От Джон Гранкарич, изпълнителен вицепрезидент, ръководител на отдел „Отбрана и разузнаване“ във Fortra

Неотдавнашното спиране, засягащо прилагането на Фаза II от Сертификацията за зрялост на киберсигурността (CMMC), очаквано породи въпроси в рамките на отбранителната индустриална база (DIB). За много организации първата реакция беше да попитат дали сроковете за съответствие ще се променят, дали подготовката за оценка може да бъде забавена или дали инвестициите в сигурност могат да бъдат отложени, докато не се появят допълнителни насоки.

Тези въпроси са разбираеми. Те обаче са фокусирани върху грешния проблем.

Въпреки че сроковете за внедряване могат да се променят, основните изисквания за сигурност, които доведоха до създаването на CMMC, не са се променили. Министерството на отбраната на САЩ все още зависи от своите изпълнители за защитата на контролираната некласифицирана информация (CUI).

Атакуващите продължават да вземат на прицел изпълнители в отбранителния сектор, вериги за доставки и доставчици на критични технологии. Федералните очаквания за киберсигурност остават в сила. А договорните задължения, свързани със защитата на чувствителна информация, не са изчезнали внезапно.

Въпреки че това спиране може да повлияе на механиката на сертифицирането, то не променя важността на защитата на чувствителните данни.

Разбиране на това какво се е променило и какво не

Едно от предизвикателствата при дискусиите около CMMC е, че организациите понякога третират рамката така, сякаш съществува в изолация.

В действителност CMMC е изградена върху основи, които предхождат самия модел на сертифициране. В центъра на тези основи е стандартът NIST SP 800-171, който определя изискванията за сигурност за защита на контролирана некласифицирана информация в нефедерални системи и организации.

За много изпълнители в отбранителния сектор договорните задължения, свързани с DFARS 252.204-7012, изискванията за сигурност, произтичащи от NIST SP 800-171, задълженията за докладване на инциденти и по-широките федерални очаквания за киберсигурност остават в сила, независимо от промените в сроковете за внедряване на CMMC.

С други думи, спирането на дейностите по сертифициране не трябва да се тълкува като спиране на отговорността за сигурността.

Организациите, които отлагат подобренията в киберсигурността единствено въз основа на графика за сертифициране, в крайна сметка могат да се окажат изостанали, когато оценките бъдат възобновени. По-важното е, че те могат да увеличат оперативния и договорния риск през преходния период.

По-големият риск: Третиране на съответствието като събитие в календара

Една от най-честите грешки, които организациите допускат, е да разглеждат съответствието като проект, а не като способност.

Когато това се случи, инициативите за сигурност често се обвързват с външни крайни срокове. Ресурсите се разпределят при наближаване на оценка и след това се пренасочват другаде, когато сроковете се променят.

Проблемът с този подход е, че атакуващите не работят по графици за съответствие.

Същите данни, които в крайна сметка ще бъдат оценявани по CMMC, остават ценни за държавно спонсорираните злонамерени субекти и киберпрестъпните организации и днес. Чувствителната техническа информация, програмната документация, инженерните данни и оперативната информация не стават по-малко привлекателни просто защото сроковете за сертифициране се променят.

Организациите, които преустановяват усилията си за готовност, могат да открият, че неволно са създали пропуски в основни области на сигурността.

Това не са просто опасения за одит. Това са фундаментални способности за сигурност.

Къде много изпълнители все още срещат затруднения

След множество дискусии в правителството, с изпълнители от отбраната и съюзнически отбранителни организации се очертава повтаряща се тема: повечето организации не изпитват затруднения да разберат защо сигурността е важна. Те се затрудняват да разберат къде всъщност се намира чувствителната информация и как се движи тя.

  • Много организации са прекарали години в фокусиране върху системите и инфраструктурата. Все по-често предизвикателството е да се разберат самите данни.
  • Организациите често поддържат широки модели за достъп, които се развиват с течение на времето с разширяването на екипите, изпълнителите и програмите. Правата се натрупват по-бързо, отколкото се преразглеждат, което създава ненужна уязвимост.
  • Чувствителната информация често се движи между организации, подизпълнители, облачни услуги, платформи за сътрудничество, инженерни среди и оперативни системи без последователна рамка за обработка и защита.
  • Много организации са внедрили контроли за сигурност, но трудно ги демонстрират последователно чрез политики, процедури, артефакти и доказателства за одит.
  • Главните изпълнители може да имат добра видимост върху собственото си състояние на сигурност, но да имат значително по-малко представа за това как подизпълнителите и външните доставчици обработват контролираната информация.

Тези предизвикателства стават по-значими, а не по-малко, в периоди на регулаторна несигурност.

Защита на контролираната информация по време на паузата

Вместо да забавят усилията за готовност, организациите трябва да използват този период, за да укрепят областите, които често получават по-малко внимание по време на официални проекти за съответствие.

Полезната отправна точка е изненадващо проста: знайте къде се намира вашата контролирана информация. Организациите трябва да могат да отговорят на фундаментални въпроси за своите данни.