Todos sabemos que los ciberataques en el sector público van en aumento. Más de 100 administraciones estatales y municipales, así como decenas de distritos escolares, se vieron afectados por un ataque de ransomware (se abre en una nueva pestaña) el año pasado. Y las tensiones geopolíticas no harán más que envalentonar, de aquí en adelante, tanto a los actores maliciosos vinculados a los Estados como a los que actúan por motivos económicos. Son tiempos difíciles para los responsables de ciberseguridad de estas entidades del sector público y educativo. Pero la ayuda está al alcance de la mano.
El enfoque estatal integral de ciberseguridad de la « » ( ) está ganando adeptos como una forma útil para que las organizaciones que comparten un mismo adversario gestionen mejor su riesgo cibernético. Al aunar recursos, compartir información y, en general, colaborar entre sí, pueden reforzar su defensa digital colectiva sin que ello suponga un gasto excesivo. Un seminario web reciente de Tanium, « » ( ), organizado en colaboración con la Asociación Nacional de Condados () (se abre en una nueva pestaña) , ofrece una perspectiva fascinante.
El panel contó con la participación de expertos en administración local: el director de sistemas de información (CIO) del condado de Boulder (Colorado), Ben Edelen (se abre en una nueva pestaña); el responsable de seguridad de la información (CISO) del condado de Pinal (Arizona), Jerry Keely (se abre en una nueva pestaña); el responsable de seguridad de la información (CISO) interino del Estado de Arizona y subdirector del Departamento de Seguridad Nacional de Arizona, Ryan Murray (se abre en una nueva pestaña); y el responsable de seguridad de la información (CISO) del Estado de Colorado, Ray Yepes. (se abre en una nueva pestaña)
Un desafío existencial
¿Por qué es necesario un enfoque que abarque todo el Estado? Y es que, si bien los estados pueden disponer de recursos y capacidad suficientes para hacer frente a amenazas cibernéticas graves, muchas entidades más pequeñas —en particular, los distritos escolares— pueden tener dificultades para ello.
«Se trata de compartir nuestros recursos y ofrecer algo de valor a nuestros socios de las comunidades más pequeñas, a nuestros gobiernos homólogos que se encuentran por debajo de una especie de “umbral de cibermiseria”, de modo que, cuando la ciberseguridad mejore en nuestro estado, mejore para todos nosotros y no solo para las organizaciones que cuentan con una buena financiación», afirma Edelen.
También es cierto que, en muchos casos, las ciudades, los condados y otras entidades estatales de menor tamaño se enfrentan al poderío de actores estatales hostiles y de bandas de ciberdelincuentes que cuentan con abundantes recursos y presupuestos anuales que ascienden a millones de dólares. Esto hace que sea aún más importante que quienes cuentan con programas más consolidados y recursos que compartir lo hagan, sobre todo teniendo en cuenta que lo que está en juego es, según Yepes, nada menos que «existencial».
«Si una ciudad pequeña se ve afectada por un ataque de ransomware y no dispone de copias de seguridad, no cuenta con buenas medidas de protección y su compañía de seguros cibernéticos dejó de ofrecerle cobertura hace años, esa ciudad, básicamente, deja de poder prestar servicios públicos, y no podemos permitir que eso ocurra», argumenta.
Cómo hacer que funcione
La cuestión es cómo integrarlo todo. Según Murray, no se trata de reinventar la rueda, sino de reconocer en qué ámbitos un enfoque común puede realmente generar eficiencias y economías de escala. Afirma que el programa del estado de Arizona ya ha obtenido beneficios como estos.
«En lugar de que muchos grupos dispares digan: “Quiero esta herramienta concreta” o “Necesito que se resuelva este problema concreto”, nos estamos uniendo todos para intentar resolverlos a mayor escala», explica. «De ese modo, no tenemos que gestionar 27 herramientas diferentes en los organismos estatales y otras 30 herramientas diferentes para todos los condados.» «Estamos utilizando las mismas herramientas en todos los ámbitos; todas ellas gestionadas por el Estado y con el apoyo de nuestros socios de la administración local».
Otros consejos que han compartido los ponentes son los siguientes:
Escuchar a los partidos más pequeños: Los enfoques que abarcan todo el estado no son propiedad de nadie, lo que significa que se debe hacer hincapié en ayudar a quienes más lo necesitan, como las ciudades, los condados y la K12s. Los Estados no deberían dar por sentado que saben lo que necesitan, sino escuchar y garantizar que se escuchen las voces menos influyentes, afirma Yepes.
Diríjase a las personas allí donde se encuentren: . Dadas las distancias que hay que recorrer, podría tener sentido que los expertos a nivel estatal realizaran giras por todo el territorio para reunirse con las partes interesadas en los lugares donde viven y trabajan, en lugar de esperar que sean ellas quienes se desplacen a las capitales de los estados, afirma Murray.
Empiece poco a poco y piense a lo grande: . Para poner las cosas en marcha, quizá lo mejor sea comenzar con un grupo relativamente pequeño de personas interesadas en colaborar más, afirma Neeley.
«No pasa nada por pedir ayuda», añade. «Nadie debería creer que lo sabe todo». «En Arizona, todo comenzó con un grupo muy reducido de personas que se reunieron y dijeron: “Empecemos a colaborar”».
Empiecen por la inteligencia sobre amenazas: . Esto abre la puerta a algunos logros rápidos para quienes abogan por un enfoque integral a nivel estatal. Edelen sostiene que la información sobre amenazas procedente de organismos federales, ISAC y otras entidades similares puede ser lenta, ya que requiere un gran número de comprobaciones y verificaciones para garantizar su exactitud.
Según Edelen, es importante establecer un sistema ágil que permita reaccionar con rapidez y compartir con sus compañeros información potencialmente peligrosa, como direcciones IP que puedan estar interfiriendo en sus entornos o una dirección de correo electrónico que esté claramente comprometida en la ciudad o el condado vecino.
Empiece ya: Se dedica mucho tiempo a darle vueltas a qué comisiones y grupos de trabajo conviene crear. Esto puede restar importancia al panorama general, concluye Murray.
«Las administraciones cambian, cambian; los cargos directivos cambian. «No podemos vernos envueltos en todo esto y tener que replantearnos nuestra planificación cada dos o cuatro años», afirma. «Simplemente empiece a hacer algo y, después, el resto irá encajando por sí solo». «Todo lo demás se resolverá por sí solo».
Para ver el seminario web completo, « : Whole-of-State 2.0: A Tale of Two States and Counties» (: Introducción al enfoque «Whole-of-State»: La historia de dos estados y condados), vea el vídeo incrustado más arriba.
Descubra cómo implementar una arquitectura de seguridad a escala estatal para proteger los datos de sus ciudadanos en , visitando nuestra página web , y explore más de 25 entradas de blog, libros blancos, entrevistas a líderes de opinión y mucho más en , visitando nuestra biblioteca de recursos. (se abre en una nueva pestaña)
