Summary

  • En septiembre de 2026, quince de las 22 agencias civiles examinadas por el GAO tenían un inventario inicial de dispositivos de internet de las cosas y tecnología operativa. Once lo mantenían, diez incluían las ocho categorías de información exigidas y solo siete habían cumplido los tres requisitos a la vez.
  • El Departamento de Vivienda declaró que un sistema nuevo descubrió más de 160 equipos IoT ausentes del anterior. Comercio y Justicia tenían completas las categorías de datos, pero no actualizaban regularmente sus inventarios en todo el departamento. La Oficina de Administración y Presupuesto aún no había emitido instrucciones actualizadas para 2026 ni vigilado la aplicación en un plazo definido.

La máquina aparece antes que su casilla

El informe del GAO del 30 de septiembre de 2026 trata de aparatos que hacen cosas en el mundo físico: sensores, controladores de edificios y equipos especializados de laboratorios y centros de salud. Para protegerlos, la agencia necesita saber que están conectados, quién responde por ellos, qué versión de software ejecutan y con qué sistemas se comunican. La Oficina de Administración y Presupuesto (OMB) fijó esa tarea en diciembre de 2023 y la precisó en enero de 2025. El primer inventario institucional debía estar listo en septiembre de 2024 y seguir actualizado después.

Dos años más tarde, siete agencias aún carecían de un inventario inicial establecido. Quince habían creado uno, once lo mantenían y diez habían incluido las ocho clases de datos exigidas. Otro grupo de siete satisfacía las tres condiciones. Las cifras describen obligaciones distintas y superpuestas. Un archivo inicial puede quedar viejo; una actualización frecuente puede conservar filas sin la información necesaria para actuar.

La norma pide para cada equipo identificación, descripción, categoría, propietario del sistema o responsable de seguridad, fabricante, versiones de software y firmware, conexiones de red e interfaces, y controles de seguridad. Sin propietario, una decisión urgente no tiene destinatario claro. Sin versión, cuesta determinar si una corrección corresponde al dispositivo. Sin conexiones, se pierde parte del recorrido que lo une a otros sistemas. El inventario es la cadena entre el objeto y quien puede tomar una decisión.

En Vivienda, cambiar la forma de buscar cambió el número de objetos visibles. Sus responsables dijeron que un sistema nuevo de gestión de activos había encontrado más de 160 equipos IoT que no aparecían en el anterior. Seguían desplegando la solución para un registro institucional y no habían fijado fecha de terminación. Los 160 son aparatos omitidos por el registro viejo; el GAO no los presenta como un ataque. El hallazgo mide el alcance de una ceguera administrativa concreta.

Una lista llena puede envejecer sin hacer ruido

Comercio había reunido las ocho categorías de información. Sin embargo, cada dependencia cuidaba su propio registro y el departamento no actualizaba de forma periódica la lista de toda la organización. Justicia también tenía los campos completos y carecía de mantenimiento recurrente. Sus funcionarios hablaron de rotación de personal y restricciones de recursos. No basta inaugurar una base de datos: cada instalación, sustitución y retiro necesita entrar en ella.

En otros organismos faltaban los datos. El Tesoro poseía un registro inicial sin ninguna de las ocho categorías exigidas y no lo actualizaba regularmente. Energía completaba cuatro, parcialmente una y omitía tres; sus funcionarios dijeron que habían retirado datos por escasa utilidad o sensibilidad. Cada caso requiere una intervención diferente: descubrir, sostener la rutina, mejorar las filas o tratar información sensible con cuidado.

El informe oficial completo también registra avances: los departamentos de Educación, Seguridad Nacional y Estado, la Environmental Protection Agency (EPA), la General Services Administration, la NASA y la Office of Personnel Management (OPM) reunían los tres requisitos. La NASA describió una dificultad real. Los instrumentos automáticos no distinguen de forma fiable entre informática convencional, IoT y tecnología operativa, y consultar activamente algunos sistemas puede perturbarlos. Una búsqueda cuidadosa tiene que ajustarse a la máquina examinada.

Ninguna de las 22 agencias comunicó una exención de las reglas federales de ciberseguridad para dispositivos IoT. Ese es el registro de exenciones informado. Un equipo que todavía no ha sido identificado ni siquiera llega a la mesa donde se decidiría si necesita una excepción documentada.

OMB dejó la prioridad sin un nuevo reloj

El GAO constató que OMB no había actualizado su directiva para el año fiscal 2026 ni vigilado el cumplimiento de los inventarios dentro de un plazo establecido. Las agencias citaron dificultades técnicas, recursos y prioridades en competencia. La autoridad presupuestaria central decide si esta obligación tiene fecha y seguimiento; los departamentos deciden a quién asignan para cumplirla. Sin un punto de control, un inventario a medio construir puede seguir etiquetado como proyecto mientras las instalaciones continúan.

El GAO formuló una recomendación: OMB debe actualizar sus instrucciones para equipos IoT y operativos conectados, fijar una prioridad y un calendario claros, y supervisar la ejecución. OMB no comentó el borrador. Una instrucción fechada y pruebas de filas mantenidas en las agencias cambiarían el juicio. La nota de Heng Lu sobre mirar la operación real por debajo de la descripción institucional orienta la pregunta editorial; los hechos federales proceden del GAO.

Sources