La Casa Blanca ha publicado un memorando que instruye a las agencias federales a avanzar oficialmente hacia un enfoque de confianza cero para la ciberseguridad, para reducir el riesgo de ataques cibernéticos contra la infraestructura digital del gobierno.
El documento, publicado por la Oficina de Administración y Presupuesto (OMB, el brazo político de la administración de la Casa Blanca), representa un paso importante en la implementación de la Orden Ejecutiva del Presidente Biden sobre el fortalecimiento de la seguridad cibernética de la nación.
No se puede confiar en ningún actor, sistema o servicio que opere dentro o fuera del perímetro de seguridad, de acuerdo con el nuevo paradigma
Las agencias federales tienen hasta el final del año fiscal 2024 para cumplir con los objetivos de la estrategia, que se basan en un modelo de confianza cero creado por la Agencia de Seguridad de Ciberseguridad e Infraestructura de los Estados Unidos (CISA).
El documento detalla docenas de medidas de seguridad que las agencias federales deben implementar en los próximos dos años para proteger sus sistemas y redes, y para limitar el riesgo de incidentes de seguridad. Incluyen cifrado generalizado, autenticación multifactor y segmentación de red más rigurosa.
La creciente amenaza de ciberataques sofisticados subraya la idea de que el gobierno federal no puede confiar en las defensas convencionales basadas en el perímetro para proteger los sistemas y datos críticos, dice el memorando.
El anuncio también menciona la vulnerabilidad Log4j como evidencia de que los actores de amenazas continuarán encontrando nuevas formas de poner un pie en la puerta.
De acuerdo con el nuevo paradigma de confianza cero, no se puede confiar en ningún actor, sistema, red o servicio que opere dentro o fuera del perímetro de seguridad; por lo tanto, las agencias gubernamentales deben validar cualquier cosa y cualquier persona que busque acceso a sistemas y datos.
Para evitar el acceso no autorizado a datos confidenciales, las agencias federales deberán rastrear y verificar cada usuario, máquina, aplicación y transacción. Tendrán dos meses para proporcionar un plan de implementación a la OMB y CISA.
“La seguridad es la piedra angular de nuestros esfuerzos para construir experiencias digitales excepcionales para el público estadounidense”, dijo la directora federal de información Clare Martorana.
“Los CIO de las agencias federales y el liderazgo de TI se están apoyando en este desafío, y la estrategia de confianza cero proporciona una hoja de ruta clara para implementar tecnología que sea segura por diseño y responda a las necesidades de nuestra fuerza laboral para que puedan ofrecer mejores resultados al público estadounidense”.
La nueva directiva es parte de un esfuerzo más amplio para salvaguardar los sistemas y redes del país, que comenzó con una orden ejecutiva el año pasado.
El memorando de seguridad nacional siguió a una serie de ataques de ransomware contra entidades estadounidenses, obstaculizando los servicios y la logística en los Estados Unidos.
En mayo del año pasado, el distribuidor de combustible estadounidense Colonial Pipeline sufrió un ataque masivo de ransomware que paralizó la entrega de combustible en los estados del sureste de los Estados Unidos.
La firma de TI Kaseya, con sede en Florida, también sufrió un ataque en julio que se dijo que era el trabajo del grupo REvil, con sede en Rusia.
