Una gran cantidad de proveedores de servicios de infraestructura crítica y grupos sindicales de Australia han criticado las leyes cibernéticas de infraestructura crítica del gobierno federal debido a que requiere que las organizaciones instalen software de terceros en sus sistemas si se considera que no son «técnicamente capaces» de administrar amenazas cibernéticas.
Roger Somerville, jefe de políticas públicas de ANZ de Amazon Web Services (AWS), dijo que la necesidad de nuevas leyes de seguridad cibernética era evidente y que AWS apoyó el proyecto de ley, pero siguió siendo crítico con el esquema de instalación de software contenido en él.
los Proyecto de Ley de Enmienda de la Legislación de Seguridad (Protección de Infraestructura Crítica) 2022 contiene elementos destacados de las leyes cibernéticas aprobadas por el Parlamento el año pasado, según las recomendaciones del comité parlamentario que actualmente está revisando las leyes. Entre estos elementos destacados se encuentran los requisitos para que las entidades consideradas «más importantes para la nación» se adhieran a las obligaciones mejoradas de seguridad cibernética, como la posible instalación de software de terceros.
Dirigiéndose al comité parlamentario que está revisando el proyecto de ley, Somerville dijo que falta claridad sobre cómo operaría el esquema de instalación de software, y que el hecho de que el gobierno federal diga que solo se usaría como «último recurso» no es suficiente.
«Reconocemos que el gobierno australiano nos ha dicho que ese tipo de poderes serían más relevantes para entidades de seguridad cibernética menos sofisticadas que nosotros. Pero desde nuestra perspectiva, creo que estamos muy preocupados de que todavía necesitamos ver con claridad, orientación práctica sobre cómo funcionaría», dijo Somerville.
Somerville agregó que si el gobierno federal insiste en seguir adelante con el establecimiento del esquema de instalación de software, se debe crear un organismo de soporte técnico que exista como titular de un cargo estatutario independiente para supervisar la operación del esquema.
«Este organismo quizás también crearía una vía para la impugnación de esas decisiones, particularmente en las cuestiones de viabilidad técnica», dijo.
AWS no fue el único que compartió sus preocupaciones, ya que la jefa de política pública de Palo Alto Networks ANZ, Sarah Sloan, quien también compareció ante el comité, dijo que el esquema de instalación de software introduce riesgos de seguridad innecesarios en entornos de infraestructura crítica.
Esta preocupación por la seguridad fue compartida por el CEO de Communications Alliance, John Stanton, quien brindó un ejemplo de cómo el esquema podría ser peligroso.
«Probablemente, el peligro es mayor cuando la información se combina con otras fuentes de información, por lo que no necesariamente tenemos una lista de los nombres de las personas detrás de las direcciones IP, pero otras organizaciones sí. Entonces, si combina datos [from critical infrastructure entities] con los datos de los proveedores de servicios de telecomunicaciones, porque saben quiénes son los proveedores de servicios de esas direcciones IP, entonces puedes reunir información personal de manera efectiva», dijo Stanton.
Mientras tanto, el director de operaciones de Software Alliance, Jared Ragland, señaló que los problemas de seguridad con el esquema no se detuvieron allí, ya que la instalación del software podría generar más problemas en las cadenas de suministro de infraestructura crítica.
«Además de las preocupaciones sobre qué tipo de información podría tener acceso legítimo al software, una preocupación real es que si el software se instala en cada etapa de esta cadena y funciona incorrectamente, podría haber problemas accidentales. Tal vez podría ser fuga de datos, pero también podrían ser interrupciones operativas de otro tipo», explicó Ragland.
Para cada una de estas organizaciones, la confianza parecía ser un tema central en su oposición al esquema de instalación de software. Para abordar esta falta de confianza, el grupo de defensa sin fines de lucro Internet Association of Australia (IAA) dijo que el gobierno federal debería enmendar las leyes cibernéticas propuestas para permitir que las entidades de infraestructura crítica prueben fuertemente el código.
«Es muy, muy importante que tengamos que confiar en el tipo de software que va a administrar esto. Y necesitamos la oportunidad de poder leer el código, evaluar el código, probar el código con otras cosas», IAA dijo la directora ejecutiva Narelle Clark.
Las reformas de infraestructura crítica del gobierno federal se encuentran junto con el plan de acción de ransomware como sus principales esfuerzos regulatorios para reforzar la postura de seguridad cibernética de Australia.
Etiquetado por el secretario del Interior, Mike Pezzullo, el mes pasado como la defensa del gobierno contra las amenazas cibernéticas, el gobierno federal espera que el segundo tramo de las leyes cibernéticas cree un marco de infraestructura crítica estandarizado para las agencias de inteligencia de Australia.
Cobertura relacionada
Pezzullo enmarca proyectos de ley de infraestructura crítica como ‘defensa’ y plan de ransomware como ‘delito’
Asuntos Internos cree que el segundo proyecto de ley de infraestructura crítica crearía un marco común para prevenir ataques cibernéticos.
MacTel advierte que las reformas de infraestructura crítica crean brechas en la protección de datos del gobierno
El proveedor de datos y la nube también ve un futuro potencial en el que los proveedores de infraestructura crítica y sus proveedores trasladan los almacenes de datos y las funciones de procesamiento al exterior para evitar ser regulados.
Asuntos Internos publica segundo Proyecto de Ley de Infraestructura Crítica con obligaciones pendientes
Este nuevo proyecto de ley contiene obligaciones que fueron excluidas de la Ley de Enmienda de la Legislación de Seguridad (Infraestructura Crítica) de 2021.
