Los ciberataques contra organismos gubernamentales estatales y locales de EE. UU. han aumentado considerablemente en los últimos años. En la actualidad, aproximadamente el 44 % de los ataques de ransomware a nivel mundial tienen como objetivo a los ayuntamientos. El ransomware afectó al menos a 2,354 administraciones públicas, (se abre en una nueva pestaña) centros sanitarios y centros educativos solo en 2020 . Con demasiada frecuencia, estos ataques tienen éxito porque los ayuntamientos, los centros de enseñanza primaria y secundaria y otros organismos públicos de pequeño tamaño carecen del personal, las herramientas y los conocimientos especializados necesarios para defenderse adecuadamente.
¿En qué consiste una estrategia de ciberseguridad a escala estatal?
Con el fin de ayudar a proteger a los municipios y otras administraciones locales frente a estos ataques, algunos gobiernos estatales están adoptando actualmente un enfoque de ciberseguridad que abarca todo el territorio estatal. En el marco de una estrategia estatal integral aplicada a nivel estatal, el Gobierno estatal colabora con las administraciones locales de menor tamaño para garantizar que todas las personas estén protegidas frente a las amenazas. En el marco de esta colaboración, los gobiernos estatales comparten formación, información sobre amenazas, herramientas y otros recursos con los ayuntamientos y otras organizaciones locales con el fin de reforzar las defensas cibernéticas.
Analicemos qué es lo que impulsa este nuevo enfoque de la ciberseguridad y los tres componentes clave —gobernanza, implementación y validación— que son necesarios para que funcione.
Vea esta entrevista en vídeo de la serie «To the Point», en la que Jennifer Pittman-Leeper explica en qué consiste una estrategia de ciberseguridad a nivel estatal y cómo ponerla en marcha.
https://youtu.be/BOEF82h1r44
La urgente necesidad de mejorar la higiene cibernética
Las cifras varían de un estudio a otro, pero está claro que un número desproporcionado de ataques de ransomware y de otro tipo se dirigen contra las administraciones estatales y locales.
¿Por qué centrarse en estas organizaciones? Es probable que algunos de los ataques sean aleatorios, resultado de que los atacantes adopten una estrategia de «disparar a ciegas» a la hora de elegir sus objetivos y que, por casualidad, acaben afectando a organismos estatales y locales.
En otros casos, es posible que los atacantes se centren en determinadas agencias porque sospechan que estas cuentan con pólizas de seguro cibernético que cubrirán el pago de los rescates y los gastos de reparación necesarios. Hay algo de verdad en ello. De hecho, cuando las víctimas de ransomware deciden pagar, las administraciones estatales y locales acaban pagando 10 veces más que las entidades comerciales. (se abre en una nueva pestaña)
Es posible que los atacantes también estén dirigiendo sus ataques contra los ayuntamientos y otros organismos de menor tamaño, ya que saben que las defensas en materia de ciberseguridad son más débiles a nivel estatal y local. La mayoría de los estados destinan únicamente el 1-2 % de sus presupuestos de TI a la ciberseguridad (se abre en una nueva pestaña), mientras que las agencias federales y las empresas privadas destinan el 5-20 %.
Por último, muchos servicios de las administraciones locales se consideran esenciales, lo que supone un fuerte incentivo para que los responsables gubernamentales paguen los rescates y resuelvan rápidamente un ataque. Por ejemplo, cuando un ataque de ransomware paralizó los servicios públicos de la ciudad de Baltimore en 2019, , las repercusiones en la ciudad fueron generalizadas y costosas (se abre en una nueva pestaña). Las transmisiones de propiedad, por ejemplo, no podían tramitarse, lo que lastraba el mercado inmobiliario. Los ciudadanos no pudieron acceder a las páginas web que utilizaban para pagar sus facturas de agua, impuestos sobre la propiedad y multas de aparcamiento. La reparación de los efectos del ataque llevó meses y, finalmente, supuso un coste para la ciudad de al menos 18.2 millones de dólares.
Con ejemplos tan aleccionadores como ese, no es de extrañar que otros municipios y otras organizaciones públicas quieran evitar caer en las garras del ransomware u otros tipos de ciberataques.
Los gobiernos autonómicos son conscientes de que pueden ayudar. Conscientes de que los ayuntamientos y otros organismos locales carecen de personal y de financiación suficientes, algunos gobiernos estatales están adoptando una estrategia que abarca todo el territorio estatal, en la que se aúnan recursos y se comparte información para proteger a las organizaciones públicas, desde el ámbito municipal hasta el estatal.
«Los gobiernos estatales prestan cada vez más servicios a los gobiernos de los condados y municipios, entre los que se incluyen la protección de terminales, los acuerdos de servicios compartidos para herramientas de ciberdefensa, la respuesta ante incidentes y la sensibilización y formación en materia de ciberseguridad a nivel estatal», escribieron la Asociación Nacional de Gobernadores (NGA) y la Asociación Nacional de Directores de Información Estatales (NASCIO) en su informe 2020 , titulado «: Stronger Together: State and Local Cybersecurity Collaboration» (: Juntos somos más fuertes: Colaboración en materia de ciberseguridad entre el ámbito estatal y el local) (se abre en una nueva pestaña). Desde entonces, este movimiento no ha hecho más que cobrar impulso.
«Los gobiernos estatales prestan cada vez más servicios a los gobiernos de los condados y municipios, entre los que se incluyen la protección de terminales, los acuerdos de servicios compartidos para herramientas de ciberdefensa, la respuesta ante incidentes y las campañas de sensibilización y formación en materia de ciberseguridad a nivel estatal».
Los componentes de una estrategia de ciberseguridad a nivel estatal
Una estrategia de ciberseguridad a escala estatal propone tres medidas que se complementan entre sí. Puede imaginárselas como las patas de un taburete. Necesita los tres para que la estrategia funcione.
Estas tres prácticas son:
- Gobernanza y elaboración de políticas
- Aplicación
- Validación
Analicemos cada uno de ellos por separado.
Gobernanza y elaboración de políticas
Los buenos responsables de TI se basarán en políticas y marcos consolidados, como los del (CIS) (se abre en una nueva pestaña) o , el NIST (se abre en una nueva pestaña) , para sentar las bases de un programa de ciberseguridad sólido. Estos marcos ayudan a las organizaciones a establecer normas de buenas prácticas de ciberseguridad, a determinar umbrales aceptables de riesgo y a definir políticas que puedan aplicarse a lo largo del tiempo para cumplir dichas normas y hacer frente a dichos riesgos.
En muchos estados, consultoras como los integradores de sistemas globales han llevado a cabo gran parte de esta labor normativa. Más recientemente, algunos estados han internalizado esta labor, asignándola al Departamento de Seguridad Nacional del estado o a una organización similar.
En general, es recomendable separar la labor de elaboración de políticas de la labor de aplicación de las mismas. De este modo, las políticas pueden planificarse y elaborarse basándose en las mejores prácticas de todo el sector, en lugar de diseñarse para adaptarse a las herramientas, prácticas (y hábitos) existentes de un equipo de TI concreto.
Aplicación
Esta es la fase de «acción» de una estrategia que abarca todo el Estado. En esta fase, los ingenieros y responsables de TI se encargan de aplicar las políticas elaboradas en la fase de elaboración de políticas.
Además, es un ámbito en el que las estrategias de ciberseguridad suelen fallar. Esto se debe a que, sin una coordinación suficiente entre el equipo encargado de las políticas y el equipo de ejecución, estas podrían resultar demasiado generales o demasiado costosas de aplicar. Las políticas deben ser rigurosas, incluso audaces, pero también deben ser prácticas.
Para poner en práctica de verdad una estrategia interinstitucional que abarque todo el Estado, los organismos, los ayuntamientos y otras organizaciones locales deben armonizar el conjunto de herramientas y los procesos que utilizarán para aplicar las políticas.
Si se da a conocer una nueva vulnerabilidad de software, ¿con qué rapidez puede todo el Estado —desde el Gobierno estatal hasta los municipios— realizar un inventario de todos sus activos informáticos para determinar qué dispositivos finales deben actualizarse? Si una agencia de tecnologías de la información desarrolla una buena práctica, ¿con qué facilidad se puede compartir dicha buena práctica en todo el estado? Es muy probable que, si los conjuntos de herramientas no están estandarizados, resulte más difícil compartir conocimientos y técnicas.
En definitiva, para que la puesta en práctica dé sus frutos, es necesario que las organizaciones tomen decisiones de forma conjunta y realicen inversiones coordinadas.
Validación
La validación consiste en la labor continua de supervisar la aplicación de las políticas.
Para garantizar que la ciberseguridad no sea meramente «una fachada», es importante que las personas encargadas de validar la aplicación de las políticas no se limiten a marcar una casilla en un formulario, certificando así por sí mismas el cumplimiento. Más bien, deberían poder demostrar el cumplimiento mediante la elaboración de informes que reflejen el estado en tiempo real de todos los activos informáticos gestionados. En otras palabras, los equipos deberían verificar el cumplimiento basándose en datos concretos procedentes de herramientas de seguridad, en lugar de en garantías verbales de sus compañeros.
El seguimiento y la elaboración de informes exhaustivos en tiempo real ofrecen a todas las partes interesadas una visión clara de los puntos fuertes y débiles actuales de cualquier estrategia que abarque todo el Estado. Y si los informes acabaran poniendo de manifiesto que se necesitan inversiones adicionales, el carácter objetivo y digital de dichos informes resultará más convincente que las declaraciones propias o las observaciones generales.
Obtenga más información
En las próximas semanas, publicaremos más entradas de blog sobre las ventajas de adoptar una estrategia que abarque todo el Estado. En nuestras próximas entradas, analizaremos con más detalle cada una de las tres prácticas —gobernanza, implementación y validación— necesarias para poner en práctica una estrategia de ciberseguridad a nivel estatal.
Si desea saber cómo la plataforma Tanium de puede ayudar a su organización a poner en marcha una estrategia de ciberseguridad más sólida, póngase en contacto con nosotros en .
