Cumplimiento de la FISMA
La FISMA —la Ley Federal de Gestión de la Seguridad de la Información— es la ley que exige a los organismos federales, así como a los contratistas y sistemas que les prestan apoyo, que protejan la información y los sistemas de información con arreglo a una norma definida. En la práctica, ese estándar es el Marco de Gestión de Riesgos del NIST: clasificar el sistema, seleccionar e implementar controles de la norma NIST SP 800-53, evaluar si funcionan realmente, obtener una autorización para operar y, a continuación, realizar un seguimiento continuo, en lugar de tratar la seguridad como un proyecto puntual.
Puntos en los que las organizaciones se atascan
El trabajo relacionado con la FISMA tiende a desviarse en algunos aspectos previsibles. La categorización de los sistemas se realiza con prisas, lo que significa que la línea de base de los controles es errónea desde el principio. La implementación de los controles se documenta de forma genérica, en lugar de describir lo que el sistema hace realmente. La evaluación de seguridad se convierte en una revisión de documentos, en lugar de una prueba real del funcionamiento de los controles. Y la supervisión continua, que se supone que es lo que mantiene la validez de una autorización de operaciones (ATO) a lo largo del tiempo, deja de realizarse discretamente una vez concedida la autorización.
Mi enfoque del trabajo relacionado con l FISMA
Considero la categorización como la base que debe ser: determinar correctamente los niveles de impacto en materia de confidencialidad, integridad y disponibilidad antes de que ocurra cualquier otra cosa. A partir de ahí, ayudo a seleccionar y adaptar controles que se ajusten a la arquitectura y al riesgo reales del sistema, y no a una referencia copiada y pegada. A la hora de realizar la evaluación, insisto en obtener evidencia de que los controles funcionan realmente tal y como se describe: exportaciones de configuración, muestras de registros, revisiones de acceso; no solo una descripción que diga «sí, esto está implementado».
También dedico tiempo de verdad al Plan de Seguridad del Sistema y al Plan de Acción y Hitos, ya que esos dos documentos son los que un evaluador y un responsable de la autorización leen realmente con detenimiento. Un POA&M que sea sincero respecto a las deficiencias y cuente con un calendario de corrección creíble tiene más valor que un plan que afirme que todo es perfecto y se desmorone ante las preguntas.
A quién va dirigido
Las agencias federales y los contratistas que les prestan apoyo, las empresas que solicitan o mantienen una autorización de funcionamiento, y las organizaciones que han heredado una obligación en virtud de la Ley FISMA a través de un contrato y necesitan a alguien con experiencia previa en este ámbito para armonizar la documentación y el estado real de la seguridad.
Si está tramitando una ATO o tratando de mantenerla al día, hablemos de en qué punto se encuentra su programa.