La Administración Biden ha lanzado el Plan Nacional de Implementación de la Estrategia de Seguridad Cibernética (NCSIP), un documento de 57 páginas que detalla más de 65 iniciativas a implementar durante los próximos años. El plan aborda diversos aspectos relacionados con la seguridad cibernética, incluyendo el fortalecimiento de la infraestructura crítica, la responsabilidad exigible en productos y servicios de software, así como formas efectivas para interrumpir las operaciones de actores amenazantes.
Una hoja de ruta de implementación
El NCSIP se presenta como una primera iteración del documento, denominado «documento vivo» que se actualizará anualmente. Se menciona que se agregarán iniciativas a medida que cambie el panorama cibernético y se eliminarán tras su finalización.
Los objetivos de la estrategia se agrupan en cinco pilares:
- Defender la infraestructura crítica;
- Interrumpir y desmantelar a los actores de amenazas;
- Dar forma a las fuerzas del mercado para impulsar la seguridad y la resiliencia;
- Invertir en un futuro resiliente; y
- Forjar asociaciones internacionales.
El documento proporciona planes e iniciativas de alto nivel para alcanzar estos objetivos. Entre las acciones propuestas se incluyen el establecimiento de nuevos requisitos de ciberseguridad para organizaciones del sector, la ampliación de asociaciones público-privadas, la integración de centros federales de ciberseguridad y la actualización de planes y procesos federales de respuesta a incidentes.
En cuanto al desmantelamiento de actores amenazantes, se incluyen planes para integrar actividades de interrupción federales, aumentar la velocidad y escala del intercambio de inteligencia sobre amenazas, así como prevenir el uso indebido de la infraestructura estadounidense por parte de estos actores.
El tercer pilar incluye el desarrollo de un marco de responsabilidad del software a largo plazo, avances en iniciativas de listas de materiales de software (SBOM) y otras medidas para promover la seguridad en el desarrollo de software.
Principales desafíos
Algunas iniciativas deben completarse antes de fin de año, entre ellas una revisión de los centros federales de ciberseguridad, la redacción de legislación para codificar la Junta de Revisión de Seguridad Cibernética y el desarrollo de un plan internacional para desalentar a los países que actúen como refugios seguros para criminales de ransomware.
La ventana de dos a tres años establecida para crear marcos de responsabilidad del software parece ambiciosa. Además, CISA debe completar una evaluación de brechas de SBOM antes del segundo trimestre del año fiscal 25, aunque es poco probable que lo haga antes de 2026 debido a la complejidad de la tarea.
Mike Hamilton, CISO en Critical Insight, percibe el nuevo NCSIP como un avance en la seguridad de la infraestructura crítica y en los esfuerzos para interrumpir a actores amenazantes. El plan parece enfocado en ampliar el plan nacional de respuesta a incidentes cibernéticos más allá del sector de infraestructura crítica, incluyendo a todos los sectores y tamaños de empresas.
El plan asigna un papel importante a la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) en la provisión de capacitación en ciberseguridad y respuesta a incidentes para el sector de la salud, objetivo principal de los ataques de ransomware.