Топ 6 вопросов о CMMC: руководство для производителя

Что производителям нужно знать

Кибербезопасность — не новая тема в производстве. В тот момент, когда подключенное оборудование, инновационное ПО и передовые роботизированные системы начали выходить на цех, кибербезопасность стала частью разговора. Кибербезопасность делала заголовки рядом со статьями Industry 4.0, но шум от ярких новых технологий доминировал в разговоре.

Производители склонны ставить кибербезопасность на задний план. Это больше не будет опцией для многих. Производственная отрасль последовательно ранжируется в топ-5 отраслей, наиболее уязвимых и целевых для кибератак. Сектора здравоохранения, финансовых услуг и госучреждений все были подведены к более высокому стандарту когда речь идет о соблюдении безопасности и управлении рисками. Производственная отрасль еще не была подведена к более высокому стандарту и поэтому еще более уязвима для киберпреступности.

Кибербезопасность Модели зрелости Сертификация (CMMC) нависает над отраслью, и ниже 6 критических вопросов, которые производителям нужно задать.

Что такое CMMC?

CMMC означает Кибербезопасность Модели зрелости Сертификация. Эта сертификация принимает уникальный подход к обеспечению безопасности критической интеллектуальной собственности. Сначала CMMC будет требоваться только для производителей и поставщиков, которые обрабатывают Контролируемую неклассифицированную информацию (CUI) для Министерства обороны (DoD).

Кибербезопасность Модели зрелости Сертификация (CMMC) — это метод сертификации того, что соответствующие уровни кибербезопасностных процессов и защит находятся на месте для примерно 300 000 подрядчиков и субподрядчиков в цепочке поставок DoD. Процесс CMMC теперь потребует CMMC Третьей стороны Оценки Организацию (C3PAO) для сертификации того, что компании соответствуют, и что CUI безопасна.

Есть 5 уровней зрелости, часть CMMC, которые варьируются от «Базовой гигиены кибербезопасности» до «Продвинутой/Прогрессивной». По мере увеличения уровня зрелости, так же увеличиваются правила и руководства, которым бизнес должен следовать, чтобы стать сертифицированным и оставаться compliant.

Почему создается CMMC?

Министерство обороны признало кибератаки как значительную угрозу, особенно для малых и средних субподрядчиков, поддерживающих крупных праймов. Плохие актеры узнали, что праймы тратят больше ресурсов на предотвращение атак, и что их цепочка поставок была более легкой мишенью. Специальная публикация (SP) 800-171 Национального института стандартов и технологий (NIST) требования кибербезопасности были разработаны для защиты чувствительной информации для подрядчиков, работающих с Министерством обороны (DoD), для соблюдения пункта Defense Federal Acquisition Regulation Supplement (DFARS) 252.204-7012. Когда DoD оценило, что только небольшой процент цепочки поставок соответствовал этим руководствам, Кибербезопасность Модели зрелости Сертификация (CMMC) была создана.

Кибератаки — ежедневное происшествие, к сожалению. «С более чем 80 процентами национальной оборонной информации, живущей на сетях партнеров, это больше не разговор о том, что вы делаете, или что я делаю; это важнее, что мы делаем как коллектив для защиты национальной обороны», сказала Кэти Аррингтон, специальный помощник مساعد Секретаря Обороны за Закупки для Кибера, и одна из главных сторонников CMMC.

В декабре 2018 года китайские хакеры, как сообщается, украли информацию у подрядчиков Флота, включая данные по обслуживанию кораблей и планы ракет. Эти действия — прямой угрозе национальной безопасности. Даже если крупный поставщик DoD вроде Lockheed Martin имеет топ-уровневую кибербезопасностную программу, каждый субподрядчик и поставщик в цепочке поставок DoD должен защищать себя тоже, иначе они станут точкой входа для киберпреступников. Всего одно слабое звено в цепочке поставок DoD может поставить под риск всю страну.

Нужна ли моей компании CMMC?

Каждая компания должна инвестировать в укрепление своей кибербезопасности. По опросу Radware, оценочная стоимость за кибератаку — $4,6 млн. 13% участников опроса пережили кибератаку, которая стоила их компании $10 млн или больше, цифра, удвоившаяся всего за один год между 2018 и 2019. Эксперты по кибербезопасности New Jersey Manufacturing Extension Program (NJMEP) предлагают, чтобы каждый производитель получил бы выгоду от достижения эквивалента «Промежуточной кибергигиены», или Уровня 2 CMMC как лучшей практики. Для подрядчиков DoD уровень зрелости будет зависеть от того, где в цепочке поставок DoD компания попадает.

Определение, какой из пяти уровней зрелости CMMC подрядчик DoD, субподрядчик или производитель должен соблюдать, будет либо определен прайм-подрядчиком DoD, либо может быть раскрыто через CMMC gap-анализ. Все поставщики, субподрядчики или производители, которые делают любую работу, как бы минимальной она ни была, с DoD будут нуждаться в некотором уровне CMMC, но уровень зрелости будет отличаться в зависимости от информации, которую бизнес обрабатывает, и проводимой работы.

Если компания Defense Industrial Base (DIB) не обладает Контролируемой неклассифицированной информацией (CUI), но обладает Федеральной контрактной информацией (FCI), она обязана соответствовать пункту FAR Clause 52.204-21 и должна быть сертифицирована минимум на уровне CMMC Level 1.

Когда мне нужно начать процесс сертификации?

Сейчас. Подрядчики DoD, субподрядчики и производители должны начать процесс становления CMMC как можно скорее, чтобы избежать риска потери критичных DoD-контрактов. От начала до конца процесс может занять до года. В июне 2020 года CMMC начало появляться в RFI. Бизнес может ожидать RFP, упоминающие CMMC, начиная с сентября 2020 года, и Оценки начнутся осенью 2020 года.

Действуя сейчас и работая с консультантом, интимно знакомым с CMMC и фреймворком, из которого CMMC произошла, NIST 8001-171, будет жизненно важно. Сертификация начинается с оценки для определения того, где в уровне зрелости CMMC организация в настоящее время находится. Следующий шаг — провести глубокий gap-анализ и затем перейти к полной ремедиации. Каждый уровень зрелости CMMC занимает разное количество времени и усилий. Однако начало как можно скорее уменьшит бремя на компании, руководстве и рабочей силе.

Что случится, если я не стану сертифицирован?

Для подрядчиков DoD, субподрядчиков, поставщиков или производителей…

Достижение необходимого уровня зрелости CMMC может означать разницу между получением следующего DoD-контракта или нет. DoD прайм-подрядчики начнут требовать от всех субподрядчиков соблюдения этих критических новых правил. Любой производитель, который не соблюдает эти руководства и не достигает надлежащего уровня зрелости CMMC, не сможет продолжать ведение бизнеса с DoD.

Для не-DoD производителей…

На данный момент подрядчики DoD — единственные под риском потери DoD-работы, если они не получат CMMC. Однако малые-средние производители всегда под риском кибератаки, полностью парализующей их бизнес, иногда до точки, где они никогда не смогут финансово восстановиться. Эта сертификация предоставляет не-DoD производителям фантастическую кибербезопасностную базу и лучшие практики. В зависимости от результатов кибербезопасностной оценки, бизнес может определить, какой уровень зрелости лучше всего подойдет для них.

Кто может ответить на все мои другие вопросы о CMMC?

Получение CMMC может быть вызовом, особенно без правильной поддержки. Сертификация все еще в зачаточном состоянии, что создает трудную среду для производителей навигировать самостоятельно. Исследование вебсайтов вроде acq.osd.mil/cmmc/faq.html или работа рядом с консультантами вроде NJMEP — лучшие способы начать и помогут превратить устрашающий процесс в упорядоченную добавленную стоимость для любого бизнеса.

Понимание CMMC, какие бизнесы будут затронуты, когда действовать, и определение необходимого уровня зрелости может быть устрашающим. Не идите в одиночку. Кибербезопасность необходима, но может быть сложной. Работа с правильной командой и доступ к правильной информации докажутся бесценными.

Будьте осторожны

Было так много вопросов вокруг этой темы и так много разработок, пока она выкатывалась. Рано было много компаний, претендующих на способность помочь и взимающих значительную сумму, даже когда финальная версия руководств даже не была решена или коммуницирована. Есть бесчисленные компании, продающие решения или сервисы для помощи, и может быть трудно определить, кому доверять. Это не то, что можно просто аутсорсить управляемому сервис-провайдеру (MSP), претендующему быть знакомым с требованиями.

1.https://www.radware.com/newsevents/pressreleases/c-suite-2019