Prioridades de ciberseguridad para los gobiernos estatales y locales
Un plan de ciberresiliencia para 2025
El Mes de la seguridad y la resiliencia de las infraestructuras críticas, promovido por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) cada mes de noviembre, destaca una realidad crucial: los organismos estatales y locales, como proveedores de infraestructuras críticas, deben prepararse e invertir continuamente para futuras interrupciones.
Si bien ese mes se centra en la resiliencia de la ciberseguridad, es importante reconocer el alcance más amplio. Las organizaciones deben estar preparadas para diversos incidentes que pueden afectar a las operaciones empresariales, las interacciones con los clientes y el bienestar de la comunidad. Los últimos años han demostrado cómo tanto el mundo físico como el virtual pueden verse afectados por:
Desastres naturales como el huracán Helene, que devastó zonas socialmente vulnerables que tienen más dificultades para recuperarse.
Accidentes como el del buque de carga que se derrumbó en el puente Francis Scott Key de Maryland, que interrumpió el tráfico y las operaciones en el puerto de Baltimore.
Ataques deliberados, como los cortes de cable en el mar Báltico, que tienen el potencial de afectar los flujos de tráfico global de Internet.
Ataques a la cadena de suministro, como la operación de espionaje Salt Typhoon, que se infiltró en muchos de los principales proveedores de telecomunicaciones de nuestro país para espiar conversaciones gubernamentales confidenciales.
En el mundo hiperconectado en el que vivimos, incidentes como estos van mucho más allá del área local y crean circunstancias inesperadas.
Nuestro mundo digital puede proporcionar resistencia para algunos incidentes. Por ejemplo, podemos dar soporte a una fuerza de trabajo descentralizada en caso de un desastre natural. Por supuesto, este mismo mundo digital también puede tener un impacto negativo en las personas más allá de la comunidad local e incluso en todo el mundo, como hemos visto con las interrupciones causadas por malware como Log4j o los recientes ataques de ransomware.
Internet se ha convertido en una fuente clave de conectividad, por lo que debemos protegerla si queremos ofrecer servicios coherentes, incluso durante las crisis. La campaña "Resolve to be Resilient" es un grito de guerra para la preparación, ya que a menudo son los organismos estatales y locales los que están en la primera línea de la respuesta y la recuperación.
El papel de Internet en los servicios gubernamentales digitales
Durante los últimos cinco años, el uso de tecnologías de la información por parte de las agencias gubernamentales ha sido una prioridad para la mayoría de los directores de informática. La promesa de un gobierno digital ha proporcionado más transparencia y acceso a los servicios gubernamentales que nunca.
Las experiencias de los clientes se han enriquecido enormemente gracias a esta evolución hacia la administración digital. Una validación sencilla y real es una transacción con la Dirección General de Tráfico (DGT) local (como la renovación del permiso de conducir). Verás que la mayoría de los servicios son digitales y en línea, y rara vez necesitas visitar la DGT y mucho menos esperar en largas colas (que son inexistentes debido a la descarga de actividades en línea).
Internet es uno de los principales componentes de la digitalización. Es una infraestructura crítica para la mayoría de los organismos gubernamentales, ya que es la interfaz principal con el público, y con la proliferación del software como servicio (SaaS) y la modalidad de trabajo híbrido, también es el vehículo para las operaciones internas y la colaboración. La dependencia de Internet crea nuevos requisitos para los departamentos de informática, y en ocasiones puede tener consecuencias negativas si el entorno informático no está diseñado adecuadamente.
Imagina que tu agencia pierde el acceso a Internet debido a un ataque de denegación de servicio distribuido (DDoS). Tus empleados o contratistas podrían perder la conectividad a sus herramientas de trabajo, y los residentes podrían perder la capacidad de acceder a los servicios en línea. A medida que se prestan más servicios a los ciudadanos a través de la web, el impacto de una interrupción se percibe de forma generalizada.
Sin embargo, como líder de un gobierno estatal o local, ¿cómo proteges tus activos en Internet? ¿Cómo optimizas las experiencias de los clientes y proteges las identidades y los datos de los usuarios?
Tienes más control del que crees. Además, es imprescindible reforzar tus servicios de Internet como parte de tu plan de ciberresiliencia para 2025. Hay áreas de enfoque específicas que pueden poner a cualquier organismo en el camino correcto hacia la resiliencia: revisar la infraestructura del DNS, proteger las aplicaciones web y los servicios de las API, y revisar los servicios de red modernizados.
Moderniza tu infraestructura de DNS
Los servicios del sistema de nombres de dominio (DNS) son un componente crítico, aunque a menudo olvidado, de la infraestructura operativa y de ciberseguridad para los gobiernos estatales y locales. Estos servicios, que traducen las direcciones de sitio web legibles por humanos en direcciones IP, desempeñan un papel fundamental en el mantenimiento de la seguridad, la fiabilidad y la accesibilidad de los servicios digitales gubernamentales.
Los servicios DNS modernos proporcionan funciones de seguridad esenciales que ayudan a proteger contra diversas ciberamenazas, como el envenenamiento de DNS, el secuestro de dominios y los intentos de exfiltración de datos. Es importante destacar que el DNS suele ser la primera línea de defensa contra las ciberamenazas, y los servicios DNS modernos pueden detectar y bloquear el tráfico malicioso antes de que llegue realmente a las redes gubernamentales.
Más allá de la seguridad, los servicios de DNS permiten a los organismos gubernamentales estatales y locales:
Mantener la alta disponibilidad de los servicios en línea esenciales
Implementar el equilibrio de carga geográfico para mejorar la prestación de servicios
Supervisar y analizar los patrones de tráfico de red
Decídete a ser un experto en resiliencia y moderniza tu DNS para sacar el máximo partido a tu proveedor de DNS. Así es como se hace:
Usa el dominio de nivel superior .gov. La resiliencia y la confianza van de la mano, y el uso de un dominio .gov aumenta la confianza. Algunos estados ya están tomando medidas. Por ejemplo, el proyecto de ley 1637 de la Asamblea de California (AB 1637) exige una transición completa antes del 1 de enero de 2029.
Utiliza un DNS de protección. Un DNS de protección es cualquier servicio de seguridad que analiza las consultas de DNS y toma medidas para mitigar las amenazas, aprovechando el protocolo y la arquitectura de DNS existentes. El DNS de protección evita el acceso a malware, ransomware, ataques de phishing, virus, sitios maliciosos y spyware en el origen, lo que hace que la red sea intrínsecamente más segura.
Protege tu infraestructura de DNS. Recomendamos que las organizaciones tomen medidas para proteger sus infraestructuras de DNS, como revisar los registros de auditoría con regularidad y añadir la autenticación multifactor (MFA). Además, las instituciones deben asegurarse de que sus proveedores implementen extensiones de seguridad de DNS y avanzar hacia protocolos de DNS encriptados para proteger mejor las comunicaciones gubernamentales.
Mantén la presencia de tus clientes
Los organismos gubernamentales se encuentran cada vez más en la primera línea de un nuevo campo de batalla de la ciberseguridad: la protección de las aplicaciones web y las API (interfaces de programación de aplicaciones). Dado que las aplicaciones web y las API son ahora la principal forma en que los ciudadanos interactúan con los servicios gubernamentales, desde la declaración de impuestos hasta la gestión de las prestaciones sociales, estas interfaces digitales gestionan millones de transacciones confidenciales al día. Su seguridad es primordial para mantener la confianza pública.
Mientras tanto, los ataques a aplicaciones web y API están en máximos históricos. En 2022, se registraron más de 400 millones de ataques diarios a aplicaciones web y API.
La seguridad perimetral tradicional ya no es suficiente. Para reforzar la ciberseguridad de los gobiernos estatales y locales, necesitamos medidas integrales de seguridad de las aplicaciones y las API que puedan proteger contra las amenazas modernas, como:
Ataques sofisticados de bots contra servicios gubernamentales
Vulnerabilidades específicas de las API que pueden exponer datos confidenciales
Ataques a la cadena de suministro a través de integraciones de terceros
Vulnerabilidades de día cero dirigidas a marcos de aplicaciones
Gartner define la protección de aplicaciones web y API en la nube (WAAP) como una categoría de soluciones de seguridad diseñadas para proteger las aplicaciones web, independientemente de sus ubicaciones alojadas. Normalmente, estos servicios se ofrecen como una serie de módulos de seguridad que proporcionan protección contra una amplia gama de ataques en tiempo de ejecución a las aplicaciones web.
Demuestra tu resiliencia y garantiza que tus aplicaciones de cliente están protegidas mediante el uso de herramientas WAAP con los siguientes pasos:
Usa una red de entrega de contenido (CDN) para protegerte contra los ataques DDoS y añade resistencia con el equilibrio de carga
Implementa servicios de firewall de aplicaciones web (WAF) para filtrar y supervisar el tráfico HTTP y proteger contra bots maliciosos y rastreadores web
Utiliza controles sólidos de autenticación y autorización para las aplicaciones y las API
Protege, supervisa y gestiona el tráfico de las API con una puerta de enlace de API
Realizar pruebas de seguridad y evaluaciones de vulnerabilidad continuas
Evalúa las capacidades de detección y respuesta a amenazas en tiempo real de tus proveedores
Garantiza la continuidad empresarial modernizando los servicios de red
En la lista de las 10 principales prioridades de la NASCIO, la modernización heredada es una constante. Hay muchas razones por las que sigue apareciendo la necesidad de modernización. Por ejemplo, las organizaciones siguen utilizando componentes de infraestructura obsoletos y en desuso, y los departamentos de informática a menudo no pueden seguir el ritmo de los increíbles cambios arquitectónicos que se han producido en la informática durante la última década. Esos cambios se debieron al cambio a las aplicaciones SaaS, al desplazamiento de los centros de datos por la nube, y a la proliferación de trabajadores híbridos. Todos estos factores ayudaron a invertir el flujo de trabajo típico de datos/tráfico de una empresa interna/empresa externa 80/20 a un paradigma 20/80. Con este importante cambio, las redes de enrutador en estrella tipo hub-and-spoke del pasado deben reemplazarse o actualizarse para admitir esta transformación.
La mayoría de los organismos y empresas privadas están en el mismo camino para modernizar su infraestructura de red. Como la mayoría de los activos informáticos y los usuarios están ahora en Internet en lugar de en una red corporativa, el aumento o la sustitución de las redes MPLS tradicionales por Internet como WAN tiene sentido desde el punto de vista del rendimiento y del coste. La adopción de servicios basados en la nube para acelerar, optimizar y proteger estos componentes de la infraestructura tiene sentido desde el punto de vista de la seguridad y el uso. Este enfoque moderno proporciona un ancho de banda escalable, optimizado para la entrega de aplicaciones modernas, con resiliencia incorporada, todo ello mientras reduce la complejidad y los costes.
La resiliencia de la red actual se puede ofrecer como un servicio, de forma similar a como se han entregado los centros de datos y las aplicaciones como servicio (IaaS y SaaS) durante años. Una agencia puede implementar WAN como servicio, firewall como servicio, protección contra DDoS y un marco SASE. Es posible y a menudo recomendable utilizar Internet como red troncal de una agencia, o al menos como un componente de la misma.
Las ventajas incluyen resiliencia y escalabilidad integradas. Un corte de cable, una interrupción del centro de datos o incluso un ataque DDoS masivo no afectarán al tiempo activo ni al rendimiento. Las instituciones pueden proteger, conectar y acelerar sus redes sin el coste y la complejidad de ejecutar o mantener hardware.
Medidas para reforzar la infraestructura digital
A medida que los organismos gubernamentales siguen ampliando sus servicios digitales, deben transformar su arquitectura informática y su estrategia de ciberseguridad para adaptarse al mundo moderno. Esta transformación debe incluir la protección de los servicios en línea para los ciudadanos que ofrecen las aplicaciones web y las API. Una presencia en línea segura y coherente sigue siendo fundamental para mantener la confianza del público y proteger la información confidencial. Con la evolución diaria de las ciberamenazas, las medidas de seguridad sólidas no son solo un requisito técnico, sino una obligación fundamental de servicio público.
Cloudflare ayuda a los gobiernos estatales y locales, así como a las organizaciones del sector público, a lograr resultados mediante una plataforma unificada de servicios nativos de nube. En lugar de tener que implementar y gestionar numerosas herramientas de ciberseguridad dispares, las instituciones pueden utilizar la plataforma exclusiva de Cloudflare para prepararse y abordar una amplia gama de amenazas disruptivas, todo ello mientras controlan los costes y la complejidad.
Este artículo forma parte de un conjunto de publicaciones sobre las últimas tendencias y temas que afectan a los responsables de la toma de decisiones sobre tecnología en la actualidad.
Este artículo se elaboró originalmente para Government Technology.
Autor
Dan Kent — @danielkent1
Director técnico — Sector público, Cloudflare
CONCLUSIONES CLAVE
Después de leer este artículo podrás entender:
Por qué los organismos estatales y locales deben prepararse ahora para futuras interrupciones
El papel clave de Internet en la prestación de servicios gubernamentales
Tres pasos para reforzar la infraestructura digital
Recursos relacionados
Más información sobre este tema
Para más información sobre cómo Cloudflare puede ayudar a tu agencia gubernamental estatal o local a abordar los desafíos de ciberseguridad, consulta el resumen Cloudflare para gobiernos estatales y locales.