Australia ha establecido formalmente una Junta de Revisión de Incidentes Cibernéticos para realizar revisiones posteriores a los incidentes importantes de ciberseguridad, sin culpa, para extraer lecciones prácticas y fortalecer la resiliencia nacional. El comité revisará los principales eventos cibernéticos y brindará recomendaciones al gobierno y la industria para mejorar la forma en que las organizaciones previenen, detectan, responden y minimizan el impacto de futuros ataques. La iniciativa forma parte de la Ley de Seguridad Cibernética de 2024 y forma parte de la Estrategia Australiana de Seguridad Cibernética 2023-2030, lo que refleja un impulso más amplio para posicionar a Australia entre las naciones más seguras cibernéticamente del mundo para finales de la década.
«Sabemos que los ciberataques son constantes. Esto garantiza que aprendamos de cada ataque y sigamos aumentando nuestra resiliencia», dijo Tony Burke, ministro de ciberseguridad de Australia, en un comunicado de prensa esta semana. «La Junta de Revisión de Incidentes Cibernéticos revisará los principales eventos de ciberseguridad, desarrollará hallazgos y brindará recomendaciones para mejorar la ciberresiliencia nacional en el gobierno y la industria».
Añadió que Australia tiene la suerte de contar con líderes en ciberseguridad altamente experimentados que lideran este trabajo. «Estos nombramientos reflejan nuestro compromiso colectivo de mantener seguros a los australianos en un entorno cibernético cada vez más complejo».
El Comité de Revisión de Incidentes Cibernéticos incluye a Narelle Devine, jefa global de ciberseguridad de Telstra, quien actuará como presidenta. También forman parte de la junta Debi Ashenden, directora del Instituto de Seguridad Cibernética de la Universidad de Nueva Gales del Sur, Valeska Bloch, socia y jefa de seguridad cibernética de Allens, Jessica Burleigh, jefa de seguridad cibernética de Boeing Australia, Darren Kane, jefe de seguridad cibernética de NBN Co, Berin Lautenbach, jefe global de seguridad cibernética de Toll Group, y Nathan Morelli, jefe de seguridad cibernética y resiliencia de TI de SA Power Networks.
La junta de siete miembros reúne a líderes cibernéticos de alto nivel de toda la industria, el mundo académico y la infraestructura crítica, combinando experiencia técnica, de gobernanza y de seguridad nacional para brindar asesoramiento independiente. Su mandato se centra en aprender sistemáticamente de los incidentes en lugar de asignar culpas, lo que indica un cambio hacia la responsabilidad operativa y la mejora continua en el ecosistema cibernético. Reúnen experiencia en ciberseguridad junto con una sólida experiencia técnica, de gobernanza, legal, de seguridad nacional y comunitaria, posicionando a la junta para brindar asesoramiento confiable e independiente al gobierno y la industria.
Según el Departamento del Interior, el mecanismo de revisión tiene como objetivo fortalecer la colaboración entre el gobierno y la industria y convertir las lecciones aprendidas de los principales incidentes cibernéticos en medidas prácticas de resiliencia para las empresas, las comunidades y la economía en general. El comité realizará revisiones solo después de que el incidente haya concluido y se hayan completado las actividades iniciales de respuesta e investigación. Su trabajo examinará un evento único o grupos de incidentes similares, agrupados por características compartidas como vectores de ataque, sistemas afectados o vulnerabilidades conocidas.
El gobierno dijo que un grupo de expertos, formado por especialistas de la industria de los sectores público y privado, apoyará a la junta de revisión de incidentes cibernéticos. Los miembros contribuirán con su experiencia en ciberseguridad, cuestiones legales e industrias relevantes para informar las revisiones de la junta.
La Junta emprenderá un proceso de expresión de interés para identificar y nombrar candidatos calificados, de acuerdo con los requisitos de elegibilidad establecidos en el Reglamento de Seguridad Cibernética (Junta de Revisión de Incidentes Cibernéticos) de 2025. Las personas deben tener, o ser elegibles para obtener, una Autorización de Seguridad del Gobierno Australiano de Nivel 1 de Control Negativo, necesaria para ser consideradas para su nombramiento para paneles de revisión que examinan incidentes cibernéticos específicos.
Los cargos del Consejo de Expertos son a tiempo parcial y de duración determinada, indicados en la escritura de nombramiento, con una duración máxima de cuatro años.
La elegibilidad requiere que las personas posean, o tengan derecho a obtener, una autorización de seguridad del gobierno australiano que permita el acceso a información clasificada al menos como secreta, o una autorización equivalente reconocida por la Commonwealth. Los solicitantes también deben demostrar habilidades relevantes a través de calificaciones o experiencia. Esto puede incluir un título en derecho con experiencia profesional sustancial, educación formal en ciberseguridad, tecnología de la información, redes informáticas o ingeniería de software, o experiencia práctica significativa en seguridad informática o de la información.
Antecedentes calificados adicionales incluyen roles de alto nivel en el gobierno, experiencia en auditoría, funciones regulatorias o de aseguramiento, gestión de incidentes o respuesta a crisis, trabajo en sectores de infraestructura crítica según lo definido por la Ley de Seguridad de Infraestructura Crítica (SOCI) de 2018, o sólidas credenciales académicas en un campo relacionado.
Los nombramientos no se consideran nombramientos públicos según la Ley del Tribunal de Remuneraciones de 1973 y la remuneración solo se aplica cuando un miembro es seleccionado para formar parte de un panel de revisión para un incidente específico. Antes de realizar cualquier nombramiento, el Presidente debe asegurarse de que el candidato cumple con todos los criterios de elegibilidad y tiene las calificaciones, conocimientos, habilidades o experiencia necesarios. Si un candidato ocupa un cargo en el gobierno de un Estado o Territorio, el nombramiento requiere el acuerdo de la jurisdicción correspondiente.
Siguiendo el modelo de la ahora desaparecida Junta de Revisión de Seguridad Cibernética (CSRB) de EE. UU., creada por la Orden Ejecutiva 14028 en 2021 y diseñada como un organismo público-privado para investigar incidentes cibernéticos importantes y extraer lecciones para fortalecer la resiliencia nacional. La CSRB ha examinado eventos de alto perfil como los compromisos de Log4j y Microsoft Exchange, destacando brechas de seguridad sistémicas y recomendando una autenticación, monitoreo y transparencia más sólidos. Si bien avanzó en el aprendizaje posterior al incidente, persistieron dudas sobre su dependencia de la cooperación voluntaria y sus limitados poderes de aplicación de la ley.
