Sector público 
A medida que las agencias federales enfrentan amenazas cibernéticas cada vez más sofisticadas, proteger los sistemas de alto impacto y los datos confidenciales no clasificados se
La Base industrial de defensa (DIB) consta de más de 100 000 empresas que proporcionan materiales o servicios al Departamento de Defensa (DoD) de los Estados Unidos. Estas empresas proporcionan productos necesarios para defender la nación y son una parte fundamental de la cadena de suministro del DoD. Las empresas de la DIB varían en tamaño, desde grandes y reconocidos contratistas de defensa, como Lockheed Martin, Boeing y Northrop Grumman, hasta pequeñas y medianas empresas que suministran productos y servicios especializados, tales como drones y vehículos militares.
A medida que los ataques cibernéticos de nación-estado continúan apuntando a los servicios del sector público, las agencias gubernamentales y las empresas privadas dentro de la Base industrial de defensa (BID) deben tomarse la seguridad cibernética en serio y trabajar para mejorar las defensas cibernéticas para proteger la información de defensa confidencial. El DoD desarrolló el marco de la Certificación del modelo de madurez de ciberseguridad (CMMC) para mejorar la postura de seguridad cibernética de la DIB. Combina los estándares de seguridad cibernética publicados por el Instituto Nacional de Estándares y Tecnología (NIST) a los que cualquier contratista del gobierno que desee hacer negocios con el Departamento de Defensa debe adherirse.
Ciberataques dirigidos al DIB
Los adversarios lanzan ataques cibernéticos para robar datos confidenciales o propiedad intelectual, sabotear la actividad comercial o amenazar las cadenas de suministro.
Ejemplos destacados de ataques cibernéticos en los últimos años incluyen el ataque de ransomware a Colonial Pipeline en 2021, que cerró un importante oleoducto de gas durante varios días y causó un estado de emergencia nacional. En el ataque de SolarWinds de 2020, los hackers de nación-estado obtuvieron acceso a las redes, los sistemas y los datos de miles de clientes de SolarWinds, incluidas muchas agencias gubernamentales locales, estatales y federales.
La causa raíz del ataque a Colonial Pipeline fue la violación de una contraseña, una cuenta VPN inactiva y la falta de autenticación multifactor, todos principios básicos de seguridad cibernética. En el caso de SolarWinds, se trató de un ataque a la cadena de suministro que tenía como objetivo los sistemas de monitoreo de rendimiento de TI de la empresa, los que tenían acceso privilegiado a otros sistemas de TI para obtener registros y datos de rendimiento del sistema.
Más recientemente, en abril de 2024, cuatro ciudadanos iraníes fueron acusados en un tribunal federal y se les imputaron cargos por participar en una operación de malware que utilizaba spear phishing y otras técnicas de piratería para comprometer las cuentas de empleados del gobierno de EE. UU., incluidos los Departamentos del Tesoro y de Estado de EE. UU., así como contratistas de defensa. En uno de los casos, el Departamento de Justicia señaló lo siguiente:
“Los conspiradores comprometieron una cuenta de correo electrónico de un administrador que pertenecía a un contratista de defensa. El acceso a esta cuenta de administrador permitió a los conspiradores crear cuentas no autorizadas, que luego utilizaron para enviar campañas de spear phishing a empleados de otro contratista de defensa y de una empresa de consultoría”.
También se utilizaron tácticas de ingeniería social para instalar malware en las computadoras de las víctimas y comprometer dispositivos y cuentas adicionales.
CMMC y resiliencia cibernética
Los cibercriminales solo necesitan comprometer una cuenta privilegiada para obtener acceso a otras cuentas y a los datos dentro de la red de una organización. Los contratistas gubernamentales que manejan información no clasificada controlada (CUI) deben cumplir con el marco de seguridad de la CMMC, que abarca una serie de controles clasificados en dominios. Estos dominios abarcan un amplio espectro de prácticas de seguridad cibernética, y los controles dentro de ellos están diseñados para mejorar la postura general de seguridad de una organización.
El cumplimiento de la CMMC de nivel 2 requiere que las organizaciones cumplan con 110 controles de seguridad del NIST SP 800-171. Aunque no podemos abarcar todos los controles aquí, hay algunas acciones que su organización puede tomar para ayudar a garantizar el cumplimiento de la CMMC y la resiliencia cibernética.
- Implemente la autenticación multifactor (MFA): use MFA para acceder a sistemas y datos confidenciales y agregar una capa adicional de seguridad a las cuentas protegidas por contraseña.
- Actualice y parchee sistemas: mantenga todo el software, los sistemas operativos y el firmware actualizados con los últimos parches para protegerse contra vulnerabilidades conocidas.
- Realice evaluaciones de seguridad periódicas: lleve a cabo auditorías de seguridad periódicas, evaluaciones de vulnerabilidades y pruebas de penetración para identificar y corregir posibles vulnerabilidades de seguridad.
- Cifre datos confidenciales y contraseñas: use un gestor de contraseñas para proteger el acceso a los datos confidenciales, tanto en reposo como en tránsito, y prevenir accesos no autorizados.
- Use la gestión de acceso privilegiado (PAM): implemente controles de acceso estrictos para garantizar que solo el personal autorizado tenga acceso a información confidencial. Esto incluye controles de acceso basados en roles (RBAC) y adherirse al principio de privilegio mínimo.
- Implemente una arquitectura de seguridad de confianza cero: asegúrese de que la autenticación, la autorización y el cifrado, a nivel de usuario y dispositivo, se implementen en toda la organización.
Cómo Keeper Security Government Cloud ayuda a los contratistas de DIB a cumplir con los requisitos de CMMC
El gestor de contraseñas y el Privileged Access Manager de Keeper Security Government Cloud (KSGC) están autorizados por el FedRAMP High y abordan varios controles de la CMMC en los dominios de control de acceso (AC), auditoría y rendición de cuentas (AU), identificación y autenticación (IA) y más.
KSGC analiza la solidez y seguridad de las contraseñas almacenadas en toda la organización y proporciona un puntaje de riesgo completo para las credenciales individuales, así como la higiene general de las contraseñas tanto de la organización como de los individuos. Los administradores de TI reciben información procesable a través de informes y paneles de control detallados, que destacan las contraseñas poco seguras, reutilizadas o comprometidas, lo que les permite aplicar de manera proactiva las políticas de contraseñas e iniciar medidas correctivas.
KSGC emplea una arquitectura de confianza cero y conocimiento cero, junto con administración delegada y políticas de aplicación basadas en roles, para proporcionar a los administradores de sistemas visibilidad y control completos sobre la seguridad de la identidad y los riesgos dentro de su organización.
Para obtener más información sobre cómo KSGC puede abordar el cumplimiento de la CMMC y proteger a su organización contra ataques cibernéticos, solicite una demostración hoy mismo.
