6 Pertanyaan Teratas tentang CMMC

Yang Perlu Diketahui Produsen

Keamanan siber bukanlah subjek baru di bidang manufaktur. Saat peralatan terhubung, perangkat lunak inovatif, dan sistem robotika canggih mulai diluncurkan, keamanan siber menjadi bagian dari perbincangan. Keamanan siber menjadi berita utama di samping artikel Industri 4.0, tetapi desas-desus teknologi baru yang mencolok mendominasi percakapan.

Pabrikan cenderung mengutamakan keamanan siber. Ini tidak lagi menjadi pilihan bagi banyak orang. Industri manufaktur secara konsisten berada di peringkat 5 teratas industri yang paling rentan dan ditargetkan untuk serangan siber. Sektor Kesehatan, Jasa Keuangan dan Instansi Pemerintah semuanya memiliki standar yang lebih tinggi dalam hal kepatuhan keamanan dan manajemen risiko. Industri manufaktur belum memiliki standar yang lebih tinggi dan karenanya lebih rentan terhadap kejahatan dunia maya.

Sertifikasi Model Kematangan Cybersecurity (CMMC) berlaku di industri dan di bawah ini adalah 6 pertanyaan penting yang perlu diajukan oleh produsen.

Apakah CMMC itu?

CMMC adalah singkatan dari Cybersecurity Maturity Model Certification. Sertifikasi ini mengambil pendekatan unik untuk memastikan kekayaan intelektual penting tetap aman. Pada awalnya, CMMC hanya akan diperlukan untuk produsen dan pemasok yang menangani Controlled Unclassified Information (CUI) untuk Departemen Pertahanan (DoD).

Cybersecurity Maturity Model Certification (CMMC) adalah metode untuk menyatakan bahwa tingkat proses dan perlindungan keamanan siber yang sesuai telah diterapkan untuk sekitar 300.000 kontraktor dan subkontraktor dalam rantai pasokan DoD. Proses CMMC sekarang akan memerlukan Organisasi Penilaian Pihak Ketiga CMMC (C3PAO) untuk menyatakan bahwa perusahaan mengajukan keluhan, dan bahwa CUI aman.

Ada 5 tingkat kedewasaan bagian dari CMMC yang berkisar dari "Kebersihan Keamanan Siber Dasar" hingga "Lanjutan/Progresif". Seiring dengan meningkatnya tingkat kedewasaan, begitu pula aturan dan pedoman yang harus diikuti oleh bisnis agar dapat disertifikasi dan tetap patuh.

Mengapa CMMC dibuat?

Departemen Pertahanan mengakui serangan siber sebagai ancaman yang signifikan, terutama bagi subkontraktor kecil hingga menengah yang mendukung prime yang lebih besar. Aktor jahat menyadari bahwa prime menghabiskan lebih banyak sumber daya untuk mencegah serangan dan bahwa rantai pasokan mereka adalah target yang lebih mudah. Persyaratan keamanan siber (SP) 800-171 dari National Institute of Standards and Technology (NIST) dikembangkan untuk melindungi informasi sensitif bagi kontraktor yang bekerja dengan Departemen Pertahanan (DoD) untuk mematuhi Suplemen Peraturan Akuisisi Federal Pertahanan (DFARS) 252.204 -7012 klausa. Ketika Departemen Pertahanan memperkirakan bahwa hanya sebagian kecil dari rantai pasokan yang sesuai dengan pedoman ini, Sertifikasi Model Kematangan Cybersecurity (CMMC) dibuat.

Sayangnya, serangan siber adalah kejadian sehari-hari. “Dengan lebih dari 80 persen informasi pertahanan nasional hidup di jaringan mitra, ini bukan lagi percakapan tentang apa yang Anda lakukan, atau apa yang saya lakukan; lebih penting apa yang kita lakukan sebagai kolektif untuk melindungi pertahanan nasional,” kata Katie Arrington, asisten khusus Asisten Menteri Pertahanan untuk Akuisisi Cyber, dan salah satu pendukung utama di balik CMMC.

Pada bulan Desember 2018, peretas China dilaporkan mencuri informasi dari kontraktor Angkatan Laut yang mencakup data pemeliharaan kapal dan rencana rudal. Tindakan ini merupakan ancaman langsung terhadap keamanan nasional. Bahkan jika pemasok DoD besar seperti Lockheed Martin memiliki program keamanan siber tingkat atas, setiap subkontraktor dan pemasok dalam rantai pasokan DoD harus melindungi diri mereka sendiri juga atau mereka akan menjadi titik masuk bagi penjahat siber. Hanya satu mata rantai yang lemah dalam rantai pasokan DoD yang dapat membahayakan seluruh negara.

Apakah perusahaan saya membutuhkan CMMC?

Setiap perusahaan harus berinvestasi dalam memperkuat keamanan sibernya. Menurut Survei Radware, perkiraan biaya per serangan cyber adalah $4,6 juta ¹ . 13% peserta survei mengalami serangan siber yang merugikan perusahaan mereka $10 juta atau lebih, angka yang berlipat ganda hanya dalam satu tahun antara 2018 dan 2019. Pakar keamanan siber Program Ekstensi Manufaktur New Jersey (NJMEP) menyarankan agar setiap produsen akan manfaat dari pencapaian yang setara dengan "Kebersihan Cyber ​​Menengah", atau Level 2 dari CMMC sebagai praktik terbaik. Untuk kontraktor DoD, tingkat kematangan akan tergantung pada di mana dalam rantai pasokan DoD sebuah perusahaan jatuh.

Mengidentifikasi mana dari lima tingkat kematangan CMMC yang harus dipatuhi oleh pemasok, sub-kontraktor, atau pabrikan DoD akan ditentukan oleh kontraktor utama DoD atau dapat ditemukan melalui analisis kesenjangan CMMC. Semua pemasok, sub-kontraktor, atau produsen yang melakukan pekerjaan apa pun, tidak peduli seberapa minimal, dengan Departemen Pertahanan akan memerlukan beberapa tingkat CMMC tetapi tingkat kematangan akan berbeda tergantung pada informasi yang ditangani bisnis dan pekerjaan yang dilakukan.

Jika perusahaan Pangkalan Industri Pertahanan (DIB) tidak memiliki Informasi Tidak Terklasifikasi Terkendali (CUI) tetapi memiliki Informasi Kontrak Federal (FCI), perusahaan tersebut harus memenuhi FAR Clause 52.204-21 dan harus disertifikasi minimal CMMC Level 1.

Kapan saya harus memulai proses sertifikasi?

Sekarang. Pemasok DoD, sub-kontraktor, dan produsen harus memulai proses menjadi CMMC sesegera mungkin untuk menghindari risiko kehilangan kontrak penting DoD. Dari awal hingga akhir, prosesnya bisa memakan waktu hingga satu tahun. Pada Juni 2020, CMMC mulai muncul di RFI. Bisnis dapat mengharapkan RFP untuk menyebutkan CMMC mulai September 2020 dan Penilaian akan dimulai pada Musim Gugur 2020.

Bertindak sekarang dan bekerja dengan konsultan yang akrab dengan CMMC dan kerangka kerja dari mana CMMC berasal, NIST 8001-171, akan sangat penting. Sertifikasi dimulai dengan penilaian untuk mengidentifikasi di mana tingkat kematangan CMMC organisasi saat ini berada. Langkah selanjutnya adalah melakukan analisis kesenjangan yang mendalam dan kemudian beralih ke perbaikan layanan penuh. Setiap tingkat kematangan CMMC membutuhkan waktu dan upaya yang berbeda. Namun, memulai sesegera mungkin akan mengurangi beban perusahaan, kepemimpinan, dan tenaga kerja.

Apa yang terjadi jika saya tidak mendapatkan sertifikasi?

Untuk kontraktor DoD, sub-kontraktor, pemasok, atau produsen…

Mencapai tingkat kedewasaan CMMC yang diperlukan dapat berarti perbedaan antara mengamankan kontrak DoD berikutnya atau tidak. Kontraktor utama DoD akan mulai mewajibkan semua sub-kontraktor untuk mematuhi aturan baru yang penting ini. Pabrikan mana pun yang tidak mematuhi pedoman ini dan mencapai tingkat CMMC yang tepat secara matang tidak akan dapat terus menjalankan bisnis DoD.

Untuk Produsen Non-DoD…

Sampai sekarang, kontraktor DoD adalah satu-satunya yang berisiko kehilangan pekerjaan DoD jika mereka tidak memperoleh CMMC. Namun, produsen kecil-menengah selalu menghadapi risiko serangan dunia maya yang melumpuhkan bisnis mereka, terkadang sampai pada titik di mana mereka tidak akan pernah bisa pulih secara finansial. Sertifikasi ini memberi produsen non-DoD dasar keamanan siber yang fantastis dan praktik terbaik. Bergantung pada hasil penilaian keamanan siber, bisnis dapat menentukan tingkat kedewasaan mana yang paling cocok untuk mereka.

Siapa yang dapat menjawab semua pertanyaan saya yang lain tentang CMMC?

Mendapatkan CMMC bisa menjadi tantangan, terutama tanpa dukungan yang tepat. Sertifikasi ini masih dalam tahap awal yang menciptakan lingkungan yang sulit bagi produsen untuk menavigasi sendiri. Menjelajahi situs web seperti acq.osd.mil/cmmc/faq.html atau bekerja sama dengan konsultan seperti NJMEP adalah cara terbaik untuk memulai dan akan membantu mengubah proses yang sulit menjadi nilai tambah yang efisien untuk bisnis apa pun.

Memahami CMMC, bisnis mana yang akan terpengaruh, kapan harus bertindak, dan mengidentifikasi tingkat kedewasaan yang diperlukan dapat menjadi hal yang menakutkan. Jangan melakukannya sendirian. Keamanan siber sangat penting tetapi bisa rumit. Bekerja dengan tim yang tepat dan memiliki akses ke informasi yang tepat akan terbukti sangat berharga.

Hati-hati

Ada begitu banyak pertanyaan seputar topik ini dan begitu banyak perkembangan saat topik ini diluncurkan. Awalnya, ada banyak perusahaan yang mengaku dapat membantu dan membebankan biaya yang signifikan, bahkan ketika versi final dari pedoman itu bahkan belum diputuskan atau dikomunikasikan. Ada banyak perusahaan yang menjual solusi atau layanan untuk membantu dan mungkin sulit untuk menentukan siapa yang harus dipercaya. Ini bukan sesuatu yang dapat dengan mudah dialihdayakan ke Penyedia Layanan Terkelola (MSP) yang mengaku terbiasa dengan persyaratan tersebut.

1.https://www.radware.com/newsevents/pressreleases/c-suite-2019