Desde 2010, el Gobierno de los Estados Unidos exige que todos los sistemas de información federales cumplan con el Marco de Gestión de Riesgos (RMF) del Gobierno de los Estados Unidos, «» (), un conjunto de normas de seguridad destinadas al diseño, la protección y la supervisión de los sistemas de tecnologías de la información.
Actualmente gestionadas por el Instituto Nacional de Estándares y Tecnología (NIST) , que forma parte de la Administración de Servicios de Información (), las normas del Marco de Gestión de Riesgos (RMF) ofrecen prácticas recomendadas detalladas para mejorar la seguridad informática frente a amenazas como las filtraciones de datos y los ataques de ransomware.
En esta entrada del blog, ofreceré una visión general del Marco de Gestión de Riesgos (RMF) del NIST y explicaré cómo Tanium Risk y otros productos de Tanium pueden ayudar a las agencias a cumplir con estas importantes normas.
[Lea también: ¿Qué es la gestión de riesgos? [Resumen simplificado]
Marcos de seguridad del NIST para la gestión de riesgos
Empecemos por definir qué es lo que intentamos gestionar.
El riesgo, según el NIST, es «una medida del grado en que una entidad se ve amenazada por una circunstancia o un suceso potencial, y suele depender de: (i) el impacto adverso, o la magnitud del perjuicio, que se produciría si se diera lugar a dicha circunstancia o suceso; y (ii) la probabilidad de que se produzca». Por lo tanto, para comprender el riesgo informático, una organización debe conocer el valor de sus recursos informáticos y el perjuicio que podría derivarse de una interrupción o daño en dichos recursos.
Una organización también debe comprender la probabilidad de cada amenaza potencial, de modo que pueda establecer prioridades en sus inversiones y respuestas para reducir el riesgo de forma adecuada. Al fin y al cabo, no le conviene invertir dinero en prevenir un riesgo con una probabilidad del 0.01 %, mientras descuida riesgos que tienen una probabilidad del 10 %.
La norma principal del NIST para establecer el marco de seguridad frente a riesgos del Gobierno federal es « » (NIST SP 800-37 , Rev. 2). Esta norma establece «un proceso riguroso, estructurado y flexible para la gestión de los riesgos de seguridad y privacidad, que incluye la clasificación de la seguridad de la información; la selección, implementación y evaluación de controles; las autorizaciones de sistemas y controles comunes; y la supervisión continua».
En estas evaluaciones, la precisión y la puntualidad son fundamentales. La norma NIST 800-37 exige a las organizaciones de TI que lleven a cabo una supervisión en tiempo real o casi en tiempo real, yendo más allá de los informes de estado diarios o semanales en los que los equipos de seguridad podrían haber confiado en el pasado para la seguridad de los terminales . A diferencia de lo que supone basarse en instantáneas periódicas del estado de las infraestructuras críticas, el RMF «fomenta la gestión de riesgos casi en tiempo real y la autorización continua de los sistemas de información y los controles comunes mediante la implementación de procesos de supervisión continua… [y] proporciona a los altos cargos y ejecutivos la información necesaria para tomar decisiones eficientes y rentables en materia de gestión de riesgos sobre los sistemas que respaldan sus misiones y funciones operativas».
Realización de evaluaciones de riesgos con la norma NIST SP 800-30
Según la norma NIST SP 800-39, los procesos de gestión de riesgos incluyen: (i) la definición del riesgo; (ii)
la evaluación del riesgo; (iii) la respuesta al riesgo; y (iv) el seguimiento del riesgo.
El documento NIST SP 800-30: « : Guide for Conducting Risk Assessments» (), ofrece información más detallada sobre cómo llevar a cabo el segundo proceso de dicha lista: la evaluación de riesgos. NIST SP 800-30 : un proceso para determinar el alcance, la finalidad y otros elementos de la evaluación. A continuación, se describe cómo llevar a cabo la evaluación propiamente dicha, siguiendo estos pasos:
- Identificar las fuentes de amenazas y los incidentes
- Identificar las vulnerabilidades y los factores predisponentes
- Determine la probabilidad de que se produzca
- Determinar la magnitud del impacto
- Determinación del riesgo
Esta evaluación no supone la finalización del trabajo. Es necesario comunicar los resultados de la evaluación a las partes interesadas, y la evaluación debe mantenerse al día mediante un seguimiento «para mantener actualizado el conocimiento específico de los riesgos a los que se enfrentan las organizaciones».
¿Dispone la organización de los mecanismos de información necesarios para compartir las evaluaciones de riesgos con las partes interesadas de los ámbitos empresarial y de las tecnologías de la información? ¿Dispone de un método sistemático para mantener actualizada la evaluación, garantizando, por ejemplo, que una evaluación realizada hace una semana siga siendo válida hoy? Estas son algunas de las preguntas que los responsables de TI y seguridad podrían plantearse tras estudiar el NIST SP 800-30.
Gestión de los riesgos de seguridad de la información con la norma NIST SP 800-39
Otra norma, la NIST SP 800-39, «: Gestión del riesgo de seguridad de la información» (), ofrece orientaciones para «un programa integrado, de ámbito organizativo, destinado a gestionar el riesgo de seguridad de la información que afecta a las operaciones de la organización (es decir, su misión, funciones, imagen y reputación), a los activos de la organización, a las personas, a otras organizaciones y a la nación, y que se deriva del funcionamiento y el uso de los sistemas de información federales».
La norma propone un enfoque de gestión de riesgos en tres niveles: «(i) a nivel de la organización; (ii) a nivel de la misión o del proceso empresarial; y (iii) a nivel del sistema de información». En otras palabras, una gestión eficaz de los riesgos requiere un enfoque amplio que abarque la misión y las estrategias de la organización, sus procesos empresariales y sus sistemas informáticos individuales.
La norma NIST 800-39 propone que las prácticas de gestión de riesgos de la organización incluyan:
- Desarrollar una arquitectura de TI vinculada a las metas y objetivos estratégicos de las organizaciones, a las misiones y funciones empresariales definidas, y a los procesos operativos y de misión asociados.
- Incorporar una arquitectura de seguridad de la información que cumpla los requisitos de seguridad de la información a nivel arquitectónico.
- Traducir los requisitos de seguridad de la información de la arquitectura por «segmentos» o «áreas de misión» en controles de seguridad específicos para los sistemas de información y los entornos operativos, como parte de la arquitectura de la solución.
- Asignar controles de seguridad de carácter administrativo, operativo y técnico a los sistemas de información y a los entornos operativos, tal y como se definen en la arquitectura de seguridad de la información.
El primer paso consiste en identificar los posibles riesgos en función de la misión de la organización y de sus sistemas informáticos. Comience por identificar el papel que desempeñan los distintos sistemas y recursos a la hora de respaldar la estrategia y la misión de la empresa. A continuación, realice una lluvia de ideas para identificar todos los riesgos importantes que afectan a cada uno de esos sistemas y recursos.
Por ejemplo, si la misión de la organización depende de un servidor web, tenga en cuenta todas las amenazas, ya sean maliciosas o de otro tipo, que podrían interrumpir o dañar dicho servidor web. Su lista podría incluir ataques DDoS, cortes de suministro eléctrico, problemas de configuración, picos de uso, etc.
A continuación, se procede a medir y evaluar los riesgos basándose en la comprensión de cómo contribuyen los sistemas informáticos específicos a la misión general de la organización y cuál es la probabilidad de que determinados riesgos afecten a dichos sistemas.
Una vez identificados los riesgos y clasificados según su probabilidad, la organización debe adoptar medidas para mitigarlos. Por ejemplo, si se identifica como un riesgo el hecho de contar con servidores sin parches, la empresa podría implementar un sistema de gestión de parches de para mitigar dicho riesgo.
Los resultados de esos tres pasos anteriores deben comunicarse a las partes interesadas y ser objeto de seguimiento para determinar si ha cambiado la situación de los riesgos. El proceso concluye con la gobernanza. En esta fase, los responsables de TI y de las áreas de negocio deciden dónde y cómo invertir para reducir los riesgos y optimizar la gestión de riesgos en su conjunto.
Cómo contribuye Tanium a respaldar el marco de gestión de riesgos
La plataforma Tanium de ofrece a los equipos de seguridad y de operaciones de TI una visión única, completa y en tiempo real de los datos críticos de los terminales, de modo que las organizaciones puedan tomar decisiones fundamentadas y actuar con rapidez para minimizar las interrupciones y reducir el riesgo. Los módulos de Tanium —componentes de la plataforma Tanium— dan respuesta a los requisitos clave del RMF.
Módulos de Tanium para la identificación de riesgos
Los tres módulos de Tanium proporcionan la información en tiempo real sobre los terminales que las empresas necesitan para conocer qué sistemas informáticos tienen —ya sea en sus propias instalaciones, en ubicaciones remotas o en la nube— y cómo interactúan dichos sistemas para respaldar las operaciones y los procesos.
- Descubra : realice un inventario de todo el entorno en todos los dispositivos finales en cuestión de minutos. Analice redes con cientos de miles de terminales para detectar activos no gestionados, de modo que los administradores puedan bloquearlos o incorporarlos a la gestión.
- Asset – Cree y mantenga rápidamente un inventario preciso de sus activos de TI para que pueda tomar mejores decisiones en materia de gestión de riesgos y éxito operativo.
Módulos de Tanium para la medición y evaluación de riesgos
Una vez que haya identificado las amenazas, las vulnerabilidades, el impacto, la probabilidad y las condiciones predisponentes, podrá calcular y clasificar los riesgos que su organización debe abordar utilizando los siguientes módulos de Tanium:
- Cumpla con las norm : identifique vulnerabilidades y deficiencias de cumplimiento en todos sus dispositivos finales en cuestión de minutos, en lugar de días o semanas.
- Reveal : localice rápidamente los cambios en los campos de datos confidenciales y actúe directamente en el terminal.
- Impact – Identifique rápidamente las cuentas y los sistemas de alto riesgo para reducir su superficie de ataque.
- Integrity Monitor – Supervisa de forma continua los archivos críticos de bajo nivel del sistema operativo, las aplicaciones y el registro, y activa investigaciones cuando se activan las alertas.
- Risk – Obtenga los datos en tiempo real, la automatización y la inteligencia necesarios para tomar decisiones fundamentadas con mayor rapidez, gracias a una evaluación exhaustiva de los riesgos de los terminales. Utilice estos datos para priorizar las acciones mediante una puntuación inteligente de riesgos basada en métricas operativas y de seguridad.
Módulos de Tanium para la mitigación de riesgos
A continuación, tome su lista de riesgos ordenada por importancia y comience a determinar cómo mitigar las amenazas, de mayor a menor. Es posible que usted y su equipo decidan que no merece la pena abordar los riesgos que se sitúan por debajo de un determinado nivel, ya sea porque la probabilidad de que se produzcan es demasiado remota o porque han identificado riesgos mucho más urgentes en los que centrarse durante el primer trimestre. No pasa nada. La gestión de riesgos es un proceso continuo. Si un riesgo es realmente importante, tendrá ocasión de abordarlo cuando repita su proceso de análisis de riesgos. Y en caso de que la probabilidad de que se produzca ese riesgo aumentara repentinamente, estará preparado gracias a la implementación del software de gestión de riesgos de Tanium , que le proporcionará información en tiempo real sobre los riesgos y le ofrecerá controles en tiempo real para contener y mitigar las amenazas.
Los siguientes módulos de Tanium pueden ayudarle a mitigar los riesgos.
- Implemente : instale, actualice y elimine software basándose en un conjunto flexible de grupos de ordenadores de destino o en un equipo concreto.
- Patch – Programe la instalación de parches del sistema operativo para solucionar en cuestión de segundos la falta de parches en los dispositivos finales.
- Aplicar : centralice y aplique la gestión de políticas en todos los sistemas operativos y ubicaciones de los dispositivos.
- Respuesta ante amenazas – Búsqueda proactiva de adversarios mediante heurísticas arbitrarias.
Módulos de Tanium para la elaboración de informes y el seguimiento de riesgos
El RMF exige que las organizaciones mantengan una lista de los riesgos conocidos y realicen un seguimiento de dichos riesgos para garantizar el cumplimiento de todas las políticas aplicables.
- Tendencias – Obtenga información detallada sobre los indicadores clave de seguridad y el estado operativo mediante la creación de visualizaciones que muestren datos actuales e históricos de los terminales.
- Risk – Elaboración de informes para comunicar las principales tendencias, mejoras y valores de referencia del sector, destinados a la presentación de informes a nivel ejecutivo y del consejo de administración. Al utilizar Risk para supervisar de forma continua los dispositivos finales, podrá mejorar su cumplimiento normativo y su gestión de riesgos.
- Conecte : integre Tanium fácilmente con soluciones de terceros y con el panel de control federal de EE. UU. sobre gestión de datos (CDM).
Deje que Tanium le ayude a cumplir con la normativa RMF
Tanium ha ayudado a organismos federales y a otras organizaciones a adoptar un enfoque proactivo y eficaz en materia de riesgos y cumplimiento normativo. Gracias a la combinación de su modelo de datos ampliable, su protocolo de comunicaciones distribuidas y su agente ligero, la plataforma Tanium permite a los clientes ahorrar tiempo y reducir los costes asociados a la gestión de riesgos.
La plataforma Tanium:
- Ofrece y mantiene una visibilidad completa no solo de las vulnerabilidades y las deficiencias en materia de cumplimiento normativo, sino también del riesgo global en todos sus dispositivos finales, en tan solo unos minutos, en lugar de días o semanas.
- Ofrece una única fuente de información fiable, precisa y exhaustiva que fomenta el consenso en torno al establecimiento de prioridades y la resolución de incidencias entre los equipos de operaciones de TI, seguridad y gestión de riesgos.
- Permitir a los equipos resolver rápidamente los problemas en todos sus entornos sin tener que cambiar de herramienta.
- Ahorra a las organizaciones el gasto y las molestias que supone adquirir otra herramienta más e instalar la infraestructura necesaria para ello.
Obtenga más información sobre cómo « » mide el riesgo de los terminales en el sector público en nuestro último libro electrónico. Si desea saber cómo Tanium puede ayudar a su organización a cumplir con el marco RMF, póngase en contacto con nosotros.
