WASHINGTON — La mayoría de las agencias federales no implementó a tiempo las medidas obligatorias de seguridad en la nube emitidas por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), según un informe del inspector general del Departamento de Seguridad Nacional.
La auditoría examinó la respuesta de las agencias a una directiva de 2024 que exigía adoptar configuraciones de seguridad desarrolladas mediante el proyecto Secure Cloud Business Applications, conocido como SCuBA.
El informe encontró que el 86% de las agencias no había implementado todas las políticas obligatorias antes del plazo de junio de 2025.
Según el inspector general, este incumplimiento debilita la seguridad de los sistemas federales y aumenta el riesgo de ciberataques prevenibles y pérdida de información.
CISA no puede obligar a las agencias a cumplir
Aunque las directivas operativas de CISA son consideradas obligatorias para las agencias civiles federales, la entidad no cuenta con autoridad suficiente para exigir su implementación completa y dentro de los plazos establecidos.
La Ley Federal de Modernización de la Seguridad de la Información de 2014 permite al Departamento de Seguridad Nacional emitir directivas de ciberseguridad. Sin embargo, no le concede facultades para imponer consecuencias a las agencias que incumplan.
El papel de CISA se limita a desarrollar políticas, ayudar con su implementación y reportar el nivel de cumplimiento.
Debido a esta falta de autoridad, el inspector general no presentó recomendaciones dirigidas a la agencia. CISA tampoco ofreció comentarios sobre el informe.
Agencias enfrentan dificultades para aplicar las medidas
CISA creó el proyecto SCuBA para corregir vulnerabilidades en servicios de nube como las utilizadas durante el ataque de SolarWinds en 2020. La iniciativa ofrece configuraciones y herramientas de evaluación para plataformas ampliamente utilizadas, entre ellas Microsoft 365.
La agencia realizó más de 80 actividades de orientación con la participación de más de 1,000 personas. Sus herramientas de evaluación fueron descargadas por más de 130,000 usuarios.
Expertos señalaron que algunas agencias carecen del personal, los recursos o la capacidad técnica necesarios para implementar rápidamente todas las configuraciones. No obstante, advirtieron que retrasar estas medidas abre nuevas oportunidades para los atacantes.
En 2023, un comité del Senado aprobó un proyecto de reforma que habría fortalecido las facultades de CISA para supervisar la seguridad de las redes federales, pero la propuesta no continuó avanzando en el Congreso.
CISA también supervisa nuevas directivas, incluida una iniciativa que utiliza inteligencia artificial para ayudar a las agencias a identificar y corregir primero las vulnerabilidades de software de mayor riesgo.