Sertifikasi CMMC: Wawasan Utama untuk Kontraktor Pertahanan
Saat Sertifikasi Maturity Model Keamanan Siber (CMMC) mendekati implementasi penuh, organisasi yang terpengaruh bergegas untuk memastikan mereka akan lulus proses sertifikasi.
Tujuannya sederhana: organisasi harus memenuhi standar keamanan siber minimum, dan dengan demikian, mereka melakukan bagian mereka untuk meningkatkan keamanan nasional. Taruhan sangat tinggi bagi estimasi 300.000 organisasi basis industri pertahanan (DIB) yang segera perlu disertifikasi pada salah satu dari lima tingkat CMMC untuk layak menerima kontrak federal. Sederhananya: tidak ada sertifikasi, tidak ada kontrak. Dari perspektif Pemerintah AS dan Departemen Pertahanan, taruhan selalu tinggi sejak DIB memainkan peran yang krusial dalam pertahanan bangsa kita. Satu-satunya cara untuk memastikan perlindungan data kita dan integritas rantai pasok adalah dengan menegaskan standar yang lebih tinggi bagi industri.
Bagaimana Kita Sampai Sini?
Aktivitas adversarial dari aktor negara dan non-negara terus meningkat, dan biaya ekonomi sangat besar — $5 triliun secara global — menurut beberapa estimasi. Estimasi lainnya menunjukkan bahwa biaya bagi ekonomi AS berada antara $57 miliar dan $109 miliar pada tahun 2016. Namun, kebutuhan CMMC bukan hanya tentang kepentingan ekonomi, ini tentang mempertahankan diri kita bersama-sama. Perusahaan besar dan kecil berkontribusi pada keberhasilan pejuang AS dan mereka semua akan dituntut pertanggungjawaban yang sama dengan CMMC.
Di ruang lingkup federal, cukup sekilas pada pesawat tempur tertentu untuk menghubungkan titik-titik tentang seberapa pentingnya untuk mengamankan organisasi yang pada akhirnya mengamankan dan mempertahankan negara kita. Di ruang lingkup komersial, pelanggaran Target menunjukkan bagaimana mitra bisnis dapat menjadi titik lemah yang pada akhirnya memfasilitasi serangan. Dengan menegaskan pertanggungjawaban DIB, kita membantu memenuhi tidak hanya persyaratan bisnis baru, tetapi kita akan memenuhi keharusan strategis untuk lebih tangkal terhadap serangan. Waktu telah berubah dan begitu pula dengan cara kita berbisnis. Suka atau tidak, kita beroperasi di medan perang modern di mana kata-kata seperti “perang,” “pionase,” dan “kejahatan” diawali dengan “siber,” yang berarti entitas swasta dan publik harus siap dengan respons modern.
Apa Itu CMMC?
CMMC memiliki lima tingkat kontrol teknis dan prosedural yang bertujuan untuk melindungi Informasi Tidak Terklasifikasi yang Dikontrol (CUI) dan Informasi Kontrak Federal (FCI) untuk kontraktor DoD. Untuk mencapai tingkat CMMC 5, organisasi akan perlu melalui implementasi dan penilaian 171 kontrol teknis dan prosedural. Sebagian besar profesional keamanan siber di ruang lingkup federal akan menemukan bahwa mayoritas kontrol CMMC sudah dikenal. Faktanya, untuk mencapai tingkat CMMC 3, hampir semua kontrol ditemukan dalam NIST SP 800-171. Organisasi yang segera akan memerlukan sertifikasi di bawah CMMC telah diberi mandat untuk memenuhi kontrol yang diuraikan dalam NIST SP 800-171 sejak 2016. Perbedaan kunci adalah organisasi tidak lagi dapat menyertifikasi diri sendiri dan mengajukan Rencana Tindakan dan Titik Pesat untuk mengatasi kekurangan. Organisasi yang mencari sertifikasi harus secara formal ditilai oleh Organisasi Penilai Pihak Ketiga CMMC atau penilai yang disertifikasi oleh Badan Akreditasi CMMC, organisasi non-profit yang diberi tugas menyertifikasi kesiapan penilai. Sementara belum ada tanggal yang diberikan untuk kapan penilaian akan dimulai, pelatihan baru saja dimulai untuk kelompok pertama penilai CMMC.
Apa yang Harus Dilakukan Sekarang?
Kesiapan CMMC adalah latihan dalam menerapkan dasar-dasar keamanan siber dan perbaikan berkelanjutan untuk mencapai ketahanan yang lebih besar. Tingkat CMMC kumulatif dan bertingkat sehingga satu tingkat membangun ke tingkat berikutnya, sehingga untuk mencapai tingkat 4, Anda harus sepenuhnya mematuhi tingkat 3. Setiap tingkat berkaitan dengan tingkat sofistikasi praktik keamanan Anda mulai dari higiene dasar dan meningkat ke tindakan yang lebih canggih dan proaktif seperti pencarian ancaman di Tingkat 5. Dengan 171 kontrol dengan kompleksitas yang meningkat, Anda bertanya di mana memulai?
- Edukasikan diri Anda: Pahami kontrol teknis dan kebijakan yang diuraikan oleh CMMC.
- Ini adalah Versi 1 CMMC.
- Ini adalah FAQ CMMC.
- Tentukan tingkat mana yang tepat untuk Anda: Organisasi akan perlu memutuskan tingkat sertifikasi mana yang mereka cari. Organisasi yang hanya menyimpan FCI mungkin puas mencapai Tingkat CMMC 1 dan organisasi yang menyimpan dan menangani CUI atau berkontribusi pada upaya yang lebih sensitif kemungkinan besar akan ingin disertifikasi pada Tingkat CMMC 3 atau lebih tinggi. DoD akan mencantumkan persyaratan tingkat CMMC pada permintaan proposal.
- Kenali diri Anda: Pahami dan dokumentasikan lingkungan Anda dari jaringan internal hingga mitra bisnis Anda. Sering dikatakan bahwa “Anda tidak dapat mempertahankan apa yang tidak Anda ketahui,” dan itu benar. Anda harus memahami segmentasi, sistem, dan permukaan serangan Anda sebelum dapat berharap mempertahankannya.
- Penilaian diri: Tentukan seberapa Anda menumpuk terhadap kontrol untuk tingkat sertifikasi yang organisasi Anda cari. Identifikasi kontrol mana yang belum terpenuhi saat ini, rencanakan bagaimana menyelesaikan masalahnya, dan tinjau kembali. Untuk fleksibilitas di masa depan, identifikasi apa yang dibutuhkan untuk organisasi Anda mencapai tingkat berikutnya.
- Dapatkan dukungan: Kita hanya sekuat titik lemah kita; pahami bahwa CMMC dirancang untuk membantu mengurangi risiko berbisnis di sektor pertahanan. Beberapa kontrol akan sederhana atau sudah dilakukan, dan yang lain mungkin membutuhkan dukungan dari berbagai bagian organisasi Anda. Anda mungkin perlu persetujuan, anggaran yang ditingkatkan, atau pendukung eksekutif. Beberapa kontrol mungkin terbukti merupakan beban yang besar dari segi teknis. Seluruh organisasi akan perlu mendukung, menjadi pragmatis, dan melakukan bagian mereka untuk mendukung dan melindungi misi.
- Jadilah fleksibel: CMMC baru dan membuat jembatan antara entitas besar dan kompleks dengan DoD dan DIB. Ini adalah organisasi besar, masih ada hal-hal yang tidak diketahui dengan CMMC, dan apa yang diketahui sebulan yang lalu mungkin berubah. Jadi jadilah fleksibel, jadilah sabar, dan ketahui bahwa kita semua perlu melakukan lebih baik untuk melindungi apa yang kita hargai.
Apakah Anda perlu disertifikasi ke Tingkat CMMC 1 atau 5, atau bahkan organisasi Anda tidak berbisnis dengan DoD, standar yang ditetapkan oleh CMMC adalah peta jalan untuk organisasi apa pun untuk mematangkan postur keamanan siber mereka. Terlepas dari titik awal Anda, mencapai kepatuhan CMMC akan menjadi tantangan bagi organisasi kecil dan besar, tetapi hasilnya adalah perbaikan yang sangat kita butuhkan. Mengamankan data dan kekayaan intelektual kita adalah logis dan mutlak diperlukan untuk mempertahankan keunggulan teknologis atas lawan kita. Penilaian dan perbaikan berkelanjutan dalam praktik dasar-dasar keamanan siber adalah hal terpenting untuk mencapai tingkat ketahanan digital yang akan memungkinkan kita untuk mengatasi ancaman modern.
Wayne Lloyd adalah federal chief technology officer di RedSeal.
