Resumen

  • Los departamentos deben ordenar sus servicios críticos por el daño que causaría una intrusión y enviar la lista a Enterprise Portfolio Management, de Treasury Board of Canada Secretariat, antes del 30 de noviembre.
  • Treasury Board of Canada Secretariat, Shared Services Canada y Canadian Centre for Cyber Security usarán riesgo, dependencias y capacidad para coordinar prioridades de ejecución y apoyo.

Análisis

La directriz federal Security Policy Implementation Notice (SPIN), vigente desde el 1 de octubre, convierte una agenda amplia de preparación cibernética en una decisión concreta: qué servicios públicos serían más difíciles de sostener si sus sistemas fueran comprometidos. La acción IDT-1 pide revisar los servicios críticos y sus sistemas de soporte, ordenarlos por el posible impacto operativo, jurídico, financiero o reputacional de una intrusión y presentar la lista en Enterprise Portfolio Management (EPM), herramienta de Treasury Board of Canada Secretariat, antes del 30 de noviembre.

El aviso dice que el envío servirá para la priorización central y la planificación de Shared Services Canada; no dice que las listas se publiquen.

El orden debe conectar la continuidad con el trabajo técnico. La directriz también pide inventarios de aplicaciones actualizados, diagramas de arquitectura con sistemas y rutas de ataque, y visibilidad de activos expuestos a Internet. Así se pueden relacionar los servicios con sus dependencias: identidades, redes, aplicaciones y proveedores necesarios para mantenerlos disponibles o recuperarlos. El programa también cubre inventario de activos, respuesta a vulnerabilidades, refuerzo de identidades y redes, monitorización y preparación de recuperación.

La distribución institucional está definida. Treasury Board of Canada Secretariat (TBS), junto con Shared Services Canada (SSC) y Canadian Centre for Cyber Security, fijará prioridades de implementación y apoyo de SSC según riesgo cibernético, dependencias y capacidad de ejecución. SSC presta servicios informáticos comunes, pero los departamentos conservan la responsabilidad por la información y los activos públicos federales aunque intervengan terceros o proveedores gestionados.

Por ello, los requisitos deben pasar a las compras, los contratos y su gestión continua; la infraestructura compartida no traslada la responsabilidad por el servicio.

Si la capacidad no alcanza para todos los servicios a la vez, el aviso recomienda empezar por un máximo de tres de mayor prioridad y después extender el mismo enfoque al resto. Es una recomendación de secuenciación, no un límite definitivo. Habrá que comprobar que la primera selección se base en evidencia defendible del impacto y que las dependencias sigan visibles durante la ampliación.

Los agentes de IA forman parte de este marco de controles. HRD-6 los incluye expresamente entre las entidades no personales, junto con cuentas de servicio e identidades de máquina. Pide un responsable identificable, propósito documentado, gestión del ciclo de vida y revisiones periódicas de privilegios, reduciendo los accesos permanentes y las credenciales estáticas. La pregunta práctica es quién responde por una identidad automatizada que alcanza un sistema crítico, quién puede revocarla y cómo se examina su actividad.

La guía de Canadian Centre for Cyber Security aporta contexto técnico sobre límites a la autonomía, acceso, registros, pruebas e intervención, pero no demuestra un incidente departamental.

TBS anuncia verificaciones activas del perímetro federal y de sistemas públicos, seguimiento del progreso y participación de altos cargos cuando no se cumplan las acciones requeridas. El apéndice A enumera indicadores de carácter orientativo, como inventarios actualizados o responsables registrados para entidades no personales. No ofrece resultados actuales. El primer hito será el 30 de noviembre; después habrá que observar cómo los tres socios centrales convierten las listas en prioridades y qué pruebas muestran la ejecución.

Fuentes