Las agencias federales se enfrentan a riesgos de seguridad cibernética cada vez mayores debido a que una gran cantidad de instalaciones de TI no se rastrean como centros de datos completos, según un informe de la Oficina de Responsabilidad General.
Como se señaló anteriormente, las agencias federales han estado consolidando y cerrando centros de datos a lo largo de los años, pero una definición más limitada de qué instalaciones deben incluirse en un programa de optimización significa que la infraestructura de TI se está cayendo por las grietas.
En su informe, la GAO señaló que las agencias cerraron 102 centros de datos en el año fiscal 2019 con planes para cerrar 184 más. El problema es que la Oficina de Administración y Presupuesto (OMB, por sus siglas en inglés) también redujo la definición de un centro de datos. Como resultado, muchas instalaciones aún funcionan como puntos de acceso a los sistemas federales sin la supervisión y la ciberseguridad adecuadas. Esta es la definición de la OMB de un centro de datos:
Un centro de datos generalmente es un espacio especialmente diseñado, separado físicamente y dedicado que contiene uno o más bastidores de servidores, mainframes y/o computadoras de alto rendimiento; tiene una fuente de alimentación ininterrumpida dedicada y/o un generador de respaldo para apagones prolongados; y/o tiene un sistema o zona de enfriamiento dedicado. Las agencias deben informar las instalaciones que cumplan con estos criterios como centros de datos en niveles.
¿El problema con esa definición? Se echa de menos mucha infraestructura, según la GAO. En pocas palabras, el gobierno de EE. UU. tiene una infraestructura de TI en la sombra masiva que puede carecer de seguridad cibernética.
La GAO recomienda que estas instalaciones de TI en el gobierno de EE. UU. continúen siendo rastreadas. «Cada uno es un objetivo potencial para los ataques cibernéticos», dijo la GAO. La OMB requiere que 24 agencias informen sobre las métricas del centro de datos, como la virtualización, el monitoreo de energía y la utilización del servidor, pero no un recuento de todos los servidores.
También:
Del informe:
Los requisitos revisados de informes de DCOI de junio de 2019 de OMB cambiaron aún más la definición de un centro de datos, lo que incluye que ya no se requiera que las agencias informen la mayoría de las instalaciones previamente categorizadas como centros de datos sin niveles. Como se señaló anteriormente, la OMB ordenó a las agencias que dejaran de informar sobre espacios no diseñados para ser centros de datos como parte de su inventario. Como resultado, las agencias ya no están obligadas a informar sobre unas 2000 instalaciones, algunas de las cuales son de un tamaño considerable y seguirán funcionando. Según la definición revisada de OMB de un centro de datos, las agencias revisaron sus recuentos de inventario de centros de datos y ahora informaron 2727 centros de datos en funcionamiento a principios del año fiscal 2019.
Según la GAO, 260 centros de datos de más de 1000 pies cuadrados seguirán funcionando, pero ya no será necesario que informen las métricas a la OMB. Estas instalaciones no se cuentan en el inventario de TI del gobierno. La Administración del Seguro Social planea operar 5 centros de datos de más de 8,000 pies cuadrados cada uno sin requisitos de informes a la OMB. GAO dijo:
En julio de 2019, descubrimos que los sistemas de TI que respaldan a las agencias federales, como los que se encuentran en los centros de datos del gobierno, están inherentemente en riesgo.46 Específicamente, informamos que debido a que estos sistemas pueden ser muy complejos y dinámicos, tecnológicamente diversos y, a menudo, geográficamente dispersos, estos factores aumentan la dificultad de proteger su seguridad. Dado que cada ubicación física representa un punto de acceso potencial a la interconexión de una agencia con otros sistemas y redes internos y externos, cada ubicación también presenta un riesgo como punto de ataque potencial. También notamos que los sistemas de TI a menudo están plagados de vulnerabilidades de seguridad, tanto conocidas como desconocidas.
La GAO tiene una gran cantidad de recomendaciones para la OMB y las agencias, pero las más importantes giran en torno a la documentación del inventario total de infraestructura, así como las decisiones sobre qué instalaciones se cuentan como de misión crítica.
