DoD-leverancierscompliance: Hoe twee cybersecurity-aannames de toekomst vormgeven

Er worden ongeveer 300.000 bedrijven in de Defense Industrial Base (DIB) geschat, zowel in de productie- als niet-productiesectoren. Ongeveer 99% van de DIB bestaat uit kleine en middelgrote bedrijven met minder dan 500 werknemers.

Sinds december 2017 hebben alle bedrijven in de DIB de Defense Federal Acquisition Regulation Supplement (DFARS) clausule (252.204-7012 - Beveiliging van gedekte defensie-informatie & Cyber Incident Rapportering) in hun contracten. Na bijna drie jaar blijken er een aantal onjuiste aannames in de DIB te bestaan, twee van welke dieper besproken dienen te worden...

De eerste aanname: Zelfattestaties zijn geen groot probleem

Als gevolg van het accepteren van de voorwaarden van een contract met het DoD, leggen fabrikanten zelf af dat ze 'adequate cybersecurity' gebruiken om Controlled Unclassified Information (CUI) te beschermen. Adequate cybersecurity wordt gedefinieerd door de DFARS-clausule als het volledig implementeren van de 110 beveiligingseisen uit NIST Special Publication 800-171.

Veel fabrikanten gaan ervan uit dat hun cybersecurity-programma voldoende is. De meeste CMTC-cliënten beginnen hun cybersecurity-traject met de schatting dat ze 70-80% compliant zijn. Echter, het lopende gemiddelde na een basis gap-analyse ligt rond de 34% compliant.

Eerdere blogposts hebben de vaak overziene juridische risico's van non-compliance met cybersecurity-eisen behandeld. Uiteindelijk moet een bedrijf dat zakendoen wil met het Department of Defense (DoD), de contractvoorwaarden accepteren en dus zelf attesteren op een compliant cybersecurity-houding.

De tweede aanname: Externe IT-leveranciers zijn de oplossing

Veel kleine bedrijven missen dedicated IT-personeel en middelen. Veel fabrikanten maken daarom gebruik van derde-partij IT-dienstverleners. Om te kunnen opereren, vertrouwen deze kleine bedrijven enorme administratieve toegang tot bedrijfsinformatiesystemen toe aan externe dienstverleners. Vaak gaan fabrikanten ervan uit dat alles volgens plan verloopt. Fabrikanten moeten hun derde-partij IT-leveranciers in de gaten houden om te begrijpen welke acties worden ondernomen. De cybersecurity-reis van de fabrikant met een IT-leverancier is collaboratief, met het bedrijf betrokken bij de activiteiten en resultaten van het werk van de leverancier.

Bovendien, wat blootstelling betreft, is ongeveer de helft van de 110 beveiligingseisen direct gerelateerd aan de technische operaties en technologische oplossingen die normaal door een derde-partij IT-leverancier worden geleverd. Sommige cybersecurity-maatregelen zijn zo fundamenteel voor bedrijfsoperaties dat de overheid redelijkerwijs veronderstelde dat alle DoD-leveranciers proactief hun eigen risico zouden managen. Het is een must dat de fabrikant en de IT-leverancier samenwerken om DoD-compliance te bereiken. De DoD-leverancier blijft op de lange termijn verantwoordelijk voor compliance.

Samen kunnen deze twee cruciale, onjuiste aannames enorme technische en compliance-schuld creëren.

Overheidsaudits op cybersecurity-compliance zijn op komst, dus de beste weg vooruit is uw IT-leverancier te superviseren en samen te werken om bij te dragen aan uw algehele compliance.

Aanbevolen volgende stappen

1. Focus op uw bestaande DFARS-eisen.
2. Neem de tijd om de aannames onderliggend aan NIST SP 800-171 grondig te begrijpen.
3. Stel een robuust derde-partij leveranciersbeheerproces op.
4. Neem de tijd om contractuele doorstroomverplichtingen grondig te begrijpen.

Voor een kort overzicht van het algehele regulatoire ecosysteem, en een diepere discussie van de onderwerpen in deze post, kunt u het on-demand CMTC-webinar hier bekijken.