Cuando el bombero no tiene manguera: la crisis de CISA y sus lecciones globales
En un reconocimiento que sacudió a la comunidad de ciberseguridad internacional, la Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos (CISA, por sus siglas en inglés) admitió públicamente que tuvo que construir su propio manual de respuesta a incidentes —el llamado incident playbook— en tiempo real, mientras ya estaba gestionando activamente un incidente de seguridad. Es decir, el bombero llegó al incendio sin extintor y tuvo que fabricar uno en el lugar.
Este hecho, revelado a través de un informe interno y recogido por TechCrunch, no es un simple error burocrático. CISA es considerada la agencia líder en la protección de infraestructura crítica digital en el país más poderoso del mundo en términos tecnológicos y militares. Su función es precisamente coordinar la respuesta ante ciberataques que afecten a sectores como energía, salud, finanzas y gobierno. Que una entidad de ese calibre haya improvisado un protocolo que debería haber estado listo con años de anticipación genera interrogantes profundos sobre el estado real de la ciberseguridad institucional a nivel global.
¿Qué es un playbook de incidentes y por qué importa?
Un incident response playbook es, en términos simples, el manual de instrucciones que una organización sigue cuando detecta una brecha de seguridad, un ataque de ransomware, una intrusión o cualquier evento cibernético crítico. Define roles, responsabilidades, cadenas de comunicación, procedimientos técnicos, protocolos de notificación y criterios de escalamiento. Sin él, la respuesta ante una crisis se vuelve caótica, lenta y potencialmente devastadora. El tiempo que se pierde improvisando puede significar la diferencia entre contener un ataque en horas o perder el control total de los sistemas durante semanas.
El hecho de que CISA no tuviese este documento operativo y actualizado al momento de enfrentar un incidente real es, en el ámbito profesional, el equivalente a que un hospital no tenga protocolos de emergencia para una pandemia. La ironía es mayúscula: esta misma agencia publica guías y frameworks de respuesta a incidentes que otros países y organizaciones del mundo utilizan como referencia.
El contexto peruano: una lección urgente
Para el Perú, esta revelación no debería tomarse como una nota curiosa del mundo tecnológico estadounidense. Debe funcionar como una señal de alerta directa. Si la agencia de ciberseguridad más sofisticada y financiada del mundo occidental tuvo que improvisar, ¿qué podemos esperar de las instituciones peruanas que aún están en etapas tempranas de madurez digital?
La Secretaría de Gobierno y Transformación Digital de la PCM, junto con organismos como la Autoridad Nacional de Protección de Datos Personales (ANPDP), han avanzado en marcos normativos. Sin embargo, la brecha entre tener una política escrita y contar con equipos entrenados, con simulacros realizados y con manuales operativos probados es enorme. Entidades clave como el Banco de la Nación, SUNAT, el RENIEC o el Ministerio de Salud manejan datos sensibles de millones de peruanos. Un incidente mayor sin un playbook actualizado podría tener consecuencias catastróficas en la prestación de servicios públicos.
Puntos clave que toda organización debe considerar
La lección que deja el caso CISA aplica tanto para el sector público como privado en el Perú: primero, un playbook no sirve si solo existe en papel; debe ser probado con ejercicios de simulación regulares. Segundo, los equipos de respuesta deben ensayar escenarios antes de que ocurran, no aprender durante la crisis. Tercero, la coordinación interinstitucional —entre ministerios, fuerzas del orden, sector privado y proveedores de infraestructura— debe estar definida con anticipación. Cuarto, la transparencia post-incidente, como la que mostró CISA al admitir su falla, es valiosa: permite que el ecosistema aprenda colectivamente.
En un mundo donde los ciberataques son cada vez más sofisticados, frecuentes y geopolíticamente motivados, la preparación no es opcional. El caso CISA es un recordatorio de que incluso los mejor equipados pueden fallar en lo básico. Para el Perú, este es el momento de revisar, actualizar y —sobre todo— practicar sus propios planes de respuesta antes de que llegue el incendio.
