A principios de septiembre, el condado de Suffolk —el cuarto más grande de Nueva York— sufrió un ataque de ransomware que provocó la caída del sistema 911 del condado y de otros servicios, y que estuvo a punto de provocar la filtración de más de 4 terabytes de datos sustraídos. En octubre, unos piratas informáticos de habla rusa atacaron el aeropuerto La Guardia de Nueva York, tan solo unos meses después de que unos piratas informáticos respaldados por el Gobierno chino se infiltraran en las redes de al menos otros seis gobiernos estatales de EE. UU.
Solo en los primeros seis meses de 2022 , 27 ataques contra entidades del sector público estadounidense provocaron el pago de casi 220 millones de dólares en concepto de ransomware . Estos ataques no dan señales de remitir.
Las organizaciones del sector público tienen muchas menos posibilidades de defenderse de los ciberataques cuando trabajan de forma aislada. Sin embargo, cuando unen sus fuerzas para desarrollar una estrategia integral para todo el estado que abarque los ámbitos estatal y local, en colaboración con el sector privado, las probabilidades comienzan a inclinarse a su favor.
Mi reciente nombramiento como vicepresidente del Foro del Estado de Nueva York de la Iniciativa « » ( New York State Forum) (se abre en una nueva pestaña), una colaboración público-privada en el ámbito de las tecnologías de la información que abarca organismos estatales, condados y ciudades, me proporciona una perspectiva única sobre la situación. El grupo de trabajo sobre seguridad del foro ha adoptado el enfoque «a nivel estatal» como tema clave y, en la actualidad, está buscando ponentes para el evento con el fin de formar, colaborar y compartir ideas.
Superar obstáculos
La ciberseguridad a escala estatal es un enfoque que hace hincapié en la colaboración entre departamentos y organismos para mitigar las amenazas a la ciberseguridad. Al eliminar las barreras entre los distintos organismos públicos, esta metodología permite a las entidades compartir recursos e información en materia de ciberseguridad para mejorar su nivel de seguridad colectivo.
Supongamos que un condado está siendo atacado. Gracias a la estrategia estatal ya implantada, el personal de seguridad y de operaciones de TI de de todo el estado puede compartir rápidamente información sobre cómo proteger sus respectivas organizaciones y evitar que los ataques prosperen.
Uno de mis principales objetivos para el Foro del Estado de Nueva York es ayudar a las organizaciones públicas y privadas a aunar fuerzas para hacer frente a los complejos retos en materia de tecnologías de la información. En el ámbito público, entre los participantes se encuentran las ciudades, los condados y el Estado, así como instituciones educativas, entidades tribales y otras organizaciones del sector público. En el ámbito privado, contamos con unas 90 empresas afiliadas, que abarcan desde las startups más pequeñas hasta los integradores de sistemas más grandes.
El foro es un espacio en el que los responsables y el personal del ámbito de las tecnologías de la información pueden colaborar y establecer relaciones mientras abordan problemas complejos, como la creación de un marco de identidad único para todos los servicios estatales y la defensa frente a ciberataques en constante evolución.
Dicho esto, no es un proceso sencillo. En un estado tan extenso como Nueva York —con 62 condados, cientos de ciudades y numerosas organizaciones del sector público—, he observado cuatro retos principales a la hora de aplicar un enfoque que abarque todo el estado.
1. Superar la política
Hay quien piensa que la ciberseguridad no tiene nada que ver con la política, que las redes están al servicio de todos, independientemente de su afiliación política. Y eso es cierto. Aun así, en ocasiones los ayuntamientos no han aceptado la ayuda del Estado debido a diferencias políticas. Sin embargo, eso puede cambiar rápidamente cuando los dirigentes gubernamentales ven cómo los condados vecinos se enfrentan a interrupciones en los servicios tras un atentado.
«. Las organizaciones del sector público tienen muchas menos posibilidades de defenderse de los ciberataques cuando trabajan de forma aislada.»
También he observado cierta reticencia a compartir información sobre vulnerabilidades. Son pocas las organizaciones que desean compartir información sobre un ataque de ransomware, para no acabar convirtiéndose en el ejemplo paradigmático de cómo no se debe proteger una red.
Parte de mi misión en el foro consiste en contribuir a fomentar la confianza entre los participantes en nuestra estrategia estatal integral: la confianza en que los expertos escucharán al personal local de TI, en que su disposición a compartir los errores no será sancionada y en que la información se compartirá de forma abierta. Deseo fomentar la confianza uniendo a las personas y animándolas a colaborar para resolver los problemas que nos afectan a todos.
2. Atraer y retener el talento
Uno de los principales retos a los que se enfrentan las organizaciones del sector público es atraer y retener a los profesionales especializados en ciberseguridad (se abre en una nueva pestaña). Según la sección dedicada a Nueva York del mapa de la brecha de talento de « » (se abre en una nueva pestaña) en Cyberseek.org, más de un tercio de todos los puestos de ciberseguridad en el estado de Nueva York no se están cubriendo, a pesar de que los analistas de seguridad de la información sin experiencia en el estado pueden ganar más de 140,000 dólares (se abre en una nueva pestaña) al año.
«Existe un mundo oculto de consultores que trabajan por proyectos, aprovechando sus habilidades en tecnologías de la información y seleccionando cuidadosamente las mejores oportunidades para obtener la mejor tarifa por hora», afirma Kevin Carpenter, director sénior de desarrollo empresarial de MVP Consulting y expresidente de la Mesa Redonda Empresarial de Tecnologías de la Información del Foro del Estado de Nueva York. «Durante la pandemia de la COVID-19, a medida que el teletrabajo se fue convirtiendo en la norma, la búsqueda de talento fuera del propio código postal aportó una experiencia y unas competencias que antes no estaban disponibles». Ahora que nos adentramos en el mundo pospandémico, gran parte de este talento ha decidido: «No, no quiero sentarme en un escritorio en Albany como solía hacer», y están dimitiendo en masa».
Incluso los profesionales de la ciberseguridad más altruistas optarán por lo que sea mejor para sus carreras y sus familias. Si el sector público no es capaz de satisfacer sus necesidades, el talento se marchará a otra parte. Una de las ventajas de una estrategia a escala estatal es que, al trabajar conjuntamente, las entidades más pequeñas del sector público pueden acceder a expertos en ciberseguridad altamente cualificados, sin necesidad de incorporarlos a su plantilla.
3. Lograr la normalización
Otro reto es la falta de estandarización en la mayoría de los estados en cuanto a las medidas que adoptan para defenderse de los ciberdelincuentes. Es evidente que no existe un único método para garantizar la ciberseguridad. Sin embargo, el hecho de reunirse brinda a los participantes la oportunidad de crear normas unificadas, tales como qué competencias se deben buscar a la hora de contratar personal, cómo identificar la superficie de ataque de cada organización y cómo recopilar datos relacionados con los ataques. Si en su estado existen 50 formas diferentes de hacer algo, resulta mucho más difícil actuar con rapidez —o incluso actuar en absoluto—.
El sector privado tiene un papel muy importante que desempeñar en la elaboración de normas. Las mejores empresas tecnológicas colaboran con el sector público y ofrecen soluciones que pueden integrarse fácilmente en sistemas dispares.
4. Conseguir más financiación
La puesta en marcha de una estrategia que abarque todo el estado tiene un coste. Aunque gran parte del trabajo inicial consiste en establecer relaciones y generar confianza, llega un momento en el que las organizaciones deben implantar herramientas y tecnología. En Nueva York tenemos la suerte de que el Estado haya destinado 61.9 millones de dólares a medidas de ciberseguridad en el presupuesto estatal de 2023 y otros 30 millones de dólares para ayudar a las administraciones locales a implantar defensas cibernéticas de alta calidad. En octubre, la gobernadora Hochul anunció una dotación adicional de 246 millones de dólares en fondos federales para combatir, entre otras amenazas, los ciberataques contra el sistema electoral del estado.
«[Con un enfoque a nivel estatal,] los responsables tienen acceso a competencias de ciberseguridad de alta calidad sin necesidad de aumentar la plantilla, y podrían incluso ahorrar dinero en las primas de sus seguros cibernéticos.»
Los defensores de los intereses de todo el estado también pueden recurrir al proyecto de ley de infraestructuras del Gobierno federal, por valor de 1.2 billones de dólares, que aumenta el gasto público en ciberseguridad en casi 2 000 millones de dólares. Los gobiernos estatales, locales, tribales y territoriales pueden utilizar la financiación para proteger mejor los datos sensibles y las infraestructuras críticas, responder con mayor rapidez a las intrusiones en la ciberseguridad y adoptar otras medidas para reforzar las defensas cibernéticas. Los estados que establecen relaciones entre sus entidades estatales y locales pueden aunar sus recursos financieros para alcanzar objetivos comunes.
Hacer realidad el enfoque integral a nivel estatal
En el pasado, muchas entidades públicas se han mostrado reacias a mejorar la ciberseguridad en la medida necesaria. La amenaza de los ataques de ransomware ha llamado su atención, pero también lo ha hecho el aumento del coste de los seguros cibernéticos. Este año, el condado de Clinton, en Nueva York, pagó casi 50,000 dólares por su póliza de seguro cibernético. La aseguradora del condado comunicó a los directivos que debían prever una prima estimada de 72,000 dólares por 2023, lo que supone un aumento de casi el 50 %.
Una forma importante de que las entidades públicas eviten esos aumentos astronómicos es demostrar que están tomando medidas concretas para combatir los ciberataques —y que disponen de datos que lo respalden—. Las universidades y los laboratorios estatales que reciben financiación externa también están constatando que muchos organismos financiadores están empezando a exigir el mismo tipo de pruebas. En el marco de una estrategia estatal integral, las entidades públicas pueden aprender a reducir las primas mediante, por ejemplo, la implantación de la autenticación multifactorial, la evaluación de riesgos y la mejora de la recopilación de datos.
[Lea también: Así es como el ransomware está afectando al sector de los seguros cibernéticos]
A medida que las organizaciones elaboran una estrategia para todo el estado, pueden comenzar por compartir prácticas básicas de higiene cibernética , para luego pasar a compartir herramientas y tecnologías y colaborar en el desarrollo de estrategias de ciberdefensa. Por último, pueden ayudarse mutuamente a detener los ciberataques en tiempo real. A través de la colaboración, los responsables de las empresas obtienen acceso a competencias de alta calidad en materia de ciberseguridad sin necesidad de aumentar la plantilla, y es posible que incluso ahorren dinero en las primas de sus seguros cibernéticos.
En estos momentos, la nación está dividida, y esta división puede impedirnos organizar una defensa unificada frente a nuestros enemigos. Si nuestro país fuera objeto de un ataque por parte de una fuerza militar convencional, dejaríamos a un lado nuestras divisiones políticas y trabajaríamos juntos como estadounidenses. Los ciberataques que estamos sufriendo tanto en el sector público como en el privado, en todos los niveles de la administración, constituyen, de hecho, una forma de guerra moderna.
Para hacer frente a unas amenazas que se intensifican rápidamente, los responsables de seguridad de las organizaciones del sector público de todo un estado deben reunirse con sus homólogos —desde el nivel más bajo hasta el más alto— para escucharse mutuamente, ayudarse unos a otros y establecer relaciones. Si bien la tecnología es muy importante, una mentalidad colaborativa resulta aún más fundamental. Al adoptar una estrategia que abarque todo el Estado, los dirigentes pueden acelerar su camino conjunto hacia una postura de seguridad sólida, capaz de hacer frente a las amenazas que se avecinan.
