La ciberseguridad a escala estatal es un enfoque que hace hincapié en la colaboración entre los distintos niveles de la administración pública, las instituciones educativas, las entidades tribales y otras organizaciones de los sectores público y privado con el fin de mitigar las amenazas a la ciberseguridad. Al eliminar las barreras entre los distintos organismos gubernamentales, esta metodología permite a las entidades de todo un estado compartir recursos e información sobre ciberseguridad con el fin de mejorar su nivel de seguridad colectivo.
En los últimos años, las administraciones estatales y locales se han enfrentado a un nivel de ciberdelincuencia sin precedentes. Los ataques de ransomware contra las administraciones estatales y locales aumentaron un 485 % en 2020. Las administraciones locales pagan un precio extremadamente elevado: el coste de subsanar un ataque de ransomware —incluidos los gastos en recursos, el tiempo de inactividad, las oportunidades perdidas y el rescate pagado— ascendió a una media de 1.64 millones de dólares en 2021.
Muchas de estas entidades del sector público carecen de los recursos internos, los conocimientos y las competencias necesarios para hacer frente a sus atacantes.
La ciberseguridad a escala estatal permite a las administraciones estatales y locales, así como a sus socios, aunar sus recursos y colaborar para reforzar sus defensas frente al ransomware, los ataques a la cadena de suministro y otras amenazas de ciberseguridad.
¿Por qué es necesaria hoy en día la ciberseguridad a escala estatal?
Hoy en día es necesaria una defensa a escala estatal debido al aumento de los ciberataques dirigidos contra los gobiernos estatales y locales.
Por lo general, cada jurisdicción se encarga de su propia ciberseguridad con sus propios recursos, aunque con distintos grados de éxito. Las diferencias en cuanto a presupuestos, dotación de personal, herramientas, etc., pueden ser factores determinantes a la hora de que una de las partes consiga repeler con éxito un ataque. Dado que las distintas entidades gubernamentales de un estado se enfrentan a un panorama cada vez más amplio de amenazas comunes, resulta lógico que aúnen recursos, compartan información y colaboren para reforzar su defensa digital.
¿Qué medidas permiten garantizar la ciberseguridad en todo el Estado?
Hay cuatro pasos principales para garantizar la ciberseguridad en todo el Estado. Entre ellas se incluyen:
- Las relaciones. Nadie puede sobrevivir a la avalancha actual de amenazas cibernéticas por sus propios medios. Se ha vuelto imprescindible adoptar un enfoque colectivo en materia de ciberseguridad que involucre a todas las partes interesadas y les permita aprovechar sus recursos, conocimientos y experiencia de forma conjunta. En primer lugar, es necesario fomentar la confianza entre las personas y los departamentos. Escuchar es fundamental para cualquier buena comunicación; pregunte a los demás qué necesitan y cómo puede ayudarles. A partir de sus comentarios, podrá empezar a identificar puntos en común entre varias relaciones.
- Gobernanza. A medida que las relaciones que establezca vayan madurando, podrá empezar a crear estructuras más formales en torno a ellas, como, por ejemplo, crear un espacio en el que las partes interesadas puedan reunirse para debatir cuestiones e intercambiar información, o desarrollar un marco para la toma de decisiones. Asimismo, puede empezar a elaborar acuerdos más formales con cada una de las partes; por ejemplo, redactar un memorándum de entendimiento (MOU) que establezca un punto de partida para la colaboración, definiendo el alcance y la finalidad de la relación.
- Aplicación. A continuación, necesitará un plan y fondos para poner en práctica sus nuevas herramientas, políticas u otras medidas. La financiación federal y estatal desempeña un papel fundamental durante la puesta en marcha. Si se dispone de fondos federales o subvenciones de duración limitada, este es el momento de utilizarlos para poner en marcha y acelerar su plan, que deberá mantenerse a largo plazo mediante financiación estatal. La fase de ejecución es también el momento en el que debería empezar a colaborar con sus socios privados. Elabore estrategias junto con todos sus proveedores para encontrar formas de ahorrar dinero y sacar el máximo partido a los presupuestos, aunándolos.
- Validación. El último paso consiste en comprobar que lo que ha puesto en marcha funciona de manera eficaz. A medida que vaya obteniendo una visión más de las demás entidades con las que colabora, podrá identificar quiénes están pasando por dificultades y dónde se encuentran los puntos débiles. Póngase en contacto con ellos y pregúnteles cómo puede ayudar el grupo en su conjunto. Esto puede implicar que alguien de la misma zona geográfica se acerque para ayudarle a diseñar una estrategia que resuelva un problema, o que su arquitecto de TI le ayude a resolver un problema relacionado con uno de sus sistemas. Esta es la fase en la que las relaciones establecidas al inicio del proceso a nivel estatal dan sus frutos.
¿Cuáles son las mejores prácticas en materia de ciberseguridad a nivel estatal?
Es importante seguir una serie de buenas prácticas para garantizar que su enfoque a nivel estatal tenga éxito.
«. Nadie puede sobrevivir por sí solo a la actual avalancha de amenazas cibernéticas.»
Lo primero es planificar la financiación a largo plazo. Si bien los desembolsos de subvenciones federales pueden suponer una inyección de liquidez muy necesaria para un proyecto en fase inicial, no se debe depender de ellos para mantener el proyecto a largo plazo. Las subvenciones federales se conceden por un plazo limitado y, una vez que se agote la financiación, sus iniciativas a nivel estatal podrían verse interrumpidas con ello. Asimismo, será menos probable que las partes interesadas participen en un plan de ciberseguridad a escala estatal y lo respalden con sus recursos si parece que no cuenta con la financiación necesaria para su aplicación efectiva. Por lo tanto, resulta fundamental establecer desde el principio una financiación estatal a largo plazo.
Lo segundo es mantener una actitud colaborativa en sus relaciones con otras entidades. La mejor manera de fomentar esta actitud es preguntar a las otras partes qué necesitan, en lugar de decírselo. Si escucha sus inquietudes y colabora con ellos para encontrar soluciones viables, ellos harán lo mismo por usted. Es esta sinergia, más que cualquier conjunto de herramientas o política, la que confiere su eficacia a la ciberseguridad a nivel estatal.
¿Cómo se financia la ciberseguridad en todo el Estado?
Las estrategias a escala estatal pueden financiarse de diversas formas, pero suelen contar con el respaldo de fondos federales y estatales. Las subvenciones federales constituyen una excelente forma de impulsar iniciativas que abarquen todo el estado. Pueden utilizarse para poner en marcha un proyecto y poner a prueba diferentes herramientas e ideas que, posteriormente, puedan ampliarse a medida que el proyecto avance.
[Lea también: Los CISO estatales a las autoridades federales: «Muéstrenos el dinero»]
Es fundamental que los estados también destinen fondos para mantener en marcha las iniciativas de ciberseguridad a nivel estatal. Los Estados deben empezar a considerar sus sistemas informáticos como una infraestructura crítica que reviste la misma importancia que sus carreteras, sus redes eléctricas y sus sistemas de abastecimiento de agua. El sector público tiene a su cargo un tesoro de información y datos que convierten a sus entidades en un objetivo prioritario para los ciberdelincuentes. El Estado debe reconocerlo y proporcionar una financiación sostenible para garantizar que sus sistemas informáticos estén protegidos de forma permanente.
¿Cómo se regula la ciberseguridad en todo el Estado?
No existe una única forma de gestionar la seguridad en todo el Estado. Puede crear un comité oficial, tal y como hizo el gobernador de Luisiana, John Bel Edwards, al constituir una comisión de ciberseguridad de 15 miembros que incluye a representantes de los cuerpos de seguridad del estado, las administraciones locales, las principales industrias y las universidades públicas. Como alternativa, puede optar por un formato de mesa redonda informal en el que todos tengan el mismo peso a la hora de expresar su opinión.
«: Los Estados deben empezar a considerar sus sistemas informáticos como una infraestructura crítica tan importante como sus carreteras, redes eléctricas y sistemas de abastecimiento de agua.»
Sea cual sea la estructura de gobierno que adopte la iniciativa estatal integral, el objetivo debe ser reunir a todas las partes para compartir información y buenas prácticas, debatir las preocupaciones y los problemas, y tomar decisiones de forma colaborativa.
Es importante comprender que, en un enfoque que abarque todo el Estado, rara vez existe una solución única válida para todos los casos. No todas las herramientas ni todas las políticas resultarán adecuadas para todas las entidades. El grupo puede decidir, por ejemplo, implantar una solución de seguimiento concreta; sin embargo, una entidad puede estar obligada contractualmente a utilizar otra. En este caso, el grupo podría acordar que la entidad periférica siga utilizando su herramienta de seguimiento hasta que expire la vigencia del contrato y, a continuación, pase a utilizar la herramienta que emplea el resto del grupo. El modelo de gobernanza que elijan los participantes de todo el Estado determinará cómo abordar conflictos como estos y la forma de elaborar estrategias en beneficio del grupo.
¿Cómo se mide el éxito a nivel de todo el estado?
El éxito a nivel de todo el estado puede medirse de varias maneras. Si su grupo ha establecido un marco de trabajo y ha acordado unos principios clave, eso ya es en sí mismo un indicador de éxito, ya que significa que las partes han salido de sus compartimentos estancos y se están comunicando entre sí y colaborando eficazmente.
Una vez que el grupo haya puesto en práctica las políticas y herramientas acordadas, el éxito podrá medirse además en función del número de partes que las estén utilizando. Esto puede poner de manifiesto en qué medida el grupo se mantiene unido en torno a su plan. Asimismo, puede medir la eficacia de su iniciativa a nivel estatal mediante indicadores tradicionales del sistema, como el tiempo de disponibilidad, el tiempo medio de resolución (MTTR) y el número de incidentes de seguridad. Se trata de indicadores importantes que pueden ser señal de éxito cuando evolucionan en la dirección adecuada.
Aunque todos estos son indicadores importantes, quizá el barómetro más preciso del éxito a nivel de todo el estado sea el número de personas o entidades que participan en la iniciativa. Cuanto más grande sea el grupo, más sólida será la red que está creando, ya que todos están ahora en la misma onda. Aunque no todos los miembros del grupo apliquen activamente todas las políticas y herramientas, al menos participan en los debates y aportan sus opiniones, lo que contribuye a reforzar el esfuerzo colectivo.
Las relaciones constituyen la base sobre la que se asienta el enfoque integral del Estado, y la solidez y eficacia de dichas relaciones son un indicador fiable de la solidez y eficacia de su iniciativa en su conjunto.
¿Cómo afecta el intercambio de información a un plan que abarca todo el Estado?
La recopilación y la difusión de información son fundamentales para combatir la ciberdelincuencia. Al compartir información, todas las partes interesadas pueden mejorar su nivel de ciberseguridad y, por extensión, el nivel de seguridad colectivo del grupo.
La inteligencia sobre amenazas —datos recopilados y analizados que ayudan a comprender los motivos, los objetivos y los patrones de ataque de un actor malicioso— reviste especial importancia, ya que ayuda a las organizaciones a tomar mejores decisiones en materia de ciberseguridad y a pasar de una postura de seguridad reactiva a una proactiva. Algunos datos de inteligencia sobre amenazas, como las direcciones IP y los nombres de dominio maliciosos, son fáciles de automatizar y pueden obtenerse a través de fuentes de datos gratuitas y de código abierto. Otros tipos de información sobre amenazas, como la motivación o el comportamiento de un actor malicioso, requieren recursos humanos y análisis.
Una de las formas más sencillas de que las iniciativas a nivel estatal reciban información sobre amenazas y actúen en consecuencia es recurrir al Centro Multiestatal de Intercambio y Análisis de Información de la Red de Seguridad de la Información ( ) (MS-ISAC). Se trata de un centro de operaciones de seguridad (SOC) de que funciona las 24 horas del día y que proporciona asistencia en materia de inteligencia, detección y respuesta a los gobiernos estatales y locales.
Entre las ventajas que ofrece MS-ISAC se incluyen servicios de respuesta ante incidentes , y de análisis forense digital, un informe semanal sobre los dominios e IP más maliciosos, acceso a su Plataforma de Análisis de Código Malicioso (MCAP) y acceso al servicio de Bloqueo y Notificación de Dominios Maliciosos (MDBR), que bloquea el ransomware. La afiliación es gratuita y está abierta a los empleados o representantes de todas las entidades estatales, locales, tribales y territoriales (SLTT).
¿De qué manera contribuyen los centros de mando cibernéticos a mejorar las operaciones a nivel estatal?
Un centro de mando cibernético formaliza los principios y funciones que abarcan todo el Estado en un centro centralizado. El gobernador de Arizona, Doug Ducey, ha inaugurado recientemente el centro de mando cibernético de su estado, « » (), que funcionará como sede central para coordinar las operaciones de ciberseguridad de Arizona. Ofrece un centro centralizado desde el que los profesionales de la ciberseguridad y los organismos locales, autonómicos y federales pueden compartir información, así como prevenir y responder a los ciberataques.
«. La participación de todo el Estado comienza por tender la mano a otras partes, fomentar la comunicación e identificar los retos comunes.»
Aunque el centro de mando cibernético de Arizona es único en su género, todos los estados y territorios de EE. UU. cuentan con al menos un centro de fusión. Estas entidades son de titularidad y gestión estatal y local, y actúan como centros de coordinación para la transmisión de información relacionada con amenazas entre el Gobierno federal, las entidades SLTT y los socios del sector privado. Un centro de fusión puede dar servicio a una gran zona urbana o a todo un estado, y cada uno de ellos constituye un recurso fundamental en el que los gobiernos y sus socios pueden apoyarse para respaldar sus iniciativas a nivel estatal.
¿De qué manera influye un modelo que abarca todo el Estado en la respuesta ante incidentes?
La respuesta ante incidentes en un modelo que abarca todo el Estado recurre a servicios y organizaciones externas cuando es necesario. Cuando el Departamento de Transporte de Colorado sufrió un ataque de ransomware, por ejemplo, los responsables de TI del estado recurrieron a la Guardia Nacional y a su oficina de gestión de emergencias, y aprovecharon sus conocimientos en materia cibernética y sus habilidades de respuesta ante crisis, respectivamente. Esto permitió a las partes abordar el problema con un plan de acción bien organizado, en lugar de improvisar una respuesta.
¿Cuáles son las ventajas de una estrategia a escala estatal para el propio Estado y para quienes participan en ella?
La principal ventaja de una estrategia a escala estatal es una mayor visibilidad. A menudo, diversos sectores de la Administración se enfrentan a amenazas comunes, pero no se comunican lo suficiente como para que ninguno de ellos pueda combatirlas de manera eficaz. Una vez que comienzan a compartir información, disponen de más datos sobre los que basar sus acciones, lo que les ayuda a proteger más activos, a tomar mejores decisiones y a responder con mayor rapidez ante las amenazas.
Otra ventaja es el acceso a más recursos. Al poner en común los fondos, las partes pueden adquirir herramientas de mayor calidad, contratar personal a tiempo completo en lugar de a tiempo parcial y llevar a cabo otras mejoras en materia de ciberseguridad sin coste adicional.
¿De qué manera aborda un enfoque a escala estatal los retos actuales relacionados con el personal especializado en tecnologías de la información y ciberseguridad?
La iniciativa «Whole-of-state» permite a los municipios superar los retos relacionados con la mano de obra mediante sus colaboraciones con centros de formación profesional y universidades. Texas, por ejemplo, ha creado recientemente un centro regional de operaciones de seguridad (RSOC). Los estudiantes de estos programas adquieren experiencia práctica en el ámbito de las tecnologías de la información mediante la supervisión de sistemas complejos con herramientas de vanguardia, lo que les proporciona una ventaja a la hora de incorporarse al mercado laboral tras su graduación.
La organización obtiene una cobertura de 24/7 que, de otro modo, no podría permitirse, así como la tranquilidad de saber que cuenta con personal formado para supervisar activamente sus sistemas. Es otro ejemplo de cómo el enfoque estatal beneficia a todas las partes implicadas.
¿Cómo pueden los estados establecer sus propios objetivos a nivel estatal?
Los estados pueden elaborar su propia estrategia integral para todo el estado siguiendo los pasos que se indican a continuación:
- Empiece a hablar de ello. El enfoque a nivel estatal comienza por establecer contacto con otras partes, fomentar la comunicación e identificar los retos comunes. Esto sienta las bases para la gobernanza.
- Supere los retos. Ponga en práctica su estrategia y compruebe que funciona. Aborde un reto cada vez y aproveche cada éxito para aumentar la confianza y la motivación.
- Tenga paciencia. Ninguna estrategia de ciberseguridad es sencilla, y tratar de desarrollar una con este nivel de coordinación puede resultar especialmente complicado. Sea paciente y comprenda que habrá algunos tropiezos por el camino. Los contratiempos no significan que la estrategia no vaya a resultar eficaz a largo plazo. Siga avanzando hacia su objetivo y los éxitos no tardarán en llegar.
- Siga forjando relaciones. Cada vez que se enfrente a un reto que no sepa cómo resolver, significa que hay alguien ahí fuera con quien aún no ha hablado. Siga forjando nuevas relaciones para garantizar un éxito duradero. Los socios del sector privado resultan especialmente valiosos en este sentido, ya que cuentan con más recursos y pueden ayudarle a encontrar a alguien capaz de aportar una nueva perspectiva a su problema.
¿Cómo son las estrategias exitosas a escala estatal?
Varios estados están adoptando un enfoque colectivo en materia de ciberseguridad. Entre los ejemplos más destacados se encuentran:
- Arizona. Como ya se ha mencionado, Arizona ha creado un centro de mando cibernético para todo el estado, un proyecto que ha llevado cuatro años de preparación. En una medida que pone aún más de manifiesto su compromiso con una estrategia de ciberseguridad que abarque todo el estado, ha trasladado a su director de seguridad de la información (CISO) al Departamento de Seguridad Nacional de Arizona, donde ocupa el cargo de director de la agencia y depende directamente del gobernador.
- Nueva York. El Comando Cibernético de la ciudad de Nueva York ha incorporado a ciudadanos de a pie en su estrategia a escala estatal. Ha lanzado la aplicación «NYC Secure», que ofrece protección gratuita en tiempo real a los teléfonos móviles de los usuarios. Asimismo, se ha asociado con Quad9, una plataforma gratuita de ciberseguridad que sustituye la configuración predeterminada del proveedor de servicios de Internet o del servidor de nombres de dominio de la empresa para proteger 3,000 puntos de acceso Wi-Fi públicos repartidos por toda la ciudad. Además, se ha asociado con la oficina municipal de servicios a las pequeñas empresas para facilitar a la comunidad empresarial información básica sobre y sobre buenas prácticas de ciberseguridad .
- Virginia. En el condado de York, el departamento de tecnologías de la información está colaborando con el Departamento de Elecciones para facilitar a todas las jurisdicciones una serie de directrices básicas en materia de ciberseguridad. El subdirector de tecnologías de la información ha colaborado directamente con las pequeñas empresas y a través de un centro regional de desarrollo para pequeñas empresas con el fin de facilitar información sobre los fundamentos de la ciberseguridad. Ofrece a los ciudadanos información de este tipo, como, por ejemplo, cómo proteger sus datos personales en Internet.
¿Cuáles son algunas de las lecciones aprendidas por quienes han adoptado un enfoque de ciberseguridad a nivel estatal?
La principal lección es que, en un enfoque que abarque todo el Estado, es necesario permitir que las personas controlen su propio destino. Resulta tentador indicar a las personas lo que deben hacer para resolver un problema concreto o animarlas a utilizar una herramienta específica por ser la mejor de su clase. Pero eso solo dará lugar a una escasa adopción de las herramientas y a un cumplimiento deficiente de las políticas. Preguntar a las personas qué necesitan y escuchar sus opiniones es fundamental para fomentar un entorno colaborativo y determinar el éxito final de su estrategia a nivel estatal.
