La principal asesora de ciberseguridad del Departamento advierte que la capacidad de respuesta quedó atrás del ritmo de los incidentes
La principal asesora de ciberseguridad del Departamento de la Fuerza Aérea de EE.UU., Wanda Jones-Heath, planteó el jueves una demanda concreta al gobierno federal: invertir en forense digital para mantener el ritmo con incidentes y amenazas en el ciberespacio. La declaración, realizada en el Datadog Threat Response Forum producido por FedScoop, marca un giro en el enfoque tradicional de ciberseguridad del Departamento de Defensa — históricamente centrado en detección y prevención — hacia la necesidad de entender qué pasó después de que un ataque ya ocurrió. Jones-Heath describió el forense digital como una capacidad vital para detectar, rastrear y encontrar dónde comenzó un incidente, incluso cuando el análisis ocurre semanas o meses después del evento inicial.
El problema de operar mientras se investiga bajo fuego
Jones-Heath planteó una tensión operativa que define el desafío actual: cómo mantener el ritmo con incidentes mientras están ocurriendo, no solo después de que terminaron. Una vez identificado un incidente, el forense digital permite determinar qué pasó, quién lo hizo, dónde se originó y cómo particionar las áreas que todavía están bajo ataque mientras se continúa operando en ese entorno. Esta descripción revela una realidad operativa en la que el Departamento de Defensa asume que tendrá que seguir funcionando en redes parcialmente comprometidas — un escenario que requiere capacidad de análisis en tiempo real, no solo retrospectivo.
Jeffrey Hunt, jefe de rama de operaciones globales del Departamento de Defensa Cyber Crime Center — la unidad que proporciona investigaciones de forense digital — señaló en el mismo evento que la división entre equipos de operaciones y seguridad en obtener visibilidad de amenazas en redes es un problema que necesita abordarse temprano. Hunt advirtió que combinar ambos equipos en una sola unidad grande es un desastre que no funciona, pero propuso una relación de enlace donde alguien de seguridad esté en la sala como parte del equipo de planificación desde el inicio del plan operativo.
Ejercicios de ciberseguridad que no reflejan cómo opera el adversario
Jones-Heath recomendó cambiar cómo se conducen los ejercicios de ciberseguridad en el Departamento de Defensa. Señaló que los ejercicios actuales no están diseñados típicamente para reflejar cómo operaría el departamento si tuviera un enfrentamiento real, y que es necesario cambiar la perspectiva para permitir que el equipo de ciberseguridad esté realmente comprometido en el lado ofensivo y defensivo. La asesora planteó que el objetivo es no estar en modo reactivo cuando ocurre un incidente y saber qué hacer cuando los datos están envenenados.
La crítica apunta a un patrón en ejercicios militares tradicionales: escenarios controlados que no incorporan las tácticas reales del adversario en el ciberespacio. Jones-Heath insistió en que compartir inteligencia sobre lo que el adversario está haciendo en el mundo real puede convencer a quienes no están en la comunidad de ciberseguridad de permitir que el equipo sea parte del ejercicio, demostrando qué hace realmente el adversario para que, si una formación queda desconectada, se sepa exactamente qué hacer.
Qué significa esto para infraestructura crítica en América Latina
Aunque las declaraciones de Jones-Heath se enfocan en capacidades del Departamento de Defensa de EE.UU., el diagnóstico tiene lectura directa para América Latina: la brecha entre detección y forense digital no es exclusiva de entornos militares. Sectores críticos en la región — energía, telecomunicaciones, servicios financieros — operan con capacidades de detección que en muchos casos dependen de proveedores externos, pero carecen de equipos internos de forense digital que puedan reconstruir qué pasó después de un incidente. En países como Brasil, México y Colombia, donde la sofisticación de ataques a infraestructura crítica ha aumentado en los últimos dos años, la falta de capacidad forense significa que muchos incidentes se cierran sin entender el vector de entrada, la persistencia del atacante o si quedaron puertas traseras activas.
El modelo que describe Hunt — equipos de operaciones y seguridad separados pero con enlace desde la planificación — es prácticamente inexistente en organizaciones de la región fuera de grandes bancos y operadores de telecomunicaciones. La mayoría de las empresas de infraestructura crítica en LATAM todavía opera con un modelo donde seguridad es una función reactiva que se activa después de que operaciones detecta un problema, no una capacidad integrada desde el diseño de sistemas.
Nuestro análisis
La demanda de Jones-Heath no es solo un pedido de presupuesto — es el reconocimiento de que el modelo de ciberseguridad centrado en prevención ya no es suficiente cuando se asume que el adversario ya está adentro o que va a entrar. El forense digital deja de ser una capacidad de auditoría post-mortem para convertirse en una función operativa que permite tomar decisiones mientras el incidente está activo: qué segmentar, qué mantener operativo, dónde está el atacante ahora. Este cambio de enfoque tiene precedente en cómo el sector financiero global respondió después de los ataques a SWIFT en 2016 — cuando quedó claro que detectar la intrusión no era suficiente si no se podía reconstruir qué hizo el atacante con acceso a sistemas de pagos.
Lo que todavía no está claro es cómo se mide el éxito de esta capacidad. Jones-Heath habla de mantener el ritmo con incidentes mientras ocurren, pero no define qué significa ritmo en términos operativos — si es tiempo de respuesta, cobertura de análisis o capacidad de atribución. Sin métricas concretas, la inversión en forense digital corre el riesgo de convertirse en otra capacidad que se construye sin criterio claro de cuándo es suficiente. ¿Qué pasaría si el Departamento de Defensa invierte en forense digital pero los ejercicios de ciberseguridad siguen sin reflejar cómo opera el adversario real?