Estados Unidos está reanudando su actividad, pero la situación aún dista mucho de ser «normal». Las administraciones estatales y locales y las organizaciones educativas (SLED) están adaptando sus hábitos de trabajo y su logística para hacer frente al regreso de los empleados a las oficinas y de los alumnos a los centros educativos. Y para ayudar a hacer frente a los recientes retos en materia de operaciones y seguridad, ya está en camino una ayuda en forma de nueva financiación por parte del Gobierno federal.
La Ley del Plan de Rescate Estadounidense « » (se abre en una nueva pestaña), que se promulgó el March 2021, promete a las organizaciones del SLED nuevos fondos federales para sus presupuestos de funcionamiento y nuevas inversiones en ciberseguridad.
Los fondos aún no han llegado, lo que da tiempo a las organizaciones de la SLED para prepararse para su llegada. Ahora es el momento de evaluar las necesidades y capacidades actuales en materia de tecnologías de la información y elaborar planes estratégicos para el futuro.
Mediante la racionalización de las inversiones actuales en tecnologías de la información, la optimización de lo que funciona y la eliminación o mejora de lo que no, las organizaciones del sector SLED pueden prepararse para aprovechar al máximo la financiación de la Ley del Plan de Rescate Estadounidense cuando se reciba a finales de este año.
En una entrada anterior del blog de , (se abre en una nueva pestaña), recomendé que las organizaciones SLED comenzaran por realizar un inventario de los activos de TI actuales, racionalizar el conjunto de herramientas de TI y elaborar un plan para dar soporte a los terminales en un entorno híbrido de teletrabajo (WFH) de forma indefinida.
En esta nueva entrada, abordo otras dos áreas que las organizaciones SLED deberían explorar:
Cumplimiento de los requisitos y la normativa en materia de protección de datos
Para ayudar a cumplir con la normativa gubernamental y seguir las mejores prácticas en materia de tecnologías de la información, las organizaciones de SLED deben proteger los datos confidenciales que recopilan, almacenan y gestionan. Asimismo, deben familiarizarse con un número cada vez mayor de normativas federales en materia de protección de datos y, posiblemente, cumplir con ellas, tales como PCI, HIPAA (se abre en una nueva pestaña), NIST 800-171 (se abre en una nueva pestaña) y IRS 1075 (se abre en una nueva pestaña). Además, muchos estados están aprobando sus propias leyes de protección de datos, similares al Reglamento General de Protección de Datos (RGPD) de la Unión Europea. Además, deben implantar medidas de protección de datos para poder ganarse y mantener la confianza de sus ciudadanos.
Abordar las amenazas a la ciberseguridad y reforzar las defensas informáticas
Las amenazas cibernéticas están aumentando en variedad, gravedad y sofisticación. Los objetivos se han ampliado, pasando de las redes corporativas a las infraestructuras nacionales. En parte, esto se debe a que entre los autores de las amenazas actuales se encuentran Estados y organizaciones criminales, todos ellos con abundantes recursos económicos, herramientas y paciencia. Por otra parte, las organizaciones del sector SLED están más expuestas que nunca debido a que sus empleados trabajan a distancia, fuera de la protección que ofrecen los perímetros de seguridad tradicionales.
Las organizaciones de la SLED deberían dedicar tiempo ahora a evaluar sus herramientas y prácticas de TI en materia de privacidad de datos y ciberseguridad. No tiene sentido invertir nuevos fondos federales en tecnologías y prácticas obsoletas que no funcionan como deberían. En su lugar, deshágase de lo antiguo, optimice lo que vaya a conservar y siente las bases para cualquier nueva inversión que identifique.
A continuación le ofrecemos algunas recomendaciones para evaluar las capacidades de su departamento de TI en materia de protección de datos, cumplimiento normativo y ciberseguridad.
Organizaciones SLED, protección de datos y cumplimiento normativo
La protección de datos es importante no solo para cumplir los objetivos del Plan de Rescate Estadounidense de reforzar la ciberseguridad, sino también para ganarse la confianza de los ciudadanos.
Demostrar que se toma en serio la protección de datos infunde a los clientes la confianza necesaria para confiar en los servicios digitales que ofrece.
A continuación le ofrecemos algunas preguntas que debe plantearse a la hora de evaluar los puntos fuertes y débiles de su organización en materia de protección de datos y cumplimiento normativo:
- ¿Cómo evalúa su organización actualmente los riesgos relacionados con la privacidad de los datos?
- ¿Ha identificado su equipo de TI todos los tipos de datos que requieren protección?
- En tal caso, ¿ha identificado su equipo de TI todos los repositorios de datos y aplicaciones en los que podrían encontrarse dichos datos?
- ¿Puede realizar un seguimiento sistemático de los derechos de acceso de los usuarios en todos los dispositivos y servicios, de modo que pueda limitar el acceso a los datos confidenciales únicamente a los usuarios autorizados?
- ¿Cómo se mide el cumplimiento normativo?
- ¿Cómo garantiza su organización el cumplimiento de todas las normativas y políticas pertinentes?
- ¿Realiza su organización auditorías periódicas sobre el cumplimiento normativo?
- ¿Es capaz su equipo de TI de elaborar informes exhaustivos sobre el cumplimiento normativo sin tener que recurrir a procesos manuales, hojas de cálculo ni conjeturas?
- En tal caso, ¿se comparten dichos informes con los directivos y con el equipo de seguridad informática?
- Cuando surgen riesgos, ¿es capaz de abordarlos con rapidez?
- Si un ataque a la seguridad pusiera en peligro la privacidad o la integridad de los datos de su organización, ¿con qué rapidez podría poner en cuarentena los terminales afectados y mitigar el ataque?
Responda a estas preguntas y, a continuación, determine qué cambios debería introducir para mejorar las medidas de protección de la privacidad de los datos de su organización. Por ejemplo, ¿necesita mejorar la visibilidad de los dispositivos de los empleados? ¿Mejorar la formación de los empleados sobre las mejores prácticas y las amenazas a la seguridad? ¿Supervisar más de cerca la actividad de los empleados para detectar posibles incumplimientos normativos?
Determine qué aspectos puede modificar y optimizar ahora mismo para cumplir con los requisitos de protección de datos y preservar la reputación de su organización como garante de confianza de los datos confidenciales.
Organizaciones de SLED y ciberseguridad
La ciberseguridad es uno de los ejes fundamentales del Plan de Rescate Estadounidense. En cuanto las organizaciones pasaron a un modelo de trabajo a distancia, aumentaron las amenazas cibernéticas. En una encuesta de « 2020 » (se abre en una nueva pestaña), el 63 % de los directores de seguridad de la información (CISO) señalaron un aumento de los ataques.
Al mismo tiempo, el 58 % manifestó su preocupación por el hecho de que los empleados que teletrabajan no cumplieran las directrices de seguridad, y el 36 % señaló una falta de visibilidad sobre los activos informáticos, como los dispositivos de los empleados.
Sin una visión clara de los dispositivos de los empleados, los equipos de TI no pueden detectar las amenazas ni mitigarlas.
Responda a estas preguntas para evaluar los puntos fuertes y débiles de su organización en materia de seguridad informática:
- ¿Dispone de una visibilidad completa de sus terminales, incluidos los dispositivos que utilizan los empleados que teletrabajan?
- ¿Dispone de información sobre las aplicaciones y los servicios a los que se conectan esos terminales en la nube?
- ¿Pueden recopilar datos de los terminales en tiempo real? De no ser así, ¿hasta qué punto están actualizados sus datos? ¿Se recoge una vez al día? ¿Una vez a la semana? Si recopila datos de los terminales solo una vez a la semana, ¿está dispuesto a asumir los riesgos de ciberseguridad que conlleva disponer de datos sobre amenazas de seguridad con una semana de antigüedad?
- ¿Sus prácticas de seguridad informática dependen de que los dispositivos finales se conecten a través de una red de área local (LAN) o de una red privada virtual (VPN)? ¿O pueden funcionar con la plantilla que trabaja a distancia en la actualidad, que rara vez utiliza redes LAN ni VPN?
- Cuando se producen incidentes de seguridad, ¿es capaz de reaccionar con rapidez y detener las amenazas antes de que se propaguen a otros dispositivos finales?
- ¿Pueden analizar automáticamente los dispositivos que utilizan los empleados, identificar vulnerabilidades y aplicar parches a dichos dispositivos para eliminarlas?
- ¿De qué medios dispone su organización para detectar y eliminar ataques que puedan haber estado activos durante 90 días o más?
Responda a estas preguntas para identificar las deficiencias de sus prácticas o herramientas actuales en materia de seguridad informática. A continuación, determine qué es lo que, en su caso, debe sustituirse, añadirse u optimizarse.
Por ejemplo:
- ¿Necesita revisar las políticas y los procesos ahora que cuenta con una plantilla que trabaja desde casa de forma habitual?
- ¿Dispone de las herramientas y los procedimientos necesarios para cumplir con la normativa gubernamental más reciente?
- Si mantiene su conjunto actual de herramientas de seguridad informática, ¿podría ampliarlo fácilmente con otras herramientas para reforzar y optimizar su seguridad general?
Reevalúe y optimice ahora mismo sus prácticas de seguridad informática y protección de datos para que, cuando lleguen los nuevos fondos federales, pueda destinarlos de forma productiva y esté preparado para el futuro.
Obtenga más información sobre las soluciones de Tanium para organizaciones del sector público (SLED) (se abre en una nueva pestaña).
Póngase al día con las entradas anteriores de esta serie:
