La reciente directiva « » ( ), emitida por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), en la que se exige a todos los organismos federales que corrijan cientos de vulnerabilidades cibernéticas, no ha sorprendido a nadie. Durante años, los organismos de control tecnológico y los miembros del Congreso han reprendido a las agencias por su falta de rigor en materia de ciberseguridad.
Sin embargo, aunque la Directiva Operativa Vinculante n.º 22-01 de la CISA concede a los organismos un plazo de entre dos semanas y seis meses para subsanar las vulnerabilidades de software que llevan años existiendo, el problema subyacente, en muchos casos, se remonta a décadas atrás.
En agosto, la Comisión de Seguridad Nacional y Asuntos Gubernamentales del Senado identificó «fallos sistémicos» en materia de ciberseguridad en siete de las ocho agencias federales, señalando su dependencia de sistemas obsoletos sin soporte técnico y su incapacidad para supervisar, rastrear y «proteger los activos sensibles de Estados Unidos». En cuanto a la madurez en materia de ciberseguridad, la comisión otorgó a los organismos una pésima calificación de C–.
En su análisis exhaustivo de las ocho agencias, la HSGAC señaló varias deficiencias importantes:
- Siete organismos utilizaban sistemas o aplicaciones obsoletos para los que el proveedor ya no ofrecía actualizaciones de seguridad.
- Seis organismos no instalaron con la debida rapidez los parches de seguridad de , y otras medidas de corrección de vulnerabilidades.
- Siete organismos no mantuvieron inventarios precisos y exhaustivos de sus activos de tecnología de la información .
El informe de la comisión del Senado se basa en una evaluación de la situación en materia de ciberseguridad de cada organismo federal realizada por sus propios inspectores generales (IG) en 2020.
Se trata de una continuación de un informe similar elaborado por una subcomisión de ese mismo comité en 2019, en el que se evaluaban los informes de los inspectores generales de los organismos durante la década anterior. Las conclusiones que se destacan en ambos informes son contundentes. Muchos de los retos en materia de seguridad se deben a la acumulación de redes heredadas que resultan difíciles de actualizar, supervisar y proteger. Según sus propios inspectores generales, las agencias están invirtiendo una parte excesiva de sus recursos en estos sistemas obsoletos, lo que las deja expuestas a los ataques perpetrados por los ciberdelincuentes.
«Los piratas informáticos son cada vez más sofisticados», afirma Edward Debish, director de relaciones con los clientes del sector público en Tanium y antiguo comandante del Grupo de Operaciones Cibernéticas del Cuerpo de Marines. «Todo programa informático presenta alguna vulnerabilidad asociada». «Es solo cuestión de tiempo que esa vulnerabilidad se detecte y, a continuación, se aproveche».
Aplicación de parches para vulnerabilidades
La gestión continua de parches es un proceso clave de ciberseguridad que las agencias suelen pasar por alto. El informe de la comisión del Senado pone de relieve esta deficiencia en varios organismos, entre ellos el Departamento de Seguridad Nacional, el organismo encargado de supervisar las normas de ciberseguridad en todo el Gobierno federal. El informe reveló que el DHS no aplicó correctamente los parches de seguridad durante 12 años. Según los investigadores de la agencia, de este fallo se derivaron veintiséis «vulnerabilidades graves».
«La verdadera cuestión es si la Administración ha determinado cómo supervisar el cumplimiento de forma más eficaz que en el pasado.»Daniel Castro, vicepresidente de la Fundación para las Tecnologías de la Información y la Innovación
El mayor reto radica en que las agencias federales operan en un entorno informático heterogéneo que abarca tanto infraestructuras locales como múltiples plataformas en la nube. Y no solo eso, sino que el crecimiento explosivo de los dispositivos finales no gestionados —y, a menudo, no catalogados ni visibles— que utilizan decenas de miles de trabajadores federales que teletrabajan ha complicado aún más la seguridad de los datos de dichos dispositivos.
De hecho, el informe del Senado titulado « August 2021 » puso de manifiesto una preocupante falta de visibilidad en las redes de las agencias, lo que impedía a estas supervisar plenamente sus propias plataformas en busca de amenazas cibernéticas.
[Lea también: El exministro de Defensa sobre la ciberseguridad: «Somos nuestro peor enemigo»]
Por ejemplo, el Departamento de Estado no pudo aportar la documentación correspondiente al 60 % de los empleados que tenían acceso a su red clasificada. Además, las pruebas realizadas a sus sistemas revelaron 450 vulnerabilidades de riesgo crítico y 736 de riesgo elevado. Los inspectores del Departamento de Transporte, responsable de la ciberseguridad de la infraestructura de transporte terrestre del país, detectaron casi 15,000 activos informáticos —entre los que se incluyen dispositivos móviles y servidores— de los que la agencia carecía de registro. Y en el Departamento de Vivienda y Desarrollo Urbano, los inspectores descubrieron una red informática «paralela», una situación que pone en peligro la información personal y financiera de millones de estadounidenses.
Prioridades en la gestión de parches
La solución a todos estos problemas, según la CISA, consiste en que cada organismo cree una solución de gestión de parches sólida y, a ser posible, automatizada. La agencia publicó anteriormente una «Guía para la mejora de la capacidad de «» ()» con el fin de ayudar a los departamentos federales a implementar estrategias de gestión de parches.
El éxito del enfoque de la CISA depende de dos factores. El primero es el cumplimiento: el grado en que las agencias se tomarán en serio la orden de la CISA y la cumplirán con prontitud. Daniel Castro, vicepresidente del centro de estudios «Information Technology and Innovation Foundation», no está convencido de que esto vaya a suceder. «Las agencias ya están obligadas a aplicar parches a sus sistemas en virtud de la FISMA [la Ley Federal de Gestión de la Seguridad de la Información]», afirma Castro. «La verdadera cuestión es si la Administración ha establecido cómo supervisar el cumplimiento de forma más eficaz que en el pasado».
El segundo factor es el enfoque exclusivo de la CISA en la aplicación de parches. La directiva destaca por la ausencia de otras estrategias de ciberseguridad habituales en el sector, como la detección e inventario de activos , y la supervisión continua en tiempo real de todos los terminales conectados a la red de una agencia.
«La aplicación de parches es un buen comienzo, pero no es suficiente», afirma Malcolm Harkins, investigador del Instituto de Tecnología de Infraestructuras Críticas (ICIT), un centro de estudios especializado en seguridad. Afirma que debe integrarse junto con otras estrategias fundamentales, como la detección de amenazas y la supervisión de la red.
De hecho, las organizaciones deben identificar en primer lugar todos los puntos finales de su red (servidores, estaciones de trabajo, equipos de red y dispositivos) y, a continuación, elaborar un inventario completo de los datos de dichos puntos finales. Solo así podrán instalar, actualizar, aplicar parches o eliminar de forma el software, tanto en un grupo como en un equipo concreto.
«Las parches por sí solas no son la panacea», afirma Harkins. «Conocer las opciones disponibles, a qué sistemas aplicar las actualizaciones de seguridad en primer lugar y qué dispositivos son los más importantes»: esa es la clave para una ciberseguridad eficaz, afirma.
