Топ-5 вопросов производителей о кибербезопасности и госсоответствии (DFARS)

Эта статья изначально публиковалась в Industry Today. Гостевая публикация Дженниферт Керц, директора по киберпрограмме в Manufacturer's Edge, центре NIST MEP в Колорадо и представителе национальной сети MEP™.

По данным Департамента внутренней безопасности США, производство — вторая по таргетированности отрасль по количеству зарегистрированных кибератак. Более того, киберпреступники видят в малых и средних производителях (СМП) главные цели, потому что у многих нет адекватных превентивных мер.

Для подрядчиков и субподрядчиков Департамента обороны (DoD) бизнес как обычно — прошлогоднее. Федеральное правительство, все больше полагающееся на внешних провайдеров услуг для ведения бизнеса, подняло ставки в защите контролируемой неклассифицированной информации (CUI) в нефедеральных информационных системах и организациях. С 31 декабря 2017 года все федеральные государственные подрядчики обязаны соответствовать минимальным требованиям кибербезопасности Defense Acquisition Regulation Supplement (DFARS) или рисковать потерей контрактов. Несмотря на прошедший дедлайн, многие СМП лишены знаний и ресурсов для апгрейда систем и не знают, как выполнить эти 110 новых требований безопасности. Важно отметить: Federal Acquisition Regulation, применяемый к господрядчикам от имени General Services Administration (GSA) и NASA, скоро также включит похожие требования кибербезопасности.

Национальная сеть MEP, государственно-частное партнерство, доставляющее комплексные проверенные решения американским производителям, активно предоставляет осведомленность и помощь для защиты информационных активов американских производителей от рисков кибератак. Организация и ее партнеры также служат национальным ресурсом для американских производителей, ищущих внедрение адекватной безопасности для защиты хранящихся, обрабатываемых и передаваемых контролируемых неклассифицированных информаций.

Ниже — пять самых частых вопросов, которые я слышу от СМП о федеральных руководящих принципах безопасности DFARS.

В: Что такое контролируемая неклассифицированная информация (CUI) и как узнать, обрабатываю ли я этот тип информации как часть моего контракта?

О: Контролируемая неклассифицированная информация (CUI) — данные, являющиеся правительственной проприетарной информацией. Это информация, которую правительство хочет держать безопасной, но не жизненно важную для национальной безопасности. Пункт DFARS 252.204.7012 может появляться в вашем контракте, но активируется только если вы обрабатываете, храните или передаете CUI. CUI может включать: исследовательские и инженерные данные, инженерные чертежи, спецификации, руководства, технические отчеты, исследования и анализы, исполняемый компьютерный код и исходный код. CUI будет иметь специальные маркировки и инструкции по обращению, такие как FOUO (For Official Use Only). Для большей информации о маркировках CUI см. реестр CUI.

В: Является ли соответствие DFARS обязательным по закону?

О: Любой подрядчик или субподрядчик, имеющий пункт DFARS в контракте, законно обязан соблюдать. Если фальшиво заявляете о соответствии, рискуете потерять госконтракт и все связанные доходы, и, вероятно, станете недопустимыми для будущих госконтрактов.

В: Я владею малым бизнесом, и мои госконтракты малы по масштабу. Применяется ли соответствие DFARS ко мне?

О: Независимо от размера вашей компании или контракта, если вы федеральный подрядчик или субподрядчик, обрабатывающий, хранящий или передающий CUI, вы должны соблюдать. Киберпреступники таргетят малые компании, так как у них обычно меньше мер безопасности. Компании нижних уровней цепочки поставок могут быть легче для проникновения, чем попытка взломать сети первичной цели. Атака через цепочку поставок может быть более легким путем к контролируемой неклассифицированной госинформации, чем прямой доступ к госсетям.

В: Как узнать, соответствует ли моя компания сейчас требованиям DFARS?

О: Консультируйтесь с NIST Handbook 162. Это руководство дает пошаговый гайд к оценке информационных систем производителя против требований безопасности DFARS.

В: Моя организация не соответствует минимальным гайдлайнам DFARS, но я не знаю, с чего начать процесс соответствия?

О: Внедрение правительственно одобренного плана кибербезопасности может быть пугающей задачей. Начать можно с ревью публикации NIST SP 800-171, описывающей требования DFARS. Также можете обратиться к национальной сети MEP для подключения к вашему локальному центру MEP. Локальные центры MEP предлагают широкий спектр бесплатных или доступных услуг и инициатив для руководства производителей через процесс соответствия. Эти услуги включают связи с киберекспертами, которые могут разработать детальный gap-анализ протоколов и процедур и создать план действий, адресующий уязвимости и другие вопросы соответствия.

В: Моя компания не господрядчик, но я хочу усилить наши протоколы кибербезопасности. Могу ли я использовать гайдлайны DFARS?

О: Абсолютно. Производители, работающие в коммерческих цепочках поставок, должны серьезно рассматривать внедрение требований безопасности DFARS как интегральную часть управления организационными рисками.

По мере того как производственный сектор все больше оцифровывается, необходимость понимать, смягчать и реагировать на все более сложные киберугрозы стала ценой ведения бизнеса.