Top 6 vragen over de CMMC: Een gids voor fabrikanten

Wat fabrikanten moeten weten

Cyberbeveiliging is geen nieuw onderwerp in de productie. Het moment dat verbonden apparatuur, innovatieve software en geavanceerde robotica-systemen hun weg vonden naar de shopfloor, was cyberbeveiliging onderdeel van het gesprek. Cyberbeveiliging maakte headlines naast Industrie 4.0 artikelen, maar de buzz van flitsende nieuwe technologieën domineerde het gesprek.

Fabrikanten neigen ertoe cyberbeveiliging op de achterbrander te zetten. Dit is voor velen niet langer een optie. De productie-industrie heeft consistent in de top 5 gestaan van industrieën die meest kwetsbaar en getarget zijn voor cyberaanvallen. De sectoren Gezondheidszorg, Financiële Diensten en Overheidsinstanties zijn allemaal aan een hogere standaard gehouden wanneer het gaat om beveiligingscompliance en risicobeheer. De productie-industrie is nog niet aan een hogere standaard gehouden en is daarom nog kwetsbaarder voor cybercriminaliteit.

De Cybersecurity Maturity Model Certification (CMMC) komt op de industrie af en hieronder zijn de 6 kritieke vragen die fabrikanten moeten stellen.

Wat is de CMMC?

CMMC staat voor Cybersecurity Maturity Model Certification. Deze certificatie neemt een unieke benadering om ervoor te zorgen dat cruciale intellectuele eigendom veilig blijft. In eerste instantie zal CMMC alleen vereist zijn voor fabrikanten en leveranciers die Controlled Unclassified Information (CUI) afhandelen voor het Department of Defense (DoD).

De Cybersecurity Maturity Model Certification (CMMC) is de methode om te certificeren dat de juiste niveaus van cyberbeveiligingsprocessen en -beschermingen aanwezig zijn voor de ongeveer 300.000 contractanten en subcontractanten in de DoD-toeleveringsketen. Het CMMC-proces vereist nu een CMMC Third Party Assessment Organization (C3PAO) om te certificeren dat bedrijven compliant zijn en dat CUI veilig is.

Er zijn 5 rijpgheidsniveaus onderdeel van de CMMC die variëren van 'Basic Cybersecurity Hygiëne' tot 'Advanced/Progressive'. Naarmate het rijpgheidsniveau stijgt, stijgen ook de regels en richtlijnen die een bedrijf moet volgen om gecertificeerd te worden en compliant te blijven.

Waarom wordt de CMMC gemaakt?

Het Department of Defense erkende cyberaanvallen als een significante dreiging, met name voor de kleine tot middelgrote subcontractanten die de grotere primes ondersteunen. Kwaadwillenden herkenden dat de primes meer middelen besteedden aan het voorkomen van aanvallen en dat hun toeleveringsketen een makkelijker doelwit was. De National Institute of Standards and Technology (NIST) Special Publication (SP) 800-171 cyberbeveiligingseisen werden ontwikkeld om gevoelige informatie te beschermen voor contractanten die met het Department of Defense (DoD) werken om de Defense Federal Acquisition Regulation Supplement (DFARS) 252.204-7012 clausule na te leven. Toen de DoD schatte dat slechts een klein percentage van de toeleveringsketen zich hield aan deze richtlijnen, werd de Cybersecurity Maturity Model Certification (CMMC) gemaakt.

Cyberaanvallen zijn een dagelijkse gebeurtenis, helaas. 'Met meer dan 80 procent van de nationale defensie-informatie op partner-netwerken, is het niet langer een gesprek over wat jij doet, of wat ik doe; het is belangrijker wat we collectief doen om de nationale defensie te beschermen,' zei Katie Arrington, speciale assistent van de Assistant Secretary of Defense for Acquisition for Cyber, en een van de belangrijkste voorstanders achter de CMMC.

In december 2018, rapporteerden Chinese hackers informatie te hebben gestolen van Navy-contractanten, waaronder scheepsonderhoudsdata en raketplannen. Deze acties zijn een directe dreiging voor de nationale veiligheid. Zelfs als een grote DoD-leverancier zoals Lockheed Martin een top-tier cyberbeveiligingsprogramma heeft, moet elke subcontractant en leverancier in de DoD-toeleveringsketen zich ook beschermen, anders worden ze een toegangspoort voor cybercriminelen. Net één zwakke schakel in de DoD-toeleveringsketen kan het hele land in gevaar brengen.

Heeft mijn bedrijf de CMMC nodig?

Elk bedrijf zou moeten investeren in het versterken van zijn cyberbeveiliging. Volgens de Radware Survey is de geschatte kosten per cyberaanval $4,6 miljoen. 13% van de deelnemers aan de enquete ervoerde een cyberaanval die hun bedrijf $10 miljoen of meer kostte, een cijfer dat in slechts één jaar tussen 2018 en 2019 verdubbelde. New Jersey Manufacturing Extension Program (NJMEP)'s cyberbeveiliging subject matter experts suggereren dat elke fabrikant baat zou hebben bij het behalen van het equivalent van 'Intermediate Cyber Hygiëne', of Niveau 2 van de CMMC als best practice. Voor DoD-contractanten hangt het rijpgheidsniveau af van waar in de DoD-toeleveringsketen een bedrijf valt.

Identificeren welk van de vijf CMMC-rijpgheidsniveaus een DoD-leverancier, subcontractant of fabrikant moet naleven, wordt ofwel bepaald door de prime DoD-contractant of kan worden ontdekt via een CMMC gap-analyse. Alle leveranciers, subcontractanten of fabrikanten die enig werk verrichten, hoe minimaal ook, met de DoD zullen een bepaald niveau van de CMMC nodig hebben, maar het rijpgheidsniveau zal verschillen afhankelijk van de informatie die het bedrijf afhandelt en het werk dat wordt uitgevoerd.

Als een Defense Industrial Base (DIB) bedrijf geen Controlled Unclassified Information (CUI) bezit maar wel Federal Contract Information (FCI), is het verplicht om te voldoen aan FAR Clause 52.204-21 en moet gecertificeerd zijn op minimaal CMMC Niveau 1.

Wanneer moet ik het certificeringsproces starten?

Nu. DoD-leveranciers, subcontractanten en fabrikanten zouden het proces van CMMC-wording zo snel mogelijk moeten beginnen om het risico te vermijden kritieke DoD-contracten te verliezen. Van start tot finish kan het proces meer dan een jaar duren. In juni 2020 begon CMMC op te duiken in RFI's. Bedrijven kunnen verwachten dat RFP's CMMC zullen noemen vanaf september 2020 en assessments zullen beginnen in de herfst van 2020.

Nu handelen en samenwerken met een consultant die intiem bekend is met de CMMC en het framework waaruit de CMMC voortkwam, NIST 800-171, zal vitaal zijn. Certificering begint met een assessment om te identificeren waar in het CMMC-rijpgheidsniveau een organisatie momenteel zit. De volgende stap zou zijn om een diepgaande gap-analyse uit te voeren en dan over te gaan op full-service remediëring. Elk CMMC-rijpgheidsniveau vereist een ander hoeveelheid tijd en inspanning. Echter, zo snel mogelijk beginnen zal de lasten op het bedrijf, leiderschap en werknemers verlichten.

Wat gebeurt er als ik niet gecertificeerd raak?

Voor DoD-contractanten, subcontractanten, leveranciers of fabrikanten…

Het behalen van het benodigde CMMC-rijpgheidsniveau kan het verschil betekenen tussen het winnen van die volgende DoD-contract of niet. DoD prime contractanten zullen beginnen te vereisen dat alle subcontractanten voldoen aan deze kritieke nieuwe regels. Elk fabrikant dat zich niet houdt aan deze richtlijnen en het juiste CMMC-rijpgheidsniveau niet haalt, zal niet in staat zijn om DoD-zaken te blijven doen.

Voor niet-DoD Fabrikanten…

Op dit moment zijn DoD-contractanten de enigen die risico lopen DoD-werk te verliezen als ze de CMMC niet verkrijgen. Echter, kleine-middelgrote fabrikanten zijn altijd onder risico van een cyberaanval die hun bedrijf volledig lamlegt, soms tot het punt dat ze nooit financieel zullen kunnen herstellen. Deze certificatie biedt niet-DoD fabrikanten een fantastische cyberbeveiligingsbasis en best practices. Afhankelijk van de resultaten van een cyberbeveiligingsassessment kan een bedrijf bepalen welk rijpgheidsniveau het beste voor hen zou werken.

Wie kan al mijn andere vragen over de CMMC beantwoorden?

Het verkrijgen van de CMMC kan een uitdaging zijn, vooral zonder de juiste ondersteuning. De certificatie is nog in de kinderschoenen wat een moeilijke omgeving creëert voor fabrikanten om op eigen houtje te navigeren. Websites verkennen zoals acq.osd.mil/cmmc/faq.html of samenwerken met consultants zoals NJMEP zijn de beste manieren om te beginnen en helpen een intimidderend proces om te zetten in een gestroomlijnde value-add voor elk bedrijf.

Het begrijpen van de CMMC, welke bedrijven beïnvloed worden, wanneer u moet handelen, en het identificeren van het benodigde rijpgheidsniveau kan intimiderend zijn. Doe het niet alleen. Cyberbeveiliging is essentieel maar kan complex zijn. Werken met het juiste team en toegang hebben tot de juiste informatie zal onschatbaar waardevol blijken.

Wees voorzichtig

Er zijn zoveel vragen geweest over dit onderwerp en zoveel ontwikkelingen terwijl het uitgerold werd. Vroeg on waren er veel bedrijven die beweerden te kunnen helpen en een significant bedrag in rekening brachten, zelfs toen de definitieve versie van de richtlijnen nog niet was beslist of gecommuniceerd. Er zijn talloze bedrijven die oplossingen of diensten verkopen om te helpen en het kan moeilijk zijn om te bepalen wie te vertrouwen. Dit is niet iets dat simpelweg geoutsourced kan worden aan een Managed Service Provider (MSP) die claimt bekend te zijn met de eisen.

1. https://www.radware.com/newsevents/pressreleases/c-suite-2019