Los gobiernos estatales y locales llevan mucho tiempo careciendo de la financiación —y, en algunos casos, de la voluntad— necesaria para reforzar sus defensas cibernéticas, pero ya está en camino la ayuda que tanto necesitan, gracias a los 1.000 millones de dólares destinados a la ciberseguridad estatal y local en el proyecto de ley bipartidista de infraestructuras « » , que el presidente Biden promulgó en noviembre.
Dicha financiación, aunque supone una pequeña fracción del coste total de la ley, que asciende a 1.2 billones de dólares —y que también destina 65 000 millones de dólares a mejorar la infraestructura de banda ancha y otros 65 000 millones a modernizar la red eléctrica de EE. UU. —, sigue siendo significativa, ya que representa la mayor inversión federal en ciberseguridad a nivel estatal y local hasta la fecha, una inversión que, según sus defensores, es urgente y que se debería haber realizado hace mucho tiempo.
«En estos momentos, solo 15 estados cuentan con un presupuesto específico para la ciberseguridad», afirma Matt Pincus, director de asuntos gubernamentales de la Asociación Nacional de Directores de Informática Estatales (NASCIO). «Las que sí lo hacen solo destinan entre el 1 % y el 3 % de su gasto total en TI a la ciberseguridad, frente al 10 % y el 20 % del sector privado».
El dinero no puede llegar lo suficientemente pronto. En los últimos años, los responsables de seguridad de la información de los estados, condados, ciudades y organismos municipales de Estados Unidos se han visto sometidos a una gran presión. Innumerables organismos públicos se han visto afectados por ataques de ransomware, que supusieron un coste estimado de 18.8 000 millones de dólares en concepto de recuperación y tiempo de inactividad en 30 estados en 2020, el último año completo del que se dispone de datos. Los ataques han afectado a 71 millones de ciudadanos, según un informe de la web de seguridad para consumidores Comparitech.
Solo en los primeros cinco meses de 2021 se produjeron al menos 75 ataques de ransomware dirigidos contra entidades estatales, locales y tribales. Los piratas informáticos incluso intentaron infiltrarse en las empresas de abastecimiento de agua de la zona de la Bahía de San Francisco ,, ; del sur de California y ; y de Florida Central, entre otras. Si hubieran logrado burlar los sistemas de acceso remoto poco seguros, podrían haber contaminado el suministro de agua local.
Luchando contra una tormenta perfecta
La nueva financiación destinada a la ciberseguridad no consistirá en una inyección de efectivo puntual. Se distribuirá a lo largo de cuatro años, pasando de 200 millones de dólares en 2022 a un máximo de 400 millones de dólares en 2023 , antes de ir disminuyendo a partir de 2025.
«El Congreso reconoce que los recursos deben destinarse a los más vulnerables.»Matt Pincus, director de asuntos gubernamentales de la Asociación Nacional de Directores de Informática Estatales (NASCIO)
Cabe destacar que la ley exige que el 80 % de los fondos se destine a las administraciones estatales y locales, que suelen contar con la infraestructura de seguridad menos sólida. «Con esa disposición, el Congreso reconoce que los recursos deben destinarse a los más vulnerables», afirma Pincus. Los gobiernos estatales y locales se enfrentan a los mismos retos a los que se enfrentan, a nivel federal, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras ( ) (CISA) y el Comité de Seguridad Nacional del Senado ( ) .
Las administraciones estatales y locales tendrán que superar algunos obstáculos para acceder a los fondos. Deben presentar una propuesta de gastos anual a la CISA para su aprobación. Asimismo, deberán compartir la carga financiera con una aportación local equivalente a los fondos federales, que aumentará gradualmente desde una aportación local del 10 % de los fondos federales en 2022 hasta alcanzar el 40 % en 2025.
Estos esfuerzos merecerán la pena, dada la «tormenta perfecta» de retos cibernéticos que se ha desatado desde que comenzó la pandemia de COVID-19, afirma Rita Reynolds, directora de sistemas de información de la Asociación Nacional de Condados (NACo).
«La COVID-19 ha acelerado el avance de las soluciones tecnológicas para los condados, pero, al mismo tiempo, ha creado un panorama mucho más amplio en el que los delincuentes pueden infiltrarse», afirma Reynolds. Ante el aumento de los incidentes y las violaciones de seguridad, las primas de los seguros cibernéticos están aumentando, y las aseguradoras suelen exigir a los organismos públicos que adopten medidas de protección y prácticas de higiene cibernética , como la autenticación multifactorial (MFA). «La autenticación multifactorial ya no es algo prescindible», afirma Reynolds. «Es una necesidad».
Si bien medidas como la autenticación multifactorial (MFA) y el modelo « » de confianza cero ocupan los primeros puestos en las listas de prioridades cibernéticas de muchos gobiernos estatales y locales, otras medidas de seguridad necesarias incluyen la modernización de las redes heredadas, la implantación de la supervisión en tiempo real, la protección frente a las vulnerabilidades de los terminales y la protección de los dominios «.gov» dedicados.
Más que una cuestión de financiación
Se necesitará mucho más que dinero para reforzar la seguridad de las administraciones estatales y locales.
«La resiliencia es fundamental», afirma la diputada Yvette Clarke (demócrata por Nueva York), presidenta de la Subcomisión de Amenazas Emergentes, Ciberseguridad y Ciencia y Tecnología de la Comisión de Seguridad Nacional de la Cámara de Representantes. «Los adversarios decididos disponen de todo el tiempo del mundo para dedicarse a burlar las defensas de la red». Clarke afirma que los estados deberían establecer planes de respuesta ante incidentes cibernéticos, de modo que las operaciones puedan continuar en caso de que los sistemas se vean comprometidos.
En 2020, el último año completo para el que se dispone de datos, las víctimas estatales y locales de ataques de ransomware registraron 773 días de operaciones gubernamentales perdidas a causa de la ciberdelincuencia y las labores de recuperación. Se interrumpieron servicios públicos esenciales, como los de suministro y los servicios 911 . Según una estimación de ( ), el coste medio del tiempo de inactividad asciende a 8,662 dólares por minuto. Y el número de ataques al año sigue aumentando.
Antes, a los gobiernos les preocupaba que los piratas informáticos robaran datos personales. «En la actualidad, un pirata informático podría “paralizar todo un estado”», afirma Pincus, de la NASCIO. «Ya no es un problema de informática», afirma. «Se trata de una cuestión de continuidad del Gobierno».
Dado que los gobiernos estatales y locales deben aportar una contribución equivalente a la financiación federal, la decisión de invertir en mantener el funcionamiento de los servicios digitales recaerá en cada entidad del sector público. Se trata de grupos que siempre han tenido problemas de liquidez y cuyos presupuestos se han visto aún más mermados debido a los costes adicionales derivados de la pandemia. Pincus afirma que, si un organismo público no desea aportar ese pequeño porcentaje de la factura —el año que viene, la aportación equivalente se ha fijado en tan solo el 10 %—, no podrá solicitar una subvención. «Eso es un despilfarro de dinero y una oportunidad desperdiciada», opina.
En otras palabras, aunque los 1.000 millones de dólares asignados en la nueva ley de infraestructuras han sentado las bases para mejorar la ciberseguridad a nivel estatal y local, sigue sin estar claro si los legisladores se incorporarán al carril rápido.
Las primeras señales de interés se producirán a principios de 2022 , cuando los gobiernos estatales y locales definan sus prioridades anuales. En plena pandemia, resulta irónico que muchas de sus deliberaciones se celebren en línea a través de redes poco seguras, en lugar de en las oficinas legislativas, que siguen cerradas.
