Сертификация CMMC: ключевые инсайты для оборонных подрядчиков

По мере приближения полного внедрения Cybersecurity Maturity Model Certification (CMMC) затрагиваемые организации активно готовятся к прохождению сертификации.

Цель и ставки

Задача проста: организации должны соответствовать минимальным стандартам кибербезопасности, тем самым укрепляя национальную безопасность. Ставки невероятно высоки для около 300 000 организаций оборонно-промышленной базы (DIB), которые вскоре должны будут получить сертификат одного из пяти уровней CMMC для участия в федеральных контрактах. Без сертификата — нет контракта. С точки зрения правительства США и Министерства обороны (DoD) риски всегда были высоки, так как DIB играет критически важную роль в обороне нации. Единственный способ защитить данные и целостность цепи поставок — требовать от отрасли более высокие стандарты.

Как мы пришли к этому

Активность государственных и негосударственных злоумышленников растет, экономические потери достигают $5 трлн глобально. По другим оценкам, ущерб экономике США в 2016 году составил $57–109 млрд. Но CMMC — не только об экономике, это о коллективной защите. Компании любого размера вносят вклад в успех американского воина, и все они будут нести одинаковую ответственность.

В федеральном секторе достаточно взглянуть на определенные модели истребителей, чтобы понять, как важно защищать организации, обеспечивающие безопасность страны. В коммерческом секторе взлом Target показал, как бизнес-партнеры становятся слабым звеном. Повышая ответственность DIB, мы выполняем не только новое бизнес-требование, но и стратегический императив устойчивости к атакам. Время изменилось — мы действуем на современном поле битвы, где «война», «шпионаж» и «преступность» получили приставку «кибер-». Частные и публичные структуры должны быть готовы современным ответам.

Что такое CMMC

CMMC включает пять уровней технических и процедурных контролов для защиты Controlled Unclassified Information (CUI) и Federal Contract Information (FCI) подрядчиков DoD. Для уровня 5 требуется реализация и оценка 171 контроля. Большинство специалистов по кибербезопасности в федеральном секторе найдут большинство контролов знакомыми: для уровня 3 почти все они заимствованы из NIST SP 800-171. Организации, требующие сертификацию, с 2016 года уже были обязаны соблюдать NIST SP 800-171. Ключевое отличие: самоаттестация и Plan of Actions and Milestones (POA&M) больше не работают. Необходима формальная оценка аккредитованным сторонним оценщиком (C3PAO) через CMMC Accreditation Body. Даты оценок еще не объявлены, но обучение первой группы оценщиков уже началось.

Что делать сейчас

Подготовка к CMMC — это внедрение фундаментов кибербезопасности и непрерывного улучшения для большей устойчивости. Уровни кумулятивны: для уровня 4 нужен полный compliance с уровнем 3. Каждый уровень коррелирует со степенью зрелости практик — от базовой гигиены до проактивных мер (threat hunting на уровне 5). С 171 контролем растущей сложности — с чего начать?

• Обучение: Изучите технические контролы и политики CMMC.
  • Версия 1 CMMC
  • FAQ CMMC
• Определите нужный уровень: Организации только с FCI могут ограничиться уровнем 1. Те, кто работает с CUI или участвует в чувствительных проектах — уровень 3+. DoD укажет требуемый уровень в запросе на предложения.
• Познайте себя: Документируйте свою среду — от внутренней сети до бизнес-партнеров. «Нельзя защитить то, что не знаешь». Понимание сегментации, систем и поверхности атаки — пререквизит защиты.
• Самооценка: Сопоставьтесь с контролами целевого уровня. Выявите пробелы, запланируйте устранение, переоцените. Для гибкости оцените усилия для следующего уровня.
• Вовлечение организации: Сила цепи — в самом слабом звене. CMMC снижает риски в оборонном секторе. Некоторые контролы просты или уже выполняются, другие потребуют поддержки разных подразделений: одобрений, бюджета, спонсорства топ-менеджмента. Технически сложные контролы могут быть тяжелым подъемом. Вся организация должна принять вызов, быть прагматичной и защищать миссию.
• Гибкость: CMMC новая, создает мосты между крупными структурами DoD и DIB. Есть неизвестные, ситуация меняется. Будьте гибкими, терпеливыми — мы все должны стать лучше в защите того, что ценим.

Независимо от того, нужен ли вам уровень 1 или 5, или вы вообще не работаете с DoD — стандарты CMMC являются дорожной картой для зрелости кибербезопасности любой организации. Достижение соответствия вызовет трудности у малых и крупных компаний, но результат — необходимое улучшение. Защита данных и интеллектуальной собственности — логическая необходимость для сохранения технологического преимущества над противниками. Непрерывная оценка и улучшение фундаментов кибербезопасности — ключ к цифровой устойчивости перед современными угрозами.

Уэйн Ллойд — федеральный технический директор в RedSeal.