Die CMMC-Reise: Der nächste Meilenstein zur Stärkung der nationalen Sicherheit
Die Reise des CMMC-Programms (Cybersecurity Maturity Model Certification) war eine der Hingabe, der öffentlich-privaten Zusammenarbeit und der unermüdlichen Bemühungen, die Defense Industrial Base (DIB) zu sichern. Die jüngste Veröffentlichung der endgültigen CMMC-Regel durch das US-Verteidigungsministerium (DoD) markiert einen bedeutenden Meilenstein in dieser laufenden Mission und bietet eine Fallstudie über die Vorteile der öffentlich-privaten Zusammenarbeit.
Eine kurze Geschichte von CMMC
Das CMMC-Programm wurde 2019 als Reaktion auf die sich entwickelnden Cybersicherheitsbedrohungen für die DoD-Lieferkette eingeführt, insbesondere im Hinblick auf den Schutz kontrollierter nicht klassifizierter Informationen (CUI). CUI bezieht sich auf Informationen, die nicht klassifiziert sind, die die Bundesregierung jedoch als sensibel genug identifiziert hat, um zusätzliche Sicherheitsvorkehrungen zu rechtfertigen.
Während Auftragnehmer bereits ihre Einhaltung einer Reihe gemeinsamer Sicherheitspraktiken beim Umgang mit CUI bestätigt hatten, wurde CMMC gegründet, um die Übernahme der in den NIST-Sonderpublikationen 800-171 und 800-172 beschriebenen Sicherheitsanforderungen im gesamten DIB weiter durchzusetzen. Ziel war es, eine unabhängige Überprüfung der Sicherheitslage des Auftragnehmers für alle abgedeckten Verträge zu verlangen - ein Begriff, der gemeinhin als "Vertrauen, aber verifizieren" bezeichnet wird.
Zunächst stand das Programm vor mehreren Herausforderungen bei der Umsetzung (öffnet in einem neuen Tab) dass Droht zum Upend (öffnet in einem neuen Tab) die Cybersicherheitsziele des DoD, einschließlich der Fragmentierung der föderalen Sicherheitslandschaft, mangelnder Klarheit über wesentliche Elemente wie den Umfang der Überprüfungen durch Dritte und mangelnder Aufsicht. Die Industrie arbeitete mit dem DoD zusammen, um diese Bedenken in der nächsten Iteration von CMMC, CMMC 2.0, zu identifizieren und anzugehen.
CMMC 2.0
Im November 2021 (öffnet in einem neuen Tab)Das DoD pausierte den CMMC 1.0 Rollout Relaunch als CMMC 2.0 (öffnet in einem neuen Tab). Dieses aktualisiertes Modell (öffnet in einem neuen Tab) Straffung des Rahmens durch Verringerung der Zahl der Laufzeitstufen von fünf auf drei. Die erneuten Bemühungen richteten das Programm auf die zugrunde liegenden NIST-Standards, Special Publications 800-171 und 800-172, aus, was dazu beitrug, die Komplexität der Bewertung und die regulatorische Fragmentierung zu reduzieren. Es verlagerte auch programmatische Aufsichtsaufgaben von OUSD (A & S) an das Büro des DoD Chief Information Officer (CIO).
Die Umstellung auf CMMC 2.0 war ein entscheidender Moment in der Entwicklung des Programms, was zeigt Bereitschaft des DoD (öffnet in einem neuen Tab) die Rahmenbedingungen anzupassen, um die Bedürfnisse der Auftragnehmer (öffnet in einem neuen Tab) und dabei die Cybersicherheitsziele zu erreichen.
In diesem Monat, fast genau drei Jahre nach dem Pivot zu CMMC 2.0, veröffentlichte DoD die endgültige Version des Programmatic CMMC Regel (öffnet in einem neuen Tab)Die Regel spiegelt die strategischen Ankündigungen dieses Drehkreuzes wider und enthält wichtige Einzelheiten und Definitionen für Schlüsselkonzepte und -verfahren. Insbesondere werden die Merkmale und Verantwortlichkeiten von Cloud Service Providern (CSPs) und externen Service Providern (ESPs) beschrieben, Leitlinien für den Umgang mit vorübergehenden Mängeln und dauerhaften Ausnahmen im Kontext von Aktionsplänen und Meilensteinen (POA & Ms) und operativen Aktionsplänen bereitgestellt und die Transparenz einiger Faktoren verbessert, die Programmmanager bewerten, um das geeignete CMMC-Level für jeden Vertrag zu bestimmen.
Der Weg nach vorn
Mit Blick auf die Zukunft erfordert die erfolgreiche Umsetzung des CMMC-Programms Laufende Zusammenarbeit (öffnet in einem neuen Tab) zwischen dem DoD, Branchenvertretern und Cybersicherheitsexperten. Der schrittweise Rollout-Ansatz, der eine schrittweise Umsetzung der Zertifizierungsanforderungen ermöglicht, soll Auftragnehmern die Zeit geben, die sie benötigen, um sich anzupassen und zu erfüllen.
Darüber hinaus hat sich das DoD verpflichtet, Auftragnehmer während des gesamten Zertifizierungsprozesses kontinuierlich zu unterstützen und zu beraten. Dazu gehören Ressourcen zum Verständnis der Anforderungen, der Zugang zu Bewertungstools und klare Kanäle für die Berichterstattung und die Behandlung auftretender Probleme.
Darüber hinaus deuten andere Regulierungsmaßnahmen darauf hin, dass die Bundesregierung den Schutz von CUI als Priorität eingestuft hat, auch außerhalb des Verteidigungsministeriums. Im vergangenen Jahr hat das Heimatschutzministerium eine Endgültige Regel (öffnet in einem neuen Tab) zur Sicherung der CUI. In jüngerer Zeit scheint auch die erneute Bewegung im langruhenden FAR-Fall 2017-016 diese Behauptung zu unterstützen. Während der Text dieser Regel noch nicht für den öffentlichen Gebrauch freigegeben wurde, wird angenommen, dass er standardisierte Sicherheitsanforderungen für den Schutz von CUI in nicht föderalen Systemen definiert.
Da die Bundesregierung dem Schutz von CUI weiterhin Priorität einräumt, wird es wichtig sein, einen ausgewogenen Ansatz zu verfolgen, um sicherzustellen, dass sensible Daten angemessen geschützt werden, ohne die anderen politischen Prioritäten der Bundesregierung zu beeinträchtigen, einschließlich der Bereitstellung innovativer Lösungen zur Unterstützung der Missionserfüllung und der Diversifizierung der Lieferantenbasis. Ein solches Gleichgewicht kann nur durch eine starke öffentlich-private Zusammenarbeit erreicht werden. ITI ist bereit, Gespräche zwischen Industrie und föderalen Interessengruppen zu erleichtern.
Der Start des CMMC-Programms ist ein Beweis für die Macht der öffentlich-privaten Zusammenarbeit. Während der Entwicklungsphasen arbeitete das Verteidigungsministerium aktiv mit Branchenverbänden, Auftragnehmern und Cybersicherheitsexperten zusammen, um Input zu sammeln und das Modell zu verfeinern. Die Veröffentlichung der endgültigen programmatischen Regel ist ein entscheidender Schritt zur Stärkung der nationalen Sicherheit der USA und spiegelt den Höhepunkt jahrelanger harter Arbeit, Zusammenarbeit und Engagement für die Verbesserung der Cybersicherheitslage des DIB wider. Da die Bundesregierung als Ganzes ihre Aufmerksamkeit auf den Schutz von CUI richtet, wird es wichtig sein, einen starken öffentlich-privaten Informationsaustausch aufrechtzuerhalten, um einen ausgewogenen und harmonisierten Ansatz zur Verbesserung der Cybersicherheit des Bundesunternehmens zu gewährleisten.
Related News & Analysis
Warum ein KI-„Notausschalter“ keine Universallösung ist
AI ist Supercharging Cyber Threats. Verteidiger brauchen neue Werkzeuge und Partnerschaften.
