Un organismo de control constata que la mayoría de las agencias no han cumplido las directrices de la CISA sobre seguridad en la nube, lo que aumenta el riesgo de sufrir un ataque

Un in­for­me de un or­ga­nis­mo de con­trol dado a co­no­cer un miér­co­les re­ve­ló que la gran ma­yo­ría de las agen­cias del poder eje­cu­ti­vo civil fe­de­ral in­cum­plie­ron el plazo fi­ja­do para apli­car las ins­truc­cio­nes de se­gu­ri­dad en la nube emi­ti­das por la Agen­cia de Ci­ber­se­gu­ri­dad y Se­gu­ri­dad de In­fra­es­truc­tu­ra (CISA).

El ins­pec­tor ge­ne­ral del De­par­ta­men­to de Se­gu­ri­dad Na­cio­nal de­ter­mi­nó que esta si­tua­ción deja a di­chas en­ti­da­des con una ex­po­si­ción a ries­gos ele­va­dos, de­bi­li­tan­do la pos­tu­ra na­cio­nal de se­gu­ri­dad en la nube y ele­van­do las pro­ba­bi­li­da­des de su­frir in­ci­den­tes ci­ber­né­ti­cos que po­drían evi­tar­se, ade­más de se­ña­lar que la CISA ca­re­ce de la po­tes­tad re­que­ri­da para exi­gir que estas ór­de­nes se apli­quen por com­ple­to y a tiem­po.

El aná­li­sis se cen­tró en el pro­yec­to Se­cu­re Cloud Bu­si­ness Ap­pli­ca­tions (SCuBA), im­pul­sa­do a raíz de un ata­que ocu­rri­do en 2022, el cual ofre­ce he­rra­mien­tas de eva­lua­ción y con­fi­gu­ra­cio­nes de se­gu­ri­dad para dis­mi­nuir los pe­li­gros de fil­tra­cio­nes me­dian­te una di­rec­ti­va emi­ti­da a fi­na­les de 2024 que es­ta­ble­cía un lí­mi­te tem­po­ral en el ve­rano si­guien­te.

Los datos del ins­pec­tor ge­ne­ral in­di­ca­ron que de­ce­nas de de­pen­den­cias gu­ber­na­men­ta­les no cum­plie­ron con todas las di­rec­tri­ces obli­ga­to­rias de la nor­ma­ti­va, omi­tien­do me­di­das como la pro­tec­ción de in­for­ma­ción con­fi­den­cial y per­so­nal, la exi­gen­cia de au­ten­ti­ca­ción mul­ti­fac­tor o la des­ac­ti­va­ción de mé­to­dos de au­ten­ti­ca­ción ob­so­le­tos, mien­tras que la CISA no res­pon­dió al re­por­te ni a una so­li­ci­tud de co­men­ta­rios.