La Agencia de Seguridad Cibernética e Infraestructura (CISA) de Estados Unidos ha revelado en un reciente informe que carecía de un plan de respuesta preestablecido para manejar un incidente de ciberseguridad, lo que dejó expuestas claves y credenciales sensibles para acceder a sistemas gubernamentales. Este hallazgo se produce tras la denuncia de un reportero de investigación, que alertó a la agencia sobre la información comprometedora divulgada por un contratista.
CISA, responsable de proteger las redes federales y salvaguardar la infraestructura crítica, ha admitido que su personal tuvo que dedicar tiempo a crear un «manual de respuesta» en las etapas iniciales del incidente. Este hecho pone de manifiesto la necesidad urgente de que las organizaciones establezcan protocolos claros para enfrentar situaciones de seguridad, en lugar de improvisar respuestas sobre la marcha.
Aún no está claro cuánto tiempo tardó la falta de este manual en retrasar la respuesta de CISA. Un portavoz de la agencia no ha proporcionado comentarios inmediatos sobre esta inquietud. Sin embargo, el incidente fue documentado por el periodista de ciberseguridad Brian Krebs, quien destacó que un investigador de la empresa GitGuardian descubrió una considerable cantidad de contraseñas expuestas en un repositorio de GitHub que un empleado de un contratista de CISA había subido públicamente.
Tras el hallazgo, el investigador intentó comunicarse con el contratista, pero no recibió respuesta. Fue solo después de que Krebs contactó a CISA que la agencia pudo tomar medidas correctivas, tales como retirar el repositorio y revocar las credenciales afectadas para evitar futuros abusos.
A pesar de la gravedad del incidente, CISA ha declarado que no hubo exposición de datos de clientes o de misiones. La agencia agradeció al investigador y al periodista por su colaboración, y reconoció que los canales para que los investigadores de seguridad notificaran sobre posibles incidentes no estaban bien definidos. En respuesta, CISA ha implementado cambios para facilitar y agilizar las comunicaciones con estos profesionales.
Una inquietud adicional es que CISA no cuenta con un director permanente desde el inicio del segundo término del presidente Donald Trump en enero de 2025. Esto, junto con recortes y despidos que han afectado a cerca de un tercio de su plantilla, plantea interrogantes sobre la capacidad de la agencia para enfrentar desafíos de ciberseguridad en un entorno cada vez más complejo.