La reciente orden ejecutiva del presidente Joe Biden sobre seguridad cibernética recibió elogios por abordar brechas críticas en los esfuerzos del gobierno para proteger sus activos digitales, pero los legisladores y expertos plantean preguntas sobre un aspecto de la orden: la creación de una Junta de Revisión de Seguridad Cibernética.
La orden ejecutiva establece una junta de revisión «copresidida por líderes gubernamentales y del sector privado, que pueden reunirse después de un incidente cibernético significativo para analizar lo que sucedió y hacer recomendaciones concretas para mejorar la seguridad cibernética».
La junta estará allí para «hacer las preguntas difíciles» de acuerdo con la orden ejecutiva y sigue el modelo de la Junta Nacional de Seguridad en el Transporte, que investiga los accidentes aéreos y los incidentes de transporte.
La letra pequeña de la orden ejecutiva dice que el secretario de Seguridad Nacional, Alejandro Mayorkas, trabajará con el fiscal general Merrick Garland para crear la junta, que investigará cualquier ataque «que afecte los sistemas de información de FCEB o sistemas no federales, actividad de amenazas, vulnerabilidades, actividades de mitigación». y las respuestas de las agencias».
Tanto los funcionarios federales encargados de hacer cumplir la ley como los expertos en seguridad cibernética del sector privado formarán parte de la junta, y uno de cada uno se desempeñará como presidente y vicepresidente cada dos años. Dentro de 30 días, Mayorkas tiene que enviar un informe a Biden sobre quién estará en la junta, su alcance, responsabilidades, estructura, «límites y criterios para evaluar los tipos de incidentes cibernéticos», así como cómo planean obligar a las empresas. o individuos para cumplir con su investigación.
Los líderes demócratas en el Congreso expresaron su apoyo al esfuerzo, pero tenían una variedad de preocupaciones que esperaban que Mayorkas y Garland abordaran una vez que la idea se esbozara más completamente.
La representante Carolyn Maloney, presidenta del Comité de Supervisión y Reforma, dijo MarketingyPublicidad.es que es «crítico que el gobierno federal responda rápidamente cuando ocurre un evento cibernético significativo».
Pero Maloney dijo que la junta tenía que caminar por la cuerda floja para cumplir con la Ley del Comité Asesor Federal, que obliga a las juntas como esta a ser «objetivas y accesibles al público», al mismo tiempo que mantiene segura la información que recopila.
«Es importante que la información confidencial se proteja adecuadamente, pero también es importante que la junta opere con transparencia y en pleno cumplimiento de las leyes de ética», dijo Maloney.
Otros líderes del Congreso en seguridad cibernética se hicieron eco de esos comentarios y expresaron preocupaciones más apremiantes sobre la capacidad de la junta para abordar de manera efectiva los ataques devastadores que ahora ocurren semanalmente.
El congresista Jim Langevin, quien ayudó a fundar el House Cybersecurity Caucus que ahora copreside, dijo que apoyaba la idea de que la junta de revisión cibernética estaba destinada a ayudar a los defensores a comprender mejor los incidentes importantes.
Pero como miembro del subcomité de Ciberseguridad, Protección de Infraestructura e Innovación, dijo MarketingyPublicidad.es estaba «seriamente preocupado por la tendencia hacia incidentes cibernéticos más grandes y frecuentes que pueden ser demasiado para que los maneje una junta de revisión».
«Es por eso que apoyo la creación de una Oficina de Estadísticas Cibernéticas para que podamos examinar los datos de incidentes en conjunto y tomar decisiones de gestión de riesgos cibernéticos más informadas», dijo Langevin.
Un asistente del Congreso explicó a MarketingyPublicidad.es que algunos en Capitol Hill han cuestionado cómo la junta podría funcionar como la Junta Nacional de Seguridad en el Transporte, que tiene amplia autoridad para investigar incidentes de transporte y puede emitir citaciones.
Todavía no está claro qué umbrales utilizará la junta de revisión cibernética para decidir qué infracciones o ataques investigar y qué poder se les otorgará para obligar a las organizaciones a entregar información crítica que algunas pueden ser reacias a compartir.
“Con la NTSB, simplemente se presentan con su placa y la entidad tiene que producir todo lo que el investigador quiera. No siempre necesitan una citación o el sistema judicial para obtener lo que quieren”, dijo el asistente del Congreso.
«Está tan fuera de los sistemas legales existentes y creo que hay un fuerte incentivo para cooperar porque, de lo contrario, ¿cuáles son sus opciones?»
El asistente agregó que la idea de un esfuerzo similar a la NTSB para los incidentes de seguridad cibernética se planteó durante mucho tiempo en el Capitolio porque siempre hay interés en encontrar las causas fundamentales de los ataques y las posibles mitigaciones.
Pero la NTSB se ocupa de muchos menos incidentes que cualquier junta de revisión cibernética y los incidentes a menudo involucran a docenas, si no cientos, de organizaciones diferentes, algunas de las cuales no cooperarán con las fuerzas del orden público federales. La NTSB interactúa principalmente con compañías aéreas y operadores de mantenimiento, mientras que la junta de revisión intentaría investigar cadenas de suministro de software completas.
«Hay enormes beneficios en el análisis de la causa raíz, pero en términos de obtener acceso a los datos, son bastante extraordinarios los poderes que tiene la NTSB en algunos aspectos. No creo que eso sea necesariamente aplicable en un contexto cibernético», dijo el asistente.
Anurag Lal, ex director de la Fuerza de Tarea Nacional de Banda Ancha de EE. UU. para la Comisión Federal de Comunicaciones bajo la administración de Obama, expresó su temor de que la junta se «atasque en la burocracia como lo han hecho otros en el pasado» y se vea obstaculizada por la burocracia mientras investiga cibernética. incidentes que requieren respuestas rápidas.
La orden ejecutiva fue un paso en la dirección correcta para crear los procesos necesarios para responder a los ataques cibernéticos, explicó Lal, pero dijo que se necesita un proyecto de ley de respuesta cibernética más completo para establecer leyes que rijan la forma en que Estados Unidos responde a los ataques.
«Si bien estas son juntas comparables, creo que la Junta de Revisión de Seguridad Cibernética debe actuar con mucha más urgencia que la NTSB. En el caso de incidentes de vuelo, se necesita mucho tiempo para investigar a fondo. Sin embargo, la naturaleza de los ataques cibernéticos requieren que actuemos rápidamente, por lo que esta junta no tendrá el lujo del tiempo», dijo Lal.
“La CSRB debe recibir el mandato de responder de manera urgente y acelerada. Esta orden ejecutiva aborda cómo podemos responder, pero ahora debemos presionar más y determinar cómo vamos a pasar a la ofensiva para evitar que estos ataques sucedan. »
Christopher Fielder, quien pasó años como técnico de redes y sistemas criptográficos en la Fuerza Aérea de EE. UU. y como analista de seguridad contratista de la CIA, dijo MarketingyPublicidad.es que demasiados incidentes cibernéticos están envueltos en secreto, lo que da como resultado numerosos incidentes que podrían haberse evitado antes si la información se hubiera compartido en consecuencia.
Fielder dijo que la junta de revisión era una buena idea porque podía identificar rápidamente los problemas subyacentes y establecer una línea base de transparencia a nivel federal en torno a compromisos futuros y cómo aprender de ellos.
«El uso de este enfoque post mortem para las infracciones puede impulsar el desarrollo de estándares basados en evidencia histórica. Sin embargo, es importante comprender que para que una junta de revisión como esta sea efectiva, requerirá una aceptación significativa tanto del sector privado como del público». sectores públicos», dijo Fielder.
«Vamos a tener que sentir que esta será una junta que no sea un organismo regulador destinado a castigar o culpar a aquellos que se ven afectados por compromisos, sino diseñado para fomentar el intercambio de conocimientos y mejores prácticas que se descubren a partir de incidentes que se revisan».
La junta sería un buen primer paso, pero la ciberseguridad sigue siendo como el Lejano Oeste, explicó Fielder, con muchas organizaciones protegiéndose lo mejor que pueden con los recursos que tienen disponibles.
Las recomendaciones posteriores a un incidente a menudo difieren entre las empresas de ciberseguridad y los investigadores, y Fielder dijo que una junta como esta podría ayudar a reconciliar las diferentes opiniones sobre la causa raíz de un incidente o los próximos pasos para que se puedan hacer recomendaciones acordadas y confiables.
Sounil Yu, director de seguridad de la información de JupiterOne, dijo que la mejor versión de la junta de revisión incluiría «autopsias sin culpa» que produzcan «lecciones significativas aprendidas que reduzcan la probabilidad de eventos de falla repetidos».
«Hay excelentes ejemplos de autopsias orientadas a la seguridad (por ejemplo, Coinbase y FireEye) que son muy instructivas y pueden servir como modelo de cómo sería un informe de investigación de la Junta de Revisión Cibernética», dijo Yu.
Varios expertos en seguridad cibernética elogiaron la idea de la junta de revisión por razones similares, pero cuestionaron qué sucedería en los casos en que estaba claro que el ataque fue aprovechado por un actor estatal, como los ataques más recientes atribuidos a Rusia y China.
«La NTSB no tomó la iniciativa en las investigaciones del 11 de septiembre porque estaba claro que la causa no se debió a problemas de seguridad», agregó Yu. «Los incidentes de seguridad a menudo se manejan de manera muy diferente a los incidentes de seguridad».
