Las organizaciones que manejan información no clasificada controlada (CUI) e información sensible controlada (CSI) —entre las que se incluyen numerosas instituciones de investigación de la enseñanza superior— se enfrentan a amenazas constantes por parte de actores malintencionados. Por ejemplo, en 2018, el Departamento de Justicia presentó cargos contra nueve piratas informáticos iraníes por haber sustraído más de 31 terabytes de información de más de 300 instituciones de educación superior. Según los informes, el valor total de la propiedad intelectual sustraída ascendió a más de 3 000 millones de dólares.
El Departamento de Defensa exige que estas instituciones, incluidos los Centros de Investigación Afiliados a Universidades (UARC) de la Universidad de y los Centros de Investigación y Desarrollo Financiados con Fondos Federales (FFRDC) , que reciben subvenciones del Gobierno para llevar a cabo investigaciones (y manejan información clasificada como CUI/CSI), deberán cumplir en breve con la Certificación del Modelo de Madurez en Ciberseguridad (CMMC) del Departamento de Defensa, al igual que el conjunto de contratistas federales. Se prevé que las nuevas directrices entren en vigor en otoño de 2020.
Una organización independiente, cualificada y acreditada, denominada «Organización de Evaluación Independiente Controlada» (C3PAO), llevará a cabo una auditoría de cada contratista o institución de investigación, verificando el cumplimiento de una serie de requisitos y buenas prácticas en materia de ciberseguridad, y asignando un nivel de madurez en ciberseguridad a la organización.
Cómo evalúa el CMMC la madurez cibernética
El modelo CMMC de la Agencia de Seguridad de la Información de los Estados Unidos ( , ) evalúa la ciberseguridad en función de cinco niveles. Cada nivel incluye un conjunto de procesos y prácticas, que van desde «ejecutados» en el nivel 1 hasta «optimizados» en el nivel 5. Cada organización deberá demostrar, no solo la institucionalización de la práctica, sino también la aplicación continua de todas las prácticas exigidas para un nivel concreto y para todos los niveles anteriores.
El proceso de auditoría tiene en cuenta otros factores, entre los que se incluyen el tipo y el grado de confidencialidad de la información que se maneja, las amenazas y la complejidad de la implementación.
A pesar del nombre del modelo, no se trata de un mero trámite de cumplimiento normativo. Este proceso ofrece una forma de mejorar la adecuación de las prácticas de ciberseguridad al tipo y la sensibilidad de la información, así como a las amenazas asociadas.
El reto que plantea el CMMC para la educación superior
Históricamente, muchos FFDRC y UARC no han contado con controles centralizados y se han encargado de implementar, supervisar y certificar la seguridad de sus propios sistemas informáticos, así como de cualquier información clasificada (CUI/CSI) del Departamento de Defensa almacenada en dichos sistemas.
En la actualidad, para cumplir con las directrices del CMMC, muchas de estas instituciones tendrán que recurrir a sus equipos centrales de TI o a empresas externas para crear la infraestructura informática necesaria que les permita cumplir con los estándares del CMMC y proteger la información confidencial frente a actores malintencionados.
Muchos carecen de los procesos básicos de ciberseguridad necesarios , y la mayoría no dispone de la visibilidad necesaria sobre el conjunto de su red; como sabemos, no podemos controlar lo que no vemos. El equipo necesita una visibilidad completa y continua de todos los activos de la red (un objetivo cada vez más complejo en el mundo del Internet de las cosas (IoT) y del «traiga su propio dispositivo» (BYOD)).
Lamentablemente, las instituciones de educación superior han creado el último obstáculo, aunque lo hayan hecho con la mejor de las intenciones. A medida que han ido trabajando para subsanar las vulnerabilidades de ciberseguridad concretas, la mayoría ha implantado un complejo entramado de productos puntuales que no se integran entre sí, resultan difíciles de gestionar y mantener actualizados, y no permiten al equipo directivo de TI obtener una visión completa de las amenazas. La complejidad equivale al riesgo más el coste. Si las instituciones siguen implantando productos puntuales nuevos o diferentes para resolver problemas concretos, aumentarán la complejidad, los costes y el riesgo. Además, no lograrán la visibilidad necesaria para gestionar los riesgos y cumplir los requisitos del CMMC.
Cómo ayuda Tanium a cumplir con la normativa CMMC
Las instituciones de educación superior deben disponer de la capacidad necesaria para supervisar e informar sobre el estado de la seguridad de la red casi en tiempo real, de conformidad con los requisitos del CMMC. Tanium ayuda a unificar y no solo a identificar los riesgos y las vulnerabilidades, sino también a priorizarlos en todo el entorno, así como a tomar medidas para responder y subsanarlos casi en tiempo real.
Tanium realiza consultas casi instantáneas del entorno, que incluyen millones de terminales a la vez, y genera paneles de informes casi en tiempo real. Esto le aporta rapidez y visibilidad, lo que le permite resolver problemas, realizar cambios con rapidez y reducir los riesgos. Tanium también permite una supervisión continua del cumplimiento de los parámetros de referencia establecidos, lo que, asimismo, reduce el riesgo.
El cumplimiento de la normativa CMMC es uno de los muchos motivos por los que los CISO no pueden dormir por las noches. En el caso de las universidades de investigación, el incumplimiento de los requisitos del CMMC podría poner en peligro la financiación procedente de subvenciones del Departamento de Defensa. Sin embargo, gracias a las soluciones de gestión de terminales « » de Tanium, los CISO tienen una preocupación menos. Estas soluciones contribuyen a reducir la complejidad, mejorar la eficiencia y salvar las diferencias entre los equipos de operaciones y de seguridad, además de proporcionar a los CISO una plataforma única para comprender su entorno y prepararse para futuras auditorías del CMMC.
Tanium is not a C3PAO assessor – but we provide customers with high-fidelity insight into the cyber hygiene required for CMMC compliance. Entre los ejemplos de áreas de evaluación se incluyen:
Detección de activos y elaboración de informes
Tanium ofrece funciones sólidas de detección de activos y elaboración de informes. Con el auge del IoT y el BYOD, existe el riesgo de que haya (muchos) dispositivos desconocidos en la red. Cuando ejecutamos nuestras herramientas de detección y gestión de activos en el entorno de una organización, a menudo identificamos entre un 12 % y un 20 % adicional de dispositivos desconocidos.
Supervisión integral de amenazas
La gestión y seguridad unificadas de terminales de Tanium ofrecen una supervisión exhaustiva de las amenazas, con un análisis detallado de los incidentes a través de una única plataforma, con el fin de ayudar a identificar, aislar y mitigar las amenazas, así como a verificar cuándo se han solucionado.
Es importante destacar que, dado que Tanium realiza consultas casi instantáneas del entorno de la institución —evaluando y analizando millones de terminales a la vez— y recopila la información en paneles de control de informes de cumplimiento, la universidad cuenta con las mejores posibilidades de evitar la pérdida de propiedad intelectual de gran valor y de información clasificada (CUI/CSI).
Visibilidad, control y cumplimiento normativo: cómo prepararse para el CMMC
Aunque el proceso de auditoría aún se encuentra en fase de definición, es probable que C3PAO auditores comiencen a realizar evaluaciones en instituciones de investigación de gran prestigio, ampliamente conocidas por llevar a cabo investigaciones que dan lugar a CUI o CSI.
A la hora de evaluar el grado de preparación de su institución para la auditoría del CMMC, comience por plantearse las siguientes preguntas:
- ¿Cuántos ordenadores tiene en su red? ¿Y están autorizados a estar allí?
- ¿Qué aplicaciones están instaladas? ¿Y están todos al día?
- ¿Qué están haciendo los usuarios? ¿Y está autorizado?
- ¿En qué medida se siente seguro con respecto a su situación en materia de parches, vulnerabilidades y riesgos?
- ¿Ha sufrido recientemente una filtración de datos o una interrupción del servicio que se hubiera podido evitar?
La certificación CMMC es fundamental para que las instituciones de investigación de educación superior puedan seguir llevando a cabo investigaciones pioneras. Contar con una infraestructura informática central sólida es esencial tanto para proteger los datos confidenciales de investigación como para identificar, prevenir y mitigar los riesgos cibernéticos.
Para obtener más información sobre cómo colabora Tanium con las instituciones de educación superior, le invitamos a visitar , https://www.tanium.com/solutions/higher-education/, y .
