Here’s how experts think CISA should tell agencies to protect OT

Un grupo for­ma­do por em­pre­sas de ci­ber­se­gu­ri­dad y ope­ra­do­res de in­fra­es­truc­tu­ras crí­ti­cas pre­sen­tó sus pro­pues­tas sobre las di­rec­tri­ces que la Agen­cia de Ci­ber­se­gu­ri­dad y Se­gu­ri­dad de In­fra­es­truc­tu­ras (CISA) de­be­ría dic­tar a las agen­cias fe­de­ra­les para sal­va­guar­dar sus tec­no­lo­gías ope­ra­ti­vas (OT), a raíz de los in­ci­den­tes ocu­rri­dos este ve­rano en ser­vi­cios de agua. La coa­li­ción in­di­có que una di­rec­ti­va ope­ra­ti­va vin­cu­lan­te (BOD) de­be­ría de­fi­nir las res­pon­sa­bi­li­da­des de pro­tec­ción en cada or­ga­nis­mo, ba­sar­se en nor­ma­ti­vas fe­de­ra­les exis­ten­tes y es­ta­ble­cer es­tán­da­res mí­ni­mos de ci­ber­se­gu­ri­dad.

Estas re­co­men­da­cio­nes sur­gen por­que la agen­cia ca­re­ce de un pa­no­ra­ma com­ple­to sobre la va­rie­dad de dis­po­si­ti­vos OT en el ám­bi­to fe­de­ral, exis­ten po­lí­ti­cas de se­gu­ri­dad frag­men­ta­das y los daños po­ten­cia­les de un ata­que a estos sis­te­mas son gra­ves. Un re­por­te re­cien­te de la Ofi­ci­na de Ren­di­ción de Cuen­tas del Go­bierno se­ña­ló que la ma­yo­ría de los or­ga­nis­mos ci­vi­les eje­cu­ti­vos fe­de­ra­les no han cum­pli­do con las exi­gen­cias emi­ti­das en 2023 sobre el in­ter­net de las cosas y dis­po­si­ti­vos OT. Ade­más, dado que estos sis­te­mas sue­len que­dar en una zona am­bi­gua entre los di­rec­to­res de tec­no­lo­gía y los ad­mi­nis­tra­do­res de ins­ta­la­cio­nes, la coa­li­ción su­gie­re de­sig­nar for­mal­men­te a un res­pon­sa­ble de ci­ber­se­gu­ri­dad para la tec­no­lo­gía ope­ra­ti­va.

El do­cu­men­to tam­bién pro­po­ne re­vi­sar guías an­te­rio­res de la Agen­cia de Se­gu­ri­dad Na­cio­nal para de­ter­mi­nar si deben apli­car­se a las agen­cias ci­vi­les y ali­near los re­qui­si­tos con las metas de ren­di­mien­to en ci­ber­se­gu­ri­dad lan­za­das por la CISA en 2022. Aun­que la coa­li­ción acla­ró que una di­rec­ti­va de este tipo no ne­ce­sa­ria­men­te ha­bría evi­ta­do los ata­ques es­ti­va­les en el sec­tor hí­dri­co, des­ta­có que el avan­ce de la in­te­li­gen­cia ar­ti­fi­cial re­du­ce las ba­rre­ras téc­ni­cas para los ata­can­tes, por lo cual se re­quie­re una di­rec­ti­va cen­tra­da de ma­ne­ra ex­clu­si­va en la se­gu­ri­dad OT.