Cuando el presidente Biden promulgó esta primavera un decreto ejecutivo sobre ciberseguridad ——, con el objetivo de reforzar la seguridad del software tras el ataque masivo a SolarWinds, propuso lo que muchos en el sector tecnológico tanto temían como esperaban: una comisión federal de revisión de la informática forense.
Siguiendo el modelo de la Junta Nacional de Seguridad en el Transporte (NTSB), que investiga los accidentes aéreos y de carretera, la Junta Nacional de Seguridad Cibernética (NCSB) propuesta se encargaría de investigar los ataques informáticos delictivos de gran envergadura contra empresas, infraestructuras y organismos federales de Estados Unidos.
Sin embargo, no todo el mundo está de acuerdo, afirma Scott Shackelford, un experto en derecho que dirige un programa sobre ciberseguridad y gobernanza de Internet en la Universidad de Indiana y que intervino esta semana en la conferencia Black Hat de la Asociación de Empresas de Seguridad de la Información ( ) para hablar de los retos que se avecinan. Entre ellas: el sector privado se muestra reacio a compartir información confidencial. Las autoridades reguladoras advierten de posibles conflictos de intereses en un consejo de administración en el que figuran líderes del sector. Además, a los defensores de la privacidad les preocupa el intercambio de datos personales.
En una conversación reciente con , el de Endpoint, Shackelford abordó cómo funcionaría una comisión de revisión cibernética y la necesidad de que los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) empiecen a prepararse para ello desde ya.
¿Cómo funcionaría la NCSB tras un incidente como el de SolarWinds?
En la actualidad, las infracciones se denuncian a través de diferentes organismos, desde la Fiscalía General estatal hasta la Comisión Federal de Comercio. No contamos con un organismo único que se encargue de ello. Lo ideal sería que la información sobre incidentes cibernéticos se remitiera a una Oficina de Estadísticas Cibernéticas. De hecho, la Comisión «Cyberspace Solarium» de la Agencia de Seguridad Nacional ( ,) —el organismo intergubernamental cuyo objetivo es proteger a Estados Unidos de los ciberataques— ha recomendado la creación de esta oficina para recopilar datos sobre incidentes cibernéticos.
[Lea también: El hombre que podría ayudar a evitar un desastre cibernético]
Una vez que la NCSB tenga conocimiento de una infracción, su primer paso consistiría en formar un equipo interdisciplinar de investigadores. Entrevistaban a los equipos de seguridad de las empresas afectadas, a los proveedores de software cuyos productos se habían visto infectados y a los analistas forenses de que investigaban la brecha de seguridad, entre muchas otras fuentes. Los investigadores solicitarían información de las bases de datos mediante una citación judicial. Una vez que averiguaran qué había ocurrido y quién estaba detrás de ello, publicarían un informe y formularían recomendaciones que, posteriormente, se convertirían en normas del sector.
¿Cuáles son los retos técnicos, políticos y administrativos que plantea la creación de una NCSB?
Dado que la ciberseguridad afecta a tantos ámbitos de nuestra economía, existe resistencia por parte de las empresas tecnológicas —proveedores de software y de hardware— y, probablemente, también por parte de sectores que no están muy regulados o que no están acostumbrados a la regulación. Podrían surgir posibles conflictos de intereses en lo que respecta a los miembros del consejo de administración o de los equipos de investigación. Además, estamos viviendo una época marcada por la localización de datos. Es posible crear redes regionales o mundiales de estos organismos, pero, al mismo tiempo, existe un debate mucho más amplio sobre el futuro del flujo mundial de datos que hace que llevarlo a cabo resulte mucho más complicado.
Las investigaciones de la NTSB pueden durar un año o más. ¿Cómo podría un NCSB actuar con la rapidez suficiente para ayudar a mitigar un ataque en curso o prevenir el siguiente?
Es una tarea difícil de conciliar: reunir a las personas y elaborar un informe exhaustivo que resulte de utilidad inmediata para los profesionales y los responsables políticos, al tiempo que se da respuesta en tiempo real a una situación compleja en la que muchas otras organizaciones y, en última instancia, muchas personas siguen estando en situación de vulnerabilidad. Me imagino un resumen mensual que publique la NCSB para dar una idea de lo que están descubriendo. Esto supondría una visión general que se sumaría a otras iniciativas que se están debatiendo, como la obligatoriedad de la notificación de incidentes .
Dada la escasez de mano de obra en el sector de las tecnologías de la información, ¿dónde encontrará la junta directiva a los trabajadores necesarios para formar un equipo?
Va a necesitar personas con amplios conocimientos en informática forense y en los fundamentos de la ciberseguridad. Un modelo ideal consistiría en crear una oportunidad de servicio nacional para los estudiantes, de modo que se les financie la carrera a cambio de prestar servicio, una especie de «Cuerpo de Paz Cibernético». Se pueden modificar fácilmente las leyes federales por las que se crearon AmeriCorps y el Cuerpo de la Paz para incorporar la ciberseguridad al resto de actividades de desarrollo de capacidades que llevan a cabo tanto a nivel nacional como internacional. Muchas empresas tecnológicas también están empezando a ofrecer a su personal la oportunidad de tomarse una especie de «mini-períodos sabáticos» y colaborar en causas dignas, tal y como hicieron para ayudar a garantizar la seguridad de las últimas elecciones. Eso podría servir de modelo para esto.
¿Podrían los estados tomar la iniciativa si el Congreso se demora en crear una junta nacional?
No hay nada que impida que un estado o una agrupación regional de estados ponga en marcha una iniciativa similar a la NCSB federal. Los gobernadores podrían crear consejos de ciberseguridad a nivel administrativo. Para investigar un incidente, dicha comisión podría reunir a un equipo de expertos procedentes de la Fiscalía General del Estado, de las fuerzas del orden locales y de los organismos reguladores estatales. Creo que también conseguiría el apoyo del sector privado, que suele ser el blanco de estos ataques de ransomware, especialmente las empresas relacionadas con infraestructuras críticas, como las empresas de gas y electricidad, los proveedores de energía y las empresas de suministro de agua.
¿Qué deben hacer hoy en día los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) para prepararse para colaborar con una comisión de revisión cibernética estatal o nacional?
Empiece por asegurarse de que su organización ya cumple con normas como los controles CIS del SANS Institute ( ) y el Marco de Ciberseguridad del NIST ( ). Los directores de sistemas de información (CIO) deben contar con equipos y procesos de notificación de la respuesta ante incidentes para ayudar al comité de ciberseguridad a investigar una violación de la seguridad. Sinceramente, creo que deberían emprender estas iniciativas simplemente por ser buenos ciudadanos. Los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) también deberían empezar a preguntar a sus expertos en seguridad internos si desean formar parte de un comité de revisión. Esos cargos en los consejos de administración supondrán una gran oportunidad para que sus propios expertos conozcan lo que está sucediendo en otros sectores y aporten esos conocimientos a su organización, lo que la hará más fuerte y segura.
