Top 5 Preguntas de Ciberseguridad que Fabricantes Hacen sobre Cumplimiento Gubernamental

Este artículo apareció originalmente en Industry Today. Publicación de invitado de Jennifer Kurtz, Directora del Programa Cibernético en Manufacturer's Edge, un Centro NIST MEP en Colorado y representante de la Red Nacional MEP™.

Según el Departamento de Seguridad Nacional de EE. UU., la manufactura es la segunda industria más atacada por número de ciberataques reportados. Además, criminales cibernéticos ven a pequeños y medianos fabricantes (PYME) como objetivos principales porque muchas no tienen medidas preventivas adecuadas.

Para el Departamento de Defensa (DoD), contratistas y subcontratistas, las cosas como siempre ya no valen. El gobierno federal, cada vez más dependiente de proveedores externos, ha subido la apuesta en proteger información no clasificada controlada (CUI) en sistemas y organizaciones no federales. Desde el 31 de diciembre de 2017, todos los contratistas federales estaban obligados a cumplir requisitos mínimos de ciberseguridad del Defense Acquisition Regulation Supplement (DFARS) o arriesgar perder contratos. A pesar de esta fecha límite vencida, muchas PYME carecen de conocimiento y recursos para actualizar sistemas y no saben cómo cumplir estos 110 nuevos requisitos de seguridad. Importante notar, el Federal Acquisition Regulation, que aplica a contratistas gubernamentales para la General Services Administration (GSA) y la NASA, pronto incluirá requisitos similares.

La Red Nacional MEP, una asociación público-privada que entrega soluciones integrales y probadas a fabricantes estadounidenses, ha estado activamente proveyendo concienciación y asistencia para ayudar a fabricantes a proteger sus activos de información de riesgos de ciberataques. La organización y sus socios también sirven como recurso nacional para fabricantes buscando implementar seguridad adecuada para salvaguardar información no clasificada controlada almacenada, procesada y transmitida.

A continuación, cinco de las preguntas más frecuentes que oigo de PYME sobre las directrices de seguridad DFARS del gobierno federal.

P: ¿Qué es Información No Clasificada Controlada (CUI) y cómo sé si manejo este tipo de información como parte de mi contrato?

R: La información no clasificada controlada (CUI) es datos de propiedad gubernamental. Es información que el gobierno quiere mantener segura, pero no es vital para seguridad nacional. La cláusula DFARS 252.204.7012 puede aparecer en su contrato, pero solo se activa si procesa, almacena o transmite CUI. CUI puede incluir: datos de investigación e ingeniería, dibujos de ingeniería, especificaciones, manuales, informes técnicos, estudios y análisis, y código ejecutable y fuente de software. CUI tendrá marcado especial e instrucciones de manejo como FOUO (Solo Para Uso Oficial). Para más info sobre marcas CUI vea el registro CUI.

P: ¿El cumplimiento DFARS es obligatorio por ley?

R: Cualquier contratista o subcontratista con cláusula DFARS en su contrato está legalmente obligado a cumplir. Si falsamente reclama cumplimiento, arriesga perder su contrato gubernamental y todos los ingresos asociados y probablemente será inelegible para futuros contratos.

P: Tengo una pequeña empresa y mis contratos gubernamentales son de pequeña escala. ¿Aplica cumplimiento DFARS a mí?

R: Independientemente del tamaño de su empresa o contrato, si es contratista o subcontratista federal que procesa, almacena o transmite CUI debe cumplir. Criminales cibernéticos atacan empresas pequeñas pues típicamente tienen menos medidas de seguridad. Empresas en niveles inferiores de la cadena de suministro pueden ser más fáciles de penetrar que intentar entrar a redes de su objetivo primario. Un ataque a la cadena de suministro puede ser ruta más fácil a información gubernamental no clasificada controlada que acceder a redes gubernamentales directamente.

P: ¿Cómo sé si mi empresa es actualmente compatible con DFARS?

R: Consulte el Manual NIST 162. Este manual da una guía paso a paso para evaluar sistemas de información de un fabricante contra requisitos de seguridad DFARS.

P: Mi organización no cumple directrices mínimas DFARS pero no sé por dónde empezar el proceso de cumplimiento?

R: Implementar un plan de ciberseguridad aprobado por gobierno puede ser abrumador. Puede empezar revisando la publicación NIST SP 800-171 que describe requisitos DFARS. También puede contactar a la Red Nacional MEP para conectar con su Centro MEP local. Centros MEP locales ofrecen amplia gama de servicios gratuitos o asequibles para guiar fabricantes en el proceso. Estos incluyen conexiones a expertos en ciberseguridad que pueden desarrollar análisis de brechas detallado de protocolos y procedimientos y crear plan de acción que aborde vulnerabilidades y otros problemas de cumplimiento.

P: Mi empresa no es contratista gubernamental, pero me gustaría mejorar nuestros protocolos de ciberseguridad. ¿Puedo usar las directrices DFARS?

R: Absolutamente. Fabricantes operando en cadenas de suministro comerciales deberían considerar seriamente implementar requisitos de seguridad DFARS como parte integral de gestión de riesgos organizacionales.

A medida que el sector manufacturero se vuelve cada vez más digitalizado, la necesidad de entender, mitigar y responder a amenazas cibernéticas cada vez más complejas se ha vuelto el costo de hacer negocios.