Los ciberataques contra los organismos federales constituyen una amenaza persistente y en constante evolución que exige una respuesta cada vez más sofisticada. El creciente uso de entornos móviles y en la nube, unido a un aumento sin precedentes del número de trabajadores en remoto, ha hecho que los organismos sean más vulnerables a la amenaza de hackers, estafadores y actores estatales maliciosos que han puesto en el punto de mira la amplia presencia en línea del Gobierno federal. La publicación de una versión actualizada de la política de Conexiones de Internet de confianza (TIC 3.0) sitúa a los organismos en una mejor posición para afrontar estos nuevos retos en materia de riesgos.
Uno de los principales objetivos de TIC 3.0 es facilitar la modernización de las agencias, lo que incluye una mayor adopción de la nube y la adaptación a los trabajadores remotos que utilizan varios dispositivos. Si su agencia está avanzando decididamente en estos ámbitos, este sería un excelente momento para plantearse mejorar su enfoque de seguridad siguiendo las directrices de TIC 3.0.
Actualizaciones de TIC 3.0
La iniciativa TIC, presentada en 2007, supuso un paso importante para la ciberseguridad federal al establecer un marco de controles de seguridad, análisis, gobernanza y prácticas del ciclo de vida del desarrollo de aplicaciones (SDLC). TIC 3.0 recoge las directrices más recientes para implementar arquitecturas seguras, flexibles y escalables, teniendo en cuenta aspectos que van más allá de la tecnología de infraestructura.
Las tres agencias que supervisan la iniciativa —la Oficina de Gestión y Presupuesto (OMB), la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) del Departamento de Seguridad Nacional (DHS) y la Administración de Servicios Generales (GSA)— señalaron que el objetivo de TIC 3.0 es proteger los datos, las redes y los perímetros federales, al tiempo que se proporciona visibilidad sobre el tráfico de las agencias, incluidas las comunicaciones en la nube. Entre las principales mejoras se incluyen unas directrices más flexibles y casos de uso reales para responder a la necesidad de adoptar enfoques alternativos a la seguridad de red tradicional.
Actualmente existen cuatro casos de uso —TIC tradicional, nube, sucursales y usuarios remotos— que permiten a las agencias facilitar nuevas soluciones de tecnologías de la información adaptadas al cambiante entorno laboral actual. Las versiones anteriores de TIC no abordaban eficazmente el trabajo remoto, aunque se ha convertido en una práctica cada vez más habitual en el lugar de trabajo. La pandemia de COVID-19 ha acelerado enormemente el ritmo de adopción del trabajo remoto, lo que ha generado una necesidad aún más urgente de contar con una estrategia que proporcione un acceso seguro y fiable para entornos de trabajo no tradicionales. Con una implementación adecuada de las directrices de TIC 3.0, las agencias podrán fomentar la seguridad del tráfico de red y perimetral dentro de las zonas de confianza de la infraestructura federal, ampliándola a todo el tráfico de las agencias.
Evalúe su arquitectura
El Manual de casos de uso de TIC 3.0 recomienda a los organismos que evalúen su arquitectura para determinar qué casos de uso son aplicables y explica cómo pueden proteger sus arquitecturas y cumplir los requisitos de TIC. Creo que es una herramienta muy útil para los organismos, especialmente para aquellos que carecen de los componentes arquitectónicos necesarios para casos de uso específicos.
Se espera que las agencias protejan los límites de la red de conformidad con el Memorando M-19-26 de la OMB. Sin embargo, cada agencia es diferente. Por eso, es importante que tenga presente su misión al determinar su enfoque de seguridad y que, además, equilibre las estrategias propuestas por TIC 3.0 con los objetivos de su propia misión.
Elegir el marco de ciberseguridad adecuado es importante para las agencias
El marco TIC 3.0 se basa principalmente en el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST), que consta de cinco funciones básicas de vital importancia:
Identificar: Conozca a fondo sus sistemas, personal, activos, datos y capacidades para poder evaluar y gestionar los riesgos.
Proteger: Desarrolle e implemente las medidas de protección adecuadas para limitar o contener el impacto de un posible incidente de ciberseguridad.
Detectar: Utilice soluciones de supervisión continua para poder detectar rápidamente la aparición de un incidente de ciberseguridad.
Responder: Desarrolle un plan de respuesta que le permita actuar y contener el impacto de un incidente de ciberseguridad detectado.
Recuperar: Desarrolle e implemente un plan eficaz para restaurar los sistemas y/o activos afectados por el incidente de ciberseguridad. Incorpore las lecciones aprendidas a una estrategia revisada.
Quizá el aspecto más importante de este marco sea que cada una de estas funciones está asociada a un control de punto de aplicación de políticas o de seguridad universal dentro del marco TIC 3.0. Aunque es fundamental utilizar la identidad para el acceso como único punto de control, fue revelador descubrir —como supimos gracias a un informe de F5 Labs— que el 33 % de las brechas de seguridad tuvieron inicialmente como objetivo las identidades. Por tanto, la necesidad de proteger el perímetro de identidad es crucial.
Los proxies de acceso son una herramienta eficaz para aplicar un único punto de control, ya que proporcionan un método coherente para implementar los controles de acceso y los requisitos de autenticación necesarios delante de las aplicaciones. Esto elimina la necesidad de confiar en que todos los desarrolladores de aplicaciones sean expertos en autenticación, algo poco probable.
A medida que implemente sus estándares de seguridad actualizados, le recomiendo que disponga de las soluciones adaptativas para aplicaciones adecuadas para cumplir los aspectos pertinentes de las directrices de TIC. Debe seguir un proceso continuo desde el código hasta el cliente que abarque los siguientes seis elementos fundamentales, los cuales integran y satisfacen muchos de los principios rectores del marco TIC 3.0, especialmente en lo que respecta a los casos de uso relevantes para su organismo:
- visión centrada en las aplicaciones (frente a un enfoque centrado en la infraestructura)
- independencia de la plataforma como propuesta multinube
- código abierto como elemento central
- seguridad integrada
- análisis integrado y funcionalidades basadas en IA
- API-first para el desarrollo de aplicaciones modernas
Es hora de revisar detenidamente el enfoque de seguridad de su organismo
TIC 3.0 es una excelente oportunidad para revisar su estrategia de seguridad. Ante la evolución de las amenazas, los expertos en seguridad de los organismos saben que es importante mantenerse alerta. Aunque la tecnología cambie, el objetivo final sigue siendo el mismo: proteger su organismo.
F5 puede ayudar: Prácticamente todos los productos y funcionalidades de F5 cumplen algún aspecto de las directrices de TIC, lo que nos sitúa en una posición sólida para satisfacer muchas de las recomendaciones y los controles descritos en TIC 3.0. Todos los organismos con rango ministerial y las ramas del Departamento de Defensa confían en F5 para ofrecer aplicaciones a las que ciudadanos, empleados y militares pueden acceder de forma segura en cualquier momento, desde cualquier dispositivo y lugar. En F5, ofrecemos a nuestros clientes la libertad de proporcionar de forma segura cualquier aplicación, en cualquier lugar y con total confianza. Obtenga más información en nuestra página Soluciones de F5 para el Gobierno Federal de EE. UU..
Bill Church
Director de Tecnología – Soluciones de F5 para el Gobierno Federal de EE. UU.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.