NIST Publica Nuevas Herramientas de Ciberseguridad para Contrarrestar Amenazas Patrocinadas por Estados

La Publicación Especial 800-172 está diseñada para proteger información sensible en una variedad de sistemas electrónicos.

Naciones alrededor del mundo están añadiendo ciberguerra a su arsenal, empleando equipos altamente calificados para lanzar ataques contra otros países. Estos adversarios también se llaman "amenaza persistente avanzada", o APT, porque poseen las herramientas y recursos para perseguir sus objetivos repetidamente durante un período prolongado, adaptándose a los esfuerzos de los defensores para resistirlos.

Los datos vulnerables incluyen la información sensible pero no clasificada gestionada por gobierno, industria y academia en apoyo de varios programas federales. Ahora, una publicación finalizada del Instituto Nacional de Estándares y Tecnología (NIST) proporciona orientación para proteger dicha "información no clasificada controlada" (CUI) de la APT. La Publicación Especial (SP) 800-172 de NIST, Requisitos de Seguridad Mejorados para Proteger Información No Clasificada Controlada: Un Suplemento a NIST SP 800-171, ofrece un conjunto de herramientas diseñadas para contrarrestar los esfuerzos de hackers patrocinados por estados y complementa otra publicación de NIST destinada a proteger CUI.

"Los ciberataques se realizan con armas silenciosas, y en algunas situaciones esas armas son indetectables", dijo Ron Ross, científico informático y miembro del NIST. "Porque puedes no 'sentir' los efectos directos del próximo hack aún, puedes pensar que viene en el futuro; pero en realidad, está sucediendo ahora mismo".

El gobierno federal depende en gran medida de proveedores de servicios no federales para ayudar a llevar a cabo una amplia gama de misiones usando sistemas de información —un término que incluye computadoras, pero también una gama de otras tecnologías especializadas como sistemas de control industrial e Internet de las Cosas. La protección de información federal sensible que reside en sistemas no federales —como los usados por gobiernos estatales y locales, colegios y universidades, y organizaciones de investigación independientes— es de suma importancia, ya que puede impactar directamente la capacidad del gobierno federal para llevar a cabo sus operaciones. Un hack en 2018 que comprometió información sensible inspiró directamente el trabajo del equipo de NIST en SP 800-172.

Antes numerada SP 800-171B durante sus etapas de borrador, SP 800-172 ofrece recomendaciones adicionales para manejar CUI en situaciones donde esa información corre un riesgo mayor al usual de exposición. CUI incluye una amplia variedad de tipos de información, desde nombres de individuos o números de Seguro Social hasta información crítica de defensa.

"Desarrollamos SP 800-171 en respuesta a importantes ciberataques a infraestructura crítica de EE. UU., y su documento complementario SP 800-172 está diseñado para mitigar ataques de amenazas cibernéticas avanzadas como la APT", dijo Ross. "Implementar las salvaguardas cibernéticas en SP 800-172 ayudará a los propietarios de sistemas a proteger lo que los hackers de nivel estatal han considerado objetivos de alto valor particularmente: información sensible sobre personas, tecnologías, innovación y propiedad intelectual, cuya revelación podría comprometer nuestra economía y seguridad nacional".

Los requisitos de seguridad mejorados deben implementarse además de los de SP 800-171, ya que esa publicación no está diseñada para abordar la APT. Los requisitos en SP 800-172 se aplican a los componentes de sistemas no federales que procesan, almacenan o transmiten CUI o que proporcionan protección para tales componentes. Para reducir aún más el alcance, los requisitos se aplican solo cuando la CUI designada está asociada con un programa crítico o activo de alto valor —la máxima prioridad para protección.

Desarrollada principalmente para administradores como gerentes de programa, CIOs y auditores de sistemas, la publicación aborda la protección de CUI para componentes de sistemas promoviendo arquitectura resistente a penetración, operaciones que limitan daño, y diseños para lograr resiliencia cibernética y supervivencia. Sus herramientas, divididas en 14 familias, no están destinadas a implementarse en masa, sino seleccionadas según las necesidades de la organización.

"Lo más probable es que una organización que implemente esta guía no quiera usar todos los requisitos de seguridad mejorados que ofrecemos aquí", dijo Ross. "La decisión de seleccionar un conjunto particular de requisitos de seguridad mejorados se basará en tus necesidades de misión y negocio —y luego guiada e informada por evaluaciones de riesgo continuas".

En respuesta a comentarios recibidos durante el período de comentario público, el borrador final incluye orientación actualizada de alcance y aplicabilidad y un enfoque de selección de requisitos más flexible para permitir a las organizaciones personalizar sus soluciones de seguridad.

Ross dijo que las herramientas en la nueva publicación deberían ofrecer esperanza a cualquiera que busque defenderse contra hacks, incluso por una amenaza tan intimidante como la APT.

"Los adversarios traen su 'juego A' en estos ciberataques 24 horas al día, 7 días a la semana", dijo. "Puedes empezar a asegurar que el daño sea minimizado si usas las salvaguardas cibernéticas de SP 800-172".

Fuente original: https://www.nist.gov/news-events/news/2021/02/nist-offers-tools-help-defend-against-state-sponsored-hackers