Por Felix A. De La Torre, Jr. | 04 de marzo de 2019
La Iniciativa de Conexión a Internet Confiada (TIC) es un programa creado por el gobierno federal con el objetivo de consolidar el número de conexiones de Internet externas dentro de las agencias. Con menos puntos de salida oficiales a Internet, los equipos de TI pueden administrar de manera más eficiente los esfuerzos de seguridad para el tráfico que fluye a través de las redes gubernamentales.
Recientemente, se anunció una actualización de esta iniciativa. Conocida como TIC 3.0, esta actualización moderniza la versión actual de TIC, Servicios de protocolo de Internet de confianza administrados (MTIPS) , que permitió a las agencias gubernamentales utilizar modelos consolidados para albergar su presencia con proveedores autorizados, como CenturyLink, Verizon y AT&T. Esto permitió a las agencias proporcionar gran parte de sus servicios de seguridad de estos proveedores, eliminando así la necesidad de administrar la seguridad en las instalaciones.
¿Qué significa TIC 3.0 para las agencias gubernamentales?
TIC 3.0 apunta a abordar el cambio muy real que el uso de la nube ha traído a las redes gubernamentales.
El uso de nuevos proveedores de la nube como AWS y Microsoft Azure presenta preocupaciones inherentes sobre la visibilidad del tráfico y la capacidad de mantener el control sobre ese tráfico. Comprender cómo se usan y almacenan los datos en la nube es especialmente importante, ya que muchos proveedores utilizan un modelo de responsabilidad compartida en el que las organizaciones que utilizan los servicios en la nube son responsables de la seguridad de los datos que almacenan dentro de la nube , mientras que el proveedor es responsable de mantener la seguridad de la nube misma.
Teniendo esto en cuenta, las agencias gubernamentales que utilizan una nube pública deben tener una comprensión clara de los requisitos de control de seguridad dictados por un modelo de seguridad compartido . TIC 3.0 proporciona a las agencias gubernamentales la orientación que necesitan para adoptar la nube pública de una manera segura que minimice la exposición a riesgos, violaciones de datos y fuga de datos. Esta iniciativa se hace posible mediante la aplicación de una variedad de políticas de seguridad y mejores prácticas, como la modernización de TI y los modelos de confianza nula.
A medida que las agencias gubernamentales se preparan para TIC 3.0, deben asegurarse de contar con soporte y controles en las siguientes áreas:
1) Conciencia situacional
Una capacidad clave que TIC busca promover es la conciencia de la situación, lo que significa que los equipos de TI tienen una comprensión clara de todos los datos almacenados en su red, cada dispositivo conectado a la red y los miembros del equipo y su nivel de autorización dentro de la red. Una cuenta actualizada de esta información hace que sea mucho más fácil para los equipos de TI anticipar y responder a las amenazas.
Para que las agencias gubernamentales logren este nivel de conciencia, deben adoptar un enfoque arquitectónico de la seguridad mediante el despliegue de un tejido integrado que proporcione una visibilidad completa de la red y conecte cualquier brecha de cobertura. Lograr esto requiere la integración de múltiples soluciones, a menudo de varios proveedores. Por ejemplo, nuestro tejido de seguridad no solo ofrece integración nativa entre las soluciones de Fortinet, sino también con herramientas de nuestros socios que reconocen la necesidad de integración de soluciones cruzadas. Este enfoque de tejido permite a los equipos de TI conectar soluciones dispares ya existentes en su red, lo que ayuda a llenar los vacíos en la visibilidad y el conocimiento.
2) resiliencia
Para las TIC, la resistencia va más allá de la alta disponibilidad (HA). Los equipos de seguridad han comprendido durante mucho tiempo que las políticas y soluciones de seguridad cibernética sólidas deben tener la capacidad de conmutación por error para que se mantenga la continuidad del negocio y no se interrumpa la experiencia del usuario. Sin embargo, tradicionalmente, HA solo aborda un aspecto de la continuidad del negocio. La resiliencia, en lo que se refiere a TIC 3.0, se refiere a la continuidad del negocio a escala global.
En el pasado, si el centro de datos físicos fallaba, no había una solución a menos que la agencia afectada tuviera otro centro de datos físicos con el que pudieran conectarse. TIC 3.0 permite a las agencias evitar este problema al replicar su entorno de datos físicos y trasladarlo a la nube. Esto proporciona una resistencia que se extiende por todo el mundo siempre que se haya incorporado la seguridad necesaria. Esto significa que los equipos de TI del gobierno deben asegurarse de que tienen los controles de seguridad establecidos de acuerdo con los requisitos del modelo de seguridad compartido, además de las regulaciones de cumplimiento. Esto se traduce en una solución escalable que puede extender las políticas de seguridad a los entornos de nube distribuida, como el despliegue del firewall virtual de próxima generación de FortiGate. instale en entornos de nube pública y vuelva a vincularlos a una consola de administración centralizada, como FortiManager , o una consola de monitoreo centralizada, como FortiSIEM .
3) Gestión de riesgos
La gestión de riesgos sigue siendo esencial para las agencias gubernamentales y las organizaciones privadas. Se requiere que los equipos de seguridad identifiquen el nivel de riesgo que enfrentan sus datos y comprendan el impacto general para la agencia en caso de que los datos estén comprometidos. Esto también les permite priorizar los activos y sus protecciones. Ahora, con la adición de la nube a sus redes, deben tomar esta consideración aún más, creando un proceso de administración de riesgos que va más allá del centro de datos físico.
La gestión eficaz del riesgo significa tener una visibilidad constante del tráfico y el movimiento de datos en la nube, así como la visibilidad de cada activo almacenado en entornos de nube distribuidos.
Las agencias pueden lograr esto utilizando una combinación de herramientas para crear un inventario de activos. Luego, pueden priorizar esa lista según el nivel de riesgo de cada activo y detallar las consecuencias si ese activo estuviera comprometido. Este inventario es especialmente importante ya que el número de dispositivos IoT sin cabeza y sin cabeza conectados a la red continúa creciendo. Las agencias deben saber dónde existen estos dispositivos dentro de la red distribuida, poder restringir su acceso cuando sea necesario e identificar y aislar los dispositivos en riesgo. Y dado que es imposible responder a todas las alertas de seguridad, esta lista también ayudará al equipo de TI a priorizar su respuesta ante ataques de impacto mínimo.
Las agencias pueden usar sus herramientas SIEM para realizar un análisis de impacto de riesgo, ofreciendo visibilidad en áreas vulnerables de la red, mientras que las soluciones de Control de acceso a la red (NAC) pueden ofrecer visibilidad y protección de IoT.
Con un plan de administración de riesgos sólido, las agencias gubernamentales siempre sabrán dónde se encuentran sus datos más valiosos y, por lo tanto, podrán implementar una segmentación de seguridad adicional (es decir, conceptos de Zero Trust Networking) en esos datos cuando sea necesario.
4) Optimización y modernización en el lugar de trabajo:
La optimización y modernización es una iniciativa recurrente cuando se trata de TI del gobierno, como lo demuestra la Ley de Tecnología del Gobierno en Modernización , la Orden Ejecutiva de Ciberseguridad y ahora TIC 3.0. Estas iniciativas de modernización se refieren a una gran variedad de acciones, como la actualización de equipos más antiguos y más lentos, la adición de capas adicionales de seguridad, como el sandboxing en la nube, o la implementación de nuevas arquitecturas de seguridad para Zero Trust Networking (ZTN) y las redes de área amplia definidas por software. (SD-WAN).
Una gran parte de la modernización de la seguridad a nivel federal consiste en desacoplar la inspección de seguridad de los dispositivos físicos y el hardware y extenderlo también a los sistemas virtuales.
La automatización y la escalabilidad son elementos críticos adicionales, lo que permite que la seguridad en la nube se expanda y se contraiga según sea necesario durante el tráfico alto y bajo para mantener un alto rendimiento y una seguridad integral. Esto permite a las agencias implementar flujos de trabajo optimizados que pueden escalarse dinámicamente a medida que los datos crecen.
Un ejemplo de esto es el escalado automático , que Fortinet proporciona a través de nuestras asociaciones con proveedores como AWS y Microsoft Azure. La escala automática permite que los controles de seguridad en la nube crezcan y se reduzcan con el tráfico. La seguridad escalable también se puede lograr mediante el despliegue de múltiples cortafuegos de próxima generación (NGFW, por sus siglas en inglés) que pueden configurarse para escalar durante cargas de alto tráfico.
5) Validación
La validación reúne todos los puntos mencionados.
Implica consultar informes de seguridad regulares para comprender qué está instalado, dónde está instalado y qué versión de sistema operativo está ejecutando. El uso de políticas y herramientas de seguridad para validar los activos implementados ayuda a los equipos de TI a garantizar que no están dejando su red vulnerable a una gran cantidad de vulnerabilidades. La validación también permite a los equipos de TI hacer una referencia cruzada de sus esfuerzos con las directrices existentes, como NIST, FISMA, PCI, etc.
Las agencias gubernamentales deben centrarse en la implementación exitosa del programa de Diagnóstico y Mitigación Continuos (MDL) de DHS , ya que esto ayudará mucho a las agencias en su búsqueda de lograr la validación.
Las apuestas son altas para las agencias gubernamentales
Las agencias gubernamentales tienen la tarea de proteger los datos personales de los ciudadanos de los EE. UU., Así como la información confidencial o clasificada. La negligencia en implementar la seguridad de acuerdo con estos cinco puntos significa que su capacidad para proteger esta información se ve gravemente afectada. Esto es especialmente cierto hoy en día, ya que las agencias suelen contar con poco personal, lo que deja poco personal de TI disponible para monitorear herramientas y alertas diariamente, y mucho menos durante un incidente importante que requiere que los recursos se desvíen de las tareas diarias.
Tener políticas de seguridad organizadas y automatizadas administradas a través de herramientas integradas puede hacer una gran diferencia en el mantenimiento de la vigilancia. Los recientes ataques a agencias gubernamentales resaltan los peligros de no actualizar regularmente las medidas de seguridad, con violaciones de datos que hacen que la información de los ciudadanos se ponga a disposición de los ciberdelincuentes y de los grupos de piratas informáticos de los estados nacionales. Estar a cargo de esta información es una gran responsabilidad, por lo que las agencias deben asegurarse de que cuentan con la infraestructura para administrar sus riesgos.
