Las organizaciones reguladas deben tratar cada vez más la política de seguridad como infraestructura crítica, según un análisis publicado por TechRadar.
Un sistema esencial es aquel cuyo fallo causaría un daño intolerable a los clientes, los mercados o la seguridad pública. Por ello, las plataformas de pago de los bancos de compensación y las redes SCADA de los distribuidores eléctricos tienen las obligaciones de gobierno más exigentes, incluida la supervisión continua, el control validado de cambios y una resiliencia demostrable.
El entorno de políticas de firewalls, controles en la nube y microsegmentación determina qué sistemas pueden comunicarse, qué conexiones se bloquean y qué excepciones siguen vigentes. Una regla de segmentación mal configurada puede desconectar un servicio de pagos de su plataforma de liquidación. Una regla temporal que permita un acceso amplio desde una subred de desarrollo a producción puede permanecer durante meses después de la puesta en marcha si nadie se encarga de eliminarla.
El artículo sostiene que muchas organizaciones todavía gestionan estos entornos como tareas administrativas. Las reglas se acumulan mediante solicitudes de cambio, la responsabilidad se dispersa y el motivo original de una regla puede quedar únicamente en un registro.
Los marcos regulatorios del Reino Unido exigen cada vez más pruebas continuas de que el acceso es intencionado. El régimen de resiliencia operativa de la FCA, la evaluación de Ofgem conforme al Cyber Assessment Framework de NCSC y el previsto Cyber Security and Resilience Bill apuntan en esa dirección.
Comentarios
0Aún no hay comentarios. Escribe el primero.