El 12 de mayo de 2021, el presidente Biden firmó una Orden Ejecutiva (EO) para mejorar los estándares de ciberseguridad de EE. UU. y combatir aún más las amenazas cibernéticas contra el país. Aunque la EO se enfoca en las agencias federales y sus contratistas privados, anima a las empresas del sector privado a seguir el ejemplo del gobierno federal, incluyendo medidas ambiciosas para fortalecer las defensas de ciberseguridad y alinear la comunicación.
Esta EO llega justo después de muchos ciberataques dañinos y de alto perfil, como las brechas de SolarWinds y Microsoft Exchange, además del reciente hackeo de Colonial Pipeline. Está claro que la industria ha tomado esta ola de incidentes como una llamada de atención, y las órdenes oficiales del gobierno son una mejora bienvenida, pero esto plantea una pregunta: ¿será demasiado poco, demasiado tarde?
Alerta de spoiler: Probablemente. Será una implementación lenta, y ya vamos un poco atrasados. Es alentador ver que la Casa Blanca se une al esfuerzo de fortalecer la ciberseguridad, pero una cosa es decretar estas iniciativas con respaldo federal, y otra muy distinta es ponerlas realmente en acción. Como proveedor de servicios de TI, depende de ti llevar estas palabras y recomendaciones a la práctica.
Las claves principales de la Orden Ejecutiva de Biden
Aquí están las siete conclusiones y requisitos clave de la Orden Ejecutiva que deberías conocer.
1. Eliminar las barreras para compartir información sobre amenazas
Los parámetros para compartir información entre el gobierno federal y el sector privado cambiarán. Se eliminarán las barreras contractuales, lo que significa que los proveedores de servicios de TI no solo podrán compartir información con el gobierno, sino que estarán obligados a informarle cada vez que ocurra una brecha que pueda afectar las redes gubernamentales.
La opinión de Huntress: Este es probablemente uno de los elementos más impactantes de esta Orden Ejecutiva. Todos sabemos que la comunidad de ciberseguridad es más fuerte en conjunto, y una mejor comunicación y el intercambio de información sobre vulnerabilidades, brechas, nuevos grupos de amenazas de estados-nación, etc., beneficiarán a toda la industria.
Esta sección en particular también marca un paso positivo hacia la transparencia entre los proveedores de tecnología y las organizaciones gubernamentales. Y debido a su naturaleza, probablemente no sea mala idea reforzar tus planes de respuesta a incidentes o tus políticas de comunicación ante desastres. Es mejor tenerlos consolidados antes de que el gobierno toque a tu puerta o haga preguntas, además de que esto permitirá una respuesta mucho más coordinada.
2. El gobierno adoptará enfoques más seguros y modernos para la ciberseguridad
¡Ya era hora! Es genial ver que el gobierno preste atención a la importancia de la seguridad dinámica y a evolucionar junto con las amenazas que nos rodean, y esta sección describe específicamente un movimiento de modernización para asegurar los servicios en la nube, una arquitectura de confianza cero, autenticación multifactor y cifrado.
Pero me atrevo a decir, ¿son estos estándares el mínimo indispensable? Parece que casi todos los incidentes de ciberseguridad ocurren por ignorar lo básico en seguridad, como la falta de autenticación de dos factores, políticas de contraseñas débiles... la lista continúa. A medida que los hackers siguen perfeccionando y evolucionando sus tácticas, debemos seguir subiendo el estándar y yendo más allá de lo básico, en lugar de simplemente mantener el ritmo.
Esto es especialmente importante para los proveedores de servicios de TI que atienden al mercado de pequeñas y medianas empresas. Puedes apostar a que las técnicas exitosas que los hackers usan contra organizaciones grandes también se usarán contra tus clientes. Pero la buena noticia es que tus clientes son mucho más ágiles que el gobierno federal, así que es momento de tener esas conversaciones y exigir estos estándares más altos mientras el momento es propicio.
3. Mejorar la seguridad de la cadena de suministro
El gobierno exigirá nuevos estándares de seguridad para el software que se le venda, y los datos de seguridad de ese software deberán estar disponibles públicamente. La seguridad de la cadena de suministro ha sido un problema de larga data, así que es bueno ver que este asunto ya no se sigue postergando.
La opinión de Huntress: Si eres un proveedor de TI que trabaja en contratos gubernamentales, deberás asegurarte de cumplir con estos nuevos estándares. E incluso si no lo eres, esta es una oportunidad para revisar a fondo tu propia pila tecnológica y tu software crítico, y asegurarte de que estos estándares de seguridad estén integrados desde el principio. Ya sea que estés auditando tu pila o buscando nuevos proveedores, la seguridad de la cadena de suministro debería ser otro punto en tu lista de requisitos.
4. Establecer una Junta de Revisión de Seguridad Cibernética
La administración creará una nueva junta, integrada por personas tanto del sector público como del privado, para investigar incidentes importantes de ciberseguridad y hacer recomendaciones concretas de mejora. Como contexto, esta junta se basará en el modelo de la Junta Nacional de Seguridad del Transporte, utilizada para investigar accidentes aéreos y otros incidentes.
Los proveedores de servicios de TI probablemente también deberían sumarse a esta tendencia. Hay mucho que podemos aprender del pasado (en retrospectiva, todo se ve más claro), así que podría valer la pena documentar las lecciones aprendidas de incidentes cibernéticos importantes, ya sea formando una junta propia o simplemente implementando un mejor proceso de revisión y análisis posterior.
5. Crear un manual estándar para la respuesta a incidentes
La EO pide la creación de una guía para usar durante un incidente cibernético, con el fin de garantizar que se tomen medidas rápidas para mitigar el daño. La guía también estará disponible para que el sector privado la adopte.
La opinión de Huntress: No puedes esperar a estar comprometido para decidir cómo vas a responder. Por eso creamos este Incident Response Tabletop-in-a-Box, para ayudarte a practicar y poner a prueba tu capacidad de respuesta a incidentes antes de que sea demasiado tarde.
6. Mejorar la detección y la respuesta
El gobierno implementará Detección y respuesta para endpoints (EDR) en todas las redes federales... ¡música para nuestros oídos! EDR permite monitorear la actividad maliciosa e identificar rápidamente las amenazas, y esto es muy importante dado lo fácil que resulta para los hackers evadir las medidas de seguridad preventivas.
No voy a insistir demasiado en esto, pero como mínimo, es un perfecto punto de partida para convencer a los clientes de la necesidad de protección más allá del antivirus y otros elementos básicos. Si “detección proactiva, caza de ciberamenazas, contención y remediación” son términos lo bastante importantes como para plasmarse en el escritorio del presidente, vale totalmente la pena incorporarlos a las estrategias de ciberseguridad de tus clientes.
7. Mejorar la investigación y la remediación
La orden ejecutiva exige mejorar la capacidad de detectar actividad cibernética maliciosa en las redes federales, habilitando un sistema de Detección y respuesta para endpoints a nivel de todo el gobierno y mejorando el intercambio de información dentro del gobierno federal. También establece requisitos de registro de eventos de ciberseguridad para los departamentos y agencias federales, con el fin de detectar y prevenir mejor las intrusiones, y de determinar el alcance de los incidentes ocurridos.
Puntos de partida para conversar con tus clientes
No todos los días tienes la oportunidad de tomar un titular de noticias importante y llevarlo al terreno de tus clientes. Ya sea que los clientes acudan a ti con preguntas o que quieras iniciar una conversación de venta adicional, aquí tienes algunos puntos de conversación para hablar sobre la relevancia de la orden ejecutiva con tus clientes:
- “Si los hackers pueden vulnerar a SolarWinds, Microsoft Exchange e incluso Colonial Pipeline, también pueden vulnerarte a ti. ¡Y lo quieren! Toma como ejemplo a DarkSide. Están huyendo por sus vínculos con el ataque al oleoducto de alto perfil… pero tú eres un objetivo de bajo perfil. Los hackers conocen tus puntos débiles, y saben que si tienen éxito, el ataque pasará desapercibido.”
- “Si esta orden ejecutiva deja algo en claro, es que la seguridad en capas es más importante que nunca. El presidente Biden menciona específicamente la necesidad de contar con Detección y respuesta para endpoints, pero esa no es precisamente una estrategia nueva. El gobierno simplemente aún no la ha adoptado, pero tú deberías hacerlo. No podemos esperar tres años para protegernos de las amenazas actuales. Para ser más proactivos con nuestra seguridad, agreguemos capas y asegurémonos de contar con esas capacidades de detección y respuesta antes de que empiecen a caer las fichas.”
- “La simple verdad es que no puedes darte el lujo de no invertir en ciberseguridad. Cuando tus sistemas se caen, los costos se acumulan. Invertir hoy en la solución de seguridad adecuada significa ahorrarte tiempo y dinero a largo plazo.”
Lecturas y recursos recomendados
Para más información sobre la orden ejecutiva, consulta estos recursos:
- The White House, Executive Order on Improving the Nation’s Cybersecurity
- Axios, Biden issues executive order following mounting cyberattacks
- Security Magazine, President Biden signs executive order to strengthen U.S. ciberseguridad defenses
- The Hill, Krebs on Biden's ciberseguridad executive order: 'It's a really ambitious plan'
¿Quieres hablar con un experto sobre esto? Nuestro equipo está aquí para ayudarte. Ponte en contacto si tienes alguna pregunta.
