Qué requieren realmente los pasos de aislamiento de CI Fortify de sus datos

La nueva iniciativa CI Fortify de CISA, desarrollada conjuntamente con la Dirección de Señales de Australia, el NCSC del Reino Unido y el Centro Cibernético de Canadá, plantea a los operadores de infraestructuras críticas una pregunta que la mayoría nunca ha tenido que responder bajo una presión real: si tuvieran que cortar la conexión con sus proveedores de servicios en la nube, proveedores de telecomunicaciones y redes de terceros mañana mismo, y mantener los servicios esenciales funcionando de esa manera durante semanas o meses, ¿podrían hacerlo?

La guía considera esto como la base de planificación, no como un caso excepcional. Se indica a los operadores que asuman que las conexiones de terceros pueden volverse inestables en un escenario de conflicto y que los adversarios podrían estar ya presentes en las redes OT. Dos capacidades son fundamentales para la respuesta: el aislamiento y la recuperación.

El proceso de aislamiento consta de seis pasos. Identificar los sistemas mínimos necesarios para prestar un servicio crítico. Mapear todas las conexiones de esos sistemas con el mundo exterior. Clasificar los sistemas según su criticidad y nivel de confianza. Establecer puntos de separación y aislamiento. Crear y probar un plan de aislamiento gradual. Recuperar cualquier información que un adversario haya comprometido antes de que dicho plan se utilice en la práctica.

Este es un marco sólido para que los ingenieros de OT piensen en la topología de red. Sin embargo, no dice casi nada sobre los datos que se encuentran dentro de los sistemas que rodean a OT, las aplicaciones corporativas, las plataformas en la nube y las herramientas conectadas de proveedores que contienen los datos confidenciales y operativos que una organización realmente necesita durante y después del aislamiento. Ahí es donde BigID realmente marca la diferencia.

El mapa de datos que CI Fortify asume que ya existe

Cada paso en el proceso de aislamiento depende de que la organización ya sepa dónde residen sus datos críticos, quién y qué puede acceder a ellos y por qué sistemas fluyen. Las propias directrices de CISA exigen documentar cada conexión entre sistemas vitales y redes corporativas, herramientas de acceso remoto, entornos en la nube, proveedores y contratistas. En resumen, se trata de un ejercicio de mapeo de datos con la etiqueta de ingeniería de redes. Muchas organizaciones pueden generar un diagrama de red, pero son muchas menos las que pueden crear un mapa preciso y actualizado de la ubicación real de los datos sensibles y operativos, especialmente después de años de proliferación de SaaS, almacenamiento en la nube no oficial e integraciones con proveedores que nadie inventarió por completo.

Dónde encaja BigID en cada uno de los seis pasos

Identificar los sistemas mínimos para un servicio crítico. BigID descubre y clasifica datos de fuentes estructuradas y no estructuradas, tanto en la nube como en las instalaciones, para que una organización pueda ver qué sistemas realmente contienen los datos que respaldan un servicio crítico, en lugar de depender de un diagrama de arquitectura que ya tiene tres reorganizaciones desactualizadas.

Mapea todas las conexiones con el mundo exterior. El mapeo de datos muestra por dónde se mueven realmente los datos, incluyendo los flujos hacia proveedores externos, herramientas SaaS y plataformas en la nube. El requisito de mapeo de conexiones de CI Fortify deja de ser una auditoría manual y se convierte en algo que una organización puede consultar bajo demanda y mantener actualizado.

Clasifique los sistemas según su criticidad y nivel de confianza. La clasificación de sensibilidad proporciona a una organización la base real para los niveles de criticidad de CI Fortify. Un sistema que contiene datos de clientes regulados obtiene una prioridad de aislamiento diferente a la de uno que contiene material de marketing, y esa distinción solo tiene sentido si los datos subyacentes han sido clasificados previamente.

Construir puntos de separación y aislamiento. La inteligencia de acceso muestra quién y qué tiene acceso permanente a datos confidenciales, incluidos proveedores, herramientas de acceso remoto y cuentas de servicio. Esa es la misma superficie de acceso que CI Fortify quiere reforzar y segmentar antes de que ocurra un incidente, no mapeada por primera vez en medio de uno.

Crear y probar un plan de aislamiento gradual. Un inventario de datos dinámico implica que el plan de aislamiento se prueba en el entorno real, no en una instantánea de la auditoría del año pasado. Los entornos de datos cambian constantemente. Un plan probado con una asignación obsoleta es un plan que fallará la primera vez que se necesite.

Recuperar sistemas comprometidos. La recuperación comienza con una pregunta: ¿qué se reconstruye primero? Un inventario de datos clasificado y priorizado responde directamente a esa pregunta: restaurar primero los sistemas que contienen los datos más sensibles y de mayor impacto, en lugar de seguir una cola en el orden en que los sistemas vuelven a estar en línea.

La exposición a la soberanía que CI Fortify no menciona

CI Fortify parte de la premisa de un escenario de conflicto en el que las plataformas en la nube y los proveedores de telecomunicaciones dejan de ser fiables. Existe una versión menos evidente del mismo problema que no requiere una crisis geopolítica para ser relevante: si la IA que realiza la clasificación y la gobernanza de sus datos tiene que conectarse a un modelo de terceros alojado fuera de su control, sus datos confidenciales, o sus metadatos, salen de su entorno con cada escaneo, incluso un martes cualquiera, haya crisis o no. El escenario de aislamiento de CI Fortify convierte esa vulnerabilidad en un fallo operativo grave.

El enfoque de BigID ejecuta inteligencia de datos, clasificación y análisis impulsado por IA sin depender de un proveedor externo de gestión de lógica de negocio (LLM). El procesamiento se realiza dentro del entorno del cliente. Esto es importante por dos razones distintas que CI Fortify combina: evita que los datos confidenciales se transmitan a terceros de forma rutinaria y garantiza que la plataforma que realiza este trabajo no desaparezca en el momento en que se interrumpa la conectividad con dicho tercero.

Aislamiento de la red, desde el caso límite federal hasta el requisito básico.

La mayoría de los proveedores consideran que la implementación aislada de la red y completamente fuera de línea es una solicitud poco frecuente de un puñado de clientes federales o de defensa. CI Fortify convierte esto en un requisito básico para cualquier persona que gestione infraestructura crítica. Un evento de aislamiento no pausa selectivamente, sino que desactiva todas las dependencias en la nube a la vez, incluyendo cualquier herramienta que la organización utilice para acceder a sus propios datos.

BigID puede ejecutarse completamente en las instalaciones del cliente y aislado de la red, con funciones de descubrimiento, clasificación y gobernanza que operan sin necesidad de conectividad saliente. No requiere telemetría remota, ni depende de una API alojada para funcionar, ni presenta fallos silenciosos donde las herramientas de seguridad se desactivan junto con los sistemas que se supone que deben aislar. Una organización puede ejecutar su programa completo de gobernanza de datos dentro de un entorno aislado durante toda la duración de un incidente, para luego reconectarse y reconciliarse una vez finalizado el mismo.

Lo que las organizaciones deben hacer

• Inventario donde realmente residen los datos sensibles y operativos, no donde está documentado que residen.
• Los datos del mapa fluyen a todos los terceros, plataformas en la nube y herramientas de acceso remoto que interactúan con esos datos.
• Clasifique los datos y los sistemas por criticidad para que las prioridades de aislamiento y recuperación se basen en el riesgo real, no en conjeturas.
• Compruebe si alguna herramienta basada en IA de ese conjunto depende de un proveedor de modelos externo y trate eso como una brecha de soberanía incluso fuera de una crisis.
• Confirme que la plataforma que realiza este mapeo puede funcionar de forma totalmente aislada de la red, no solo con la opción de usar la nube.“
• Cree una secuencia de recuperación basada en la sensibilidad de los datos y el impacto en el negocio, y pruébela antes de que sea necesaria.

CI Fortify exige a los operadores de infraestructuras críticas que demuestren su capacidad para operar sin conexión con el exterior durante meses. Las organizaciones que logren hacerlo serán aquellas que ya conozcan, con detalle y precisión, qué datos protegen, dónde se almacenan y si la herramienta que los gestiona necesita acceso externo para seguir funcionando.