La iniciativa de infraestructura crítica “Shields Ready” combate los inevitables ciberataques

El gobierno de Estados Unidos ha emitido una serie de regulaciones para preparar a los operadores de infraestructura crítica para desastres, ataques físicos y ciberataques, con énfasis en la capacidad de recuperarse de interrupciones en el futuro.

La iniciativa, denominada “Shields Ready”, tiene como objetivo convencer a 16 sectores de infraestructura críticos identificados para que inviertan en reforzar sus sistemas y servicios contra interrupciones de cualquier tipo, independientemente de la causa. El esfuerzo, liderado tanto por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) como por la Agencia Federal para el Manejo de Emergencias (FEMA), anticipa que se producirán ataques y desastres y pide a los operadores de infraestructura crítica que respondan para prepararse para mantener los servicios en funcionamiento.

La interconexión de los 16 sectores de infraestructura críticos y la cadena de suministro de la que dependen significa que la preparación es fundamental, dijo Jen Easterly, directora de CISA.

«La infraestructura crítica de nuestra nación -desde escuelas hasta hospitales e instalaciones de agua- debe tener las herramientas y recursos para responder y recuperarse de las interrupciones», dijo. dijo en un comunicado. «Al tomar medidas para prepararse para los incidentes de hoy, la infraestructura crítica, las comunidades y las personas pueden estar mejor preparados para recuperarse del impacto de las amenazas del mañana y del futuro».

Las amenazas a la infraestructura crítica han aumentado en los últimos años, con perturbaciones provocadas por grandes desastres (como los incendios forestales de California y la pandemia de coronavirus) y ataques cibernéticos. En los últimos cinco años, por ejemplo, la empresa farmacéutica Merck sufrió un gran fracaso por el ciberataque NotPetya en 2017, mientras que este año su competidor Pfizer sufrió un ataque de tornado en un gran almacén, lo que provocó interrupciones en el suministro de determinados medicamentos. Y como es bien sabido, en mayo de 2021 el operador de oleoductos estadounidense Colonial Pipeline sufrió un ataque de ransomwaresuspendió sus servicios durante una semana, provocando escasez de gas en todo el sureste de Estados Unidos.

Una campaña anterior llamada “Shields Up” se centró en convencer a las organizaciones de infraestructura crítica para que tomaran medidas defensivas en respuesta a inteligencia sobre amenazas específicas. Shields Ready se trata de prepararse completamente para lo peor, dice Michael Hamilton, cofundador y CISO de Critical Insight, una firma consultora de ciberseguridad.

«El mensaje oculto aquí es que está por llegar, y si miras alrededor del mundo, no es tan difícil de predecir», dice, señalando las advertencias periódicas del FBI y CISA a los controles industriales y proveedores de infraestructura crítica. «No es difícil sumar dos y dos y decir: sabes que el nivel de amenaza ha aumentado debido a las interrupciones en la infraestructura».

Iniciativas políticas para escudos listos

Un problema para la iniciativa es que muchas de las recomendaciones actuales son voluntarias e informativas. Desde noviembre, CISA ha sido designado Mes de la Resiliencia y la Seguridad de las Infraestructuras Críticas ha publicado un kit de herramientas para proveedores de infraestructura crítica, un documento de 15 páginas que cubre amenazas específicas, desafíos de seguridad y ejercicios de autoevaluación. También la agencia publicado el Marco de Planificación de la Resiliencia de la Infraestructura (IRPF) y orientación sobre el desarrollo de una cadena de suministro resiliente y la respuesta a un ciberataque.

Aún así, el esfuerzo carece de influencia regulatoria, dice Tom Guarente, vicepresidente de asuntos gubernamentales de Armis, una empresa de seguridad de tecnología operativa (OT).

«Realmente parece que se trata de desarrollar resiliencia comenzando con la conciencia situacional y hablando de la importancia del intercambio de información entre entidades públicas y privadas», dice. “Dicen que hay un conjunto de herramientas, pero el conjunto de herramientas parece consistir principalmente en directrices, ya sabes, documentos PDF. Así que la respuesta corta es: no sé qué resultará de la campaña Shields Ready”.

Aún así, es probable que sea imposible desarrollar pautas generales para los 16 sectores de infraestructura crítica bajo el paraguas de Shields Ready, por lo que no sorprende que el primer intento carezca de detalles, dice Danielle Jablanski, estratega de ciberseguridad OT en Nozomi Networks, un proveedor de ciberseguridad para redes OT. . Cada sector de infraestructura crítica tiene uno Agencia de Gestión de Riesgos Sectoriales Normalmente se trata del Departamento de Seguridad Nacional, pero en algunos casos el Departamento de Energía, Defensa, Salud y Servicios Humanos o Transporte es la SRMA designada que emitirá políticas y requisitos específicos del sector.

“Creo que hoy el gobierno está más en modo de auditoría”, dice. “Es importante recordar que la infraestructura crítica no es monolítica. No existe un plan, programa o medidas de control de seguridad uniformes que beneficien a los 16 sectores por igual”.

Promoción de la seguridad de las infraestructuras críticas: ¿zanahoria o palo?

Gran parte de este esfuerzo parece consistir simplemente en lograr que los ejecutivos de la industria se unan. Debido a que la seguridad sigue siendo un centro de costos (el impuesto de hacer negocios), las empresas naturalmente querrán minimizar estos gastos, razón por la cual probablemente serán necesarias medidas punitivas para implementar muchas de las recomendaciones, dice Hamilton de Critical Insight.

Responsabilizar a los ejecutivos por el desempeño de su empresa durante un desastre o un ciberataque (p. ej. la acusación contra el CISO de SolarWinds – ya ha sido un duro despertar para la industria, afirma.

«Después de informar a senadores, generales y gobernadores, descubrí que puedes hablar todo lo que quieras sobre los rusos aterradores, las cadenas de suministro, los desbordamientos de buffer y la inyección SQL y ellos simplemente pondrán los ojos en blanco», dice Hamilton. “Pero tan pronto como dices ‘negligencia gerencial’, tienes una audiencia. Eso es exactamente lo que está haciendo el gobierno: van a llamar negligentes a los altos dirigentes y eso está llamando la atención de todos”.