Summary

  • Según la auditoría del inspector general del 28 de octubre de 2026, alrededor del 97 % de los usuarios de un grupo informático integrado estaban exentos de la autenticación multifactor resistente al phishing para ciertas aplicaciones. No es una cifra de toda la Junta de la Reserva Federal ni de todos los accesos.
  • La Junta no seguía las exenciones de forma centralizada. La dirección no podía explicar con facilidad algunas razones, y la unidad central de tecnología desconocía cuánto duraban o cuándo vencían. El inspector pidió una política común y un examen de las poblaciones exentas.

La excepción encontró una casa; el registro, no

Una institución puede tener una regla exigente y un método cómodo para dejarla en suspenso. La Junta aplicaba autenticación resistente al phishing, pero distribuía las excepciones entre divisiones y procesos. En un grupo, casi todos los usuarios estaban exentos para ciertas aplicaciones. El informe completo no afirma que perdieran todo segundo factor. La pregunta documentada es si la renuncia al método más resistente tiene causa, aprobador y fecha de salida.

La división central de tecnología carecía de una vista de la antigüedad y caducidad de las exenciones. Los responsables no podían justificar enseguida algunas de ellas. Cuando un permiso excepcional cubre a alrededor del 97 % de un grupo, la carga de la prueba cambia de dirección: ya no basta con repetir la política general. Hay que explicar cómo se volvió habitual su excepción local.

El problema se repite en otras decisiones del grupo integrado, que prestaba apoyo a varias divisiones. Conservaba procedimientos propios para gestionar vulnerabilidades; una política dejaba a su discreción avisar al responsable de seguridad, frente a la escalada obligatoria del sistema común. El inventario de sistemas de la Junta omitía diez de los 32 tipos de campos exigidos, entre ellos dueño y perímetro de autorización. Son campos ausentes, no diez sistemas desaparecidos. El centro se quedaba sin las coordenadas para atribuir un riesgo.

La inspección valoró la seguridad de 2026 en nivel 2 de una escala de cinco, por debajo del nivel 4 considerado eficaz. En 2025 obtuvo 3 y en 2024, 4. El propio auditor atribuye parte del movimiento a fallos reales y parte al método de cálculo y al mayor peso de la gobernanza. Trece de 17 recomendaciones anteriores seguían abiertas. La Junta aceptó ocho nuevas, incluida una revisión de las exenciones de MFA. Aceptarlas no fecha ni cierra las existentes.

Sources