CMMC-certificering: Essentiële Inzichten voor Defensiecontractanten

Hoe We Hier Terechtkwamen

Naar verlopen staat- en niet-staatactoren neemt toe, en de economische kosten zijn ontzettend — wereldwijd $5 biljoen naar sommige schattingen. Andere schattingen tonen aan dat de kosten voor de Amerikaanse economie ergens tussen de $57 miljard en $109 miljard lagen in 2016. De noodzaak voor CMMC gaat echter niet alleen om economische belangen, het gaat om collectief onszelf te verdedigen. Bedrijven groot en klein dragen bij aan het succes van de Amerikaanse strijder en zullen allemaal aan dezelfde verantwoordelijkheidsniveau worden gehouden met CMMC.

In de federale ruimte hoeft men slechts een blik te werpen op een bepaald jachtvliegtuig om de stippen te verbinden over hoe belangrijk het is om de organisaties te beveiligen die uiteindelijk ons land beveiligen en verdedigen. In de commerciële ruimte toonde de Target-datalekkage hoe zakelijke partners het zwakke schakel kunnen zijn dat uiteindelijk een aanval faciliteert. Door de DIB meer verantwoordelijk te houden, helpen we niet alleen een nieuwe zakelijke eis te vervullen, maar voldoen we ook aan een strategisch imperatief om meer weerbaar te zijn tegen aanvallen. Tijden zijn veranderd en ook hoe we zaken doen. Of het nu bevalt of niet, we manoeuvreren op het moderne slagveld waar woorden als "oorlog", "spionage" en "misdadigheid" voorafgegaan worden door "cyber", wat betekent dat private en publieke entiteiten voorbereid moeten zijn met een moderne reactie.

Wat is CMMC?

CMMC heeft vijf niveaus van technische en procedurale controles die erop gericht zijn Controlled Unclassified Information (CUI) en Federal Contract Information (FCI) te beschermen voor DoD-contractanten. Om CMMC-niveau 5 te bereiken, moeten organisaties door de implementatie en assessering van 171 technische en procedurale controles gaan. De meeste cybersecurity-professionals in de federale ruimte zullen merken dat de meerderheid van de CMMC-controles bekend zijn. In feite, om CMMC-niveau 3 te bereiken, zijn bijna alle controles te vinden in NIST SP 800-171. De organisaties die binnenkort certificering onder CMMC zullen vereisen, zijn al gemandateerd om de controles uit NIST SP 800-171 te halen sinds 2016. Het cruciale verschil is dat organisaties zich niet meer zelf kunnen certificeren en een Plan of Actions and Milestones indienen om tekortkomingen aan te pakken. Organisaties die certificering zoeken, moeten formeel worden beoordeeld door een CMMC Third Party Assessor Organization of assessor gecertificeerd door het CMMC Accreditation Body, een non-profitorganisatie belast met het certificeren van de gereedheid van de assessors. Hoewel er geen data zijn gegeven voor wanneer assesseringen zullen starten, is training onlangs begonnen voor de eerste groep CMMC-assessors.

Wat Nu Te Doen?

CMMC-voorbereiding is een oefening in het implementeren van de fundamentele principes van cybersecurity en continuous improvement om grotere weerbaarheid te bereiken. De CMMC-niveaus zijn cumulatief en getierd, zodat één niveau opbouwt naar het volgende; om niveau 4 te halen, moet u volledig compliant zijn met niveau 3. Elk niveau correleert met de sophistication van uw beveiligingspraktijken, beginnend met basisygiëne en oplopend tot geavanceerdere en proactieve maatregelen zoals threat hunting in Niveau 5. Met 171 controles van toenemende complexiteit, waar te beginnen?

• Ontwikkel uzelf: Begrijp de technische controles en beleidsregels die door CMMC worden uiteengezet.
  • Hier is Versie 1 van CMMC.
  • Hier is de CMMC FAQ.
• Bepaal welk niveau voor u juist is: Organisaties moeten beslissen welk certificeringsniveau ze nastreven. Organisaties die alleen FCI opslaan, kunnen tevreden zijn met CMMC Niveau 1, en organisaties die CUI opslaan en verwerken of bijdragen aan gevoeligere inspanningen, zullen waarschijnlijk willen gecertificeerd worden op CMMC Niveau 3 of hoger. De DoD zal het CMMC-niveauvereiste op de request for proposals vermelden.
• Ken uzelf: Begrijp en documenteer uw omgeving van uw interne netwerk tot uw zakelijke partners. Het wordt vaak gezegd dat "u niet kunt verdedigen wat u niet kent", en dat is waar. U moet uw segmentatie, systemen en aanvalsoppervlak begrijpen voordat u kunt hopen het te verdedigen.
• Zelfassessering: Bepaal hoe u scoort op de controles voor het certificeringsniveau dat uw organisatie nastreeft. Identificeer controles die momenteel niet gehaald worden, plan hoe de issues op te lossen, en herbeoordeel. Voor toekomstige flexibiliteit, identificeer wat het zou kosten uw organisatie het volgende niveau te halen.
• Buy-in creëren: We zijn zo sterk als ons zwakste schakel; begrijp dat CMMC ontworpen is om de risico's van zaken doen in de defensiesector te mitigeren. Sommige controles zijn simpel of worden al gedaan, anderen kunnen ondersteuning vereisen van verschillende delen van uw organisatie. U hebt misschien goedkeuringen, verhoogd budget of executive sponsorship nodig. Sommige controles kunnen een zware klus zijn technisch gezien. De hele organisatie moet buy-in hebben, pragmatisch zijn en hun deel doen om de missie te ondersteunen en te beschermen.
• Flexibel zijn: CMMC is nieuw en het creëert bruggen tussen de grote complexe entiteiten met de DoD en DIB. Dit zijn enorme organisaties, er zijn nog onbekendes met CMMC, en wat een maand geleden bekend was, kan veranderen. Wees dus flexibel, geduldig, en weet dat we allemaal beter hoeven te doen om te beschermen wat we waarderen.

Conclusie

Of u nu gecertificeerd moet worden voor CMMC Niveau 1 of 5, of misschien doet uw organisatie zelfs geen zaken met de DoD, de standaards die door CMMC worden gesteld, zijn een routekaart voor elke organisatie om hun cybersecurity-postuur te verrijken. Ongeacht uw startpunt, zal het bereiken van CMMC-compliance een uitdaging zijn voor zowel kleine als grote organisaties, maar het resultaat is de verbetering die we desperaat nodig hebben. Het beveiligen van onze data en intellectueel eigendom is zowel logisch als van absolute noodzaak om een technologische voorsprong te behouden over onze adversaries. Continue assessering en verbetering in de praktijk van cybersecurity-fundamenten zijn van cruciaal belang om een niveau van digitale weerbaarheid te bereiken dat ons in staat stelt moderne bedreigingen te bestrijden.

Wayne Lloyd is federal chief technology officer bij RedSeal.