Cumplimiento de proveedores del DoD: Dos suposiciones de ciberseguridad que moldean el futuro

Se estima que hay alrededor de 300.000 empresas en la Base Industrial de Defensa (BID) en los sectores manufactureros y no manufactureros. Aproximadamente el 99 % de la BID está compuesto por pequeñas y medianas empresas, que son compañías con menos de 500 empleados.

Desde diciembre de 2017, todas las empresas de la BID han tenido la cláusula del Suplemento del Reglamento Federal de Adquisiciones de Defensa (DFARS) (252.204-7012 - Protección de Información de Defensa No Clasificada Controlada e Informe de Incidentes Cibernéticos) en sus contratos. Después de casi tres años, parecen existir una serie de suposiciones incorrectas en la BID, dos de las cuales merecen una discusión más profunda...

La primera suposición: Las autoatestaciones no son un gran problema

Como resultado de aceptar los términos de un contrato con el DoD, los fabricantes autoatestan que utilizan «ciberseguridad adecuada» para proteger la Información No Clasificada Controlada (CUI). La ciberseguridad adecuada se define en la cláusula DFARS como la implementación completa de los 110 requisitos de seguridad descritos en la Publicación Especial 800-171 del NIST.

Muchos fabricantes asumen que su programa de ciberseguridad es suficiente. La mayoría de los clientes de CMTC suelen comenzar su compromiso de ciberseguridad estimando que tienen un 70-80 % de cumplimiento. Sin embargo, el promedio real después de un análisis de brechas básico es alrededor del 34 % de cumplimiento.

Entradas de blog previas han cubierto los riesgos legales a menudo pasados por alto asociados con el incumplimiento de los requisitos de ciberseguridad. En última instancia, si una empresa quiere hacer negocios con el Departamento de Defensa (DoD), debe aceptar los términos del contrato y, por lo tanto, autoatestar una postura de ciberseguridad conforme.

La segunda suposición: Los proveedores de TI externos por sí solos son la respuesta

Muchas pequeñas empresas carecen de personal y recursos de TI dedicados. Como resultado, muchos fabricantes utilizan proveedores de servicios de TI de terceros. Para que estas pequeñas empresas operen, se confía a los proveedores de servicios externos un acceso administrativo tremendo a los sistemas de información de la empresa. A menudo, los fabricantes asumen que todo avanza según lo planeado. Los fabricantes necesitan supervisar a sus Proveedores de TI de Terceros para comprender qué acciones se están tomando. El viaje cibernético del fabricante con un proveedor de TI es colaborativo, con la empresa involucrada en las actividades y resultados del trabajo del proveedor.

Además, en términos de exposición, aproximadamente la mitad de los 110 requisitos de seguridad están directamente relacionados con las operaciones técnicas y soluciones tecnológicas normalmente proporcionadas por un proveedor de TI de terceros. Algunas medidas de ciberseguridad son tan fundamentales para las operaciones comerciales que el gobierno asumió razonablemente que todos los proveedores del DoD estarían gestionando proactivamente su propio riesgo. Es imprescindible que el fabricante y el Proveedor de TI trabajen juntos para lograr el cumplimiento del DoD. El Proveedor del DoD asumirá la responsabilidad del cumplimiento a largo plazo.

Juntas, estas dos suposiciones clave e incorrectas pueden crear una tremenda deuda técnica y de cumplimiento.

Las auditorías de cumplimiento de ciberseguridad gubernamentales están en camino, por lo que el mejor camino a seguir es supervisar a tu proveedor de TI y trabajar colaborativamente para contribuir a tu cumplimiento general.

Pasos siguientes recomendados

1) Enfócate en tus requisitos DFARS existentes.

2) Tómate el tiempo para comprender a fondo las suposiciones subyacentes de NIST SP 800-171.

3) Establece un proceso robusto de gestión de proveedores de terceros.

4) Tómate el tiempo para comprender a fondo las obligaciones de flujo descendente contractuales.

Para una breve descripción general del ecosistema regulatorio general y una discusión más profunda de los temas descritos en esta publicación, puedes ver el seminario web a pedido de CMTC aquí.