ANCHOR-CI podría arreglar 20 años de colaboración rota entre el gobierno y la industria
El 1 de julio, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) publicó un aviso de siete páginas en el Registro Federal que podría cambiar fundamentalmente la forma en que el gobierno de EE. UU. trabaja con empresas privadas para proteger la infraestructura crítica de amenazas cibernéticas y desastres naturales.
El aviso, “Establecimiento de la Alianza de Consejos Nacionales para la Resiliencia Operacional Nacional – Infraestructura Crítica (ANCHOR-CI)”, detalla un nuevo marco para que CISA cree consejos que permitan a los socios privados asesorar al gobierno sobre cuestiones de ciberseguridad e infraestructura crítica. Esto reemplaza el marco de 20 años que el gobierno federal solía trabajar con socios de infraestructura crítica, anteriormente conocido como el Consejo Asesor de Asociación de Infraestructura Crítica (CIPAC). Durante al menos los próximos dos años, ANCHOR-CI dictará cómo colaboran el gobierno y la industria para proteger la infraestructura crítica.
Cuando la exsecretaria de Seguridad Nacional, Kristi Noem, despidió al CIPAC en marzo del año pasado, Congreso y socios del sector privado objetó inmediatamente. El daño fue real. el 16 consejos coordinadores sectoriales (CCS), que reunió a socios privados de cada sector de infraestructura crítica perdió su mecanismo legal para reunirse con el gobierno federal. Ya no podían asesorar ni brindar consenso grupal a sus contrapartes federales sin activar leyes que el CIPAC eximía. Sin duda, CISA todavía tenía la Colaboración conjunta de ciberdefensa. El Departamento de Energía tuvo la Centro de análisis de amenazas energéticas. La Agencia de Seguridad Nacional tenía la Centro de colaboración en ciberseguridad. Pero ninguno, sin embargo, reemplazó lo que hicieron los SCC: actuar como foros estables donde la industria y el gobierno discutieron cómo ayudar mejor a los propietarios y operadores de infraestructura crítica.
No es que los SCC fueran perfectos. Trabajé con o junto a SCC durante más de una década, más recientemente en CISA, y estoy familiarizado con sus deficiencias. La membresía del SCC podría estar estancada. La calidad de las recomendaciones al gobierno varió. Los nuevos miembros enfrentaron barreras basadas en las reglas de cada sector.
El problema central fue cómo el modelo encerró a cada sector. El DHS construyó SCC en una era en la que los riesgos críticos de infraestructura se analizaban a través de una lente específica de cada sector: energía, transporte, agua, comunicaciones, etc. Las ciberamenazas actuales afectan a estos sectores. Una vulnerabilidad en un proveedor de servicios en la nube o en una plataforma de software industrial puede dañar simultáneamente a hospitales, tuberías, fabricantes, empresas de servicios de agua e instituciones financieras.
Para ver por qué ANCHOR-CI funciona mejor que la estructura del CIPAC, debemos retroceder 20 años y comprender lo que el CIPAC estaba tratando de hacer. El Congreso no codificó el CIPAC como ley. En cambio, el Congreso autorizó al DHS a establecer comités asesores exentos de la Ley del Comité Asesor Federal (FACA). Esta exención permitió al gobierno federal y a los SCC celebrar reuniones privadas sin previo aviso público, reunirse rápidamente sin cumplir con los requisitos procesales de la FACA, elegir miembros basándose en su experiencia en lugar de una representación pública equilibrada y saltarse los requisitos de mantenimiento de registros públicos de la FACA. (Pero estas exenciones de la FACA no eximen a los registros de la Ley de Libertad de Información, un error común).
ANCHOR-CI lleva adelante este poder. Fundamentalmente, ANCHOR-CI pone fin al enfoque aislado, sector por sector, mediante la creación de cuatro tipos de consejos: Consejos Sectoriales de Infraestructura Crítica; Consejos Intersectoriales; Consejos de la Industria de Infraestructura Crítica; y Consejos Coordinadores Regionales.
Consejos del sector de infraestructura crítica: Estos son básicamente los antiguos SCC, pero con un cambio de poder. El director de CISA ahora aprueba o destituye directamente a cualquier miembro del consejo.
Consejos intersectoriales: Estos consejos son los más importantes. Específicamente, abordan “amenazas, interdependencias u otros problemas actuales y emergentes que afectan a múltiples sectores o industrias de infraestructura crítica”. Los ejemplos podrían incluir consejos para contrarrestar los sistemas aéreos no tripulados, las amenazas de la IA o reducir la dependencia de las cadenas de suministro extranjeras. CISA también podría reactivar y ampliar el Grupo de Trabajo de Infraestructura Crítica de Sistemas Espaciales.
Consejos de la industria de infraestructura crítica: Como consejos intersectoriales, pero diseñados para cuestiones que abarcan sectores de maneras que no encajan perfectamente en un sector determinado. Después de Volt Typhoon, una campaña china que instaló malware malicioso en infraestructuras críticas, CISA pudo establecer un consejo de tecnología operativa con fabricantes de equipos originales, proveedores de software y propietarios de infraestructuras críticas para abordar y detener la amenaza.
Consejos Coordinadores Regionales: CISA dice que estos ayudarán a los gobiernos estatales y locales a abordar los riesgos regionales. Lo que eso significa en la práctica no está claro. CISA podría crear 10 consejos vinculados a 10 oficinas regionales. O podría crear consejos centrados en riesgos regionales reales: prepararse para la zona de subducción de Cascadia en el noroeste del Pacífico, sequías en el suroeste o huracanes en el sur y el Atlántico medio.
Al final, como cualquier política, el éxito depende de cómo la lleva a cabo CISA. Si CISA ejecuta ANCHOR-CI de manera cuidadosa y transparente, podría convertirse en la mayor mejora del trabajo de colaboración público-privada en ciberseguridad en dos décadas.
