FCC exige a telcos intensificar seguridad de las redes tras ciberataque Salt Typhoon

Tras el ciberataque Salt Typhoon, las empresas de telecomunicaciones de Estados Unidos deberán intensificar las medidas de seguridad para proteger las redes del acceso ilegal o la interceptación de las comunicaciones.

La Comisión Federal de Comunicaciones (FCC, por sus siglas en inglés) adoptó el jueves 16 de enero una resolución que determina nuevas reglas de ciberseguridad para las redes de telecomunicaciones.

En específico, la normativa establece que los operadores tienen la obligación de adoptar requisitos específicos de gestión de riesgos de la cadena de suministro y ciberseguridad.

Según la FCC, bajo la Ley de Asistencia en las Comunicaciones para el Cumplimiento de la Ley, las empresas tienen que maximizar las medidas de seguridad, dado que las comunicaciones deben estar disponibles en todas las circunstancias, para garantizar la seguridad nacional, gestionar de manera eficaz las emergencias y mejorar la resiliencia.

Además, la resolución de la agencia propone que los operadores presenten una certificación anual a la FCC que acredite que han creado, actualizado e implementado un plan de gestión de riesgos cibernéticos. Esta idea aún será sometida a discusión.

Si bien la normativa  se centra especialmente en las empresas de telecomunicaciones, la Comisión busca aplicar las nuevas reglas a un universo más amplio de proveedores de servicios.

Te recomendamos: Salt Typhoon | Confirman ciberespionaje de China en redes de AT&T y Verizon

En este universo estarían incluidos los proveedores de servicios de Internet de banda ancha fijos y móviles, las estaciones de transmisión AM y FM, estaciones de televisión, proveedores de servicios de televisión analógica y digital, sistemas de cable, sistemas de video alámbrico, comunicaciones alámbricas, entre otros.

De acuerdo con el documento de la normativa, los planes de gestión de riesgos de los proveedores de comunicaciones deben identificar los riesgos cibernéticos a los que se enfrentan, los controles que utilizan o planean usar para mitigar esos riesgos y cómo garantizan que estos controles se apliquen de manera efectiva a sus operaciones.

La Comisión destaca que no sólo basta con crear o actualizar planes en la materia, sino que estos tienen que ser razonables para evitar un incumplimiento. Esto significa que los recursos y procesos para garantizar la ciberseguridad deben ser claros y flexibles.

Aunque la resolución destaca la importancia de la flexibilidad, advierte que demostrar que un plan de gestión de riesgos está siendo exitoso tendría que partir de que los operadores se ciñan a un marco establecido, como el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología.

La FCC adoptó estas nuevas reglas luego del complejo ciberataque conocido como Salt Typhoon, mediante el cual, según autoridades estadounidenses, agentes chinos buscaron tener acceso a las redes de telecomunicaciones en todo el país, comprometiendo dispositivos como enrutadores y conmutadores administrados por empresas de telecomunicaciones.

Destacado: Estados Unidos sanciona a empresa china de ciberseguridad por incidentes de intrusión

Al menos siete operadores sufrieron vulneraciones en sus redes como parte de una campaña masiva de espionaje supuestamente dirigida por China contra altos funcionarios del gobierno. Según la administración, el ataque cibernético habría permitido a China acceder a conversaciones privadas, especialmente de personas en actividades gubernamentales o políticas en Washington.

“En respuesta a Salt Typhoon, ha habido un esfuerzo de todo el gobierno para comprender la naturaleza y el alcance de esta violación, lo que debe suceder para eliminar esta exposición en nuestras redes y los pasos necesarios para garantizar que nunca vuelva a suceder”, afirmó Jessica Rosenworcel, presidenta de la FCC.

Jen Easterly, directora de la Agencia de Seguridad de Infraestructura y Ciberseguridad, destacó que “las acciones de la FCC hoy son un paso importante para proteger la infraestructura de telecomunicaciones del país contra la amenaza muy real que plantean la República Popular de China y otros actores amenazantes”.

La resolución de la FCC ya entró en vigor, pero la agencia está recibiendo comentarios sobre si la Comisión debería armonizar su enfoque de la ciberseguridad y la gestión de riesgos de la cadena de suministro en todos los servicios de comunicaciones y en qué medida.

Trump nomina a Olivia Trusty como comisionada de FCC

Previo a su llegada a la Casa Blanca, el presidente electo de EE. UU., Donald Trump, nominó a Olivia Trusty como comisionada de la FCC.

Trusty actualmente es miembro del personal profesional del Comité de Servicios Armados del Senado.

Congratulations to Olivia Trusty! pic.twitter.com/uVQITEi2GR

— Brendan Carr (@BrendanCarrFCC) January 16, 2025

Anteriormente, trabajó en el Comité de Energía y Comercio de la Cámara de Representantes, centrándose en la fabricación y el comercio, el comercio digital y la protección del consumidor.

“Olivia trabajará con nuestro increíble nuevo presidente de la FCC, Brendan Carr, para reducir las regulaciones a un ritmo récord, proteger la libertad de expresión y garantizar que todos los estadounidenses tengan acceso a Internet asequible y rápido”, dijo Trump en una publicación en su red social Truth Social.

La nominación de Trusty aún debe ser confirmada por el Senado, pero su pronta llegada dará a los republicanos la mayoría en la FCC para avanzar en una nueva agenda de trabajo. Mientras tanto, las principales asociaciones industriales del sector celebraron su nominación.