El presidente Joe Biden firmó un memorando el miércoles que aborda la seguridad cibernética para la infraestructura crítica, ordenando a CISA y NIST que creen puntos de referencia para las organizaciones que administran la infraestructura crítica.
La medida se basa y formaliza un esfuerzo iniciado en abril en torno a la seguridad de los sistemas de control industrial, que ahora enfrentan un aluvión de ataques tanto de ciberdelincuentes como de entidades respaldadas por el estado.
En una conferencia de prensa, un alto funcionario de la administración explicó que la regulación federal de seguridad cibernética en los EE. UU. es sectorial y señaló que el país tiene «un mosaico de estatutos específicos del sector que se han adoptado poco a poco, generalmente en respuesta a amenazas de seguridad discretas en sectores particulares que llamó la atención del público».
El funcionario agregó que no existe un requerimiento estratégico coordinado para la ciberseguridad de la infraestructura crítica.
«En la medida en que, como señalé, existen requisitos obligatorios de seguridad cibernética. Son específicos del sector (finanzas y químicos; son obligatorios según la ley estatal o local, como los de electricidad; o son limitados y fragmentados). el agua y la electricidad a granel son dos en los que hemos trabajado mucho en el estudio en las últimas semanas», dijo el funcionario.
«Entonces, nuestra postura actual es lamentablemente insuficiente dada la amenaza en evolución que enfrentamos hoy. Realmente pateamos la lata por el camino durante mucho tiempo. La administración está comprometida a aprovechar cada autoridad que tenemos, aunque limitada, y también estamos abiertos a nuevos enfoques, tanto voluntarios como obligatorios. Los propietarios y operadores responsables de infraestructura crítica deben seguir la orientación voluntaria, así como los requisitos obligatorios para garantizar que los servicios críticos en los que confía el pueblo estadounidense estén protegidos contra las amenazas cibernéticas».
El memorándum formaliza la Iniciativa de Ciberseguridad de Sistemas de Control Industrial, que la Casa Blanca dijo que era un «esfuerzo voluntario de colaboración entre el gobierno federal y la comunidad de infraestructura crítica para mejorar significativamente la ciberseguridad de estos sistemas críticos».
La primera parte de la iniciativa comenzó con el subsector eléctrico, según un comunicado de la Casa Blanca. El piloto ahora comenzará una segunda ronda en gasoductos de gas natural. Los sistemas de agua, así como los sistemas del sector de aguas residuales y el sector químico serán los siguientes.
Los altos funcionarios de la administración dijeron que el esfuerzo ya ha llevado a más de 150 empresas de servicios públicos de electricidad que representan a casi 90 millones de clientes residenciales a implementar o aceptar implementar tecnologías de ciberseguridad del sistema de control.
“Estas son las tecnologías que, de haber estado en su lugar, habrían bloqueado lo que ocurrió en Colonial Pipeline en el sentido de que conectan el lado de tecnología operativa de la red con el lado de TI de la red. El plan de acción para gasoductos está en marcha, e iniciativas adicionales para otros sectores seguirán más adelante este año», dijo el funcionario.
La Casa Blanca reconoció que cada organización tiene diferentes necesidades de ciberseguridad, pero ordenó a CISA y NIST que trabajen juntos en la creación de líneas de base de ciberseguridad «que sean consistentes en todos los sectores de infraestructura crítica» y «controles de seguridad para infraestructura crítica seleccionada que depende de los sistemas de control». «
El DHS tiene hasta el 22 de septiembre para publicar las pautas preliminares y un año para emitir el borrador final de las reglas. Las reglas específicas del sector también se publicarán dentro de un año.
“Estos objetivos de desempeño deberían servir como una guía clara para los propietarios y operadores sobre las prácticas y posturas de seguridad cibernética en las que el pueblo estadounidense puede confiar y debe esperar para tales servicios esenciales”, dice el memorando.
«Ese esfuerzo también puede incluir un examen de si las autoridades legales adicionales serían beneficiosas para mejorar la seguridad cibernética de la infraestructura crítica, que es vital para el pueblo estadounidense y la seguridad de nuestra nación».
Un informe de los investigadores de ciberseguridad de Trend Micro a principios de este mes advirtió que el ransomware es «una amenaza preocupante y de rápida evolución para los puntos finales de los sistemas de control industrial a nivel mundial» con un aumento significativo en la actividad durante el año pasado.
De todos los países cubiertos en el informe, EE. UU. tiene la mayor cantidad de casos de ransomware que afectan los sistemas de control industrial. La Casa Blanca dijo que casi el 90 por ciento de la infraestructura crítica en los EE. UU. es propiedad y está operada por el sector privado.
Los recientes ataques contra Colonial Pipeline y el procesador de carne JBS llevaron al gobierno federal a tomarse en serio la imposición de medidas de ciberseguridad a las empresas privadas que ejecutan sistemas críticos. La Casa Blanca mencionó específicamente ambos ataques de ransomware como razones por las que se necesitaban medidas más estrictas.
El DHS dio a conocer una nueva directiva de seguridad hace una semana que obliga a los propietarios y operadores de oleoductos importantes a implementar protecciones de ciberseguridad más estrictas.
El memorándum llega un día después de que Biden causara un pequeño revuelo con sus comentarios sobre la capacidad de un conflicto cibernético para convertirse en una guerra física.
«Sabes, hemos visto cómo las amenazas cibernéticas, incluidos los ataques de ransomware, pueden causar cada vez más daños e interrupciones en el mundo real», dijo Biden a los periodistas el martes.
«No puedo garantizar esto, y estás tan informado como yo, pero creo que es más probable que terminemos… bueno, si terminamos en una guerra, una verdadera guerra de disparos con un gran poder, será como consecuencia de una brecha cibernética de gran consecuencia. Y está aumentando exponencialmente: las capacidades».
