Un nuevo informe del Auditor General de Canadá advierte de problemas que van más allá de las deficiencias habituales de ciberseguridad. Señala fallos importantes en los fundamentos de la confianza y seguridad de los servicios digitales del gobierno: la infraestructura de clave pública (PKI) y la criptografía.

Aunque la auditoría no menciona expresamente la PKI, sus conclusiones describen un entorno en el que deben operar los certificados digitales, las claves de cifrado y los protocolos criptográficos. El informe indica que el gobierno federal carece de un inventario completo de sus activos de TI, que se ha retrasado un proyecto central de supervisión y que la coordinación durante los incidentes es deficiente. Para los profesionales de seguridad, esto plantea un riesgo claro: no se puede gestionar lo que no se ve, ni proteger lo que no se coordina.

Sin un inventario completo de activos, ¿cómo puede el gobierno confirmar que todos los servidores y portátiles tienen certificados válidos? ¿Cómo puede corregir con rapidez una vulnerabilidad criptográfica crítica como Log4Shell si desconoce todos los sistemas afectados? La respuesta tardía a un ataque importante de 2024, citada en el informe, muestra las consecuencias de que fallen los procesos para compartir información crítica, como la comprometida de una CA o una vulnerabilidad de cifrado generalizada.

La auditoría es un llamamiento a reforzar los pilares que sostienen la PKI. Pone de relieve que la solidez criptográfica no basta si la gobernanza subyacente —visibilidad, automatización y colaboración— es débil. El siguiente análisis examina las conclusiones del Auditor General desde una perspectiva criptográfica y presenta medidas para construir un gobierno digital más resiliente y fiable.

A continuación desglosamos los hallazgos principales del informe y los convertimos en observaciones prácticas sobre las deficiencias que deben abordarse para fortalecer la seguridad.

1. Directamente relevante: inventario incompleto de activos de TI (requisito fundamental para PKI)

Este hallazgo es especialmente relevante: no es posible gestionar correctamente claves y certificados criptográficos si se desconocen los dispositivos y sistemas existentes.

• Sección: “Los inventarios centrales de activos de TI del gobierno estaban incompletos, lo que aumentaba el riesgo de ciberataques” (páginas 11–12, párrs. 26–28).
• Relevancia para PKI/criptografía: un inventario de activos completo y preciso es un requisito fundamental para una PKI eficaz. Sin conocer todos los servidores, portátiles y dispositivos de red, no se puede garantizar que:
  • Todos los sistemas tengan las bibliotecas criptográficas necesarias y estén configurados correctamente.
  • Los certificados digitales estén desplegados en todos los endpoints necesarios.
  • Los certificados caducados o comprometidos se identifiquen y revoquen a tiempo.
  • Los sistemas que dependen del cifrado, en tránsito o en reposo, estén inventariados y gestionados.

2. Muy relevante: deficiencias de supervisión y respuesta que afectan a la gestión de incidentes criptográficos

La incapacidad de supervisar y responder eficazmente dificultaría la gestión de incidentes relacionados con criptografía comprometida, como el robo de una clave privada.

• Sección: “Había una brecha en la supervisión de eventos de ciberseguridad sospechosos…” (páginas 10–11, párrs. 22–25).
• Relevancia para PKI/criptografía: un sistema SIEM, cuya implantación se retrasó, es esencial para detectar anomalías que indiquen fallos o ataques criptográficos. Por ejemplo, podría alertar sobre:
  • Sistemas que no logran establecer conexiones TLS, lo que puede indicar problemas con los certificados.
  • Intentos de autenticación inusuales que eluden controles criptográficos.
  • Patrones compatibles con ataques de degradación criptográfica.
  • La falta de esta herramienta puede hacer que no se detecten estas señales.

3. Muy relevante: coordinación e intercambio de información deficientes que afectan a la gobernanza PKI

El marco de gobernanza y respuesta a incidentes cibernéticos es débil, lo que puede afectar directamente la gestión de un incidente grave relacionado con PKI.

• Sección: “Los procedimientos y protocolos de coordinación e intercambio de información ante ciberataques estaban incompletos…” (páginas 13–14, párrs. 32–34).
• Relevancia para PKI/criptografía: un incidente criptográfico grave —por ejemplo, la vulneración de una CA raíz o una vulnerabilidad generalizada en un estándar de cifrado— exige una respuesta rápida y coordinada de todo el gobierno. El retraso de 7 días en compartir información crítica durante un ataque (Exhibit 5) muestra las deficiencias de los procesos para responder a una crisis que puede invalidar la confianza entre sistemas gubernamentales, que es precisamente la finalidad de PKI.

4. Relevancia implícita: la nueva estrategia de ciberseguridad como marco estratégico

Los objetivos de la estrategia dependen en gran medida de una criptografía sólida.

• Sección: “Una nueva estrategia guio las actividades de ciberseguridad del gobierno” (páginas 4–5, párrs. 10–11 y Exhibit 2).
• Relevancia para PKI/criptografía: sus objetivos, como “prevenir y resistir los ciberataques con mayor eficacia” y “establecer un marco para mejorar la detección y prevención de actividades fraudulentas”, dependen de técnicas criptográficas como firmas digitales, cifrado y autenticación basada en certificados. Su éxito requiere una PKI sólida.

Contactar con nosotros