La CISA presenta las herramientas de evaluación de seguridad en la nube para agencias federales «ScubaGear 2.0» y «ScubaGoggles 1.1»… Establece una política para bloquear agentes de IA de riesgo

WASHINGTON, Estados Unidos

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) anunció importantes actualizaciones de ScubaGear y ScubaGoggles, herramientas gratuitas que evalúan las configuraciones de seguridad en entornos de trabajo en la nube para agencias federales, así como para organizaciones públicas y privadas. El 27 de octubre (hora local), CISA anunció en su blog oficial la publicación de ScubaGear 2.0, una herramienta de evaluación para Microsoft 365 (M365), y ScubaGoggles 1.1.0, una herramienta de evaluación para Google Workspace (GWS), en el marco del proyecto Secure Cloud Business Applications (SCuBA).

La publicación del blog se divulgó a nombre de Chris Butera, subdirector sénior interino de ciberseguridad de CISA. CISA calificó esta actualización como «un gran avance» (a major leap forward) para el proyecto SCuBA.

«Capacidad para que las agencias federales cumplan con la Directiva Operativa Vinculante 25-01»

Según CISA, las actualizaciones de las herramientas de evaluación y de las líneas base de configuración segura (SCB) para M365 y GWS proporcionan a las agencias federales la capacidad de cumplir con la Directiva Operativa Vinculante (BOD) 25-01, al tiempo que ofrecen a las organizaciones públicas y privadas medidas prácticas para elevar su nivel de seguridad en la nube.

En su blog, CISA declaró: «Ya sea defendiendo a una agencia federal, gestionando la TI para un gobierno estatal, local, tribal o territorial (SLTT), o supervisando la estrategia en la nube para una empresa privada, el desafío es el mismo: proteger los entornos modernos en la nube contra amenazas en evolución». CISA anunció que estas actualizaciones son el resultado directo de rigurosas pruebas, el intercambio de conocimientos y una colaboración continua con socios federales, defensores de redes de gobiernos SLTT y partes interesadas del sector privado.

El 28 de octubre, CISA también publicó en su cuenta oficial de X: «Desde el lanzamiento inicial de ScubaGear y ScubaGoggles, hemos colaborado con socios gubernamentales y de la industria para garantizar que nuestras herramientas puedan responder a amenazas en evolución. Vea cómo estas actualizaciones pueden ayudar a elevar la postura de seguridad en la nube de su organización».

ScubaGoggles 1.1.0: elimina la dependencia de los registros de administrador e introduce una GUI

Según CISA, ScubaGoggles 1.1.0 permite a los administradores de GWS y a los profesionales de ciberseguridad tener una mejor visibilidad del estado de seguridad de GWS. La nueva versión no depende de los eventos de registro del administrador, lo que resuelve problemas de visibilidad prolongados como los periodos cortos de retención de registros y las configuraciones predeterminadas ocultas. Al introducir una interfaz gráfica de usuario (GUI) con funciones integradas de validación y exportación, elimina la necesidad de crear y gestionar archivos YAML con editores de texto, reduciendo significativamente la barrera de entrada.

Las líneas base también se han vuelto más precisas y transparentes. CISA incorporó una nueva línea base de «controles garantizados» (Assured controls) para permitir que los equipos con escasez de personal y recursos desplieguen un nuevo conjunto de controles de alta confianza adaptados a los entornos de GWS. CISA afirmó que, a medida que las organizaciones integran la superinteligencia generativa (SI) en los flujos de trabajo diarios, la seguridad debe seguirle el paso, por lo que amplió la cobertura de controles para ayudar a garantizar una configuración segura de Google Gemini. La integración con la API de políticas de Google (Policy API) también proporciona visibilidad del estado de seguridad en tiempo casi real, lo que permite a los responsables de seguridad tomar decisiones basadas en datos de manera más rápida con base en las configuraciones actuales.

De acuerdo con las notas de la versión de ScubaGoggles 1.1.0 publicadas en GitHub, en esta versión no hay adiciones, eliminaciones ni cambios de versión en las políticas de configuración obligatorias de la BOD 25-01. Las notas de la versión detallan la incorporación de una nueva política para Google Meet, GWS.MEET.6.3v1, junto con capacidades de evaluación mediante la API de políticas de Google, la generación de artefactos de publicación del catálogo OSCAL para las líneas base de SCuBA y la transición de las líneas base de Gemini de la fase alfa (Alpha) a la fase beta (Beta).

ScubaGear 2.0: «La actualización más exhaustiva desde su lanzamiento»

CISA anunció que ScubaGear 2.0 representa la actualización más exhaustiva de la herramienta desde su lanzamiento. Se reestructuró por completo el marco de referencia de las líneas base, lo que permite a las partes interesadas del ámbito empresarial y gubernamental un mayor control sobre sus entornos M365. Según CISA, ScubaGear ahora realiza llamadas directas a la API REST en todos los productos M365 compatibles para evaluaciones más rápidas y precisas, e introduce por primera vez una evaluación totalmente automatizada para Power BI.

La cuenta de CISA Cyber (@CISACyber) también publicó en su cuenta oficial de X sobre la publicación de las líneas base actualizadas de configuración de Microsoft 365 y ScubaGear v2.0.0, destacando como cambios principales las llamadas directas a la API REST, la cobertura automatizada de Power BI y una nueva línea base de suite de seguridad (Security Suite).

La nueva línea base de suite de seguridad («Security Suite») unifica los controles de Defender, Purview, Exchange Online y Teams en un único marco integrado para maximizar el alcance de la defensa. También se fortalecieron las políticas de gestión de aplicaciones y se incorporó una nueva función de puntuación de gravedad para que los equipos de seguridad puedan identificar y priorizar rápidamente las aplicaciones de riesgo. La interfaz de usuario de configuración (Config UI) se mejoró para simplificar la migración de políticas e integra un visor de políticas que facilita la navegación por la compleja documentación de referencia.

Según las notas de la versión en GitHub: bloquear agentes de IA de riesgo pasa a ser una política obligatoria («SHALL»)

Según las notas de la versión de ScubaGear v2.0.0 publicadas en GitHub, se añadieron varias políticas que afectan las configuraciones obligatorias de la BOD 25-01. La nueva política MS.AAD.9.1v1 es una política obligatoria («SHALL») que exige bloquear agentes de IA de riesgo. Las notas de la versión especifican que, dado que los agentes de IA pueden acceder a los recursos del inquilino (tenant) y actuar de forma autónoma, el bloqueo de agentes que muestren comportamientos peligrosos reduce el riesgo de acceso no autorizado y explotación automatizada. Esta política requiere licencias de Microsoft Entra ID P2 y Microsoft Agent 365 o Microsoft 365 E7, y no se aplica a inquilinos de GCC High ni del Departamento de Defensa (DoD).

De acuerdo con las notas de la versión, MS.AAD.3.5v2 exige deshabilitar los métodos de autenticación más débiles: mensajes de texto (SMS), llamadas de voz y contraseñas de un solo uso (OTP) por correo electrónico. Las políticas relativas a SharePoint exigen restringir el uso compartido externo a dominios externos autorizados o a usuarios de grupos de seguridad aprobados, fijar el plazo de expiración de los enlaces para «Cualquiera» (Anyone) en 30 días o menos, y configurar los permisos de archivos y carpetas de dichos enlaces como de solo visualización.

Las políticas de la nueva suite de seguridad exigen el bloqueo de correos electrónicos con archivos ejecutables adjuntos (.exe, .cmd, .vbe, etc.), el reescaneo de correos tras su entrega, la cuarentena y eliminación de correos con malware, políticas de prevención de pérdida de datos (DLP) que bloqueen como mínimo números de tarjetas de crédito y números de identificación personal del contribuyente de EE. UU. (ITIN) y números de seguro social (SSN), la configuración de alertas mínimas y la activación del registro de auditoría unificado. Las notas de la versión indican que estas políticas sustituyen a las políticas previas de Defender.

Las notas de la versión también incluyeron mejoras funcionales. Se añadió la capacidad de exportar los resultados de la evaluación de aplicaciones de riesgo a un archivo CSV, el comando «Invoke-SCuBADiff» para comparar resultados entre dos evaluaciones (ScubaResults.json), una tabla de usuarios con privilegios en los informes y la indicación del nombre de dominio del inquilino en los informes por producto. Las evaluaciones de Exchange Online se migraron al esquema de llamadas REST, y se incluyó una corrección para limitar las sesiones de Graph al nivel de proceso, asegurando que no queden tokens reutilizables tras desconectarse del inquilino.

BOD 25-01: configuraciones de seguridad en la nube obligatorias para agencias federales

El 17 de diciembre de 2024, CISA emitió la BOD 25-01, «Implementing Secure Practices for Cloud Services» (Implementación de prácticas seguras para servicios en la nube). Según CISA, una BOD es una directriz de cumplimiento obligatorio en virtud de la ley federal (44 U.S.C. § 3552(b)(1)) que los departamentos y agencias del poder ejecutivo deben acatar para salvaguardar la información y los sistemas de información federales.

De acuerdo con la directiva, esta no se aplica a los «sistemas de seguridad nacional» definidos por ley ni a determinados sistemas operados por el Departamento de Defensa y la Comunidad de Inteligencia; su ámbito de aplicación abarca los sistemas de la «Rama Ejecutiva Civil Federal» (FCEB).

La BOD 25-01 señaló como antecedente de su emisión que «los actores de amenazas maliciosas tienen cada vez más como objetivo los entornos en la nube y han desarrollado técnicas sofisticadas para obtener acceso inicial a ellos», y que «en recientes incidentes de ciberseguridad, la configuración inadecuada de los controles de seguridad en entornos en la nube generó riesgos sustanciales y condujo a brechas reales». La directiva indicó que para hacer frente a estas amenazas, CISA inició el proyecto SCuBA, a través del cual desarrolló líneas base de configuración de seguridad y herramientas de evaluación en la nube que resultan coherentes y gestionables.

La directiva exige a cada agencia implementar las líneas base de configuración de seguridad de SCuBA, desplegar las herramientas automatizadas de evaluación de configuración desarrolladas por CISA, integrarse con los sistemas de monitoreo continuo de CISA y subsanar las configuraciones que se desvíen de las líneas base. Las obligaciones se aplican únicamente a las políticas designadas como «debe» (shall) en los documentos de referencia, mientras que las marcadas como «debería» (should) quedan a discreción de la agencia. Según la directiva, las líneas base que no se renueven en el plazo de un año quedarán automáticamente fuera de su alcance y se eliminarán de la lista de referencia. La directiva exigió a las agencias federales elaborar un inventario de sus inquilinos de nube correspondientes a más tardar el 21 de febrero de 2025, desplegar las herramientas de evaluación de CISA a más tardar el 25 de abril de 2025 e implementar las políticas obligatorias a más tardar el 20 de junio de 2025. El inventario de inquilinos debe actualizarse anualmente en el primer trimestre. Los resultados de las evaluaciones deben reportarse automáticamente mediante la integración con las soluciones de monitoreo continuo de CISA, o bien notificarse directamente cada trimestre utilizando los resultados de la versión más reciente de las herramientas de evaluación en un formato legible por máquina aprobado por CISA.

Según CISA, el proyecto SCuBA se puso en marcha en 2022 para subsanar las brechas de ciberseguridad y visibilidad puestas de manifiesto por intrusiones y vulneraciones cibernéticas en software como servicio (SaaS). Aunque su objetivo primordial es proteger la información de la Rama Ejecutiva Civil Federal en entornos de nube, cualquier organización puede utilizar SCuBA para reforzar la seguridad de sus SaaS. Ambas herramientas de evaluación contrastan las configuraciones actuales de los inquilinos de M365 y GWS de la organización con las líneas base de CISA, presentando las áreas que requieren mejoras de seguridad en informes visuales. En la página web de SCuBA, CISA también finalizó y publicó la «Guía de soluciones de identidad híbrida» (Hybrid Identity Solutions Guidance), que aborda los enfoques de interoperabilidad y los desafíos entre la gestión de identidades local (on-premises) y en la nube. CISA ofrece estas herramientas de evaluación de forma gratuita en el sitio web del proyecto SCuBA. CISA instó a los usuarios de agencias federales, partes interesadas en la seguridad en la nube, administradores de gobiernos SLTT y al público general que depende de infraestructuras digitales seguras a descargar las herramientas de evaluación actualizadas e implementar las líneas base. Además de consultas, el equipo de SCuBA recibe comentarios para perfeccionar las directrices de implementación o las herramientas de evaluación por correo electrónico (scuba@cisa.dhs.gov).

Fuentes (KST)

• Blog de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE. UU., «CISA Publishes Significant Updates to ScubaGear and ScubaGoggles» (2026-10-27): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• Directiva Operativa Vinculante de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE. UU., «BOD 25-01: Implementing Secure Practices for Cloud Services» (2024-12-17): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE. UU., «Secure Cloud Business Applications (SCuBA) Project»: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• Notas de la versión en GitHub de CISA, «ScubaGear v2.0.0»: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• Notas de la versión en GitHub de CISA, «ScubaGoggles v1.1.0»: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• Publicación oficial en X de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE. UU. (2026-10-28): https://x.com/CISAgov/status/2115414807931199727
• Publicación oficial en X de CISA Cyber de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE. UU.: https://x.com/CISACyber/status/2115069767019077977