Top 6 Perguntas Sobre o CMMC: Guia para Fabricantes

O Que Fabricantes Precisam Saber

Cibersegurança não é um assunto novo na manufatura. No momento em que equipamentos conectados, software inovador e sistemas avançados de robótica começaram a chegar ao chão de fábrica, a cibersegurança fez parte da conversa. A cibersegurança fez manchetes junto com artigos da Indústria 4.0, mas o burburinho de novas tecnologias chamativas dominou a conversa.

Fabricantes tendem a deixar a cibersegurança em segundo plano. Isso não será mais uma opção para muitos. A indústria de manufatura consistentemente figura no top 5 de indústrias mais vulneráveis e visadas para ciberataques. Os setores de Saúde, Serviços Financeiros e Agências Governamentais foram todos mantidos a um padrão mais alto quando se trata de conformidade de segurança e gestão de riscos. A indústria de manufatura ainda não foi mantida a um padrão mais alto e, portanto, ainda mais vulnerável ao cibercrime.

A Certificação do Modelo de Maturidade de Cibersegurança (CMMC) está pressionando a indústria e abaixo estão as 6 perguntas críticas que fabricantes precisam fazer.

O que é o CMMC?

CMMC significa Cybersecurity Maturity Model Certification. Esta certificação adota uma abordagem única para garantir que a propriedade intelectual crítica permaneça segura. Inicialmente, o CMMC será exigido apenas para fabricantes e fornecedores que lidam com Informações Controladas Não Classificadas (CUI) para o Departamento de Defesa (DoD).

A Certificação do Modelo de Maturidade de Cibersegurança (CMMC) é o método para certificar que os níveis apropriados de processos e proteções de cibersegurança estão em vigor para os aproximadamente 300.000 contratados e subcontratados na cadeia de suprimentos do DoD. O processo CMMC agora exigirá uma Organização de Avaliação de Terceiros do CMMC (C3PAO) para certificar que as empresas estão em conformidade e que a CUI está segura.

Existem 5 níveis de maturidade parte do CMMC que variam de "Higiene Básica de Cibersegurança" a "Avançado/Progressivo". À medida que o nível de maturidade aumenta, também aumentam as regras e diretrizes que uma empresa deve seguir para se tornar certificada e permanecer em conformidade.

Por que o CMMC está sendo criado?

O Departamento de Defesa reconheceu ciberataques como uma ameaça significativa, especialmente para subcontratados de pequeno a médio porte que apoiam os grandes contratados principais. Atores maliciosos reconheceram que os principais contratados estavam gastando mais recursos para prevenir ataques e que sua cadeia de suprimentos era um alvo mais fácil. Os requisitos de cibersegurança da Publicação Especial (SP) 800-171 do Instituto Nacional de Padrões e Tecnologia (NIST) foram desenvolvidos para proteger informações sensíveis para contratados que trabalham com o Departamento de Defesa (DoD) para aderir à cláusula 252.204-7012 do Suplemento do Regulamento Federal de Aquisição de Defesa (DFARS). Quando o DoD estimou que apenas uma pequena porcentagem da cadeia de suprimentos estava em conformidade com estas diretrizes, a Certificação do Modelo de Maturidade de Cibersegurança (CMMC) foi criada.

Ciberataques são uma ocorrência diária, infelizmente. "Com mais de 80 por cento da informação de defesa nacional vivendo em redes de parceiros, não é mais uma conversa sobre o que você está fazendo, ou o que eu estou fazendo; é mais importante o que estamos fazendo como coletivo para proteger a defesa nacional", disse Katie Arrington, assistente especial do Secretário Assistente de Defesa para Aquisição para Ciber, e uma das principais proponentes por trás do CMMC.

Em dezembro de 2018, hackers chineses supostamente roubaram informações de contratados da Marinha, que incluíam dados de manutenção de navios e planos de mísseis. Estas ações são uma ameaça direta à segurança nacional. Mesmo que um grande fornecedor do DoD como a Lockheed Martin tenha um programa de cibersegurança de primeira linha, todo subcontratado e fornecedor na cadeia de suprimentos do DoD deve se proteger também ou então se tornam um ponto de entrada para cibercriminosos. Apenas um elo fraco na cadeia de suprimentos do DoD pode colocar todo o país em risco.

Minha empresa precisa do CMMC?

Toda empresa deve investir no fortalecimento de sua cibersegurança. Segundo a Pesquisa Radware, o custo estimado por ciberataque é US$ 4,6 milhões. 13% dos participantes da pesquisa experimentaram um ciberataque que custou à sua empresa US$ 10 milhões ou mais, um número que dobrou em apenas um ano entre 2018 e 2019. Especialistas em cibersegurança do New Jersey Manufacturing Extension Program (NJMEP) sugerem que todo fabricante se beneficiaria de alcançar o equivalente a "Higiene Cibernética Intermediária", ou Nível 2 do CMMC como melhor prática. Para contratados do DoD, o nível de maturidade dependerá de onde na cadeia de suprimentos do DoD a empresa se enquadra.

Identificar qual dos cinco níveis de maturidade do CMMC um fornecedor, subcontratado ou fabricante do DoD deve seguir será determinado pelo contratado principal do DoD ou pode ser descoberto através de uma análise de lacunas do CMMC. Todos os fornecedores, subcontratados ou fabricantes que realizem qualquer trabalho, por mais mínimo que seja, com o DoD precisarão de algum nível do CMMC, mas o nível de maturidade diferirá dependendo da informação que o negócio lida e do trabalho sendo conduzido.

Se uma empresa da Base Industrial de Defesa (DIB) não possui Informações Controladas Não Classificadas (CUI) mas possui Informações de Contrato Federal (FCI), é necessário atender à Cláusula FAR 52.204-21 e deve ser certificado no mínimo no Nível 1 do CMMC.

Quando devo iniciar o processo de certificação?

Agora. Fornecedores, subcontratados e fabricantes do DoD devem iniciar o processo de se tornarem CMMC o mais rápido possível para evitar o risco de perder contratos críticos do DoD. Do início ao fim, o processo pode levar mais de um ano. Em junho de 2020, o CMMC começou a aparecer em RFIs. Empresas podem esperar que RFPs mencionem CMMC a partir de setembro de 2020 e Avaliações começarão no outono de 2020.

Agir agora e trabalhar com um consultor intimamente familiarizado com o CMMC e o framework do qual o CMMC se originou, NIST 800-171, será vital. A certificação começa com uma avaliação para identificar em qual nível de maturidade do CMMC uma organização reside atualmente. O próximo passo seria realizar uma análise de lacunas aprofundada e então passar para remediação completa. Cada nível de maturidade do CMMC leva uma quantidade diferente de tempo e esforço. No entanto, começar o mais cedo possível diminuirá a carga sobre a empresa, liderança e força de trabalho.

O que acontece se eu não me certificar?

Para contratados, subcontratados, fornecedores ou fabricantes do DoD…

Alcançar o nível de maturidade CMMC necessário pode significar a diferença entre garantir o próximo contrato do DoD ou não. Contratados principais do DoD começarão a exigir que todos os subcontratados cumpram estas novas regras críticas. Qualquer fabricante que não cumpra estas diretrizes e alcance o nível de maturidade CMMC adequado não poderá continuar conduzindo negócios do DoD.

Para Fabricantes Não-DoD…

Até o momento, contratados do DoD são os únicos em risco de perder trabalho do DoD se não adquirirem o CMMC. No entanto, fabricantes de pequeno e médio porte estão sempre em risco de um ciberataque paralisar completamente seus negócios, às vezes a ponto de nunca se recuperarem financeiramente. Esta certificação fornece a fabricantes não-DoD uma fantástica linha de base de cibersegurança e melhores práticas. Dependendo dos resultados de uma avaliação de cibersegurança, um negócio pode determinar qual nível de maturidade funcionaria melhor para eles.

Quem pode responder todas as minhas outras perguntas sobre o CMMC?

Adquirir o CMMC pode ser um desafio, especialmente sem o suporte certo. A certificação ainda está em sua infância, o que cria um ambiente difícil para fabricantes navegarem sozinhos. Explorar sites como acq.osd.mil/cmmc/faq.html ou trabalhar junto a consultores como NJMEP são as melhores formas de começar e ajudarão a transformar um processo assustador em um valor agregado simplificado para qualquer negócio.

Entender o CMMC, quais negócios serão impactados, quando agir e identificar o nível de maturidade necessário pode ser intimidador. Não faça isso sozinho. Cibersegurança é essencial mas pode ser complexa. Trabalhar com a equipe certa e ter acesso à informação certa se provará inestimável.

Tenha Cuidado

Houve tantas perguntas sobre este tópico e tantos desenvolvimentos enquanto ele tem sido lançado. No início, havia muitas empresas alegando poder ajudar e cobrando quantias significativas, mesmo quando a versão final das diretrizes nem havia sido decidida ou comunicada. Existem inúmeras empresas vendendo soluções ou serviços para ajudar e pode ser difícil determinar em quem confiar. Isso não é algo que possa simplesmente ser terceirizado para um Provedor de Serviços Gerenciados (MSP) alegando estar familiarizado com os requisitos.

1.https://www.radware.com/newsevents/pressreleases/c-suite-2019