Recientemente, la Asociación Nacional de Directores de Informática Estatales (NASCIO) ha dado un paso inusual al respaldar públicamente una propuesta de ley federal, en este caso la Ley de Ciberseguridad del Gobierno Estatal y Local de 2019. Dicho proyecto de ley, presentado en junio por un equipo bipartidista, modificaría la Ley de Seguridad Nacional de 2002 con el fin de mejorar la forma en que los gobiernos federal, estatales y locales pueden colaborar y compartir recursos para frenar la oleada de ciberataques.
Es fácil comprender por qué este respaldo suscitó tanto interés. NASCIO señala que la ciberseguridad es la principal prioridad tecnológica para los estados de EE. UU., y no pasa ni una semana sin que alguna agencia estatal o local aparezca en los titulares por un ataque recién descubierto; la limpieza del ransomware que se está llevando a cabo en Baltimore es solo un ejemplo de ello.
Sin embargo, al leer tanto el proyecto de ley como el respaldo que le ha otorgado la NASCIO, me llamó la atención un aspecto cuestionable.
Tal y como informó StateScoop, «El acceso a nuevos fondos y a tecnología federal supondría una gran oportunidad para los directores de sistemas de información estatales… que tienen dificultades para financiar adecuadamente sus iniciativas de ciberseguridad». Según los datos de NASCIO, la mayoría de los estados no cuentan con un presupuesto específico para la ciberseguridad, lo que significa que este debe proceder de la financiación general destinada a las tecnologías de la información… Los directores de sistemas de información (CIO) y los responsables de seguridad de la información (CISO) no disponen de personal suficiente para garantizar que puedan hacer frente a todas las amenazas a las que se enfrentan».
Todo lo anterior es cierto, pero plantea problemas. Para las organizaciones de la administración estatal y local, disponer de los recursos necesarios para adquirir más tecnología, además de los componentes de la infraestructura tecnológica existente que no se utilizan o que están mal implementados, puede parecer una oportunidad inesperada, pero no resolverá los retos fundamentales que, en primer lugar, las dejan expuestas a posibles perturbaciones. No es posible «librarse» de los vectores de amenaza; la mayoría de las brechas de seguridad que tienen éxito se producen porque las organizaciones no han tomado las medidas adecuadas para mejorar la higiene informática, corregir las vulnerabilidades y configurar adecuadamente sus entornos para garantizar el acceso con el mínimo privilegio.
Tal y como me explicó Chris Hallenbeck, nuestro director de seguridad de la información (CISO) para América, una forma de enfocar esta legislación es considerar que dotaría de mejores herramientas a los directores de sistemas de información (CIO). Otra consecuencia es que, cuando ocurra algo malo, se generaría un juego de culpar a los demás.
«Los directores de sistemas de información pueden aumentar su presupuesto de TI gracias a las ayudas con fondos federales o bien achacar los incidentes al hecho de no haber recibido lo que les había prometido el Gobierno federal», afirmó Chris. «En la actualidad, la mayoría de los directores de sistemas de información (CIO) estatales actúan con la máxima integridad y desean proteger sus sistemas y a los ciudadanos de las implacables y omnipresentes amenazas cibernéticas. «Sin embargo, tal y como está redactado actualmente el proyecto de ley, no fomenta el comportamiento adecuado que, en última instancia, haría que sus entornos fueran más resilientes ante las perturbaciones».
¿Necesita todas esas herramientas? ¿Son estas las herramientas adecuadas?
Como señala Chris, el alivio presupuestario reportaría mayores beneficios si se destinara a los ámbitos adecuados. Si los estados van a recibir fondos federales, podrían destinarlos a cuestiones relacionadas con la higiene informática —que históricamente han estado infradotadas o han sido ignoradas en gran medida—, especialmente la gestión de parches, el inventario de activos y el control de acceso. Las agencias gubernamentales son conscientes de que deben mejorar en estos ámbitos; La fase 1 del programa de Diagnóstico y Mitigación Continuos (CDM) del DHS es una de las iniciativas que se están llevando a cabo. Pero asegurémonos de que existan controles que hagan que los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) rindan cuentas de los resultados, en lugar de culparse unos a otros, cuando se produzca un incidente.
Nuestros equipos SLED aquí en Tanium dedican mucho tiempo a colaborar con los responsables tecnológicos estatales y locales que han invertido en numerosas herramientas de seguridad y productos puntuales, sufren incidentes graves y, a continuación, pasan semanas, meses e incluso años en acaloradas discusiones con sus proveedores, preguntándose por qué esas herramientas no les han servido de ayuda. Destinar más recursos a la seguridad y a las operaciones de TI no resuelve los problemas. Al fin y al cabo, todo se reduce a llevar a cabo un plan teniendo en cuenta los objetivos adecuados.
La asistencia técnica federal sería más eficaz si los estados la utilizaran para la formación y las evaluaciones. Entre ellas se incluirían la identificación de iniciativas de higiene y la realización de un análisis de deficiencias para comprender en qué aspectos se solapan las herramientas actualmente implantadas y qué capacidades siguen faltando como consecuencia de ello. Los directores de sistemas de información (CIO) y los responsables de seguridad de la información (CISO) de las administraciones públicas más proactivos podrían aprovechar este análisis como una oportunidad para consolidar y reducir el número total de herramientas de las que disponen.
Informar sobre lo que realmente importa
La cuestión más importante que me plantea el proyecto de ley es qué disposiciones establecerá la nueva legislación en materia de obligaciones de información. En la actualidad, el Departamento de Seguridad Nacional ya pone a disposición de los estados una amplia oferta de asistencia técnica y formación. La legislación exige expresamente que el DHS informe cada dos años a la Comisión de Seguridad Nacional y Asuntos Gubernamentales del Senado (HSGAC) sobre la situación de seguridad de cada estado.
Sin embargo, el DHS solo podrá presentar informes en la medida en que los estados faciliten voluntariamente datos útiles, y los estados no tendrán ningún incentivo para hacerlo si consideran que lo único que hará el Congreso es compararlos con el resto de estados. Si el DHS desea que la notificación resulte eficaz —y ayudar a los estados a mejorar realmente la seguridad de sus entornos informáticos—, la legislación debería exigir la notificación obligatoria como requisito para que los estados puedan acceder a la financiación federal. Esto se puede hacer de forma agregada.
Si, tras realizar las mediciones, se observa que algunos estados presentan un retraso considerable a pesar de la financiación y el acceso a los recursos, se revisará la legislación para exigir la presentación de informes específicos, estado por estado. Pero, sobre todo, esta legislación debería tener como objetivo fomentar el comportamiento adecuado para resolver de verdad los retos que plantean los incesantes ciberataques.
No se puede proteger lo que no se ve
Los responsables tecnológicos de las administraciones públicas, al igual que todos los responsables tecnológicos, se ven inundados de mensajes y promesas vacías por parte de proveedores de todo tipo, que les ofrecen resolver sus problemas mediante la adquisición de las herramientas y los servicios más novedosos. Sin embargo, cuando se enfrentan a presupuestos limitados, a una plantilla reducida y, en ocasiones, a una tecnología poco fiable, los líderes deben tomar mejores decisiones e invertir en aquello que realmente vaya a hacer que sus entornos sean más resilientes ante las perturbaciones.
Tanium ofrece una auténtica solución de plataforma que permite a las organizaciones del sector público (SLED) mejorar la higiene cibernética gracias a la visibilidad y el control en tiempo real de los dispositivos finales. Para obtener más información, visite , , nuestra página de recursos para la administración estatal y local,.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
Acerca del autor: Tyker Fagg es vicepresidente de Programas para la Administración Pública Estatal y Local y para la Educación de EE. UU. en Tanium.
