CMMC står för Cybersecurity Maturity Model Certification och blir alltmer populärt inom IT- och säkerhetsbranschen. Regeringen, särskilt försvarsdepartementet, använder CMMC:s (Cybersecurity Maturity Model Certification) system för efterlevnadsnivåer för att bedöma om ett företag har den säkerhet som krävs för att hantera reglerad eller på annat sätt känslig data. Företag som vill samarbeta med försvarsdepartementet måste betygsättas av CMMC och följa CMMC:s regler. Att skapa ett CMMC-ramverk, följa det och tillämpa CMMC:s bästa praxis är vanligtvis hur detta åstadkoms.
Låt oss undersöka CMMC-efterlevnad mer i detalj, inklusive vem som kräver det och var din organisation kan passa in.
Vad är CMMC?
CMMC har funnits ett tag men har precis uppgraderats. Ett företag måste hänvisa till det nuvarande CMMC-ramverket och dokumenten för att fastställa var det ligger. Detta kan vara en långdragen process; därför vill många organisationer ha hjälp av en kunnig partner för att avgöra var de står på CMMC-nivåsystemet och om det finns några luckor eller möjligheter till tillväxt.
CMMC:s primära mål är att bedöma mognaden hos en organisations nuvarande cybersäkerhetsinitiativ. Detta innebär att företaget Kan förbättra och optimera dess säkerhet samtidigt som den bibehålls.
För företag inom DIB höjer programmet Cybersecurity Maturity Model Certification (CMMC) ribban för cybersäkerhet. Det är avsett att skydda otillgängligahemligstämplad information som försvarsdepartementet delar med sina entreprenörer och underleverantörer. Initiativet ger försvarsdepartementet större säkerhet för att entreprenörer och underleverantörer följer en uppsättning cybersäkerhetskriterier och integrerar dem i upphandlingsprogram.
Tre viktiga funktioner i ramverket:
Nivåmodell
CMMC föreskriver att organisationer med tillgång till nationell säkerhetsinformation, baserat på informationens typ och allvarlighetsgrad, ska tillämpa cybersäkerhetskrav på allt högre nivåer. Programmet beskriver också hur information ska vidarebefordras till underleverantörer.
Bedömningskrav
CMMC-utvärderingar ger försvarsdepartementet ett sätt att bekräfta att definierade cybersäkerhetsstandarder följs.
Kontraktsbaserad implementering
Efter att CMMC är helt implementerat måste vissa försvarsdepartementets entreprenörer som hanterar känslig, oklassificerad försvarsdepartementets information uppnå en specifik CMMC-nivå. till tilldelas ett kontrakt.
Vem behöver CMMC-certifiering?
Organisationer som använder information från Försvarsdepartementet måste ha CMMC-ackreditering. Organisationen kan endast kräva en nivå 3-godkännande eller lägre om den arbetar med icke-klassificerad information från Försvarsdepartementet. Organisationen kommer att kräver godkännande av nivå 4 eller högre om det handlar om vissa värdefull information. Projektet bestämmer dock klasser.
CMMC-certifieringsnivåer
CMMC-certifieringen har totalt fem nivåer, där nivå 1 är den lägsta och nivå 5 den högsta.
bro Företag bör redan ha uppnått Nivå 1, vilket inkluderar grundläggande säkerhetsåtgärder, god lösenordspraxis och antivirusprogram. Det är den mest grundläggande typen av säkerhet.
På nivå 5 finns system och rutiner på plats för att granska infrastruktur, upptäcka brister och åtgärda dem. Proaktiva tekniker används också för att upptäcka och minska risker innan de uppstår. Nivå 5-systemet förbättras kontinuerligt.
Enligt CMMC är nivåerna kumulativa. Följaktligen kommer företag på nivå 3 att uppfylla kraven på nivå 3, nivå 2 och nivå 1.
Oavsett om de samarbetar med myndigheter eller inte, bör de flesta företag sträva efter efterlevnad på nivå 4 eller 5. En revision av en leverantör av hanterade tjänster kan vara till hjälp.
Ramkomponenter
CMMC-elementen i praktiken är:
- domäner
- Processer
- Capabilities
- Praxis
Entreprenörer blir så småningom certifierade till en viss grad allt eftersom de förbättrar sina utvärderingar av var och en av dessa komponenter.
På varje nivå i modellen utvärderas federala huvudleverantörer och underleverantörer med avseende på deras efterlevnad av processerna och praxisen inom vart och ett av de relevanta områdena.
Inte varje domän inkluderar alla fem nivåer. Domäner avser ett antal nivåer mellan 1 och 5, eller ett minimum och ett maximum.
Hur kan man få CMMC-certifiering?
För CMMC kan företag inte självcertifiera sig. Istället kommer ett tredjepartscertifieringsförfarande att krävas för statliga entreprenörer och alla som interagerar med statliga organisationer. Graden av mognad och förberedelse de uppfyller kommer att avgöras av denna tredje parts bedömning av sina nuvarande säkerhetsrutiner och system.
bro Företag kommer att genomföra en fullständig revision innan de ansöker om att bli certifierade eftersom CMMC-certifiering inte kan självcertifieras och kräver en tredjepartsstudie. En leverantör av hanterade tjänster kan hjälpa ett företag att navigera i CMMC-ramverket, avgöra om förändringar är genomförbara och upprätta själva certifieringsförfarandet. Efter att certifieringsförfarandet är avslutat kan en leverantör av hanterade tjänster också utveckla en strategi för att höja certifieringsnivån, om det behövs.
CMMC-certifieringen är en av de mest eftertraktade säkerhetscertifieringarna för ett företag att förvärva eftersom kraven nyligen har ändrats. Företaget kommer att kunna driva federala kontrakt och arbeta med konfidentiell information när det har fått CMMC-ackreditering.
Vad händer om man inte samarbetar med regeringen?
Ditt företag kan kräva CMMC-efterlevnad om det är något som kräver att man samarbetar med myndigheter. du är intresserade av. Enligt kontraktet kan flera nivåer av CMMC-efterlevnad krävas. Till exempel kräver många kontrakt helt enkelt efterlevnad på nivå 1 eller nivå 2, medan andra kontrakt kan kräva efterlevnad på nivå 5. Självklart är det också de kontrakt med högre CMMC-certifieringskrav som har störst chans att löna sig.
Men det inte nödvändigtvis betyder du returnera inte Kräv CMMC-efterlevnad om du inte har att göra med statliga eller försvarsdepartementets kontrakt. De grundläggande idéerna bakom CMMC-efterlevnad handlar om konsekvent och proaktiv säkerhet bästa praxis. Även för sin egen sinnesro borde varje företag kunna uppnå CMMC-efterlevnad.
Slutsats
Enligt uppskattningar minskar cyberbrottslighet den globala BNP med mer än 600 miljarder dollar varje år. Genom att förlita sig på ett brett nätverk av entreprenörer för att utföra sitt syfte ger försvarsdepartementet var och en av dem tillgång till viktig information, vilket höjer försvarsdepartementets övergripande riskprofil. Försvarsdepartementet är medvetet om kostnaden och den oproportionerligt stora fara som cyberbrottslighet utgör för dess bas av underleverantörer, av vilka många är små företag utan samma kapacitet som sina större, främsta motsvarigheter.
Med tanke på detta lanserade försvarsdepartementet CMMC för att göra det enklare för hela sin globala leverantörsbas att implementera bästa praxis inom cybersäkerhet med en strategi för "djupgående försvar".
