CISA 2030: EE. UU. apuesta por detección y resiliencia

El lunes 26 de octubre de 2026, la Cybersecurity and Infrastructure Security Agency (CISA), la agencia estadounidense de ciberseguridad y seguridad de las infraestructuras, publicó «CISA 2030: Defend, Harden, Prevail», la estrategia que orientará su trabajo en los próximos cuatro años. Según CyberScoop, se trata de un documento de 10 páginas que en gran parte confirma las funciones ya asignadas a la agencia; Infosecurity Magazine destaca que sitúa la detección y respuesta rápidas y la continuidad de los servicios críticos por delante de la «defensa pasiva». Help Net Security describe un enfoque «anticipatorio», con el objetivo de identificar y reducir los accesos maliciosos ya presentes en las infraestructuras críticas.

El principio: la intrusión hay que tenerla en cuenta

El director en funciones de CISA, Nick Andersen, lo dice en el prólogo recogido por CyberScoop: una defensa sólida no garantiza eliminar las intrusiones. Por eso hay que estar preparados para detectar rápidamente a quien ha entrado, expulsarlo con decisión y mantener activas las operaciones críticas sin interrupciones. Andersen pide a toda la comunidad de las infraestructuras críticas, desde los operadores hasta los proveedores y fabricantes de tecnología, que «actúen ahora».

Es un cambio de énfasis más que de contenido: la referencia ya no es solo la prevención, sino el tiempo que un atacante permanece en la red y la capacidad de seguir trabajando mientras se le expulsa.

Los tres pilares

Defend: liderar la ciberdefensa nacional. Los objetivos que enumera CyberScoop son integrar la defensa de estados, entidades locales e industria, proteger la tecnología operativa (OT), elaborar guías sobre seguridad del software y evaluar las tecnologías emergentes. Help Net Security añade detalles sobre la OT: modernizar los entornos operativos, mejorar la visibilidad de los activos y la detección de anomalías, y reforzar la integridad de la cadena de suministro y la transparencia del software. Entre las tecnologías emergentes, según Help Net Security, la estrategia cita la «superinteligencia» y la computación cuántica.

Harden: priorizar la seguridad de las infraestructuras nacionales. Aquí el objetivo es coordinar la inteligencia para las infraestructuras críticas y convertirla en acciones operativas, con inversiones en herramientas para decisiones y alertas en tiempo real. El análisis de los datos de las infraestructuras servirá para fijar prioridades y concentrar los recursos donde más efecto tienen; también se prevén el trabajo con socios internacionales y una atención especial a las infraestructuras más importantes.

Prevail: movilizar la resiliencia nacional. Este pilar abarca las inversiones en resiliencia, la interoperabilidad de las comunicaciones de emergencia y la modernización de la planificación y los ejercicios. Help Net Security informa de que los asesores de las diez oficinas regionales de CISA estarán preparados para apoyar tanto la ciberseguridad como la seguridad física, y de que la estrategia incluye el apoyo a las telecomunicaciones prioritarias, incluidas las redes 5G y 6G y las constelaciones de satélites comerciales, así como inversiones en infraestructuras cifradas, escalables y resilientes.

Plazos y contexto

Los dos medios que recogen el calendario indican una revisión de los servicios y capacidades principales de la agencia en un plazo de 60 días y un informe de avances al cabo de un año. Sobre el paso intermedio, las fuentes difieren: CyberScoop habla de implementación en los 180 días siguientes, mientras que Help Net Security menciona un plan, en un plazo de 180 días, con la forma de implementación y los indicadores de éxito.

Según CyberScoop, la estrategia está alineada con la estrategia cibernética nacional publicada en marzo y con la orden ejecutiva del año pasado sobre la preparación de estados y entidades locales. El plan anterior, de 2023, también tenía tres pilares: abordar las amenazas inmediatas, reforzar el terreno y llevar la seguridad a gran escala. Solo CyberScoop recoge las críticas: los recortes presupuestarios decididos por la administración habrían dejado a la agencia sin suficiente personal, también en las áreas en las que se centra la nueva estrategia.

Qué significa para las empresas europeas e italianas

La estrategia no tiene efectos directos en Europa, pero dos aspectos importan también aquí:

• las guías y avisos de CISA, incluido el catálogo de vulnerabilidades explotadas (KEV), los usan muchos equipos de seguridad europeos: más atención a la OT, la cadena de suministro y el software significa más indicaciones prácticas sobre estos temas;
• el llamamiento de Andersen se dirige explícitamente también a proveedores y fabricantes de tecnología: las empresas europeas que venden productos o servicios a operadores de infraestructuras críticas estadounidenses forman parte del público de la estrategia.

El enfoque se acerca al de la NIS2. El artículo 21 de la directiva, transpuesto en Italia por el Decreto Legislativo 138/2024, exige medidas para la gestión de incidentes, la continuidad de la actividad y la gestión de crisis, la seguridad de la cadena de suministro y la gestión de vulnerabilidades. En energía, agua, transporte y sanidad, donde instalaciones y dispositivos OT conviven con la informática de oficina, la visibilidad de los activos y la detección de anomalías son el punto de partida.

Qué hacer ya

1. Mide los tiempos de detección y respuesta: cuánto tardas en darte cuenta de un acceso anómalo y en cerrarlo, y si tienes un procedimiento de expulsión (restablecimiento de credenciales, eliminación de la persistencia, revisión de las cuentas privilegiadas).
2. Haz el inventario de los activos, incluidos los OT, y comprueba la separación entre la red de oficina y la red operativa; asigna las detecciones a la matriz MITRE ATT&CK for ICS donde haga falta.
3. Pregunta a tus proveedores cómo gestionan las vulnerabilidades, si entregan una lista de materiales de software (SBOM) y en cuánto tiempo corrigen los fallos explotados.
4. Lleva la inteligencia a las decisiones: usa el catálogo KEV y los avisos de las agencias para fijar el orden de las actualizaciones.
5. Ensaya la continuidad, también con escenarios de pérdida de las comunicaciones y con canales alternativos ya probados.
6. Haz un censo de la criptografía en uso, como primer paso hacia la migración poscuántica.

Cómo ayuda ARXDOME

ARX Sentry recoge eventos e inventario de ordenadores, servidores y firewalls y los muestra en las páginas SOC, con las tácticas MITRE ATT&CK por máquina: es la base para detectar pronto una intrusión. ARX Watch encuentra en la red los dispositivos sin sonda, que a menudo escapan a los inventarios. ARX Shield pone de relieve las vulnerabilidades ya explotadas y permite aislar de la red una máquina sospechosa, mientras que ARX Horizon enriquece cada evento con la inteligencia de amenazas.

Última actualización: 27 de octubre de 2026