La orden de CISA que obliga a retirar de la red los dispositivos de borde en fin de soporte

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha puesto en marcha una orden obligatoria que obliga a las agencias federales a identificar y retirar de sus redes los dispositivos de borde —como routers, cortafuegos y switches— que ya no reciben actualizaciones de seguridad por parte de sus fabricantes. Con esta medida, la administración busca atajar un riesgo que, según CISA, facilita la explotación sistemática por actores avanzados y deja a sistemas críticos expuestos a vulnerabilidades recién descubiertas.

El problema fundamental es sencillo y urgente: cuando un equipo o su software entra en su etapa de “fin de soporte”, deja de recibir parches. Eso convierte a ese equipo en un blanco permanente para atacantes que buscan vulnerabilidades sin corregir. La nueva directiva, denominada Binding Operational Directive 26-02, obliga a las agencias federales a actuar con plazos concretos: inventariar dispositivos en una lista de fin de soporte en pocos meses, retirar inmediatamente aquellos para los que sí existen actualizaciones disponibles, y completar la sustitución de todo el equipo fuera de soporte en un plazo más amplio de meses. Puedes leer el texto de la directiva en la página oficial de CISA aquí.

La norma divide las acciones en fases: primero, una identificación rápida y priorizada de dispositivos vulnerables; luego, la desinstalación o actualización inmediata de equipos donde el fabricante aún ofrece parches; a medio plazo, la jubilación de hardware que ya estaba fuera de soporte antes de la orden; y finalmente, la implantación de procesos continuos para descubrir y vigilar el inventario de la infraestructura de borde. En paralelo, CISA anima a operadores y defensores de redes fuera del ámbito federal a aplicar las mismas recomendaciones consultando una hoja informativa publicada por el equipo de IC3 disponible aquí.

¿Por qué un foco en los dispositivos de borde? Porque estos aparatos controlan el flujo de tráfico entre redes internas y el exterior; un router o firewall vulnerable puede ser la puerta de entrada a una red entera. Además, a menudo están gestionados con menos rigor que servidores o estaciones de trabajo, se instalan en entornos heterogéneos y en ocasiones permanecen años sin revisiones. Esa combinación los convierte en un vector atractivo para campañas automatizadas de explotación y para actores que buscan pivotar hacia activos más valiosos dentro de una organización.

El mandato es consecuencia de incidentes y tendencias observadas por la propia CISA y por la comunidad de seguridad: explotación amplia de dispositivos en fin de vida, ataques dirigidos que usan vulnerabilidades sin parches o credenciales débiles, y la existencia de campañas persistentes que aprovechan estas debilidades para introducir ransomware, puertas traseras o robar información. La agencia ha venido emitiendo directivas similares en años recientes; por ejemplo, en 2023 publicó otra orden destinada a cerrar interfaces de gestión expuestas en Internet —un problema relacionado— y en paralelo lanzó programas piloto para advertir a organizaciones críticas sobre riesgos de ransomware en sus dispositivos de red.

¿Qué pueden hacer las organizaciones hoy, incluso si no son agencias federales? La primera medida es simple en concepto pero exige trabajo: saber qué hay conectado a la red. Mantener un inventario actualizado y automatizado de equipos y de las versiones de software/firmware es la base de cualquier esfuerzo de seguridad. A continuación, es recomendable segregar el tráfico, aplicar controles de acceso estrictos para interfaces de gestión, monitorizar con detección de intrusiones y confiar en medidas compensatorias (como listas blancas, inspección profunda de paquetes o segmentación) mientras se reemplazan equipos críticos. CISA y otros organismos ofrecen guías y hojas técnicas con medidas concretas; la directiva y la hoja informativa del IC3 son buenos puntos de partida, y el Marco de Ciberseguridad del NIST puede ayudar a priorizar riesgos y controles (NIST Cybersecurity Framework).

Hay, no obstante, una dimensión práctica que suele complicar la ejecución: costos y gestión del ciclo de vida. Las organizaciones se enfrentan a presupuestos limitados, contratos de proveedores y la interoperabilidad de sistemas existentes. Por eso CISA estructura la directiva con plazos escalonados: permite priorizar activos más críticos y aplicar soluciones temporales en los menos urgentes, siempre con la obligación de llegar a una infraestructura soportada. Aun así, la agencia subraya que mantener equipos fuera de soporte ya no es una opción aceptable en términos de riesgo.

El mensaje implícito para el sector privado y para los administradores de TI es claro: aunque la orden sea obligatoria solo para ciertas agencias, nadie debería confiar en dispositivos que no reciben parches. Los defensores de redes deben asumir que los atacantes ya están buscando esas puertas traseras, y actuar en consecuencia. Para quienes quieran una cobertura mediática y análisis del tema, medios especializados han seguido de cerca el anuncio; por ejemplo, puedes encontrar un reportaje técnico sobre la orden y sus implicaciones en medios de seguridad como BleepingComputer aquí.

Al final, esta directiva es una llamada de atención: la superficie de ataque no es abstracta, la componen equipos físicos y virtuales con fechas de caducidad. Identificar, parchear o reemplazar, y mantener procesos continuos de descubrimiento —ese es el camino para reducir riesgos evitables—. Las organizaciones que tomen estas medidas ahora estarán mejor posicionadas para resistir las campañas de explotación que, según CISA, ya se están desplegando contra dispositivos de borde en todo el mundo.