CMMC staat voor Cybersecurity Maturity Model Certification en wint snel aan populariteit in de IT- en beveiligingssector. De overheid, met name het Ministerie van Defensie, gebruikt het CMMC-systeem (Cybersecurity Maturity Model Certification) om te beoordelen of een bedrijf de vereiste beveiliging heeft om met gereguleerde of anderszins kwetsbare gegevens om te gaan. Bedrijven die willen samenwerken met het Ministerie van Defensie, moeten een CMMC-beoordeling krijgen en zich houden aan de CMMC-regels. Dit wordt doorgaans bereikt door een CMMC-kader te creëren, zich daaraan te houden en de best practices van CMMC toe te passen.
Laten we de CMMC-naleving eens nader bekijken. We bespreken wie het nodig heeft en waar uw organisatie past.
Wat is CMMC?
De CMMC bestaat al een tijdje, maar is onlangs geüpgraded. Een bedrijf moet het huidige CMMC-kader en de bijbehorende documenten raadplegen om te bepalen waar het staat. Dit kan een langdurig proces zijn; daarom willen veel organisaties de hulp van een deskundige partner om te bepalen waar ze staan op CMMC-niveau en of er hiaten of groeimogelijkheden zijn.
Het primaire doel van de CMMC is om de volwassenheid van de huidige cybersecurityinitiatieven van een organisatie te beoordelen. Dit omvat de vraag of het bedrijf blikje de beveiliging verbeteren en optimaliseren en tegelijkertijd deze behouden.
Voor bedrijven in de DIB legt het Cybersecurity Maturity Model Certification (CMMC)-programma de lat hoger voor cyberbeveiliging. Het is bedoeld om de veiligheid van de klant te waarborgen.vertrouwelijke informatie die het DoD deelt met zijn aannemers en onderaannemers. Het initiatief geeft het DoD meer zekerheid dat aannemers en onderaannemers zich houden aan een reeks cybersecuritycriteria en integreert deze in aanbestedingsprogramma's.
Drie belangrijke kenmerken van het raamwerk:
Gelaagd model
CMMC schrijft voor dat organisaties met toegang tot nationale veiligheidsinformatie, op basis van het type en de ernst van de informatie, steeds strengere cybersecurityvereisten hanteren. Het programma beschrijft ook hoe informatie aan onderaannemers moet worden doorgegeven.
Beoordelingsvereiste
CMMC-evaluaties bieden het DoD een manier om te controleren of de vastgestelde normen voor cyberbeveiliging worden nageleefd.
Contractgebaseerde implementatie
Nadat CMMC volledig is geïmplementeerd, moeten bepaalde DoD-contractanten die omgaan met gevoelige, niet-geclassificeerde DoD-informatie een specifiek CMMC-niveau bereiken naar een contract krijgen.
Voor wie is CMMC-certificering vereist?
Organisaties die DoD-informatie gebruiken, moeten CMMC-geaccrediteerd zijn. De organisatie heeft mogelijk alleen een Level 3-goedkeuring of lager nodig als ze met niet-geheime DoD-informatie werkt. vereisen een niveau 4-machtiging of hoger als het om bepaalde onderwerpen gaat waardevol informatie. Het project bepaalt echter de klassen.
CMMC-certificeringsniveaus
Het CMMC-certificaat kent in totaal vijf niveaus, waarbij niveau 1 het laagste niveau is en niveau 5 het hoogste.
De meeste Bedrijven zouden niveau 1 al moeten hebben bereikt, wat fundamentele beveiligingsmaatregelen, goede wachtwoordpraktijken en antivirussoftware omvat. Dit is de meest basale vorm van veiligheid.
Op niveau 5 zijn systemen en procedures aanwezig om de infrastructuur te controleren, tekortkomingen op te sporen en deze aan te pakken. Proactieve technieken worden ook gebruikt om gevaren te detecteren en te beperken voordat ze zich voordoen. Het systeem op niveau 5 wordt continu verbeterd.
Onder de CMMC zijn de niveaus cumulatief. Bedrijven op niveau 3 voldoen dus aan de normen van niveau 3, niveau 2 en niveau 1.
Of ze nu met de overheid samenwerken of niet, de meeste bedrijven zouden moeten streven naar naleving op niveau 4 of 5. Een audit van een managed services provider kan hen hierbij helpen.
Kadercomponenten
De CMMC-elementen in actie zijn:
- Klantgroepen
- Processen
- Mogelijkheden
- Praktijken
Aannemers worden uiteindelijk tot op zekere hoogte gecertificeerd naarmate ze elk van deze componenten beter beoordelen.
Op elk niveau van het model worden federale hoofdaannemers en onderaannemers beoordeeld op hun naleving van de processen en praktijken die betrekking hebben op elk van de relevante domeinen.
Niet elk domein omvat alle vijf niveaus. Domeinen hebben betrekking op een willekeurig opeenvolgend aantal niveaus tussen 1 en 5, of een willekeurig minimum en maximum.
Hoe kunt u CMMC-certificering behalen?
Bedrijven kunnen zich niet zelf certificeren voor de CMMC. In plaats daarvan is een certificeringsprocedure door een derde partij vereist voor overheidscontractanten en iedereen die met overheidsorganisaties samenwerkt. De mate van volwassenheid en voorbereiding die zij behalen, wordt bepaald door de beoordeling van hun huidige beveiligingsprocedures en -systemen door deze derde partij.
De meeste Bedrijven voeren een volledige audit uit voordat ze certificering aanvragen, aangezien CMMC-certificering niet zelfgecertificeerd kan worden en een onderzoek door een derde partij vereist. Een managed services provider kan een bedrijf helpen bij het navigeren door het CMMC-kader, het bepalen of wijzigingen haalbaar zijn en het opzetten van de certificeringsprocedure. Na afloop van de certificeringsprocedure kan een managed services provider ook een strategie ontwikkelen om het certificeringsniveau te verhogen, indien nodig.
De CMMC-certificering is een van de meest gewilde beveiligingscertificeringen voor bedrijven, omdat de eisen recentelijk zijn gewijzigd. Zodra het CMMC-geaccrediteerd is, kan het bedrijf federale contracten afsluiten en met vertrouwelijke informatie werken.
Wat als u niet voor de overheid werkt?
Uw bedrijf heeft mogelijk CMMC-naleving nodig als u met de overheid samenwerkt. je bent Geïnteresseerd in. Volgens het contract kunnen verschillende niveaus van CMMC-naleving vereist zijn. Veel contracten vereisen bijvoorbeeld alleen naleving op niveau 1 of 2, terwijl andere contracten naleving op niveau 5 vereisen. Uiteraard zijn de contracten met strengere CMMC-certificeringseisen ook de contracten die het meest rendabel zijn.
Maar dat niet betekent noodzakelijkerwijs jou geen Vereist CMMC-naleving als u niet met overheids- of DoD-contracten te maken hebt. De basisprincipes van CMMC-naleving zijn consistente en proactieve veiligheid Best practices. Zelfs voor hun eigen gemoedsrust zou elk bedrijf CMMC-compliance moeten kunnen bereiken.
Conclusie
Volgens schattingen vermindert cybercriminaliteit het wereldwijde BBP jaarlijks met meer dan 600 miljard dollar. Door te vertrouwen op een breed netwerk van aannemers om zijn taak uit te voeren, geeft het Ministerie van Defensie elk van hen toegang tot essentiële informatie, waardoor het algehele risicoprofiel van de DIB toeneemt. Het Ministerie van Defensie is zich bewust van de kosten en de onevenredig grote hoeveelheid gevaar die cybercriminaliteit vormt voor zijn onderaannemers, waarvan er veel kleine bedrijven zijn zonder de capaciteiten van hun grotere, toonaangevende tegenhangers.
Met het oog hierop heeft het Amerikaanse ministerie van Defensie CMMC gelanceerd, waarmee het voor alle contractanten wereldwijd eenvoudiger wordt om best practices op het gebied van cyberbeveiliging te implementeren met een strategie van ‘verdediging in de diepte’.
