Ley Federal de Gestión de la Seguridad de la Información de 2002

La FISMA exige que las agencias cuenten con un inventario de sistemas de información. Según la FISMA, el jefe de cada agencia deberá desarrollar y mantener un inventario de los principales sistemas de información (incluidos los principales sistemas de seguridad nacional) operados por o bajo el control de dicha agencia ^{[ 6 ].} La identificación de los sistemas de información en un inventario conforme a esta subsección deberá incluir una identificación de las interfaces entre cada uno de dichos sistemas y todos los demás sistemas o redes, incluidos aquellos que no son operados por o bajo el control de la agencia. ^{[ 6 ]} El primer paso es determinar qué constituye el " sistema de información " en cuestión. No existe una correspondencia directa entre computadoras y un sistema de información; más bien, un sistema de información puede ser una colección de computadoras individuales destinadas a un propósito común y administradas por el mismo propietario del sistema. La NIST SP 800-18, Revisión 1, Guía para el desarrollo de planes de seguridad para sistemas de información federales ^{[ 7 ]} proporciona orientación sobre la determinación de los límites del sistema .

Toda la información y los sistemas de información deben categorizarse según los objetivos de proporcionar niveles adecuados de seguridad de la información de acuerdo con una gama de niveles de riesgo ^{[ 6 ].} El primer estándar de seguridad obligatorio requerido por la legislación FISMA, FIPS 199 "Estándares para la categorización de seguridad de la información y los sistemas de información federales" ^{[ 8 ]} proporciona las definiciones de las categorías de seguridad. Las directrices se proporcionan en NIST SP 800-60 "Guía para la asignación de tipos de información y sistemas de información a categorías de seguridad" ^{[ 9 ] .}

La categorización general del sistema FIPS 199 representa el nivel máximo de impacto para cualquiera de los criterios de los tipos de información que contiene el sistema. Por ejemplo, si un tipo de información tiene una calificación de "Baja" para "confidencialidad", "integridad" y "disponibilidad", y otro tipo tiene una calificación de "Baja" para "confidencialidad" y "disponibilidad", pero una calificación de "Moderada" para "integridad", entonces el nivel de impacto para "integridad" también se convierte en "Moderado".

Los sistemas de información federales deben cumplir con los requisitos mínimos de seguridad. ^{[ 6 ]} Estos requisitos se definen en el segundo estándar de seguridad obligatorio exigido por la legislación FISMA, FIPS 200 "Requisitos mínimos de seguridad para la información y los sistemas de información federales". ^{[ 8 ]} Las organizaciones deben cumplir con los requisitos mínimos de seguridad seleccionando los controles de seguridad y los requisitos de garantía apropiados, tal como se describe en la Publicación Especial 800-53 del NIST , "Controles de seguridad recomendados para los sistemas de información federales". El proceso de selección de los controles de seguridad y los requisitos de garantía apropiados para los sistemas de información de la organización, a fin de lograr una seguridad adecuada, es una actividad multifacética basada en riesgos que involucra al personal de gestión y operativo dentro de la organización. Las agencias tienen flexibilidad para aplicar los controles de seguridad básicos de acuerdo con la guía de adaptación proporcionada en la Publicación Especial 800-53. Esto permite a las agencias ajustar los controles de seguridad para que se ajusten mejor a los requisitos de su misión y a sus entornos operativos. Los controles seleccionados o planificados deben documentarse en el Plan de Seguridad del Sistema.

La combinación de FIPS 200 y la Publicación Especial 800-53 del NIST exige un nivel básico de seguridad para toda la información y los sistemas de información federales. La evaluación de riesgos de la agencia valida el conjunto de controles de seguridad y determina si se necesitan controles adicionales para proteger las operaciones de la agencia (incluidas la misión, las funciones, la imagen o la reputación), los activos de la agencia, las personas, otras organizaciones o la nación. El conjunto resultante de controles de seguridad establece un nivel de " debida diligencia en materia de seguridad " para la agencia federal y sus contratistas. ^{[ 10 ]} Una evaluación de riesgos comienza identificando posibles amenazas y vulnerabilidades y asignando los controles implementados a las vulnerabilidades individuales. A continuación, se determina el riesgo calculando la probabilidad y el impacto de que cualquier vulnerabilidad dada pueda ser explotada, teniendo en cuenta los controles existentes. La culminación de la evaluación de riesgos muestra el riesgo calculado para todas las vulnerabilidades y describe si el riesgo debe aceptarse o mitigarse. Si se mitiga mediante la implementación de un control, es necesario describir qué controles de seguridad adicionales se añadirán al sistema.

El NIST también puso en marcha el Programa de Automatización de la Seguridad de la Información (ISAP) y el Protocolo de Automatización del Contenido de Seguridad (SCAP), que respaldan y complementan el enfoque para lograr evaluaciones de control de seguridad coherentes y rentables.

Las agencias deben desarrollar políticas sobre el proceso de planificación de la seguridad del sistema. ^{[ 6 ]} NIST SP-800-18 introduce el concepto de Plan de Seguridad del Sistema. ^{[ 7 ]} Los planes de seguridad del sistema son documentos dinámicos que requieren revisión periódica, modificación y planes de acción e hitos para la implementación de controles de seguridad. Deben existir procedimientos que definan quién revisa los planes, los mantiene actualizados y realiza el seguimiento de los controles de seguridad planificados. ^{[ 7 ]}

El plan de seguridad del sistema es el insumo principal para el proceso de certificación y acreditación de seguridad del sistema. Durante dicho proceso, el plan de seguridad del sistema se analiza, actualiza y aprueba. El agente de certificación confirma que los controles de seguridad descritos en el plan de seguridad del sistema son consistentes con la categoría de seguridad FIPS 199 determinada para el sistema de información, y que la identificación de amenazas y vulnerabilidades, así como la determinación inicial del riesgo, se identifican y documentan en el plan de seguridad del sistema, la evaluación de riesgos o un documento equivalente. ^{[ 7 ]}

Una vez completada la documentación del sistema y la evaluación de riesgos, los controles del sistema deben revisarse y certificarse para garantizar su correcto funcionamiento. Con base en los resultados de la revisión, el sistema de información se acredita. El proceso de certificación y acreditación se define en NIST SP 800-37 "Guía para la certificación y acreditación de seguridad de los sistemas de información federales". ^{[ 11 ]} La acreditación de seguridad es la decisión oficial de gestión emitida por un alto funcionario de la agencia para autorizar el funcionamiento de un sistema de información y aceptar explícitamente el riesgo para las operaciones, los activos o las personas de la agencia, con base en la implementación de un conjunto acordado de controles de seguridad. Requerida por la Circular A-130 de la OMB , Apéndice III, la acreditación de seguridad proporciona una forma de control de calidad y exige a los gerentes y al personal técnico de todos los niveles que implementen los controles de seguridad más efectivos posibles en un sistema de información, considerando los requisitos de la misión, las limitaciones técnicas, las limitaciones operativas y las limitaciones de costos y plazos. Al acreditar un sistema de información, un funcionario de la agencia acepta la responsabilidad de la seguridad del sistema y es plenamente responsable de cualquier impacto adverso para la agencia en caso de una violación de seguridad. Por lo tanto, la responsabilidad y la rendición de cuentas son principios fundamentales que caracterizan la acreditación de seguridad. Es esencial que los funcionarios de la agencia cuenten con la información más completa, precisa y confiable posible sobre el estado de seguridad de sus sistemas de información para tomar decisiones oportunas, creíbles y basadas en el riesgo sobre si autorizar o no el funcionamiento de dichos sistemas. ^{[ 11 ]}

La información y las pruebas necesarias para la acreditación de seguridad se desarrollan durante una revisión de seguridad detallada de un sistema de información, generalmente denominada certificación de seguridad. La certificación de seguridad es una evaluación exhaustiva de los controles de seguridad de gestión, operativos y técnicos de un sistema de información, realizada en apoyo de la acreditación de seguridad, para determinar en qué medida los controles se implementan correctamente, funcionan según lo previsto y producen el resultado deseado con respecto al cumplimiento de los requisitos de seguridad del sistema. Los resultados de una certificación de seguridad se utilizan para reevaluar los riesgos y actualizar el plan de seguridad del sistema, proporcionando así la base fáctica para que un funcionario autorizado emita una decisión de acreditación de seguridad. ^{[ 11 ]}

Todos los sistemas acreditados deben supervisar un conjunto específico de controles de seguridad, y la documentación del sistema se actualiza para reflejar los cambios y modificaciones. Los cambios importantes en el perfil de seguridad del sistema deben dar lugar a una evaluación de riesgos actualizada, y los controles que se modifiquen significativamente podrían requerir una nueva certificación.

Las actividades de monitoreo continuo incluyen la gestión de la configuración y el control de los componentes del sistema de información, análisis del impacto en la seguridad de los cambios en el sistema, evaluación continua de los controles de seguridad e informes de estado. La organización establece los criterios de selección y, posteriormente, selecciona un subconjunto de los controles de seguridad empleados en el sistema de información para su evaluación. Asimismo, establece el cronograma para el monitoreo de los controles a fin de garantizar una cobertura adecuada.