El presidente de Estados Unidos, Joe Biden, firma este jueves un decreto que supone su último intento de reforzar las ciberdefensas de Estados Unidos tras una serie de ciberataques a redes federales que las autoridades estadounidenses atribuyeron a agentes chinos y rusos.
La directiva es el resultado de un examen de un mes de duración por parte de funcionarios estadounidenses de las principales operaciones de piratería informática que tuvieron lugar durante la administración Biden, desde la supuesta interrupción por parte de Rusia de un proveedor de satélites antes de la invasión a gran escala de Ucrania por parte del Kremlin, hasta la supuesta infiltración de China en las redes de telecomunicaciones estadounidenses para espiar a altos cargos republicanos y demócratas.
El objetivo es “situar a la nueva administración y al país en la senda del éxito continuado” y “hacer que a China, Rusia, Irán y los delincuentes del ransomware les cueste más y les resulte más difícil piratear”, declaró este miércoles a la prensa Anne Neuberger, alta funcionaria de la Casa Blanca.
El decreto presidencial encomendará a las agencias el uso de un cifrado más potente para proteger las llamadas y los mensajes de texto de los empleados federales de la interceptación, según un borrador revisado por CNN. Se trata de un guiño al pirateo de las telecomunicaciones chinas, que se cebaron con objetivos que utilizaban mensajería insegura. La directiva también otorga a la agencia cibernética del Departamento de Seguridad Nacional más poder para recopilar datos clave de las redes de otras agencias con el fin de investigar operaciones sofisticadas de piratería informática y facilita al Departamento del Tesoro la sanción de ciberdelincuentes o espías que perturben infraestructuras críticas de Estados Unidos.
El decreto también contempla nuevos programas para tratar de reducir el fraude de identidad por valor de miles de millones de dólares que ha afectado a los estadounidenses y utilizar la inteligencia artificial para proteger el sector energético estadounidense de los hackeos.
El decreto refleja la prolongada frustración de los funcionarios de la administración Biden con las laxas prácticas de seguridad de las empresas de software que venden al Gobierno estadounidense. Por ejemplo, una revisión de las prácticas de seguridad de Microsoft, respaldada por el Gobierno estadounidense, descubrió una “cascada” de “errores evitables” que permitieron a otro grupo de piratas informáticos chinos acceder a la red del gigante tecnológico y, posteriormente, a las cuentas de correo electrónico de altos funcionarios estadounidenses en 2023. (Microsoft ha anunciado reformas en sus políticas de seguridad).
En sus primeros meses en el cargo, Biden emitió otro decreto de ciberseguridad que exigía a los contratistas cumplir un conjunto mínimo de normas de seguridad para hacer negocios con el Gobierno. Pero la directiva de este jueves exige por fin a esos contratistas que faciliten al Gobierno y al público datos que demuestren que su software cumple los requisitos de desarrollo seguro. Las agencias federales publicarán los recibos en Internet para que el público pueda verlos, según la orden.
“No estábamos validando que los productos que utilizábamos nos transmitieran realmente que cumplían esa norma de seguridad”, declaró Neuberger.
La ciberseguridad fue tradicionalmente una cuestión bipartidista. Aún no está claro hasta qué punto el nuevo equipo de Trump que tomará posesión la próxima semana mantendrá o desechará el decreto. El próximo asesor de seguridad nacional de Trump, Mike Waltz, pidió más operaciones cibernéticas ofensivas, pero la próxima administración no ha establecido estrategias para la defensa cibernética.