La Administración Biden-Harris ha presentado recientemente la Estrategia Nacional de Ciberseguridad en respuesta a la creciente interconexión del mundo digital y a la creciente complejidad de los sistemas de software. Esta estrategia tiene como objetivo garantizar un ecosistema digital seguro y protegido del que todos los estadounidenses puedan hacer uso y beneficiarse. La conectividad digital impregna ahora casi todos los aspectos de nuestras vidas, vinculando las esferas personal y profesional, además de tender un puente entre los ámbitos digital y físico. A medida que los Estados-nación y los actores maliciosos continúan lanzando ciberataques, el Gobierno se compromete a transformar su enfoque para hacer frente a estas amenazas persistentes, garantizando que nuestro ecosistema digital sea robusto, resiliente y coherente con nuestros valores fundamentales.
Aunque la Administración ya ha dado pasos importantes hacia estos objetivos, el nuevo enfoque se centra en cinco pilares en los que podemos desarrollar y reforzar la colaboración: defender las infraestructuras críticas, desarticular y desmantelar a los actores que suponen una amenaza, orientar las fuerzas del mercado para impulsar la seguridad y la resiliencia, invertir en un futuro resiliente y forjar alianzas internacionales para alcanzar objetivos comunes. Todos estos pilares son esenciales, y al comenzar por la defensa deuna infraestructura crítica ee podemos garantizar al pueblo estadounidense nuestro compromiso con la protección de estos dieciséis sectores y los servicios esenciales que prestan.
Proteger las infraestructuras críticas
Debemos establecer requisitos de ciberseguridad (Objetivo 1.1) para respaldar la seguridad nacional y la seguridad pública. Esta estrategia puede dar lugar a un mayor número de normativas en sectores críticos que se ajusten a las normativas existentes en otras áreas. Aunque no todos los sectores requieren los mismos requisitos de ciberseguridad, garantizar que las normativas sean coherentes y predecibles puede reducir la carga que supone su cumplimiento. El objetivo de las normativas existentes y nuevas es fomentar y exigir mejores prácticas de ciberseguridad a gran escala. Además, los requisitos de ciberseguridad deben dar prioridad a tecnologías clave que demuestren su eficacia basándose en datos contrastados —como la tecnología Deep Content Disarm and Reconstruction Deep CDR™) para eliminar las amenazas cibernéticas y garantizar un enfoque integral y fiable de la ciberseguridad— en lugar de centrarse en la capacidad de las empresas de ciberseguridad para comercializar sus soluciones.
La escala es fundamental para esta estrategia, al igual que la colaboración (Objetivo 1.2). Para hacer frente de manera eficaz a las amenazas avanzadas a gran escala, es necesaria una mayor colaboración entre el sector público y el privado. Tal y comose destaca en el documento estratégico, la campaña «Shields Up», relacionada con la guerra de Rusia contra Ucrania, aumentó el nivel de preparación y promovió medidas eficaces para combatir las actividades maliciosas. Los esfuerzos futuros deben replicar esta colaboración e incluir a aliados internacionales y a la población civil para invertir en un futuro más resiliente, que no dependa de la vigilancia constante de pequeñas organizaciones y ciudadanos individuales. Las entidades del sector privado que colaboren estrechamente con las agencias federales pueden permitir una respuesta más rápida y coordinada para minimizar el impacto de los ataques contra infraestructuras críticas o, preferiblemente, incluso prevenirlos. Espero que la colaboración sea abierta y cooperativa, y que dé prioridad a las empresas estadounidenses para fomentar el crecimiento y la innovación dentro del país.
Ya existen múltiples departamentos y organismos encargados de respaldar la defensa de las infraestructuras críticas. La nueva estrategia pretende integrar los centros federales de ciberseguridad (Objetivo 1.3), creando nodos de colaboración para impulsar la coordinación intragubernamental. LaColaboración Conjunta para la Ciberdefensa (JCDC) de la Agencia de Seguridad Cibernética y de Infraestructuras (, CISA) constituye un primer paso para alcanzar este objetivo mediante la integración de la planificación y las operaciones de ciberdefensa. La JCDC lleva a cabo esta labor en todo el Gobierno federal y en colaboración con socios internacionales y el sector privado. Aunque aún queda trabajo por hacer, estos centros ofrecen más oportunidades de colaboración y permiten que los centros compartan información oportuna, relevante y útil con los socios del sector privado. Y para que sean más eficaces, esperamos que el Gobierno federal dé a conocer los objetivos, los indicadores y las actividades no confidenciales y no sensibles de estos centros.
Aunque el sector privado suele ser capaz de mitigar los incidentes cibernéticos sin ayuda federal, el nuevo objetivo es ofrecer una respuesta unificada cuando sea necesario. Esto implica una actualización de los planes y procesos federales de gestión de incidentes (Objetivo 1.4), de modo que las organizaciones sepan a qué organismo gubernamental deben dirigirse cuando sean objeto de amenazas cibernéticas. Las organizaciones también deben saber qué tipo de apoyo pueden esperar del Gobierno federal. Con ese fin, la CISA está liderando un proceso para actualizar elPlan Nacional de Respuesta a Incidentes Cibernéticos (NCIRP)de la Agencia de Seguridad de la Infraestructura y las Comunicaciones () en un esfuerzo por reforzar los procesos, procedimientos y sistemas.La Ley de Notificación de Incidentes Cibernéticos en Infraestructuras Críticas de 2022 (CIRCIA) exige que los incidentes cibernéticos cubiertos se notifiquen a la CISA en cuestión de horas por parte de las entidades cubiertas que forman parte de infraestructuras críticas. Esta notificación rápida acelera la identificación de la causa de los incidentes y ayuda a tomar decisiones rápidas y fundamentadas. En general, se trata de una iniciativa loable, pero espero que se puedan divulgar algunos aspectos clave de los incidentes cibernéticos notificados para que podamos aprender a prevenir las amenazas. Este enfoque nos permitiría pasar del ciclo típico de detección y respuesta a una mentalidad más proactiva centrada en la prevención.
Por último, la estrategia tiene como objetivo modernizar las defensas federales (Objetivo 1.5). El Gobierno federal depende de las comunicaciones, de una información resiliente y segura, y de la tecnología y los servicios operativos para desempeñar sus funciones. En este complejo entorno digital, esto significa que los sistemas del Gobierno federal deben modernizarse para garantizar que sus redes sean a la vez resilientes y defendibles. Parte de estos esfuerzos de modernización incluyen la aplicación de principios de confianza cero para contrarrestar las amenazas dentro y fuera de los límites tradicionales de la red. Es una iniciativa fantástica, y espero que incorpore tecnologías como la tecnología Deep CDR™, la evaluación del país de origen, y garantice que el enfoque de confianza cero vaya más allá de la mera sustitución de las VPN para crear una estrategia de ciberseguridad más completa y robusta.
El modelo «Zero Trust» en los sectores público y privado
Al hacer que sus propios sistemas sean más seguros y resilientes, el Gobierno federal puede garantizar una defensa más eficaz de las infraestructuras críticas. Esto comienza con una estrategia de arquitectura de confianza cero, al tiempo que se moderniza la infraestructura de TI y TO. Un enfoque de confianza cero traslada las defensas de los perímetros basados en la red a uno basado en los recursos, los usuarios y los activos. Las cadenas de suministro, incluida la cadena de suministro de software, también deben adoptar los principios de confianza cero y no dar por sentada ninguna confianza implícita basada en la ubicación física o en la red.
Este enfoque se centra más en prevenir los ataques, garantizando que tanto la autenticación como la autorización se produzcan antes de establecer una conexión con datos o sistemas protegidos. A medida que el software se ha vuelto cada vez más complejo e interconectado, la ciberseguridad debe abarcar la nueva realidad de los usuarios remotos, las tendencias de «trae tu propio dispositivo» (BYOD) y el acceso a activos basados en la nube. Aunque el enfoque se centra más en la prevención que en la detección, parte de los objetivos de esta estrategia son aumentar la resiliencia y la fiabilidad cibernéticas generales, incluso cuando se produce un intento de ataque.
Todas estas iniciativas se basan en la formación de personal cualificado en el ámbito cibernético para probar, proteger, analizar y modernizar nuestra ciberseguridad nacional. Si bien la protección de los datos y la garantía de la fiabilidad de los sistemas críticos es responsabilidad de los propietarios y operadores de dichos sistemas, la colaboración entre los proveedores de tecnología, los sistemas de infraestructuras críticas y las agencias federales puede ayudarnos a mantener nuestros datos a salvo y a garantizar que funcionemos como una sociedad libre e interconectada.
¿Quieres saber más sobre cómoprotege OPSWAT las infraestructuras críticas? Ponte en contacto con uno de nuestros expertos en ciberseguridad.
