Importantes, barridas e históricas: esas son las palabras que se utilizan para describir la nueva legislación del Senado, aprobada el March 2, que requiere que las empresas de infraestructura crítica y las agencias federales civiles informen ciberataques y pagos de ransomware y adopten un enfoque basado en riesgos para la ciberseguridad.
¿Qué contiene la Ley de Fortalecimiento de la Ciberseguridad de los Estados Unidos de 2022?
Los tres proyectos de ley de la Ley de Fortalecimiento de la Ciberseguridad de los Estados Unidos, que el Senado aprobó por unanimidad, ahora esperan aprobación en la Cámara. Se aplican a empresas en sectores críticos, incluidos energía, servicios financieros, atención médica y transporte. La legislación falló en el Senado el año pasado.
Su reciente pasaje subraya una nueva urgencia que se siente en todos los partidos y organizaciones políticos de todo el oeste. “Este proyecto de ley es especialmente crítico a medida que continuamos apoyando a Ucrania”, dijo el senador Gary Peters, D-Mich., presidente del Comité de Seguridad Nacional y Asuntos Gubernamentales del Senado, en un tuit reciente. “Debemos seguir preparándonos para posibles ciberataques de represalia del gobierno ruso”, agregó.
La última vez que el Congreso aprobó cualquier ley de tan amplio alcance como esto en 2015, con una legislación que alentó a las empresas a ofrecer información sobre hackeos (y prometer protección legal si lo hicieran). La nueva ley requiere que los bancos, los centros médicos, las empresas de servicios públicos y otras organizaciones informen un “incidente cibernético sustancial” a la Agencia de Seguridad de Infraestructura y Ciberseguridad (Cybersecurity and Infrastructure Security Agency, CISA) dentro de las 72 horas, y cualquier pago de ransomware que realicen dentro de las 24 horas de haberlos realizado.
El objetivo de los reportes obligatorios es obtener una mayor comprensión de cuántos y qué tipo de ciberataques afectan a las organizaciones estadounidenses cada día (algo con lo que los líderes cibernéticos han estado luchando durante años) y poder advertir a otras entidades que pueden estar en riesgo cuando ocurren esos ataques informáticos.
Esta nueva legislación señala un cambio crucial para las organizaciones grandes y pequeñas por igual. Endpoint, que informa regularmente sobre las estrategias, habilidades y procesos que las empresas necesitan para ser ciberrresistentes, presenta tres de los más importantes.
Mejore su puntaje de riesgo cibernético
Además de su mandato de elaboración de informes, la legislación más reciente del Senado exige que el gobierno adopte un enfoque basado en riesgos para la ciberseguridad. Eso significa que las organizaciones necesitan un puntaje de riesgo cibernético preciso. También deben tomar medidas (y gastar dinero para promulgar esas medidas) basadas en una evaluación clara del riesgo, incluida la probabilidad de un ataque y las consecuencias después de que se tome cualquier respuesta específica. Los legisladores esperan que esta táctica llegue a las empresas del sector privado.
La jefa de CISA, Jen Easterly, la llamó “un paso crítico hacia adelante para garantizar la seguridad de nuestra nación”.
“Debemos seguir preparándonos para posibles ciberataques de represalia del gobierno ruso”.Senador Gary Peters, D-Mich., presidente del Comité de Seguridad Nacional y Asuntos Gubernamentales del Senado
Tomar las riendas de su estrategia de ciberseguridad y reducir su riesgo cibernético es un proceso paso a paso, con una variedad de componentes esenciales. La evaluación del riesgo cibernético en sí es solo uno de esos componentes. El puntaje de riesgo de una organización se ve afectado por una serie de otras variables que requieren acción, incluidos los activos generales de una empresa (que deben inventariarse regularmente), los principios de confianza cero (aplicados regularmente), la respuesta a incidentes (revisados), las configuraciones (gestionadas) y el software (actualizados).
Abordar tantos procedimientos operativos a la vez puede parecer abrumador. Tomarlo paso a paso siempre es sabio.
[Leer más: 6 consejos para proteger a su organización de los crecientes delitos cibernéticos]
Haga de la seguridad una prioridad principal en la estrategia de transformación digital de su empresa
Si piensa en la ciberseguridad como parte del flujo de valor de cualquier empresa, entonces debe ser algo claro: la seguridad y la transformación digital van de la mano, lo que significa que los equipos de seguridad deben incorporarse temprano a cualquier iniciativa digital.
Eso debe ir sin decir. Pero los directores ejecutivos y sus juntas directivas deben escucharlo.
“Las reglamentaciones gubernamentales están cambiando, el comportamiento del consumidor está cambiando y, lo más importante, los proveedores de software están cambiando”.Eric Kimberling, director ejecutivo y fundador de Third Stage Consulting Group
La transformación digital permite a las empresas hacer negocios con los consumidores de una manera segura y predecible. Cada vez más, las empresas están aprovechando la idea de la transformación digital como una forma no solo de proteger a sus clientes, sino también de inculcarles una sensación de confianza en la empresa en sí.
Aunque algunos se están transformando por elección, con la esperanza de obtener una ventaja competitiva sobre sus rivales en el mercado, muchos se están arrastrando a la mesa, señala Eric Kimberling, director ejecutivo y fundador de Third Stage Consulting Group y anfitrión del podcast de Transformation Ground Control .
“La mayoría de las organizaciones se ven forzadas, ya sea porque la economía en el mundo está cambiando, porque las reglamentaciones gubernamentales están cambiando, el comportamiento del consumidor está cambiando y/o, lo más importante, los proveedores de software están cambiando”, dice Kimberling. En muchos casos, explica, los proveedores de software están forzando una puesta de sol de sus productos heredados, lo que a su vez obliga a muchas organizaciones a una transformación digital para la que no estaban listas.
Dado que las organizaciones ahora gastan unos 700 000 millones de USD anuales en proyectos de transformación digital, esto es definitivamente algo que las partes interesadas desean hacer bien. Así es como.
[Leer más: Seguridad a la velocidad de la transformación digital]
Monitorear y prepararse para la “expansión de la reglamentación”
La nueva legislación del Senado es solo la más reciente en una gran cantidad de reglamentaciones de integridad de datos que surgen en los EE. UU. y en todo el mundo. La mentalidad regulatoria en evolución en Capitol Hill desde 2015 hasta hoy es un buen indicador de hacia dónde se dirigen las cosas. Lo que comenzó como una solicitud cortés de información voluntaria se ha convertido en una demanda incontrovertible.
“Es un verdadero rompecabezas idear un programa que cumpla con las normas globales”.Kenneth Citarella, director ejecutivo sénior de investigaciones, Guidepost Solutions LLC
La realidad para las multinacionales es esta: ahora enfrentan un mayor escrutinio para cumplir con las leyes de seguridad digital y privacidad personal que nunca. Y la invasión de Ucrania ha puesto al mundo en el borde. Las reglamentaciones, al menos para el futuro previsible, solo se volverán más estrictas. Y multiplique.
“Es un verdadero rompecabezas idear un programa que cumpla con las normas globales”, dijo Kenneth Citarella a Endpoint el año pasado. Como directora ejecutiva de investigaciones en Guidepost Solutions LLC, Citarella resuelve problemas de cumplimiento, ayudando a los clientes a comprender las jurisdicciones legales en las que operan, los datos que pueden recopilar y las formas en que pueden o no compartirlos.
“Tienes que ser increíblemente granular”, dice.
No hay software listo para usar para ayudarlo a hacer eso. Por ahora, las organizaciones deben encontrar formas sólidas de evaluar eficazmente su postura ante el riesgo y mantener el cumplimiento de nuevas reglas, tanto aquí como en el extranjero.
La expansión de nuevas reglas y reglamentaciones es vertiginosa y costosa. Cruce la línea incorrecta y una marca se arriesga a perder ingresos y empañar su reputación. Eso hace que el cumplimiento sea la ciberamenaza más reciente y que los profesionales de seguridad sean la mejor línea de defensa en un mundo cada vez más complicado.
