Charles IT の創設者である Foster Charles が国防総省の規則制定の中で CMMC 2.0 について語る

プラトン再発行

フォロワー： 0

私たちが追跡している 13 の保険会社のうち 2.0 つは、MFA を取得していない限り、ポリシーを作成しません。 CMMC XNUMX の場合も同様です。MFA、ウイルス対策、セキュリティ意識向上トレーニングなどの基本がなければ、行動計画とマイルストーン (POA&M) は受け入れられません。 – Foster Charles 氏、Charles IT の創設者兼 CEO

コネチカット州ミドルタウン (PRWEB) 2023 年 3 月 27 日

国防総省 (DoD) は、新しいサイバーセキュリティ成熟度モデル認定を発表しました。 CMMC2.0、2021 年 1.0 月。この変更は、元の CMMC XNUMX モデルが請負業者にとって扱いにくく、混乱を招くと判断された後に行われました。ただし、防衛産業基地 (DIB) の請負業者が、管理された非機密情報 (CUI) や連邦契約情報 (FCI) などの機密情報を保護するための適切な手段と手順を確実に持つようにするという意図は変わりません。

理解しておくべき重要なことは、CMMC 2.0 は実際には新しいものではないということです。この要件は、米国国立標準技術研究所 (NIST) SP 800-171 に基づいており、以前から要求されていた国防連邦調達規則補足 (DFARS) に直接準拠しています。

新しい規制は 2023 年に施行されるため、IT セキュリティのベストプラクティスをどれだけ厳密に実施しているかが重要です。成功するには、請負業者はコンプライアンスへのアプローチを変更する必要があります。

CMMC 2.0 のハイレベルな変更点

CMMC 1.0 は、さまざまなセキュリティ要件を連邦政府向けの単一のコンプライアンス標準に集約することを目的としていました。意図は良かったのですが、ルールは非常に複雑でした。 CMMC 2.0 は CMMC 1.0 を単純化したもので、連邦政府の防衛セキュリティを向上させるために、DIB 請負業者がコンプライアンスを達成することをはるかに容易にします。

レベル 17 では、NIST のサイバーセキュリティフレームワーク (CSF) に似た 800 のベストプラクティスの自己評価が必要です。レベル 171 は NIST SP 3-800 に準拠しており、CMMC 第三者評価機関 (C172PAO) からの認定が必要です。最後に、最高機密情報を扱う DIB 請負業者は、NIST XNUMX-XNUMX に基づくレベル XNUMX のコンプライアンスを達成する必要があります。

CMMC 2.0 は、NIST SP 800-171 に含まれていない要件を削除して、コンプライアンスの達成と実施をより実用的にします。また、悪意のある攻撃者が業界の巨人 (ロッキードマーチンなど) と契約している小規模な企業を標的にするため、サプライチェーン全体のセキュリティを確保するために DIB の下請業者も対象としています。「ハッカーは、2.0 つのサプライヤから XNUMX つの CUI だけを取得する可能性があります。しかし、彼らがそれらの束を積み重ねると、かなり完全な全体像を得ることができます - これが秘密が漏洩する方法です. CMMC XNUMX は、国家機密の保護に関するものです」と Charles は言います。

サイバー戦争は最新の懸念事項ですが、それには正当な理由があります。たとえば、攻撃者はインフラストラクチャに対してサイバー攻撃を開始し (Colonial Pipeline 攻撃など)、延長されたダウンタイムを利用して、より壊滅的な物理的攻撃を開始します。これにより、国全体が停止する可能性があります。

これらの変更の主なポイントは何ですか?また、プロセスを更新する際に知っておくべきことは何ですか?

CMMC 2.0 の主な目的は、明快さをもたらし、複雑さを取り除くことです。たとえば、レベル XNUMX および XNUMX のコンプライアンスについては、(年次評価ではなく) XNUMX 年ごとに第三者認証が必要です。

さらに、手順が理解しやすいため、セキュリティ体制を最新の状態にすることに集中できます。

CMMC 2.0 が DIB 請負業者にもたらすメリット

CMMC 2.0 では、CUI の保護が強化され、データの漏洩やスパイ行為を防ぐことができます。国家安全保障を強化し、サプライチェーンや国家が支援する攻撃から保護するのに役立ちます。ただし、DIB 請負業者の運用にもメリットがあることを理解してください。企業は依然として多くのプロセスを手動で実行していますが、これは非常に安全ではありません。彼らの IT セキュリティの衛生状態の悪さは、多くの場合、費用のかかるランサムウェアやその他の攻撃につながります。 CMMC 2.0 は、これらの請負業者に、最終的には組織にとって良いビジネス習慣を確立するように強制します」と Charles は言います。

さらに別の規制の考えは恐ろしいかもしれません。良いニュースは、CMMC 2.0 の半分がすでに NIST SP 800-171 に含まれていることです。これには、DIB 請負業者が既に従うべきサイバーセキュリティの実践が詳述されています。たとえば、ウイルス対策ソフトウェアの使用、多要素認証 (MFA) の実装、すべての CUI のマッピングとラベル付けなどです。 .

重要なことに、企業は、CMMC 2.0 で概説されている多くの対策を実施しなければ、サイバーセキュリティ保険の適用を受けることさえできません。「私たちが追跡している13の保険会社のうち2.0つは、MFAを取得していない限り、ポリシーを作成しません. CMMC XNUMX も同様です。MFA、ウイルス対策、セキュリティ意識向上トレーニングなどの基本がなければ、行動計画とマイルストーン (POA&M) は受け入れられません」と Charles 氏は言います。

CMMC 2.0 は、防衛産業全体がテクノロジーの観点から最新の状態に到達するために必要な前進です。

アプローチを変えることが重要な理由

前述のように、CMMC 2.0 に関する最も一般的な誤解は、実際にはそうではないのに、新しいコンプライアンス標準であるというものです。

もう 2.0 つの重大な誤解は、多くの請負業者が、行動を起こす前に CMMC 7 の裁定が承認されるまで待つことができると思い込んでいるということです。多くの請負業者は、セキュリティ体制を評価し、修復措置を実施し、第三者による評価を受けるのにかかる時間を過小評価しています。また、システムやプロセスが技術的に遅れていることや、コンプライアンスを達成するために必要な投資を誤解している人もいます。これらの基準を満たすには、ベンダーとの調整が必要であり、完了するまでに時間がかかる場合があることを覚えておくことも重要です。「多くの請負業者は、サプライチェーンの複雑さと、使用するサードパーティベンダーの数を見落としています。たとえば、一部のサプライヤがまだ Windows XNUMX を使用していて、アップグレードを拒否していることに気付く場合があります。そのため、ベンダーが準拠していない場合、窮地に立たされる可能性があり、ベンダーがテクノロジーをアップグレードするのを待たなければなりません」と Charles 氏は言います。

クラウドのコンプライアンスにも問題がある、と Charles は指摘します。また、多くの請負業者は、どのクラウドでも CUI を処理できないことを認識していません。プラットフォームは Fedramp medium または Fedramp high クラウド上にある必要があります。たとえば、Office 365 の代わりに、Microsoft 365 Government Community Cloud High (GCC High) を使用する必要があります。

CMMC 2.0 の準備方法

まだ準備していない場合は、できるだけ早く準備を開始し、プロセスに 2.0 ～ 2023 年かかると予想してください。 CMMC 60 は XNUMX 年に発効する可能性が高く、発効するとすぐに、XNUMX 日以内にすべての契約に表示されるようになります。最後まで待つ余裕はありません。

言い換えれば、請負業者は切迫感から利益を得ます。「一度にコンプライアンスを達成することは、組織とその日常のビジネスプロセスにとって大きなショックとなる可能性があります。評価を実施し、複数年のロードマップを設計することをお勧めします」とチャールズは言います。この計画では、次のような質問に答える必要があります。どのマシン/ハードウェアを交換する必要がありますか? アップグレードが必要なサードパーティベンダーはどれですか? 今後XNUMX年間でそうする計画はありますか？」

CMMC 2.0 準拠には、システムセキュリティプラン (SSP) の提出が不可欠です。 SSP は、マネージドサービスプロバイダー（MSP）企業のコンプライアンスを支援するために使用できます。スコアシートは、CMMC のセキュリティ要件の概要を示し、必要なアップグレードの概要を把握するのに役立ちます。「私が通常最初に尋ねるのは、『あなたの SSP スコアを知っていますか?』ということです」と Charles は言います。他の企業はそれほど進んでいないかもしれません。その場合、Charles IT は、SSP および行動計画とマイルストーン (POA&M) を作成するための最初のステップとして、クライアントのギャップまたはリスク評価を実施できます。「私たちはそれを呼びますギャップ評価. 水深を知る必要があり、それを特定して SSP の作成を支援します」と Charles はアドバイスします。

比較的成熟したセキュリティ体制があり、最新のサイバーセキュリティのベストプラクティスに従っている場合、CMMC 2.0 への準拠を達成するには約 18 ～ XNUMX か月かかります。そうでない場合は、XNUMX か月のタイムラインを見ている可能性があります。繰り返しになりますが、契約が成立するまで待たないでください。ビジネスを失うことを避けるために、今すぐ始めましょう。