A principios de año, el Departamento de Defensa (DoD) publicó la Certificación del Modelo de Madurez de Ciberseguridad (CMMC) versión 1.0 —un estándar unificado muy esperado cuyo objetivo es proteger la extensa cadena de suministro del organismo—. Por ejemplo, cuando aumentan las tensiones con otros países, muchos temen que las represalias no solo se produzcan en el ciberespacio, sino también a través de «contratistas de defensa potencialmente vulnerables».
El CMMC, que se implantará a lo largo de cinco años, tiene como objetivo reducir, si no eliminar, dichas vulnerabilidades y abordar un reto crítico para la seguridad nacional. La base industrial de defensa (DIB) engloba a más de 300.000 empresas, sobre las que hasta ahora ha existido una evidente falta de supervisión. Estas empresas acceden a información confidencial de defensa y la almacenan en sus propios sistemas. El CMMC representa un paso importante para proteger esta información.
A pesar de los beneficios a largo plazo, el CMMC puede generar confusión a corto plazo entre muchos contratistas. En función del trabajo que realicen, los contratistas deben cumplir uno de los cinco nuevos niveles de seguridad. Sin embargo, el punto de partida para mejorar su postura de seguridad es prácticamente el mismo.
Preparación para la CMMC
Para quienes deseen ponerse al día sobre las mejores prácticas de seguridad tras la llegada de CMMC, el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST), que hace hincapié en la seguridad continua, es un buen punto de partida. El Marco del NIST se divide en cinco áreas o funciones: identificar, proteger, detectar, responder y recuperar.
La primera área es, por supuesto, la base. Para identificar las amenazas, las empresas deben ser capaces primero de determinar el alcance de sus propios sistemas, algo que puede resultar complicado en la era del BYOD y la TI en la sombra. Es imposible proteger un sistema sin conocer a fondo a los empleados, los activos y los datos. No obstante, existen numerosas herramientas que ayudan a lograr esta visibilidad, desde la visualización centrada en aplicaciones hasta la visibilidad SSL. Esta última descifra y vuelve a cifrar el tráfico para garantizar que no contenga malware.
Monitorización continua
Solo si disponen de una visibilidad completa de los sistemas y los datos, las empresas pueden implantar las medidas de protección necesarias, como la protección frente a vulnerabilidades web habituales, direcciones IP maliciosas y tipos de ataques coordinados. Gestión de accesos, como el inicio de sesión único, la infraestructura de escritorios virtuales (VDI) segura y el acceso de usuarios con privilegios, es una forma de protegerse frente a agentes maliciosos. En pocas palabras, el Gobierno federal debe poder verificar que los contratistas son quienes dicen ser y concederles el nivel de acceso adecuado.
Sin embargo, la seguridad no puede quedarse en la puerta. Incluso después de autenticar a los usuarios, las empresas deben seguir supervisando y registrando sus actividades para cumplir el tercer componente del marco del NIST: la detección rápida. Para ello, pueden utilizarse el análisis del comportamiento, la inteligencia artificial y el aprendizaje automático, que permiten analizar el tráfico y señalar comportamientos de riesgo o inusuales.
Sin estos tres primeros pasos, los dos últimos —desarrollar un plan de respuesta y otro para restaurar los sistemas y activos afectados— son prácticamente imposibles. Por supuesto, el objetivo de la CMMC es que estos dos últimos pasos rara vez sean necesarios. Mediante la supervisión continua, se pretende evitar por completo que los contratistas y subcontratistas del Departamento de Defensa sufran vulneraciones de seguridad.
La conclusión
A corto plazo, las empresas de la cadena de suministro del Departamento de Defensa de EE. UU. deben invertir en tecnologías que faciliten la visibilidad, la protección y la detección rápida. Esto sentará las bases necesarias para obtener la certificación y garantizar la seguridad. Aunque a muchos contratistas pueda resultarles abrumadora la perspectiva de cumplir con el CMMC, lo cierto es que se trata de una respuesta necesaria tras años de desatención.
Aun así, es importante que este nuevo nivel de seguridad no deje fuera a los subcontratistas más pequeños, que también desempeñan un papel crucial en la cadena de suministro. La buena noticia es que el Departamento de Defensa de EE. UU. (DoD) ha estimado que la mayoría de los contratistas solo necesitarán una certificación de nivel uno, centrada en una ciberhigiene básica. Se trata de buenas prácticas que las empresas deberían aplicar aunque no accedan a datos gubernamentales sensibles. Para quienes forman parte de la base industrial de defensa, el momento de protegerse y detectar amenazas fue ayer.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.