Cuando la Ley de Modernización de la Tecnología Gubernamental (MGT Act) se promulgó en 2017, su objetivo era proporcionar a los organismos públicos fondos que pudieran destinar a sus iniciativas de modernización de las TI, incluidas las relacionadas con la ciberseguridad. Los organismos podían solicitar financiación al Fondo de Modernización Tecnológica, creado para ayudarles a dejar atrás los sistemas heredados e invertir en tecnologías ágiles y transformadoras.
A la postre, la promulgación de la Ley MGT ha demostrado ser aún más visionaria de lo que nadie podría haber imaginado.
Debido a la COVID-19, se ha acelerado considerablemente la necesidad de modernizar los sistemas de ciberseguridad heredados y migrar a la nube. La pandemia también ha abierto una puerta para que hackers malintencionados exploten vulnerabilidades mediante una amplia variedad de tácticas, desde el ransomware hasta los ataques DDoS/DoS, entre otras. De hecho, a principios de este año, el Departamento de Seguridad Nacional de Estados Unidos y el Centro Nacional de Seguridad Cibernética del Reino Unido emitieron una seria advertencia sobre el aumento del malware y el ransomware.
Por supuesto, las amenazas de seguridad ya estaban aumentando mucho antes de la COVID-19. Según un informe publicado por Verizon en las primeras etapas de la pandemia, el ransomware representó el 61 % de los incidentes relacionados con malware en el sector público, mientras que el 33 % de las brechas de seguridad fueron causadas por personas con acceso interno. Asimismo, un informe de principios de 2020 de la Agencia de Seguridad de Infraestructuras y Ciberseguridad (CISA) señala que «los agentes cibernéticos extranjeros siguen aprovechando vulnerabilidades de software conocidas públicamente —y a menudo antiguas— contra una amplia variedad de objetivos, incluidas organizaciones de los sectores público y privado».
No hay perímetro
Sin embargo, la COVID-19 ha ampliado la superficie de ataque. El trabajo a distancia es ahora la norma y los usuarios dependen cada vez más de las aplicaciones basadas en la nube. A medida que más empleados públicos trabajan desde casa, las exigencias de capacidad y seguridad han desbordado los sistemas y procesos.
Estos factores plantean retos a los equipos de seguridad de TI encargados de proteger redes cada vez más distribuidas y un conjunto de aplicaciones potencialmente vulnerables. Si antes podían confiar en soluciones de seguridad tradicionales para proteger los perímetros de sus redes, hoy en día esos perímetros prácticamente han desaparecido.
Por ello, las organizaciones deberían plantearse invertir los fondos de la Ley MGT en diversas formas de protección dinámica para garantizar su seguridad en distintos frentes. Por ejemplo, supervisar el acceso de los usuarios con privilegios e implementar protocolos de gestión de identidades garantiza que solo las personas adecuadas tengan acceso a una red y a información altamente confidencial. Por su parte, las herramientas de seguridad de aplicaciones ofrecen protección frente a vulnerabilidades de las API, ataques de inyección, ataques de scripting entre sitios y otras amenazas.
Las organizaciones también deben garantizar que sus políticas de seguridad sean coherentes en todas las plataformas de nube múltiple o híbrida, que pueden ofrecer una gran flexibilidad y ventajas económicas, pero también introducir una enorme complejidad. Los distintos proveedores de servicios en la nube aplican políticas diferentes —incluidos modelos de responsabilidad compartida que establecen que el cliente es responsable de la seguridad de los datos—, por lo que puede resultar difícil obtener una visión clara de la seguridad de las aplicaciones en varias nubes. Automatizar la seguridad tanto en entornos locales como en distintos entornos de nube puede garantizar que las aplicaciones estén sujetas a las mismas políticas y permanezcan protegidas independientemente de dónde estén alojadas.
Un marco para el éxito
A medida que los organismos se plantean invertir los fondos disponibles en nuevas tecnologías de ciberseguridad, también deberían empezar a crear marcos de ciberseguridad que les ayuden a sacar partido de dichas tecnologías. El Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST) es un punto de partida ideal.
El Marco de Ciberseguridad del NIST ayuda a los organismos a establecer mejores prácticas de gestión de riesgos mediante un enfoque integral de todo el ciclo de vida. Siguiendo las directrices establecidas por el NIST, los organismos evalúan y mitigan continuamente los riesgos a través de cinco funciones básicas: identificar, proteger, detectar, responder y recuperar. Las tecnologías mencionadas anteriormente encajan perfectamente en todas estas categorías, ya que permiten detectar posibles vulnerabilidades y ofrecen formas de subsanarlas en caso de que se produzca una brecha de seguridad.
El Marco de Ciberseguridad del NIST es una herramienta útil porque proporciona a las organizaciones una estructura estandarizada con la que pueden crear programas de seguridad altamente adaptables. Ofrece flexibilidad para que las organizaciones puedan personalizarlo según sus necesidades específicas, al tiempo que proporciona un modelo común para gestionar los riesgos y abordar las vulnerabilidades. Las organizaciones pueden incorporar sus propias políticas de seguridad al Marco y, a la vez, aprovechar los estándares y las mejores prácticas recomendados por el NIST.
No pagues las consecuencias
Según un informe reciente de Ponemon, el coste medio de una filtración de datos asciende a la escalofriante cifra de 3,86 millones de dólares. Es una cantidad asombrosa, sobre todo teniendo en cuenta que ahora se pide a muchas organizaciones —incluidos los organismos públicos— que hagan más con menos, mientras los presupuestos siguen reduciéndose a causa de la pandemia.
Está claro que las agencias no pueden permitirse bajar la guardia, ni en sentido literal ni figurado. Ha llegado el momento de invertir parte de los fondos disponibles a través de la Ley MGT en soluciones de ciberseguridad modernas y automatizadas que protejan frente a amenazas en constante evolución, salvaguardando tanto los datos como, potencialmente, millones de dólares. Descubra cómo las soluciones de F5 ayudan a las agencias federales a proteger sus redes, reducir costes y cumplir sus objetivos.
Por Michael Coleman, responsable de Ingeniería de Soluciones para el sector federal en F5
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.