5 Pertanyaan Umum Di Antara Produsen tentang Persyaratan Keamanan Siber Pemerintah

Artikel ini awalnya muncul di Industry Today. Entri blog tamu oleh Jennifer Kurtz, Direktur Program Cyber ​​di Manufacturer's Edge, NIST MEP Center di Colorado dan perwakilan dari Jaringan Nasional MEP ^TM .

Menurut Departemen Keamanan Dalam Negeri AS, manufaktur adalah industri kedua yang paling ditargetkan berdasarkan jumlah serangan siber yang dilaporkan. Selanjutnya, penjahat dunia maya melihat kecil dan menengah produsen (SMM) sebagai target utama karena banyak dari perusahaan ini tidak memiliki tindakan pencegahan yang memadai.

Bagi Departemen Pertahanan (DoD), kontraktor dan subkontraktor, bisnis seperti biasa sudah tidak ada lagi. Pemerintah federal, yang semakin bergantung pada penyedia layanan eksternal untuk menjalankan bisnis, telah meningkatkan taruhan dalam hal melindungi informasi tak rahasia yang dikendalikan (CUI) dalam sistem dan organisasi informasi nonfederal. Mulai tanggal 31 Desember 2017, semua kontraktor pemerintah federal diwajibkan untuk memenuhi persyaratan keamanan siber minimum Defense Acquisition Regulation Supplement (DFARS) atau berisiko kehilangan kontrak mereka. Terlepas dari tenggat waktu yang telah lewat, banyak SMM kekurangan pengetahuan dan sumber daya untuk meningkatkan sistem mereka dan bingung bagaimana memenuhi 110 persyaratan keamanan baru ini. Catatan penting, Peraturan Akuisisi Federal, yang berlaku untuk kontraktor pemerintah yang bekerja atas nama Administrasi Layanan Umum (GSA) dan Administrasi Penerbangan dan Antariksa Nasional (NASA), akan segera menyertakan persyaratan keamanan siber serupa.

Jaringan Nasional MEP, kemitraan publik-swasta yang memberikan solusi komprehensif dan terbukti kepada produsen AS, telah secara aktif memberikan kesadaran dan bantuan untuk membantu produsen AS melindungi aset informasi mereka dari risiko serangan siber. Organisasi dan mitranya juga berfungsi sebagai sumber daya nasional bagi produsen A.S. yang ingin menerapkan keamanan yang memadai untuk melindungi Informasi Tidak Rahasia Terkendali yang disimpan, diproses, dan ditransmisikan.

Berikut adalah lima pertanyaan paling umum yang saya dengar dari SMM tentang pedoman keamanan DFARS pemerintah federal.

T:Apa yang dimaksud dengan informasi Tak Terklasifikasi Terkendali (CUI) dan bagaimana saya tahu jika saya menangani jenis informasi ini sebagai bagian dari kontrak saya?

J:Informasi tak rahasia yang dikendalikan (CUI) adalah data milik pemerintah. Ini adalah informasi yang diinginkan pemerintah untuk diamankan, tetapi tidak vital bagi keamanan nasional. Klausul DFARS 252.204.7012 mungkin muncul dalam kontrak Anda, tetapi hanya berlaku jika Anda memproses, menyimpan, atau mengirimkan CUI. CUI dapat mencakup:data penelitian dan rekayasa, gambar teknik, spesifikasi, manual, laporan teknis, studi dan analisis, dan kode program dan kode sumber yang dapat dijalankan oleh perangkat lunak komputer. CUI akan memiliki instruksi penandaan dan penanganan khusus seperti FOUO (Untuk Penggunaan Resmi Saja). Untuk informasi lebih lanjut tentang penandaan CUI, lihat registri CUI.

T:Apakah kepatuhan DFARS diwajibkan oleh hukum?

J:Setiap kontraktor atau subkontraktor yang memiliki klausul DFARS dalam kontrak mereka secara hukum diwajibkan untuk mematuhinya. Jika Anda secara keliru mengklaim patuh, Anda berisiko kehilangan kontrak pemerintah dan semua penghasilan terkait dan kemungkinan besar tidak memenuhi syarat untuk kontrak pemerintah di masa mendatang.

T:Saya memiliki bisnis kecil dan kontrak pemerintah saya berskala kecil. Apakah kepatuhan DFARS berlaku untuk saya?

J:Terlepas dari ukuran perusahaan atau kontrak Anda, jika Anda adalah kontraktor atau subkontraktor pemerintah federal yang memproses, menyimpan, atau mengirimkan CUI, Anda harus mematuhinya. Penjahat dunia maya menargetkan perusahaan yang lebih kecil karena mereka biasanya memiliki langkah-langkah keamanan yang lebih sedikit. Perusahaan di tingkat rantai pasokan yang lebih rendah mungkin lebih mudah ditembus daripada mencoba masuk ke jaringan target utamanya. Serangan rantai pasokan mungkin merupakan rute yang lebih mudah untuk mengontrol informasi pemerintah yang tidak diklasifikasikan daripada mencoba mengakses jaringan pemerintah secara langsung.

T:Bagaimana cara mengetahui apakah perusahaan saya saat ini mematuhi DFARS?

J:Lihat Buku Pegangan NIST 162. Buku pegangan ini memberikan panduan langkah demi langkah untuk menilai sistem informasi produsen terhadap persyaratan keamanan DFARS.

T:Organisasi saya tidak memenuhi pedoman DFARS minimum, tetapi saya tidak tahu harus mulai dari mana untuk memulai proses kepatuhan?

J:Menerapkan rencana keamanan siber yang disetujui pemerintah bisa menjadi tugas yang menakutkan. Anda dapat memulai dengan meninjau publikasi NIST SP 800-171 yang menguraikan persyaratan DFARS. Anda juga dapat menghubungi Jaringan Nasional MEP untuk menghubungkan Anda dengan Pusat MEP lokal Anda. Pusat MEP lokal menawarkan berbagai layanan dan inisiatif gratis atau terjangkau untuk memandu produsen melalui proses kepatuhan. Layanan ini mencakup koneksi ke pakar keamanan siber yang dapat mengembangkan analisis kesenjangan terperinci dari protokol dan prosedur serta membuat rencana tindakan yang menangani kerentanan dan masalah kepatuhan lainnya.

T:Perusahaan saya bukan kontraktor pemerintah, tetapi saya ingin meningkatkan protokol keamanan siber kami. Dapatkah saya menggunakan pedoman DFARS?

J:Tentu saja. Produsen yang beroperasi dalam rantai pasokan komersial harus mempertimbangkan secara serius penerapan persyaratan keamanan DFARS sebagai aspek integral dalam mengelola risiko organisasi mereka.

Ketika sektor manufaktur menjadi semakin terdigitalisasi, kebutuhan untuk memahami, mengurangi, dan menanggapi ancaman dunia maya yang semakin kompleks telah menjadi biaya dalam menjalankan bisnis.