Cybersecurity Maturity Model-Zertifizierung (CMMC)

Das US-Verteidigungsministerium (DoD) arbeitet an einem neuen universellen Standard namens Cybersecurity Maturity Model Certification (CMMC). Dieses Modell wird aufgrund der langsamen Akzeptanz seines Vorgängers, des Defense Acquisition Federal Regulation Supplement (allgemein bekannt als „DFARS“), entwickelt. Es ist allgemein anerkannt, dass die Einheitsvorgaben des DFARS nicht funktionierten und DoD-Auftragnehmer fälschlicherweise die Einhaltung der darin enthaltenen Vorgaben behaupteten, obwohl sie dies tatsächlich nicht taten. Diese Erkenntnis führte zur Entwicklung einer fünfstufigen Cybersicherheits-Reifeskala, anhand derer sich DoD-Auftragnehmer selbst bewerten und zertifizieren lassen können. Dieser CMMC-Standard ist bekannt.

Welche Bereiche werden im CMMC abgedeckt?

Sie können sich den Entwurf v0.7 des CMMC hier ansehen: CMMC-Website . Dieses Dokument beschreibt, wie Unternehmen anhand der NIST-basierten Reifegradskala von 1 bis 5 bewertet werden. Dabei steht 1 für grundlegende Cybersicherheitsmaßnahmen und 5 für ein fortgeschrittenes und zukunftsorientiertes Cybersicherheitsprogramm, das Richtlinien, Prozesse, Wiederholbarkeit und Effektivität im proaktiven Schutz vor Cyberbedrohungen vereint. Der CMMC konzentriert sich auf die traditionellen Kontrollen gemäß NIST 8700-171 und ergänzt dieses DoD-spezifische Programm um einige weitere Kontrollen. Standardmäßige Kontrollbereiche umfassen:

1. Zugangskontrolle
2. Sensibilisierung und Schulung der Mitarbeiter
3. Prüfung und Rechenschaftspflicht
4. Configuration Management
5. Identifikation und Authentifizierung
6. Erkennung und Planung von Vorfallreaktionen
7. Systemwartung und Patching
8. Medienschutz
9. Personalsicherheit
10. Physische Sicherheit
11. Risikobewertungen: Risiken identifizieren, bewerten und managen
12. Sicherheitsbewertungen
13. Definierte Sicherheitsanforderungen für den Schutz von Systemen und Kommunikation
14. System- und Informationsintegrität

Was wird in den CMMC-Reifegraden enthalten sein?

Obwohl sich das CMMC noch in der Entwicklung befindet, zeigen erste Entwürfe, dass Organisationen die Einhaltung einer der fünf unten beschriebenen Stufen zertifizieren können. Das CMMC wird verschiedene Cybersicherheitsstandards und Best Practices prüfen und kombinieren und diese Kontrollen und Prozesse über mehrere Reifegrade abbilden, die von grundlegender Cyberhygiene bis hin zu fortgeschrittener Cybersicherheit reichen. Folgendes ist derzeit über die CMMC-Stufen und ihre jeweiligen Anforderungen bekannt:

• Level 1 - „Grundlegende Cyber-Hygiene“ – Um ein Audit dieser Stufe zu bestehen, muss der Auftragnehmer des Verteidigungsministeriums 17 Kontrollen von NIST 800-171 rev1 implementieren.
• Level 2 - „Intermediate Cyber-Hygiene“ – Um ein Audit für diese Ebene zu bestehen, muss der Auftragnehmer des Verteidigungsministeriums weitere 48 Kontrollen von NIST 800-171 rev1 sowie 7 neue „andere“ Kontrollen implementieren.
• Level 3 - „Gute Cyber-Hygiene“ – Um ein Audit für diese Ebene zu bestehen, muss der Auftragnehmer des Verteidigungsministeriums die letzten 45 Kontrollen von NIST 800-171 rev1 sowie 14 neue „andere“ Kontrollen implementieren.
• Level 4 - „Proaktiv“ – Um ein Audit für diese Ebene zu bestehen, muss der DoD-Auftragnehmer 13 Kontrollen von NIST 800-171 RevB sowie 13 neue „Andere“ Kontrollen implementieren
• Level 5 - „Fortgeschritten / Progressiv“ – Um ein Audit für diese Ebene zu bestehen, muss der DoD-Auftragnehmer die letzten 5 Kontrollen in NIST 800-171 RevB sowie 11 neue „andere“ Kontrollen implementieren.

Es muss noch geklärt werden, für welche Zertifizierungsstufe ein Auftragnehmer des Verteidigungsministeriums im Umgang mit kontrollierten, nicht klassifizierten Informationen (CUI) im Rahmen seiner Arbeit zur Unterstützung der Rüstungsindustrie zertifiziert sein muss. Weitere Informationen hierzu werden folgen, sobald Informationen durch diese neue Gesetzesinitiative und den neuen Standard verfügbar sind. Es besteht Einigkeit darüber, dass die CUI-Daten, auf die ein Auftragnehmer, Subunternehmer oder Hauptauftragnehmer Zugriff hat, den Grad der Compliance bestimmen, der von diesem Anbieter verlangt wird.

Haupt- und Unterauftragnehmer unterliegen nicht bei allen Verträgen denselben CMMC-Sicherheitsanforderungen : Quelle: FedScoop.com

Welche wichtigen Termine sollten Sie im Jahr 2020 im Auge behalten?

1. Januar 2020: Die offiziellen CMMC-Stufen und -Anforderungen werden zusammen mit Schulungsmaterialien für das unabhängige CMMC Accreditation Board (CMMC AB) veröffentlicht, die für die Schulung von Auditoren und C3PAOs verwendet werden können.
2. Februar-Mai 2020: Die erste Runde der Gutachter wird geschult
3. Juni-September 2020: Die erste Auditrunde beginnt für eine ausgewählte Anzahl von DoD-Programmen/RFIs mit den ermittelten erforderlichen CMMC-Levels. Auftragnehmer, die sich um die Teilnahme an diesen Programmen bewerben möchten, müssen für das erforderliche Level zertifiziert sein, um die RFP zu erhalten.
4. Oktober 2020 und darüber hinaus: Auftragnehmer des Verteidigungsministeriums müssen sich von einem akkreditierten Gutachter/C3PAO zertifizieren lassen, um Angebote für neue Aufträge abgeben zu können.

Die COVID-19-Pandemie hat, wie in diesem Artikel beschrieben, zu Verzögerungen bei vielen CMMC-Konformitätsfristen geführt . Neue Informationen werden veröffentlicht, sobald sie verfügbar sind.

Was sollte ich jetzt tun?

Bewerten Sie zunächst Ihre Abläufe auf Konformität mit dem NIST 800-171-Standard, auf dem CMMC (mit einigen zusätzlichen Kontrollen) aufbaut.

Bewerten Sie sich selbst anhand der oben aufgeführten 14 Kontrollbereiche oder beauftragen Sie einen Cybersicherheitsberater. Messen und berichten Sie Ihre Compliance in jedem der 14 Kontrollbereiche.

Zweitens: Erstellen Sie einen Systemsicherheitsplan, in dem Sie Ihre aktuellen Schutzmaßnahmen gemäß den Anforderungen von NIST 800-171 darlegen.

Mit diesem Dokument können Sie beginnen, alle Ihre Schutzmaßnahmen zum Schutz Ihrer kontrollierten, nicht klassifizierten Informationen (CUI) aufzuschreiben.

Drittens sollten Sie Ihre Maßnahmenpläne zur Behebung der Mängel dokumentieren , die Sie gemäß NIST 800-171 beheben müssen.

Dies geschieht häufig in Form eines Risikoregisters mit einer priorisierten Auflistung von Lücken basierend auf Kritikalität, Auswirkung und Wesentlichkeit für Ihr Unternehmen.

Viertens: Beginnen Sie mit der Umsetzung Ihrer Sanierungspläne und beheben Sie die im dritten Schritt oben identifizierten LÜCKEN.

Die Zusammenarbeit mit einem Beratungsunternehmen oder einem Managed-Services-Anbieter bietet Ihnen oft die schnellsten und effizientesten Möglichkeiten, die Mängel Ihres Cybersicherheitsprogramms zu beheben. Denn der MSP wird an seinen Leistungen gemessen. Der Versuch, dies intern zu erledigen, während gleichzeitig alle anderen Anforderungen an Ihre Mitarbeiter bestehen, kann zu Burn-out und in der heutigen Wirtschaft mit niedriger Arbeitslosigkeit zu hoher Mitarbeiterfluktuation führen. Seien Sie daher vorsichtig, wenn Sie versuchen, diesen neuen Standard mit Ihren eigenen internen Ressourcen zu erreichen.

Stellen Sie abschließend sicher, dass Sie Ihre Prozesse mit Artefakten dokumentieren, mit denen Sie nachweisen können, dass Sie das tun, was Sie sagen.

Bei Audits kommt es häufig vor, dass der Prozess zwar abgeschlossen ist, aber weder eine Methode noch Nachweise vorliegen, um die Einhaltung des Prozesses zu belegen. Gestalten Sie Ihr Compliance-Programm so, dass Artefakte oder Nachweise für den Abschluss des Prozesses erhalten bleiben. Erstellen Sie beispielsweise einen Kündigungsprozess mit einem Datensatz für jeden Mitarbeiter, der Ihr Unternehmen verlässt.

CyberHoot wurde von Grund auf entwickelt, um bei CMMC-Audits zu helfen:

CyberHoot wurde entwickelt, um die Compliance aller Ihrer Mitarbeiter zu erfassen. Es erinnert, verfolgt und meldet, wer Ihre Richtlinien, Prozesse und Cybersicherheitsschulungen einhält und wer nicht. Der Prozess ist vollständig automatisiert, sodass Sie sich nicht um Papierkram kümmern, individuelle Personalakten prüfen oder ähnliches tun müssen. Die Benutzerfreundlichkeit von CyberHoot wird durch folgendes Kundenzitat unterstrichen:

„ Ich habe mit CyberHoot an einem einzigen Tag mehr erreicht als mit unserem alten Produkt in einem ganzen Jahr!“ – Daniel Rickman, J&L Cable

Besuchen Sie CyberHoot.com für eine kostenlose Testversion und beginnen Sie mit der Vorbereitung auf CMMC-Audits und -Zertifizierungen.

Neoscope ist der ideale Partner, der Sie bei der Bewertung Ihrer Compliance, der Identifizierung und Behebung Ihrer Lücken sowie der Dokumentation Ihrer Prozesse unterstützt, um die CMMC-Compliance zu erfüllen. 

Neoscope unterstützt seit 12 Jahren Kunden in Neuengland und den gesamten USA bei der Überwachung, Verwaltung und Reparatur ihrer IT-Infrastruktur. Dabei gewährleisten wir einen Prüfpfad mit Prozessen, die jeder Prüfung standhalten. Kontaktieren Sie Neoscope noch heute, um Ihre CMMC-Vorbereitungsanforderungen zu besprechen. Ihr proaktiver Ansatz kann den Verlust wichtiger Regierungsaufträge aufgrund von Misserfolgen bei der CMMC-Zertifizierung verhindern.

Tun Sie genug, um Ihr Unternehmen zu schützen?

Melden Sie sich noch heute bei CyberHoot an und schlafen Sie besser, da Sie wissen,

Mitarbeiter sind im Cyberspace geschult und auf der Hut!

Jetzt anmelden!