En un foro nacional, la titular de la Dirección General de Ciberseguridad de la Agencia de Transformación Digital y Telecomunicaciones, reconoció que en muchas instituciones públicas no existe la capacidad para identificar y responder oportunamente a incidentes.
Redacción
Durante el panel “Actualidad y futuro en la ciberseguridad” del 2º Foro organizado por la Alianza México Ciberseguro (AMCS), Heidy Karla Rocha Ruiz, titular de la Dirección General de Ciberseguridad de la Agencia de Transformación Digital y Telecomunicaciones (ATDT), admitió que en muchas instituciones públicas del país no existe la capacidad para identificar y responder oportunamente a incidentes.
“Pasa un incidente y no se tiene la capacidad de respuesta, desde identificarlo”.
La funcionaria de la ATDT advirtió que los riesgos no son solo técnicos, pues un incidente no gestionado puede afectar servicios públicos, poner en riesgo datos personales de millones de personas o interrumpir operaciones críticas. Por ello enfatizó la necesidad de priorizar activos críticos y de diseñar ejercicios reales de respuesta y planes de contingencia.
Rocha Ruiz explicó que esa detección tardía hace que, en ataques sofisticados, las intrusiones puedan permanecer meses sin ser advertidas por la propia dependencia afectada, con lo que el incidente ya está consolidado cuando finalmente se detecta. Ese diagnóstico coincide con observaciones internacionales sobre la “dwell time” (tiempo de permanencia en un sitio web) de los atacantes en redes vulneradas.
Durante su exposición, la funcionaria de la ATDT reconoció que hoy muchas dependencias dependen de tecnologías y servicios del sector privado para afrontar las amenazas.
Como respuesta inmediata, Rocha Ruiz anunció la creación de la Dirección General de Ciberseguridad, así como la configuración del Centro de Operaciones de Ciberseguridad (CSOC) federado y la articulación con el Equipo de Respuesta a Incidentes de Seguridad Informática (CSIRT) Nacional para fomentar reportes, colaboración y mejores prácticas de higiene digital entre dependencias, academia e industria.
También adelantó que en octubre la Agencia de Transformación Digital y Telecomunicaciones de México publicará la “política general de ciberseguridad”, un documento que, según sus responsables, contendrá lineamientos y guías de implementación para la administración pública federal y definirá requisitos mínimos para detección y respuesta. Esa política será el instrumento técnico que, en teoría, marcará plazos y responsabilidades.
Pese a los anuncios, especialistas y parte de la industria privada advierten que la mera publicación de políticas no sustituye la necesidad de capacidades operativas: sensores, plataformas de monitoreo, manuales (playbooks) de respuesta, ejercicios de mesa y, sobre todo, personal capacitado y retenido en el sector público.
Otros ponentes en el foro nacional señalaron incrementos en fraudes, malware móvil y ataques a infraestructura crítica, por lo que la ventana de exposición para organismos públicos es amplia si no mejora la detección temprana.
Especialistas apuntan a que uno de los problemas prácticos es que no existe una homogeneidad operativa entre dependencias, ya que, aunque algunas cuentan con unidades de respuesta (CSIRT) con cierto nivel de madurez; otras ni siquiera tienen capacidades mínimas de monitoreo.
El reto de la ATDT, señalan, será federar esos esfuerzos y homologar criterios técnicos y de reporte sin crear cuellos de botella burocráticos.
La formación y retención de personal especializado en ciberseguridad es una limitante mundial, y México no es la excepción, por lo cual la ATDT ha señalado la necesidad de impulsar programas con academia e industria para formar el talento público que sostenga un CSOC eficaz.
La representante de la ATDT también reconoció la importancia de la colaboración pública-privada. El 2º Foro Nacional reunió a autoridades, empresas y academia para trazar una hoja de ruta. Sin embargo, académicos y representantes del sector privado señalaron que la transición debe incluir métricas públicas y auditorías independientes que demuestren avances concretos –no solo anuncios— en reducción de tiempos de detección y mitigación.
Entre las medidas anunciadas están la estandarización de protocolos de reporte, la promoción de herramientas abiertas para monitoreo y la creación de pilotos sectoriales (energía, salud, transporte) para validar modelos de CSOC federado. Queda por definirse el calendario, la inversión necesaria y los criterios de evaluación.
