Requisitos de ciberseguridad del DoD: Consejos para el cumplimiento

Los sistemas de TI y los datos del Departamento de Defensa (DoD) y su red de contratistas son un asunto de seguridad nacional. En consecuencia, el DoD mantiene requisitos de ciberseguridad que las organizaciones deben cumplir para ser un proveedor aprobado para el DoD.

Este artículo ofrece una visión general de los documentos más pertinentes que informan las expectativas de ciberseguridad del DoD para las organizaciones de la base industrial de defensa (DIB), una revisión de marcos útiles y consejos para implementar los requisitos del DoD.

¿Cuáles son los requisitos de ciberseguridad del DoD?

Los requisitos para la ciberseguridad se pueden encontrar en los siguientes tres documentos, que se apoyan y hacen referencia entre sí:

• Suplemento de Regulación de Adquisiciones Federales de Defensa (DFARS) — La cláusula 252.204-7012 describe las expectativas de higiene cibernética para las organizaciones de la Base Industrial de Defensa.
• NIST 800-171 — Basado en DFARS, NIST 800-171 proporciona pautas detalladas para que las empresas evalúen sus prácticas de ciberseguridad.
• CMMC — El CMMC ofrece un plan claro para que las organizaciones de DIB obtengan la certificación de higiene cibernética requerida para ser un proveedor aprobado del DoD.

DFARS

DFARS establece los requisitos para las empresas que hacen negocios con el Departamento de Defensa. La ciberseguridad está cubierta bajo la cláusula 252.204-7012, “Protección de la Información de Defensa Cubierta y Reporte de Incidentes Cibernéticos.”

¿Qué tipos de datos deben ser protegidos?

Los requisitos de ciberseguridad del DoD protegen dos tipos principales de registros digitales y físicos: Controlled Unclassified Information (CUI) y Federal Contract Information (FCI)

CUI incluye lo siguiente:

• Información de identificación personal (PII)
• Información Comercial Propietaria (PBI)
• Información Técnica Controlada No Clasificada (CTI)
• Para Uso Oficial Únicamente (FOUO)

FCI incluye los detalles de un contrato entre el gobierno y una organización. FCI no incluye información que ya es de conocimiento público (como la que se encuentra en sitios web gubernamentales) o información transaccional. PCI nunca está destinado para ser divulgado públicamente.

Las organizaciones que desean trabajar con el DoD necesitan poder identificar la CUI y la FCI que almacenan y procesan, para poder protegerla de acuerdo con los requisitos del DoD.

¿Quién necesita cumplir con la normativa?

Mientras que los estándares del DoD proporcionan pautas útiles para la ciberseguridad en general, son un requisito para algunos negocios. Cualquier contratista que trabaje con el DoD y almacene, procese o circule CUI debe cumplir con los estándares DFARS. Esto incluye asegurar que todos los datos no clasificados del DoD estén protegidos con las salvaguardias adecuadas, minimizando las vulnerabilidades del sistema y las posibles consecuencias de una violación, e implementando buenas prácticas de reporte de incidentes.

NIST 800-171

En respuesta a DFARS, el Instituto Nacional de Estándares y Tecnología (NIST) desarrolló NIST 800-171 para proporcionar un desglose detallado de las mejores prácticas de higiene cibernética. Específicamente, NIST 800-171 está diseñado para ayudar a los contratistas del DoD a proteger los datos CUI. No cubre la protección de los datos FCI.

Familias de controles NIST 800-171

NIST 800-171 desglosa los controles de seguridad en las siguientes 14 familias:

Se pueden encontrar más detalles sobre los controles NIST 800-171 aquí.

Actualizaciones de NIST

NIST 800-171 fue creado en 2015 y recibe actualizaciones periódicas. Cada vez que ocurre una actualización, los contratistas tienen un plazo establecido para cumplir con las nuevas regulaciones o arriesgarse a perder su estatus de proveedor aprobado con el DoD.

CMMC

Mientras la DFARS clause establece las mejores prácticas para la ciberseguridad empresarial, la Cybersecurity Maturity Model Certification (CMMC) evalúa la calidad de los programas de ciberseguridad de una organización y proporciona un conjunto de certificaciones que atestiguan esta calidad. Estas certificaciones estandarizan la aprobación de los proveedores del DoD. Las certificaciones CMMC se aplican tanto a los datos FCI como CUI.

¿A quién se aplica CMMC?

Los estándares CMMC se aplican a todas las organizaciones que reciben financiamiento del DoD para realizar negocios o prestar servicios. Conocido como el complejo industrial de defensa, esto incluye a más de 300,000 organizaciones que proveen bienes o servicios para el DoD.

Cronología de CMMC

Prácticamente cualquiera que haya seguido la evolución del CMMC tiene preguntas sobre la cronología. Después de la versión 1.0 y las subsiguientes “reglas provisionales” para el CMMC, la segunda versión de la certificación se lanzó en noviembre de 2021. Sin embargo, aún no ha entrado en vigor; CMMC 2.0 todavía está en el proceso de creación de normas, lo cual podría tardar hasta dos años.

Esto no significa que los estándares de certificación no deban ser una prioridad para las empresas. Los contratistas están dando prioridad al cumplimiento de los nuevos estándares dentro de sus cadenas de suministro con la esperanza de adelantarse. El cumplimiento con CMMC 2.0 también alineará a su empresa con las directrices NIST 800-171.

Niveles de cumplimiento de CMMC

El DoD realizó varios cambios entre CMMC 1.0 y 2.0 para simplificar los niveles de cumplimiento. La primera versión tenía cinco niveles con diferentes estándares de evaluaciones. En la versión 2.0, hay tres niveles de cumplimiento de CMMC, dependiendo del tipo de datos y la intensidad del contrato con el DoD. Los diferentes niveles tienen diferentes expectativas para las evaluaciones. Consulte el gráfico a continuación para obtener más detalles sobre los niveles de cumplimiento de CMMC 2.0.

Cómo cumplir con el CMMC

Cumplir con el CMMC requiere el cumplimiento de los 17 conjuntos de estándares. Estos incluyen las 14 familias de controles de NIST 800-171 revisadas anteriormente y los siguientes tres grupos adicionales:

Para soporte, descargue esta CMMC compliance starter checklist.

DoD Frameworks

Como subdirector de CIO o CISO para una organización afiliada al DoD, puede que encuentre que los requisitos de DFARS, NIST y el CMMC son abrumadores. Pero hay una gran cantidad de recursos disponibles para ayudarle a lograr el cumplimiento de la ciberseguridad del DoD, como esta compilación de material de referencia. A continuación, proporcionamos recursos útiles para ayudarle con muchos aspectos críticos del cumplimiento.

Desarrollando una estrategia de ciberseguridad

Las organizaciones deben crear una estrategia de ciberseguridad de 4 a 5 años que les permita modificar procesos e implementar controles. Los siguientes recursos pueden ayudarte a crear una sólida estrategia de ciberseguridad:

• NIST SP 800-37 — Proporciona un marco de gestión de riesgos
• NIST SP 800-39 — Proporciona orientación sobre la gestión del riesgo de seguridad de la información
• DODD 8000.01 — Una directiva para asignar la responsabilidad de la gestión de recursos de información a su CIO del DoD

Construyendo redes defensibles

Construir una red defendible requiere implementar herramientas y procesos de monitoreo, automatización, detección de amenazas y respuesta ante incidentes. Los siguientes recursos pueden ayudar:

• FIPS 199 — Proporciona categorías estandarizadas para sistemas de información federales basados en su nivel de riesgo, lo que puede ayudarle a establecer prioridades para su estrategia de seguridad
• FIPS 200 – Define los requisitos mínimos de seguridad dependiendo del nivel de riesgo de la información y explica el proceso para seleccionar controles de seguridad basados en el nivel de riesgo de su información
• NIST SP 800-53 — Proporciona un catálogo de controles de seguridad y privacidad para sistemas de información federales y organizaciones y un proceso para seleccionar los controles apropiados

Estableciendo protección de infraestructura crítica

La protección de infraestructuras críticas (CIP) se refiere a una estrategia integral de creación de sistemas, redes y bases de datos resilientes. Esto incluye la prevención de daños y la protección de datos, así como la mitigación de incidentes, respuesta y recuperación. Hay muchos recursos para planes y políticas de CIP que pueden apoyar a los CIOs y CISOs. Por ejemplo, los estándares ISA/IEC 62443 proporcionan herramientas de seguridad y mejores prácticas para propietarios de activos, proveedores de servicios y proveedores.

Gestión de acceso

Los siguientes recursos pueden ayudarlo a gestionar adecuadamente el acceso a sus datos, aplicaciones y otros activos de TI:

• NIST SP 800-60 — Informa las prácticas de gestión de acceso proporcionando orientación para categorizar la información como CUI y controlar quién tiene acceso a ella
• NIST SP 800-133 — Le ayuda a proteger datos sensibles utilizando algoritmos criptográficos aprobados

Compartiendo información

Compartir información sobre amenazas cibernéticas y atacantes es crucial para reforzar la ciberseguridad. Los siguientes recursos pueden ayudar.

• DoD Cyber Exchange — Proporciona orientación y formación para profesionales de ciberseguridad dentro y fuera del DoD

Construyendo una fuerza laboral de ciberseguridad

Los siguientes recursos pueden ayudarte en la incorporación, calificación y gestión de personas que trabajan en TI o ciberseguridad:

• NIST SP 800-16 — Proporciona conceptos para la formación en seguridad informática en el ciberespacio moderno permitiendo flexibilidad para el software y tecnologías futuras
• NIST SP 800-100 — Proporciona orientación para los gerentes sobre el establecimiento de un programa de seguridad de la información

Consejos para mantenerse ciberseguro

El Centro Nacional de Integración de Ciberseguridad y Comunicaciones (NCCIC) ha recopilado siete estrategias clave para comenzar a cumplir con los estándares de higiene cibernética del DoD:

• Utilice la lista blanca de aplicaciones (AWL) — Defina una lista de software aprobado y bloquee todo lo demás. Esto es mucho más efectivo que intentar poner en la lista negra cada aplicación no deseada.
• Practique una configuración adecuada y la gestión de parches — Implemente configuraciones de línea base seguras y corrija rápidamente cualquier desviación. Asegúrese de que las actualizaciones críticas se apliquen de manera oportuna.
• Refuerce la seguridad de su red — Minimice los posibles puntos de entrada para atacantes y segmente su red en múltiples enclaves para aislar a los atacantes.
• Implemente la autenticación multifactor — Utilice MFA, especialmente para cuentas con acceso privilegiado a CUI.
• Acceso remoto seguro — Controle el acceso remoto utilizando MFA y estándares controlados por el operador y limitados por tiempo. Busque regularmente puertas traseras ocultas que podrían permitir a los atacantes obtener acceso remoto a un sistema.
• Monitoree los sistemas constantemente — Para acelerar la detección de amenazas y la respuesta y garantizar la rendición de cuentas, implemente monitoreo continuo con inteligencia de amenazas para el tráfico IP en los límites de ICS, el tráfico IP dentro de la red y la actividad de la cuenta de administrador.
• Establezca y pruebe regularmente un plan de respuesta a incidentes — Cree un plan de respuesta integral para incidentes de seguridad. Las acciones de respuesta pueden incluir desconectar todos los dispositivos de internet, deshabilitar cuentas específicas, aislar segmentos de la red, realizar una búsqueda de malware e inmediatamente requerir un restablecimiento de contraseña. Pruebe y revise el plan periódicamente.
• Desarrolle una tarjeta de puntuación de ciberseguridad de acuerdo con los estándares y marcos del DoD — Una tarjeta de puntuación le ayudará a medir su progreso hacia una ciberseguridad más robusta.

Cómo Netwrix puede ayudar

Lograr y mantener el cumplimiento con los estándares de ciberseguridad del DoD es necesario para obtener un lugar en la lista de proveedores aprobados del gobierno. Netwrix solutions ofrecen un enfoque integral a los desafíos de la ciberseguridad asegurando su organización en todas las superficies de ataque principales: datos, identidad e infraestructura.

Conozca más sobre nuestras principales soluciones:

• Gobernanza del acceso a los datos — Recupere el control sobre el acceso a datos sensibles.
• Seguridad de Active Directory — Proteja su AD, en las instalaciones y en la nube, de extremo a extremo.
• Protección contra ransomware — Mitigue el riesgo de infecciones por ransomware y detecte ataques en progreso.
• Privileged Access Management — Reduzca el riesgo de las actividades privilegiadas.
• Gobernanza de la información — Haga que sus datos estén organizados, sean descubribles y más seguros.