Los ciberataques ocurren a diario, pero algunos son especialmente escalofriantes. Un ataque este verano contra el sistema judicial estadounidense debería haber causado escalofríos.

El 7 de agosto, las autoridades confirmaron un ataque contra el poder judicial federal de Estados Unidos. En concreto, los atacantes se dirigieron contra su sistema de gestión de expedientes judiciales, el Sistema Electrónico de Gestión de Casos (CM/ECF), también conocido por su interfaz pública PACER. Según The New York Times, el ataque, que tuvo lugar entre finales de junio y principios del 4 de julio de este año, probablemente estuvo vinculado a agentes estatales rusos.

Las consecuencias son significativas. Si bien muchos expedientes de CM/ECF están disponibles públicamente a través de PACER, muchos otros están sellados porque contienen información confidencial. Al parecer, los atacantes buscaban casos que involucraran a ciudadanos rusos.

El incidente sumió a los tribunales en un caos, obligándolos a volver a los sistemas de archivo en papel. Al menos un juez incluso prohibió la carga de documentos sellados en PACER. Los casos delicados tuvieron que migrarse a sistemas independientes.

Más preocupante aún es la posibilidad de que los cárteles mexicanos de la droga tengan acceso a algunos de estos datos confidenciales, lo que podría exponer a testigos de sus crímenes. Los delitos relacionados con pandillas vinculados a los cárteles suelen ser procesados ​​en los tribunales de distrito, lo que significa que los expedientes confidenciales se encuentran en CM/ECF.

Lo peor de todo es que la culpa la tiene una combinación de implementación descentralizada y código antiguo y heredado.

CM/ECF data de finales de la década de 1990, cuando el Distrito Norte de Ohio lo creó para gestionar una avalancha de hallazgos en algunos casos de asbesto. Posteriormente, otros tribunales comenzaron a adoptarlo a principios de la década de 2000, cuando su implementación a nivel nacional llevó a que los tribunales de quiebras, distrito y apelación también lo adoptaran. Para 2007, la adopción era prácticamente universal, pero la gestión era fragmentada; cada tribunal se encargaba de su propia implementación del software. Por lo tanto, cuando la Oficina Administrativa de los Tribunales de EE. UU. publicó una revisión importante conocida como NexGen en la década de 2010, no todos actualizaron.

En un informe de 2021 sobre el sistema, el personal de la Oficina Administrativa se quejó de que más de 50 juzgados no habían migrado al nuevo sistema. El informe lamentaba la obsolescencia de la tecnología básica. «La descentralización y la complejidad están provocando inestabilidad en el sistema, altos costos de mantenimiento y riesgos de seguridad», advertía. «Los contratos actuales dificultan la exigencia de que los contratistas cumplan con los estándares de calidad».

El problema persiste y las consecuencias han sido desastrosas. El Departamento del Poder Judicial también informó de una violación de seguridad en 2021, en la que posteriormente se reveló que estuvieron involucrados tres agentes extranjeros.

El problema del software heredado

El problema del software heredado está muy extendido. Una encuesta realizada este año por Saritasa, empresa de software para la migración de sistemas heredados, reveló que el 62 % de sus 500 encuestados aún dependían de sistemas heredados. El departamento de TI debe competir constantemente con otros departamentos por una parte del presupuesto. Cuando los tecnólogos lo consiguen, deben tener cuidado de equilibrar la reducción de la deuda técnica con la implementación de nuevas mejoras de software y hardware que satisfagan a los patrocinadores del negocio. Cada dólar invertido en la reparación de sistemas antiguos debe provenir del presupuesto corporativo.

La gestión descentralizada de TI también crea puntos ciegos, especialmente cuando se vincula con software heredado. Deja a muchos productos de software sin parches. Además, dificulta comprender qué se ejecuta en la infraestructura de TI y vincularlo a las políticas de seguridad. El resultado es la TI en la sombra, que introduce aún más riesgos.

El sistema judicial federal no es el único que presenta algunos de estos problemas. En 2019, la Oficina de Responsabilidad Gubernamental (GAO) publicó un informe que destacaba la continua falta de atención a los sistemas heredados en el gobierno de EE. UU. En el Reino Unido, el gobierno clasifica el 28 % de su infraestructura de TI como heredada, cifra que asciende al 70 % en algunas áreas.

Domando la bestia heredada

Existen maneras de recuperar el control de su infraestructura de TI y, al menos, comprender los riesgos de las arquitecturas heredadas, incluso si no puede erradicarlas por completo. Aquí es donde resulta útil un sistema de gestión de la seguridad de la información (SGSI) como la norma ISO 27001.

El Control 5.9 del Anexo A de la norma ISO 27001:2022 aborda la gestión de activos de información, garantizando que la organización documente adecuadamente quién es responsable de cada activo y detallando los riesgos asociados. Exige un inventario de activos para alcanzar este objetivo, creando una plataforma para que las empresas organicen sus actividades en torno a él. Por ejemplo, se pueden documentar los niveles actuales de parches asociados a cualquier activo.

Este inventario de activos es una base sólida para lanzar un programa de pago de deuda técnica. Priorizar los sistemas que se deben parchar, actualizar o reemplazar según su factor de riesgo proporciona a los equipos con recursos limitados un plan de acción claro. También se puede usar para crear estructuras de gobernanza en torno a las plataformas que no están orientadas al cliente, pero que contienen información valiosa y de bajo perfil. Esas joyas de la corona mal protegidas son precisamente los activos que los atacantes perseguirán.

Luego viene la discusión sobre la migración, que describe cómo migrar de un sistema heredado a uno nuevo. Esto implica una reflexión cuidadosa que tenga en cuenta las dependencias del sistema. La refactorización (renovación de código en el sistema existente) es una opción, al igual que el reemplazo (eliminar completamente el sistema y empezar de cero). Esta última opción crea más oportunidades para migrar de arquitecturas problemáticas, como sistemas monolíticos, a código más modular basado en microservicios.

Otras medidas para ayudar a enfrentar el riesgo heredado incluyen realizar ejercicios regulares de modelado de amenazas para explorar esa infraestructura heredada invisible que nadie mira, como portales internos o plataformas de contratos.

Poner en forma tu arquitectura heredada no es algo que debas posponer para mañana. Es muy parecido a la salud física. Cada día que pases procrastinando puede traerte problemas en el futuro. Un pequeño esfuerzo ahora, incluso un pequeño esfuerzo mensual para modernizarte, puede evitar desastres en el futuro. Pregúntale a cualquier juez de distrito.