Dado que los gobiernos estatales y locales, las organizaciones sanitarias y los centros educativos se ven sometidos a los ataques de los ciberdelincuentes, algunos responsables de ciberseguridad del sector público se preguntan si no ha llegado el momento de unir fuerzas y adoptar un enfoque integral a nivel estatal en materia de ciberseguridad.
¿En qué consiste la ciberseguridad a nivel estatal?
En el marco de un enfoque que abarca todo el estado, los gobiernos estatales colaboran con los ayuntamientos, los centros de enseñanza primaria y secundaria, las entidades tribales y otras organizaciones gubernamentales de sus respectivos estados, proporcionando financiación y herramientas, ofreciendo orientación y compartiendo información. Gracias a esta colaboración, las organizaciones pequeñas —como los centros de enseñanza primaria y secundaria— que actualmente carecen de fondos y personal suficientes para la ciberseguridad podrán beneficiarse de los recursos y la experiencia de otras entidades más grandes y mejor financiadas.
Como mencioné en « », una entrada anterior del blog, una estrategia de ciberseguridad a escala estatal se compone de tres prácticas que encajan entre sí como las patas de un taburete. Las tres prácticas son:
- Gobernanza y elaboración de políticas
- Aplicación
- Validación
En esta entrada del blog, voy a analizar el aspecto relacionado con la gobernanza y la elaboración de políticas de esta estrategia. La gobernanza y la formulación de políticas comprenden las cuatro actividades siguientes:
- Crear equipos de gobernanza interorganizacionales y establecer procesos de comunicación para respaldar a dichos equipos a lo largo del tiempo
- Seleccionar y basarse en marcos normativos de probada eficacia, como los del Centro para la Seguridad en Internet (CIS) y el Instituto Nacional de Estándares y Tecnología (NIST)
- Realizar evaluaciones de riesgos para ayudar a definir políticas
- Establecer y aprovechar los recursos de financiación para respaldar la estrategia a nivel de todo el Estado
¿Quién elabora las políticas de ciberseguridad a nivel estatal?
Los programas de ciberseguridad a escala estatal son, en última instancia, colaboraciones entre diversas entidades gubernamentales, cada una de las cuales es responsable de sus propias políticas de ciberseguridad. Algunas de estas entidades gubernamentales dependen del gobernador, pero muchas otras, entre ellas los distritos escolares y el equipo MS-ISAC del estado, « » ( ) (se abre en una nueva pestaña) () (), no lo hacen. En la mayoría de los estados, estas entidades no han colaborado estrechamente en iniciativas de ciberseguridad hasta ahora. Por lo tanto, el primer paso consiste en reunir a los representantes de estos grupos, presentarles entre sí y empezar a fomentar la confianza entre las partes interesadas.
En el pasado, gran parte de la labor relacionada con las políticas de ciberseguridad a nivel estatal corría a cargo de consultores externos, como los integradores de sistemas a escala mundial. Aunque los consultores sigan colaborando en esta labor, a partir de ahora deberán rendir cuentas ante este nuevo equipo centralizado de ciberseguridad.
La creación de este equipo puede llevar tiempo. Los responsables de TI y seguridad de todas estas organizaciones ya tienen mucho trabajo. Ahora tienen que hacer hueco en sus agendas para nuevas reuniones, videoconferencias, informes y otras actividades relacionadas con la ciberseguridad. Además, deben aprender a confiar en el criterio y la capacidad de toma de decisiones de los responsables de otras organizaciones, incluidas aquellas a las que no rinden cuentas oficialmente.
Es importante recordar a todos los responsables las ventajas de esta iniciativa conjunta: una mayor ciberseguridad para todos y un ahorro de costes a largo plazo.
Asimismo, es importante que este equipo interorganizacional sea una entidad independiente centrada en la gobernanza y no simplemente un «equipo de élite» formado por ingenieros de TI que, tradicionalmente, se han encargado ellos mismos de implementar los controles de ciberseguridad. Los responsables de la formulación de políticas deben ser personas distintas de quienes se encargan de aplicar las políticas elaboradas. Esto contribuye a garantizar que las políticas sean rigurosas, se basen en las mejores prácticas del sector y en la información más reciente sobre amenazas, y que el cumplimiento normativo, por muy bienintencionado que sea, no se reduzca simplemente a la presentación de informes sin más. Algunos estados, como Florida, Arizona y Nueva York, han creado incluso sus propios Departamentos de Seguridad Nacional para garantizar la existencia de un organismo independiente y centrado en las políticas que pueda definir y validar las políticas de ciberseguridad sin participar directamente en su aplicación.
En muchos estados, esta separación de funciones supone un cambio radical. Es posible que los equipos de TI se hayan encargado de redactar las políticas, de aplicarlas y de certificar por sí mismos que cumplen con dichas políticas. Al separar estas funciones, algunos estados se esfuerzan por elaborar políticas más exhaustivas y rigurosas, así como por hacer que los equipos de TI se responsabilicen de aplicarlas de una forma que permita evaluarlas de manera objetiva. (Analizaré con más detalle este enfoque en materia de políticas y validación en mi próxima entrada del blog sobre la fase de validación « » de una estrategia a escala estatal:.)
Gobernanza y elaboración de políticas para una estrategia que abarque todo el Estado
Los responsables de TI de las administraciones públicas no tienen por qué empezar desde cero a la hora de elaborar políticas de ciberseguridad eficaces. En su lugar, pueden recurrir a marcos normativos consolidados, como los del Centro para la Seguridad en Internet ( ) (se abre en una nueva pestaña) (CIS) o los de los Institutos Nacionales de Estándares y Tecnología ( ) (se abre en una nueva pestaña) (NIST). Gracias a estos marcos, los equipos responsables de las políticas pueden:
- Establezca unas normas de « » para una buena higiene cibernética
- Determinar los umbrales aceptables de riesgo
- Definir políticas que puedan aplicarse a lo largo del tiempo para cumplir con dichos estándares y hacer frente a los riesgos de alta prioridad
Los marcos del CIS y del NIST ofrecen plantillas para la redacción de políticas de seguridad exhaustivas y detalladas. La elaboración de políticas tan exhaustivas es un objetivo loable, pero su aplicación podría estar fuera del alcance de organizaciones como los distritos escolares de educación primaria y secundaria a corto plazo.
Un enfoque alternativo consiste en definir políticas exhaustivas, pero también en establecer una lista de buenas prácticas de máxima prioridad que todos deban seguir. Este es el enfoque que ha adoptado el Estado de Arizona con su estrategia integral a nivel estatal. El equipo de ciberseguridad del Estado ha identificado una «lista de los 18” controles CIS más importantes» del (se abre en una nueva pestaña) que deben implementarse, lo que proporciona a las entidades públicas de todos los tamaños una lista manejable de proyectos en los que centrarse. Las prácticas de seguridad mejoraron y ninguna organización se vio desbordada por una lista exhaustiva de exigencias.
Visibilidad integral para la elaboración de políticas
Una cuestión que surge rápidamente a la hora de elaborar políticas de seguridad informática es determinar exactamente qué activos informáticos deben protegerse. Al fin y al cabo, no se pueden elaborar políticas para proteger los activos si no se sabe de qué activos se dispone. Por lo tanto, uno de los requisitos para una elaboración eficaz de políticas es la creación de un inventario de todos los activos de TI de todas las organizaciones que participan en el programa estatal integral.
Los responsables de proyectos pueden solicitar a los responsables de TI de las organizaciones que elaboren inventarios de todos los terminales (dispositivos como ordenadores portátiles y servidores) presentes en sus respectivos entornos de TI. Al elaborar estos inventarios, asegúrense de normalizar la terminología para que los organismos y los responsables de TI puedan comprender realmente de qué activos disponen. Si está contando los portátiles con Windows 10 , por ejemplo, tal vez le convenga decidir cómo contar los portátiles con Windows 10 , para que no haya posibilidad de que se confundan con los portátiles con Windows 8.1 .
Una de las razones por las que se lleva a cabo esta labor en las primeras fases de elaboración de políticas y de implementación de este proyecto es garantizar que el equipo encargado de las políticas haya redactado políticas para todos los tipos de dispositivos que se gestionan. No conviene pasar por alto los dispositivos del Internet de las cosas (IoT), por ejemplo, para luego descubrir que desempeñan un papel clave en el sistema de transporte público de un ayuntamiento con visión de futuro.
Evaluación de riesgos para la elaboración de políticas
Los marcos del NIST y del CIS destacan la importancia de la gestión de riesgos (se abre en una nueva pestaña). La gestión de riesgos consiste en evaluar el impacto de las incertidumbres en los objetivos de una organización y, a continuación, adoptar medidas para reducir dicho impacto.
En materia de seguridad informática, la gestión de riesgos consiste, en definitiva, en identificar y proteger los activos y procesos informáticos que resultan más importantes para respaldar la misión de una organización. Para el Departamento de Tráfico (DMV) de un estado, por ejemplo, es de vital importancia poder almacenar y gestionar de forma segura los expedientes de los solicitantes. Lo mismo ocurre con la garantía de que los pagos de las cuotas de licencia realizados con tarjeta de crédito estén protegidos por sistemas que cumplan con las normas PCI-DSS.
La gestión de riesgos, en este caso, consiste en identificar todos los recursos y procesos informáticos implicados en la creación y gestión de los expedientes del departamento, identificar todos los riesgos asociados a dichos recursos y procesos, determinar la probabilidad de que se produzca cada riesgo y, a continuación, aplicar medidas en materia de personal, procesos y tecnología para hacer frente a dichos riesgos. Por ejemplo, si disponer de copias de seguridad seguras y externas contribuyera a proteger la integridad de los registros de un departamento, la puesta en marcha de dichas copias de seguridad formaría parte de la estrategia de gestión de riesgos de dicho departamento.
Ni siquiera el programa de ciberseguridad más completo a nivel estatal puede permitirse proteger todos y cada uno de los activos y procesos informáticos en la mayor medida posible. Habrá que establecer prioridades en las inversiones en tecnologías de la información. Por lo tanto, es recomendable evaluar los riesgos en todas las organizaciones que participan en el programa estatal global, de modo que los equipos puedan elaborar políticas adecuadas y asignar los recursos necesarios para proteger lo que resulta más importante para cada organización.
Consideraciones especiales en materia de financiación para un programa de ciberseguridad a escala estatal
Algunas cuestiones finales que deben tenerse en cuenta en la fase de elaboración de políticas se refieren a la financiación. Es posible que los dirigentes estatales se pregunten, en primer lugar, cómo financiar una iniciativa de ciberseguridad que abarque todo el estado. También podrían preguntarse cómo organizar los presupuestos para que la carga financiera no recaiga exclusivamente en unos pocos equipos centralizados.
Para contribuir a la financiación de una iniciativa de ciberseguridad que abarque todo el estado, las organizaciones de la SLED deberían aprovechar todas las fuentes de financiación que puedan encontrar. Busque programas de subvenciones que puedan ayudar a los municipios, los centros educativos, las organizaciones tribales o incluso al propio Estado a financiar un conjunto de herramientas y servicios estandarizados de ciberseguridad. Además, el Gobierno federal está ofreciendo a los estados algunos aumentos de financiación a corto plazo para hacer frente a la ciberseguridad. Los estados deberían aprovechar esos fondos federales mientras estén disponibles.
En segundo lugar, el equipo de ciberseguridad estatal debería esforzarse por obtener financiación estatal para respaldar la iniciativa de ciberseguridad estatal. Algunos estados ya lo han hecho. Al disponer de un fondo específico de varios millones de dólares, pueden adquirir el equipo informático y los servicios de formación que necesitan los distritos escolares y otras organizaciones, garantizando que las compras se realicen con descuentos por volumen y que el software y el hardware sean lo más homogéneos posible en todas las entidades públicas. Esta financiación adicional supone un incentivo más para que las organizaciones participen en la iniciativa en su conjunto. Al solicitar subvenciones para modernizar y proteger su infraestructura informática, organizaciones como los distritos escolares pueden mejorar su higiene cibernética y, al mismo tiempo, liberar fondos para destinarlos a otros proyectos relacionados con la ciberseguridad.
Por último, cabe señalar que un programa de ciberseguridad eficaz a escala estatal debería suponer un ahorro de costes para los estados, los municipios, los centros de enseñanza primaria y secundaria y otras organizaciones locales. Si la mejora de la seguridad evita tener que pagar rescates de varios millones de dólares o elimina las interrupciones del servicio que provocan pérdidas de ingresos, esas inversiones iniciales se amortizarán por sí solas.
Obtenga más información
Esta entrada forma parte de una serie en la que se analizan cada una de las tres prácticas —gobernanza, implementación y validación— necesarias para poner en práctica una estrategia de ciberseguridad a nivel estatal.
Si desea saber cómo la plataforma Tanium Converged Endpoint Management de puede ayudar a su organización a poner en práctica una estrategia de ciberseguridad más sólida, póngase en contacto con nosotros.
