Australia anunció el lunes que está creando un panel para realizar revisiones independientes tras ataques cibernéticos graves, uniéndose a un pequeño número de otras jurisdicciones que han creado programas similares.
La Junta de Revisión de Incidentes Cibernéticos llevará a cabo revisiones posteriores al incidente sin culpa de ataques cibernéticos importantes contra el gobierno y la industria australianos, centrándose en lecciones sistémicas en lugar de culpabilidad individual o corporativa.
Tony Burke, Ministro del Interior y Seguridad Cibernética de Australia, anunció siete nombramientos para la junta, la mayoría de ellos mujeres, una rareza en un campo que tiene una fuerte presencia masculina en los niveles superiores.
Estará presidido por Narelle Devine, directora global de ciberseguridad de Telstra. Los otros miembros provienen de Boeing Australia, NBN Co, la Universidad de Nueva Gales del Sur, el bufete de abogados Allens, Toll Group y SA Power Networks.
«Sabemos que los ciberataques son constantes. Esto garantiza que aprendamos de cada ataque y sigamos aumentando nuestra resiliencia», afirmó Burke.
El consejo sigue a una serie de ciberataques de alto perfil en Australia en los últimos años –incluidos aquellos dirigidos a la aseguradora de salud Medibank y a la empresa de telecomunicaciones Optus– que han presionado a Canberra para que fortalezca las ciberdefensas del país.
Sigue el modelo de la Junta de Revisión de Seguridad Cibernética establecida por la administración Biden en 2022, aunque con un número menor de miembros provenientes en gran medida de industrias de infraestructura crítica.
El consejo estadounidense elaboró tres informes antes de ser disuelto por la administración Trump. En el momento de su supresión, la junta se encontraba en medio de una investigación sobre Salt Typhoon, una gran operación de inteligencia china dirigida a redes de telecomunicaciones. Varios senadores demócratas criticaron la medida de la administración y pidieron el restablecimiento del consejo.
Aunque también se ha establecido un mecanismo similar en la Unión Europea en virtud de la Ley de Cibersolidaridad (que asigna a la agencia europea de ciberseguridad ENISA la tarea de realizar revisiones posteriores a los incidentes de ataques transfronterizos importantes), esta función de revisión aún no se ha ejercido.
El informe más importante del consejo estadounidense culpó a Microsoft por una cascada de errores evitables que permitieron a piratas informáticos chinos vinculados al estado acceder a cuentas de correo electrónico pertenecientes a altos funcionarios del gobierno estadounidense y pidió «verdaderos cambios culturales y de liderazgo» en la empresa.
Tras la publicación de ese informe, el director ejecutivo de Microsoft, Satya Nadella, emitió una directiva para toda la empresa declarando que priorizar la seguridad «por encima de todo» era fundamental para el futuro de la empresa.
Las revisiones anteriores del comité sobre la vulnerabilidad Log4j y el grupo de hackers Lapsus$ tuvieron menos impacto. En un artículo en Lawfare, Jeff Greene, un exfuncionario cibernético de la administración Biden que ayudó a crear el consejo, argumentó que las revisiones iniciales fueron insuficientes porque no se centraron en un incidente específico atribuible a las fallas de una sola empresa, lo que limita su capacidad para asumir responsabilidades.
A diferencia de su homólogo estadounidense, que se basó enteramente en la cooperación voluntaria, el consejo australiano puede extraer información de entidades que se niegan a participar, lo que se incluye en las recomendaciones de Greene. Los planes del gobierno australiano no siguen otras sugerencias que ha hecho, como permitir que el consejo amplíe su número de miembros para revisiones individuales que requieran conocimientos especializados.
Futuro grabado
Nube de inteligencia.
Descubra más.
