Resumen
Los ataques de ransomware están afectando a grandes agencias federales y a grupos estatales y locales más pequeños y con fondos insuficientes. El otoño pasado, el gobierno federal lanzó $1 mil millones en subsidios de ciberseguridad. ¿Cómo se preparan los estados para eso?
En este, nuestro episodio piloto, grabado en 2022, presentamos un plan de cinco pasos para una mejor obtención de fondos, y es igual de efectivo ahora que entonces.
PRESENTADOR: Doug Thompson, director de ingeniería de soluciones técnicas y arquitecto jefe de educación en Tanium
INVITADO: David Rand, periodista de negocios y tecnología
Notas del programa
Consulta estos artículos en Focal Point, la nueva revista de noticias sobre ciberseguridad en línea de Tanium.
- CISOs estatales a los federales: Muéstrennos el dinero
- 5 estrategias que los directores de sistemas de información estatales pueden utilizar para transformar su plantilla
- Las agencias estatales se ponen al día en ciberseguridad
Transcripción
La siguiente entrevista se ha editado para mayor claridad.
David Rand: Los ataques de ransomware contra agencias gubernamentales, especialmente ciudades y condados, [han estado] absolutamente fuera de control… Hubo 79 ataques de ransomware contra organizaciones gubernamentales de EE. UU. en 2020 que totalizaron casi $19 mil millones en costos de tiempo de inactividad y recuperación. Así que no estamos hablando de una cantidad insignificante.
Doug Thompson: Hola, soy Doug Thompson, y hoy en Let's Converge, hablamos de ciberataques a gobiernos estatales y locales.
Vamos a comenzar con algo bastante evidente y algo no tan evidente. Primero, lo obvio: los ataques de ransomware van en aumento tanto para las agencias gubernamentales como para las empresas privadas.
Lo que no es tan evidente en los ataques a gobiernos son los propios objetivos. No son solo las grandes agencias federales con grandes presupuestos. Solo en los últimos meses, hemos visto ciberataques en Quincy, Illinois; el condado de Somerset, Nueva Jersey; y Bernalillo, Nuevo México. Es posible que necesites sacar tu Google Maps para encontrar algunos de estos lugares, pero como David Rand explicará, el hecho de que sean pequeños no los convierte en un objetivo menor.
David es un periodista de negocios y tecnología, y es un colaborador frecuente de la nueva revista en línea de Tanium, que ofrece a las empresas y líderes tecnológicos las últimas perspectivas sobre los desafíos cibernéticos más difíciles de hoy. Dave profundizó en este tema, hablando con líderes de TI estatales y locales. Estas personas tienen poco personal y financiamiento insuficiente. Por eso el gobierno federal planea distribuir 1 mil millones en subvenciones cibernéticas a los estados este año. Pero, ¿cómo deberían prepararse los CIO y CISO estatales? ¿Qué deberían priorizar?
Oye, bienvenido al podcast, Dave. Tenemos mucho que cubrir, pero primero, supongo que es justo decir que el ransomware no va a desaparecer pronto, ¿verdad?
Rand: Gracias por recibirme aquí, Doug. Y sí, el ransomware es un gran problema. Sabes, los ataques de ransomware contra agencias gubernamentales, especialmente ciudades y condados, están absolutamente fuera de control en este momento.
Cada mes de este año [2022] por sí solo, ha habido al menos un ejemplo de una ciudad, condado o gobierno estatal de EE. UU. siendo golpeado por ransomware. He visto estadísticas que sugieren que el rescate promedio pagado en este tipo de ataques es de alrededor de $925,000, lo que representa un aumento del 71% respecto al año pasado. Vi otra estadística de que hubo 79 ataques de ransomware contra organizaciones gubernamentales de EE. UU. en 2020 que totalizaron casi $19 mil millones en costos de tiempo de inactividad y recuperación. Así que no estamos hablando de una cantidad insignificante.
Thompson: Creo que con demasiada frecuencia la gente depende del seguro cibernético como una especie de panacea—no todos, pero cuando hablo con la gente, dicen que tienen seguro cibernético, por lo que se desconcentran un poco en esto. Sabes, preferiría detener o intentar bloquear tantas de estas cosas como pudiera, en lugar de simplemente depender del seguro.
Rand: Sí, es algo sobre lo que probablemente me verás escribir pronto. El seguro cibernético no ha cubierto todo lo que las agencias gubernamentales, o las empresas para el caso, necesitan cubrir, y está desapareciendo porque se está volviendo muy caro de cubrir.
Pero el problema para las agencias gubernamentales es que la mayoría opera con presupuestos limitados. Entonces, ya saben, no están invirtiendo en seguridad de primer nivel. No es algo que típicamente hagan, incluso si realmente lo necesitan.
De hecho, es más común que los funcionarios de adquisiciones del gobierno opten por comprar hardware y software suficientemente buenos en lugar de los mejores de su clase, que tendrían más características de seguridad. Hoy en día, ni siquiera es inusual que las agencias gubernamentales estén utilizando dispositivos de punto final y sistemas operativos anticuados de hace cuatro, cinco, seis años o más, cuando los roles de ciberseguridad eran completamente diferentes.
Pero algunos estados están analizando esto de cerca; quieren cambiarlo y están tratando de descubrir cómo ayudar a sus gobiernos locales a alcanzar niveles más altos de competencia en ciberseguridad.
Thompson: Me encuentro con esto mucho en educación, donde tienes estas K-12s más pequeñas que no tienen presupuesto. ¿Cómo se las arreglan por sí mismas? Porque a veces en estas realmente pequeñas, el encargado de la perrera o el conserje también es la persona de TI.
Rand: Sí, eso es absolutamente cierto. Va a variar según el tamaño del municipio o el tamaño de la agencia o incluso en las áreas tribales. Quiero decir, a veces ni siquiera tienen personal de TI, como usted menciona. A veces sí lo tienen, pero incluso cuando cuentan con una persona de TI con ciertos conocimientos tecnológicos, no necesariamente tienen el financiamiento que necesitan para realizar un cambio sustancial.
Entonces, no sería raro entrar a una oficina municipal o a la oficina de un administrador de la ciudad y encontrar una máquina con Windows Vista en su escritorio.
Thompson: Sí. [Risas.] Yo estaba en Microsoft cuando salió Vista. Una vez que llegamos a SP1, no fue tan malo.
Rand: [Risas.] Yo también estaba en Microsoft durante Windows Vista, así que creo que sabemos de qué se trata todo eso.
Thompson: Bueno, obviamente no estabas en Filadelfia conmigo cuando lanzamos eso. Era como la medianoche en febrero y estaba bajo cero y… bueno, de todas formas, esa es toda otra vida que [Risas.] tuvimos.
Pero usted habla de financiamiento y escucho mucho que el gobierno federal ha captado el mensaje de que necesitamos hacer algo al respecto. Sé que hay algo de financiamiento que está saliendo— y tuviste una conversación interesante con un CISO estatal el otro día, ¿verdad?
Rand: Así es. Ese era Ryan Murray, un gran tipo.
Entonces, muchos estados están analizando cómo pueden ayudar a los gobiernos locales a alcanzar niveles más altos de competencia en ciberseguridad. El estado de Arizona es uno de ellos, y como muchos estados, ha tenido dificultades para encontrar el financiamiento necesario para asegurar las operaciones gubernamentales en sus comunidades mayormente rurales y áreas de tránsito.
Así que hace tres años se propusieron modernizar los anticuados sistemas de TI utilizando una combinación de dinero de subvenciones federales y contribuciones del presupuesto estatal. Así que esto no es algo que esté surgiendo solo este año.
Más recientemente, sin embargo, decidieron buscar una parte de estos $1 mil millones en subsidios de ciberseguridad contenidos en el proyecto de ley de infraestructura de Biden que fue aprobado el pasado noviembre. Por sí solo, ese dinero no será suficiente, pero Arizona ha sido bastante agresivo en la búsqueda de este tipo de subvenciones. Realmente, están pidiendo dinero donde pueden. Incluso se están asociando con otros estados para compartir fondos, con la idea de marcar la diferencia a nivel regional. Entonces Ryan Murray, el CISO en Arizona, me dijo que es optimista de que van a tener éxito en mejorar la postura de seguridad del estado con el tiempo.
Thompson: Ya saben, los presupuestos de TI—y creo que los presupuestos en general—son así: tomas lo que puedes obtener y luego lo usas y con suerte es un trampolín para ir al siguiente paso. Especialmente cuando se trata de ciberseguridad. Porque tienen razón: No es inusual encontrar equipos muy antiguos, anticuados y vulnerables en estos lugares. Y como contribuyente, aprecio que mi estado no desperdicie dinero ni el dinero de los contribuyentes, tratando de ser diligente con él.
Pero creo que hay cierta educación que debe llegar 1) a los legisladores y 2) a los contribuyentes, como, Oigan, esto es por qué necesitamos esto y esto es lo que va a hacer.
Rand: Tienen toda la razón. Ryan Murray me dijo que ha sido un proceso de educación constante, ¿verdad? Trabajando con legisladores, trabajando con el gobernador, solo tratando de explicar la situación—aquí está lo que es el ransomware, por ejemplo, aquí está el costo potencial, aquí está lo que podría hacer a las operaciones, aquí está lo que podría hacer para la imagen pública.
En Arizona, el gobernador Ducey parece entenderlo, y hay una parte de seguridad informática en el presupuesto estatal. Murray me dice que ha sido un gran socio en el intento de conseguir financiación donde sea que pueda existir.
Thompson: ¿Qué fue lo que le hizo tomar conciencia de esto o adoptar este enfoque? Porque, ya sabes, has hablado con mucha gente o has visto a mucha gente, y hay algunos que todavía no han captado ese mensaje.
Rand: La verdad es que no estoy muy seguro. Creo que todo CISO, en un nivel u otro, sabe que esto es un problema. No es algo que sorprenda a nadie—como mencioné, el ransomware está fuera de control. No mejora cuando estás en un estado como Arizona donde el 80% del estado se encuentra en zonas rurales. Están luchando no solo con el ancho de banda y la conectividad Wi-Fi, sino también con tener una ciberseguridad básica implementada, y cosas como la autenticación multifactor—simplemente tener las mejores prácticas al respecto, alejando a las personas de las contraseñas.
No es ninguna sorpresa, cuando eres un profesional de la seguridad, que estas cosas necesiten suceder. A veces es una sorpresa para los legisladores, porque no necesariamente son plenamente conscientes de lo anticuados que son sus sistemas, de cuánto se han quedado atrás. Y, ya saben, el modus operandi a lo largo del tiempo ha sido, como mencioné, buscar una seguridad suficientemente buena en lugar de la seguridad de primer nivel.
Hoy en día, con los hackers y el nivel de sofisticación que tienen, lo suficientemente bueno no es suficiente.
Thompson: Usted escribió sobre la necesidad de la higiene cibernética como parte de esto también, porque a veces le damos a alguien las llaves del Ferrari y no le enseñamos a conducir. ¿Está viendo que la gente entiende esta necesidad también, de modo que cuando otorgan financiamiento para banda ancha, también otorgan más financiamiento y financiamiento continuo para cosas como la higiene cibernética y la seguridad informática?
Rand: Bueno, creo que es un proceso de educación constante para el equipo de seguridad informática, los CISOs, para comunicar continuamente la importancia de incorporar la seguridad en todo lo que se hace desde el punto de vista tecnológico.
Desde el principio—he estado en alta tecnología durante muchísimo tiempo, ya saben, más tiempo del que me gustaría admitir—e incluso en las industrias de alta tecnología, la seguridad puede ser una ocurrencia tardía. Puede ser una casilla de verificación, ¿saben? Estás desarrollando un producto, y avanzas con él, y luego al final dices, oh espera, ¿cómo vamos a proteger esto? Porque te emocionas tanto con el producto y, ya saben, es simplemente la naturaleza humana. Y creo que eso ocurre a nivel estatal.
Y en su punto, si van a hacer cualquier tipo de transformación digital o van a comenzar a implementar banda ancha o, en este caso, simplemente están tratando de actualizar su infraestructura de TI a nivel local, la seguridad tiene que estar integrada en su estrategia, en su plan, desde el principio.
Thompson: Usted dijo que también estuvo en Microsoft, y hubo un momento en que yo estaba allí, y básicamente dijimos, OK, ahora tenemos que empezar con la seguridad como número uno y desarrollar productos. Y pueden ver cómo ha funcionado eso—¡todavía hay agujeros! Pero esa es simplemente la naturaleza del software, cuando lo estás desarrollando. Vas a tener esas cosas, y los malos son más propensos a encontrarlas cuando [los productos] salen al mundo real que nosotros.
Mencionaste el financiamiento de la fed, hablamos de eso. Pero siempre sabemos que cada vez que la fed ofrece dinero, generalmente hay obstáculos y condiciones adjuntas.
Rand: Bueno, claro. En el artículo que acabo de escribir, así es como funciona este financiamiento de ciberseguridad como parte del proyecto de ley de infraestructura: Hay mil millones de dólares reservados que se supone deben dividirse entre 50 estados. Ahora, no todos los estados optarán por eso, pero imagina 50 estados tratando de compartir solo $1 mil millones para ciberseguridad. No es una gran cantidad de dinero. Pero es algo, ¿verdad?
Y durante los próximos cuatro años aproximadamente, se distribuirá en partes. Así que $200 millones estarán disponibles este año [2022], $400 millones en 2023, $300 millones en 2024, y otros $100 millones en 2025. Ahora, las reglas requerían que al menos 80% del dinero de las subvenciones fluyera hacia las localidades durante ese tiempo. Entonces los estados podrían estar buscando el financiamiento, pero tendrán que distribuirlo a las ciudades, a los condados, a las áreas tribales.
En otras palabras, eso significa que los estados tienen que igualar el dinero de la subvención con sus propios fondos, así que tienen que estar comprometidos, ¿verdad? El gobernador tiene que estar comprometido; tiene que ser parte del presupuesto.
Entonces los estados tienen que aportar 10% el primer año, y eso va a aumentar 10 puntos porcentuales cada año hasta 2025. Entonces también necesitan, como parte de esto, presentar un plan de ciberseguridad. Tienen que presentar este plan para obtener este dinero, y debe detallar exactamente cómo se va a distribuir el dinero y cómo se va a aplicar. Tienen que tener el aparato necesario para hacerlo.
Thompson: De acuerdo, Dave, explícamelo como si fuera un estudiante de quinto grado: soy un CIO o CISO estatal. ¿Qué debería estar haciendo ahora para obtener este dinero? ¿Cuál es el paso a paso?
Rand: Hay realmente cinco cosas que los estados podrían o deberían estar haciendo— esto es lo que mis fuentes me están diciendo.
En primer lugar, retomar ese plan de ciberseguridad. Puede que tengan uno, pero debe ser específico nuevamente para lo que van a hacer con el financiamiento del proyecto de ley de infraestructura. Debe detallar con los estados o cómo los estados van a elevar el nivel de seguridad en las localidades y áreas tribales.
Número dos, hablar con los locales. Los CISOs necesitan estar trabajando con las agencias locales ahora para no solo determinar qué harán desde el punto de vista de herramientas o dispositivos de punto final, sino también considerar cosas como aumentar el soporte de capacitación, o contratar proveedores de servicios de seguridad gestionados [MSSPs] para implementar mejoras de ciberseguridad. Eso es algo, por cierto, que Ryan Murray en Arizona me dijo que están considerando, traer MSSPs para ayudar.
Porque no todas las localidades, como usted señala, tienen personal interno. Quizás el conserje no sea suficiente para implementar una infraestructura de seguridad de confianza cero. Así que considerar los MSSPs sería una muy, muy buena decisión.
Tercero, educar a otras partes interesadas del gobierno. De nuevo, en cuanto a su punto, Doug, ya sabe, los gobernadores, los legisladores estatales y los administradores necesitan comprender la importancia de la ciberseguridad para prevenir ciberataques como el ransomware. Y necesitan actualizar la infraestructura de TI, la infraestructura de seguridad, lo antes posible. Al convertirlos en socios en estos esfuerzos, es posible aumentar los fondos disponibles con el tiempo.
En Arizona, por ejemplo, el presupuesto del gobernador Ducey reserva $10 millones para ayudar a los gobiernos locales y a los distritos escolares de K-12 a mejorar su postura de seguridad.
La cuarta cosa en la que pensar es, simplemente no se limite; piense en términos amplios. No se limite a mirar el dinero de este proyecto de ley de infraestructura y pensar que esa cantidad es demasiado pequeña para perder el tiempo persiguiéndola.
Es parte de la naturaleza humana pensar en eso y decir, vaya, es mucho trabajo durante cuatro años por una pequeña cantidad de dinero. Pero hay múltiples programas de financiamiento federal a los que los estados pueden acceder, y están surgiendo todo el tiempo. El Departamento de Seguridad Nacional, por ejemplo, anunció recientemente $1.6 mil millones en subvenciones de preparación para combatir el terrorismo, y hay un componente de financiamiento de ciberseguridad para ello. Arizona también está persiguiendo eso.
Lo último que mencionaría, y esto me sorprendió, es que potencialmente pueden asociarse con otros estados. Entonces, si CISA no lo prohíbe —y no hay razón para pensar que lo haría, pero siempre que no lo hagan— los estados pueden asociarse entre sí para compartir tiempo, dinero y recursos para combatir el delito cibernético a nivel regional en lugar de dentro de sus propios estados. Si entiendo bien, creo que Arizona está hablando con líderes gubernamentales en Texas y Nuevo México sobre hacer exactamente eso.
Thompson: ¿Cuáles son sus reflexiones finales sobre esto? ¿Algo que se le venga a la mente?
Rand: Hay muchas oportunidades para que los estados busquen financiamiento federal, y deberían hacerlo. Necesitan estar activamente involucrados, no desperdiciar una buena oportunidad, y pensar en ello de manera más amplia. De nuevo, asóciense con colegas en la legislatura estatal, asóciense con su gobernador. Piensen en asociarse con otros estados. Míralo regionalmente.
Ya sabes, Jennifer Pittman-Leeper, gerente de participación del cliente en Tanium, dijo que este financiamiento no es una varita mágica, pero es un comienzo, y las agencias gubernamentales tienen que empezar en algún lugar. Es bueno comenzar con este financiamiento del proyecto de ley de infraestructura si aún no has comenzado a analizar este tipo de programas.
Thompson: Gracias Dave, por compartir toda esa información crítica y oportuna.
He estado hablando con el galardonado periodista David Rand, quien escribe para la nueva revista de noticias de ciberseguridad en línea de Tanium. Puedes consultar esas historias en Tanium.com.
Si eres un CIO o CISO estatal y deseas obtener más información sobre cómo obtener este dinero federal o cómo mejorar tu higiene cibernética, consulta los enlaces en las notas del programa del podcast. Para escuchar más historias como esta, asegúrate de suscribirte a Let's Converge en tu aplicación de podcast favorita, como Apple Podcast o Spotify.
Gracias por su atención. Esperamos poder compartir más información sobre el mundo cibernético en el próximo episodio de « : Let’s Converge».
