DMARC y FedRAMP: mejorar la seguridad del correo electrónico

A medida que las ciberamenazas aumentan en número e intensidad y adoptan una amplia gama de nuevas formas, las organizaciones empiezan a prestar cada vez más atención a la seguridad del correo electrónico. Esto es especialmente cierto para las organizaciones que trabajan con datos gubernamentales sensibles. Un solo ciberataque, grande o pequeño, puede ser devastador para la reputación de un gobierno determinado y, al mismo tiempo, poner en peligro a toda la población (especialmente en el caso de países y regiones en conflicto).  

Por eso, el Programa Federal de Gestión de Riesgos y Autorizaciones (FedRAMP) ha empezado a dedicar gran atención y esfuerzos al establecimiento de normas y protocolos de autenticación segura del correo electrónico, haciendo especial hincapié en la autenticación, notificación y conformidad de mensajes basada en dominios (DMARC). Este artículo se lo dirá:

• ¿Qué es el cumplimiento de las normas FedRAMP?
• Papel de DMARC en el cumplimiento de FedRAMP
• Cómo implementar DMARC para sistemas que cumplen con FedRAMP
• Pasos necesarios para la aplicación y el cumplimiento
• Desafíos en la implementación de DMARC dentro del marco FedRAMP
  

¿Qué es el cumplimiento de las normas FedRAMP?

FedRAMP es una rigurosa certificación de autorización para proveedores de servicios en la nube y plataformas basadas en la nube que proporciona un enfoque estandarizado para la evaluación de la seguridad, la autorización y la supervisión continua de los productos y servicios en la nube. El programa de cumplimiento de FedRAMP se estableció ya en 2011 para apoyar la iniciativa "Cloud First" del gobierno federal. El objetivo de "Cloud First" era acelerar la adopción de soluciones seguras en la nube en todas las agencias federales.

Algunos de los objetivos principales del cumplimiento de las normas FedRAMP son:

• Normalizar el enfoque de la evaluación de la seguridad y la autorización en todos los organismos federales y lograr la máxima coherencia entre las distintas partes interesadas.
• Implantar estrictos controles de seguridad y mecanismos de supervisión para establecer la confianza en las soluciones en nube entre los organismos federales.
• Reducir al mínimo la duplicación de las evaluaciones de seguridad para ahorrar recursos financieros y no financieros.
• Ser flexible en respuesta a las ciberamenazas en constante evolución y realizar los cambios necesarios en tiempo real.

¡Simplifique DMARC y FedRAMP con PowerDMARC!

Fases del cumplimiento de FedRAMP

Ahora que ya está familiarizado con los objetivos clave del cumplimiento de las normas FedRAMP, también es importante que conozca las diferentes fases de dicho cumplimiento. 

1. En la primera fase, los proveedores de servicios en nube (CSP) deben aplicar los controles de seguridad necesarios y documentar su sistema en un Plan de Seguridad del Sistema (PSS).
2.  En la segunda fase, la de evaluación, la Organización de Evaluación por Terceros (3PAO) lleva a cabo una evaluación de seguridad independiente. 
3. A continuación, la Oficina de Gestión del Programa FedRAMP (PMO) examina detenidamente el paquete de seguridad y concede una Autoridad para Operar (ATO). 

Es importante mencionar que los CSP deben garantizar continuamente el cumplimiento de las normas de seguridad exigidas mediante evaluaciones y ajustes periódicos. 

Papel de DMARC en el cumplimiento de FedRAMP

DMARC es un componente importante e incluso indispensable de la seguridad del correo electrónico en el ámbito del marco FedRAMP. FedRAMP exige que todas las ofertas de servicios en la nube (CSO) que envían correos electrónicos en nombre del Gobierno Federal apliquen políticas DMARC ejecutables. Este requisito es sólo uno de los muchos Directiva Operativa Vinculante (BOD) 18-01 emitida por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA).

Las razones de la integración de DMARC son numerosas y múltiples. En primer lugar, DMARC es de gran ayuda en el proceso de detección y prevención de ataques de phishing por correo electrónico. Al verificar la legitimidad de la identidad del remitente, DMARC garantiza que los destinatarios puedan confiar en el origen de los correos electrónicos federales. La información que proporcionan los informes DMARC periódicos también permite a las agencias identificar importantes lagunas de seguridad y abordarlas antes de que sea demasiado tarde. Esto no sólo aumentará la confianza de los destinatarios, sino que también incrementará la capacidad de entrega de los correos electrónicos federales, garantizando que los mensajes importantes lleguen al público objetivo previsto.

Lectura relacionada: Cambios en la comprobación del correo del NCSC y su impacto en la seguridad del correo electrónico del sector público británico

Cómo implementar DMARC para sistemas que cumplen con FedRAMP

A continuación encontrará un desglose completo de la implementación de DMARC para el cumplimiento de FedRAMP. El proceso incluye varios pasos y componentes importantes. 

1. El primer paso consiste en una evaluación exhaustiva de la infraestructura de correo electrónico actual. Realice una auditoría exhaustiva de todos los dominios y subdominios que se utilizan para enviar correos electrónicos en nombre del Gobierno Federal, identificando todas las fuentes de envío de correo electrónico (por ejemplo, servicios de terceros). Esta evaluación inicial debe incluir un resumen de la configuración actual de autenticación del correo electrónico, como SPF, DKIM u otras configuraciones.
2. La fase de implementación de SPF y DKIM debe incluir la configuración de los registros SPF para todos los dominios relevantes y la configuración de la firma DKIM para los correos electrónicos salientes. Antes de pasar a la fase de implementación de DMARC, debe probar las configuraciones de SPF y DKIM y asegurarse de que están configuradas correctamente. 
3. Ahora, pasemos a la fase de implementación de DMARC. La publicación de un registro DMARC en su DNS debe seguir los siguientes parámetros:

•  p=reject (es decir, los correos electrónicos que no pasen el DMARC deben rechazarse)
•  pct=100 (es decir, la política debe aplicarse al 100% de los correos electrónicos)
• as direcciones de correo electrónico de rua deben incluir mailto:[email protected]

4. Para obtener configuraciones precisas del servidor de correo electrónico, asegúrese de que todos los correos electrónicos salientes están correctamente alineados con las configuraciones DMARC, SPF y DKIM, y asegúrese de que la alineación de la dirección "De" del sobre es correcta.

5. Documente siempre la implementación de DMARC en el Apéndice A del Plan de Seguridad del Sistema (SSP) según FedRAMP Rev5. Asegúrese de incluir detalles en los controles apropiados:

• SI-8 para líneas de base Alta y Moderada
• SI-5 para Low y LiSaaS (Software as a Service de bajo impacto)

6. Siempre puede utilizar herramientas de comprobación de registros DMARC para ayudarle en el proceso de configuración adecuada de DNS. También puede enviar correos electrónicos de prueba de diferentes fuentes para verificar la aplicación de DMARC e incluso fabricar intentos de suplantación por sí mismo para garantizar la seguridad cuando se producen ataques reales.

7. Examine cuidadosamente el agregado DMARC (RUA) y forense (RUF), identificando posibles amenazas a la seguridad y realizando los ajustes necesarios en sus configuraciones.

Para obtener más información sobre la implantación de DMARC en una CSO autorizada por FedRAMP, haga clic aquí.

Desafíos en la implementación de DMARC dentro del marco FedRAMP

La implantación de DMARC en el marco de FedRAMP conlleva numerosas ventajas, pero también numerosos retos.

Tener un dominio y un subdominio

Desafío: La mayoría de las organizaciones tienen más de un dominio y subdominio. Lo que hace que el proceso sea aún más difícil es que cada uno de estos dominios y subdominios puede estar utilizando diferentes servicios de correo electrónico.

Solución: Trace un mapa de todo su ecosistema, con una descripción detallada de todos los dominios y subdominios, y cree un plan de implantación por fases para lograr gradualmente la conformidad de cada uno de ellos.

Uso de servicios de terceros

Desafío: Los CSP utilizan a menudo servicios de terceros para diversos fines de comunicación por correo electrónico.

Solución: Colabore únicamente con proveedores externos de confianza y pídales que apliquen la firma DKIM y una alineación adecuada de la dirección del remitente del sobre.

Antiguos sistemas de correo electrónico

Desafío: Es posible que algunas entidades utilicen sistemas de correo electrónico tan antiguos que no admitan DKIM ni protocolos de autenticación modernos.

Solución: Como puede resultar muy caro actualizar o cambiar por completo la infraestructura de su sistema de correo electrónico actual, puede probar a implementar pasarelas de correo electrónico para añadir cabeceras de autenticación a los correos salientes de sus antiguos sistemas de correo electrónico.

Control continuo

Desafío: Como FedRAMP le exige que supervise continuamente sus políticas DMARC, tendrá que procesar y analizar constantemente grandes volúmenes de informes DMARC. Esto puede consumir mucho tiempo, recursos financieros y mano de obra humana, y restarle tiempo que de otro modo dedicaría a otras tareas importantes.

Solución: Para reducir el tiempo y los recursos dedicados al procesamiento y análisis de informes DMARC, puede utilizar herramientas como el analizador de informes DMARC gratuito de PowerDMARC que harán que el proceso sea más rápido y eficaz.

Establecer los protocolos y mecanismos necesarios

Desafío: Puede resultar muy difícil, especialmente en la fase inicial de implementación, establecer y configurar todos los protocolos y mecanismos necesarios para la autenticación del correo electrónico y el cumplimiento de las normas FedRAMP.

Solución: Puede optar por colaborar con plataformas de seguridad de autenticación de correo electrónico consolidadas y fiables, como PowerDMARC. Estas plataformas suelen ofrecer soluciones "todo en uno" y cuentan con sus propios equipos profesionales de expertos en TI que pueden encargarse de todos los procesos de instalación y configuración, para que puedas disfrutar de tranquilidad al tiempo que garantizas el cumplimiento de la normativa.

Resumen

Aunque la implantación de DMARC en el marco de FedRAMP conlleva varios retos y dificultades potenciales, es importante señalar que la mayoría de estos retos, si no todos, pueden superarse fácilmente si colabora con profesionales de confianza. Además, una vez que implante con éxito DMARC y los demás protocolos, pronto se dará cuenta de que las ventajas de una autenticación precisa del correo electrónico superan con creces cualquier reto, coste o barrera tecnológica. 

Mejorar la seguridad del correo electrónico para los proveedores de servicios en la nube no solo ayudará a garantizar el cumplimiento y la adhesión a FedRAMP, sino que también agregará una importante capa de seguridad a sus comunicaciones gubernamentales, mejorando su reputación y aumentando la sensación de seguridad y protección entre su población. Mostrar compromiso con las prácticas de correo electrónico seguro a nivel gubernamental es un paso importante hacia ecosistemas digitales mejores y más saludables y una menor probabilidad de éxito de los ataques cibernéticos. 

Póngase en contacto con nosotros hoy mismo si desea obtener más información sobre la correcta implementación de DMARC para su organización, ya sea en el ámbito de FedRAMP o más allá, y le ayudaremos a garantizar los mejores resultados en el menor tiempo posible.

• Acerca de
• Últimas publicaciones

Yunes Tarada

Experto en seguridad de dominios y correo electrónico de PowerDMARC

Yunes es jefe de equipo de operaciones en PowerDMARC con conocimientos especializados en autenticación y seguridad del correo electrónico. Yunes es Administrador Asociado de Azure certificado por Microsoft y cuenta con certificaciones de CompTIA A+ y muchas más.

Últimos mensajes de Yunes Tarada (ver todos)

• Email Salting Attacks: Cómo el texto oculto burla la seguridad - 26 de febrero de 2025
• Aplanamiento del FPS: ¿Qué es y por qué lo necesitas? - 26 de febrero de 2025
• DMARC frente a DKIM: diferencias clave y cómo funcionan juntos - 16 de febrero de 2025