Una estrategia de ciberseguridad « » a escala estatal (se abre en una nueva pestaña) reúne a todas las entidades gubernamentales de un estado para que colaboren en la mejora colectiva de sus capacidades en materia de ciberseguridad. Esta estrategia, que suele ponerse en marcha a iniciativa de la oficina del gobernador y de la Asamblea Legislativa, permite que todas las entidades públicas de un estado —incluso el distrito escolar o el municipio más pequeño— se beneficien de una mejor formación en materia de seguridad, de información sobre amenazas más oportuna y de conjuntos de herramientas más modernos y eficaces.
Una estrategia de ciberseguridad a escala estatal consta de tres fases:
- Gobernanza y elaboración de políticas
- Aplicación
- Validación
En la fase de gobernanza y elaboración de políticas de la Iniciativa de Seguridad de la Información de Carolina del Norte ( ) (se abre en una nueva pestaña), los responsables de TI y seguridad de todo el estado se reúnen para adoptar marcos de seguridad y definir políticas y buenas prácticas. En la fase de implementación de « » ( ) (se abre en una nueva pestaña) () (), se imparten cursos de formación y se ponen a disposición conjuntos de herramientas para que las entidades públicas, independientemente de su tamaño, puedan aplicar dichas políticas.
Ya he hablado de esas dos fases en entradas anteriores del blog. En la entrada del blog de hoy, me voy a centrar en la fase de validación, en la que los equipos de todo el Estado analizan y validan su labor en materia de ciberseguridad en cualquier momento. En esta fase, los equipos de todo el estado abordan cuestiones como:
- ¿Cómo sabemos que las herramientas y prácticas de seguridad que hemos implantado están mejorando realmente nuestras defensas en materia de ciberseguridad?
- ¿Qué aspectos de nuestro programa de ciberseguridad funcionan bien y cuáles no?
- ¿A qué actividades e inversiones se debería dar prioridad a continuación?
- ¿Hay alguna organización en concreto que necesite ayuda con carácter urgente? Si es así, ¿cómo pueden otras organizaciones echarles una mano?
A continuación le ofrecemos algunas recomendaciones para que la fase de validación sea un éxito.
La colaboración sigue siendo importante
Lo primero que hay que saber sobre la fase de validación de una estrategia estatal integral es que las relaciones y la confianza que los equipos han forjado en las fases anteriores de dicha estrategia siguen siendo importantes en esta etapa. De hecho, son imprescindibles.
La validación consiste en compartir información y ayudar al Estado en su conjunto a establecer prioridades en cuanto a lo que requiere una atención especial. Esta labor requiere colaboración, tanto dentro de cada entidad gubernamental como entre todas las entidades que participan en el programa estatal integral. Y en esta fase, los frutos de esa colaboración se hacen evidentes, ya que es a través de la validación como realmente se puede apreciar que el equipo en su conjunto está avanzando.
Céntrese en los objetivos y los resultados
Para evaluar el programa de ciberseguridad a nivel estatal en su conjunto, los responsables deben determinar qué objetivos e indicadores les resultan importantes y asegurarse de que se realice un seguimiento de dichos objetivos e indicadores. Es muy probable que ya hayan identificado estos objetivos en las fases de elaboración y aplicación de las políticas. De hecho, es probable que estos objetivos hayan influido en las decisiones relativas a las necesidades presupuestarias, la selección de herramientas y otros aspectos.
En mi entrada de blog sobre la fase de implementación, recomendé elaborar una lista de las «veinte principales» métricas u objetivos en los que las entidades debían centrarse, especialmente durante el primer o los dos primeros años de la iniciativa a nivel estatal. Sin duda, querrá realizar un seguimiento de esas «veinte principales» métricas u objetivos durante la fase de validación.
Lo ideal es que los objetivos y los indicadores que seleccione permitan evaluar de forma significativa el progreso a lo largo del tiempo. Mediante el seguimiento de estos indicadores, los responsables y las partes interesadas deberían poder determinar si la situación general de ciberseguridad del Estado está mejorando o empeorando. Si los indicadores que está supervisando muestran una mejora, pero las entidades públicas están sufriendo más ciberataques que nunca, es hora de revisar sus datos y seleccionar indicadores más significativos.
Una vez que haya seleccionado las métricas y los objetivos, deberá establecer unos valores de referencia, especialmente al inicio del proyecto. Pregunte:
- ¿Qué resultados suelen arrojar estos indicadores en las organizaciones que participan en el programa estatal?
- ¿Cuál es el punto de referencia que deseamos establecer como base para las mejoras?
En conjunto, todos los equipos de TI y seguridad del estado trabajan con una enorme cantidad de datos, que abarca desde direcciones de red, inventarios de dispositivos, estados de parches y análisis antivirus, hasta marcos de seguridad, listas de vulnerabilidades y fuentes de información sobre amenazas. Para realizar un seguimiento y validar los objetivos y las métricas, debe determinar qué datos va a recopilar y cómo lo va a hacer.
Y una vez que haya recopilado estos datos, tendrá que decidir cómo presentarlos. A continuación, veamos el tema de la elaboración de informes.
Establezca tres niveles jerárquicos de información
Para validar la aplicación de las herramientas y prácticas adoptadas en el marco de una política de ciberseguridad que abarque todo el estado —desde la labor de los técnicos informáticos en las organizaciones de todo el estado hasta los jefes de equipo que, con toda probabilidad, colaboran con la oficina del gobernador y la Asamblea Legislativa—, se requieren tres niveles de información:
- Informes técnicos
- Informes dirigidos a la alta dirección
- Informes a nivel empresarial
Informes técnicos
Este es el nivel más básico de generación de informes, que ofrece información sobre lo que ocurre en las redes y los dispositivos. Los analistas del Centro de Operaciones de Seguridad (SOC), los gestores de redes, los administradores de sistemas y otros especialistas técnicos recurren a estos informes a diario para conocer el estado de sus redes y activos informáticos, así como para determinar si hay algún asunto que requiera una atención inmediata.
La información que se extraiga de este nivel de informes debe ser útil para la toma de decisiones. Por ejemplo, debería poder generar informes sobre el inventario de dispositivos, el estado de las actualizaciones, el estado de las amenazas, etc. Si hay algo que deba solucionarse, debería reflejarse en este nivel de información. Y una vez que se haya solucionado, ese cambio de estado debería aparecer también aquí.
Los informes técnicos deben proporcionar datos útiles para evaluar el estado de cada uno de los principales objetivos de seguridad incluidos en la estrategia global del Estado. Si un objetivo de seguridad no puede medirse, se necesitan nuevas herramientas e instrumentos.
Informes dirigidos a la alta dirección
El siguiente nivel es la presentación de informes a nivel ejecutivo. Este informe ofrece una visión general del rendimiento de una entidad pública concreta en materia de seguridad informática. Este nivel resume los detalles del nivel de informes técnicos. Ofrece información concisa sobre el estado general de la seguridad de tal forma que tanto los responsables con conocimientos técnicos como los que carecen de ellos puedan comprenderla.
Cuando colaboré con el Estado de Arizona en su estrategia de ciberseguridad a escala estatal, nos resultó útil utilizar representaciones visuales en verde, amarillo y rojo para este tipo de informes. Un directivo debería poder echar un vistazo a este tipo de informe y saber de inmediato qué áreas van por buen camino (verde), cuáles son potencialmente motivo de preocupación debido a algún tipo de deficiencia (amarillo) y cuáles deben abordarse de inmediato (rojo).
Los responsables de TI y los directivos pueden utilizar este nivel de información para:
- Indique al equipo de TI que se ocupe de los problemas que requieran mayor atención.
- Asegúrese de que los recursos se asignen adecuadamente.
- Compartir sus conocimientos y experiencias con sus homólogos de otras entidades públicas.
- Aporte su granito de arena a este reportaje para ayudar al equipo estatal a elaborar reportajes del más alto nivel: reportajes de alcance global.
Informes a nivel empresarial
Los informes a nivel empresarial agrupan y resumen los informes de alto nivel de todas las entidades públicas del estado. Estos informes permiten al gobernador, a la Asamblea Legislativa y a todos los miembros del equipo que participan en la iniciativa estatal integral comprender el nivel de preparación cibernética del estado en su conjunto. Recopila todos los informes de alto nivel generados por las entidades de todo el estado y los resume de forma útil.
Al igual que los informes de nivel ejecutivo, los informes de nivel empresarial deben basarse en cifras concretas sin perderse en los detalles. Debe transmitir información importante de forma sencilla y clara para garantizar que resulte comprensible para los responsables gubernamentales, que se ocupan de un gran número de asuntos públicos, no solo de la ciberseguridad.
Le recomiendo que continúe con el sistema de informes basado en el semáforo que he descrito anteriormente, utilizando gráficos en verde, amarillo y rojo para transmitir rápidamente qué aspectos van bien y cuáles requieren atención, quizá incluso atención urgente.
Gracias a este nivel de información, los responsables deberían poder comprender el grado de preparación ante los riesgos de cada entidad pública. Este informe podría poner de manifiesto áreas de riesgo que se habían pasado por alto anteriormente.
Este informe cumple varias funciones importantes:
- Información detallada
Ofrece a los responsables gubernamentales una visión global del estado de la ciberseguridad del estado (la resiliencia general de sus herramientas y prácticas de ciberseguridad). Lo más probable es que estos dirigentes nunca hayan dispuesto antes de unos informes tan exhaustivos. - Información útil
Permite a los responsables identificar qué iniciativas están dando buenos resultados y cuáles podrían requerir una atención especial. Estas medidas podrían estar relacionadas con determinados tipos de amenazas que afectan a todas las organizaciones, o bien con problemas que afectan a organizaciones concretas. Por ejemplo, el informe podría poner de manifiesto que los centros de educación primaria y secundaria tienen dificultades para implantar medidas de detección de amenazas. A continuación, el equipo interdepartamental podrá decidir cuál es la mejor forma de abordar esta cuestión. - Justificación de la financiación
La evaluación comparativa y la demostración de los avances deberían ayudar a los participantes de todo el estado a justificar la financiación procedente del estado y, potencialmente, de recursos federales.
Implemente un sistema de información continua, en lugar de auditorías puntuales
Podría considerarse que la presentación de informes y la validación son similares a una auditoría. Sin embargo, una auditoría refleja el estado de su postura de ciberseguridad en un momento concreto. Esa situación podría cambiar en cualquier momento, por ejemplo, cuando un dispositivo infectado se conecte a la red, cuando se dé a conocer una nueva vulnerabilidad de seguridad o cuando se detecte un nuevo tipo de ataque de día cero en el mundo real.
Para obtener una visión realmente precisa del estado de la ciberseguridad de cualquier entidad pública, es necesario llevar a cabo una supervisión y un análisis continuos y en tiempo real. Ese tipo de análisis solo es posible gracias a la automatización. Las herramientas de seguridad informática deberían poder recopilar y comunicar datos de forma continua y automática, en lugar de requerir una intervención manual por parte de los técnicos informáticos que requiera mucho tiempo.
Gracias al seguimiento y la elaboración de informes continuos, los equipos de todos los niveles pueden consultar los datos más recientes sin necesidad de que un grupo de trabajo específico recopile las métricas semanales o mensuales. Los datos pueden facilitarse semanalmente o mensualmente, pero, independientemente de la periodicidad, siempre están actualizados, lo que permite obtener una visión precisa de los puntos fuertes y débiles actuales en materia de ciberseguridad.
Considere la posibilidad de recurrir a la gamificación
Quizá el equipo estatal de ciberseguridad debería plantearse introducir elementos lúdicos en la presentación de informes, fomentando así un espíritu de competencia amistosa entre las distintas entidades gubernamentales a la hora de alcanzar sus objetivos en materia de ciberseguridad. Los jefes de equipo podrían otorgar insignias u otros reconocimientos por los logros alcanzados, como cumplir una serie determinada de objetivos o destacar en una categoría como la cobertura de parches.
Se ha demostrado que la gamificación mejora la motivación y el compromiso de los empleados (se abre en una nueva pestaña) en la formación en ciberseguridad. Probablemente también pueda ayudar a las comunidades autónomas en sus programas de ciberseguridad a nivel regional.
La importancia de la visibilidad para reducir los riesgos
La visibilidad lo es todo en materia de ciberseguridad. No se puede proteger algo si no se ve. No se puede solucionar un problema si no se sabe que existe.
A medida que las capacidades de generación de informes del equipo estatal se vayan consolidando y usted disponga de una mayor visibilidad sobre su situación de seguridad y sus operaciones, habrá algunos aspectos que resultarán evidentes. Descubrirá qué productos funcionan bien y cuáles no. También es posible que descubra algunos productos que son innecesarios o que apenas se utilizan.
Los informes le proporcionan la información necesaria para ajustar su selección de herramientas y su estrategia de compras. Al ayudarle a elegir las herramientas adecuadas, los informes contribuyen a que sus inversiones en ciberseguridad resulten, en general, más eficaces.
En definitiva, un programa de ciberseguridad a escala estatal tiene como objetivo la reducción de riesgos. La elaboración de informes le permite identificar los riesgos, adoptar medidas correctivas y demostrar el valor de ese trabajo a todas las partes interesadas.
Obtenga más información
Las amenazas a la ciberseguridad siguen aumentando tanto en frecuencia como en sofisticación. Afortunadamente, incluso las entidades públicas más pequeñas pueden mejorar sus prácticas de seguridad participando en una estrategia de ciberseguridad que abarque todo el Estado. Mediante la aplicación de estas estrategias amplias e inclusivas, los Estados pueden garantizar que todas las entidades públicas situadas dentro de sus fronteras dispongan de la mejor formación, las mejores herramientas y los mejores conocimientos disponibles para proteger sus datos y su infraestructura, así como para cumplir con sus misiones.
Para conocer cómo la plataforma Tanium Converged Endpoint Management de (se abre en una nueva pestaña) puede ayudar a su organización o a su comunidad autónoma a desarrollar una estrategia de ciberseguridad sólida, póngase en contacto con nosotros.
