Piense en los primeros días de la pandemia. Los gobiernos estatales y locales aumentaron inmediatamente los servicios esenciales en línea lo más rápido posible, para ayudar a las personas a localizar cosas como vacunas, pruebas, cuidado de niños y beneficios de desempleo. En ese momento, formaba parte del Departamento de Administración de Arizona y vi de primera mano la urgencia de lanzar servicios críticos.
Considere los beneficios de desempleo, por ejemplo. De repente, teníamos una enorme afluencia de personas desempleadas que necesitaban ayuda desesperadamente, lo que abrumaba los sistemas heredados a veces escritos en lenguajes de programación de décadas de antigüedad.
En general, los gobiernos hicieron un trabajo heroico para responder a la crisis. Pero los trabajadores de TI en el gobierno estatal no siempre pudieron proteger a fondo nuevos sitios o servicios en línea, ni examinarlos para proteger los valiosos datos personales que contienen estos sistemas. Eso abrió grandes brechas de seguridad que los hackers se apresuraron a explotar.
Al menos 79 ataques de ransomware se dirigieron a entidades estatales, locales y tribales en 2020, de acuerdo con las cifras disponibles más recientes. Los ataques provocaron tiempo de inactividad en 30 estados y afectaron a 71 millones de ciudadanos, según un informe del sitio de seguridad del consumidor Comparitech.
Algunos de los mayores peligros involucraban aplicaciones de terceros. Algunos estaban en sistemas heredados que son difíciles de aplicar. Las agencias estatales tienen arquitectura e infraestructura antiguas, combinadas durante décadas, y no saben cómo reaccionará una nueva herramienta en ese entorno hasta que comiencen a usarla.
Con frecuencia, las agencias se conectan a través de una red compartida. Pero las redes solo son tan seguras como su eslabón más débil. Incluso si un departamento realiza todos los parches y la higiene de TI que necesita hacer, sigue siendo vulnerable si la siguiente agencia en el futuro no ha hecho su trabajo.
Y muchos gobiernos estatales y locales ni siquiera saben cuántos sistemas tienen o a qué están conectados. Conozco a una agencia estatal de Arizona que realizó una remodelación, pero dejó algunas computadoras enchufadas y conectadas a la antigua red, y literalmente construyeron muros a su alrededor. Hasta que tuvimos servicios modernos de protección de endpoint, nadie sabía que estaban allí. Y eso obviamente hizo que fueran imposibles de asegurar.
Imagínese tratando de proteger su casa, pero no sabe cuántas puertas y ventanas tiene o cuáles pueden dejarse abiertas. Si no se molesta en entender sus vulnerabilidades de seguridad, no es difícil para los delincuentes entrar y tomar lo que deseen.
Falta de profesionales de ciberseguridad
Es refrescante ver que los gobiernos estatales y locales finalmente están atrapando su aliento y poniendo un énfasis renovado en la ciberseguridad. Desafortunadamente, tienen poco personal, a menudo en un grado impactante. Hay una escasez de trabajadores en la ciberseguridad. Muchos gobiernos simplemente no tienen las personas para hacer el trabajo.
“Conozco a una agencia estatal que dejó las computadoras enchufadas, y literalmente construyeron muros a su alrededor. Nadie sabía que estaban allí”.
A menudo ni siquiera saben cuántas personas tienen. Por ejemplo, en Arizona, no teníamos un personal de ciberseguridad centralizado. Las grandes agencias, como el Departamento de Transporte del estado, tenían sus propios equipos. Cuando me convertí en administrador del programa de seguridad empresarial a cargo de la seguridad cibernética de Arizona, queríamos averiguar cuántos ciberprofesionales trabajaban para el estado. Le preguntamos al equipo de RR. HH. del estado varias veces. Y la respuesta que recibimos fue: “No tenemos idea”.
Los títulos de trabajo podrían ser muy sueltos y podrían ser diferentes entre las agencias. En algunos lugares, las personas a las que se les pidió que cubrieran la ciberseguridad no tenían antecedentes ni capacitación formales. Solo hacían lo mejor que podían.
Mientras tanto, los equipos de ciberseguridad del gobierno están trabajando más horas por menos compensación de la que podrían obtener de una empresa privada. Los trabajadores podían obtener un trabajo en el sector privado en un ritmo cardíaco y duplicar su pago.
Y la presión sobre ellos es enorme. Están protegiendo las “joyas de la corona”. Los gobiernos estatales y locales tienen algunos de los datos más atractivos para los hackers: nombres, números de Seguro Social, fechas de nacimiento, direcciones, información de cuenta bancaria, registros de salud. Es como un buffet todo lo que se puede comer para ciberdelincuentes. Los equipos con poco personal trabajan duro todos los días para proteger los datos confidenciales, pero están cansados y abrumados.
En todo el país, he visto un énfasis renovado en incorporar más recursos y personas. Cuando estaba en Arizona, comenzamos un programa de pasantías universitarias para atraer talento. Colocamos pasantes en nuestro Centro de Comando Cibernético y también los rotamos en diferentes equipos de ciberseguridad para darles una experiencia completa. También hablamos con los estudiantes de las escuelas secundarias sobre la ciberseguridad y les dimos recorridos por Cyber Command. Y mientras hacíamos eso, trabajamos para cerrar la brecha de género en TI al hablar con las niñas sobre sus opciones profesionales en el campo.
Eleve el rol de la ciberseguridad dentro del liderazgo
Los estados finalmente reconocen la importancia de la ciberseguridad. Arizona y Nueva Jersey sacaron el puesto de CISO de debajo del CIO, por ejemplo. El CISO de Arizona dirige el Departamento de Seguridad Nacional del estado, mientras que el CISO de Nueva Jersey forma parte de la Oficina de Seguridad y Preparación Nacional del estado.
“Queríamos averiguar cuántos profesionales cibernéticos trabajaban para el estado. La respuesta que recibimos fue: “No tenemos idea”.
Estos movimientos son importantes porque los CIO son responsables de hacer que las cosas salgan y de poner los servicios allí. Pero los CISO son responsables de detener las cosas que no son seguras. Los dos líderes pueden enfrentar prioridades contrapuestas. Al separar el CISO del CIO, los gobiernos pueden crear esa separación de funciones.
El gobernador de Arizona, Doug Ducey, en realidad, convirtió al CISO en un puesto a nivel de gabinete bajo su supervisión directa. Eso pone la ciberseguridad a la par de la prestación de servicios de emergencia, cupones de alimentos y todo lo demás que ofrece el estado. Creo que el campo va a ver más de eso.
Los gobiernos deben hacer de la higiene cibernética una prioridad
Hay nuevos fondos federales disponibles para ayudar a los estados y a las entidades locales, pero el dinero por sí solo no resolverá los problemas. La forma en que gasta lo que tiene marca una gran diferencia.
“Los buenos tienen que tener razón el 100 % del tiempo. Los chicos malos solo deben tener razón una vez”.
Los gobiernos estatales y locales recurren a la ayuda externa. Buscan reemplazar sus soluciones de punto específico desactualizadas para cada tipo de vector de amenaza con plataformas fácilmente expandibles. Con soluciones de endpoint modernas y escalables de Tanium, Arizona pudo aplicar parches a alrededor de 326,000 vulnerabilidades en un período de 72 horas. Eso era más de lo que habíamos podido hacer en los seis meses anteriores, después de haber hecho todo el control remoto.
La situación que enfrentamos en Arizona es similar a la que existe en otros gobiernos estatales y locales. Pero las personas no comprenden los desafíos que enfrentan. A veces le pregunto: “¿Cuál es su nivel de confianza en su aplicación de parches?” Y los líderes responden: “Probablemente estamos al 95 % con parches”. Luego, observamos su red y descubrimos que, de hecho, tienen el 95 % de parches en lo que pueden ver, pero no tienen parches en al menos el 30 % de los puntos finales que no pueden ver.
En conclusión: No puede proteger lo que no puede ver. ¿Cómo se protege si no tiene una idea de qué proteger? Sin visibilidad, nunca podrá proteger su entorno.
Después de todo, los buenos deben tener razón el 100 % del tiempo. Los malos pueden tomarse un día libre. Solo necesitan tener razón una vez. Es hora de que los gobiernos estatales y locales tomen esa advertencia en serio.
