A Ryan Murray le encanta cuando se une un plan.
Como subdirector de seguridad de la información (Chief Information Security Officer, CISO) para el estado de Arizona, Murray ha tenido las manos llenas intentando proteger a las comunidades principalmente rurales de todo el estado contra los desafíos de ciberseguridad.
Por lo tanto, hace tres años, su departamento se propuso ayudar a actualizar los sistemas de ciberseguridad de TI locales, en gran medida anticuados y, en algunos casos, inexistentes, utilizando una combinación de dinero de subvenciones federales y contribuciones estatales. Reunido con los líderes del condado, la ciudad y las tribus, su equipo identificó necesidades y puntos débiles para entender dónde las mejoras eran más críticas. Luego, a medida que surgían subvenciones de agencias como el Departamento de Seguridad Nacional (Department of Homeland Security, DHS), la oficina de Murray estaba lista para perseguirlas de manera más rápida y eficiente.
Al mismo tiempo, su equipo pudo usar lo que habían escuchado de los funcionarios locales para comprar herramientas y servicios de ciberseguridad modernos con descuento (en virtud de algunos acuerdos de servicios maestros de proveedores y contratos estatales) y luego proporcionar esas soluciones a gobiernos locales con escasez de efectivo, de forma gratuita.
Murray dice que este modelo pone a Arizona en buena forma para capturar una parte de los mil millones de dólares en financiamiento de ciberseguridad que se incorpora en el proyecto de ley de infraestructura bipartidista que el presidente Biden promulgó en noviembre.
“Hemos eliminado la complejidad de estos procesos, lo que será importante teniendo en cuenta que aún no sabemos cuándo estarán disponibles los fondos o cuáles serán los requisitos”, dice Murray.
Luchar contra la ambigüedad de ciberseguridad
Se recomendaría a los funcionarios estatales y locales que están haciendo una mezcla después de su parte de los fondos de ciberseguridad en la ley de infraestructura que sigan el ejemplo de Arizona y hagan un trabajo preliminar, ahora.
“Lo n.o 1 que los estados necesitan en este momento es orientación de CISA sobre cómo pueden gastar el dinero”.Alex Whitaker, director de asuntos gubernamentales, NASCIO
Esto se debe a que, si bien todos saben que el dinero está por venir, no habrá mucho tiempo para perseguirlo. Los fondos se asignarán durante cuatro años, con 200 millones de dólares disponibles en 2022, 400 millones de dólares en 2023, 300 millones de dólares en 2024 y 100 millones de dólares en 2025.
Se esperaba que la Agencia de Infraestructura y Ciberseguridad (Cybersecurity and Infrastructure Agency, CISA) emitiera su Aviso de Oportunidad de Financiamiento (Notice of Funding Opportunity, NOFO) para la primera cuota de financiamiento a principios del verano, pero parece que podría pasar a fines del verano. Esto significa que los gobiernos estatales y locales podrían tener un mes o menos para completar y enviar solicitudes, ya que se supone que el desembolso 2022 saldrá al final del año fiscal del gobierno federal el 30 de septiembre.
Completar solicitudes gubernamentales rara vez es fácil. De hecho, hay numerosos obstáculos.
Por ejemplo, las reglas dictan que el 80 % del dinero de la subvención debe fluir a las localidades, lo que significa que los estados necesitan mecanismos para que eso suceda. También deben estar listos para igualar los fondos de la subvención con su propio dinero, comenzando en el 10 % en 2022 y aumentando 10 puntos porcentuales cada año hasta 2025. Y deben presentar planes de ciberseguridad que establezcan cómo se difundirán y utilizarán los fondos.
[Leer también: 5 estrategias establecen que los CIO pueden usar para transformar su fuerza laboral]
Teniendo en cuenta que CISA aún no ha definido públicamente cómo se podrían gastar los fondos, y quién podría gastarlos, esto es, sin lugar a dudas, un orden alto. Pero muchos CIO y CISO de estado progresivo están avanzando de todos modos.
“Lo n.o 1 que los estados necesitan en este momento es la orientación de CISA sobre cómo pueden gastar el dinero”, dice Alex Whitaker, director de asuntos gubernamentales de la Asociación Nacional de Directores de Información Estatales (National Association of State Chief Information Officers, NASCIO). “Pero no están sentados en sus manos. Aquellos que están interesados están trabajando en sus planes de ciberseguridad e intentando que los lugareños entren en la sala para identificar sus necesidades”.
La financiación federal de ciberseguridad vale la pena
No todos los estados estarán interesados en buscar financiamiento de infraestructura, dice Whitaker. Al final del día, solo habrá mil millones de dólares para dividir entre 50 estados en cuatro años. Y dado que los estados deben ahorrar millones de dólares en fondos equivalentes durante ese tiempo, algunos pueden llegar a la conclusión de que “Esto no vale realmente la pena para nosotros, que es demasiado complicado”, dice.
Al mismo tiempo, señala Whitaker, existe una “tremenda necesidad” en los gobiernos estatales y locales de actualizar los sistemas de seguridad de TI. Muchos gobiernos locales, en particular, aún utilizan hardware y software primitivos que contienen características y beneficios de seguridad desactualizados, dice. Otros no actualizan ni parchean regularmente los sistemas clave, lo que los hace más vulnerables al ransomware y otros ataques nefastos. Aún otros utilizan una multitud de herramientas aisladas para ver y entender dónde se encuentran los datos y quién accede a ellos. Y muchos carecen de controles actuales de identidades y accesos, como la autenticación multifactor (multifactor authentication, MFA), que puede ayudar a compensar las debilidades del nombre de usuario y la contraseña.
Jennifer Pittman-Leeper, gerente de participación del cliente de Tanium, dice que la mayoría de los CIO y CISO estatales y locales saben que sus sistemas de seguridad de TI no están a la altura: “Si las herramientas y la tecnología actuales realmente funcionaran para los estados y las localidades, no necesitarían este dinero”, dice. “No funciona y lo saben”.
[Leer también: Las agencias estatales se ponen al día con la ciberseguridad]
Como tal, aquellos que se alejan de oportunidades de financiamiento como las subvenciones de ciberseguridad en la nueva ley de infraestructura deben analizar más detenidamente.
“Tienen que hacer la inversión para actualizar sus tecnologías”, dice. “Este dinero federal puede ayudar a los estados a llevar las cosas al siguiente nivel, que para algunos es solo un nivel fundamental. No deben verse como un caballo de regalo en la boca”.
Extracción de la Band-Aid de ciberseguridad
Las agencias estatales deben “eliminar la ayuda de banda”, dice Pittman-Leeper, y asegurar la financiación siempre que sea posible para comprender mejor sus entornos complejos y comenzar a controlarlos.
“No es una varita mágica. Pero es un comienzo, y debe comenzar en algún lugar”.Jennifer Pittman-Leeper, gerente de participación del cliente, Tanium
Para aquellos CIO y CISO que están atrasados en la preparación pero están interesados en buscar este financiamiento de la ley de infraestructura, algunos enfoques rápidos:
- Elimine ese plan de ciberseguridad: Para lograr hitos específicos, asegúrese de incluir una estrategia y tácticas específicas durante todo el período de cuatro años del plan.
- Hable con los locales: El plan de ciberseguridad debe definir claramente cómo el estado apoyará los esfuerzos locales de ciberseguridad. Esto no puede suceder sin analizar activamente las prioridades y los desafíos del condado, la ciudad y la tribal. Por ejemplo, incluso si un estado proporciona herramientas modernas, es posible que una localidad no tenga los recursos para implementarlas. Esto podría sugerir que necesitan más capacitación, soporte o ayuda de un proveedor de servicios de seguridad administrados (MSSP) externo.
[Leer también: Cada empleado ahora debe ser parte del equipo de ciberseguridad
- Educar y evangelizar la necesidad: La mayoría de los CIO y CISO lo saben, pero no pueden tener éxito en un vacío. Al buscar financiamiento federal, es fundamental educar a los políticos sobre los motivos. Pittman-Leeper señala que deben entender la necesidad de más presupuesto y financiamiento incremental, para que si las solicitudes de subsidios son exitosas, no eliminen el presupuesto después.
También vende a los funcionarios gubernamentales la importancia de financiar actualizaciones de ciberseguridad para sistemas de TI estatales y locales heredados.
En Arizona, Murray señala, con el apoyo del gobernador Doug Ducey, el presupuesto del estado destina 10 millones de USD para ayudar a los gobiernos locales y a los distritos escolares desde K-12 a mejorar sus posturas de seguridad. - Piense en general: Desprenda una página del libro de Arizona y reconozca que las subvenciones no tienen que ser esfuerzos únicos. Con un modelo sustentable implementado, es posible ir tras todo tipo de oportunidades de financiamiento federal. Por ejemplo, el DHS anunció recientemente 1.6 000 millones de USD en subvenciones de preparación para combatir el terrorismo. Parte de ese financiamiento se puede aplicar a los esfuerzos de ciberseguridad. No es sorprendente que el equipo de Murray también se haya coordinado con los gobiernos locales para solicitar ese financiamiento.
- Asóciese con otros estados: La cantidad de tiempo, energía e inversión involucrada en la búsqueda de financiamiento de ciberseguridad de infraestructura aún puede parecer abrumadora. Pero Murray de Arizona dice que su equipo está conversando con contrapartes de otros estados, incluidos Texas y Nuevo México, sobre formas de agrupar fondos para satisfacer sus necesidades comunes. Verdadero, es posible que las pautas de CISA desaceleren ese enfoque (nuevamente, esto aún no se ha determinado). Pero pensar de inmediato podría abrir puertas a numerosas posibilidades después de que se produzca el financiamiento.
[Leer también: Es hora de corregir la infraestructura cibernética de los Estados Unidos también]
Pittman-Leeper dice que, independientemente de cómo se sientan los CIO y CISO estatales con respecto a las subvenciones federales de ciberseguridad, es probable que tengan que aprovecharlas antes o después.
“La ciberseguridad ha sido un problema subfinanciado durante algún tiempo y el problema no se está reduciendo”, dice. “Los CIO y CISO estatales que buscan este tipo de financiamiento son lo suficientemente realistas como para saber que no es una varita mágica. Pero es un comienzo y debe comenzar en algún lugar”.
