Kojima Industries, proveedor de Toyota Motors, sufrió en febrero un ciberataque del que se informó en , lo que obligó a suspender 28 líneas de producción de Toyota en 14 plantas, lo que provocó graves interrupciones en la cadena de suministro. Cuatro meses más tarde, en otra interrupción más de la cadena de suministro, el fabricante japonés de mangueras para automóviles Nichirin informó de que una filial estadounidense de , , había sido víctima de un ataque de ransomware, lo que obligó al fabricante a desconectar su red y a limitar el número de componentes especializados que producía.
Los ataques a la cadena de suministro como estos están en aumento, según muestra un estudio de « », y el Gobierno de EE. UU. está tomando nota.
En mayo, el Instituto Nacional de Estándares y Tecnología (NIST) publicó un documento titulado « » (326 páginas) sobre la protección de las cadenas de suministro frente a los ciberataques, mientras que la Junta de Revisión de Seguridad Cibernética (CSRB) publicó en julio un informe titulado « » con recomendaciones en materia de ciberseguridad basadas en un análisis de la vulnerabilidad Log4j . Recientemente, la Oficina de Gestión y Presupuesto (OMB) ha publicado una guía titulada « » ( ) con el fin de garantizar que los organismos federales utilicen software desarrollado de acuerdo con las prácticas habituales en materia de ciberseguridad. Asimismo, en una medida relacionada, la Comisión de Valores y Bolsa de Estados Unidos ( , SEC) ha propuesto que los altos directivos de las empresas que cotizan en bolsa, así como sus consejos de administración, estén obligados a comunicar con celeridad los incidentes de ciberseguridad y a reforzar la supervisión de la seguridad en sus organizaciones.
«La reciente avalancha de recomendaciones gubernamentales es digna de mención», afirma Kate Ledesma, directora sénior de colaboraciones y asuntos gubernamentales de la empresa de calificación de ciberseguridad SecurityScorecard. Estas directrices se producen tras una serie de incidentes importantes de ciberseguridad ocurridos en los últimos años, entre los que se incluyen los ataques a Log4j y , así como el de SolarWinds . Estos acontecimientos han llamado la atención de los directivos y los miembros de los consejos de administración sobre la importancia del desarrollo seguro de software y otras prácticas de seguridad digital, afirma.
«. Los productos que utilice el Gobierno incorporarán este nivel básico de seguridad, lo que beneficiará a todos los compradores, incluso fuera del ámbito gubernamental.»Kate Ledesma, directora sénior de colaboraciones y asuntos gubernamentales de SecurityScorecard
«Ahora el Gobierno afirma que, para poder hacer negocios con nosotros, queremos que nos faciliten esta información, lo cual supone un verdadero impulso para todo el sector», afirma Ledesma. «Los productos que utiliza la Administración contarán con este nivel básico de seguridad integrado, lo que beneficiará a todos los usuarios, incluso a quienes no pertenezcan a la Administración». «Están dejando claro que todos los integrantes del ecosistema —no solo el sector público— están atentos a estas cuestiones y se están ocupando de ellas, y están logrando avances en materia de seguridad para todos».
Ledesma compartió cuatro conclusiones extraídas de las recientes directrices del Gobierno, así como sus propios consejos de experta sobre cómo pueden adaptarse las organizaciones.
1. La funcionalidad del software ha pasado a un segundo plano, y ahora lo que prima es la seguridad del software
Según Ledesma, en los últimos años, cada vez son más las organizaciones que están pasando de dar prioridad a la funcionalidad del software a darla a la seguridad del mismo. En el comunicado de prensa de la Casa Blanca sobre las nuevas directrices de seguridad de la OMB, Chris DeRusha, responsable federal de seguridad de la información (CISO) y subdirector nacional de ciberseguridad, subrayó esta prioridad: «No hace mucho tiempo, el único criterio real para evaluar la calidad de un programa informático era si funcionaba tal y como se anunciaba», escribió. «Dadas las amenazas cibernéticas a las que se enfrentan las agencias federales, nuestra tecnología debe desarrollarse de tal forma que resulte resistente y segura, garantizando la prestación de servicios esenciales a la población estadounidense, al tiempo que se protegen los datos de los ciudadanos y se ofrece defensa frente a adversarios extranjeros ».
«. No hace mucho tiempo, el único criterio real para evaluar la calidad de un programa informático era si funcionaba tal y como se anunciaba.»Chris DeRusha, responsable federal de seguridad de la información (CISO) y subdirector nacional de ciberseguridad
Ledesma afirma que los desarrolladores de software deberían aplicar prácticas que se ajusten al marco de desarrollo de seguridad de software del NIST. El marco hace hincapié en un enfoque que abarca a toda la organización, añade, en el que el desarrollo seguro de software ya no es responsabilidad exclusiva de los desarrolladores. «Todos —los proveedores, los usuarios y los compradores— deben colaborar para disponer de las herramientas y los marcos necesarios para hacer frente a esta situación», afirma.
2. La documentación y la coherencia son fundamentales
Las organizaciones deben dar prioridad a la documentación y a la demostración de la coherencia en el desarrollo seguro de software, afirma Ledesma. La Casa Blanca, por ejemplo, , ha encargado recientemente a la CISA y a la OMB que elaboren un formulario común que los proveedores de software deberán utilizar para garantizar que la tecnología que venden al Gobierno cumple con las directrices de seguridad del NIST.
Ledesma afirma que esta medida forma parte de un esfuerzo por simplificar la forma en que los usuarios y los organismos públicos describen su seguridad. «La organización A y la organización B pueden expresar las cosas de dos maneras diferentes, pero ¿se refieren a lo mismo?», afirma. «¿Son sus prácticas tan seguras como las de los demás? «Esta autodeclaración va a ser de gran ayuda para que los usuarios —y, sobre todo, las agencias— puedan comparar cosas que son realmente comparables».
3. La automatización es el futuro
El marco del NIST aboga por la automatización de los procesos de análisis de datos ( ) para reducir el esfuerzo humano, mejorar la precisión y optimizar los procesos repetibles. Esto incluye tareas como el seguimiento de los flujos de trabajo, funciones de firma para generar registros inmutables, la supervisión continua de las herramientas y el registro de incidencias operativas y de seguridad relacionadas con las herramientas. Ledesma afirma que la automatización es la única opción que tienen las organizaciones para operar con la escala y la rapidez que se exigen hoy en día.
«». Ya no basta con que las herramientas sean simplemente operativas: deben ser tanto operativas como seguras.»Ledesma
«Se trata de proporcionar tanto a los proveedores como a los compradores de software las herramientas necesarias para realizar evaluaciones de riesgos y comprobar si los productos de software son seguros», afirma. «Ya no basta con que las herramientas sean simplemente operativas: deben ser tanto operativas como seguras».
4. Un enfoque de seguridad basado en el riesgo debe centrarse en los resultados
El marco del NIST se centra en los resultados, pero no establece normas sobre cómo alcanzarlos. Asimismo, anima a las organizaciones a adoptar un enfoque basado en el riesgo y a adaptar su estrategia según corresponda. Ledesma afirma que, aunque el concepto de las prácticas basadas en resultados de no es nuevo, desde luego no resulta fácil: «El marco del NIST contribuye a proporcionar a todas las organizaciones del ecosistema un punto de partida común y nos ayuda a todos a hablar el mismo idioma».
El valor que las organizaciones obtengan de las directrices del Gobierno dependerá del grado de madurez de sus prácticas de seguridad, añade Ledesma. Las organizaciones menos desarrolladas podrían empezar por crear un marco básico para sus procesos y procedimientos, mientras que las organizaciones más avanzadas pueden avanzar en dicho marco para perfeccionar y desarrollar aún más sus procesos y procedimientos.
«El marco del NIST se centra, en realidad, en una sola cosa: la seguridad», afirma. «Y se trata de un ecosistema de seguridad porque, como sabemos, las prácticas de seguridad de una organización afectan a la seguridad de sus socios, proveedores y clientes, ya que están interconectados». «Las directrices del Gobierno elevan el listón para todos».
