The CMMC Journey: The Next Milestone in Strengthening National Security
El viaje del programa de certificación de modelos de seguridad cibernética (CMMC) ha sido una de la dedicación, colaboración entre el sector público y el privado, y un esfuerzo incesante para asegurar la Base Industrial de Defensa (DIB). La reciente publicación de la norma CMMC final por el Departamento de Defensa de los Estados Unidos marca un hito significativo en esta misión en curso y proporciona un estudio de caso para los beneficios de la colaboración público-privada.
Una breve historia de CMMC
El programa CMMC fue introducido en 2019 como respuesta a las amenazas de ciberseguridad que evolucionaron contra la cadena de suministro de DoD, en particular respecto a la protección de la información no clasificada controlada (CUI). CUI se refiere a información que no es clasificada pero que el gobierno federal ha identificado como lo suficientemente sensible como para justificar salvaguardias adicionales.
While contractors had already been attesting to their adhere to a set of common security practices when handling CUI, CMMC was created to further enforce the adoption of security requirements outlined in NIST Special Publications 800-171 and 800-172 across the DIB. El objetivo era exigir una revisión independiente de la postura de seguridad del contratista para todos los contratos cubiertos – una noción comúnmente referida como “verdadero pero verificado”.
Inicialmente, el programa se enfrentaba a varios problemas de aplicación (se abre en una pestaña nueva) que amenazó con el alza (se abre en una pestaña nueva) los objetivos de seguridad cibernética de DoD, incluyendo la fragmentación del panorama de seguridad federal, la falta de claridad de elementos esenciales como el alcance de los exámenes de terceros y la falta de supervisión. La industria trabajó con DoD para identificar y abordar estas preocupaciones en lo que se convertiría en la próxima iteración de CMMC, CMMC 2.0.
CMMC 2.0
En noviembre de 2021 (se abre en una pestaña nueva), el DoD detuvo la salida CMMC 1.0 relaunched as CMMC 2.0 (se abre en una pestaña nueva)Esto modelo actualizado (se abre en una pestaña nueva) racionalizó el marco reduciendo el número de niveles de madurez de cinco a tres. El renovado esfuerzo alineó el programa a las normas NIST subyacentes, Publicaciones Especiales 800-171 y 800-172, lo que ayudó a reducir la complejidad de la evaluación y la fragmentación regulatoria. También trasladó las responsabilidades de supervisión programática del OUSD (A plagaS) a la Oficina del Oficial Jefe de Información del Departamento de Defensa (CIO).
El cambio a CMMC 2.0 fue un momento crucial en la evolución del programa, demostrando La voluntad de DoD (se abre en una pestaña nueva) para adaptar el marco necesidades de los contratistas (se abre en una pestaña nueva) si bien aún logran objetivos de seguridad cibernética.
Este mes, casi exactamente tres años después del pivote a CMMC 2.0, DoD lanzó la versión final de la norma CMMC programática (se abre en una pestaña nueva)La regla refleja los anuncios estratégicos de ese eje y proporciona detalles y definiciones importantes para conceptos y procedimientos clave. Específicamente, delinea las características y responsabilidades de los proveedores de servicios en la nube (CSP) y proveedores externos de servicios (ESPs), proporciona orientación sobre el manejo de deficiencias temporales y excepciones duraderas en el contexto de planes de acciones y hitos (POA plagaMs) y planes de acción operacionales, y mejora la transparencia en algunos de los factores que los directores de programas evaluarán para determinar el nivel apropiado de CMMC para cada contrato.
The Road Ahead
Mirando hacia adelante, la implementación exitosa del programa CMMC requerirá colaboración en curso (se abre en una pestaña nueva) entre el Departamento de Defensa, los actores de la industria y los expertos en ciberseguridad. El enfoque de despliegue gradual, que permite una aplicación gradual de los requisitos de certificación, está diseñado para dar a los contratistas el tiempo que necesitan para adaptarse y cumplir.
Además, el Departamento de Defensa se ha comprometido a proporcionar apoyo y orientación continuos a los contratistas durante todo el proceso de certificación. Esto incluye recursos para comprender las necesidades, el acceso a los instrumentos de evaluación y canales claros para la presentación de informes y el tratamiento de las cuestiones que surjan.
Además, otras medidas reglamentarias sugieren que el gobierno federal ha identificado la protección de la CUI como una prioridad, incluso más allá del Departamento de Defensa. El año pasado, el Departamento de Seguridad Nacional emitió un última regla (se abre en una pestaña nueva) sobre la salvaguardia de la CUI. Más recientemente, el movimiento renovado en la larga caja de FAR 2017-016 parece apoyar esa afirmación también. Aunque el texto de esta norma no ha sido publicado para consumo público todavía, se cree que define requisitos de seguridad estandarizados para la protección de la CUI en sistemas no federales.
A medida que el gobierno federal siga priorizando la protección de la CUI, será fundamental adoptar un enfoque equilibrado para garantizar que los datos sensibles estén protegidos adecuadamente sin obstaculizar las otras prioridades políticas del gobierno federal, incluyendo el despliegue de soluciones innovadoras en apoyo de la entrega de la misión y la diversificación de la base de proveedores. Ese equilibrio sólo puede lograrse manteniendo una fuerte colaboración pública privada. ITI está preparado para facilitar conversaciones entre la industria y los actores federales.
El lanzamiento del programa CMMC es un testamento al poder de la colaboración público-privada. A lo largo de las fases de desarrollo, el Departamento de Defensa participó activamente con asociaciones industriales, contratistas y expertos en seguridad cibernética para reunir insumos y perfeccionar el modelo. La publicación de la regla programática final marca un paso crucial para reforzar la seguridad nacional de Estados Unidos y refleja la culminación de años de trabajo duro, colaboración y dedicación para mejorar la postura de ciberseguridad del DIB. Dado que el gobierno federal en su conjunto gira su atención hacia la salvaguardia de la CUI, será fundamental mantener fuertes intercambios de información entre los sectores público y privado para garantizar un enfoque equilibrado y armonizado para mejorar la postura de seguridad cibernética de la empresa federal.
Related News & Analysis
Por qué un «interruptor de apagado» de IA no es una solución universal
AI es Supercarging Cyber Threats. Los defensores necesitan nuevas herramientas y asociaciones.
