Top 5 Perguntas de Cibersegurança que Fabricantes Fazem sobre Conformidade Governamental

Este artigo apareceu originalmente no Industry Today. Post de blog convidado por Jennifer Kurtz, Diretora do Programa Cibernético na Manufacturer's Edge, um Centro NIST MEP no Colorado e representante da MEP National Network™.

Segundo o U.S. Department of Homeland Security, manufatura é a segunda indústria mais visada baseada no número de ataques cibernéticos reportados. Além disso, criminosos cibernéticos veem pequenos e médios fabricantes (FPMs) como alvos principais porque muitas destas empresas não têm medidas preventivas adequadas no lugar.

Para Department of Defense (DoD), contratados e subcontratados, negócios como de costume não existem mais. O governo federal, que está cada vez mais dependente de provedores de serviços externos para conduzir negócios, aumentou a aposta quando se trata de proteger informação não classificada controlada (CUI) em sistemas e organizações de informação não federais. A partir de 31 de dezembro de 2017, todos os contratados do governo federal eram obrigados a atender aos requisitos mínimos de cibersegurança do Defense Acquisition Regulation Supplement (DFARS) ou arriscar perder seus contratos. Apesar desta data limite passada, muitos FPMs carecem do conhecimento e recursos para atualizar seus sistemas e estão perdidos sobre como atender a estes 110 novos requisitos de segurança. De nota importante, o Federal Acquisition Regulation, que se aplica a contratados do governo trabalhando em nome da General Services Administration (GSA) e da National Aeronautics and Space Administration (NASA), em breve incluirá requisitos de cibersegurança similares.

A MEP National Network, uma parceria público-privada que entrega soluções abrangentes e comprovadas a fabricantes dos EUA, tem ativamente fornecido conscientização e assistência para ajudar fabricantes dos EUA a proteger seus ativos de informação dos riscos de ataques cibernéticos. A organização e seus parceiros também servem como recurso nacional a fabricantes dos EUA buscando implementar segurança adequada para salvaguardar informação não classificada controlada armazenada, processada e transmitida.

Seguem cinco das perguntas mais frequentes que ouço de FPMs sobre as diretrizes de segurança DFARS do governo federal.

P: O que é Informação Não Classificada Controlada (CUI) e como sei se estou manuseando este tipo de informação como parte do meu contrato?

R: Informação não classificada controlada (CUI) é dados que são proprietários do governo. É informação que o governo quer mantida segura, mas não é vital para a segurança nacional. A cláusula DFARS 252.204.7012 pode aparecer no seu contrato, mas só é enactada se você processa, armazena ou transmite CUI. CUI pode incluir: dados de pesquisa e engenharia, desenhos de engenharia, especificações, manuais, relatórios técnicos, estudos e análises, e código executável e fonte de software de computador. CUI terá marcação especial e instruções de manuseio como FOUO (For Official Use Only). Para mais informação sobre marcações CUI veja o registro CUI.

P: Conformidade DFARS é requerida por lei?

R: Qualquer contratado ou subcontratado que tenha uma cláusula DFARS em seu contrato é legalmente requerido a cumprir. Se você falsamente alegar conformidade, arrisca perder seu contrato governamental e todos ganhos associados e provavelmente será inelegível para futuros contratos governamentais.

P: Sou dono de um pequeno negócio e meus contratos governamentais são de pequena escala. Conformidade DFARS se aplica a mim?

R: Independentemente do tamanho da sua empresa ou do seu contrato, se você é um contratado ou subcontratado federal que processa, armazena ou transmite CUI você deve cumprir. Criminosos cibernéticos visam empresas menores já que tipicamente têm menos medidas de segurança no lugar. Empresas em níveis inferiores da cadeia de suprimentos podem ser mais fáceis de penetrar do que tentar invadir as redes de seu alvo principal. Um ataque à cadeia de suprimentos pode ser uma rota mais fácil para informação não classificada controlada do governo do que tentar acessar redes governamentais diretamente.

P: Como sei se minha empresa está atualmente em conformidade DFARS?

R: Consulte o NIST Handbook 162. Este manual fornece um guia passo a passo para avaliar sistemas de informação de um fabricante contra os requisitos de segurança DFARS.

P: Minha organização não atende às diretrizes mínimas DFARS mas não sei por onde começar o processo de conformidade?

R: Implementar um plano de cibersegurança aprovado pelo governo pode ser uma tarefa assustadora. Você pode começar revisando a publicação NIST SP 800-171 que delineia os requisitos DFARS. Você também pode entrar em contato com a MEP National Network para conectá-lo com seu Centro MEP local. Centros MEP locais oferecem uma ampla gama de serviços e iniciativas gratuitos ou acessíveis para guiar fabricantes através do processo de conformidade. Estes serviços incluem conexões a especialistas em cibersegurança que podem desenvolver uma análise de lacunas detalhada de protocolos e procedimentos e criar um plano de ação que aborda vulnerabilidades e outras questões de conformidade.

P: Minha empresa não é um contratado governamental, mas gostaria de melhorar nossos protocolos de cibersegurança. Posso usar as diretrizes DFARS?

R: Absolutamente. Fabricantes operando em cadeias de suprimentos comerciais devem seriamente considerar implementar os requisitos de segurança DFARS como aspecto integral de gerenciar seus riscos organizacionais.

À medida que o setor de manufatura se torna cada vez mais digitalizado, a necessidade de entender, mitigar e responder a ameaças cibernéticas cada vez mais complexas tornou-se o custo de fazer negócios.