Resumen ejecutivo: El artículo examina cómo la UE puede cerrar de forma proactiva las brechas de seguridad del correo electrónico aprovechando la Directiva NIS2 para exigir estándares sólidos y armonizados como DMARC, DKIM y SPF en todos los estados miembros. Al actuar ahora, la UE no solo protege su ecosistema digital, sino que también establece un referente global de buenas prácticas en ciberseguridad.
Conclusiones clave:
- La Directiva NIS2 presenta una oportunidad crucial para que la UE exija la adopción universal de protocolos de seguridad del correo electrónico (DMARC, DKIM, SPF), abordando vulnerabilidades de larga data y armonizando estándares en todos los estados miembros.
- Las recientes medidas de grandes proveedores (Google, Yahoo!) y los estándares del sector (PCI DSS 4.0.1) han hecho que las buenas prácticas de autenticación de correo electrónico sean más comunes, pero los requisitos actuales siguen siendo insuficientes, lo que pone de relieve la necesidad de mandatos más estrictos y aplicables en toda la UE.
- Una acción coordinada de la UE, liderada por organismos como ENISA y el Grupo de Cooperación NIS, puede impulsar la implementación de una seguridad de correo electrónico sólida, cerrar las brechas regulatorias y posicionar a la UE como líder mundial en buenas prácticas de ciberseguridad.
Como columna vertebral digital de la comunicación moderna, el correo electrónico sigue siendo una vulnerabilidad crítica para las organizaciones de toda Europa, a menudo explotada debido a medidas de seguridad obsoletas o inconsistentes. La próxima Directiva NIS2 de la UE, que se basa en el legado del RGPD, presenta una oportunidad decisiva para exigir estándares de seguridad del correo electrónico más sólidos y armonizados en todos los estados miembros.
Al exigir la adopción de protocolos como DMARC, DKIM y SPF, y aprovechando su influencia regulatoria, la UE no solo puede proteger su propio ecosistema digital, sino también sentar un precedente global de buenas prácticas en ciberseguridad. Con algunos estados miembros ya liderando el camino, el momento es propicio para un enfoque unido a nivel de la UE que cierre las brechas y garantice una protección sólida para todos.
Tomando como ejemplo el RGPD
La Directiva sobre Sistemas de Información en Red 2 (NIS2) es la sucesora de la Directiva sobre Sistemas de Información en Red (NIS) que en 2016 se convirtió en la primera legislación de ciberseguridad a nivel de la UE, exigiendo a los estados miembros de la Unión Europea (UE) trasponer una multitud de requisitos a la legislación nacional y colaborar con proveedores de servicios esenciales y digitales para mejorar la ciberseguridad. NIS2 incluye condiciones más estrictas sobre qué sanciones administrativas deben ser posibles. La seguridad del correo electrónico es uno de los muchos requisitos explícitos contemplados por la directiva.
Como uno de los mayores bloques comerciales del mundo, la UE tiene la capacidad de impulsar un ecosistema de consumo más seguro. Fuimos testigos de este impulso con el Reglamento General de Protección de Datos (RGPD) y la Directiva de ePrivacidad (ePD), que llevaron a mejoras significativas en la privacidad y la protección de datos, además de una rápida atención generalizada.
Además, cuando la UE adopta estándares regulatorios más estrictos, a menudo sienta un precedente global, influyendo en políticas y prácticas más allá de sus fronteras. Un buen ejemplo son las directivas que se aplican de forma extraterritorial, afectando a cualquier organización que haga negocios con la UE o procese datos personales de la UE. Aunque el RGPD es una normativa específica de la UE, muchas empresas estadounidenses, al reconocer la complejidad de mantener políticas de datos separadas, han optado por aplicar los estándares del RGPD de manera universal a todos los usuarios, no solo a los ciudadanos de la UE.
Este enfoque no solo simplifica el cumplimiento normativo, sino que también eleva la protección de datos a nivel mundial y tiene un retorno de la inversión positivo. De manera similar, si la UE aplica estándares de ciberseguridad más estrictos, como los descritos en la Directiva NIS2, es probable que las empresas fuera de la UE adopten estos estándares más elevados para garantizar operaciones fluidas y el cumplimiento normativo, creando un efecto de “goteo” que mejora las prácticas de seguridad a nivel global. Todo ello evitando los problemas derivados del incumplimiento, como multas económicas y otras sanciones no financieras.
¿Cómo se relaciona NIS2 con la seguridad del correo electrónico?
El correo electrónico es, por defecto, inseguro, ya que no requiere autenticación, autorización ni siquiera cifrado en tránsito. Todos estos aspectos tuvieron que desarrollarse e incorporarse posteriormente. Cualquiera que haya tenido que configurar un servicio que envía correo electrónico se habrá encontrado con DomainKeys Identified Mail (DKIM) y Sender Policy Framework (SPF), dos mecanismos que ayudan a autorizar y autenticar el envío de correo electrónico. DKIM, en particular, proporciona una sólida autorización y autenticación criptográfica de los correos electrónicos.
Sin embargo, ¿qué ocurre si el correo electrónico no puede verificarse como “aprobado” por DKIM o SPF? Esa decisión quedaba en manos del receptor. Este es el propósito principal de Domain-based Message Authentication, Reporting, and Conformance (DMARC). Desarrollado para proporcionar a los propietarios de dominios un mecanismo que les permita indicar explícitamente que los receptores de correo electrónico deben rechazar cualquier correo que no esté autorizado mediante DKIM o SPF. Esto indica que han configurado correctamente todos los servicios autorizados para enviar en su nombre.
¿Es seguro tu correo electrónico?
¿Conoces el estado actual de tu DMARC? Compruébalo gratis ahora.
El soporte para DMARC, DKIM y SPF por parte de todos los actores del ecosistema del correo electrónico, tanto remitentes como receptores, ha sido sólido en algunos sectores pero desigual en general. No fue hasta principios de 2024 cuando se convirtieron en mandatos de facto del sector, en parte gracias a los nuevos requisitos para remitentes masivos de Google y Yahoo!, y a las buenas prácticas recomendadas por el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS 4.0.1).
El impacto de los nuevos requisitos fue enorme: tras solo seis meses, Google reportó una reducción del 65% en correos electrónicos no autenticados, un 50% más de remitentes masivos siguiendo esas buenas prácticas y 265 000 millones menos de mensajes no autenticados.
No obstante, el listón fijado por Google y Yahoo! sigue siendo relativamente bajo, ya que solo exige una política débil de DMARC de “none”, que no indica al receptor que rechace los correos no autorizados. Las organizaciones aún no se han visto obligadas a inventariar y configurar adecuadamente todos sus sistemas de envío de correo electrónico, y los usuarios de proveedores de correo electrónico que no son tan estrictos como Google o Yahoo! son más vulnerables a los ataques de suplantación de identidad de lo que deberían. Del mismo modo, actualmente PCI DSS 4.0.1 fomenta el uso de DMARC, DKIM y SPF para todas las organizaciones que gestionan datos de tarjetas de crédito.
Cómo puede marcar la diferencia la UE
La aplicación de DMARC en la que las organizaciones logren una política de p=reject requerirá una considerable cooperación y regulación a nivel global, y la UE, a través de la Directiva NIS2, está bien preparada para liderar este esfuerzo, al menos para las organizaciones que tienen un impacto desproporcionado en la sociedad europea.
El artículo 21 obliga a los estados miembros a garantizar que dichas entidades esenciales e importantes:
“adopten medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos que se plantean para la seguridad de las redes y los sistemas de información que dichas entidades utilizan para sus operaciones o para la prestación de sus servicios, y para prevenir o minimizar el impacto de los incidentes en los destinatarios de sus servicios y en otros servicios.
Teniendo en cuenta el estado de la técnica y, cuando proceda, las normas europeas e internacionales pertinentes, así como el coste de implementación, las medidas mencionadas en el primer párrafo garantizarán un nivel de seguridad de las redes y los sistemas de información adecuado a los riesgos existentes. Al evaluar la proporcionalidad de dichas medidas, se tendrá debidamente en cuenta el grado de exposición de la entidad a los riesgos, el tamaño de la entidad y la probabilidad de que se produzcan incidentes y su gravedad, incluido su impacto social y económico.”
Artículo 21
Directiva NIS2 – Unión Europea
Aunque la directiva original no menciona explícitamente la seguridad del correo electrónico, el anexo de un Acto de Ejecución que amplía la Directiva sí lo hace, exigiendo a las entidades pertinentes que:
“adopten un plan de implementación para el despliegue de estándares modernos de comunicación por correo electrónico acordados internacionalmente e interoperables, con el fin de proteger las comunicaciones por correo electrónico, mitigar las vulnerabilidades relacionadas con las amenazas vinculadas al correo electrónico y establecer medidas para acelerar dicho despliegue;
desarrollen y mantengan un inventario completo, preciso, actualizado y coherente de sus activos. Deberán registrar los cambios en las entradas del inventario de manera trazable.”
Acto de Ejecución
Comisión Europea
Aunque no se indica específicamente en el texto anterior, “proteger las comunicaciones por correo electrónico para mitigar vulnerabilidades” puede abordarse mejor adoptando herramientas disponibles como DMARC, DKIM y SPF. DMARC, en particular, representa las medidas de ciberseguridad proactivas y razonables más adecuadas, que ofrecen protección a tu organización y están en línea con las mejores prácticas.
Además de Transport Layer Security (TLS), el protocolo que sustenta el cifrado en tránsito para casi toda la comunicación por internet, incluido el correo electrónico, ningún otro estándar o mecanismo ofrece la misma facilidad de implementación e impacto. SPF, aunque también está ampliamente extendido, es un mecanismo mucho más débil que DKIM. S/MIME se usa mucho menos debido a la complejidad de su implementación. Quizás Mail Transfer Agent Strict Transport Security (MTA-STS) podría ser otro candidato, pero sigue siendo complicado en algunas circunstancias.
Los estados miembros muestran un progreso desigual
Se ha avanzado algo, con varios estados miembros de la UE que ya cuentan con mandatos para DMARC y DKIM, normalmente al menos para organismos públicos, y en algunos casos extendiendo el requisito a ciertos sectores de infraestructuras críticas.
- Chequia desde al menos 2021 exige a los organismos públicos, así como a las entidades importantes y esenciales, implementar DMARC y DKIM
- Dinamarca desde al menos 2022 exige a los organismos gubernamentales implementar DMARC y DKIM
- Estonia desde al menos 2023 exige a los organismos públicos implementar DMARC, además de MTA-STS o DANE
- Irlanda desde al menos 2022 exige a los organismos de servicios públicos implementar DMARC y DKIM.
- Países Bajos desde al menos 2018 exige a los organismos públicos implementar DMARC y DKIM
- Polonia desde al menos 2023 exige al sector público y a parte del sector privado implementar DMARC y DKIM
- El antiguo estado miembro Reino Unido exige DMARC para los servicios digitales gubernamentales desde al menos 2016
Los otros 21 estados miembros no tienen mandatos nacionales, y solo unos pocos han elaborado algún tipo de guía o recomendación para sus organismos públicos o empresas.
Es hora de un frente unido
La UE, con sus 27 estados miembros, puede ser más eficaz cuando todos actúan de forma unida, reduciendo las barreras de fricción al comparar las normativas actuales de un país a otro. De hecho, ya se están logrando avances gracias a un Grupo de Cooperación NIS encargado de proporcionar orientación a las autoridades competentes de los estados miembros en relación con la transposición e implementación de la directiva.
Ya en 2017, CERT-EU, el Equipo de Respuesta a Emergencias de Ciberseguridad de la propia UE, publicó su propia guía recomendando el uso de DMARC. CERT-EU es miembro de la red europea de CSIRT que respalda al Grupo de Cooperación NIS y que fue creada por la Directiva NIS original. ENISA, la Agencia de la Unión Europea para la Ciberseguridad, también es miembro del Grupo de Cooperación NIS y tiene el encargo de ayudar a los estados miembros a implementar la política y la legislación de la Unión en materia de ciberseguridad de manera coherente en relación con la Directiva NIS. En esta línea, ENISA y el Grupo de Cooperación NIS ya han elaborado varias directrices en beneficio de todos los europeos, incluidas las relativas a elecciones, redes 5G, registros de nombres de dominio, notificación de incidentes y divulgación de vulnerabilidades.
Es necesario seguir avanzando, y aunque el correo electrónico es inseguro por defecto, contamos con todas las herramientas necesarias, tanto técnicas como regulatorias, para hacerlo seguro, al menos en Europa. Lo único que falta es una acción decidida a nivel europeo y nacional. Entonces, ¿podría ENISA ayudar a impulsar la adopción de normativas de seguridad del correo electrónico? En resumen, sí: si ENISA impulsara al Grupo de Cooperación NIS a proporcionar orientación clara y práctica para cumplir los requisitos legales de seguridad del correo electrónico, esto podría crear un entorno de cooperación entre los estados miembros que garantice una seguridad del correo electrónico más sólida para todos los ciudadanos de la UE. Trabajando juntos, la UE podría convertirse en el primer organismo miembro en predicar con el ejemplo y sentar las bases para que el resto del mundo la siga.
Antony is the Product Manager for Red Sift OnDMARC, his. experience includes managing digital products, including community management, software engineering and product ownership.