FCC retira normas de ciberseguridad impuestas tras los ataques de Salt Typhoon
La Comisión Federal de Comunicaciones (FCC, por sus siglas en inglés) decidió rescindir una resolución declaratoria relacionada con el caso de los ataques de Salt Typhoon, que había sido considerada ilegal e ineficaz, la cual malinterpretaba la Ley de Asistencia en Comunicaciones para la Aplicación de la Ley (CALEA).
En la misma acción, la Orden retira un aviso de Propuesta de Reglamentación que acompañaba a dicha Resolución, el cual proponía requisitos de ciberseguridad considerados ineficaces, basándose en parte en el análisis legal defectuoso de la resolución.
La decisión de la agencia se produce después de meses de interacción con los principales proveedores de servicios de comunicaciones, quienes demostraron una postura de ciberseguridad fortalecida en sus redes, especialmente tras el incidente conocido como Salt Typhoon, un grupo de ciberespionaje vinculado a China que logró penetrar las redes de telecomunicaciones estadounidenses para acceder a sistemas de escuchas telefónicas.
La Comisión reconoció que la amenaza de adversarios extranjeros y otros actores maliciosos sigue siendo un riesgo latente para las redes del país.
Como resultado de este diálogo y de la postura reforzada de la industria, los proveedores se han comprometido a realizar esfuerzos extensos, urgentes y coordinados para mitigar riesgos operativos, proteger a los consumidores y preservar los intereses de seguridad nacional contra el amplio espectro de ciberataques dirigidos a sus redes, explicó la FCC.
Sin embargo, la comisionada Anna Gomez se opuso a la resolución porque, de acuerdo con su argumentación, revierte el único esfuerzo significativo de la agencia para abordar las vulnerabilidades expuestas por el ataque de Salt Typhoon.
Gomez argumenta que al anular estas acciones que buscaban establecer obligaciones claras de ciberseguridad y de un marco de cumplimiento, y al no ofrecer nada en concreto a cambio, la FCC deja al país menos seguro.
Además de esta corrección, la Comisión ha tomado una serie de medidas desde enero con el propósito de fortalecer las redes de comunicaciones y mejorar su estrategia de seguridad.
Entre estas iniciativas se incluye el establecimiento de un Consejo de Seguridad Nacional para facilitar la colaboración con socios en la materia.
También se han adoptado reglas específicas para abordar los mayores riesgos de ciberseguridad en infraestructuras críticas, como la exigencia a los titulares de licencias de cables submarinos de crear e implementar planes de gestión de riesgos, así como la prohibición de los “bad labs” en su programa de autorización de equipos.