La agencia de ciberseguridad de EE.UU. CISA tuvo que crear su manual de respuesta durante el propio incidente, revela la agencia

La agencia federal de ciberseguridad de Estados Unidos, conocida como CISA (Cybersecurity and Infrastructure Security Agency), ha reconocido que no contaba con un plan de respuesta preparado para manejar un incidente de seguridad ocurrido en mayo, después de que un periodista de investigación notificara a la agencia que un contratista había expuesto públicamente claves sensibles y credenciales para acceder a sistemas gubernamentales.

CISA, la unidad del Departamento de Seguridad Nacional encargada de defender las redes federales y ayudar a proteger la infraestructura crítica, reveló el viernes en un informe post-mortem que su personal “tuvo que dedicar tiempo a construir un manual de respuesta durante las etapas iniciales del incidente”. La agencia señaló que es importante preparar manuales para “todas las necesidades anticipadas” con el fin de garantizar que las organizaciones estén listas para responder en caso de un incidente de seguridad, en lugar de tener que improvisar uno en tiempo real.

El incidente salió a la luz cuando el periodista independiente de ciberseguridad Brian Krebs informó en mayo que un investigador de seguridad de la firma GitGuardian le había alertado sobre la existencia de numerosas contraseñas expuestas almacenadas en un repositorio de GitHub de acceso público. Estas credenciales habían sido subidas por un empleado de un contratista que trabajaba para CISA. La filtración incluía claves y contraseñas que permitían el acceso a sistemas críticos del gobierno estadounidense, lo que representaba un grave riesgo de seguridad.

Krebs, conocido por sus investigaciones en el ámbito de la ciberseguridad, contactó a CISA para informarles sobre el hallazgo, momento en el que la agencia se encontró sin un plan predefinido para gestionar la situación. Según el informe, los equipos de CISA tuvieron que desarrollar un manual de incidentes sobre la marcha, mientras evaluaban el alcance de la exposición y coordinaban con el contratista para eliminar los datos sensibles del repositorio público.

El informe de CISA no especifica cuánto tiempo retrasó la falta de un manual la respuesta de la agencia, y un portavoz no respondió de inmediato a la solicitud de comentarios de TechCrunch. Sin embargo, el documento subraya la necesidad de contar con procedimientos preestablecidos para evitar demoras críticas. “La lección aprendida es que los manuales de respuesta deben estar listos antes de que ocurra un incidente, no durante”, escribió la agencia en el informe.

Este caso pone de relieve un problema recurrente en muchas organizaciones, tanto públicas como privadas: la falta de preparación ante incidentes de ciberseguridad. Aunque CISA es la principal agencia de ciberseguridad del gobierno federal, el incidente demuestra que incluso las entidades encargadas de proteger las redes nacionales pueden ser vulnerables a fallos humanos y a la ausencia de protocolos adecuados.

El contratista involucrado en la filtración no ha sido identificado públicamente, pero se sabe que trabajaba en proyectos relacionados con la seguridad de sistemas gubernamentales. La exposición de credenciales podría haber permitido a actores maliciosos acceder a sistemas sensibles, aunque CISA aseguró que no hay evidencia de que los datos fueran explotados antes de su eliminación.

En su análisis posterior, CISA recomendó que todas las agencias federales y contratistas implementen medidas como la rotación periódica de credenciales, el escaneo constante de repositorios públicos en busca de información sensible, y la creación de manuales de respuesta específicos para cada tipo de incidente. La agencia también enfatizó la importancia de la capacitación continua del personal y la colaboración con investigadores externos para detectar vulnerabilidades de manera temprana.

Este incidente sirve como un recordatorio de que la ciberseguridad no solo depende de la tecnología, sino también de procesos y planificación. La improvisación durante una crisis puede aumentar los riesgos y retrasar la contención, mientras que un manual bien diseñado puede marcar la diferencia entre un incidente controlado y una violación de datos masiva. Para CISA, la experiencia ha sido un llamado de atención para reforzar su propia preparación, incluso mientras sigue aconsejando a otras organizaciones que hagan lo mismo.