Actualización de hardware y software básicos. Mejora de la detección de puntos finales de . Incorporación de controles esenciales de identidad y acceso. Aplicación de parches en los sistemas de seguridad clave de .
Estas son algunas de las medidas que los responsables de seguridad de la información (CISO) de las administraciones estatales y locales han llevado a cabo con la financiación recibida durante el primer año del programa de subvenciones para la ciberseguridad vinculado a la Ley de Infraestructuras bipartidista del presidente Biden. Y los solicitantes del año 2 del programa federal están a la espera de saber si recibirán financiación.
No tienen por qué limitarse a esperar. Hay mucho que aprender del inestable inicio del programa, y existen motivos de peso para que estas entidades empiecen a planificar la siguiente fase.
Afirmar que el Programa de Subvenciones para la Ciberseguridad Estatal y Local (SLCGP) de la Agencia de Seguridad Cibernética de Estados Unidos ( ), dotado con 1.000 millones de dólares, que se puso en marcha en 2022, ha transcurrido sin contratiempos podría ser una exageración: ha habido cierta confusión ocasional en torno a los requisitos de elegibilidad y los plazos; las tribus, para su disgusto, no fueron incluidas en el primer año del programa; y muchos expertos del sector se preguntan si el programa se prolongará más allá de su actual duración de cuatro años.
A pesar de todo ello, los analistas del sector se muestran optimistas y afirman que el SLCGP avanza según lo previsto. Los estados y los territorios de EE. UU. solicitaron una financiación de 185 millones de dólares en 2022, y en 2023, con 380 millones de dólares en juego, 48 estados y seis territorios cumplieron el plazo de septiembre para presentar planes detallados de ciberseguridad a la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) y a la Agencia Federal para la Gestión de Emergencias (FEMA), que supervisan el programa. Dichos planes se encuentran actualmente en fase de revisión.
Aunque quienes hayan presentado propuestas en los últimos meses puedan pensar que pueden dedicarse a otras cosas mientras esperan, en realidad este es un buen momento para empezar a trazar planes para el Año 3. El próximo año, los fondos del SLCGP comenzarán a reducirse (se dispondrá de 300 millones de dólares para el ejercicio fiscal 2024 y de 100 millones para el ejercicio fiscal 2025), lo que hará que la competencia sea feroz. Cuanto antes puedan los gobiernos estatales y locales y sus responsables de seguridad evaluar las ventajas del SLCGP, ahora que el programa entra en su fase de adolescencia, más eficaces serán a la hora de planificar la próxima fase de madurez y, muy posiblemente, el período posterior, cuando es posible que dichos fondos ya no estén disponibles. En tal caso, las organizaciones que se hayan preparado con mayor antelación tendrán más posibilidades de proteger sus redes y a sus miembros.
Cómo funciona el SLCGP
En la actualidad, los estados que reciben financiación del SLCGP deben garantizar que al menos el 80 % de dicha financiación se transfiera a las entidades locales. Además, al menos el 25 % del total de los fondos puestos a disposición en el marco de la subvención debe destinarse a las comunidades rurales. Cada estado publica sus propios procedimientos y plazos para que las administraciones locales soliciten las subvenciones.
«Este programa está haciendo que nuestra nación sea más resiliente.»Alaina Clark, subdirectora de participación de las partes interesadas de la CISA
Las naciones tribales son un poco diferentes. Tenían previsto presentar sus planes de ciberseguridad a principios de este mes a través del recién creado Programa de Subvenciones para la Ciberseguridad Tribal (TCGP) de la Ley de Ciberdefensa de los Estados Unidos de , una rama del SLCGP. En el marco de dicho programa, se destinaron unos 8 millones de dólares a las tribus. Cuanto mayor sea la tribu, más derecho tendrán a recibir.
Paula Starr, directora de sistemas de información de la Nación Cherokee, afirma que su equipo está trabajando activamente para conseguir una financiación del TCGP de aproximadamente un millón de dólares, aunque con sentimientos encontrados. Por un lado, necesitan el dinero. La Nación Cherokee, que supervisa los organismos que prestan servicios a unos 460,000 ciudadanos de la tribu —muchos de ellos en comunidades rurales—, ha venido reforzando su estrategia de ciberseguridad con presupuestos muy limitados. Por lo tanto, los fondos federales podrían ser enormes, afirma.
Sin embargo, ella desearía que se hubiera tenido en cuenta a las tribus desde el principio, al igual que al resto de personas.
«Me encantaría que, en el futuro, las naciones tribales tuvieran las mismas oportunidades que los estados, los condados y los municipios de todo el país a la hora de acceder a fuentes de financiación adicionales que ayudaran a las comunidades indígenas a abordar mejor sus necesidades en materia de ciberseguridad y a proporcionar el tipo de protección en este ámbito que las naciones tribales y sus ciudadanos merecen», afirma.
En defensa de los fallos del SLCGP
Al ser preguntada sobre el retraso en la financiación destinada a las tribus, Alaina Clark, subdirectora de participación de las partes interesadas de la CISA, defendió el programa afirmando que este anima a los estados, las tribus y los territorios a presentar planes estratégicos de ciberseguridad adaptados a sus necesidades específicas y que, en caso de ser aprobados, recibirán financiación para sus proyectos.
«. Es deseable que haya continuidad más allá del ciclo de vida de estas subvenciones, por lo que, en algún momento, tendremos que convencer al Congreso de que esto no puede ser simplemente una inversión de financiación puntual.»Alex Whitaker, director de asuntos gubernamentales de la NASCIO
«Estamos orgullosos del trabajo realizado para crear un nuevo programa que destine los recursos de forma específica allí donde puedan tener mayor repercusión», afirma Clark. «Este programa está contribuyendo a que nuestra nación sea más resiliente, a medida que los estados elaboran planes de ciberseguridad y establecen buenas prácticas a nivel estatal».
Alex Whitaker, director de asuntos gubernamentales de la Asociación Nacional de Directores de Informática Estatales (NASCIO), afirma que, hasta la fecha, salvo algunas cuestiones relacionadas con las tribus y la forma en que los fondos se distribuirían a los estados y a las administraciones locales, el programa ha avanzado «bastante bien».
Según él, una preocupación a más largo plazo es que el SLCGP solo se extiende hasta el año 2026, por lo que resulta difícil determinar si los estados, los gobiernos locales, las tribus y los territorios podrán continuar con las iniciativas relacionadas con la financiación una vez transcurrido ese plazo. De hecho, un director de sistemas de información estatal declaró a la NASCIO que se mostraban reacios a poner en marcha un nuevo programa para las administraciones locales, ya que este tendría que suspenderse si dejara de disponerse de financiación del SLCGP.
«Se busca garantizar la continuidad más allá del ciclo de vida de estas subvenciones», afirma, «por lo que, en algún momento, tendremos que convencer al Congreso de que esto no puede ser simplemente una inversión de financiación puntual».
Otra cuestión que surge en ocasiones es que la dotación económica destinada a la ciberseguridad a través del SLCGP no es precisamente elevada, sobre todo si se tiene en cuenta el tiempo y el esfuerzo que los equipos de seguridad dedican a conseguirla. Sin embargo, los CISO, como Ryan Murray del estado de Arizona, suelen solicitar varias subvenciones federales y colaborar con otros estados para ayudar a financiar sus iniciativas de ciberseguridad. «Todo ayuda, piensan».
Cómo garantizar las prestaciones del SLCGP a largo plazo
Los responsables de seguridad con experiencia optimizan los procesos y reducen el tiempo dedicado a ellos mediante las mejores prácticas, que probablemente aplicarán cuando soliciten subvenciones en la próxima convocatoria de este otoño. Entre ellos se encuentran:
- Actualización continua de los planes de ciberseguridad: Dado que cada año es necesario presentar un plan actualizado aproximadamente un mes después de que se abra el plazo de solicitud, no tiene sentido esperar hasta el último momento para elaborarlo. Del mismo modo que los planes de respuesta ante incidentes deben actualizarse periódicamente, las propuestas de ciberseguridad para el SLCGP deben supervisarse y evaluarse con regularidad. Esto implica designar a los miembros del personal y establecer procedimientos desde ahora mismo para actualizar los planes a lo largo del año.
- Diálogo con los habitantes locales: Para cumplir con el requisito de transferir los fondos a las administraciones locales, los estados deben dialogar con los responsables de los condados y otros dirigentes sobre lo que deben hacer para poder optar a dichos fondos.
- Actualizar sus planes de « » (WOS) —o establecerlos desde cero—: . Una vez que haya comenzado a comunicarse más con los agentes locales, tendrá más posibilidades de conseguir el apoyo necesario para una nueva estrategia WOS o de modificar y mejorar la que ya tiene. Las entidades públicas que no aúnen fuerzas pierden una gran oportunidad de colaborar, intercambiar datos y compartir de forma equitativa la carga que supone la escasez de personal en el sector de la salud ( ).
- Pensar a gran escala: Siguiendo el ejemplo de Arizona, los estados, las tribus y los territorios deben reconocer que las subvenciones no tienen por qué ser iniciativas puntuales. Una vez establecido un modelo sostenible, es posible optar a otras oportunidades de financiación federal.
[Véase también: Guía práctica para elaborar una estrategia de ciberseguridad a escala estatal]
La mayoría de los solicitantes del sector público que solicitan fondos del SLCGP esperan dar un buen uso a ese dinero, afirma Whitaker. La encuesta « » de NASCIO 2023 sobre la situación de los directores de sistemas de información (CIO), por ejemplo, reveló que los solicitantes destinarán los fondos a mejorar la formación en ciberseguridad, la detección en terminales , las evaluaciones de riesgos, el apoyo a la migración a .gov y la adopción de la autenticación multifactorial (MFA) .
Esto concuerda con lo que Jon James, director de seguridad de la información (CISO) de la Nación Cherokee, tiene en mente para los organismos a los que presta apoyo.
James afirma que, hasta hace unos años, los piratas informáticos ignoraban en gran medida a las tribus. Sin embargo, a medida que intensificaban sus ataques contra las redes gubernamentales y sanitarias, descubrieron que las naciones tribales también contaban con ellas, y que estaban poco protegidas. Como consecuencia, comenzaron a lanzar más ataques contra las tribus.
Hoy en día, tras haber puesto en marcha un «programa de ciberseguridad completo», afirma, la Nación Cherokee se encuentra en una situación mucho más favorable. Sin embargo, advierte de que ninguna de las tribus puede permitirse el lujo de cruzarse de brazos. Según él, deben aprovechar todas las oportunidades, incluidas las subvenciones como la del TCGP, para mejorar su nivel de seguridad.
«Es importante que las tribus reconozcan que nosotros también somos objetivos», afirma. «Debemos reforzar nuestra estrategia general de seguridad, reducir los riesgos y lograr una mayor visibilidad y control sobre las vulnerabilidades de nuestros dispositivos finales y de nuestra infraestructura de red».
