Estrategia Cibernética del DoD Enfatiza Aliados, Tecnología y Resiliencia
El Departamento de Defensa de EE. UU. (DoD) publicó recientemente su Estrategia Cibernética 2023, que resume las opiniones del departamento sobre las amenazas actuales y en evolución y la minimización de riesgos frente a esas amenazas.
En este artículo, proporcionamos un resumen de la estrategia del DoD y lo que significa para los contratistas y subcontratistas de defensa en la Base Industrial de Defensa (DIB) que inevitablemente deben alinearse y, en última instancia, apoyar la misión del DoD.
Estrategia Cibernética del DoD: Una Visión General
La Estrategia Cibernética 2023 del Departamento de Defensa tiene como objetivo defender la nación, prepararse para luchar y ganar guerras, proteger el dominio cibernético con aliados y construir ventajas duraderas en el ciberespacio. Se basa en lecciones de conflictos recientes que muestran que las capacidades cibernéticas son más efectivas cuando se integran con otras herramientas. Las principales amenazas son China y Rusia utilizando medios cibernéticos contra la infraestructura crítica y las redes militares de EE. UU.
La estrategia tiene cuatro líneas de esfuerzo. Primero, defender hacia adelante interrumpiendo las capacidades cibernéticas de los adversarios antes de que puedan afectar a EE. UU. Trabajar con agencias para defender la infraestructura crítica y contrarrestar amenazas a la preparación militar.
Segundo, asegurar la ciberseguridad de las redes del DoD y la ciberresiliencia de la fuerza conjunta para luchar en el ciberespacio disputado. Utilizar capacidades cibernéticas únicas para generar ventajas asimétricas.
Tercero, construir la capacidad cibernética de aliados y socios. Realizar operaciones colaborativas de búsqueda hacia adelante para iluminar amenazas. Fomentar un comportamiento estatal responsable en el ciberespacio.
Cuarto, perseguir reformas para construir ventajas duraderas como optimizar la organización, capacitación y equipamiento de las fuerzas cibernéticas. Asegurar un apoyo de inteligencia oportuno. Fomentar una cultura de conciencia cibernética a través de la capacitación y educación en todo el DoD.
En última instancia, las amenazas cibernéticas requieren que el DoD, los servicios y las agencias integren rápidamente las capacidades cibernéticas a lo largo del espectro de conflictos. La estrategia cibernética del DoD tiene como objetivo defender la nación, luchar y ganar guerras, proteger a los aliados y mantener ventajas en el ciberespacio a través de operaciones cibernéticas estratégicas y colaboración de todo el gobierno.
Un Ciberespacio Disputado
El DoD reconoce el ciberespacio como un dominio disputado con amenazas de actores estatales y no estatales que buscan ventajas asimétricas contra EE. UU. El DoD considera a China, Rusia, Corea del Norte, Irán y organizaciones extremistas violentas como los principales adversarios de la nación.
China ve las capacidades cibernéticas como fundamentales para lograr el estatus de potencia global y erosionar la superioridad militar de EE. UU. Estos adversarios roban propiedad intelectual como secretos tecnológicos, atacan la infraestructura crítica de EE. UU. y realizan intrusiones contra ciudadanos estadounidenses en el extranjero.
Por ejemplo, las teorías de victoria de China en la guerra dependen del uso de medios cibernéticos para degradar la fuerza conjunta y lanzar ataques destructivos contra el territorio nacional.
Rusia sigue siendo una amenaza cibernética aguda, empleando capacidades contra Ucrania para interrumpir la logística, la infraestructura y la voluntad política. Rusia está preparada para realizar ciberataques similares en EE. UU. y aliados en situaciones de crisis.
Corea del Norte, Irán y organizaciones extremistas violentas demuestran capacidades cibernéticas variadas. Corea del Norte se centra en objetivos de espionaje y criminales. Irán utiliza el ciberespacio para espionaje, interferencia y represalias. Los grupos extremistas tienen capacidades cibernéticas limitadas más allá de la explotación de redes sociales.
Grupos criminales transnacionales como bandas de ransomware y mercenarios cibernéticos también amenazan los intereses de EE. UU. por lucro. A menudo se alinean con estados nacionales, atacando infraestructura crítica y funciones gubernamentales. Los estados proporcionan refugio seguro para los ciberdelincuentes, causando pérdidas de miles de millones y perturbando servicios críticos.
Estos adversarios comparten un objetivo común: buscan ventajas asimétricas y perciben las capacidades cibernéticas como fundamentales para lograr sus objetivos contra el ejército de EE. UU. y el territorio nacional. La estrategia cibernética del DoD tiene como objetivo defender hacia adelante contra esta diversa gama de amenazas a través de la disuasión integrada y la colaboración de todo el gobierno. Gestionar el riesgo y construir redes e infraestructuras resilientes serán críticos en este dominio disputado.
Defender la Nación
Defender el territorio nacional es la primera prioridad del DoD. La estrategia cibernética del departamento tiene como objetivo identificar y minimizar las amenazas cibernéticas antes de que puedan dañar a Estados Unidos. Esto implicará generar conocimientos sobre las capacidades e intenciones de los adversarios, luego interrumpir sus actividades y degradar sus ecosistemas.
El DoD se involucrará persistentemente con los adversarios en el ciberespacio para rastrear su organización, capacidades e intenciones desde el principio. Estos conocimientos mejorarán la ciberresiliencia nacional y se compartirán con socios interinstitucionales.
El Comando Cibernético de EE. UU. continuará defendiendo hacia adelante mediante la realización de operaciones que interrumpan a los adversarios y degraden su infraestructura cibernética. Las lecciones de operaciones recientes informan capacidades y gestión de riesgos. Las operaciones complementarán los esfuerzos de todo el gobierno para reducir la utilidad de los ciberataques.
La Guardia Nacional facilitará asociaciones entre entidades federales y estatales/locales para apoyar la defensa cibernética. La coordinación en todo el gobierno mejorará para comunicar prioridades claramente.
Proteger la Base Industrial de Defensa (DIB) es crítico, ya que desarrolla tecnologías vitales. Los adversarios rutinariamente apuntan al DIB, imponiendo costos de oportunidad y aumentando los gastos de adquisición del gobierno.
Para asegurar la seguridad del DIB, el Departamento convocará asociaciones público-privadas para el intercambio rápido de información y análisis. Un enfoque integral identificará, protegerá, detectará, responderá y recuperará de ataques a elementos críticos del DIB.
Los contratos del DIB alinearán incentivos con requisitos cibernéticos, incluida la certificación de cumplimiento para contratos prioritarios. Esfuerzos adicionales aumentarán la defensa activa y la protección de datos para socios pequeños/medianos del DIB.
En resumen, defender hacia adelante a través del compromiso persistente, esfuerzos coordinados, asociaciones público-privadas e incentivos alineados interrumpirá las actividades cibernéticas de los adversarios que apuntan al territorio nacional y al DIB. Generar conocimientos y comunicar prioridades en todo el gobierno son clave.
Prepararse para Luchar y Ganar las Guerras de la Nación
La estrategia cibernética del DoD tiene como objetivo utilizar operaciones en el ciberespacio para habilitar y empoderar a la fuerza conjunta. Esto se logrará a través de campañas persistentes, defensa/resiliencia cibernética y apoyo a planes y operaciones.
Las campañas en el ciberespacio avanzarán los objetivos de la fuerza conjunta, reforzarán la disuasión y lograrán ventajas informativas y militares. Los adversarios dudarán de la eficacia de las capacidades y creerán que no pueden apuntar coercitivamente a EE. UU. sin atribución. Las opciones ofensivas y defensivas apoyarán la preparación de la fuerza conjunta a lo largo del espectro de conflictos.
Defender la Red de Información del Departamento de Defensa (DODIN) asegurará la resiliencia contra la actividad cibernética maliciosa y la preparación para operar en el ciberespacio disputado. Las vulnerabilidades se abordarán a través de arquitecturas de confianza cero, actualizaciones criptográficas e integración de visibilidad y operaciones de elementos de misión relevantes. La inteligencia, adquisición, sostenimiento y otras funciones adaptarán rápidamente el DODIN para contrarrestar amenazas.
Mejorar la resiliencia cibernética de la fuerza conjunta priorizará capacidades que apoyen la garantía de la misión. La fuerza se entrenará para operar a través de la degradación de redes y plataformas.
Las operaciones en el ciberespacio continuarán integrándose en la planificación de campañas y contingencias como parte de la disuasión integrada. Los enfoques desarrollarán opciones asimétricas utilizando características únicas del ciberespacio para cumplir con los requisitos de la fuerza conjunta. Esto incluye perseguir efectos multidominio en operaciones de combate a gran escala.
En total, la estrategia empoderará a la fuerza conjunta a través de campañas cibernéticas persistentes, redes resilientes, planificación integrada y opciones asimétricas. Reforzar la defensa cibernética, abordar vulnerabilidades y adaptar el DODIN contrarrestará amenazas. Priorizar la garantía de la misión construirá resiliencia. La integración del ciberespacio en los planes apoyará la disuasión y las ventajas de la fuerza conjunta.
Proteger el Dominio Cibernético con Aliados y Socios
Construir la capacidad y capacidad cibernética de aliados y socios es una prioridad del DoD. Sus capacidades se combinan con las de EE. UU. para permitir el intercambio de información, la interoperabilidad y la seguridad colectiva. Sin embargo, las redes compartidas también introducen riesgos de compromiso. Los esfuerzos aumentarán la efectividad de los aliados en el ciberespacio para proteger el internet abierto y a EE. UU.
Para algunos socios, el enfoque será construir capacidad ampliando el acceso a la infraestructura y madurando la fuerza laboral cibernética a través de capacitación y ejercicios. Para otros, el desarrollo de capacidades permitirá nuevas funciones que los socios necesitan pero carecen. Las relaciones con los principales socios cibernéticos se mejorarán a nivel estratégico, operativo y táctico.
Se abordarán las barreras institucionales para la cooperación y se aprovecharán las herramientas de cooperación en seguridad para avanzar en las prioridades. El intercambio oportuno de información impulsará operaciones combinadas y seguridad colectiva. Se compartirán mejores prácticas sobre vulnerabilidades, fuerza laboral y planificación. Se responderá a solicitudes de asistencia en ciberseguridad.
Las operaciones de búsqueda hacia adelante realizadas por el Comando Cibernético de EE. UU. han identificado vulnerabilidades de red y mejorado el intercambio con socios como Ucrania. Estos esfuerzos continuarán iluminando acciones de adversarios, reforzando la seguridad colectiva y construyendo relaciones.
Reforzar normas responsables de comportamiento en el ciberespacio intensificará el escrutinio de actores maliciosos y restringirá a los adversarios. Apoyar los esfuerzos de normas cibernéticas del Departamento de Estado de EE. UU., exponer el mal comportamiento y coordinar globalmente avanzará este objetivo.
Esencialmente, construir la capacidad cibernética de los socios, madurar capacidades, mejorar la cooperación, realizar operaciones de búsqueda y promover normas responsables fortalecerá el dominio cibernético. Los esfuerzos colaborativos para iluminar amenazas y restringir adversarios también avanzarán la seguridad de EE. UU.
Construyendo Ventajas Duraderas en el Ciberespacio
Desarrollar la fuerza laboral cibernética es lo más importante para construir ventajas. Las reformas mejorarán la retención y utilización de operadores cibernéticos. Se evaluarán alternativas para dimensionar, estructurar, organizar y capacitar. Se identificará talento de defensa, TI comercial, academia, inteligencia y militar, y se asegurarán incentivos de contratación/retención. Los programas rotativos y del sector privado proporcionarán acceso a habilidades.
Se empoderará a los servicios para permitir una gestión efectiva del talento y la progresión profesional a través de giras extendidas, rotaciones en áreas de misión y modelos de progresión que recompensen el desarrollo de habilidades. Se explorará el uso de componentes de reserva para compartir talento.
El apoyo de inteligencia para operaciones cibernéticas se priorizará a través de reformas que aborden necesidades, barreras de intercambio de información y actividades habilitadoras consistentes con leyes y políticas.
Se desarrollarán e implementarán nuevas capacidades cibernéticas, priorizando tecnologías que confundan a los adversarios y prevengan sus objetivos. Estas incluyen arquitecturas de confianza cero, monitoreo de endpoints, recopilación/análisis de datos, automatización/restauración/engaño de redes. La alineación con la estrategia cibernética general guiará el desarrollo tecnológico. Los principios de inteligencia artificial responsable darán forma a las capacidades.
Fomentar una cultura de conciencia cibernética en todo el departamento es crucial dado los riesgos para redes, infraestructura y personal. Se establecerá una cultura de ciberseguridad. Se esperará una fluidez cibernética básica de los líderes. Se desarrollarán planes de estudio técnicos para la educación militar y civil profesional. La educación cibernética se integrará a través de rangos, fuentes y programas de capacitación.
Construir ventajas duraderas requiere en última instancia inversión en la fuerza laboral, apoyo de inteligencia, nuevas capacidades y conciencia generalizada. La retención, capacitación, desarrollo tecnológico, educación y fluidez en liderazgo permitirán operaciones a largo plazo. La gestión del talento y los esfuerzos coordinados son, por lo tanto, clave para que el DoD tenga éxito en su misión.
Conclusión: Asegurar los Sistemas y Datos de la Nación Requiere Vigilancia Operativa y Tecnológica
Los aliados y socios son críticos para reforzar las capacidades cibernéticas y fomentar normas responsables en el ciberespacio. Su fuerza combinada crea ventajas para la defensa colectiva. Pero los sistemas compartidos también crean riesgos de compromiso que deben abordarse a través de la cooperación.
Como socios clave, los contratistas y subcontratistas del DoD deben apoyar los imperativos de ciberseguridad del DoD asegurando el manejo seguro de la información controlada federada (FCI) y la información no clasificada controlada (CUI). Obtener la Certificación del Modelo de Madurez de Ciberseguridad (CMMC) permitirá a las empresas compartir datos sensibles con confianza.
Invertir en la certificación CMMC ahora rendirá dividendos a largo plazo al prevenir brechas y robos de información vital de defensa.
La ciberresiliencia es una piedra angular de la estrategia cibernética del DoD. Los contratistas y subcontratistas de defensa en el DIB deben, por lo tanto, asegurar que sus sistemas estén configurados para desviar ataques. Implementar autenticación multifactor, monitoreo 24/7, controles de acceso fuertes y cifrado de datos son características de una postura de ciberseguridad madura. Promover una cultura de conciencia cibernética en toda su fuerza laboral también es crítico.
Adoptar arquitecturas de confianza cero que verifiquen a todos los usuarios y dispositivos antes de otorgar el acceso mínimo requerido mejorará en gran medida la seguridad de los datos. La transición a la nube también permite análisis avanzados, detección de amenazas y capacidades de prevención para mantenerse a la vanguardia de las amenazas emergentes.
Aprovechar los servicios de ciberseguridad compartidos ofrecidos por el DoD proporciona opciones económicas para que los contratistas refuercen sus defensas. La participación activa en el Programa de Ciberseguridad de la Base Industrial de Defensa brinda acceso al intercambio bidireccional de indicadores y mejores prácticas.
La Estrategia Cibernética también prioriza el desarrollo de nuevas tecnologías y capacidades. Los contratistas son socios valiosos en la innovación de soluciones como la orquestación de seguridad automatizada, la gestión inteligente de endpoints y las técnicas avanzadas de engaño. Llevar la innovación comercial a la mesa es una situación en la que todos ganan.
Kiteworks Ayuda a los Contratistas y Subcontratistas del DoD a Lograr el Cumplimiento de CMMC 2.0
Con amenazas persistentes avanzadas de China, Rusia y otros lugares que apuntan a datos sensibles, los contratistas deben trabajar de la mano con el DoD para frustrar el acceso no autorizado, uso, divulgación, interrupción, modificación, inspección, grabación o destrucción de información.
El mensaje es claro: la ciberseguridad de los contratistas es integral para el éxito de la estrategia cibernética del DoD. La certificación CMMC y una mentalidad de asociación colaborativa son cruciales para asegurar la información y tecnologías controladas críticas para la defensa. Los contratistas deben estar a la altura de las circunstancias. Nuestra seguridad nacional depende de ello.
La Red de Contenido Privado de Kiteworks, una plataforma de uso compartido seguro de archivos y transferencia de archivos validada a nivel FIPS 140-2, consolida correo electrónico, uso compartido de archivos, formularios web, SFTP y transferencia de archivos administrada, para que las organizaciones controlen, protejan y rastrean cada archivo a medida que entra y sale de la organización.
Kiteworks soporta casi el 90% de los requisitos de CMMC 2.0 Nivel 2 de inmediato. Como resultado, los contratistas y subcontratistas del DoD pueden acelerar su proceso de acreditación CMMC 2.0 Nivel 2 asegurándose de tener la plataforma adecuada de comunicaciones de contenido sensible en su lugar.
Con Kiteworks, los contratistas y subcontratistas del DoD unifican sus comunicaciones de contenido sensible en una Red de Contenido Privado dedicada, aprovechando controles de políticas automatizados y protocolos de seguimiento y ciberseguridad que se alinean con las prácticas de CMMC 2.0.
Kiteworks permite un cumplimiento rápido de CMMC 2.0 con capacidades y características clave que incluyen:
- Certificación con estándares y requisitos clave de cumplimiento del gobierno de EE. UU., incluyendo SSAE-16/SOC 2, NIST SP 800-171 y NIST SP 800-172
- Validación de Nivel 1 FIPS 140-2
- Autorizado por FedRAMP para Nivel de Impacto Moderado CUI
- Cifrado AES-256-bit para datos en reposo, TLS 1.2 para datos en tránsito y propiedad exclusiva de la clave de cifrado
Las opciones de implementación de Kiteworks incluyen en las instalaciones, alojado, privado, híbrido y nube privada virtual FedRAMP. Con Kiteworks: controla el acceso a contenido sensible; protégelo cuando se comparte externamente usando cifrado automatizado de extremo a extremo, autenticación multifactor e integraciones de infraestructura de seguridad; ve, rastrea e informa toda la actividad de archivos, es decir, quién envía qué a quién, cuándo y cómo. Finalmente, demuestra cumplimiento con regulaciones y estándares como GDPR, HIPAA, CMMC, Cyber Essentials Plus, IRAP, y muchos más.
Para obtener más información sobre Kiteworks, programa una demostración personalizada hoy.
Recursos Adicionales
- Artículo del Blog Elegir Qué Nivel de CMMC es el Adecuado para tu Negocio
- Video Únete al Servidor de Discord de Kiteworks y Conéctate con Profesionales Afines para Soporte de Cumplimiento de CMMC 2.0
- Artículo del Blog Una Hoja de Ruta para el Cumplimiento de CMMC 2.0 para Contratistas del DoD
- Guía Mapeo de Cumplimiento de CMMC 2.0 para Comunicaciones de Contenido Sensible
- Artículo del Blog 12 Cosas que los Proveedores de la Base Industrial de Defensa Necesitan Saber al Prepararse para el Cumplimiento de CMMC 2.0