El escudo cibernético de Estados Unidos se quiebra al expirar la certificación CISA 2015

La Ley de Intercambio de Información sobre Ciberseguridad de 2015 (CISA 2015) expiró el 30 de septiembre de 2025, eliminando la protección legal que permitía a miles de organizaciones del sector privado compartir datos de amenazas cibernéticas en tiempo real con el gobierno y entre sí. El programa de Intercambio Automatizado de Indicadores (AIS), impulsado por esta ley, procesaba millones de indicadores de amenazas mensualmente. Sin la protección legal, los equipos jurídicos corporativos interrumpieron el intercambio de información. La acción recomendada es: implementar controles independientes de cifrado y detección ahora mismo, y unirse a las comunidades de intercambio de información sobre amenazas del sector privado mientras se espera la renovación legislativa.

Respuesta rápida: ¿Por qué es importante la fecha de vencimiento de la certificación CISA 2015?

La CISA 2015 fue la base legal de la red automatizada de inteligencia sobre amenazas cibernéticas de Estados Unidos. Otorgaba a las empresas inmunidad frente a demandas antimonopolio, de privacidad y de responsabilidad civil a cambio de compartir indicadores de amenazas de ciberseguridad, como direcciones IP maliciosas, firmas de malware y patrones de ataque, con el gobierno y entre sí a través del programa de Intercambio Automatizado de Indicadores (AIS). Al expirar el 30 de septiembre de 2025, la protección legal desapareció. Sin ella, compartir datos sobre amenazas se convirtió en un riesgo legal en lugar de una actividad protegida, y el flujo de inteligencia hacia el sistema colectivo de alerta temprana se detuvo por completo. Como resultado, miles de organizaciones ahora se defienden de las amenazas emergentes sin la inteligencia colectiva en tiempo real que antes permitía que una detección en un banco bloqueara automáticamente un ataque en un hospital al otro lado del país.

¿Qué fue CISA 2015?

Antes de 2015, las empresas que sufrían ciberataques estaban legalmente aisladas. Si un banco detectaba un nuevo tipo de ransomware, compartir los detalles técnicos de ese malware con otras empresas conllevaba el riesgo de incurrir en prácticas anticompetitivas (por coordinarse con la competencia), responsabilidad por la privacidad (si el indicador afectaba a datos de clientes) e incertidumbre jurídica general. La respuesta empresarial racional era mantener la información internamente, lo que significaba que el mismo atacante podía atacar un hospital y luego una central eléctrica sin que nadie diera aviso.

La Ley de Intercambio de Información sobre Ciberseguridad de 2015 eliminó esas barreras. Creó una protección legal federal explícita para las empresas que compartían indicadores de amenazas cibernéticas (CTI) y medidas de defensa con el gobierno y entre sí, condicionada a la eliminación automatizada de información privada no relacionada con la amenaza. La ley facultó a la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) para administrar el programa AIS y proporcionó a todo el marco una base legal dentro de la cual los departamentos de cumplimiento y legales pudieran trabajar.

El resultado fue el programa de Intercambio Automatizado de Indicadores (AIS, por sus siglas en inglés): una red de máquina a máquina que utiliza los estándares STIX (Structured Threat Information eXpression) y TAXII (Trusted Automated eXchange of Intelligence Information, Intercambio Automatizado Confiable de Información de Inteligencia) para intercambiar indicadores de amenazas prácticamente en tiempo real, sin intervención humana, entre miles de organizaciones participantes que abarcan todos los sectores de infraestructura crítica.

Cómo funcionaba el programa automatizado de intercambio de indicadores

El programa AIS funcionaba a velocidad de máquina, no a velocidad humana. Este es el flujo completo de un indicador de amenaza a través del sistema:

1. Detección: El sistema de seguridad de un banco identifica una dirección IP maliciosa o un hash único de un nuevo programa malicioso. Este dato se denomina indicador de amenaza cibernética (CTI).
2. Limpieza automatizada: El cliente AIS de la organización elimina automáticamente cualquier información privada del cliente que no esté directamente relacionada con la amenaza antes de la transmisión. La CISA 2015 exigía este proceso de eliminación de datos como condición para la protección contra responsabilidades.
3. Envío a través de TAXII: La información CTI limpia se envía al centro AIS utilizando el protocolo TAXII en formato STIX, una estructura estandarizada legible por máquina que las herramientas de seguridad pueden procesar directamente.
4. Transmisión central: La plataforma AIS distribuye instantáneamente el indicador a todas las organizaciones y agencias gubernamentales participantes, desde redes hospitalarias hasta empresas de servicios eléctricos y agencias federales.
5. Bloqueo automático: Las herramientas de seguridad, los cortafuegos, las plataformas SIEM y la protección de endpoints de cada organización receptora procesan automáticamente el nuevo indicador y lo bloquean o lo marcan en toda su red antes de que el atacante alcance un nuevo objetivo.

En su apogeo, el programa AIS procesaba millones de indicadores mensualmente. Una sola detección en una organización se convertía en un bloqueo automático de toda la red en cuestión de minutos. Ese efecto multiplicador es lo que eliminó la expiración de CISA 2015.

Un doble golpe: ley vencida y capacidad gubernamental reducida

La expiración de la CISA en 2015 no se produjo de forma aislada. Coincidió con un cierre del gobierno que dejó sin empleo a una parte importante de la plantilla de la CISA. El efecto combinado fue una reducción simultánea tanto de la oferta (las organizaciones dejaron de compartir información) como de la demanda (menos analistas gubernamentales para recibir, analizar y actuar en función de la inteligencia compartida).

Pérdida de protección legal: sin la protección de CISA 2015, los equipos legales corporativos interpretaron el intercambio de información sobre amenazas como un riesgo legal inaceptable. El consejo dado a los equipos de seguridad fue el mismo en todos los sectores: suspender el intercambio voluntario de información hasta que se restablezca la claridad legislativa. El flujo de inteligencia se interrumpió desde la fuente.

Reducción de la capacidad de respuesta del gobierno: La suspensión temporal del personal de CISA supuso una menor cantidad de investigadores de amenazas en las redes gubernamentales, un análisis más lento del malware recién identificado y tiempos de respuesta más prolongados ante vulnerabilidades emergentes. El personal esencial restante pasó de la búsqueda proactiva de amenazas a la respuesta reactiva ante incidentes, lo que amplió el margen de tiempo durante el cual los atacantes operan sin ser detectados.

Modelo de amenazas: ¿Qué cambia cuando desaparece la inteligencia colectiva?

Comprender con precisión qué vectores de amenaza empeoran ayuda a las organizaciones a priorizar sus defensas independientes:

Categoría de amenaza	Impacto bajo AIS (CISA 2015 vigente)	Impacto sin AIS (CISA 2015 expiró)	Lo que las organizaciones deben hacer de forma independiente
Nuevas variantes de malware	La primera detección en una organización bloquea la variante en toda la red en cuestión de minutos.	Cada organización detecta de forma independiente; el tiempo medio de detección aumenta significativamente.	Invierta en detección de comportamiento (EDR); suscríbase a fuentes de información comerciales sobre amenazas.
Campañas de ransomware	Los indicadores de las primeras víctimas alertan a los objetivos posteriores antes de que comience el cifrado.	Las víctimas posteriores no tienen aviso previo; el ransomware se ejecuta por completo antes de ser detectado.	Copias de seguridad inmutables sin conexión; segmentación de red; cifrado de datos confidenciales en reposo (AES-256).
Credenciales comprometidas e infraestructura de phishing	Dominios e IPs maliciosos bloqueados en toda la red horas después de su primera detección.	Los filtros DNS y de correo electrónico de cada organización deben detectar y bloquear de forma independiente.	Aplicación de DMARC, DKIM y SPF; autenticación multifactor resistente al phishing (FIDO2 o basada en certificados).
Ataques a la cadena de suministro	Firmas de código malicioso compartidas rápidamente entre los consumidores de software	La detección se retrasa hasta que cada organización observe de forma independiente un comportamiento anómalo.	Seguimiento de la lista de materiales del software (SBOM); CBOM seguro para inventario de activos criptográficos; verificación de firma de código
Orientación a infraestructuras críticas	Las alertas sectoriales a través del AIS brindan aviso anticipado a las empresas de servicios públicos, hospitales y compañías energéticas.	No hay alerta automática entre sectores; el intercambio de ISAC específico del sector es el único sustituto parcial.	Únase inmediatamente a ISAC relevantes; aumente la inversión en monitoreo de redes OT/IT.
Explotación de día cero	Los primeros indicadores procedentes de organizaciones explotadas aceleran la priorización de parches.	La priorización de parches se basa exclusivamente en los avisos del proveedor y en el catálogo CISA KEV (que sigue vigente).	Suscríbase al feed KEV de CISA; gestión de parches basada en riesgos dirigida primero a las entradas KEV.

El cifrado como última línea de defensa

Cuando no se dispone de inteligencia colectiva sobre amenazas, el cifrado deja de ser un mero requisito de cumplimiento para convertirse en una necesidad operativa. La idea fundamental es que ahora es más probable que se produzcan fallos de detección: si un atacante accede a una red antes de ser identificado, la diferencia entre una brecha catastrófica y un incidente contenido radica en si los datos a los que accedió estaban cifrados y si las claves estaban bajo el control de la organización.

Datos en reposo: AES-256-GCM es el estándar actual para el cifrado de datos confidenciales almacenados. Para bases de datos que contienen información de identificación personal (PII), información de salud protegida (PHI) o registros financieros, el cifrado a nivel de columna o de campo garantiza que, incluso si un atacante extrae los archivos de la base de datos, el contenido sea ilegible sin la clave de cifrado. Los Servicios de Asesoramiento en Cifrado de Encryption Consulting evalúan la cobertura de cifrado actual e identifican los almacenes de datos que no están cifrados o que utilizan algoritmos obsoletos.

Datos en tránsito: toda comunicación de red interna y externa que contenga datos confidenciales debe utilizar TLS 1.3 con conjuntos de cifrado robustos (TLS_AES_256_GCM_SHA384 o TLS_CHACHA20_POLY1305_SHA256). La comunicación interna entre servicios debe utilizar TLS mutuo (mTLS) para evitar que una credencial comprometida en un servicio se utilice para suplantar la identidad de otro. Con una detección de amenazas externas más lenta, los atacantes que obtienen acceso a la red tienen más tiempo para moverse lateralmente; mTLS limita el alcance del ataque al requerir autenticación basada en certificados entre servicios.

Gestión de claves: la seguridad del cifrado depende de una gestión de claves eficaz. HSM as a Service proporciona almacenamiento de claves de hardware validado según FIPS 140-3, de modo que, incluso si los servidores se ven comprometidos, las claves de cifrado no se pueden extraer. Los programas de rotación de claves, los controles de acceso al uso de claves y el registro de auditoría de todas las operaciones con claves son los controles operativos que garantizan la eficacia del cifrado a lo largo del tiempo. CBOM Secure detecta todos los activos criptográficos en un entorno, identificando algoritmos débiles, claves sin rotar y almacenes de datos sin cifrar, que representan los objetivos de remediación de máxima prioridad.

Guía para la selección de algoritmos y protocolos

Caso de uso	Algoritmo o protocolo recomendado	estándar mínimo	Qué evitar
Cifrado de datos en reposo	AES-256-GCM	AES-128-GCM	Modo DES, 3DES, RC4, AES-ECB
Datos en tránsito	TLS 1.3 con ECDHE + AES-256-GCM	TLS 1.2 con ECDHE (sin intercambio de claves RSA)	TLS 1.0, TLS 1.1, SSL, conjuntos de cifrado RC4, modo CBC en TLS 1.2
Autenticación de servicio interno	TLS mutuo (mTLS) con identidad basada en certificados	TLS 1.2 con autenticación mediante certificado de cliente	Claves API sin rotación, secretos compartidos
Almacenamiento de claves	Módulo de seguridad de hardware (HSM) validado según FIPS 140-3	Módulo de seguridad de hardware (HSM) validado según FIPS 140-2 Nivel 2	Almacenes de claves de software, claves en variables de entorno, claves en repositorios de código
Autenticación	Claves de acceso FIDO2 o autenticación basada en certificados (CBA)	MFA basada en TOTP	Solo contraseña, código OTP por SMS
Datos sensibles de larga duración (riesgo cuántico)	PQC híbrido: AES-256 + ML-KEM (FIPS 203) para encapsulación de claves	AES-256 por sí solo (proporciona resistencia cuántica para el cifrado simétrico)	RSA-2048 por sí solo para el cifrado de claves de datos de larga duración (vulnerable a la computación cuántica)

Camino a seguir: Construyendo resiliencia cibernética independiente

Medidas legislativas inmediatas

• Reautorización acelerada: El Congreso debe aprobar un proyecto de ley bipartidista que restablezca la CISA 2015 con una prórroga a largo plazo para evitar futuras interrupciones. La nueva legislación debería incluir protecciones de responsabilidad retroactivas hasta el 30 de septiembre de 2025, para cubrir cualquier intercambio de información que haya ocurrido durante el período de interrupción y para reiniciar de inmediato el flujo de inteligencia.
• Estructuras de incentivos: Los créditos fiscales o la ampliación de las cláusulas de exención de responsabilidad para las organizaciones que mantengan un intercambio continuo de información durante el período de transición acelerarían el flujo de inteligencia antes de la restauración formal.

Alternativas de inteligencia sobre amenazas para el sector privado

• Únete inmediatamente al ISAC de tu sector: Los Centros de Intercambio y Análisis de Información (ISAC) operan independientemente de la CISA 2015 y de su estatus de gobierno federal. El ISAC de Servicios Financieros (FS-ISAC), el ISAC de Salud (H-ISAC), el ISAC de Energía y otros proporcionan inteligencia sobre amenazas específicas del sector mediante el intercambio entre sus miembros. Las organizaciones que aún no participan deberían unirse de inmediato, ya que es la alternativa más directa a la inteligencia de los Sistemas de Información de Armas (AIS).
• Suscríbase a los canales de alertas comerciales sobre amenazas: Los servicios comerciales de inteligencia sobre amenazas proporcionan indicadores actualizados continuamente que no dependen de la infraestructura gubernamental. Estas fuentes de datos pueden ser procesadas directamente por plataformas SIEM y cortafuegos en el mismo formato de comunicación máquina a máquina que utilizaba AIS.
• Participación de la Alianza contra las Amenazas Cibernéticas: La Cyber ​​Threat Alliance es una organización sin ánimo de lucro que facilita el intercambio de información sobre amenazas entre empresas de ciberseguridad, proporcionando un canal de inteligencia alternativo del sector privado.

Controles de seguridad organizacional

• Realizar un inventario criptográfico: use CBOM seguro Para descubrir todos los activos criptográficos de su entorno, identificar almacenes de datos confidenciales no cifrados y detectar algoritmos débiles o claves no gestionadas que representen la mayor prioridad en cuanto a riesgos de seguridad, incluso con plazos de detección más largos.
• Implementar la monitorización continua: Las plataformas SIEM, la detección y respuesta de endpoints (EDR) y la gestión de la postura de seguridad en la nube (CSPM) deben estar activas y generar alertas que se revisen periódicamente. Ante la degradación de la inteligencia sobre amenazas externas, la detección de comportamientos internos se convierte en el principal mecanismo de alerta temprana.
• Pruebe los planes de respuesta ante incidentes: Suponga que los tiempos de detección serán más largos que los experimentados anteriormente. Actualice los manuales de respuesta a incidentes para reflejar un entorno de amenazas en el que un atacante puede haber permanecido dentro de la red durante más tiempo antes de ser descubierto, y pruebe los planes con simulacros que asuman una inteligencia externa degradada.
• Implementar MFA resistente al phishing: Las credenciales comprometidas son el vector de acceso inicial más común. Las claves de seguridad de hardware FIDO2 o autenticación basada en certificados Mediante CertSecure Manager, se elimina la ruta de ataque de phishing de credenciales, independientemente de si la infraestructura de phishing está bloqueada a nivel de red.

Cómo puede ayudar la consultoría de cifrado

Con la inteligencia colectiva sobre amenazas degradada, los controles que antes servían de respaldo ahora deben ser la primera línea de defensa. Los servicios de Encryption Consulting abordan directamente las deficiencias que genera la expiración de la CISA 2015:

• Servicios de asesoramiento sobre cifrado: nuestro mapa de Servicios de asesoramiento sobre cifrado Evalúe su cobertura de cifrado actual para los datos en reposo, en tránsito y en uso; identifique los almacenes de datos confidenciales desprotegidos; evalúe las prácticas de gestión de claves; y elabore una hoja de ruta de remediación priorizada alineada con NIST, GDPR, HIPAA y PCI DSS. Este es el control fundamental que garantiza que los datos comprometidos sean ilegibles incluso cuando la detección se retrasa.
• CBOM Seguro: CBOM seguro Analiza su entorno para generar una lista completa de materiales criptográficos (CBOM, por sus siglas en inglés), mostrando todos los algoritmos, claves y certificados en uso. Identifica los datos que carecen de cifrado, señala los algoritmos obsoletos y proporciona el inventario necesario para priorizar las medidas correctivas según el nivel de riesgo. Las organizaciones con información deficiente sobre amenazas externas necesitan esta visibilidad con urgencia.
• HSM como servicio: HSM como servicio Proporciona almacenamiento de claves de hardware validado según FIPS 140-3, lo que garantiza que las claves de cifrado no puedan extraerse ni siquiera ante una brecha de seguridad sofisticada. La gestión de claves basada en hardware es el mecanismo que transforma una intrusión exitosa, que inicialmente solo provoca una filtración de datos, en un ataque en el que el atacante recibe texto cifrado inservible.
• Servicios de asesoramiento en materia de cumplimiento normativo: nuestro mapa de Servicios de asesoramiento sobre cumplimiento Ayudar a las organizaciones a comprender cómo la expiración de la CISA 2015 afecta su nivel de cumplimiento con las normas HIPAA, PCI DSS, GDPR y las reglas de divulgación de ciberseguridad de la SEC, y a elaborar la documentación y los controles necesarios para demostrar la debida diligencia antes de que ocurra un incidente.
• Servicios de asesoramiento de PQC: Para las organizaciones que manejan datos sensibles de larga duración que siguen siendo confidenciales y de valor durante la próxima década, nuestra Servicios de asesoramiento de PQC Evaluar la exposición al método Harvest Now, Decrypt Later (HNDL) y elaborar una hoja de ruta para la migración a algoritmos post-cuánticos estandarizados por el NIST (FIPS 203, 204, 205).

Limitaciones: lo que las organizaciones individuales no pueden reemplazar

• Velocidad a escala: Las fuentes privadas de inteligencia sobre amenazas y la participación en ISAC ofrecen una cobertura significativa, pero no pueden replicar por completo la velocidad y el alcance del programa AIS. Un ataque novedoso que afecte a muchas organizaciones simultáneamente se propagará más rápidamente sin la transmisión casi instantánea de AIS a miles de participantes.
• Visibilidad intersectorial: Los ISAC son sectoriales. Un ataque que comienza en el sector de servicios financieros y se extiende a la atención médica o la infraestructura energética pierde visibilidad al cruzar las fronteras sectoriales. Los AIS proporcionaban una visibilidad intersectorial que ninguna alternativa del sector privado reproduce por completo.
• El cifrado no impide la intrusión: Un cifrado robusto hace que los datos comprometidos sean inutilizables, pero no impide la intrusión en sí. Las organizaciones deben combinar la gobernanza del cifrado con la detección, los controles de acceso y la respuesta a incidentes para construir una estrategia de defensa integral.

Conclusión

La expiración de la CISA 2015 eliminó el fundamento jurídico que permitía el funcionamiento del sistema colectivo de alerta temprana cibernética de Estados Unidos. Sin protección legal, el intercambio voluntario de información cesó. Los millones de indicadores mensuales del programa AIS ya no llegan a las organizaciones que dependían de ellos para bloquear las amenazas emergentes. Una reducción simultánea de la capacidad de ciberseguridad del gobierno agravó aún más la situación.

La consecuencia práctica para los equipos de seguridad empresarial es que las ventanas de detección serán más largas y los nuevos ataques se propagarán más antes de ser identificados. Los controles que reducen el impacto de la detección tardía son bien conocidos: cifrar los datos confidenciales para que las filtraciones produzcan texto cifrado en lugar de texto plano, implementar una gestión de claves respaldada por hardware para que las claves de cifrado sobrevivan a una vulneración del servidor, desplegar una monitorización continua del comportamiento para reemplazar las señales de alerta temprana externas y unirse a comunidades privadas de intercambio de amenazas como sustitutos parciales de la inteligencia de los sistemas de información de amenazas (AIS).

La renovación legislativa de CISA 2015 es la solución sistémica. Hasta que esto ocurra, las organizaciones que mejor afrontarán este periodo serán aquellas que hayan desarrollado sus defensas para funcionar independientemente de la inteligencia colectiva sobre amenazas. Si desea evaluar su nivel actual de cifrado, identificar datos desprotegidos o crear la infraestructura de gestión de claves que haga que sus defensas sean autosuficientes, póngase en contacto con Encryption Consulting para analizar por dónde empezar.

Preguntas frecuentes

¿Qué fue la Ley de Intercambio de Información sobre Ciberseguridad de 2015 (CISA 2015)?

La CISA 2015 creó un mecanismo federal de protección legal que permite a las empresas del sector privado compartir indicadores de amenazas de ciberseguridad con el gobierno y entre sí sin temor a demandas por prácticas anticompetitivas, privacidad o responsabilidad civil. Estableció el programa de Intercambio Automatizado de Indicadores (AIS, por sus siglas en inglés), que intercambiaba automáticamente indicadores de amenazas entre miles de organizaciones prácticamente en tiempo real utilizando los estándares STIX y TAXII.

¿Qué sucedió cuando expiró la CISA 2015?

La CISA 2015 expiró el 30 de septiembre de 2025 sin renovación. Los equipos legales corporativos aconsejaron a las organizaciones que dejaran de compartir información sobre amenazas, ya que la protección legal había desaparecido. El flujo voluntario de indicadores de amenazas en tiempo real hacia el programa AIS se interrumpió, dejando a los equipos de seguridad sin el sistema colectivo de alerta temprana del que dependían para bloquear las amenazas emergentes.

¿Qué es el programa de Intercambio Automatizado de Indicadores (AIS, por sus siglas en inglés)?

AIS es un sistema de intercambio de inteligencia sobre amenazas entre máquinas, operado por CISA mediante los estándares STIX y TAXII. Comparte automáticamente indicadores de ciberamenazas, como direcciones IP maliciosas, dominios, hashes de malware y patrones de ataque, entre las organizaciones participantes. En su momento de máxima actividad, procesaba millones de indicadores mensualmente, convirtiendo una sola detección en un bloqueo automático de toda la red.

¿Qué deberían hacer las organizaciones para protegerse ahora?

Seis pasos inmediatos: cifrar todos los datos confidenciales en reposo (AES-256-GCM) y en tránsito (TLS 1.3); utilizar la gestión de claves respaldada por HSM; realizar un inventario criptográfico con CBOM Secure; unirse al ISAC de su sector para obtener inteligencia privada sobre amenazas; implementar la monitorización continua basada en SIEM; y probar los planes de respuesta a incidentes asumiendo ventanas de detección más largas.

¿Qué controles de cifrado reducen el riesgo de forma más directa cuando no es posible compartir información sobre amenazas?

AES-256-GCM para datos en reposo, TLS 1.3 para datos en tránsito, mTLS para autenticación de servicios internos y gestión de claves con respaldo de HSM FIPS 140-3. En conjunto, estas medidas garantizan que una intrusión exitosa produzca texto cifrado inutilizable en lugar de datos confidenciales legibles, independientemente del tiempo que el atacante haya permanecido dentro del sistema antes de ser detectado.

¿Qué son los ISAC y cómo ayudan?

Los Centros de Intercambio y Análisis de Información (ISAC, por sus siglas en inglés) son organizaciones sectoriales, gestionadas por sus miembros, que comparten información sobre amenazas cibernéticas de forma independiente de la infraestructura gubernamental. FS-ISAC abarca los servicios financieros, H-ISAC la atención médica, y otros ISAC cubren energía, agua, transporte y otros sectores. Continúan operando independientemente del estado de CISA 2015 y son la alternativa más directa del sector privado a la inteligencia de sistemas de información de aplicaciones (AIS, por sus siglas en inglés).