Cumplimiento de la DEFCON 658

Resumen

La DEFCON 658 es un protocolo de contratación sobre ciberseguridad. Exige que todos los proveedores del Ministerio de Defensa del Reino Unido que se presenten para nuevos contratos que necesiten la transferencia de MODII cumplan con la DEFCON 658 y respeten las normas establecidas en DEFSTAN 05-138. En particular, la adhesión a la DEFCON 658 abarca todas las cadenas de suministro (subcontratistas) de los mismos proveedores.

Incumplimiento

La DEFCON 658 aplica a todos los proveedores a lo largo de la cadena de suministro del MOD cuando se involucra la MODII, y las organizaciones que no cumplan sus requisitos no podrán celebrar contratos con el MOD.

Resumen del cumplimiento

La norma de Defensa DEF STAN 05-138, que detalla las medidas que deben alcanzar los proveedores de defensa en cada uno de los cinco niveles de riesgo de ciberseguridad que puede implicar un contrato, incluye varios controles relativos a la protección de información confidencial, según se describe a continuación.

Thales brinda soluciones de seguridad de datos que ayudan a abordar estos controles, según lo indicado. Es necesario notar que si bien los controles se definen sobre la base de los riesgos asociados con el contrato (bajo, mediano o alto), las soluciones de Thales son aplicables simultáneamente a controles similares y, por lo tanto, se agrupan a continuación.

Medidas de control

L.07 Definir e implementar una política para controlar el acceso a información y a instalaciones de procesamiento de información.
M.06 Verificar que la organización haya identificado a los propietarios de los activos y que los propietarios de los activos controlen el acceso a sus activos.
L.12 Definir e implementar una política para gestionar los derechos de acceso de las cuentas de usuarios.

Soluciones de Thales

Thales cuenta con un amplio conjunto de soluciones que pueden ayudar a las organizaciones a prepararse para la DEFCON 658 y a cumplir con ella en todas las áreas donde los datos necesitan protección –en reposo, en movimiento y en uso– lo cual incluye:

• Descubrimiento y clasificación de datos confidenciales
• Gestión de acceso y autenticación
• Cifrado de datos en reposo y de datos en movimiento
• Protección certificada de claves de cifrado
• Tokenization con enmascaramiento dinámico

Descubrimiento y clasificación de datos confidenciales

El primer paso en la protección de datos confidenciales es hallar los datos donde sea que se encuentren en la organización, clasificarlos como confidenciales y tipificarlos (por ej., datos de identificación personal o PII, por sus siglas en inglés; financieros; PI; IHH; confidencialidad del cliente, etc.), para poder aplicar las técnicas de protección de datos más adecuadas. También es importante monitorear y evaluar los datos regularmente para asegurarse de no omitir datos nuevos y de que su organización no caiga en incumplimiento.

CipherTrust Data Discovery and Classification de Thales identifica eficazmente los datos confidenciales estructurados y no estructurados en las instalaciones y en la nube. La solución es compatible con modelos de implementación sin agentes y con agentes, y proporciona plantillas integradas que permiten la rápida identificación de datos regulados, resaltan riesgos de seguridad y le ayudan a desvelar deficiencias de cumplimiento. Un flujo de trabajo optimizado expone puntos ciegos de seguridad y reduce el tiempo de corrección. Los informes detallados son compatibles con los programas de cumplimiento y facilitan la comunicación ejecutiva.

Protección de datos confidenciales en reposo

Separación de usuarios con privilegios y datos confidenciales de los usuarios

Con CipherTrust Data Security Platform, los administradores pueden crear una separación fuerte de tareas entre administradores con privilegios y propietarios de datos. CipherTrust Transparent Encryption cifra archivos y deja sus metadatos sin cifrar al mismo tiempo. De esta forma, los administradores de TI, que incluyen hipervisor, administradores de red, nube y almacenamiento, pueden llevar a cabo tareas de administración de sistemas sin tener que obtener acceso privilegiado a los datos confidenciales que residen en los sistemas que administran.

Separación de tareas administrativas

Se puede aplicar una separación robusta de políticas de tareas para garantizar que un administrador no tenga control completo de los datos sobre actividades de seguridad, claves de cifrado o administración. Además, CipherTrust Manager es compatible con la autenticación de dos factores para acceso administrativo.

Controles de acceso granular privilegiado

CipherTrust Data Security Platform puede aplicar políticas de gestión de acceso muy granulares para usuarios menos privilegiados que impidan el mal uso en la protección de datos de parte de usuarios con acceso a información privilegiada y ataques de APT. Las políticas de gestión de usuarios con acceso a información privilegiada se pueden aplicar por usuario, proceso, tipo de archivo, hora y otros parámetros. Las opciones de aplicación pueden controlar no solo el permiso para acceder a datos en formato de texto común, sino además qué comandos del sistema están disponibles para un usuario.

Gestión de accesos y autenticación robustas

Las soluciones de autenticación y administración de acceso de Thales brindan los mecanismos de seguridad y las capacidades de generación de informes que necesitan las organizaciones para cumplir con las regulaciones en materia de seguridad de datos. Nuestras soluciones protegen los datos confidenciales mediante la aplicación de los controles de acceso adecuados cuando los usuarios inician sesión en aplicaciones que almacenan datos confidenciales. Al admitir una amplia gama de métodos de autenticación y acceso basado en roles impulsado por políticas, nuestras soluciones ayudan a las empresas a mitigar el riesgo de brechas de datos debido a credenciales comprometidas o robadas, o mediante el abuso de credenciales internas.

La compatibilidad con el inicio de sesión único inteligente y la autenticación intensificada permiten a las organizaciones optimizar la comodidad para los usuarios finales, garantizando que solo tengan que autenticarse cuando sea necesario. Los informes extensos permiten a las empresas producir un registro de auditoría detallado de todos los eventos de acceso y autenticación, lo que garantiza que puedan demostrar el cumplimiento de una amplia gama de regulaciones.

Medidas de control

L.10 Definir e implementar una política de seguridad de la información, y los procesos y procedimientos relacionados.
M.04 Definir e implementar una política para almacenar, acceder y gestionar la información confidencial de modo seguro.

Soluciones de Thales

Políticas de seguridad detalladas. CipherTrust Data Security Platform proporciona controles centralizados que permiten la gestión consistente y repetible del cifrado, las políticas de acceso y la inteligencia de seguridad para todos sus datos estructurados y no estructurados. Está disponible como FIPS 140-2 y dispositivos físicos y virtuales certificados por Common Criteria.

Extensibilidad. CipherTrust Data Security Platform fue desarrollada en una infraestructura extensible y sus componentes se pueden desplegar individualmente ofreciendo al mismo tiempo una administración de claves y políticas eficiente y centralizada.

Seguridad robusta para datos confidenciales. Thales ayuda a proteger los datos confidenciales mediante CipherTrust Transparent Encryption con Administración de claves integrada para datos en reposo, Protección de datos de aplicaciones y Tokenization con enmascaramiento dinámico. Estas técnicas hacen que los datos se vuelvan insignificantes e inservibles sin las herramientas para descifrarlos.

Medidas de control

L.16 Definir e implementar una política de gestión de incidentes, la cual debe incluir detección, resolución y recuperación.

Soluciones de Thales

Inteligencia de seguridad. CipherTrust Data Security Platform proporciona registros de Inteligencia de seguridad que especifican qué procesos y usuarios han accedido a los datos protegidos, de acuerdo con qué políticas, y si los accesos requeridos fueron otorgados o denegados. Los registros de gestión indicarán incluso cuando un usuario con acceso a información privilegiada envía un comando como "cambiar de usuario" para tratar de imitar y potencialmente explotar las credenciales de otro usuario. Compartir estos registros con una plataforma de información de seguridad y gestión de eventos (SIEM), le ayuda a descubrir patrones anómalos en procesos y accesos de usuarios, lo que puede dar lugar a una investigación posterior. Por ejemplo, un administrador o proceso puede acceder a volúmenes de datos más grandes de lo normal en forma repentina o intentar hacer una descarga de archivos no autorizada. Estos eventos pueden apuntar a un ataque de ATP anterior o a actividades internas malintencionadas.

Medidas de control

M.16 Definir e implementar una política para asegurar los activos organizacionales cuando los individuos dejan de ser empleados de su organización.

Soluciones de Thales

Controles de acceso privilegiado y registros de inteligencia. Las políticas de gestión de acceso granular de CipherTrust Data Security Platform se pueden aplicar por usuario y se puede revocar el acceso de aquellas personas que ya no forman parte de la organización. Cualquier intento denegado de acceder a datos confidenciales será capturado por los registros de Inteligencia de Seguridad de CipherTrust.