6 Pertanyaan Utama tentang CMMC: Panduan untuk Produsen
Apa yang Perlu Diketahui Produsen
Keamanan siber bukan subjek baru dalam manufaktur. Saat peralatan terhubung, perangkat lunak inovatif, dan sistem robotika canggih mulai masuk ke lantai bengkel, keamanan siber adalah bagian dari percakapan. Keamanan siber membuat berita bersama artikel Industry 4.0, namun bisnes dari teknologi baru yang megah mendominasi percakapan.
Produsen cenderung menunda keamanan siber. Ini tidak lagi akan menjadi opsi bagi banyak. Industri manufaktur secara konsisten menempati 5 teratas industri yang paling rentan dan ditargetkan untuk serangsiber. Sektor Kesehatan, Jasa Keuangan dan Agen Pemerintah semua telah dituntut standar yang lebih tinggi ketika berkaitan dengan kepatuhan keamanan dan manajemen risiko. Industri manufaktur belum dituntut standar yang lebih tinggi dan oleh karena itu lebih rentan terhadap kejahatan siber.
Cybersecurity Maturity Model Certification (CMMC) sedang mendorong industri dan berikut adalah 6 pertanyaan kritis yang perlu ditanyakan produsen.
Apa itu CMMC?
CMMC singkatan dari Cybersecurity Maturity Model Certification. Sertifikasi ini menggunakan pendekatan unik untuk memastikan kekayaan intelektual kritis tetap aman. Awalnya, CMMC hanya akan diperlukan untuk produsen dan pemasok yang menangani Informasi Tidak Terklasifikasi Terkendali (CUI) untuk Departemen Pertahanan (DoD).
Cybersecurity Maturity Model Certification (CMMC) adalah metode untuk menyertifikasi bahwa tingkat yang sesuai dari proses dan perlindungan keamanan siber tersedia untuk sekitar 300.000 kontraktor dan subkontraktor dalam rantai pasokan DoD. Proses CMMC sekarang akan memerlukan Organisasi Asesmen Pihak Ketiga CMMC (C3PAO) untuk menyertifikasi bahwa perusahaan mematuhi, dan bahwa CUI aman.
Ada 5 tingkat kematangan yang merupakan bagian dari CMMC yang berkisar dari "Higiene Siber Dasar" hingga "Lanjutan/Progresif". Seiring bertambahnya tingkat kematangan, aturan dan pedoman yang harus diikuti bisnis juga bertambah untuk menjadi disertifikasi dan tetap mematuhi.
Mengapa CMMC dibuat?
Departemen Pertahanan mengakui serangsiber sebagai ancaman yang signifikan, terutama untuk subkontraktor kecil hingga menengah yang mendukung prime yang lebih besar. Pelaku jahat mengakui bahwa prime sedang mengalokasikan lebih banyak sumber daya untuk mencegah serangan dan bahwa rantai pasokan mereka adalah target yang lebih mudah. Persyaratan keamanan siber Publikasi Khusus (SP) 800-171 dari National Institute of Standards and Technology (NIST) dikembangkan untuk melindungi informasi sensitif untuk kontraktor yang bekerja dengan Departemen Pertahanan (DoD) untuk mematuhi klausul Defense Federal Acquisition Regulation Supplement (DFARS) 252.204-7012. Ketika DoD memperkirakan bahwa hanya sebagian kecil dari rantai pasokan yang mematuhi pedoman ini, Cybersecurity Maturity Model Certification (CMMC) dibuat.
Serangsiber adalah kejadian sehari-hari, sayangnya. “Dengan lebih dari 80 persen informasi pertahanan nasional tinggal di jaringan mitra, ini bukan lagi percakapan tentang apa yang Anda lakukan, atau apa yang saya lakukan; ini lebih penting apa yang kita lakukan secara kolektif untuk melindungi pertahanan nasional," ujar Katie Arrington, asisten khusus dari Asisten Sekretaris Pertahanan untuk Akuisisi untuk Siber, dan salah satu pendiri utama di balik CMMC.
Pada Desember 2018, peretas Tiongkok reportedly mencuri informasi dari kontraktor Navy yang termasuk data pemeliharaan kapal dan rencana roket. Tindakan ini adalah ancaman langsung terhadap keamanan nasional. Bahkan jika pemasok DoD besar seperti Lockheed Martin memiliki program keamanan siber tingkat atas yang tersedia, setiap subkontraktor dan pemasok dalam rantai pasokan DoD harus melindungi diri mereka sendiri juga atau mereka akan menjadi titik masuk untuk kriminal siber. Satu lemah lembut dalam rantai pasokan DoD dapat membahayakan seluruh negara.
Apakah perusahaan saya memerlukan CMMC?
Setiap perusahaan harus berinvestasi untuk memperkuat keamanan siber mereka. Menurut Radware Survey, biaya perkiraan per serangsiber adalah $4,6 juta1. 13% peserta survei mengalami serangsiber yang membiayai perusahaan mereka $10 juta atau lebih, angka yang melipat ganda dalam waktu satu tahun antara 2018 dan 2019. Ahli subjek keamanan siber New Jersey Manufacturing Extension Program (NJMEP) menyarankan setiap produsen akan mendapat manfaat dari mencapai setara dengan "Intermediate Cyber Hygiene", atau Tingkat 2 dari CMMC sebagai praktik terbaik. Untuk kontraktor DoD, tingkat kematangan akan bergantung pada di mana dalam rantai pasokan DoD suatu perusahaan berada.
Mengidentifikasi salah satu dari lima tingkat kematangan CMMC yang harus dipatuhi oleh pemasok DoD, sub-kontraktor, atau produsen akan ditentukan oleh kontraktor prime DoD atau dapat diungkapkan melalui analisis kesenjangan CMMC. Semua pemasok, sub-kontraktor, atau produsen yang melakukan pekerjaan apa pun, sekecil pun, dengan DoD akan memerlukan beberapa tingkat CMMC tetapi tingkat kematangan akan bervariasi tergantung pada informasi yang ditangani bisnis dan pekerjaan yang dilakukan.
Jika perusahaan Basis Industri Pertahanan (DIB) tidak memiliki Informasi Tidak Terklasifikasi Terkendali (CUI) tetapi memiliki Informasi Kontrak Federal (FCI), itu diwajibkan memenuhi Klausul FAR 52.204-21 dan harus disertifikasi setidaknya pada Tingkat CMMC 1.
Kapan saya perlu memulai proses sertifikasi?
Sekarang. Pemasok DoD, sub-kontraktor, dan produsen harus memulai proses menjadi CMMC secepat mungkin untuk menghindari risiko kehilangan kontrak DoD kritis. Dari awal hingga akhir, proses dapat memakan waktu hingga setahun. Pada Juni 2020, CMMC mulai muncul pada RFI’s. Bisnis dapat mengharapkan RFP’s menyebut CMMC mulai pada September 2020 dan Asesmen akan dimulai pada Gugur 2020.
Beraksi sekarang dan bekerja dengan konsultan yang akrab dengan CMMC dan kerangka kerja yang CMMC berasal, NIST 8001-171, akan sangat penting. Sertifikasi dimulai dengan asesmen untuk mengidentifikasi di mana dalam tingkat kematangan CMMC organisasi saat ini tinggal. Langkah berikutnya adalah melakukan analisis kesenjangan mendalam dan kemudian beralih ke perbaikan layanan penuh. Setiap tingkat kematangan CMMC memakan waktu dan upaya yang berbeda. Namun, memulai secepat mungkin akan mengurangi beban pada perusahaan, kepemimpinan, dan tenaga kerja.
Apa yang terjadi jika saya tidak menjadi disertifikasi?
Untuk kontraktor, sub-kontraktor, pemasok, atau produsen DoD…
Mencapai tingkat kematangan CMMC yang diperlukan dapat berarti perbedaan antara mengamankan kontrak DoD berikutnya atau tidak. Kontraktor prime DoD akan mulai mengharuskan semua sub-kontraktor untuk mematuhi aturan baru kritis ini. Produsen apa pun yang tidak mematuhi pedoman ini dan mencapai tingkat kematangan CMMC yang tepat tidak akan dapat melanjutkan bisnis DoD.
Untuk Produsen Non-DoD…
Saat ini, kontraktor DoD adalah satu-satunya yang berisiko kehilangan pekerjaan DoD jika mereka tidak memperoleh CMMC. Namun, produsen kecil-menengah selalu berisiko serangsiber yang sepenuhnya melumpujkan bisnis mereka, terkadang sampai titik di mana mereka tidak akan dapat pulih secara keuangan. Sertifikasi ini memberikan produsen non-DoD baseline keamanan siber dan praktik terbaik yang luar biasa. Tergantung pada hasil dari asesmen keamanan siber, bisnis dapat menentukan mana tingkat kematangan yang akan terbaik untuk mereka.
Siapa yang dapat menjawab semua pertanyaan saya lainnya tentang CMMC?
Memperoleh CMMC dapat menjadi tantangan, terutama tanpa dukungan yang tepat. Sertifikasi masih dalam masa kanak-kanak yang menciptakan lingkungan yang sulit bagi produsen untuk menavigasi sendiri. Menjelajahi situs web seperti acq.osd.mil/cmmc/faq.html atau bekerja bersama konsultan seperti NJMEP adalah cara terbaik untuk memulai dan akan membantu mengubah proses yang menakutkan menjadi nilai tambah yang efisien untuk bisnis apa pun.
Memahami CMMC, bisnis apa yang akan terpengaruh, kapan bertindak, dan mengidentifikasi tingkat kematangan yang diperlukan dapat menakutkan. Jangan melakukannya sendiri. Keamanan siber esensial tetapi dapat kompleks. Bekerja dengan tim yang tepat dan memiliki akses ke informasi yang tepat akan membuktikan berharga.
Hati-hati
Ada begitu banyak pertanyaan di sekitar topik ini dan begitu banyak perkembangan sementara itu diluncurkan. Awalnya, ada banyak perusahaan yang berbisaya dapat membantu dan menagih jumlah yang signifikan, bahkan ketika versi akhir pedoman bahkan belum diputuskan atau disampaikan. Ada banyak perusahaan yang menjual solusi atau layanan untuk membantu dan mungkin sulit untuk menentukan siapa yang dapat dipercaya. Ini bukan sesuatu yang dapat dengan mudah dioutsourcing ke Penyedia Layanan Terkelola (MSP) yang berbisaya akrab dengan persyaratan.
