Tras una inversión de $7.6 millones en fondos estatales, la Oficina de Innovación y Servicios de Tecnología de Puerto Rico (PRITS, por sus siglas en inglés) firmó un acuerdo que le permitirá prevenir y reducir el impacto de ataques cibernéticos que ocurran contra el gobierno.

El acuerdo, firmado en mayo pasado con el Multi-State Information Sharing and Analysis Center (MS-ISAC), comprende una suscripción anual para 150,000 dispositivos, a razón de $4.25 por dispositivo al mes, para servicios de “endpoint detection and response”.

“Es un software que se añade a los dispositivos que utilizan los empleados gubernamentales, pues los mayores riesgos de ciberseguridad están asociados a los dispositivos de los usuarios y al error humano”, explicó Nannette Martínez Ortiz, directora ejecutiva interina de PRITS, oficina a cargo de velar por la seguridad cibernética de las agencias de la Rama Ejecutiva del gobierno de la isla.

Estos dispositivos, también conocidos como endpoints, incluyen computadoras de escritorio (desktops), computadoras portátiles (laptops), teléfonos móviles, tabletas, servidores y entornos virtuales. De acuerdo con la funcionaria, la importancia de proteger los dispositivos cobró mayor relevancia ante el aumento en el trabajo remoto de empleados gubernamentales, que comenzó durante la pandemia de COVID-19.

El servicio de “endpoint detection and response” cuenta con un centro de vigilancia las 24 horas del día, los siete días de la semana, que incluye los servicios de monitoreo, administración, configuración, manejo de incidentes e investigación forense digital.

El proveedor del servicio, el MS-ISAC, división del Center for Internet Security (CIS), estará a cargo de la prevención, protección, respuesta y recuperación de amenazas cibernéticas de los gobiernos estatales, locales, tribales y territoriales de Estados Unidos.

El MS-ISAC, a su vez, recibe fondos federales de la Cybersecurity and Infrastructure Security Agency (CISA), agencia estadounidense a cargo de administrar y proteger la infraestructura cibernética y física de la nación.

“El CIS es una entidad sin fines de lucro designada por Homeland Security a nivel federal, particularmente para la prevención y manejo de todas las amenazas cibernéticas”, abundó Martínez Ortiz.

“Estamos hablando de servicios que se ofrecen únicamente al gobierno y el acuerdo es un esfuerzo que nos posiciona a un nivel superior en comparación con otras jurisdicciones. Además, nos iguala, a nivel de seguridad, con las zonas más competitivas del sector privado y complementa muchos de los demás esfuerzos que tenemos corriendo en nuestra oficina de ciberseguridad”, continuó.

Agregó que PRITS cuenta con sistemas como Microsoft Sentinel, que protegen las cuentas que usan los empleados del gobierno para trabajar en sus computadoras y con “firewalls” que monitorean las redes de las agencias del gobierno estatal. Con este servicio de MS-ISAC, el gobierno contará por un año con protecciones para los dispositivos que utilizan los empleados públicos. “Cuando se juntan las protecciones a nivel de cuenta, de dispositivo y de red, se complementan para prevenir y proteger los sistemas”, detalló Martínez Ortiz.

La funcionaria estimó que la suscripción para 150,000 dispositivos debe cubrir las más de 100 agencias de la Rama Ejecutiva del gobierno estatal.

Dijo que, actualmente, el mayor riesgo de seguridad cibernética de las organizaciones está asociado a las cuentas y dispositivos de los usuarios finales, que en el caso del gobierno son sus empleados. Estos dispositivos son el blanco de los ataques de seguridad debido a que estos no residen permanentemente en los predios de las agencias y su carácter portátil permite que se puedan conectar a diversas redes inalámbricas. De esta forma, los hackers utilizan estos dispositivos para tener acceso a la red y robar información.

“La tendencia en amenazas de seguridad cibernética es que se aprovechan de la vulnerabilidad del usuario, no solo de la infraestructura (red) y de su contenido”, explicó.

Entre los ataques que aprovechan la vulnerabilidad del usuario están el “phishing” y el “ransomware”. El primero consiste en la práctica fraudulenta de enviar correos electrónicos, mensajes o enlaces que pretenden ser de entidades reales para inducir a las personas a revelar información personal, como contraseñas y números de tarjetas de crédito. El segundo es un tipo de software malicioso que está diseñado para bloquear el acceso a un sistema informático hasta que se pague una suma de dinero a modo de rescate. Ambos tienen el potencial de interrumpir servicios que ofrece el gobierno y de poner en riesgo información sensitiva del estado o de los ciudadanos.

Por eso, Martínez Ortiz aseguró que aun cuando el acuerdo con MS-ISAC impacta directamente los dispositivos que utilizan los empleados públicos, “al final se beneficia el ciudadano porque esto previene cualquier amenaza que pueda causar una interrupción del servicio del gobierno”.

Para complementar estos esfuerzos de ciberseguridad, la funcionaria informó que PRITS lanzará este verano una campaña publicitaria de seis meses en todos los medios, pero con mayor enfoque en medios digitales, para orientar a los ciudadanos acerca de temas de seguridad cibernética. Con una inversión de $500,000, la campaña abordará, por ejemplo, sobre cómo evitar caer en un intento de “phishing” y cómo distinguir páginas y mensajes oficiales del gobierno de los que no lo son.

“Las amenazas cibernéticas siempre van a existir. Por eso es importante pensarlo bien antes de ingresar tus datos en cualquier lugar. Nadie está inmune”, sostuvo Martínez Ortiz.