Kepatuhan Suplier Pertahanan: Dua Asumsi Keamanan Siber yang Mengubah Masa Depan
Diperkirakan terdapat sekitar 300.000 perusahaan di Basis Industri Pertahanan (“DIB”) di seluruh sektor manufaktur dan non-manufaktur. Sekitar 99% dari DIB terdiri dari bisnis kecil dan menengah yang merupakan perusahaan dengan kurang dari 500 karyawan.
Sejak Desember 2017, semua perusahaan di DIB telah memiliki klausul DFARS (Defense Federal Acquisition Regulation Supplement) (252.204-7012 - Safeguarding Covered Defense Information & Cyber Incident Reporting) dalam kontrak mereka. Setelah hampir tiga tahun, terlihat ada sejumlah asumsi yang salah di DIB, dua di antaranya memerlukan diskusi yang lebih dalam...
Asumsi Pertama: Self-Attestations Tidak Perlu Diperhatikan
Akibatnya menerima syarat dari kontrak dengan DoD, produsen self-attest bahwa mereka menggunakan "keamanan siber yang memadai" untuk melindungi Informasi Pertahanan yang Terkontrol (“CUI”). Keamanan siber yang memadai didefinisikan oleh klausul DFARS sebagai penerapan sepenuhnya 110 persyaratan keamanan yang diuraikan dalam NIST Special Publication 800-171.
Banyak produsen mengasumsikan bahwa program keamanan siber mereka cukup. Sebagian besar klien CMTC biasanya memulai keterlibatan keamanan siber mereka dengan memperkirakan bahwa mereka 70% - 80% patuh. Namun, rata-rata setelah analisis gap dasar adalah sekitar 34% patuh.
Posting blog sebelumnya telah membahas risiko hukum yang sering diabaikan yang terkait dengan ketidakpatuhan terhadap persyaratan keamanan siber. Pada akhirnya, jika suatu perusahaan ingin berbisnis dengan Departemen Pertahanan (DoD), itu harus menerima syarat kontrak dan, oleh karena itu, self-attesting terhadap postur keamanan siber yang patuh.
Asumsi Kedua: Penyedia IT Eksternal Sendiri Adalah Jawabannya
Banyak bisnis kecil tidak memiliki tenaga dan sumber daya IT yang didedikasikan. Akibatnya, banyak produsen menggunakan penyedia layanan IT pihak ketiga. Agar bisnis kecil ini dapat beroperasi, penyedia layanan eksternal dipercayakan dengan akses administratif besar terhadap sistem informasi perusahaan. Seringkali, produsen mengasumsikan semuanya berjalan sesuai rencana. Produsen perlu memantau Penyedia IT Pihak Ketiga mereka untuk memahami tindakan apa yang diambil. Perjalanan keamanan siber produsen dengan penyedia IT bersifat kolaboratif dengan perusahaan yang terlibat dalam kegiatan dan hasil kerja penyedia.
Selain itu, dalam hal paparan risiko, sekitar setengah dari 110 persyaratan keamanan terkait langsung dengan operasi teknis dan solusi teknologi yang biasanya disediakan oleh penyedia IT pihak ketiga. Beberapa langkah keamanan siber sangat mendasar untuk operasi bisnis, pemerintah wajar mengasumsikan bahwa semua suplier DoD akan secara proaktif mengelola risiko mereka sendiri. Harus dilakukan agar produsen dan Penyedia IT bekerja sama untuk mencapai kepatuhan DoD. Suplier DoD akan memikul tanggung jawab untuk kepatuhan secara jangka panjang.
Digabungkan, dua asumsi kunci yang salah ini dapat menciptakan utang teknis dan kepatuhan yang besar.
Audit kepatuhan keamanan siber pemerintah sedang dalam perjalanan, jadi jalur terbaik adalah memantau penyedia IT Anda dan bekerja sama untuk berkontribusi pada kepatuhan keseluruhan Anda.
Langkah Selanjutnya yang Direkomendasikan
1) Fokus pada persyaratan DFARS yang ada.
2) Luangkan waktu untuk memahami dengan menyeluruh asumsi yang mendasari NIST SP 800-171.
3) Buat proses manajemen vendor pihak ketiga yang kuat.
4) Luangkan waktu untuk memahami dengan menyeluruh kewajiban aliran kontrak.
Untuk gambaran singkat tentang ekosistem regulasi secara keseluruhan, dan diskusi yang lebih mendalam tentang topik-topik yang diuraikan dalam posting ini, Anda dapat melihat webinar on-demand CMTC di sini.
