Desde George W. Bush, cada presidente ha presentado una versión actualizada de la Estrategia Nacional de Ciberseguridad. Es algo inherente a la situación y, por lo general, no suele cambiar mucho.
Sin embargo, el plan de la Administración Biden, « », presentado en marzo con el objetivo de publicar un plan de aplicación complementario a principios de verano, rompe con los esquemas tradicionales gracias a su enfoque proactivo de «defensa ofensiva».
A diferencia de los enfoques anteriores, que tenían un carácter más reactivo, el último plan de la Casa Blanca aborda las filtraciones de datos de gran repercusión y los ataques de ransomware de tipo « » lanzados desde Estados-nación hostiles mediante una combinación de medidas ofensivas y defensivas. El documento tiene por objeto servir de política general para las iniciativas federales en materia de ciberseguridad y, además, proporcionaría unas directrices sólidas que las empresas privadas deberían seguir.
En concreto, la estrategia se articula en torno a cinco pilares:
- Defienda las infraestructuras críticas.
- Desarticular y eliminar a los autores de las amenazas de « ».
- Configure las fuerzas del mercado para impulsar la seguridad y la resiliencia.
- Invierta en un futuro resiliente.
- Establecer es colaboraciones internacionales para alcanzar objetivos comunes.
Aunque las palabras puedan parecer anodinas, los conceptos que encierran distan mucho de serlo.
Cabe destacar que la idea de que el Gobierno trabaje para desarticular y desmantelar a los actores que suponen una amenaza se basa en varios años de debates —polémicos y revolucionarios— del Mando Cibernético de los Estados Unidos, dependiente del Departamento de Defensa. En este foro, los expertos debatieron una nueva estrategia para arrebatar la iniciativa a los piratas informáticos y perseguirlos en todo el mundo mediante la «» (intervención en tiempo real), la «» (intervención persistente) y actividades de colaboración. El Departamento de Defensa (DOD) define la «intervención persistente» como una «defensa proactiva» destinada a desarticular la actividad cibernética maliciosa en su origen, incluida aquella que no alcanza el nivel de conflicto armado. Por lo tanto, si se identifica a un dispositivo, una red, una organización o una nación adversaria como una amenaza para las redes e instituciones de EE. UU., o si está atacándolas activamente en el ciberespacio o a través de él, «puede esperar que Estados Unidos le imponga consecuencias en respuesta», afirma una ficha informativa del Mando Cibernético de EE. UU. titulada « » (Operaciones de respuesta cibernética), disponible en.
Además de esa perturbación y ese desmantelamiento, la estrategia de la Casa Blanca también pretende cambiar las reglas del juego en materia de ciberseguridad al sugerir abiertamente que el sector tecnológico debe esforzarse más por reforzar la seguridad de sus productos y servicios. Además de estos pilares, el plan destaca también por incluir una sección completa dedicada a las formas de ponerlo en práctica.
« [El nuevo plan de ciberseguridad de Biden] es mucho más detallado, incluye algunas ideas políticas más avanzadas y está listo para ponerse en práctica.»Glenn Gerstell, exconsejero jurídico de la Agencia de Seguridad Nacional
Algunos aspectos de la estrategia —especialmente aquellos que sugieren que el sector privado podría enfrentarse a una normativa más estricta si no se suma a la iniciativa de ciberseguridad— requerirían una legislación federal para tener algún impacto. Eso podría suponer un reto en esta época de polarización política. Sin embargo, en general, muchos observadores del sector consideran que incidentes como los ataques a , Colonial Pipeline y , así como el de SolarWinds , han hecho saltar las alarmas sobre el aumento de las ciberamenazas, de modo que ambos bandos políticos se sienten ahora motivados a actuar. Por lo tanto, este último plan de seguridad nacional podría dar lugar a un cierto grado de cambio real.
«Es mucho más detallado, contiene algunas ideas políticas más avanzadas y está a punto de convertirse en un plan viable», afirma Glenn Gerstell, exconsejero jurídico general de la Agencia de Seguridad Nacional (NSA). «Los gobiernos anteriores elaboraron estrategias que no estaban concebidas para ser puestas en práctica». «Este sí lo era».
El auge de la participación constante
En cierto modo, la puesta en marcha comenzó mucho antes de que la Casa Blanca publicara su plan. Por ejemplo, tres meses antes de que los tanques rusos entraran en Ucrania el pasado mes de febrero, las fuerzas estadounidenses llevaron a cabo operaciones cibernéticas junto con personal del Mando Cibernético de Ucrania en una de las primeras operaciones de «caza proactiva» de las que se tiene constancia.
Desde entonces, estas colaboraciones de compromiso duradero se han llevado a cabo al menos 44 veces en 22 países, entre ellos Estonia, Lituania, Croacia, Montenegro y Macedonia del Norte.
Se han facilitado muy pocos detalles sobre los resultados de estas campañas ni sobre si llegaron a ir más allá de las misiones de investigación y trataron de desarticular o destruir grupos o redes de piratas informáticos concretos. Sin embargo, una declaración preparada por el general de división del Ejército William Hartman, tras los tres meses que los especialistas cibernéticos estadounidenses pasaron en Albania respondiendo a los supuestos ciberataques iraníes contra los sistemas gubernamentales, sugiere que sí lo han hecho.
«Cuando se nos invita a realizar operaciones de detección en las redes de un país aliado, podemos detectar la actividad maliciosa de un adversario en el ciberespacio y compartirla con nuestro aliado para que este pueda tomar las medidas oportunas», afirmó Hartman en. «De este modo, podremos infligir pérdidas a nuestros adversarios al revelar sus herramientas, tácticas y procedimientos, y mejorar la situación de ciberseguridad de nuestros socios y aliados».
Estas colaboraciones no son solo una ventaja para los gobiernos. La empresa privada también puede beneficiarse. En el caso de la operación en Albania, según se ha informado , el equipo de investigación «Hunt Forward» compartió la información que había recabado tanto con el Gobierno albanés como con empresas privadas que desempeñan un papel fundamental en la infraestructura digital tanto de Albania como de Estados Unidos.
Trasladar la responsabilidad al sector tecnológico
Además de adoptar un enfoque más proactivo, la estrategia de ciberseguridad de la Casa Blanca también tiene por objeto establecer unas normas mínimas que las empresas tecnológicas deben cumplir a la hora de desarrollar y lanzar productos.
«: Un enfoque voluntario para garantizar la seguridad de [las infraestructuras y redes críticas] resulta insuficiente.»Anne Neuberger, asesora adjunta de seguridad nacional para ciberseguridad y tecnologías emergentes
Es cierto que algunos proveedores de hardware y software de alta tecnología han prestado cierta atención a la ciberseguridad durante el desarrollo de sus productos. Sin embargo, el plan de la Administración Biden prevé una iniciativa más enérgica y que abarque a todo el sector que la que se ha llevado a cabo hasta ahora, ya que los enfoques tradicionales no han dado los resultados esperados.
«El reconocimiento fundamental que se recoge en la estrategia es que un enfoque voluntario para garantizar la seguridad [de las infraestructuras y redes críticas] resulta insuficiente», afirmó Anne Neuberger, asesora adjunta de seguridad nacional para ciberseguridad y tecnologías emergentes, durante un acto organizado por el Centro de Estudios Estratégicos e Internacionales.
Aunque no lo diga abiertamente, la estrategia parece amenazar con imponer una normativa de ciberseguridad para reforzar la seguridad de los entornos digitales del país, algo que, según Gerstell, las anteriores administraciones presidenciales se mostraron reacias a hacer. Sin embargo, según afirma, el panorama de amenazas se ha agravado tanto que pronunciar la palabra que empieza por «R» ya no es el tema político tan delicado que solía ser.
«Hace tres o cuatro años, todas estas empresas que se vieron afectadas por graves ataques de ransomware u otros ciberataques podrían haber tomado más medidas en materia de ciberseguridad, pero no lo hicieron por diversas razones, entre ellas el hecho de que hacerlo puede suponer un coste prohibitivo», afirma Gerstell. «Así pues, por primera vez, el poder ejecutivo federal afirma, como política oficial: “Tenemos que modificar la responsabilidad civil, tenemos que cambiar el sistema económico y necesitamos más regulación”».
Por qué una colaboración entre Biden y el sector empresarial puede funcionar
Matt Hayden, vicepresidente de General Dynamics Information Technology y antiguo asesor principal del director de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), señala que la estrategia de la Casa Blanca no especifica con precisión los requisitos mínimos en materia de ciberseguridad de los productos. Más bien, afirma, la política sugiere que el Gobierno y las empresas deberán colaborar para determinar qué medidas es necesario adoptar a fin de evitar la imposición de normativas o la responsabilidad legal.
«. Para que esto tenga éxito, será necesario que las autoridades competentes, tanto en el Capitolio como en el sector industrial…, alcancen un punto de encuentro.»Matt Hayden, vicepresidente de General Dynamics Information Technology
«No existe ningún modelo de colaboración que lo permita», afirma Hayden. «Para que esto tenga éxito, será necesario que las autoridades competentes, tanto en el Capitolio como en el sector empresarial, colaboren con los organismos reguladores de todo el Gobierno para alcanzar un punto de equilibrio que les permita conseguir que se aprueben algunas medidas».
Hayden añade que los responsables empresariales y de TI pueden hacer referencia a la política de la Casa Blanca para recalcar la necesidad de que la ciberseguridad ocupe un lugar central en todas las actividades de desarrollo de productos , y de marketing.
«Esta estrategia puede servir como un auténtico impulso para que más personas se sumen a esta lucha», afirma.
Gerstell está de acuerdo y afirma que las empresas deberían dejar de lado las quejas habituales sobre una posible regulación y, en su lugar, implicarse en la lucha contra las amenazas cibernéticas.
«No se limite a emitir un comunicado de prensa en el que afirme que le decepcionan las peticiones de una mayor regulación y que el sector privado es perfectamente capaz de gestionar esto por sí mismo», afirma. «Colabore con el Gobierno y comience a contribuir a la elaboración de la normativa. «Verá que la CISA está muy atenta y desea conocer sus sugerencias».
Ha llegado el momento
El avance de la estrategia nacional de ciberseguridad podría tropezar y estancarse con facilidad. Consciente de esa posibilidad, se ha encomendado al Consejo de Seguridad Nacional (NSC) la responsabilidad de la puesta en marcha, en colaboración con la Oficina de Gestión y Presupuesto (OMB) y la Oficina del Director Nacional de Ciberseguridad (ONCD). Esas agencias también se encargarían de orientar la inversión específica de los sectores público y privado «para seguir el ritmo de los cambios inherentes al ecosistema cibernético», concluye la estrategia.
Gerstell afirma que este tipo de acercamiento a los legisladores podría obtener respuestas sorprendentemente positivas.
«Se trata de una estrategia bien pensada y significativa que llega justo en el momento adecuado, ya que hay un público receptivo», afirma. «Hace diez años, cualquiera que hubiera visto este documento se habría encogido de hombros y habría dicho: “Esto no parece correcto”.» «No necesitamos eso». Sin embargo, el panorama cibernético ha cambiado. «El momento oportuno lo es todo, ¿verdad?»
