Australia redobla su apuesta por la ciberseguridad tras los ataques

El gobierno australiano está trabajando en planes para reformar las leyes y regulaciones de ciberseguridad después de que el país se viera sacudido por una serie de graves violaciones de datos.

Los funcionarios del gobierno publicaron recientemente un documento de consulta que presenta propuestas concretas y solicita la opinión del sector privado sobre una estrategia proclamada para posicionar al país como líder mundial en ciberseguridad para 2030.

Además de cerrar las brechas en las leyes existentes sobre delitos cibernéticos, los legisladores australianos esperan enmendar la Ley de Seguridad de Infraestructuras Críticas (SOCI) de 2018 para poner un mayor enfoque en la prevención de amenazas, el intercambio de información y la respuesta a incidentes cibernéticos.

Las vulnerabilidades en las capacidades de respuesta a incidentes cibernéticos de Australia quedaron expuestas en el ciberataque al proveedor de telecomunicaciones Optus en septiembre de 2022, al que siguió un ataque basado en ransomware en octubre. Ataque a la compañía de seguros de salud Medibank.

Posteriormente quedaron expuestos millones de registros confidenciales, incluidos datos biométricos en licencias de conducir y fotografías de pasaportes. Los atacantes rastrearon una base de datos de Optus que contienen registros de consumidores; El Violación de Medibank Millones de registros de pacientes quedaron expuestos.

«Ambas violaciones se debieron a errores fundamentales y a una mala higiene cibernética y, por lo tanto, se pudieron prevenir», dijo Richard Sorosina, director técnico de seguridad de Qualys Australia y Nueva Zelanda.

La ciberresiliencia de Australia se puso a prueba en noviembre de 2023 cuando una interrupción a nivel nacional paralizó las redes fijas y móviles de Optus. Clientes sin acceso a internet. La interrupción se atribuyó a un problema con la actualización de la tabla de enrutamiento del Border Gateway Protocol (BGP).

Luego, días después, hubo un ciberataque masivo a la industria naviera que llevó a esto Interrupciones prolongadas en cuatro puertos australianos.

Reforma de la ciberestrategia

Los ciberataques a Optus, Medibank y los puertos del país fueron incidentes muy públicos que afectaron a ciudadanos y empresas, lo que impulsó la ciberseguridad a un lugar más alto en la agenda política del país. En respuesta, el gobierno australiano revisó su estrategia de ciberseguridad y lanzó el proceso de consulta sobre reformas legales y regulatorias.

Clare O’Neil, Ministra de Ciberseguridad de Australia, dijo en un comunicado que el gobierno estaba comprometido a trabajar con el sector privado para marcar el comienzo de una “nueva era de asociación público-privada para mejorar la ciberseguridad y la resiliencia de Australia”.

La nueva legislación de ciberseguridad propuesta por Australia cubre una amplia gama de medidas, incluido el requisito de estándares seguros para los dispositivos de Internet de las cosas (IoT), la introducción de una regla de notificación de ransomware, la creación de un requisito de «uso limitado» para el intercambio de información sobre incidentes y la introducción de una ley cibernética nacional. ​Junta de Revisión de Incidentes.

También en la agenda: reformas a la Ley de Seguridad de Infraestructuras Críticas de 2018, destinadas a abordar las deficiencias de ciberseguridad expuestas por violaciones recientes.

Estas revisiones incluyen brindar orientación más prescriptiva para industrias críticas como servicios públicos y telecomunicaciones, simplificar el intercambio de información, brindar orientación para programas de gestión de riesgos y consolidar requisitos de seguridad para el sector de telecomunicaciones bajo la Ley de Infraestructura Crítica SOCI.

El fundador, presidente y director de estrategia de Bugcrowd, Casey Ellis, dice que el gobierno australiano está tomando las medidas correctas. «El [Cyber Security Strategy] «El documento de consulta aborda la seguridad de IoT, la presentación de informes sobre ransomware, el intercambio de incidentes y la gestión, la presentación de informes y la rendición de cuentas de infraestructuras críticas, todos los cuales son sin duda puntos débiles de la política australiana», afirma Ellis.

Un país grande, grandes desafíos en materia de ciberseguridad

La enorme escala de Australia hace que sea difícil proteger la infraestructura crítica, particularmente para industrias estratégicas como la minería, que está muy dispersa y tiene sitios en ubicaciones remotas.

Mientras tanto, las empresas mineras, navieras y de otros servicios públicos se están alejando de las tecnologías heredadas y adoptando tecnologías basadas en Internet y IoT para gestionar y monitorear su infraestructura de manera más eficiente. Sin embargo, con la creciente transformación digital, los dispositivos obsoletos suelen estar expuestos a amenazas cibernéticas.

“Para garantizar que ataques como el de los puertos australianos sigan siendo aislados y no se conviertan en algo común, el Gobierno tiene razón al considerar cómo puede legislar una política para la infraestructura nacional crítica y mirar a otros países para aprender lecciones. Las superficies de ataque provienen de la convergencia TI/OT”, dice Shane Read, CISO de Goldilock, una startup de ciberseguridad física.

Sin embargo, Australia carece tanto del tamaño como de la población para hacerlo sola, por lo que los expertos independientes dicen que tiene sentido referirse a estándares globales bien conocidos siempre que sea posible.

“Australia ha recibido asesoramiento sobre política de ciberseguridad del Reino Unido, Estados Unidos y la UE”, señala Sorosina de Qualys.

Como muchos otros países, Australia está luchando por cerrar la brecha de habilidades en ciberseguridad.

Phillip Ivancic, líder de soluciones APAC en Synopsys Software Integrity Group, dice que hay una «gran escasez de ingenieros capacitados y profesionales de ciberseguridad» en Australia debido a la pequeña población en relación con el tamaño de la economía.

«Por lo tanto, la decisión del gobierno de imponer requisitos más estrictos y proporcionar orientación real basada en estándares y forzar cambios a través de mandatos debe ser bienvenida», dice Ivancic. «Simplemente no tenemos la escala para hacerlo solos, y establecer estándares internacionales que ya se utilizan ampliamente es el enfoque correcto».

Según Ivancic, las propuestas de políticas del gobierno carecen de elementos clave como controles en torno a las cadenas de suministro de software, como listas de materiales de software que enumeren los componentes que componen las aplicaciones. Se trata de una “brecha evidente”, afirma.

Grandes inversiones en ciberseguridad

El camino hacia una nación cibersegura no es responsabilidad exclusiva del gobierno. El sector privado de Australia reconoce su propio interés en mejorar las prácticas de ciberseguridad y, por lo tanto, está invirtiendo enormemente en mejorar las prácticas de seguridad de la información.

Las organizaciones australianas gastarán más de 7.300 millones de dólares australianos en productos y servicios de gestión de riesgos y seguridad de la información en 2024, un 11,5% más que en 2023. según Gartner. La seguridad en la nube experimentará el mayor aumento, alcanzando los 248 millones de dólares australianos (un aumento interanual del 26,9%).

El aumento del gasto se debió a una combinación de ciberataques de alto perfil y mayores obligaciones regulatorias, escribió Gartner.

Ellis, de BugCrowd, cree que los esfuerzos de Australia para convertirse en líder en ciberseguridad son alcanzables. «Australia siempre ha sido una nación de innovadores y transgresores y creo que el objetivo de convertirse en un líder mundial en ciberseguridad es ambicioso pero alcanzable».