Los ciberdelincuentes tienen como objetivo a los ayuntamientos y otras entidades de la administración local, en parte porque saben que estas entidades carecen de los recursos de las grandes empresas comerciales. Para defenderse de estos ataques, un número cada vez mayor de organismos de la administración local está analizando las ventajas de colaborar y adoptar una estrategia de ciberseguridad que abarque todo el estado.
En una estrategia de ciberseguridad « » que abarca todo el estado (se abre en una nueva pestaña), el Gobierno estatal colabora con la Guardia Nacional local, los ayuntamientos, los centros educativos de primaria y secundaria, las entidades tribales y otras organizaciones gubernamentales locales, elaborando políticas de ciberseguridad, prestando apoyo en materia de financiación y herramientas, ofreciendo orientación y compartiendo información de inteligencia. Gracias a esta colaboración, los ayuntamientos y otras entidades de la administración local —que suelen carecer de los recursos económicos y de personal suficientes para desempeñar funciones de ciberseguridad— pueden beneficiarse de los recursos y la experiencia de otras entidades de mayor tamaño y con mayor financiación.
En la primera entrada del blog de « » de esta serie, (se abre en una nueva pestaña), ofrecí una visión general de los elementos que conforman una estrategia de ciberseguridad a nivel estatal. Esta estrategia se compone de tres medidas:
- Gobernanza y elaboración de políticas
- Aplicación
- Validación
Y en mi entrada anterior (se abre en una nueva pestaña), ofrecí una visión general de la fase de gobernanza y elaboración de políticas. Ahora voy a analizar la parte relativa a la puesta en práctica de esta estrategia, que comprende lo siguiente:
- Proseguir con la colaboración entre los equipos de gobernanza interorganizacionales establecidos durante la fase de gobernanza de esta estrategia.
- Selección, adquisición e implantación de conjuntos de herramientas estándar de ciberseguridad en diversas organizaciones públicas.
- Buscar organizaciones privadas con sólidas competencias en materia de asesoramiento que puedan ayudar en la implantación y configuración de herramientas de ciberseguridad, así como en la aplicación de políticas de ciberseguridad.
- Establecer las prioridades en cuanto a las políticas de ciberseguridad que deben aplicarse en primer lugar.
- Comunicar los logros para fortalecer las relaciones entre organizaciones y reforzar el valor de la colaboración.
Continuando con la colaboración establecida en la fase de elaboración de políticas
En la fase de elaboración de políticas, las organizaciones estatales, los ayuntamientos y otras entidades colaboraron para redactar políticas de ciberseguridad que pudieran armonizarse en todo el estado.
En esta fase de puesta en marcha, dicha colaboración continúa. Ahora, organismos como la Dirección General de Tráfico del Estado o un ayuntamiento tienen la oportunidad de adaptar las políticas a sus necesidades específicas y de comunicar dichas necesidades al equipo interorganizacional. Además, pueden compartir sus experiencias a la hora de resolver problemas de ciberseguridad, de modo que todos tengan la oportunidad de aprender unos de otros.
A lo largo de este proceso, es importante que todas las entidades gubernamentales participantes comprendan que:
- El equipo interinstitucional formulará recomendaciones, pero, en última instancia, cada entidad gubernamental es responsable de adoptar sus propias políticas y de aplicarlas de acuerdo con sus necesidades.
- Las organizaciones a nivel estatal pueden ayudar a seleccionar, adquirir y poner a disposición herramientas informáticas, pero no controlan el uso diario de dichas herramientas. Las entidades gubernamentales individuales, como los ayuntamientos, tienen pleno control sobre las herramientas que utilizan para supervisar, gestionar y proteger sus propias redes y demás recursos informáticos.
- Aunque sean las entidades públicas las responsables de utilizar las herramientas de ciberseguridad, el Estado puede colaborar en su selección y adquisición a precios al por mayor, con el fin de que la adquisición de herramientas modernas resulte más asequible para todas las entidades del Estado.
Herramientas de compras a nivel estatal
La forma en que se adquieren y distribuyen las herramientas constituye una de las principales diferencias entre un enfoque de ciberseguridad que abarca todo el Estado y los enfoques puntuales que han prevalecido en el pasado.
En el marco de una estrategia estatal integral, el equipo colaborativo de ciberseguridad del estado selecciona un conjunto de herramientas comunes que se implantarán en todo el territorio estatal. Las entidades de la administración local siguen siendo responsables de utilizar dichas herramientas para gestionar sus propias redes y su personal. Sin embargo, el Estado se encarga de la adquisición de las herramientas, de modo que todas las entidades públicas del Estado puedan beneficiarse de precios reducidos y de la estandarización de las herramientas.
Este enfoque ofrece varias ventajas, entre las que se incluyen:
- Menores costes
Dado que el Estado adquiere herramientas informáticas al por mayor, puede negociar precios más bajos que los que podrían conseguir por su cuenta las distintas entidades públicas. - Requisitos de auditoría reducidos
En lugar de que cientos de departamentos de compras actúen de forma independiente, todas las compras las gestiona el equipo de compras del Estado. Dado que se están realizando menos compras, es necesario auditar un menor número de ellas para garantizar que los fondos se asignan correctamente. - Igualdad
Dado que todos los municipios disponen de las mismas herramientas, nadie queda excluido ni se ve obligado a conformarse con alternativas menos deseables. - Gestión optimizada de los servicios en la nube
Si el Estado decide adquirir servicios en la nube para sus organismos públicos, podrá gestionar dichos servicios por sí mismo, en lugar de obligar a los ayuntamientos y a los distritos escolares a asumir los retos que supone la supervisión y la gestión de los nuevos servicios. - Procesos estandarizados y mejora del intercambio de información
Dado que los equipos de TI de todo el estado utilizan las mismas herramientas, pueden aplicar los mismos procesos para tareas comunes de ciberseguridad, como la instalación de parches. Asimismo, pueden compartir buenas prácticas y contribuir a una base de conocimientos común sobre amenazas y soluciones para hacerles frente.
Reconociendo la importancia de los proveedores y los socios privados
Los proveedores de tecnologías de la información desempeñan un papel fundamental en el éxito de cualquier estrategia a nivel estatal, y no solo por sus productos.
Cuando las empresas privadas adquieren herramientas informáticas, cuentan con equipos de comunicación internos que pueden compartir información sobre dichas herramientas, impartir formación y facilitar la adopción generalizada de la nueva tecnología.
Las organizaciones del sector público rara vez disponen de esos recursos. Los proveedores pueden contribuir a subsanar esta diferencia mediante servicios de consultoría y formación, con el fin de garantizar que la implantación de un nuevo conjunto de herramientas sea un éxito.
Por ejemplo, un proveedor que sea un buen socio puede contribuir a las iniciativas de divulgación entre las organizaciones que participan en la estrategia estatal integral. El proveedor podría incluso ayudar a crear documentación personalizada e integrada para las distintas herramientas seleccionadas como parte de la estrategia estatal global, de modo que los equipos de TI de todo el estado puedan encontrar toda la información que necesitan en un solo lugar.
Dada la gran importancia que revisten la formación y la documentación en las implantaciones, cuando las organizaciones estatales evalúen a los proveedores de TI, deberían valorar sus capacidades en materia de formación y asesoramiento, además de su software y hardware. Los Estados deberían garantizar que la formación, la documentación y cualquier otra comunicación necesaria se faciliten como parte de la adquisición, de modo que los equipos de TI, de tamaño reducido y con una carga de trabajo excesiva, nunca tengan que aprender a manejar nuevas herramientas por su cuenta.
Si un estado ha estandarizado sus herramientas de ciberseguridad y los proveedores de dichas herramientas han elaborado materiales de formación útiles para las organizaciones estatales, dichos materiales pueden compartirse entre todas las organizaciones que participan en la estrategia estatal integral. Los proveedores, por supuesto, tienen un incentivo para asegurarse de que estos materiales sean útiles y estén completos, ya que son muchas las entidades públicas que dependen de ellos.
La importancia de la comunicación para la aplicación de una estrategia de ciberseguridad a nivel estatal
En este trabajo, nunca se comunica demasiado. Los equipos deben trabajar con transparencia, y se debe informar periódicamente a las partes interesadas sobre los próximos pasos y los requisitos. Una comunicación regular sobre las decisiones, las compras, la formación, etc., contribuirá a generar entusiasmo por el proyecto en su conjunto.
Dicho esto, es importante no sobrecargar a los miembros del equipo. Los miembros del equipo deben ir paso a paso, teniendo en cuenta que todas las personas que trabajan en una estrategia para todo el estado ya tienen un empleo a tiempo completo.
Según mi experiencia, los miembros del equipo valoran mucho el apoyo y el intercambio de información que supone participar en un programa como este. De repente, incluso las entidades públicas con presupuestos reducidos están disponiendo de nuevas herramientas y recibiendo información periódica sobre las amenazas y cómo protegerse de ellas. Ellos aprecian la diferencia.
Cuando el Estado de Arizona puso en marcha un programa como este (se abre en una nueva pestaña), convirtió el intercambio de información en uno de los pilares del programa. Las entidades gubernamentales de todo Arizona comparten ahora información a través del Centro Estatal de Fusión. Asimismo, han creado canales de Slack para facilitar la comunicación entre organizaciones. Estas vías de comunicación facilitan que los equipos de seguridad gubernamentales de todo el estado publiquen, de forma segura y anónima, información sobre los indicadores de compromiso (IOC) que hayan detectado, así como otros datos útiles sobre amenazas.
Hablando de inteligencia sobre amenazas, el Gobierno federal está incluyendo más información útil en los boletines de inteligencia sobre amenazas que envía a todos los estados. Cuantas más fuentes de información sobre amenazas de alta calidad disponga un Estado, mejor será su nivel de seguridad en general. Los equipos de TI pueden incluso automatizar las respuestas a esta información. Por ejemplo, es posible integrar los sistemas de alerta con los cortafuegos, de modo que, si se recibe información sobre una dirección IP peligrosa, las reglas del cortafuegos puedan bloquearla al instante, lo que proporciona una protección inmediata.
Obtenga más información
En esta entrada, he abordado los aspectos básicos de lo que incluye la fase de implementación de una estrategia de ciberseguridad a nivel estatal. En una próxima entrada, abordaré la fase final de este trabajo: la validación.
Mientras tanto, si desea saber cómo la plataforma Tanium Converged Endpoint Management de (se abre en una nueva pestaña) puede ayudar a su organización a poner en marcha una estrategia de ciberseguridad más sólida, póngase en contacto con nosotros.
