A Ryan Murray le encanta cuando un plan sale bien.
Como subdirector de seguridad de la información (CISO) del estado de Arizona, Murray ha tenido mucho trabajo tratando de proteger a las comunidades, en su mayoría rurales, de todo el estado frente a los retos en materia de ciberseguridad.
Así pues, hace tres años, su departamento se propuso ayudar a modernizar los sistemas locales de ciberseguridad informática —en su mayoría obsoletos y, en algunos casos, inexistentes— mediante una combinación de subvenciones federales y aportaciones estatales. En una reunión con los dirigentes del condado, de la ciudad y de las comunidades indígenas, su equipo identificó las necesidades y los puntos débiles para determinar en qué ámbitos era más urgente introducir mejoras. Posteriormente, cuando comenzaron a llegar subvenciones de organismos como el Departamento de Seguridad Nacional (DHS), la oficina de Murray estaba preparada para tramitarlas con mayor rapidez y eficacia.
Al mismo tiempo, su equipo pudo aprovechar la información que habían recabado de las autoridades locales para adquirir herramientas y servicios modernos de ciberseguridad con descuento (en virtud de algunos acuerdos marco de servicios con proveedores y contratos estatales) y, a continuación, ofrecer esas soluciones a las administraciones locales con escasos recursos económicos, de forma gratuita.
Murray afirma que este modelo sitúa a Arizona en una buena posición para hacerse con una parte de los 1.000 millones de dólares destinados a la ciberseguridad que se incluyen en el proyecto de ley bipartidista de infraestructuras que el presidente Biden promulgó en noviembre.
«Hemos simplificado estos procesos, lo cual será importante teniendo en cuenta que aún no sabemos cuándo estarán disponibles los fondos ni cuáles serán los requisitos», afirma Murray.
Lucha contra la ambigüedad en materia de ciberseguridad
Se recomienda a los responsables estatales y locales que estén barajando la posibilidad de solicitar su parte de los fondos destinados a la ciberseguridad en la ley de infraestructuras que sigan el ejemplo de Arizona y realicen los preparativos necesarios con antelación —ya mismo—.
«Lo más importante que necesitan los estados en este momento es que la CISA les oriente sobre cómo pueden gastar el dinero.»Alex Whitaker, director de asuntos gubernamentales de la NASCIO
Esto se debe a que, aunque todo el mundo sabe que el dinero está al caer, no habrá mucho tiempo para ir tras él. Los fondos se distribuirán a lo largo de cuatro años, con 200 millones de dólares disponibles en 2022, 400 millones en 2023, 300 millones en 2024 y 100 millones en 2025.
Se esperaba que la Agencia de Ciberseguridad e Infraestructuras (CISA) publicara su convocatoria de subvenciones (NOFO) para el primer tramo de financiación a principios de verano, pero parece que podría retrasarse hasta finales de verano. Esto significa que los gobiernos estatales y locales podrían disponer de un mes o menos para completar y presentar las solicitudes, ya que está previsto que el desembolso 2022 se realice antes de que finalice el ejercicio fiscal del Gobierno federal, el 30 de septiembre.
Rellenar los formularios de las administraciones públicas rara vez resulta fácil. De hecho, existen numerosos obstáculos.
Por ejemplo, la normativa establece que el 80 % de los fondos de las subvenciones debe destinarse a las localidades, lo que significa que los estados necesitan mecanismos para garantizar que así sea. Asimismo, deben estar preparados para aportar fondos propios que complementen los fondos de la subvención, comenzando con un 10 % en 2022 y aumentando en 10 puntos porcentuales cada año hasta 2025. Además, deben presentar planes de ciberseguridad en los que se detalle cómo se distribuirán y utilizarán los fondos.
Teniendo en cuenta que la CISA aún no ha definido públicamente cómo podrían destinarse los fondos —ni quién podría hacerlo—, hay que reconocer que se trata de una tarea ardua. Sin embargo, muchos directores de informática (CIO) y directores de seguridad de la información (CISO) progresistas de los estados siguen adelante de todos modos.
«Lo más importante que necesitan los estados en este momento es que la CISA les oriente sobre cómo pueden destinar esos fondos», afirma Alex Whitaker, director de asuntos gubernamentales de la Asociación Nacional de Directores de Informática de los Estados (NASCIO). «Pero no se quedan de brazos cruzados. «Las personas interesadas están elaborando sus planes de ciberseguridad y tratando de involucrar a la población local para identificar sus necesidades».
La financiación federal en materia de ciberseguridad merece la pena a pesar de las molestias
«No todos los estados van a estar interesados en buscar financiación para infraestructuras», afirma Whitaker. Al fin y al cabo, solo habrá 1.000 millones de dólares para repartir entre 50 estados a lo largo de cuatro años. Y dado que los estados deben aportar millones de dólares en fondos de contrapartida durante ese tiempo, algunos podrían llegar a la conclusión de que «en realidad no nos compensa; es demasiado complicado», afirma.
Al mismo tiempo, señala Whitaker, existe una «enorme necesidad» en las administraciones estatales y locales de mejorar los sistemas de seguridad informática. Según él, muchos ayuntamientos, en particular, siguen utilizando equipos y programas informáticos obsoletos que cuentan con características y prestaciones de seguridad que hace tiempo que han quedado desfasadas. Hay quienes no actualizan ni aplican parches de forma regular a los sistemas clave, lo que los hace más vulnerables al ransomware y a otros ataques maliciosos. Hay quienes, por su parte, utilizan una mezcolanza de herramientas aisladas entre sí para localizar y comprender dónde se encuentran los datos y quién tiene acceso a ellos. Además, muchos carecen de controles de identidad y acceso actualizados, como la autenticación multifactorial (MFA) de , que puede ayudar a contrarrestar las vulnerabilidades de los nombres de usuario y las contraseñas.
Jennifer Pittman-Leeper, directora de relaciones con los clientes de Tanium, afirma que la mayoría de los directores de sistemas de información (CIO) y de seguridad de la información (CISO) estatales y locales saben que sus sistemas de seguridad informática no están a la altura: «Si las herramientas y la tecnología actuales funcionaran realmente para los estados y las administraciones locales, no necesitarían este dinero», afirma. «No está funcionando, y ellos lo saben».
[Lea también: Las agencias estatales se ponen al día en materia de ciberseguridad]
Por ello, quienes estén descartando oportunidades de financiación como las subvenciones para la ciberseguridad previstas en la nueva ley de infraestructuras deberían analizarlas con mayor detenimiento.
«Tienen que realizar la inversión necesaria para modernizar sus tecnologías», afirma. «Estos fondos federales pueden ayudar a los estados a dar un paso más allá, lo que para algunos supone simplemente alcanzar un nivel básico». «No se debe mirar el diente a un caballo regalado».
Quitarse la «curita» de la ciberseguridad
Las agencias estatales deben «dar el paso», afirma Pittman-Leeper, y conseguir financiación siempre que sea posible para comprender mejor sus complejos entornos y empezar a tenerlos bajo control.
«. No es una varita mágica». Pero es un comienzo, y hay que empezar por algún sitio.»Jennifer Pittman-Leeper, responsable de relaciones con los clientes de Tanium
Para aquellos directores de sistemas de información (CIO) y directores de seguridad de la información (CISO) que se hayan quedado rezagados en los preparativos, pero que estén interesados en optar a la financiación prevista en esta ley de infraestructuras, he aquí algunas estrategias rápidas:
- Desempolve ese plan de ciberseguridad: Para alcanzar los hitos específicos, asegúrese de incluir una estrategia y tácticas concretas para todo el periodo de cuatro años que abarca el plan.
- Hable con los responsables locales: . El plan de ciberseguridad debe definir claramente cómo el Estado apoyará las iniciativas locales en materia de ciberseguridad. Esto no puede suceder sin un debate activo sobre las prioridades y los retos del condado, la ciudad y las comunidades tribales. Por ejemplo, aunque un Estado proporcione herramientas modernas, es posible que una localidad no disponga de los medios necesarios para ponerlas en práctica. Esto podría indicar que necesitan más formación, apoyo o ayuda por parte de un proveedor externo de servicios de seguridad gestionados (MSSP).
- Sensibilizar y concienciar sobre la necesidad: La mayoría de los directores de sistemas de información (CIO) y de seguridad de la información (CISO) lo saben, pero no pueden tener éxito por sí solos. A la hora de solicitar financiación federal, es fundamental explicar a los políticos los motivos por los que se solicita. Pittman-Leeper señala que deben comprender la necesidad de contar con un mayor presupuesto y una financiación incremental, de modo que, si las solicitudes de subvención prosperan, no se retiren fondos del presupuesto posteriormente.
Asimismo, convence a los responsables gubernamentales de la importancia de financiar mejoras en la ciberseguridad de los sistemas informáticos estatales y locales heredados.
En Arizona, señala Murray, con el apoyo del gobernador Doug Ducey, el presupuesto estatal destina 10 millones de dólares a ayudar a los gobiernos locales y a los distritos escolares de educación primaria y secundaria a mejorar sus niveles de seguridad. - Piense con amplitud de miras: Siga el ejemplo de Arizona y reconozca que las subvenciones no tienen por qué ser iniciativas puntuales. Una vez establecido un modelo sostenible, es posible optar a todo tipo de oportunidades de financiación federal. Por ejemplo, el DHS ha anunciado recientemente la concesión de 1.6 000 millones de dólares en subvenciones para la preparación frente al terrorismo. Parte de esa financiación puede destinarse a iniciativas de ciberseguridad. Como era de esperar, el equipo de Murray también se ha coordinado con las administraciones locales para solicitar dicha financiación.
- Colaborar con otros estados: El tiempo, la energía y la inversión que supone conseguir financiación para la ciberseguridad de las infraestructuras pueden seguir pareciendo una tarea abrumadora. Sin embargo, Murray, de Arizona, afirma que su equipo está manteniendo conversaciones con sus homólogos de otros estados, entre ellos Texas y Nuevo México, sobre cómo poner en común fondos para satisfacer sus necesidades comunes. Es cierto que es posible que las directrices de la CISA descarten ese enfoque (una vez más, esto aún está por determinar). Sin embargo, pensar de forma innovadora podría abrir las puertas a numerosas posibilidades una vez que se haya obtenido la financiación.
[Lea también: Ya es hora de mejorar también la infraestructura cibernética de Estados Unidos]
Pittman-Leeper afirma que, independientemente de la opinión que tengan los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) estatales sobre las subvenciones federales en materia de ciberseguridad, es probable que, tarde o temprano, tengan que aprovecharlas.
«La ciberseguridad lleva tiempo siendo un problema al que no se le destinan los fondos suficientes, y el problema no parece que vaya a reducirse», afirma. «Los directores de sistemas de información (CIO) y los responsables de seguridad de la información (CISO) estatales que buscan este tipo de financiación son lo suficientemente realistas como para saber que no se trata de una varita mágica. «Pero es un comienzo, y hay que empezar por algún sitio».
