La Casa Blanca publica una ambiciosa estrategia nacional de ciberseguridad
La Casa Blanca publicó su tan esperado Estrategia nacional de ciberseguridad, un documento exhaustivo que propone cambios fundamentales en la asignación de «funciones, responsabilidades y recursos en el ciberespacio» en Estados Unidos. La estrategia fue fruto de meses de debates entre más de 20 organismos gubernamentales y de innumerables consultas con organizaciones del sector privado. Abarca prácticamente todas las vulnerabilidades y retos inherentes a la ciberseguridad, desde las vulnerabilidades del software hasta las de la infraestructura de Internet, pasando por la escasez de personal cualificado.
El cambio más importante que se propone en la estrategia es un nuevo intento de reequilibrar la responsabilidad en materia de riesgos cibernéticos, exigiendo a los proveedores de software que asuman una mayor responsabilidad por la seguridad de sus productos. La estrategia también amplía los requisitos mínimos obligatorios en materia de ciberseguridad para los sectores críticos. Además, establece un enfoque más integral y coordinado para reforzar la capacidad del Mando Cibernético de EE. UU. de participar en operaciones ofensivas, y se basa en la política de defensa que se puso en marcha durante la anterior administración.
La estrategia no es más que la última iniciativa de una serie de medidas adoptadas por el Gobierno de Biden-Harris para hacer frente al creciente número de amenazas a la ciberseguridad y dotar a EE. UU. de los medios necesarios para defenderse mejor frente a los adversarios cibernéticos. «La estrategia se basa en dos años de atención sin precedentes que el presidente ha dedicado a las cuestiones cibernéticas», afirmó Kemba Walden, directora nacional de ciberseguridad en funciones, durante una Caso en CSIS. «El reglamento de aplicación de mayo de 2021 marcó la pauta y obligó al Gobierno a mejorar considerablemente nuestra defensa y a aprovechar nuestro poder de compra para impulsar mejoras en el ecosistema en general».
La asesora adjunta de Seguridad Nacional para Ciberseguridad y Nuevas Tecnologías, Anne Neuberger, declaró en el mismo acto: «Han podido comprobar cómo el Gobierno de Biden-Harris aborda los nuevos ámbitos tecnológicos prestando especial atención a la seguridad. El principio fundamental de la estrategia establece que necesitamos un ciberespacio abierto, seguro e interoperable. Es posible lograrlo. Lo haremos junto con nuestros socios del sector privado y de países de todo el mundo».
Proteja las infraestructuras críticas
La estrategia se basa en cinco «pilares» en torno a los cuales se articula. El primer pilar de la estrategia es el aumento de la seguridad mediante una mayor regulación de las infraestructuras críticas. «La falta de requisitos vinculantes ha dado lugar a resultados insuficientes y contradictorios», se afirma en la estrategia. «El mercado actual no recompensa lo suficiente —y a menudo penaliza— a los propietarios y operadores de infraestructuras críticas que invierten en medidas proactivas para prevenir o mitigar los efectos de los ciberincidentes».
Con el fin de garantizar una mayor protección, el Gobierno federal recurrirá a las autoridades jurídicas existentes para establecer requisitos de rendimiento y de ciberseguridad para las organizaciones con infraestructuras críticas, utilizando para ello marcos normativos como el Marco de ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST)., entre otros. Allí donde no existan estas autoridades, el Gobierno espera colaborar con el Congreso para aprobar leyes que permitan su creación.
Dado que muchas organizaciones de infraestructuras críticas dependen de la computación en la nube, la Administración identificará las deficiencias existentes en el sector de la computación en la nube y en otros proveedores externos clave. Además, la Administración seguirá tratando de armonizar sus requisitos con los compromisos internacionales y, al mismo tiempo, instará a los organismos reguladores estatales a que consideren fuentes de financiación para cumplir dichos requisitos.
Este pilar también refuerza los objetivos, a menudo citados, pero que rara vez se llevan a cabo en su totalidad: reforzar la colaboración público-privada para mejorar la ciberseguridad, fomentar una mejor integración de la ciberseguridad por parte de los organismos y departamentos gubernamentales, elaborar planes federales actualizados de respuesta a incidentes y modernizar la defensa nacional.
Interrumpir y desarticular a los actores maliciosos
El segundo pilar de la estrategia tiene como objetivo desarticular y neutralizar a los actores maliciosos cuyas acciones amenazan la seguridad nacional de EE. UU. En él se formulan planes para desarrollar una estrategia actualizada del Departamento de Defensa, con el fin de aclarar cómo el Mando Cibernético de EE. UU. y otras ramas del Departamento de Defensa integrarán las operaciones en el ciberespacio para defenderse de forma proactiva frente a actores estatales y no estatales que representen una amenaza a nivel estratégico para EE. UU. El objetivo es facilitar operaciones continuas y coordinadas a través de la Fuerza Operativa Conjunta Nacional de Investigación Cibernética (NCIJTF) para llevar a cabo campañas de desactivación en todo el ámbito gubernamental.
En lo que respecta al ransomware, que la estrategia considera una amenaza para la seguridad nacional, el Gobierno se ha comprometido a poner en marcha campañas de desactivación. El Grupo de Trabajo Conjunto contra el Ransomware, dirigido conjuntamente por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), «coordinará, neutralizará y sincronizará» las operaciones existentes para interrumpir las actividades de ransomware.
La estrategia también prevé mejorar la cooperación operativa entre el sector público y el privado, aumentar la rapidez y el alcance del intercambio de información y la notificación a las víctimas, impedir el uso indebido de las infraestructuras estadounidenses y, en general, combatir la ciberdelincuencia y las amenazas de ransomware.
Aprovechar las fuerzas del mercado para fomentar la seguridad y la resiliencia
El aspecto más importante de este pilar es un cambio en la responsabilidad por los productos y servicios de software inseguros. «Demasiados proveedores ignoran las buenas prácticas de desarrollo seguro, suministran productos con configuraciones predeterminadas inseguras o con vulnerabilidades conocidas e integran software de terceros de origen desconocido o no verificado», se afirma en la estrategia. «Los fabricantes de software pueden aprovechar su posición en el mercado para excluir por completo la responsabilidad mediante cláusulas contractuales, lo que reduce aún más su incentivo para seguir los principios de “Secure-by-Design” o realizar pruebas previas al lanzamiento».
El Gobierno propone trasladar la responsabilidad a los fabricantes de software que no adopten las medidas adecuadas para garantizar la seguridad de sus productos, y alejarla de los usuarios finales, que «con demasiada frecuencia sufren las consecuencias del software inseguro». Para alcanzar este objetivo, el Gobierno colaborará con el Congreso y el sector privado con el fin de crear un marco de «puerto seguro» que proteja de la responsabilidad a las empresas que desarrollen y mantengan sus productos de forma segura. El «puerto seguro» se basará en el Marco de Desarrollo de Software Seguro del NIST y otros trabajos.
La Administración también fomentará la divulgación coordinada de vulnerabilidades en todas las tecnologías e impulsará el desarrollo de listas de componentes de software (SBOM)y la creación de un proceso para identificar y mitigar los riesgos en el software ampliamente utilizado y sin soporte técnico.
La estrategia describe además cómo la Administración seguirá esforzándose por mejorar la seguridad del IoT, ofrecer subvenciones federales y otros incentivos para reforzar la seguridad, utilizar la contratación pública federal para mejorar la rendición de cuentas y estudiar la posibilidad de establecer un mecanismo de respaldo federal para hacer frente al aumento de los costes de los seguros cibernéticos.
Invertir en un futuro resiliente
El cuarto pilar de la estrategia insta al Gobierno federal a «aprovechar las inversiones públicas estratégicas en innovación, I+D y educación para impulsar resultados que sean económicamente sostenibles y redunden en el interés nacional». Hace referencia a diversos programas existentes, incluidos los programas «Regional Innovation Engine» de la Fundación Nacional para la Ciencia, al tiempo que colabora con otros países para optimizar las tecnologías de ciberseguridad.
El aspecto más destacable de esta parte de la estrategia es el plan para reforzar el personal de ciberseguridad y abordar la falta de diversidad entre los expertos en ciberseguridad. Con este fin, la Oficina del Director Nacional de Ciberseguridad dirigirá el desarrollo y la aplicación de una estrategia nacional de mano de obra y formación en ciberseguridad. La estrategia se basará en los esfuerzos ya existentes desarrollados por la Iniciativa Nacional para la Educación en Ciberseguridad (NICE) y otras entidades.
El Gobierno también tiene previsto participar en una «operación de limpieza» para mitigar los problemas más acuciantes que afectan a las tecnologías fundamentales de Internet, como, por ejemplo, Asimismo, dará prioridad a la transición de los sistemas de redes públicas vulnerables a una tecnología resistente a la computación cuántica, e instará al sector privado a seguir su ejemplo. Otras iniciativas incluidas en este pilar son la aceleración de la adopción de tecnologías que garanticen un futuro con energía limpia y el fomento de la inversión en soluciones de identidad digital robustas y verificables.
Mejorar la cooperación operativa entre los sectores público y privado para desbaratar los planes de los adversarios
El quinto pilar de la estrategia tiene como objetivo unir al sector público y al privado para obtener una mejor visión de las actividades de los adversarios. Se anima a los socios del sector privado a colaborar con el Gobierno federal a través de una o varias organizaciones sin ánimo de lucro, como la National Cyber-Forensics and Training Alliance y otras, con el fin de llevar a cabo una cooperación operativa.
También tiene como objetivo acelerar el intercambio de información y la notificación a las víctimas, coordinándose con las agencias sectoriales de gestión de riesgos (SRMA) para identificar las necesidades de información y las prioridades, y desarrollar procesos para intercambiar alertas, indicadores técnicos y otra información con gobiernos y organizaciones no gubernamentales asociadas. Al mismo tiempo, el Gobierno federal también revisará la clasificación de la información para proporcionar a los propietarios y operadores de infraestructuras críticas información más fácilmente aplicable.
El Gobierno también colaborará con proveedores de infraestructura en la nube y otros proveedores para identificar más rápidamente el uso malintencionado de la infraestructura con sede en EE. UU. Estados Unidos también trabajará para combatir la ciberdelincuencia y el ransomware, utilizando todos los elementos del poder nacional para hacer frente a estas amenazas.
Elogios matizados por el realismo
Los expertos elogiaron la estrategia en general, pero expresaron su preocupación por la capacidad del Gobierno para llevar a cabo una agenda tan ambiciosa. «Creo que es una estrategia bien elaborada», afirma Michael Daniel, presidente y director ejecutivo de la Cyber Threat Alliance, en declaraciones a CSO. «Me alegra mucho que hayan podido obtener un documento estratégico sustancial a partir del proceso interinstitucional, ya que eso no siempre es algo que se dé por sentado».
«De hecho, aborda algunos problemas difíciles que llevan mucho tiempo presentes en este ámbito, así que no tiene miedo de meterse de lleno en ellos», afirma Daniel. «Y algunos ejemplos de ello son, por ejemplo, el hecho de que se trate de imponer requisitos vinculantes y, con ello, comience a abordar cuestiones relacionadas con la responsabilidad de los fabricantes de software».
«Acogemos con satisfacción la iniciativa de seguir modernizando las tecnologías de la información del Gobierno federal, actualizar los planes y procesos de respuesta ante incidentes a nivel federal y mejorar la colaboración entre el sector público y el privado», afirma Lauren Van Wazer, vicepresidenta de Política Pública Global de Akamai, en declaraciones a CSO. «Todo ello contribuirá a reforzar nuestras defensas colectivas en materia de ciberseguridad». Sin embargo, añade: «Se trata de un programa ambicioso que llevará tiempo, y gran parte del mismo requerirá nuevas leyes. Sin un segundo mandato, el Gobierno dispone de menos de dos años para poner en práctica una estrategia que exige tanto nuevas leyes como normativa».
Megan Stifel, directora de estrategia del Instituto para la Seguridad y la Tecnología, afirma a CSO: «Creo que las dos prioridades principales consisten en reequilibrar la responsabilidad en la defensa del ciberespacio y reflexionar sobre los incentivos. Hace tiempo que se debería haber adoptado este enfoque para abordar estos problemas». Sin embargo, probablemente será una tarea ardua conseguir que el Congreso apruebe las autorizaciones necesarias. «Creo que no esperaría mucho de la legislación, y así debería ser», afirma.
«Quieren hacer algunas cosas creativas en lo que respecta a la colaboración, y me parece estupendo. Es un documento bien elaborado, y creo que tienen por delante una gran tarea», afirma Megan Brown, socia de Wiley, en declaraciones a CSO. Pero Brown dice que está decepcionada en qué medida la estrategia está sujeta a la normativa Es. Refiriéndose a la confianza que la Administración deposita en las autoridades jurídicas existentes para imponer nuevos requisitos al sector de los oleoductos y el ferrocarril, «considero que estas normas distan mucho de ser perfectas y no constituyen un buen modelo para intentar extenderlas al resto de la economía».
Copyright © 2023 IDG Communications, Inc.
Hemos recibido este contenido sobre ciberseguridad de: CSO Online
Encontrarás la noticia original en el siguiente enlace: https://www.csoonline.com/article/3689911/white-house-releases-an-ambitious-national-cybersecurity-strategy.html#tk.rss_news
