Conformidade de Fornecedores do DoD: Como Duas Suposições de Cibersegurança Estão Moldando o Futuro

Estima-se que existam cerca de 300.000 empresas na Base Industrial de Defesa ("BID") nos setores de manufatura e não manufatura. Aproximadamente 99% da BID é composta por pequenas e médias empresas, que são empresas com menos de 500 funcionários.

Desde dezembro de 2017, todas as empresas na BID têm a cláusula do Defense Federal Acquisition Regulation Supplement ("DFARS") (252.204-7012 - Proteção de Informações de Defesa Controladas & Relatório de Incidentes Cibernéticos) em seus contratos. Após quase três anos, parecem existir várias suposições incorretas na BID, duas das quais merecem discussão mais profunda...

A Primeira Suposição: Autoatestações Não São Grande Coisa

Como resultado da aceitação dos termos de um contrato com o DoD, fabricantes autoatestam que usam "cibersegurança adequada" para proteger Informações Não Classificadas Controladas ("CUI"). Cibersegurança adequada é definida pela cláusula DFARS como implementar totalmente os 110 requisitos de segurança descritos na Publicação Especial NIST 800-171.

Muitos fabricantes assumem que seu programa de cibersegurança é suficiente. A maioria dos clientes da CMTC geralmente começa seu engajamento de cibersegurança estimando que estão 70% - 80% em conformidade. No entanto, a média corrente após uma análise de lacunas básica é de cerca de 34% em conformidade.

Posts anteriores do blog cobriram os riscos legais frequentemente ignorados associados à não conformidade com requisitos de cibersegurança. Em última análise, se uma empresa quer fazer negócios com o Departamento de Defesa (DoD), ela deve aceitar os termos do contrato e, portanto, autoatestar uma postura de cibersegurança em conformidade.

A Segunda Suposição: Provedores Externos de TI Sozinhos São a Resposta

Muitos pequenos negócios carecem de pessoal e recursos de TI dedicados. Como resultado, muitos fabricantes utilizam provedores de serviços de TI terceirizados. Para que esses pequenos negócios operem, provedores de serviços externos são confiados com acesso administrativo tremendo a sistemas de informação da empresa. Frequentemente, fabricantes assumem que tudo está progredindo conforme planejado. Fabricantes precisam supervisionar seus Provedores de TI Terceirizados para entender quais ações estão sendo tomadas. A jornada cibernética do fabricante com um provedor de TI é colaborativa com a empresa engajada nas atividades e resultados do trabalho de um provedor.

Além disso, em termos de exposição, aproximadamente metade dos 110 requisitos de segurança estão diretamente relacionados às operações técnicas e soluções tecnológicas normalmente fornecidas por um provedor de TI terceirizado. Algumas medidas de cibersegurança são tão fundamentais para as operações do negócio que o governo assumiu razoavelmente que todos os fornecedores do DoD estariam gerenciando proativamente seu próprio risco. É imperativo que o fabricante e o Provedor de TI trabalhem juntos para obter conformidade com o DoD. O Fornecedor DoD assumirá a responsabilidade pela conformidade a longo prazo.

Juntas, essas duas suposições-chave incorretas podem criar uma dívida técnica e de conformidade tremenda.

A auditoria de conformidade de cibersegurança do governo está a caminho, então o melhor caminho a seguir é supervisionar seu provedor de TI e trabalhar colaborativamente para contribuir para sua conformidade geral.

Próximos Passos Recomendados

1) Foque em seus requisitos DFARS existentes.

2) Reserve tempo para entender completamente as suposições subjacentes ao NIST SP 800-171.

3) Estabeleça um processo robusto de gestão de fornecedores terceirizados.

4) Reserve tempo para entender completamente as obrigações de fluxo descendente contratual.

Para uma visão geral breve do ecossistema regulatório geral e uma discussão mais aprofundada dos tópicos delineados neste post, você pode visualizar o webinar sob demanda da CMTC aqui.