Cinco recomendaciones para desbloquear los beneficios de racionalizar los esquemas federales de ciberseguridad
El gobierno de Estados Unidos marca Octubre como Mes de Conciencia de Ciberseguridad para celebrar el trabajo durante todo el año de innumerables funcionarios públicos dedicados para fortalecer la seguridad de Estados Unidos. Muchos de los miembros de ITI se asocian con orgullo con el gobierno federal para proporcionar tecnologías y servicios innovadores de información y comunicación que ayuden a las agencias a cumplir su misión. La prestación segura y efectiva de los servicios constitutivos requiere que el gobierno federal administre y racionalice los esfuerzos paralelos de ciberseguridad y priorice la colaboración entre los organismos y los asociados de la industria.
Debido a la interconexión de los sistemas de información, el gobierno necesita echar un vistazo holístico a la gestión del riesgo de información federal para reducir la probabilidad de configuraciones erróneas y silos de seguridad no deseados. Mientras que algunos esfuerzos, como los publicados recientemente OMB Memorandum M-22-18 (se abre en una pestaña nueva), aplicar a todas las agencias federales, otros esfuerzos en curso colocan directamente los requisitos en la base del contratista de TI, como el programa de certificación del modelo de seguridad cibernética del Departamento de Defensa (CMMC), la Guía de requisitos de seguridad de la computación en la nube (SRG), y la revisión del Instituto Nacional de Normas y Tecnología de su publicación especial (800-171). Con el fin de optimizar la seguridad al minimizar el riesgo de consecuencias negativas no deseadas, es necesario que estos esfuerzos estén perfectamente integrados. Un remiendo desorganizado de los mandatos de seguridad federal creará requisitos duplicativos o conflictivos. Esto tiene el potencial de paralizar las operaciones gubernamentales e incluso podría poner en peligro la seguridad nacional estadounidense. Por otra parte, un enfoque integral coordinado de la seguridad cibernética: 1) liberará recursos preciosos que pueden ser reprioritados para hacer frente a los mayores riesgos para el sistema de información; 2) mejorar el intercambio de información entre organismos que puede ayudar a impulsar la adquisición de productos y servicios innovadores; y 3) reducir las barreras de entrada a pequeñas y medianas empresas para competir por contratos gubernamentales.
Aquí están cinco recomendaciones sobre cómo el gobierno federal puede desbloquear los beneficios ocultos de racionalizar los planes federales de ciberseguridad:
- Garantizar la reciprocidad entre varios planes federales de ciberseguridad. Esto es crítico, ya que esta alineación proporciona a las agencias gubernamentales estadounidenses acceso a una base de proveedores diversa que puede llegar rápidamente a cumplir con cualquier requisito relacionado con la ciberseguridad. Los contratistas que hayan sufrido el trabajo necesario para obtener la certificación o autorización en virtud de un plan no deberían duplicar este trabajo al solicitar certificaciones adicionales. Por ejemplo, el gobierno de Estados Unidos debe realizar un cruce amplio de los controles de superposición entre NIST SP 800-171, FedRAMP y la Guía de Requisitos Seguros de DoD. Una cartografía completa de controles ayudaría a los contratistas que sientan que pueden cumplir con los requisitos de un marco entender qué más se necesita para obtener certificación en el otro.
- Minimizar requisitos excesivamente onerosos que impidan misiones y no hacen nada para mejorar la seguridad cibernética. La ciberseguridad no es un ejercicio “check-the-box” – necesita abordar riesgos reales. Los funcionarios gubernamentales deben adoptar un enfoque basado en el riesgo para exigir la aplicación de un plan de certificación de seguridad cibernética en los contratos y elegir un alcance adecuado. Los requisitos que no se aplican de forma excesiva o basada en el riesgo pueden hacer que las empresas innovadoras salgan del mercado federal por completo. Por ejemplo, los contratistas de DoD que reciben una certificación CMMC de una organización de evaluación independiente, mientras que la revisión SP 800-171 está en curso no deben comenzar desde cero cuando NIST publica una versión más reciente de esta guía. En su lugar, definir el delta de controles adicionales ayudaría a los contratistas a demostrar el cumplimiento de planes adicionales o cambiantes más fácilmente que mejorarían el acceso de los gobiernos a servicios comerciales innovadores.
- Reconocer que la ciberseguridad es un proceso continuo. A medida que evoluciona la tecnología, nuevos actores y técnicas entran continuamente en el paisaje de la amenaza. Esto creará nuevas brechas que necesitan ser llenadas rápidamente. Por lo tanto, los planes federales de ciberseguridad deberían permitir y proporcionar orientación para el uso y la ejecución oportuna de los planes de acción y los hitos, lo que permite a los contratistas identificar las lagunas actuales y explicar a los asociados gubernamentales cómo se proponen cumplir los objetivos del plan de ciberseguridad.
- Integrar la fuerza laboral federal de adquisición en los procesos federales de ciberseguridad. La fuerza laboral federal de adquisición es un actor clave en la protección de redes y sistemas federales, y este grupo debe integrarse plenamente en los procesos federales de ciberseguridad. El gobierno federal debe proporcionar una orientación clara a todo el personal contratante que les asesore para elevar la seguridad cibernética en todas las adquisiciones de TI y alejarse de utilizar el costo como único determinante de la adjudicación, según lo exija orientación actual de adquisición. (se abre en una pestaña nueva) El Reglamento Federal de Adquisición (FAR) de reciente apertura Caso 2022-010, que establece una nueva parte 40 dedicada a la gestión del riesgo de cadena cibernética, es un paso en la dirección correcta. Igualmente imperativo es la necesidad de orientación sobre cuándo los contratistas principales necesitan “desechar” los requisitos de seguridad de la información a sus propios proveedores, y cómo hacerlo de manera segura.
- Embrace la industria como socio igual en la misión más amplia para mejorar la ciberseguridad federal. La información debe compartirse no sólo entre organismos sino también entre organismos y contratistas. El gobierno de EE.UU. debe celebrar reuniones públicas periódicas sobre cuestiones de ciberseguridad y establecer canales de comunicación regulares, recurriendo a asociaciones público-privadas similares al Equipo de Tareas de Gestión de Riesgos de Cadena de Suministros de la Agencia de Seguridad de la Ciberseguridad e Infraestructura. En el espacio regulatorio, el intercambio de información público-privado puede apoyarse mediante la utilización de avisos avanzados de los talleres públicos propuestos de elaboración de normas y previa a la decisión.
El momento es que el gobierno federal adopte un enfoque holístico para gestionar la ciberseguridad federal para fortalecer la seguridad de los Estados Unidos. ITI espera con interés seguir colaborando con los asociados gubernamentales para continuar esta importante labor.
###
Related News & Analysis
Por qué un «interruptor de apagado» de IA no es una solución universal
AI es Supercarging Cyber Threats. Los defensores necesitan nuevas herramientas y asociaciones.
