tanium. Por eso nos alegramos mucho cuando, el mes pasado, el presidente de los Estados Unidos promulgó una ley que obligará a los organismos federales a hacer precisamente eso: conocer a fondo su red.
La Ley MEGABYTE (se abre en una nueva pestaña) (Making Electronic Government Accountable By Yielding Tangible Efficiencies) exige a los directores de sistemas de información (CIO) de los organismos federales que elaboren un plan integral para la gestión de las licencias de software. Esto incluye realizar un seguimiento del gasto en software, hacer un inventario de sus licencias e identificar aquellas que no se utilizan, evitar duplicidades, establecer funciones y responsabilidades claras en cuanto a quién gestiona las licencias, y formar al personal pertinente.
Si bien las ventajas evidentes del proyecto de ley residen en la reducción de costes —sus promotores estiman que podría suponer un ahorro de 4 000 millones de dólares al año para el Gobierno—, también contribuirá a reforzar la seguridad de nuestras agencias federales. El proyecto de ley les obligará a conocer qué software hay en su red, lo cual constituye un primer paso fundamental para protegerse frente a los ciberataques.
Qué preguntas debe plantear
Son demasiadas las organizaciones que no pueden responder a tres preguntas básicas sobre su red: 1. ¿Cuántos dispositivos finales hay en la red?; ¿qué programas se ejecutan en ellos?; y ¿quién tiene acceso a ellos?
Si el director de sistemas de información (CIO) de una agencia no puede responder a esas preguntas básicas, no podrá elaborar un perfil de riesgo básico. No detectan ninguna anomalía. Dicho de otro modo, no se puede proteger lo que no se ve. No se trata de una idea nueva, pero es una lección que hay que aprender; por eso nos complace que la Ley MEGABYTE la convierta en ley.
Afortunadamente, la ley exige a los organismos no solo que elaboren un inventario de referencia, sino también que realicen un seguimiento periódico de las licencias y las mantengan al día. Animamos a las agencias a que aprovechen esta oportunidad para dar un paso más allá y lograr una visibilidad completa y en tiempo real de su red, incluyendo todo el software, los dispositivos y las personas que forman parte de ella. Esta visibilidad inmediata es la única forma de saber cuándo un pirata informático ha conseguido acceder al sistema y de bloquearlo tan pronto como ocurra.
Los principios en los que se basa la Ley MEGABYTE —una gestión responsable y eficiente del software— son los mismos que Tanium lleva años ayudando a las organizaciones a poner en práctica. Ayudamos a los administradores de TI a identificar, en tiempo real, qué software hay exactamente en una red, quién lo utiliza y en qué medida lo hace. Además de detectar los ataques de forma inmediata, esto también permite identificar fácilmente qué licencias no se están utilizando, y un menor número de licencias sin utilizar equivale a un menor número de puntos de acceso para posibles piratas informáticos.
Estamos entusiasmados con MEGABYTE porque sabemos lo importante que es comprender su red. Sabemos lo fundamental que es para prevenir los ciberataques. Y aunque es posible que la mejora de la ciberseguridad no sea el objetivo principal de la ley, sin duda puede ser una consecuencia derivada de la misma.
Acerca del autor: Ralph Kahn es vicepresidente del área federal de Tanium. En este cargo, se encarga de satisfacer la necesidad del Gobierno de los Estados Unidos de disponer de información sobre la situación en tiempo real y a gran escala. Ralph cuenta con más de 25 años de experiencia en el sector tecnológico. Anteriormente, Ralph ocupó el cargo de vicepresidente de Intel y tecnologías emergentes en McAfee, donde se encargaba de dirigir un grupo de tecnología avanzada dedicado a la investigación cibernética con visión de futuro. Bajo su dirección, este grupo descubrió varios vectores de amenaza nuevos y desarrolló un modelo de intercambio de información e interacción entre sistemas cibernéticos que se utiliza como base de los productos de McAfee y que se está ampliando para incluir otros productos de ciberseguridad.
