La tormenta de complacencia en ciberseguridad de Washington

COMENTARIO

Las recientes revelaciones sobre el Grupo de ciberespionaje Salt Typhoon Los ataques a las principales empresas de telecomunicaciones estadounidenses, incluidas Verizon, AT&T y Lumen Technologies, revelan una debilidad sistémica en el enfoque estadounidense de la ciberseguridad. Este incidente no fue sólo un ataque aislado; Es una crítica a la respuesta inadecuada del gobierno de Estados Unidos a las crecientes amenazas cibernéticas de empresas respaldadas por el estado como China. A pesar de años de advertencias y numerosas violaciones de alto perfil, la política de ciberseguridad del gobierno sigue siendo reaccionaria, fragmentada y decepcionante.

Los defectos críticos de la estrategia de ciberseguridad de EE. UU.

Los ataques de Salt Typhoon a los sistemas utilizados para la recopilación de inteligencia gubernamental incluidos los esenciales para las funciones de vigilancia e interceptaciónEs un ataque descarado a la infraestructura digital más sensible de Estados Unidos. Revela un defecto crucial: la falta de medidas sólidas y proactivas para proteger sistemas tan críticos. ¿Cómo logró un grupo extranjero respaldado por el Estado penetrar estos sistemas y potencialmente pasar desapercibido durante meses? La respuesta está en una supervisión federal inadecuada, una inversión inadecuada en activos de defensa de última generación y una dependencia excesiva de las empresas privadas para la autovigilancia.

Históricamente, los gigantes de las telecomunicaciones estadounidenses han disfrutado de poca supervisión regulatoria y, a menudo, han abogado por menores obligaciones y responsabilidades. El gobierno, a su vez, adoptó un enfoque de laissez-faire y confió a estas empresas la gestión de su ciberseguridad. Este modelo es fundamentalmente defectuoso. Cuando las empresas privadas priorizan las ganancias sobre las fuertes medidas de seguridad, abren la puerta a adversarios como Salt Typhoon para explotar vulnerabilidades. Los sistemas comprometidos en Verizon, AT&T y Lumen Technologies ilustran los riesgos que surgen cuando empresas con implicaciones tan enormes para la seguridad nacional operan sin estándares de ciberseguridad estrictos y exigibles.

La indignación de los legisladores: demasiado poco y demasiado tarde

A raíz de la infracción del tifón de sal, los legisladores estadounidenses han comenzado a exigir respuestas de las empresas afectadas, exigiendo una mayor responsabilidad y presionando a los reguladores federales para que adopten normas más estrictas. Si bien esta indignación posterior a la filtración puede parecer una respuesta contundente, es otro capítulo del ciclo de respuesta que define la política estadounidense de ciberseguridad. En lugar de solucionar las vulnerabilidades sistémicas antes de que sean explotadas, las autoridades y los legisladores federales están volviendo a ponerse al día.

La realidad es que actores sofisticados y respaldados por el Estado, como Salt Typhoon, probablemente hayan estado investigando y comprometiendo infraestructura crítica de Estados Unidos sin ser detectados ni cuestionados durante años. La pregunta no es sólo por qué ocurrió esta violación, sino también por qué el gobierno de Estados Unidos sigue reaccionando después del hecho. El problema va más allá de las empresas individuales afectadas: este patrón refleja un fracaso mucho más grave en Washington a la hora de desarrollar una estrategia de ciberseguridad proactiva, coherente y con buenos recursos.

La ilusión de la supervisión federal

Según se informa, las agencias federales, incluido el FBI y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), están investigando el alcance de estas violaciones. Sin embargo, estas investigaciones a menudo carecen del impacto y alcance necesarios para lograr un cambio real. A pesar de los recursos y la experiencia de agencias como CISA, tienen una capacidad limitada para hacer cumplir los requisitos o imponer sanciones importantes a las empresas que no cumplen con los puntos de referencia de ciberseguridad. Este enfoque de línea dura sólo envalentona a los opositores que saben que las empresas estadounidenses no están adecuadamente protegidas y los mecanismos de respuesta del gobierno son limitados.

Además, la fragmentación de la supervisión federal complica una estrategia de defensa integral. Dado que múltiples agencias comparten responsabilidad pero falta un enfoque unificado y coordinado, las brechas en las capacidades de respuesta son inevitables. Las filtraciones en Verizon, AT&T y Lumen Technologies deberían servir como una llamada de atención: el modelo regulatorio actual no puede seguir el ritmo de la complejidad de las ciberamenazas patrocinadas por el Estado.

La necesidad de un cambio de paradigma

Estados Unidos debe abandonar su enfoque obsoleto e ineficaz de la regulación de la ciberseguridad para abordar estas vulnerabilidades. Estos son los pasos clave que el gobierno debería tomar:

El precio de la complacencia

La violación del Salt Typhoon es sólo el último capítulo de una serie de incidentes de ciberespionaje que han expuesto las deficiencias del marco de ciberseguridad de Estados Unidos. Si este patrón de complacencia y política reaccionaria continúa, no pasará mucho tiempo antes de que otro ataque no sólo comprometa la capacidad de recopilar información sino que también potencialmente paralice la infraestructura crítica. Hay demasiado en juego para que los legisladores y las agencias federales sigan operando exactamente con este nivel de inercia y negligencia.

Si Washington realmente quiere proteger los activos más importantes de la nación, debe repensar sus políticas de ciberseguridad y priorizar medidas proactivas, coordinadas y ejecutables. De lo contrario, Estados Unidos seguirá respondiendo, en lugar de prevenir, los ataques que socavan su seguridad nacional y su posición global.

No te pierdas la oferta gratuita Evento virtual de lectura oscura“Conozca a su enemigo: comprensión de los ciberdelincuentes y los actores de amenazas de los Estados-nación”, 14 de noviembre a las 11 a. m., hora del Este. No se pierda las sesiones sobre cómo comprender MITRE ATT&CK, cómo utilizar la seguridad proactiva como arma y una clase magistral de respuesta a incidentes. y una gran cantidad de oradores de primer nivel, entre ellos Larry Larsen de Navy Credit Federal Union, el ex analista de Kaspersky Lab Costin Raiu, Ben Read de Mandiant Intelligence, Rob Lee de SANS y Elvia Finalle de Omdia. Regístrate ahora!