La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. ha publicado un plan para armonizar las “capacidades de defensa operativa colectiva” de las agencias federales para reducir sus riesgos cibernéticos. El objetivo del plan es tener defensas cibernéticas más sincronizadas y sólidas, mejorar las comunicaciones y mejorar la agilidad y resiliencia del gobierno federal.
En la mayoría de los casos, las agencias federales han desarrollado sus propias capacidades de defensa en función de las amenazas que enfrentan. Como resultado, no todas las agencias gestionan los riesgos de manera efectiva y no existe una “postura de seguridad básica consistente o uniforme”, según CISA. Esta disparidad significa que a pesar de las inversiones en ciberseguridad, las agencias siguen siendo vulnerables a las amenazas.
«La defensa operativa colectiva es necesaria para reducir adecuadamente los riesgos que enfrentan más de 100 agencias de la FCEB y para responder a las amenazas cibernéticas dinámicas a los servicios y datos gubernamentales», dijo CISA.
En el Plan de Alineación Operacional de Ciberseguridad (FOCAL) del Poder Ejecutivo Civil Federal (FCEB), CISA define tanto los «conceptos amplios de la organización federal de ciberseguridad» como la orientación táctica que las agencias deben implementar. El plan cubre las actividades y procesos diarios que las organizaciones deben utilizar para defender sus sistemas de información y datos, y cubre cinco áreas: gestión de activos, gestión de vulnerabilidades, arquitectura defendible, gestión de riesgos de seguridad en la cadena de suministro cibernético y respuesta a incidentes. También define objetivos de seguridad colectiva para la empresa y proporciona un marco para apoyo y servicios coordinados.
Esto no pretende proporcionar una lista completa o exhaustiva de todo lo que una agencia debe lograr.
«Las acciones del Plan FOCAL dirigen y guían a las agencias de la FCEB hacia una ciberseguridad operativa eficaz y colaborativa y generarán resiliencia», dijo Jeff Greene, subdirector ejecutivo de ciberseguridad de CISA. dicho en un comunicado.
Los componentes centrales de FOCAL son «sólidos», dice John Vecchi, estratega de seguridad de Phosphorus Security. Existen «disparidades muy grandes» entre las agencias en términos de madurez y cultura cibernética, pero estas agencias pueden lograr una «postura de ciberseguridad más consistente y una higiene de seguridad básica» si se implementan los principios básicos de FOCAL, dice Vecchi.
Sin embargo, completar una tarea de esta magnitud puede ser un desafío, señala Vecchi. Los equipos de TI de las agencias siempre necesitan el personal, el conocimiento y las habilidades para implementar e implementar tecnologías y procesos. La gran cantidad de herramientas de seguridad necesarias para lograr diferentes elementos del plan podría plantear desafíos para los equipos de seguridad de las agencias. Si bien es esencial centrarse en la aplicación de parches y la gestión de vulnerabilidades, ambas áreas son difíciles de implementar a escala.
También es importante recordar que alrededor de un tercio de los activos de estas agencias se componen de dispositivos inteligentes, Internet de las cosas, tecnología operativa y dispositivos integrados, afirma Vecchi. Este tipo de sistemas a menudo no cumplen con las normas de seguridad e higiene.
«La asignación de recursos ciertamente será un problema aquí, pero creo que la gran cantidad de equipos dispares y las diferencias culturales entre agencias presentarán un desafío aún mayor y más inmediato», dice Vecchi. “Puede resultar bastante difícil para diferentes equipos dentro de la misma agencia colaborar de manera efectiva, y mucho menos para la multitud de agencias y redes únicas e independientes. »
