CISA improvisó su plan de respuesta durante filtración de mayo

La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) reconoció que no contaba con un plan de respuesta preparado para gestionar el incidente de seguridad ocurrido en mayo de 2026, cuando un contratista expuso públicamente claves y credenciales sensibles de acceso a sistemas del gobierno federal. La agencia admitió en un informe posterior al incidente, publicado el viernes 10 de julio de 2026, que su personal "tuvo que dedicar tiempo a construir" un protocolo de respuesta durante las primeras etapas del episodio, en lugar de ejecutar uno ya existente.

El incidente salió a la luz gracias al trabajo de un investigador independiente. Un investigador de seguridad de la firma GitGuardian detectó grandes cantidades de contraseñas expuestas en un repositorio público de GitHub, subido por un empleado de un contratista de CISA. Según el periodista especializado en ciberseguridad Brian Krebs, el investigador intentó primero alertar directamente al contratista, pero no obtuvo respuesta. Recién cuando Krebs contactó a CISA la agencia dio de baja el repositorio y revocó y reemplazó todas las credenciales expuestas para evitar que fueran utilizadas de forma maliciosa.

Canales de aviso poco claros

En su postmortem, CISA señaló que sus canales para que investigadores de seguridad pudieran notificar potenciales incidentes "no estaban bien definidos", un factor que contribuyó a la demora en la respuesta inicial. La agencia afirmó que ya realizó cambios para facilitar y agilizar el contacto de investigadores externos con su equipo. La agencia no precisó cuánto tiempo se perdió por la ausencia de un playbook, y un vocero no respondió de inmediato a la consulta de TechCrunch sobre ese punto.

CISA aclaró que en el episodio no se expusieron datos de clientes ni de misión, y agradeció públicamente tanto al investigador de GitGuardian como al periodista que dio a conocer el caso. En su propio reporte, la agencia subrayó la importancia de tener protocolos preparados para "todas las necesidades anticipadas", de modo de estar lista para actuar ante un incidente de seguridad en vez de improvisar una respuesta sobre la marcha.

Una agencia bajo presión

El episodio ocurre en un contexto de debilidad institucional para CISA. La agencia no tiene un director permanente desde el inicio del segundo mandato del presidente Donald Trump, en enero de 2025. Además, viene atravesando recortes, licencias sin goce de sueldo y despidos que afectaron a cerca de un tercio de su plantilla desde que Trump asumió el cargo.

CISA es la unidad del Departamento de Seguridad Nacional encargada de defender las redes federales y ayudar a proteger la infraestructura crítica del país, un rol que incluye asesorar a otras agencias y al sector privado sobre buenas prácticas de ciberseguridad. Que la propia agencia de referencia en la materia haya tenido que armar su protocolo de respuesta en tiempo real, mientras gestionaba una filtración activa, expone una brecha entre el estándar que promueve hacia terceros y su preparación interna.