Piense en los primeros días de la pandemia. Los gobiernos estatales y locales potenciaron de inmediato los servicios esenciales en línea lo más rápido posible, con el fin de ayudar a la población a encontrar recursos como vacunas, pruebas de detección, servicios de guardería y prestaciones por desempleo. En aquel momento, formaba parte del Departamento de Administración de Arizona y fui testigo de primera mano de la urgencia de poner en marcha servicios esenciales.
Tomemos como ejemplo las prestaciones por desempleo. De repente, nos vimos ante una afluencia masiva de personas desempleadas que necesitaban ayuda desesperadamente, lo que desbordó los sistemas heredados, en ocasiones programados en lenguajes de programación con décadas de antigüedad.
En general, los gobiernos realizaron una labor heroica para hacer frente a la crisis. Sin embargo, los profesionales de TI de la administración estatal no siempre han podido proteger de forma exhaustiva los nuevos sitios web o servicios en línea, ni someterlos a un proceso de verificación para proteger los valiosos datos personales que contienen estos sistemas. Esto provocó importantes brechas de seguridad en que los piratas informáticos se apresuraron a aprovechar.
Según las cifras más recientes de las que se dispone, al menos 79 ataques de ransomware de tipo « » tuvieron como objetivo entidades estatales, locales y tribales en 2020. Los ataques provocaron interrupciones del servicio en 30 estados y afectaron a 71 millones de ciudadanos, según un informe de la web de seguridad para consumidores Comparitech.
Algunos de los mayores peligros estaban relacionados con las aplicaciones de terceros. Algunos se encontraban en sistemas heredados que resultan difíciles de aplicar parches. Los organismos estatales cuentan con una arquitectura e infraestructura obsoletas, que se han ido improvisando a lo largo de décadas, y no saben cómo va a funcionar una nueva herramienta en ese entorno hasta que empiezan a utilizarla.
A menudo, las agencias están conectadas a través de una red compartida. Sin embargo, la seguridad de las redes depende de su eslabón más débil. Aunque un departamento lleve a cabo todas las actualizaciones y las medidas de higiene informática que le corresponden, seguirá siendo vulnerable si la siguiente entidad de la cadena no ha cumplido con su deber.
Además, muchos gobiernos estatales y locales ni siquiera saben cuántos sistemas tienen ni a qué están conectados. Tengo constancia de que una agencia estatal de Arizona llevó a cabo una reforma, pero dejó algunos ordenadores enchufados y conectados a la red antigua, y, literalmente, construyeron paredes a su alrededor. Hasta que dispusimos de servicios modernos de protección de dispositivos finales, nadie sabía que existían. Y eso, evidentemente, hacía que fuera imposible asegurarlas.
Imagínese que intenta proteger su casa, pero no sabe cuántas puertas y ventanas tiene, ni cuáles pueden haber quedado abiertas. Si no se molesta en comprender cuáles son sus vulnerabilidades de seguridad, a los delincuentes no les resultará difícil acceder a su sistema y llevarse lo que quieran.
La falta de profesionales de la ciberseguridad
Resulta alentador comprobar que los gobiernos estatales y locales están por fin recuperando el aliento y volviendo a dar prioridad a la ciberseguridad. Lamentablemente, cuentan con una plantilla insuficiente, a menudo en un grado alarmante. Existe una escasez de personal en todos los ámbitos de la ciberseguridad. Muchos gobiernos, sencillamente, no cuentan con el personal necesario para realizar el trabajo.
«: Conozco una agencia estatal que dejó los ordenadores enchufados… y, literalmente, construyeron muros a su alrededor. Nadie sabía que estaban allí.»
A menudo ni siquiera saben cuántos empleados tienen. Por ejemplo, en Arizona no contábamos con un equipo centralizado de ciberseguridad. Las grandes agencias, como el Departamento de Transporte del Estado, contaban con sus propios equipos. Cuando pasé a ocupar el cargo de administrador del programa de seguridad empresarial encargado de la ciberseguridad de Arizona, queríamos averiguar cuántos profesionales de la ciberseguridad trabajaban para el Estado. Se lo hemos preguntado al equipo de recursos humanos estatal en varias ocasiones. Y la respuesta que recibimos fue: «No tenemos ni idea».
Los títulos de los puestos de trabajo pueden ser muy imprecisos y variar de una agencia a otra. En algunos lugares, las personas a las que se les pedía que se ocuparan de la ciberseguridad carecían de formación o experiencia reglada. Simplemente hacían lo mejor que podían.
Mientras tanto, los equipos de ciberseguridad del Gobierno trabajan más horas a cambio de una remuneración inferior a la que podrían obtener en una empresa privada. Los trabajadores podrían conseguir un empleo en el sector privado en un abrir y cerrar de ojos y duplicar su salario.
Y la presión a la que están sometidos es enorme. Están protegiendo las «joyas de la corona». Las administraciones estatales y locales disponen de algunos de los datos más atractivos para los piratas informáticos: nombres, números de la Seguridad Social, fechas de nacimiento, direcciones, datos bancarios e historiales médicos. Es como un bufé libre para los ciberdelincuentes. Los equipos, que cuentan con poco personal, trabajan duro cada día para proteger los datos confidenciales, pero están cansados y desbordados.
En todo el país he observado un renovado interés por atraer más recursos y personal. Cuando estuve en Arizona, pusimos en marcha un programa de prácticas universitarias para atraer talento. Incorporamos a los becarios a nuestro Centro de Mando Cibernético y, además, los fuimos rotando por diferentes equipos de ciberseguridad para que adquirieran una experiencia completa. Asimismo, hablamos con los alumnos de « » de los institutos sobre cómo dedicarse a la ciberseguridad y les ofrecimos visitas guiadas al Cyber Command. Y mientras hacíamos eso, nos esforzamos por reducir la brecha de género en el sector de las tecnologías de la información , hablando con las jóvenes sobre sus opciones profesionales en este ámbito.
Potenciar el papel de la ciberseguridad en los puestos de dirección
Los Estados están reconociendo por fin la importancia de la ciberseguridad. Arizona y Nueva Jersey, por ejemplo, han separado el cargo de CISO de la dependencia del CIO. El CISO de Arizona dirige el Departamento de Seguridad Nacional del estado, mientras que el CISO de Nueva Jersey forma parte de la Oficina de Seguridad Nacional y Preparación del estado.
«Queríamos averiguar cuántos profesionales de la ciberseguridad trabajaban para el Estado. La respuesta que recibimos fue: «No tenemos ni idea».»
Estas medidas son importantes porque los directores de sistemas de información (CIO) son los responsables de que todo funcione y de que los servicios lleguen a los usuarios. Sin embargo, los CISO son los responsables de impedir que se produzcan situaciones que no sean seguras. Ambos líderes pueden verse ante prioridades contrapuestas. Al separar las funciones del CISO y del CIO, los gobiernos pueden establecer esa separación de funciones.
De hecho, el gobernador de Arizona, Doug Ducey, convirtió el cargo de CISO en un puesto de rango ministerial que depende directamente de él. Esto situó la ciberseguridad al mismo nivel que la prestación de servicios de emergencia, los vales de comida y todo lo demás que ofrece el Estado. Creo que en este ámbito se va a ver más de eso.
Los gobiernos deben dar prioridad a la higiene cibernética
Se dispone de nuevos fondos federales para ayudar a los estados y a las entidades locales, pero el dinero por sí solo no resolverá los problemas. La forma en que gasta lo que tiene marca una gran diferencia.
«: Los buenos tienen que tener razón el 100 % de las veces». «A los malos solo les basta acertar una vez.»
Los gobiernos estatales y locales están recurriendo a ayuda externa. Su objetivo es sustituir sus soluciones puntuales y obsoletas, específicas para cada tipo de vector de amenaza, por plataformas fácilmente ampliables. Gracias a las soluciones modernas y escalables de Tanium para terminales, « » , Arizona pudo corregir unas 326,000 vulnerabilidades en un plazo de 72 horas. Eso fue más de lo que habíamos podido lograr en los seis meses anteriores, tras haber pasado a trabajar íntegramente a distancia.
La situación a la que nos enfrentamos en Arizona es similar a la que se da en otros gobiernos estatales y locales. Sin embargo, la gente no comprende los retos a los que se enfrenta. A veces pregunto: «¿Qué grado de confianza tiene en sus parches?». Y los responsables responden: «Probablemente tengamos el 95 % de los parches instalados». A continuación, analizamos su red y descubrimos que, efectivamente, tienen instaladas todas las actualizaciones (al 95 %) en los sistemas que pueden ver, pero que no las tienen instaladas en al menos el 30 % de los terminales que no pueden ver.
En resumen: no se puede proteger lo que no se ve. ¿Cómo se protege uno si no tiene ni idea de qué es lo que debe proteger? Sin visibilidad, nunca podrá proteger su entorno.
Al fin y al cabo, los buenos tienen que tener razón el 100 % de las veces. Los malos pueden tomarse un día libre. Solo tienen que acertar una vez. Ya es hora de que los gobiernos estatales y locales se tomen en serio esa advertencia.
