Seguridad

La Agencia de Ciberseguridad y Seguridad de la Infraestructura de Estados Unidos (CISA) presentó este lunes su hoja de ruta estratégica más ambiciosa desde su creación, en 2018. El documento compromete a la agencia a detectar y eliminar, antes de su uso como arma, el acceso de adversarios a redes de infraestructura crítica, al tiempo que la ubica dentro de una arquitectura de la administración Trump que ahora autoriza a empresas privadas previamente examinadas a realizar operaciones cibernéticas ofensivas en el extranjero. La credibilidad de la estrategia depende de cerrar tres brechas acumuladas que el propio documento no aborda por completo: una fuerza laboral reducida por la administración en casi 968 cargos, un sistema obligatorio de reporte de incidentes cuya norma definitiva aún no entra en vigor y un déficit de confianza con los operadores privados de infraestructura, agravado por la filtración de credenciales de CISA ocurrida en mayo de 2026.

El documento de 10 páginas, titulado CISA 2030: Defender, blindar, prevalecer, llega mientras el grupo vinculado a China Volt Typhoon lleva al menos cinco años preposicionado en algunas redes estadounidenses de infraestructura crítica: precisamente el escenario que la estrategia busca enfrentar. La pregunta que, según analistas, la estrategia deja notoriamente sin respuesta es si CISA, después de recortes propuestos por más de 707 millones de dólares y de la eliminación de casi mil cargos, puede detectar y retirar ese acceso persistente antes de que sea utilizado.

De la defensa pasiva a la anticipación: qué significa "antes del estallido" para las redes eléctricas y los sistemas de agua

El eje retórico de CISA 2030 es una ruptura tajante con el modelo reactivo que, según la agencia, predominó en el pasado.

"CISA pasará de una defensa pasiva a una postura agresiva y anticipatoria que elimine activamente las posiciones de apoyo de los adversarios en infraestructura crítica para la defensa antes de que sean utilizadas como armas contra nuestros sistemas", declaró el director interino Nick Andersen en un mensaje introductorio del documento.

El lenguaje alude a una postura operativa conocida en la doctrina militar como "left of boom", o "antes del estallido": los defensores identifican y eliminan el acceso del adversario dentro de una red antes de que este sea activado para lanzar un ataque. El concepto surgió en las campañas contra artefactos explosivos improvisados en Irak y Afganistán, donde el "estallido" era la detonación. Aplicado al ámbito cibernético, implica buscar accesos persistentes y preposicionados en generadores eléctricos, plantas de tratamiento de agua y enrutadores de redes financieras antes de que sean usados para provocar una interrupción física.

Aplicar esta doctrina a gran escala en infraestructura civil exige capacidades que CISA no posee plenamente: monitoreo permanente del comportamiento dentro de redes privadas de tecnología operativa (OT), inteligencia de amenazas suficientemente precisa para distinguir la actividad legítima de administradores de las técnicas de "vivir de la tierra" (LOTL) que utiliza Volt Typhoon para evadir la detección basada en firmas, y cooperación de operadores que históricamente se han resistido a dar a terceros visibilidad sobre sus sistemas operativos por razones de competencia y seguridad.

La estrategia organiza las prioridades de CISA en tres pilares. Defender comprende la defensa cibernética nacional coordinada entre agencias federales, socios estatales, locales, tribales y territoriales, el sector privado y aliados internacionales. Blindar se concentra en reducir los riesgos de infraestructura crítica con base en inteligencia, bajo un mandato explícito de "priorizar sin concesiones" los recursos hacia los sistemas cuya interrupción tendría las consecuencias más graves para la seguridad pública y la continuidad económica. Es un reconocimiento directo de que CISA no puede protegerlo todo al mismo nivel. Prevalecer aborda las comunicaciones de emergencia resilientes y los servicios esenciales capaces de mantener sus operaciones incluso después de un ataque exitoso, incluida una infraestructura de telecomunicaciones interoperable de nueva generación. MeriTalk ofrece los detalles de los tres pilares en su cobertura del lanzamiento.

Una estrategia anclada en la doctrina ofensiva: la arquitectura de hackeo privado detrás de CISA 2030

Quizás el aspecto más trascendental de CISA 2030 sea aquello en lo que Andersen decidió anclarla: no solo las prioridades convencionales de defensa, sino una cadena de decisiones de política de la Casa Blanca que ha desplazado progresivamente la postura estadounidense hacia la ofensiva.

La estrategia está alineada con la Estrategia Cibernética para Estados Unidos del presidente Trump, publicada el 6 de marzo de 2026. El documento, de siete páginas y organizado en seis pilares, comprometió a Estados Unidos a desplegar "el conjunto completo de operaciones cibernéticas defensivas y ofensivas del Gobierno estadounidense" y pidió incentivar la participación del sector privado en la interrupción de redes adversarias. El análisis de esa estrategia sobre la participación privada describió un giro retórico y doctrinal frente a la Estrategia Nacional de Ciberseguridad de 2023, adoptada durante el gobierno de Biden, con un documento más breve, un tono más contundente y una autorización explícita para la acción ofensiva.

CISA 2030 también está vinculada directamente a un memorando presidencial de seguridad nacional firmado por Trump el 12 de agosto de 2026, titulado Ampliación de las capacidades para combatir el crimen transnacional habilitado por medios cibernéticos. El memorando estableció un programa bajo supervisión federal mediante el cual empresas privadas estadounidenses previamente examinadas podrían realizar operaciones cibernéticas ofensivas —incluidas "operaciones de vigilancia cibernética" y "operaciones de efectos cibernéticos"— contra organizaciones criminales transnacionales extranjeras habilitadas por medios cibernéticos (CE-TCO), bajo el argumento de que se desarrollarían "como parte de operaciones legales de investigación, protección o inteligencia realizadas por las autoridades federales". El análisis jurídico de Crowell y Moring ofrece un desglose detallado de las operaciones autorizadas y sus restricciones legales.

Analistas jurídicos han advertido un problema estructural en ese marco: presentar las actividades como parte de la aplicación de la ley no resuelve la exposición de las empresas privadas frente a la Ley de Fraude y Abuso Informático (CFAA), que prohíbe el acceso no autorizado a computadores independientemente de la autorización del Ejecutivo. Un memorando presidencial no puede imponerse sobre una ley federal, y los analistas de Lawfare consideran que la exposición bajo la CFAA sigue sin resolverse: la protección jurídica para las empresas que realicen operaciones ofensivas aún no ha sido probada en los tribunales.

Gary Corn, experto en derecho de ciberseguridad, ha señalado que la coordinación —garantizar que varias empresas privadas autorizadas que apunten a la misma infraestructura adversaria no interfieran entre sí ni provoquen efectos colaterales no deseados— es "exponencialmente más difícil" cuando los participantes son actores privados y no un mando militar unificado.

En síntesis, la nueva estrategia de CISA no es simplemente una hoja de ruta para una agencia de defensa. Es un documento que ubica a la agencia dentro de una arquitectura nacional emergente que desdibuja la frontera entre protección, inteligencia y acción ofensiva, y que plantea preguntas operativas y jurídicas que la propia estrategia no responde.

Blindaje basado en inteligencia: los sistemas OT son al mismo tiempo el objetivo y el problema

En el marco del pilar Blindar, CISA dijo que abandonará los enfoques "indiferentes a las amenazas y de todos los riesgos" para adoptar un "análisis informado por el riesgo y basado en las consecuencias". La agencia dirigirá su atención a los sectores de infraestructura cuyo colapso afectaría más la salud pública, la seguridad nacional y la continuidad económica. Esto supone un cambio importante frente a marcos anteriores que buscaban una cobertura amplia de todos los tipos de amenaza.

El énfasis central está puesto en los entornos de tecnología operativa (OT), los sistemas de control industrial que gobiernan la generación eléctrica, el tratamiento de agua, la manufactura y el transporte. A diferencia de los sistemas de tecnología de la información (TI), los sistemas OT interactúan directamente con procesos físicos: maquinaria giratoria, flujos químicos, redes eléctricas y presión del agua. Funcionan con protocolos de comunicación antiguos —Modbus y DNP3— diseñados antes de que la ciberseguridad fuera una condición de diseño, a menudo sin autenticación ni cifrado. El ataque Stuxnet de 2010, que destruyó físicamente centrifugadoras iraníes de uranio mediante una intrusión cibernética, demostró por primera vez que las vulnerabilidades de los sistemas de control industrial podían causar daños físicos. El ataque TRITON/TRISIS de 2017 contra el sistema instrumentado de seguridad de una instalación petroquímica saudí demostró que incluso la última capa de protección física puede ser atacada. El centro de recursos de CISA sobre sistemas de control industrial ofrece orientación vigente para los operadores.

La presencia confirmada durante varios años de Volt Typhoon en algunas redes estadounidenses de infraestructura crítica se concentró específicamente en sistemas próximos a entornos OT: la infraestructura de comunicaciones que conecta servicios públicos, operadores de transporte y sistemas de agua. Los servicios de inteligencia estadounidenses han atribuido el grupo al Gobierno chino y consideran que se ha preposicionado para posibles operaciones disruptivas durante una contingencia relacionada con Taiwán. Para ello utiliza técnicas LOTL que se confunden con el tráfico legítimo y evaden las herramientas convencionales de detección basadas en firmas.

La estrategia también pide una coordinación más profunda con socios internacionales y un mayor énfasis en la protección de las cadenas de suministro, que siguen siendo una vía persistente para comprometer desde el origen redes que de otro modo estarían bien protegidas.

¿Tiene CISA la capacidad de buscar lo que aún no puede ver?

¿Qué autoridad tiene realmente CISA para aplicar la doctrina de actuar antes del estallido en redes privadas?

La postura "anticipatoria" planteada en la nueva estrategia implica una secuencia operativa concreta: monitoreo permanente dentro de redes privadas, análisis de comportamiento capaz de detectar técnicas LOTL, inteligencia suficiente para atribuir la actividad observada a un adversario específico y capacidad para actuar en tiempo real a partir de esa atribución. Cada paso exige un nivel de acceso, experiencia y capacidad institucional que el estado actual de CISA podría no respaldar.

Tres brechas acumuladas separan la ambición de la estrategia de su ejecución.

Primera: la reducción de personal. La administración propuso recortar 707 millones de dólares del presupuesto de CISA, lo que reduciría la financiación operativa de aproximadamente 2.380 millones a 1.960 millones de dólares. Además, la plantilla ya pasó de 3.292 a cerca de 2.324 cargos: una reducción del 29% que representa 968 puestos eliminados. Los recortes impulsados por el DOGE antes de la propuesta presupuestaria formal afectaron precisamente a los analistas técnicos y a los ingenieros que realizan búsqueda de amenazas y prestan asistencia en seguridad OT a los operadores de infraestructura crítica.

Segunda: la brecha normativa de CIRCIA. La Ley de Reporte de Incidentes Cibernéticos para Infraestructura Crítica (CIRCIA), promulgada en marzo de 2022, obliga a los operadores de infraestructura crítica a reportar a CISA los incidentes cibernéticos significativos en un plazo de 72 horas y los pagos de ransomware en 24 horas. Ese sistema obligatorio es la base de la visibilidad sobre las amenazas que requiere la doctrina de actuar antes del estallido. Sin embargo, la norma definitiva de aplicación, prevista originalmente para septiembre de 2025, ha sido aplazada varias veces y, según los reportes más recientes, todavía no se ha publicado, como consecuencia de sucesivas interrupciones, incluido el cierre del DHS. Sin el reporte obligatorio en vigor, CISA no puede construir la imagen sistemática de la actividad adversaria entre sectores que exige la defensa anticipatoria.

Tercera: el déficit de confianza con los operadores privados. Cerca del 85% de la infraestructura crítica estadounidense está en manos privadas. La estrategia de CISA depende de que esos operadores concedan a la agencia —o confíen en socios privados afiliados a CISA— un acceso significativo a sus redes OT para buscar amenazas. CISA no tiene autoridad regulatoria para imponer ese acceso. Además, en mayo de 2026, la filtración de credenciales de un contratista expuso decenas de claves internas de acceso de CISA. El incidente debilita directamente el argumento de que los operadores de infraestructura crítica deberían conceder a la agencia acceso privilegiado a sus sistemas más sensibles.

Herb Lin, investigador sénior del Centro de Seguridad Internacional y Cooperación de la Universidad de Stanford y antiguo integrante de la Comisión del presidente Obama para el Fortalecimiento de la Ciberseguridad Nacional, dijo a Information Security Media Group que la estrategia implica que CISA tendrá que convencer a operadores de infraestructura crítica mayoritariamente privados de actuar de forma más agresiva, o que la agencia misma "buscará y eliminará el acceso de los adversarios". Dado el nivel actual de personal y las restricciones presupuestarias, afirmó Lin, ninguno de los dos caminos parece sencillo.

El propio lenguaje de la estrategia reconoce que las fallas internas impulsaron el replanteamiento. El documento señala que el "alcance cambiante" de la misión de CISA y la "priorización poco clara" le han costado históricamente enfoque y agilidad. Es una admisión franca de que la nueva postura ambiciosa se lanza desde una base institucional debilitada.

Comunicaciones de emergencia y continuidad del Gobierno

El pilar Prevalecer aborda un área que durante mucho tiempo ha estado en la cartera de CISA, pero que ha cobrado nueva urgencia: las comunicaciones para la seguridad nacional y la preparación ante emergencias. La estrategia reafirma el papel de CISA —delegado por el Departamento de Seguridad Nacional— en el liderazgo de la activación y restauración de las comunicaciones críticas entre entidades gubernamentales durante las crisis. También pide ampliar los servicios prioritarios de telecomunicaciones mediante capacidades de nueva generación, incluidas las infraestructuras 5G y 6G, para garantizar la conectividad de emergencia incluso cuando las redes civiles estén degradadas o destruidas. MeriTalk aborda la expansión del 5G y otras prioridades de este pilar.

Este enfoque en la continuidad refleja las lecciones de ejercicios e incidentes reales que han expuesto la fragilidad de la infraestructura de coordinación durante ataques de gran escala. Una interrupción del eje de comunicaciones que conecta a las agencias federales, las oficinas de gestión de emergencias y los operadores de infraestructura crítica podría multiplicar los efectos de cualquier incidente cibernético inicial. Por eso, restablecer la capacidad de coordinación es tan importante como la defensa inicial.

Contexto geopolítico: para qué se prepara CISA

La estrategia llega en un entorno de actividad adversaria documentada y sostenida. Volt Typhoon lleva al menos cinco años preposicionado en algunos objetivos estadounidenses de infraestructura crítica de sectores como comunicaciones, energía, transporte y sistemas de agua y aguas residuales. La campaña fue evaluada por un aviso de CISA, la NSA y el FBI como una preparación para posibles acciones disruptivas durante una crisis geopolítica, no simplemente como espionaje. Operadores de ransomware con aparente refugio en Rusia han atacado hospitales, empresas de servicios de agua y proveedores de energía con una frecuencia creciente. El ataque de 2021 contra Colonial Pipeline paralizó durante cinco días 5.500 millas de un oleoducto de combustibles, mientras que en el incidente de 2021 en una planta de tratamiento de agua de Oldsmar, Florida, un operador intentó elevar a niveles tóxicos la concentración de hidróxido de sodio mediante un acceso remoto comprometido.

El memorando presidencial de agosto de 2026 al que alude la estrategia de CISA fue a su vez una respuesta a la presión sostenida del Congreso y de la comunidad de seguridad para autorizar medidas más agresivas. Algunos conservadores habían planteado la idea de "patentes de corso cibernéticas", una analogía con las autorizaciones para operaciones privadas en el mar utilizadas en los primeros años de la historia estadounidense, como mecanismo para incorporar empresas privadas a operaciones ofensivas dirigidas por el Estado. El memorando formalizó la autoridad privada para realizar operaciones cibernéticas ofensivas bajo supervisión de las autoridades federales.

Para CISA, la nueva estrategia es un intento de garantizar que la agencia conserve su relevancia y centralidad en ese panorama cambiante, en lugar de quedar relegada mientras las facultades ofensivas migran a otras partes de la arquitectura de seguridad nacional, incluido el USCYBERCOM y el nuevo programa para el sector privado.

Plazos y pruebas: qué mostrará el próximo año

CISA fijó plazos concretos para sus compromisos. Dentro de los 60 días siguientes a la publicación de la estrategia, la agencia iniciará una revisión programática de sus servicios y capacidades principales para evaluar si están alineados con los tres pilares. En un plazo de 180 días presentará un enfoque de implementación con resultados medibles. Se espera una actualización pública del avance dentro de un año. MeriTalk detalla los hitos de cada compromiso.

La agencia enfrentará escrutinio en varios frentes durante los próximos meses. El Congreso, que en los últimos años ha respaldado a CISA de manera irregular, observará si la revisión de 60 días produce una repriorización genuina o si se convierte principalmente en un trámite burocrático. La industria de la ciberseguridad —que, en virtud del memorando de agosto, podría beneficiarse de importantes oportunidades de contratación mediante los nuevos programas ofensivos— estará atenta a las señales sobre cómo CISA coordinará con socios privados que operan en un entorno jurídico incierto.

Los adversarios también estarán observando. La formulación pública y explícita de una postura "anticipatoria" y "agresiva" es, en sí misma, una señal de disuasión. Su credibilidad dependerá por completo de que CISA pueda reconstruir la capacidad institucional, la confianza del sector privado y la infraestructura de reportes obligatorios necesarios para respaldarla.

Preguntas frecuentes

¿Qué significa "antes del estallido" en ciberseguridad y por qué CISA lo adopta ahora?

"Antes del estallido" es un término militar para las acciones realizadas antes de que ocurra un ataque; el "estallido" es el momento de la detonación o activación. Aplicado a la ciberseguridad, significa detectar y retirar el acceso de un adversario a una red antes de que sea utilizado como arma. CISA lo adopta ahora porque Volt Typhoon, un grupo vinculado a China y atribuido al Ejército Popular de Liberación, lleva al menos cinco años preposicionado en algunas redes estadounidenses de infraestructura crítica. El grupo utiliza técnicas LOTL que se confunden con el tráfico legítimo y evaden las defensas convencionales. Un enfoque reactivo que espere a que el ataque se materialice no ofrece protección frente a un acceso ya establecido. El aviso de febrero de 2024 de CISA, la NSA y el FBI contiene la evaluación oficial de esta amenaza.

¿Pueden las empresas privadas estadounidenses realizar legalmente operaciones cibernéticas ofensivas bajo el memorando presidencial de agosto de 2026?

El memorando autoriza a empresas privadas previamente examinadas a realizar "operaciones de vigilancia cibernética" y "operaciones de efectos cibernéticos" bajo supervisión federal contra organizaciones criminales extranjeras habilitadas por medios cibernéticos, y presenta esas actividades como relacionadas con la aplicación de la ley. Sin embargo, analistas jurídicos, incluidos investigadores de Lawfare, han señalado que esa formulación no resuelve la exposición de los operadores privados frente a la CFAA, una ley federal que prohíbe el acceso no autorizado a computadores y que un memorando presidencial no puede invalidar. Las empresas que participen en el programa cuentan con una protección jurídica que aún no ha sido probada en los tribunales.

¿Por qué la estrategia CISA 2030 necesita que la norma definitiva de CIRCIA entre efectivamente en vigor?

La doctrina de actuar antes del estallido exige que CISA construya una imagen en tiempo real de la actividad adversaria en los 16 sectores de infraestructura crítica para saber dónde buscar accesos preposicionados. La Ley de Reporte de Incidentes Cibernéticos para Infraestructura Crítica (CIRCIA), promulgada en 2022, obligaría a los operadores a reportar a CISA los incidentes cibernéticos significativos en un plazo de 72 horas, proporcionando precisamente esa visibilidad. Pero la norma definitiva de aplicación sigue sin publicarse en octubre de 2026, después de haber sido prevista originalmente para septiembre de 2025 y aplazada varias veces. Sin el reporte obligatorio, CISA debe depender de revelaciones voluntarias de operadores que históricamente han reportado menos incidentes de los ocurridos por razones de competencia y responsabilidad legal. Esa limitación estructural no es abordada por la nueva estrategia.

¿Qué significa la estrategia CISA 2030 para los operadores de infraestructura crítica?

En el marco del pilar Blindar, CISA pasará de una cobertura amplia y centrada en todos los riesgos a una "priorización sin concesiones" de los recursos hacia los sistemas cuyo fallo causaría el mayor daño a la salud pública, la seguridad nacional y la continuidad económica. Esto significa que los operadores de infraestructura considerada de menor prioridad podrían recibir menos apoyo directo de CISA, no más. Los operadores de sistemas prioritarios —energía, agua y redes financieras— pueden esperar una relación más estrecha y presión para dar a CISA o a sus socios afiliados un acceso más profundo a sus redes OT para buscar amenazas. Esa presión será difícil de resistir políticamente, pero generará controversias operativas: conceder acceso persistente a terceros en sistemas de tecnología operativa implica riesgos reales de seguridad en entornos donde una interrupción imprevista del proceso puede tener consecuencias físicas. La página oficial de CISA 2030 explica el alcance completo del pilar Blindar y su marco de priorización.