Minimizando el riesgo cibernético para contratistas gubernamentales y de defensa: Estrategias probadas

En medio de una crisis global, la industria manufacturera sigue siendo una parte crítica de la infraestructura de EE. UU., particularmente en defensa.

El programa de defensa nacional depende de talleres para fabricar piezas esenciales, y los talleres a su vez dependen de contratos gubernamentales para alimentar sus pequeños negocios. A medida que las cadenas de suministro se vuelven más vulnerables e inciertas, será crítico que los talleres encuentren formas de volverse más resilientes, fiables y seguros.

Los contratos gubernamentales conllevan altas apuestas para los talleres, especialmente en ciberseguridad. A pesar de albergar datos de fabricación altamente sensibles, la mayoría de talleres hoy van rezagados en su infraestructura de ciberseguridad. Siguen usando sistemas on-premise, versiones obsoletas de Microsoft Windows y Excel, y grandes servidores de archivos. En muchos casos, todos en la red pueden acceder a cualquier archivo mediante una unidad compartida —incluyendo cibercriminales que hackean el taller.

Muchos talleres pequeños asumen que no serán objetivo de cibercriminales, pero en realidad, los hackers son más propensos a robar datos sensibles si creen que los talleres están menos protegidos que las redes internas de proveedores militares de vanguardia. A menudo, los hackers están interesados en robar información financiera o usar las redes de los talleres para tácticas de phishing para extraer información valiosa. Desplegando emails de phishing, los hackers pueden explotar una debilidad en el servidor y ejecutar ataques en sistemas desprotegidos.

Aunque este tipo de brecha sería perjudicial para cualquier taller, en términos de coste, reputación y confianza, puede ser aún más grave con contratos de defensa. Si un empleado de taller cae en una táctica de phishing y el malware se propaga por sus contactos de email hasta alcanzar empleados gubernamentales, la información podría verse comprometida en una hora. Los talleres deben entender que las probabilidades de este tipo de brecha no son escasas; según una encuesta de Deloitte a ejecutivos de ciberriesgo en manufactura, cuatro de las diez principales amenazas involucran comportamiento de empleados.

Para asegurar que los clientes de defensa estén protegidos, especialmente en el clima actual, los talleres necesitan una estrategia moderna de ciberseguridad. A continuación, algunas mejores prácticas para asegurar la seguridad y bienestar financiero del taller.

Compartir datos de clientes de forma segura

Aunque muchos talleres tienen políticas para cómo deben asegurarse los datos dentro de sus propias redes, esas políticas rara vez rigen cómo se transfieren datos a proveedores, como el compartir archivos de diseño asistido por computadora (CAD). Esta zona gris pone a los talleres en riesgo. Cada proveedor, socio y distribuidor de materiales debe también cumplir estándares de ciberseguridad, lo que requiere actualizar la forma en que comparten información de clientes. Cualquier dato enviado por email debe estar encriptado. De lo contrario, cuando lleguen los auditores, los talleres podrían encontrarse en incumplimiento de contrato.

Los talleres pueden desplegar herramientas de colaboración para compartir archivos con terceros de forma segura, asegurando que los datos estén encriptados tanto en tránsito como en reposo. El acceso compartido expira, por lo que no está disponible para terceros indefinidamente, y con tecnología de visor basado en cloud, los usuarios no tienen que descargar archivos. Este método no solo reduce riesgo, sino que también es una forma rentable de mejorar la ciberseguridad.

Cumplir directrices federales

Los talleres que hacen trabajo de defensa deben enfocar esfuerzos de cumplimiento tanto en piezas físicas como en datos técnicos. Específicamente, deben mirar los Reglamentos Internacionales de Tráfico de Armas (ITAR) y controles de exportación, cubriendo tanto las piezas enviadas al extranjero como los datos técnicos revelados a no ciudadanos estadounidenses. Aunque estándares de ciberseguridad específicos de manufactura como NIST SP800-171B e ITAR no son exigidos por ley, se especifican en contratos de defensa. Cuando contratistas gubernamentales evalúan cotizaciones, pueden (y deben) considerar el cumplimiento de ciberseguridad de un taller como factor. Algunos incluso solicitarán documentación. Los contratistas gubernamentales están bajo su propia presión para asegurar que sus cadenas de suministro sean conformes, por lo que todas las cadenas de suministro deben prepararse para ser auditadas. Por eso, con la posibilidad de multas penales o civiles, muchos fabricantes hacen inversiones significativas en consultores de TI, modernizaciones de sistemas y financiación estatal para alcanzar el cumplimiento.

La ciberseguridad es y seguirá siendo un elemento esencial para ganar y mantener contratos gubernamentales. Los ciberataques, brechas de datos y malware solo prometen aumentar, al igual que riesgo, vulnerabilidad e incertidumbre. Los talleres deben protegerse a sí mismos y a sus clientes para tener éxito en el mercado y ayudar a sostener las industrias de manufactura y defensa de EE. UU.

Scott Sawyer es director de tecnología y cofundador de Paperless Parts.