Qué es:
Hardware, software y firmware son los tres componentes principales que componen los ordenadores y sistemas actuales. El Hardware incluye los componentes físicos de un sistema informático, que pueden desgastarse con el tiempo y requerir reemplazo. El Software incluye conjuntos de instrucciones que permiten una variedad de entradas del usuario., El Firmware es un tipo específico (o subconjunto) de software que está diseñado para actuar como intermediario entre el software y el hardware o para la operación de sistemas embebidos de un solo propósito, como impresoras o enrutadores. Los usuarios finales suelen tener una interacción limitada con el firmware y se modifica con poca frecuencia. Ejemplos de estos componentes principales incluyen:
por qué importa:
el Hardware, el software y el firmware tienen un papel en la tecnología de la información (ti) que utilizan los funcionarios electorales., En un ecosistema electoral, la máquina de votación física es el hardware, la aplicación de programación de boletas es el software y los lectores de códigos de barras probablemente se ejecutan en firmware. Es importante entender esto desde la perspectiva de las adquisiciones, ya que los funcionarios electorales tratan de obtener nuevos equipos. Diferentes componentes pueden ser desarrollados y fabricados por una variedad de proveedores y luego empaquetados por un solo proveedor. Esto repercute en la necesidad de llevar a cabo una gestión adecuada de los riesgos de la cadena de suministro.,
las diferencias entre hardware, software y firmware son importantes para la administración de parches y vulnerabilidades. Como componente físico, las vulnerabilidades de hardware son difíciles de remediar sin un reemplazo completo, aunque algunas se pueden mitigar a través de actualizaciones de firmware. En el pasado, el firmware era difícil de actualizar, ya que normalmente residía en la memoria de solo lectura. Si bien las actualizaciones son ahora más comunes, tienen un riesgo relativamente alto de afectar la funcionalidad, por lo que los fabricantes son reacios a proporcionarlas con frecuencia., Las vulnerabilidades de Software suelen ser las más fáciles de remediar, tradicionalmente a través de actualizaciones de seguridad regulares. Las vulnerabilidades de Software siguen siendo el vector principal de amenazas cibernéticas que los actores utilizan para explotar los sistemas, lo que hace que el software sea el componente más importante del sistema para monitorear y actualizar con parches de seguridad rutinarios y ad hoc.
Por último, el fin de soporte del proveedor afecta al hardware, el software y el firmware de manera diferente. En algunos casos, el software de fin de soporte puede quedar inutilizable debido a otras dependencias, mientras que el firmware de fin de soporte probablemente continuará funcionando según lo diseñado., Incluso después de que se identifiquen las vulnerabilidades, el proveedor no emitirá un aviso de seguridad o un parche, pero a veces hay mitigaciones físicas y de software disponibles para proteger el software y el firmware de fin de soporte. Mientras tanto, a medida que el hardware se acerca al final del soporte, las piezas de repuesto tienen una disponibilidad limitada. Para todos los componentes, el soporte o la solución de problemas ya no se proporcionan al final del soporte.
qué puede hacer:
Las Diferencias entre hardware, software y firmware requieren que los funcionarios electorales consideren la seguridad de manera integral. Los funcionarios deben planificar las actualizaciones y la obsolescencia., Antes de que se pueda poner en marcha cualquier mitigación, las oficinas electorales deben realizar un inventario de todos los activos de hardware y software de los que son responsables, como se indica en los controles 1 y 2 del CIS. CIS alienta a las oficinas electorales a que su personal de TI revise y verifique rutinariamente su inventario y se asegure de que el software y el firmware estén actualizados con los últimos parches de seguridad y que el hardware funcione correctamente., El resumen mensual de asesoramiento de ciberseguridad EI-ISAC destaca los parches de seguridad críticos para el software de uso común durante el mes anterior y puede usarse como una lista de verificación para garantizar que los sistemas estén parcheados.
al adquirir equipo nuevo, los funcionarios electorales deben considerar la necesidad de evaluar la cadena de suministro tanto para el equipo en su conjunto como para cada componente para garantizar que no se introduzcan Vulnerabilidades y modificaciones inesperadas., La mejor práctica 23 de la «guía para garantizar la seguridad en las adquisiciones de tecnología Electoral» de CIS proporciona una guía valiosa para abordar las preocupaciones de la cadena de suministro. Además, los funcionarios electorales deben revisar los «13 elementos de un programa efectivo de SCRM» del Centro Nacional de contrainteligencia y seguridad, que proporciona recomendaciones sobre auditabilidad de procesos, requisitos de seguridad y mitigación de riesgos.
el foco de ciberseguridad EI-ISAC es una explicación práctica de un concepto, evento o práctica de ciberseguridad común y su aplicación a la seguridad de la infraestructura Electoral., Su objetivo es proporcionar a los miembros de la IE-ISAC una comprensión práctica de temas técnicos comunes en la industria de la ciberseguridad. Si desea solicitar un término o práctica específica que pueda ser de interés para la comunidad electoral, comuníquese con [email protected].