El presidente Biden ha firmado una orden de ciberseguridad de gran alcance que ordena a las agencias federales avanzar hacia la seguridad de confianza cero, exigir una notificación más rápida de los incidentes graves, reforzar los estándares de la cadena de suministro de software y crear una junta de revisión permanente para los ciberataques graves.
La orden ejecutiva, firmada el miércoles, representa el intento más detallado hasta la fecha por parte del gobierno para transformar un año de graves filtraciones de datos en cambios operativos obligatorios dentro del gobierno federal. Esta medida se produce tras el ataque a SolarWinds, la explotación generalizada de los servidores de Microsoft Exchange y el cierre de Colonial Pipeline esta semana debido a un ataque de ransomware.
La Casa Blanca afirmó que estos incidentes evidenciaban debilidades comunes en el gobierno y la industria, como el intercambio limitado de información, controles de seguridad desiguales y software que puede acceder a redes sensibles sin la verificación suficiente. La hoja informativa describe la orden como un cambio de la mejora gradual hacia un estándar común de prácticas de seguridad modernas.
El concepto de confianza cero se convierte en requisito federal
Una de las disposiciones más importantes de la orden es su requisito de que las agencias aceleren la adopción de la arquitectura de confianza cero. En lugar de dar por sentado que se puede confiar en un usuario o dispositivo dentro de una red, la confianza cero exige una verificación continua de la identidad, el estado del dispositivo y los privilegios de acceso.
La orden también exige la rápida adopción de la autenticación multifactor y el cifrado en todos los sistemas federales. Esto es importante porque muchas de las intrusiones más dañinas comienzan con credenciales comprometidas o software de confianza. El modelo de confianza cero está diseñado para reducir el daño que un atacante puede causar tras obtener acceso inicial.
La política también otorga a la Agencia de Seguridad de Infraestructura y Ciberseguridad un papel más importante en la configuración de las prácticas de seguridad en la nube y la visibilidad federal. Un informe contemporáneo del Washington Post describió la orden como una exigencia para que las agencias y los contratistas eliminen las barreras contractuales que en ocasiones han ralentizado o limitado la notificación de las brechas que afectan a los sistemas gubernamentales.
Las compras federales se convierten en una palanca sobre la seguridad del software
La orden también busca modificar la forma en que se desarrolla y vende el software al gobierno federal. Asimismo, ordena al Departamento de Comercio, a través del Instituto Nacional de Estándares y Tecnología, que desarrolle normas y prácticas para el desarrollo seguro de software y la integridad de la cadena de suministro.
Este enfoque refleja la lección aprendida con SolarWinds: el código malicioso introducido a través de un proveedor de confianza puede eludir las defensas de muchas organizaciones a la vez. El gobierno federal no puede eliminar todas las vulnerabilidades del software, pero puede usar su poder adquisitivo para exigir mayor transparencia, prácticas de desarrollo seguras y pruebas de que los proveedores prueban los productos que venden.
El texto oficial, conservado en la Compilación de Documentos Presidenciales, ordena a las agencias que revisen los requisitos de seguridad del software, mejoren el registro de eventos y refuercen las capacidades de detección. Asimismo, contempla etiquetas y criterios básicos que podrían hacer más visibles las características de seguridad para los compradores.
El efecto práctico podría extenderse más allá de las agencias federales. Los proveedores de tecnología que rediseñan productos y procesos internos para cumplir con los contratos gubernamentales podrían aplicar los mismos controles a sus ofertas comerciales en lugar de mantener procesos de desarrollo independientes. Esta es una de las razones por las que la administración considera las adquisiciones como un instrumento de política de ciberseguridad.
Colonial convierte el riesgo cibernético en un problema de la economía física
El momento en que se emitió la orden le confiere una urgencia inusual. El FBI confirmó el lunes que el ransomware DarkSide fue el responsable del ataque a las redes de Colonial Pipeline. La respuesta de Colonial incluyó el cierre de su sistema de oleoductos, lo que provocó escasez de combustible y medidas de emergencia en gran parte de la costa este.
Un comunicado conjunto de la CISA y el FBI, emitido el martes, indicó que hasta el momento no había indicios de que las redes de tecnología operativa se hubieran visto directamente afectadas. Sin embargo, las agencias instaron a los operadores de infraestructura crítica a reforzar la segmentación entre los sistemas de tecnología de la información y los sistemas de tecnología operativa, a probar los controles manuales y a mantener copias de seguridad aisladas.
el Departamento de Energía coordinó una amplia respuesta federal, lo que puso de relieve que los fallos en la ciberseguridad pueden producir consecuencias económicas y físicas inmediatas, incluso cuando los atacantes comprometen inicialmente los sistemas empresariales ordinarios en lugar de los equipos de control industrial.
Notificación de incidentes y un mecanismo de revisión permanente
La orden también instruye al gobierno a estandarizar los procedimientos de respuesta ante incidentes y a establecer una Junta de Revisión de Ciberseguridad, inspirada en parte en el modelo de revisiones independientes utilizadas en el transporte y otros sectores críticos para la seguridad. La junta examinaría los incidentes cibernéticos más importantes y recomendaría cambios, en lugar de tratar cada brecha como una emergencia aislada.
Este cambio institucional es significativo porque el gobierno federal ha investigado repetidamente ataques individuales sin crear un mecanismo sólido para comparar fallos entre agencias y empresas. Un organismo de revisión permanente podría identificar patrones recurrentes en la autenticación, las dependencias de software, el registro de eventos y la respuesta a incidentes.
La orden también insta a los contratistas que operan sistemas federales o procesan datos federales a notificar con mayor rapidez los incidentes graves. Una notificación más rápida puede ayudar a las agencias a determinar si una intrusión forma parte de una campaña más amplia y puede reducir el tiempo que los atacantes permanecen sin ser detectados en redes interconectadas.
Un marco ambicioso con una implementación difícil por delante
La orden no resuelve por sí sola el problema de la ciberseguridad. Las agencias federales varían considerablemente en cuanto a madurez técnica, personal y sistemas heredados. La transición a controles de identidad modernos, arquitecturas en la nube, cifrado y registros detallados requerirá inversión, experiencia técnica y una atención constante por parte de la gerencia.
También existe una limitación estructural: gran parte de la infraestructura crítica del país es de propiedad privada. La orden controla directamente las agencias federales y las adquisiciones federales con mayor facilidad que los oleoductos, los servicios públicos, los hospitales o las fábricas. Esto plantea interrogantes sin resolver sobre hasta qué punto deben extenderse las normas obligatorias de ciberseguridad a la infraestructura privada.
Sin embargo, la orden modifica el marco de referencia federal. Considera la ciberseguridad no como un conjunto de prácticas de tecnología de la información específicas de cada agencia, sino como una disciplina operativa a nivel gubernamental vinculada a las adquisiciones, la identidad, el diseño de software, la notificación de incidentes y la revisión institucional.
Tras meses en los que los atacantes explotaron software de confianza, servidores de correo electrónico y ahora a un importante operador de oleoductos, la administración apuesta a que las normas comunes y el poder adquisitivo federal pueden elevar el coste de una intrusión exitosa. El reto ahora reside en la ejecución: convertir una directiva de 34 páginas en controles efectivos antes de que la próxima gran intrusión los ponga a prueba.
