Соответствие поставщикам DoD: Как два кибербезопасных предположения формируют будущее

Оценки говорят, что в Обороно-промышленной базе (DIB) по производственным и непроизводственным секторам находится около 300 000 компаний. Примерно 99% DIB составляют небольшие и средние бизнесы — компании с менее чем 500 сотрудниками.

С декабря 2017 года все компании в DIB имеют пункт Defense Federal Acquisition Regulation Supplement (DFARS) (252.204-7012 — Защита контролируемой неклассифицированной информации и отчетность о киберинцидентах) в своих контрактах. После почти трех лет в DIB появляется ряд неверных предположений, два из которых заслуживают более глубокого обсуждения...

Первое предположение: Самоутверждения — не проблема

В результате принятия условий контракта с DoD, производители самоутверждают, что используют «адекватную кибербезопасность» для защиты Контролируемой неклассифицированной информации (CUI). Адекватная кибербезопасность определяется пунктом DFARS как полная реализация 110 требований безопасности, изложенных в NIST Special Publication 800-171.

Многие производители предполагают, что их кибербезопасность достаточна. Большинство клиентов CMTC обычно начинают свою кибербезопасную активность с оценки, что они соответствуют на 70–80%. Однако текущий средний показатель после базового анализа пробелов составляет около 34% соответствия.

Предыдущие посты блога охватывали часто упускаемые юридические риски, связанные с несоответствием требованиям кибербезопасности. В конечном счете, если компания хочет вести бизнес с Министерством обороны (DoD), она должна принять условия контракта и, следовательно, самоутверждать соответствие кибербезопасности.

Второе предположение: Внешние IT-провайдеры — единственное решение

Многие малые бизнесы не имеют выделенного IT-персонала и ресурсов. В результате многие производители используют сторонних IT-провайдеров услуг. Для того чтобы эти малые бизнесы могли работать, внешним провайдерам услуг доверяется огромный административный доступ к информационным системам компании. Часто производители предполагают, что всё идет по плану. Производители должны контролировать своих сторонних IT-провайдеров, чтобы понимать, какие действия предпринимаются. Киберпуть производителя с IT-провайдером коллаборативен с компанией, вовлеченной в активности и результаты работы провайдера.

Кроме того, в терминах экспозиции, примерно половина из 110 требований безопасности напрямую связана с техническими операциями и технологическими решениями, обычно предоставляемыми сторонним IT-провайдером. Некоторые меры кибербезопасности настолько фундаментальны для бизнес-операций, что правительство разумно предполагало, что все поставщики DoD будут проактивно управлять своим риском. Обязательно, чтобы производитель и IT-провайдер работали вместе для достижения соответствия DoD. Поставщик DoD несет ответственность за соответствие на долгосрочной основе.

Вместе эти два ключевых неверных предположения могут создать огромный технический и комплаенс-долг.

Государственные аудиты соответствия кибербезопасности на подходе, поэтому лучший путь вперед — контролировать вашего IT-провайдера и работать коллаборативно для вклада в ваше общее соответствие.

Рекомендуемые следующие шаги

1) Сфокусируйтесь на ваших существующих требованиях DFARS.

2) Потратьте время на тщательное понимание предположений, лежащих в основе NIST SP 800-171.

3) Установите надежный процесс управления сторонними вендорами.

4) Потратьте время на тщательное понимание договорных обязательств по потоку вниз.

Для краткого обзора общей регуляторной экосистемы и более глубокого обсуждения тем,outlined в этом посте, вы можете посмотреть онлайн-вебинар CMTC здесь.