Sucedió en mayo. Un contratista cometió un error. Dejaron la puerta de entrada abierta de par en par.
Brian Krebs fue el primero en encontrar el desastre. No es exactamente un error menor, se trataba de una situación de rehenes digitales esperando a suceder. Un empleado de un contratista de CISA subió un repositorio de GitHub que contenía una gran cantidad de contraseñas. Claves de acceso a los sistemas del gobierno de EE. UU., disponibles para cualquier persona con un navegador web.
La propia autopsia de CISA revela una verdad incómoda. No tenían ningún plan. Ninguno. Cuando el polvo aún se estaba calmando tras ese descubrimiento inicial, el personal de CISA no estaba ejecutando una respuesta. Lo estaban escribiendo.
“El personal tuvo que dedicar tiempo a elaborar un manual de estrategias durante las primeras etapas del incidente”.
Piensa en eso. Usted es el escudo contra los ataques a la red federal, pero está improvisando cómo sostener el escudo cuando comienza a filtrar datos. No debería funcionar así, pero así fue.
Krebs notó la exposición. Un investigador de GitGuardian intentó alertar primero al contratista. Silencio. El vacío no devolvió nada. Entonces Krebs subió en la cadena. Se puso en contacto con CISA. Sólo entonces se produjo la acción.
El depósito se vino abajo. Credenciales revocadas. Reemplazado.
No se perdió ningún dato del cliente. Eso es algo, supongo. CISA agradeció al reportero y al investigador por el rescate. Estuvo cerca. Quizás demasiado cerca.
La agencia admitió que sus canales para los investigadores eran vagos. “No está bien definido”, lo llamaron. Lo están arreglando. Rutas más rápidas para notificaciones ahora. Manuales para necesidades anticipadas. La idea es que no se escriba el libro de reglas durante el incendio. Lo leíste antes de la chispa.
Pero el retraso persiste. Un portavoz no dijo cuánto tiempo se perdió mientras se redactaba el manual. El silencio sobre ese detalle lo dice todo.
¿Estamos sorprendidos?
La infraestructura se fortalece. La gente se olvida de parchear. A veces, incluso los defensores tienen que decidir qué hacer cuando se apodera del pánico.
