Servicios de Ciberseguridad

Los Servicios de Ciberseguridad de S&C cuentan con la preparación necesaria para sacar el máximo partido a nuestra sólida experiencia en materia de ciberseguridad a nivel federal y del Departamento de Defensa y, de esta manera, satisfacer las necesidades de nuestros clientes comerciales y de servicios públicos. En este sentido, S&C ofrece evaluaciones de ciberseguridad a medida que permiten mejorar la seguridad del sistema energético y gestionar los riesgos. Las evaluaciones de ciberseguridad de S&C tienen su fundamento en los marcos y las normas, tales como NERC-CIP, NIST IR 7628 y NIST 800-53

Las actividades específicas de evaluación incluyen, entre otras, las siguientes:

• Inventario de Wardware y Software
• Evaluación de la Amenaza
• Evaluación y Análisis de las vulnerabilidades del sistema y de la red
• Conformidad con NERC CIP
• Conformidad con los Marcos de Ciberseguridad o de Gestión de Riesgos del Instituto Nacional de Estándares y Tecnología (National Institute of Standards and Technology, NIST)
• Documentación de las conclusiones y recomendaciones de mitigación
• (Futuro) Apoyo a las auditorías del modelo de madurez de ciberseguridad (CMMC) del Departamento de Defensa.

Evaluación del Marco Federal de Gestión de Riesgos

Los sistemas de información del gobierno federal, incluida la infraestructura energética, deben diseñarse, protegerse y controlarse de conformidad con el Marco de Gestión de Riesgos (RMF) y la política y las directrices correspondientes. S&C comprende los desafíos a los que se enfrentan los propietarios de sistemas energéticos y de sistemas de control relacionados con las instalaciones (FRCS) del Departamento de Defensa (DoD) en lo que respecta a la implementación de la ciberseguridad y a la obtención de Autorizaciones para Operar (ATO).

S&C adopta un enfoque de resolución de problemas en la planificación y ejecución del RMF que se centra principalmente en reducir las dificultades del cliente (propietario del sistema), mantener los costos bajos y garantizar un camino viable y oportuno para asegurar una ATO. Los Servicios de Ciberseguridad de S&C orientarán al propietario del sistema a través de los procesos del RMF en función de nuestra amplia experiencia práctica en la planificación y ejecución de RMF para las microrredes del Ejército, la Armada, las Fuerzas Aéreas y el Cuerpo de Marines.

El equipo de S&C aporta uno de los mayores valores en la aplicación de los controles de seguridad del RMF. No solo contamos con experiencia en el acondicionamiento de los componentes del sistema energético de S&C, sino que también aplicamos la ciberseguridad y la gestión de riesgos a cualquier dispositivo de proveedores externos que se encuentre en el sistema energético o en la red o que esté conectado a ellos. La implementación del control de seguridad incluye la política de seguridad de la organización y la planificación de los procedimientos. Ofrecemos un apoyo integral a los propietarios de los sistemas en cada paso del RMF, lo que incluye:

• Paso 0 del RMF: S&C sienta las bases desde el principio, ya que identifica e involucra a quienes desempeñarán las funciones clave del RMF y el registro del sistema en los repositorios del DoD.
• Paso 1 del RMF: S&C provee una clasificación de seguridad del sistema recomendada, que incluye una descripción del concepto de operaciones (Concept of operations, CONOPS), los tipos de información procesada y los niveles de impacto en cuanto a confidencialidad, integridad y disponibilidad. Asimismo, desarrollamos artefactos de acompañamiento, como listas preliminares de hardware o software, y diagramas de flujo de datos y límites de la red.
• Paso 2 del RMF: S&C desarrolla el plan de seguridad del sistema (SSP) en función de la clasificación de seguridad aprobada y adapta la base de control de seguridad con las superposiciones aplicables así como los controles heredados o no aplicables.
• Paso 3 del RMF: S&C brinda todo su apoyo a la autoevaluación de los propietarios del sistema con la implementación de los requisitos de seguridad, entre los que se encuentran la configuración práctica y el desarrollo de políticas y artefactos de seguridad.
• Paso 4 del RMF: S&C participa de lleno en la visita de los equipos de validación de terceros, con el objetivo de prestar apoyo práctico a la validación del sistema. El Equipo de Servicios de Ciberseguridad de S&C’ llevará adelante el paquete del RMF en los procesos de control y aprobación, incluidas las actividades de análisis/corrección/análisis y la finalización de los artefactos.
• Pasos 5 y 6 del RMF: El equipo de S&C sigue prestando todo su apoyo para obtener la autorización mediante la continuidad de la reelaboración de los paquetes y la finalización de la formación y el traspaso del sistema. El enfoque RMF de S&C’ no concluye con la ATO. El mantenimiento permanente del RMF y el control continuo del sistema son fundamentales tanto para la seguridad como para la resiliencia de la microrred. Estos se programan en las políticas y procedimientos desarrollados con el propietario del sistema y para él. La oferta de servicios integrales de apoyo de este tipo es objeto de un contrato (independiente).

Nuestro equipo cuenta con una amplia experiencia en el diseño y la configuración de redes y seguridad completas para clientes del sector federal, comercial y de servicios públicos. El equipo de expertos de S&C’ está capacitado para evaluar el nivel de ciberseguridad y las arquitecturas de red de los sistemas actuales o de los nuevos, desde el diseño conceptual de la red hasta la puesta en marcha definitiva. S&C puede prestar servicios de consultoría a los operadores y al personal de seguridad del cliente o realizar la configuración práctica de los dispositivos conectados a la red, de manera tal que garantice que los sistemas energéticos permanezcan seguros y cumplan con los requisitos de seguridad aplicables.

Entre los servicios de configuración de seguridad de S&C’ se incluyen la implementación y documentación de una base de seguridad completa, el análisis de vulnerabilidades y de conformidad, la mitigación de los resultados obtenidos y el nuevo análisis. La instalación, el acondicionamiento y las pruebas adecuadas de la red y los equipos resultan de vital importancia y deben llevarse a cabo por analistas de seguridad con experiencia. Podemos ofrecer este servicio completo de diseño y configuración de redes seguras a fin de satisfacer las necesidades de nuestros clientes en un entorno de ciberseguridad que cambia constantemente.