Lo que las empresas deben saber sobre la nueva estrategia de ciberseguridad de EE.UU.

El 2 de marzo de 2023, la administración Biden publicó su tan esperada Estrategia Nacional de Ciberseguridad. A la luz de los ciberataques dirigidos contra infraestructuras, empresas y agencias gubernamentales estadounidenses, el documento eleva la ciberseguridad a componente crítico de la prosperidad económica y la seguridad nacional de Estados Unidos. También insinúa un dilema fundamental, a saber, que el sector privado -cuyos principales stakeholder son las empresas de software, las pequeñas y medianas empresas, los proveedores de banda ancha y las compañías de servicios públicos- tiene la clave del bien público de la ciberseguridad: Las continuas interrupciones de las infraestructuras críticas y los robos de datos personales dejan claro que las fuerzas del mercado no han bastado por sí solas para impulsar una amplia adopción de las mejores prácticas en materia de ciberseguridad y resistencia. El progreso voluntario hacia una mejor ciberhigiene por parte del sector privado ya no es suficiente. En su lugar, la nueva estrategia promete apoyar nuevos marcos normativos que desplazarán la responsabilidad y crearán incentivos para que las empresas privadas se defiendan contra las vulnerabilidades críticas. Por qué un documento del sector público se fija en el sector privado El sector privado ha atraído la atención de un sector público receloso de la cibernética debido a una serie de incidentes cibernéticos de alto perfil en los últimos años. En 2017, la oficina de crédito al cliente Equifax sufrió un hackeo que comprometió la información personal de más de 143 millones de estadounidenses, lo que condujo a un acuerdo de 425 millones de dólares con la Comisión Federal de Comercio. Los actores maliciosos han empleado cada vez más el ransomware contra las empresas estadounidenses, exigiendo grandes sumas de dinero por el intercambio seguro de datos sensibles. El ransomware sigue siendo una táctica popular entre los hackers precisamente porque estas campañas a menudo han logrado generar lucrativos pagos. Según los análisis de Comparitech sobre incidentes de ransomware en todo EE.UU., los ataques de ransomware a empresas estadounidenses costaron 20.900 millones de dólares entre 2018 y 2023, con una demanda media de rescate de 4,15 millones de dólares para las empresas afectadas en 2022. Por ejemplo, Colonial Pipeline, que transporta 100 millones de galones de combustible al día, o el 45% de todo el combustible utilizado en la costa este, sufrió una devastadora brecha de ransomware en 2021, el mayor ataque a una infraestructura petrolera crítica estadounidense de la historia divulgado públicamente. El autor, DarkSide, robó 100 gigabytes de datos en dos horas, que amenazó con liberar a menos que la empresa pagara 75 bitcoins al grupo, por un valor aproximado de 5 millones de dólares en aquel momento, que Colonial Pipeline pagó a las pocas horas, chantajeada para actuar por lo disruptivo del ataque. Ninguna parte de la economía es inmune. Como indicaba una encuesta realizada en 2021 por el Centro de Estudios Estratégicos e Internacionales, el 42% de las pequeñas y medianas empresas sufrieron un ciberataque en el último año y las estimaciones sugieren que el 40% de los ciberataques de 2021 se concentraron en pequeñas y medianas empresas, con un crecimiento de los ataques a estas empresas del 150% en los últimos dos años. El potencial de extracción de datos e ingresos puede ser menor en comparación con el de grandes empresas como Microsoft, pero las pequeñas y medianas empresas también disponen de menos recursos para dedicar a una ciberseguridad robusta. En algunos casos, estas empresas simplemente no disponen de recursos dedicados a la ciberseguridad. Tres cosas que las empresas deben saber sobre la Estrategia Nacional de Ciberseguridad Aunque el documento de 39 páginas incluye palabras de moda burocráticas como "armonizar", "stakeholders" y "multilateral", hemos identificado tres cosas concretas que los líderes empresariales deben saber sobre la nueva estrategia. En primer lugar, cada empresa debe identificar sus vulnerabilidades y riesgos específicos. La estrategia de la administración Biden deja claro que el momento de que las empresas opten voluntariamente por la ciberseguridad hace tiempo que pasó. En su lugar, necesitan tomar medidas proactivas para probar y comprender su panorama de amenazas. Las empresas deben realizar escaneos formales de vulnerabilidades y pruebas de penetración que identifiquen los posibles puntos de acceso. Siempre que sea posible, las empresas deben contratar a "hackers éticos", también conocidos como "equipos rojos", que simulen ciberataques sofisticados y revelen si los adversarios podrían acceder a datos confidenciales o generar disrupciones en las redes, y cómo lo harían. Las empresas también deben investigar a fondo a los terceros vendedores y proveedores de software para minimizar el riesgo de ataques a través de la cadena de suministro. En segundo lugar, las empresas deben adoptar medidas que aborden esas vulnerabilidades de la cadena de suministro. Como parte de este paso, deben aprovechar la promesa de la estrategia de colaboración público-privada en forma de intercambio de información, así como de orientación práctica y apoyo sobre cómo navegar por el entorno de las ciberamenazas. En términos más generales, deben adoptar medidas preventivas, como parchear los exploits conocidos, impartir formación periódica sobre seguridad a los empleados e incorporar herramientas de detección de anomalías, al tiempo que se aseguran de contar con planes de respuesta que puedan minimizar la escala y el daño de los hackeos exitosos. En tercer lugar, las empresas tienen que reconocer que una talla no sirve para todos cuando se trata de ciberseguridad. Un subtexto importante de la estrategia es su enfoque en el establecimiento de normas reguladoras más agresivas para las grandes empresas, las infraestructuras críticas y los proveedores de software. La estrategia afirma categóricamente que "la falta de requisitos obligatorios ha dado lugar a resultados inadecuados e incoherentes" y que impulsará una legislación que responsabilice a estas empresas "cuando no cumplan con el deber de diligencia que deben a los consumidores, las empresas o los proveedores de infraestructuras críticas." Estas empresas pueden a su vez tratar de dar forma a la legislación y a la responsabilidad, pero la estrategia deja claro que la mayor parte de la carga en términos de encontrar y solucionar vulnerabilidades recaerá en las empresas más grandes, donde las apuestas son más altas y los recursos más abundantes. Las pequeñas empresas no están en el punto de mira (todavía), pero tampoco están fuera de peligro. También deben buscar oportunidades de colaboración, como la iniciativa recientemente lanzada por los Institutos Nacionales de Normas y Tecnología para fomentar la comunicación entre las pequeñas empresas. En lo que respecta a las implicaciones concretas de la nueva Estrategia Nacional de Ciberseguridad de la administración Biden para la industria estadounidense, el diablo estará en los detalles. El documento incluye los pilares básicos y los nobles objetivos que cabría esperar, dado que el ciberespacio es posiblemente ahora la columna vertebral de la economía nacional estadounidense. El truco estará en hacerlo de forma que se tengan en cuenta los retos realistas de identificar y parchear todas las vulnerabilidades, y los riesgos de que una atención inadecuada afecte no sólo a los individuos, sino a toda la economía mundial.

Lo que las empresas deben saber sobre la nueva estrategia de ciberseguridad de EE.UU.

Resumen.

Partner Center