Top 5 Cybersecurity-vragen die Fabrikanten Stellen over Overheidscompliance

Dit artikel verscheen oorspronkelijk op Industry Today. Gastblog door Jennifer Kurtz, de Cyber Program Director bij Manufacturer's Edge, een NIST MEP Center in Colorado en een vertegenwoordiger van het MEP National Network™.

Volgens het U.S. Department of Homeland Security is fabricage de tweede meest aangevallen industrie gebaseerd op het aantal gemelde cyberaanvallen. Verder zien cybercriminelen kleine en middelgrote fabrikanten (KMF's) als primair doelwit omdat veel van deze bedrijven geen adequate preventieve maatregelen hebben.

Voor Department of Defense (DoD) contractanten en subcontractanten is business as usual voorbij. De federale overheid, die steeds meer afhankelijk is van externe dienstverleners om zaken te doen, heeft de inzet verhoogd wanneer het gaat om het beschermen van controlled unclassified information (CUI) in niet-federale informatiesystemen en organisaties. Per 31 december 2017 waren alle federale overheidcontractanten verplicht om te voldoen aan de Defense Acquisition Regulation Supplement (DFARS) minimum cybersecurityvereisten of hun contracten te riskeren te verliezen. Ondanks deze vervallen deadline, missen veel KMF's de kennis en bronnen om hun systemen te upgraden en zijn verward over hoe te voldoen aan deze 110 nieuwe beveiligingseisen. Van belang, de Federal Acquisition Regulation, die van toepassing is op overheidcontractanten die namens de General Services Administration (GSA) en de National Aeronautics and Space Administration (NASA) werken, zal binnenkort vergelijkbare cybersecurityvereisten bevatten.

Het MEP National Network, een publiek-private partnerschap dat uitgebreide, bewezen oplossingen levert aan Amerikaanse fabrikanten, is actief bezig met het leveren van bewustwording en assistentie om Amerikaanse fabrikanten te helpen hun informatie-assetts te beschermen tegen de risico's van cyberaanvallen. De organisatie en haar partners dienen ook als een nationaal hulpbron voor Amerikaanse fabrikanten die zoeken naar het implementeren van adequate beveiliging om opgeslagen, verwerkte en verzonden Controlled Unclassified Information te beschermen.

Hieronder volgen vijf van de meest gestelde vragen die ik hoor van KMF's over de federale overheid's DFARS beveiligingsrichtlijnen.

V: Wat is Controlled Unclassified Information (CUI) en hoe weet ik of ik dit type informatie verwerk als deel van mijn contract?

A: Controlled unclassified information (CUI) is data die eigendom is van de overheid. Het is informatie die de overheid veilig wil houden, maar niet vitaal is voor nationale veiligheid. De DFARS clausule 252.204.7012 kan in uw contract verschijnen, maar wordt alleen geactiveerd als u CUI verwerkt, opslaat of verzendt. CUI kan omvatten: onderzoek- en engineeringdata, engineeringtekeningen, specificaties, handleidingen, technische rapporten, studies en analyses, en computerexecutable code en broncode. CUI zal speciale markeringen en afhandelingsinstructies hebben zoals FOUO (For Official Use Only). Voor meer informatie over CUI-markeringen, zie de CUI register.

V: Is DFARS compliance wettelijk vereist?

A: Elke contractant of subcontractant die een DFARS clausule in hun contract heeft, is wettelijk verplicht te voldoen. Als u vals claimt compliant te zijn, riskeert u uw overheidcontract en alle bijbehorende inkomsten te verliezen en zal waarschijnlijk niet in aanmerking komen voor toekomstige overheidcontracten.

V: Ik heb een klein bedrijf en mijn overheidcontracten zijn klein van schaal. Geldt DFARS compliance voor mij?

A: Ongeacht de grootte van uw bedrijf of uw contract, als u een federale overheidcontractant of subcontractant bent die CUI verwerkt, opslaat of verzendt, moet u voldoen. Cybercriminelen targeten kleinere bedrijven omdat ze typisch minder beveiligingsmaatregelen hebben. Bedrijven op lagere lagen van de toeleveringsketen kunnen makkelijker te penetreren zijn dan te proberen in te breken in de netwerken van het primaire doelwit. Een toeleveringsketaanval kan een makkelijkere route zijn naar controlled unclassified overheidinformatie dan proberen directe toegang te krijgen tot overheidnetwerken.

V: Hoe weet ik of mijn bedrijf momenteel DFARS compliant is?

A: Raadpleeg de NIST Handbook 162. Deze handbook biedt een stap-voor-stap gids om de informatiesystemen van een fabrikant te beoordelen tegen de DFARS beveiligingseisen.

V: Mijn organisatie voldoet niet aan de minimum DFARS richtlijnen maar ik weet niet waar ik het complianceproces moet beginnen?

A: Het implementeren van een door de overheid goedgekeurd cybersecurityplan kan een ontzagwekkende taak zijn. U kunt beginnen met het bekijken van de NIST SP 800-171 publicatie die de DFARS vereisten uiteenzet. U kunt ook contact opnemen met het MEP National Network om u te verbinden met uw lokale MEP Center. Lokale MEP Centra bieden een breed scala aan gratis of betaalbare diensten en initiatieven om fabrikanten te begeleiden door het complianceproces. Deze diensten omvatten verbindingen met cybersecurity-experts die een gedetailleerde gap-analyse van protocollen en procedures kunnen ontwikkelen en een actieplan creëren dat kwetsbaarheden en andere compliance-kwesties adressert.

V: Mijn bedrijf is geen overheidcontractant, maar ik wil onze cybersecurityprotocollen verbeteren. Kan ik de DFARS richtlijnen gebruiken?

A: Absoluut. Fabrikanten die opereren in commerciële toeleveringsketens zouden serieus moeten overwegen de DFARS beveiligingseisen te implementeren als een integraal aspect van het managen van hun organisatorische risico's.

Naarmate de fabricagesector steeds meer gedigitaliseerd raakt, is de noodzaak om steeds complexere cyberdreigingen te begrijpen, te mitigeren en te reageren, de kost van zaken doen geworden.