Importante, de gran alcance, histórica… esas son las palabras que se utilizan para describir la nueva ley del Senado, aprobada el March 2, que exige a las empresas de infraestructuras críticas y a los organismos federales civiles que notifiquen los ciberataques y los pagos por ransomware, y que adopten un enfoque basado en el riesgo en materia de ciberseguridad.
¿Qué establece la Ley de Refuerzo de la Ciberseguridad Estadounidense de 2022?
Los tres proyectos de ley que componen la Ley de Fortalecimiento de la Ciberseguridad Estadounidense « » (), que el Senado aprobó por unanimidad, esperan ahora su aprobación en la Cámara de los Representantes. Se aplican a empresas de sectores críticos, entre los que se incluyen la energía, los servicios financieros, la sanidad y el transporte. El proyecto de ley no prosperó en el Senado el año pasado.
Su reciente aprobación pone de relieve una nueva urgencia que se está percibiendo en todos los partidos políticos y organizaciones de Occidente. «Este proyecto de ley reviste una importancia especial en un momento en el que seguimos prestando apoyo a Ucrania», afirmó el senador Gary Peters, demócrata por Michigan y presidente de la Comisión de Seguridad Nacional y Asuntos Gubernamentales del Senado, en un tuit reciente. «Debemos seguir preparándonos para posibles ciberataques de represalia por parte del Gobierno ruso», añadió.
La última vez que el Congreso aprobó una ley de alcance tan amplio como esta fue en 2015, con una normativa que animaba a las empresas a facilitar voluntariamente información sobre los ataques informáticos (y les prometía protección jurídica si lo hacían). La nueva ley exige a los bancos, centros médicos, empresas de servicios públicos y otras organizaciones que notifiquen cualquier «incidente cibernético grave» a la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) en un plazo de 72 horas, así como cualquier pago por ransomware que realicen en un plazo de 24 horas desde el momento en que se haya efectuado dicho pago.
El objetivo de la obligación de notificar es comprender mejor cuántos y qué tipo de ciberataques sufren a diario las organizaciones estadounidenses (algo con lo que los responsables de la ciberseguridad llevan años teniendo dificultades), así como poder alertar a otras entidades que puedan correr peligro cuando se produzcan dichos ataques.
Esta nueva legislación supone un cambio fundamental tanto para las grandes como para las pequeñas organizaciones. Endpoint, que informa periódicamente sobre las estrategias, las competencias y los procesos que las empresas necesitan para ser resilientes frente a las amenazas cibernéticas, presenta tres de los más importantes.
Mejore su puntuación de riesgo cibernético
Además de su mandato de presentación de informes, la legislación más reciente del Senado exige que el Gobierno adopte un enfoque « » basado en el riesgo en materia de ciberseguridad. Esto significa que las organizaciones necesitan una puntuación precisa del riesgo cibernético de . Asimismo, deben adoptar medidas (y destinar fondos a su aplicación) basadas en una evaluación clara del riesgo, que incluya la probabilidad de que se produzca un ataque y las consecuencias derivadas de cualquier respuesta concreta que se adopte. Los legisladores esperan que esta táctica se extienda a las empresas del sector privado.
La directora de la CISA, Jen Easterly, lo calificó como «un paso adelante fundamental para garantizar la seguridad de nuestra nación».
«. Debemos seguir preparándonos para posibles ciberataques de represalia por parte del Gobierno ruso.»El senador Gary Peters, demócrata por Míchigan, presidente de la Comisión de Seguridad Nacional y Asuntos Gubernamentales del Senado
Tomar las riendas de su estrategia de ciberseguridad y reducir su riesgo cibernético es un proceso gradual que consta de diversos componentes esenciales. La evaluación del riesgo cibernético en sí misma no es más que uno de esos componentes. La puntuación de riesgo de una organización se ve afectada por una amplia gama de otras variables que requieren la adopción de medidas, entre las que se incluyen los activos generales de la empresa (que deben inventariarse periódicamente ), los principios de «cero confianza» (que deben aplicarse de forma regular), la respuesta ante incidentes (que debe revisarse), las configuraciones (que deben gestionarse) y el software (que debe actualizarse).
Afrontar tantos procedimientos operativos a la vez puede resultar abrumador. Siempre es aconsejable ir paso a paso.
Convierta la seguridad en una prioridad fundamental dentro de la estrategia de transformación digital de su empresa
Si se considera la ciberseguridad como parte de la cadena de valor de cualquier empresa, entonces debería resultar obvio: La seguridad y la transformación digital van de la mano, lo que significa que los equipos de seguridad deben participar desde el principio en cualquier iniciativa digital.
Eso debería ser evidente. Pero los directores generales de las empresas de la lista « » y sus consejos de administración deben escucharlo.
«Las normativas gubernamentales están cambiando, el comportamiento de los consumidores está cambiando y, lo más importante, los proveedores de software están cambiando.»Eric Kimberling, director ejecutivo y fundador de Third Stage Consulting Group
La transformación digital permite a las empresas relacionarse con los consumidores de forma segura y previsible. Cada vez más, las empresas están adoptando la idea de la transformación digital como una forma no solo de proteger a sus clientes, sino también de infundirles un sentimiento de confianza en la propia empresa.
Si bien algunas empresas están llevando a cabo esta transformación por decisión propia, con la esperanza de obtener una ventaja competitiva frente a sus rivales en el mercado, muchas otras se ven obligadas a sumarse a este proceso, señala Eric Kimberling, director ejecutivo y fundador de Third Stage Consulting Group y presentador del podcast « : Transformation Ground Control» ( ).
«La mayoría de las organizaciones se ven obligadas a ello, ya sea porque la economía mundial está cambiando, porque la normativa gubernamental está cambiando, porque el comportamiento de los consumidores está cambiando o, lo que es más importante, porque los proveedores de software están cambiando», afirma Kimberling, de . En muchos casos, explica, los proveedores de software están imponiendo el fin de la vida útil de sus productos heredados, lo que, a su vez, obliga a muchas organizaciones a emprender una transformación digital para la que no estaban preparadas.
Teniendo en cuenta que las organizaciones destinan actualmente unos 700 000 millones de dólares al año a proyectos de transformación digital, sin duda se trata de un aspecto que las partes interesadas desean abordar correctamente. A continuación le explicamos cómo hacerlo.
[Más información: La seguridad al ritmo de la transformación digital]
Supervisar y prepararse para la «proliferación normativa»
La nueva legislación del Senado no es más que la última de una serie de normativas sobre la integridad de los datos que están surgiendo en Estados Unidos y en todo el mundo. La evolución de la mentalidad reguladora en el Capitolio, desde el año 2015 hasta la actualidad —, , — constituye un buen indicador de hacia dónde se dirigen las cosas. Lo que comenzó como una solicitud cortés de información voluntaria se ha transformado en una exigencia indiscutible.
«. Es todo un rompecabezas diseñar un programa que cumpla con la normativa a nivel mundial.»Kenneth Citarella, director general sénior de investigaciones de Guidepost Solutions LLC
La realidad para las multinacionales es la siguiente: en la actualidad se ven sometidas a un escrutinio mayor que nunca en lo que respecta al cumplimiento de la legislación en materia de seguridad digital y protección de datos personales. Y la invasión de Ucrania ha puesto al mundo en vilo. La normativa, al menos en un futuro previsible, no hará más que endurecerse. Y multiplíquense.
«Elaborar un programa que cumpla con la normativa a nivel mundial es todo un rompecabezas», declaró Kenneth Citarella el año pasado a Endpoint . En su calidad de director general sénior de investigaciones de Guidepost Solutions LLC, el Sr. Citarella resuelve cuestiones relacionadas con el cumplimiento normativo, ayudando a los clientes a comprender las jurisdicciones en las que operan, los datos que pueden recopilar y las formas en que pueden o no pueden compartirlos.
«Hay que entrar en un nivel de detalle increíble», afirma.
No existe ningún programa ya desarrollado que le ayude a hacerlo. Por el momento, las organizaciones deben encontrar métodos sólidos para evaluar de manera eficaz su situación de riesgo en materia de « » y mantener el cumplimiento de la nueva normativa, tanto a nivel nacional como internacional.
La proliferación de nuevas normas y reglamentos resulta abrumadora… y costosa. Si se traspasa el límite, una marca corre el riesgo de perder ingresos y manchar su reputación. Esto convierte al cumplimiento normativo en la amenaza cibernética más reciente, y a los profesionales de la seguridad en la mejor línea de defensa en un mundo cada vez más complejo.