«Son objetivos muy atractivos pero cuentan con escasos recursos de ciberseguridad», explicó Michael Klein, director sénior de preparación y respuesta del Institute for Security and Technology, un centro de estudios sobre seguridad sin fines de lucro con sede en Oakland, California.
«Los gobiernos locales manejan todo tipo de datos que interesan a los delincuentes —números de seguridad social, información sanitaria, datos de menores, sistemas de pago— y, a menudo, estos solo están protegidos por los niveles de seguridad básicos propios de las administraciones locales», declaró.
Las agencias gubernamentales locales suelen tener personal que desempeña múltiples funciones por diversas razones, incluidas las limitaciones presupuestarias y de plantilla, señaló Ashley Knowles, consultora sénior de ciberseguridad en Black Hills Information Security, una empresa de Spearfish (Dakota del Sur) especializada en pruebas de penetración, “red teaming” y búsqueda de amenazas (“threat hunting”).
«Por ello, puede resultar más difícil aplicar parches de seguridad a los sistemas, mantenerse al día con las tendencias actuales de ciberseguridad y garantizar la continuidad operativa en caso de que los sistemas se vean afectados por un ataque», comentó.
«Las agencias gubernamentales locales siempre serán un objetivo de ataque debido a su capacidad para afectar a un gran número de personas», añadió. «Cuantas más personas se vean afectadas por un ataque, mayor podría ser el beneficio económico, en el caso de un ataque de “ransomware”».
En conjunto, estos factores convierten a los gobiernos locales en objetivos especialmente atractivos para los ciberdelincuentes.
El “ransomware” se convierte en un negocio de gran volumen.
Un informe reciente de Comparitech reveló que el “ransomware” es un problema mundial para los gobiernos; se registró al menos un ataque contra una entidad gubernamental cada día durante la primera mitad de este año. El informe añadía que los ataques a nivel mundial aumentaron un 13% en ese periodo con respecto a la segunda mitad de 2025, y que casi un tercio (31%) de los ataques de la primera mitad de 2026 se produjeron en Estados Unidos.
«Las cifras de Comparitech muestran que la demanda económica mediana a las entidades gubernamentales descendió a 100.000 dólares en la primera mitad de este año, una quinta parte de la cifra registrada seis meses antes», señaló Bob Maley, director de seguridad de Black Kite, una empresa de evaluación y gestión de riesgos cibernéticos con sede en Boston.
«Yo lo interpreto como que los atacantes ajustan sus precios a lo que un municipio pequeño puede permitirse pagar realmente», dijo. «Han identificado el segmento de mercado y lo gestionan como un negocio de gran volumen». Recordó los desafíos que supuso implementar un programa de ciberseguridad cuando ocupaba el cargo de CISO (director de seguridad de la información) de Pensilvania. «El Estado llevó a cabo un importante proceso de consolidación denominado ‘Operation Secure Enterprise’ (Operación Empresa Segura)», explicó. «Cada agencia gestionaba sus propios sistemas de aplicación de parches y supervisión, y la oficina del gobernador quería unificar todo bajo un mismo techo».
«Se podría haber ordenado a las agencias que cumplieran, pero habrían encontrado cien formas de retrasar el proceso», comentó. «En su lugar, la administración creó una partida presupuestaria para financiar la consolidación y gestionarla de forma centralizada; sin eso, yo no habría podido lograr lo que conseguí allí».
«Casi ningún municipio o condado recibe un trato así», señaló. «La orden llega sin una fuente de financiación clara, lo que traslada la responsabilidad al personal de TI existente —normalmente una sola persona—, a quien empresas privadas intentan captar cada semana ofreciéndole el doble de su salario actual».
«Esa persona aplica parches a los sistemas a los que tiene acceso y mantiene el resto en funcionamiento casi por milagro, a base de soluciones improvisadas y remiendos temporales», añadió.
«Por lo general, al ayuntamiento sí le importa el tema», continuó, «pero los baches llevan las de ganar en la lucha por el presupuesto. Se fotografían. La gente se queja de ellos en las reuniones públicas y, para el viernes, ya hay alguien junto al asfalto recién colocado atribuyéndose el mérito, mientras que la brecha de seguridad permanece invisible hasta el día en que vacía el fondo general».
El modelo de ciberseguridad estatal de Alabama.
Alabama es un estado donde los municipios y condados están recibiendo un trato favorable en materia de ciberseguridad. Ha creado el Alabama Cybersecurity Intelligence Center (Centro de Inteligencia de Ciberseguridad de Alabama), una iniciativa conjunta de la Oficina de Tecnología de la Información de Alabama (AOIT) y el Instituto McCrary para la Seguridad Cibernética y de Infraestructuras de la Universidad de Auburn. El centro ofrece servicios de higiene cibernética básica, autenticación multifactor, pruebas de penetración, planificación de respuesta ante incidentes y supervisión continua (las 24 horas) de todos los dispositivos conectados a la red municipal.
Los elementos fundamentales del programa, conocido como McCrary Secure, pueden implementarse rápidamente gracias al Programa de Subvenciones para la Ciberseguridad Estatal y Local (SLCGP, por sus siglas en inglés), una inversión federal de 19 millones de dólares a cinco años enmarcada en la Ley de Inversión en Infraestructura y Empleos de la administración Biden.
Nick Sellers, director de operaciones de McCrary, explicó que, para las comunidades participantes, los servicios principales de McCrary Secure no tienen coste alguno, ya que para eso se destinan los fondos del SLCGP. «Las pruebas de penetración por sí solas, para evaluar la seguridad de los sistemas actuales, suelen suponer un gasto de cinco cifras en el mercado abierto, lo que las hace inasequibles para la mayoría de los municipios pequeños», declaró.
«En Alabama, el departamento de TI municipal promedio cuenta con 2,2 personas», señaló. «Eso no es un equipo de seguridad. Es el personal que, además, debe asegurarse de que la computadora de cada empleado funcione y esté conectada a la impresora, y de que el sitio web esté actualizado con la información más reciente».
«El costo entra en juego con la fase de remediación», continuó. «Si una evaluación detecta un cortafuegos sin soporte o un servidor que ha llegado al final de su vida útil, alguien debe reemplazarlo. Parte de esto puede cubrirse con la subvención, pero otra parte recae en el presupuesto local».
«Nuestro enfoque consiste en clasificar los hallazgos según el riesgo; así, una ciudad con un presupuesto de 20.000 dólares sabe qué tres problemas debe solucionar primero, en lugar de recibir un informe de 200 páginas sobre el que no pueden actuar», añadió.
«Quizás lo más valioso que hacemos desde el punto de vista fiscal sea la ‘traducción’ de conceptos», afirmó. «Cuando sometemos a alcaldes y concejales a un ejercicio de simulación, ellos mismos perciben la exposición al riesgo, y el director de TI, que llevaba tres años solicitando fondos, finalmente recibe una respuesta afirmativa».
Destacó que estos ejercicios de simulación son eficaces porque llegan a los responsables de la toma de decisiones, no solo a los técnicos.
«Una simulación guía a los líderes de la ciudad y del condado a través de un escenario realista del peor caso posible antes de que este ocurra: el sistema de agua queda fuera de servicio, el sistema de facturación se cae, un periodista llama y la persona que conoce la red está de vacaciones», explicó. «Analizar esta situación en una sala de reuniones saca a la luz carencias que no aparecen en ningún análisis técnico: quién declara el incidente, quién habla con el público, quién tiene autoridad para aprobar gastos de emergencia a las 11 de la noche».
«Recientemente hemos tenido sesiones en las que los concejales salían diciendo que por fin entendían por qué su personal de TI pedía fondos, y se comprometían a financiarlos», comentó. «Un informe de vulnerabilidades rara vez logra eso; vivir durante noventa minutos el peor día posible para tu ciudad, sí».
Por qué otros estados deberían seguir este ejemplo.
Lo que hace Alabama es correcto, observó Shane Barney, director de seguridad de la información (CISO) de Keeper Security, una empresa de gestión de contraseñas y almacenamiento en línea con sede en Chicago.
«Tomar aquellas capacidades que ningún municipio puede permitirse desarrollar por sí solo y ofrecerlas de manera centralizada», declaró. «La implementación obligatoria de la autenticación multifactor (MFA), la supervisión continua y las pruebas de penetración no constituyen seguridad avanzada; son el nivel básico. El problema radica en que la mayoría de los gobiernos locales no pueden alcanzar ese nivel básico por sí solos. Los programas de alcance estatal son uno de los pocos mecanismos capaces de cerrar esa brecha a gran escala».
Matthew Hartman, director de estrategia de Merlin Group —una red de empresas afiliadas con sede en Tysons Corner, Virginia, que invierte en compañías de cibertecnología, las impulsa y facilita su crecimiento—, coincidió en que los programas estatales de ciberseguridad que ofrecen servicios compartidos, supervisión continua y respuesta ante incidentes se cuentan entre las formas más eficaces de elevar el nivel de seguridad para las jurisdicciones más pequeñas, las cuales no pueden desarrollar estas capacidades por cuenta propia.
«La ciberseguridad debe abordarse como una responsabilidad compartida, y no como algo que se espera que cada municipio desarrolle desde cero», declaró.
Sachin Jade, director de producto (CPO) de Cyware —proveedor de una plataforma de inteligencia de amenazas impulsada por inteligencia artificial con sede en Jersey City, Nueva Jersey—, sostuvo que la iniciativa de Alabama podría servir de modelo para otros estados.
«Al establecer un modelo de defensa colectiva a nivel estatal con intercambio automatizado de inteligencia sobre amenazas, los estados equilibran las condiciones para los pequeños municipios que carecen de presupuestos de ciberseguridad de nivel empresarial; esto se logra identificando y difundiendo información crítica sobre amenazas de manera oportuna para permitir que los municipios actúen», declaró.
«Este es exactamente el modelo adecuado», coincidió Waseem Ahmed, jefe de ingeniería de Secure.com, un proveedor de agentes de seguridad basados en IA con sede en Dubái (Emiratos Árabes Unidos). «Las localidades pequeñas no pueden permitirse individualmente un SOC [Centro de Operaciones de Seguridad], un especialista en pruebas de penetración o una monitorización las 24 horas, pero un programa a nivel estatal puede ofrecer todo esto a un costo compartido», dijo.
«La implementación de la autenticación multifactor (MFA), la monitorización de dispositivos y la planificación de respuesta a incidentes son los controles que habrían evitado la mayoría de las brechas de seguridad reflejadas en los datos de Comparitech», afirmó. «Más estados deberían seguir el ejemplo de Alabama. La alternativa es esperar a que el próximo condado tenga que pagar un rescate».
Los programas estatales requieren apoyo continuo.
Estos tipos de programas están ganando popularidad en todo el país, especialmente en estados donde las agencias rurales más pequeñas —como los cuerpos de bomberos y policía o entidades gubernamentales menores, como los distritos de agua— a menudo ni siquiera cuentan con personal de TI propio, y mucho menos con un equipo de profesionales de seguridad capacitados y con experiencia en la lucha contra los ciberatacantes, añadió Nathan Wenzler, CISO de campo en Optiv, un proveedor de soluciones de ciberseguridad con sede en Denver.
«Desde el punto de vista conceptual, estos programas son fantásticos y pueden ayudar a proporcionar recursos compartidos de los que estas organizaciones no dispondrían de otro modo», comentó, «pero también conllevan desafíos. Al igual que cualquier otro grupo, a menudo carecen de fondos y personal suficiente; a medida que aumenta la demanda por parte de estas entidades más pequeñas, se ve afectada la capacidad de dichos consorcios para monitorizar y responder de manera eficaz y rápida».
También señaló que puede existir un mayor riesgo para todas las agencias participantes, ya que deben otorgar al programa central acceso a sus sistemas, datos y aplicaciones internos para que dicho grupo pueda realizar las tareas de monitorización y administración ofrecidas. «Esto significa que centros como este se convierten en un objetivo más atractivo para los actores criminales, pues una vulneración del centro implica que todas las entidades conectadas también podrían verse comprometidas», advirtió. «Por esta razón, estos modelos de servicios compartidos y centralizados requieren mayor financiación y apoyo a nivel estatal y federal, a fin de garantizar una higiene cibernética adecuada y controles de seguridad sólidos que protejan eficazmente a todas las agencias conectadas que utilizan dichos servicios», añadió.
Riesgo de proveedores.
Maley, de Black Kite, advirtió que el aspecto que suele pasarse por alto al analizar a los gobiernos locales es el de los proveedores. «Los condados no gestionan sus propias plataformas de facturación de servicios públicos, sistemas de registros judiciales ni portales de pago», explicó; «de ello se encarga un número reducido de proveedores, y cada uno de ellos presta servicios a cientos de jurisdicciones».
«Nuestra investigación reveló que una sola brecha de seguridad en un tercero afecta, en promedio, a otras 5,28 organizaciones», continuó. «Por tanto, cuando una pequeña ciudad aparece en los titulares debido a una brecha de seguridad, la pregunta más relevante es qué proveedor está detrás y a qué otras entidades presta servicio».
La gobernanza también es fundamental en el ámbito de los gobiernos locales. La tecnología es importante, pero sin un liderazgo que asuma la responsabilidad, nada se lleva a cabo de manera constante, sostuvo Denis Calderone, director y CTO de Suzu Labs, proveedor de servicios de ciberseguridad basados en inteligencia artificial con sede en Las Vegas.
«Lo que necesitan los gobiernos pequeños es alguien en la cúpula que fomente una mentalidad de resiliencia: asumir con honestidad que se sufrirá un ataque y contar con un plan para recuperarse rápidamente sin pagar el rescate», declaró. Esa mentalidad debe traducirse en acciones concretas, no quedarse en meras declaraciones.
Si se logra un liderazgo y una rendición de cuentas adecuados, los controles técnicos vendrán por añadidura, argumentó. De lo contrario, uno se limita a adquirir herramientas cuyo mantenimiento nadie supervisa.
Bill Cameron, director de servicios gubernamentales de NCC Group —una consultora global de ciberseguridad—, afirmó que los gobiernos locales deberían considerar la ciberresiliencia como una prioridad operativa, y no simplemente como una cuestión de TI. «Los incidentes cibernéticos pueden interrumpir servicios esenciales, afectar directamente a los residentes y socavar la confianza pública», señaló.
«En última instancia, el mensaje más importante para los líderes de los gobiernos locales es que la preparación es clave», aconsejó. «La pregunta rara vez es si una agencia sufrirá un incidente cibernético, sino cuándo ocurrirá. La capacidad de responder con rapidez, mantener los servicios críticos y recuperarse eficazmente es lo que determina la resiliencia a largo plazo».
