Certificação CMMC: Insights Essenciais para Contratados de Defesa

À medida que a Certificação do Modelo de Maturidade em Cibersegurança (CMMC) se aproxima da implementação total, as organizações afetadas correm para garantir que passarão no processo de certificação.

O objetivo é simples: as organizações devem atender a padrões mínimos de cibersegurança e, ao fazê-lo, cumprem sua parte na melhoria da segurança nacional. As apostas são extraordinariamente altas para as estimadas 300.000 organizações da base industrial de defesa (DIB) que em breve precisarão ser certificadas em um dos cinco níveis do CMMC para serem elegíveis a contratos federais. Simplificando: sem certificação, sem contrato. Da perspectiva do Governo dos EUA e do Departamento de Defesa, as apostas sempre foram altas, já que a DIB desempenha papel crítico na defesa da nação. A única forma de garantir a proteção de nossos dados e a integridade da cadeia de suprimentos é exigir da indústria um padrão mais elevado.

Como Chegamos Aqui?

A atividade adversária de atores estatais e não estatais continua a aumentar, e os custos econômicos são impressionantes — US$ 5 trilhões globalmente, segundo algumas estimativas. Outras estimam que o custo para a economia dos EUA ficou entre US$ 57 bilhões e US$ 109 bilhões em 2016. No entanto, a necessidade do CMMC não se resume a interesses econômicos; trata-se de nos defendermos coletivamente. Empresas grandes e pequenas contribuem para o sucesso do combatente americano e todas serão responsabilizadas no mesmo nível de accountability com o CMMC.

No espaço federal, basta um olhar rápido para um certo caça a jato para conectar os pontos sobre a importância de proteger as organizações que, em última instância, protegem e defendem nosso país. No espaço comercial, o vazamento da Target mostrou como parceiros de negócios podem ser o elo fraco que facilita um ataque. Ao tornar a DIB mais accountable, ajudamos a cumprir não apenas um novo requisito de negócio, mas um imperativo estratégico de sermos mais resilientes a ataques. Os tempos mudaram e também a forma como conduzimos negócios. Gostemos ou não, manobramos no campo de batalha moderno onde palavras como "guerra", "espionagem" e "crime" são prefixadas com "ciber", significando que entidades privadas e públicas devem estar preparadas com uma resposta moderna.

O que é o CMMC?

O CMMC possui cinco níveis de controles técnicos e processuais que visam proteger Informações Controladas Não Classificadas (CUI) e Informações de Contrato Federal (FCI) para contratados do DoD. Para atingir o nível 5 do CMMC, as organizações precisarão passar pela implementação e avaliação de 171 controles técnicos e processuais. A maioria dos profissionais de cibersegurança no espaço federal achará que a maior parte dos controles do CMMC é familiar. De fato, para atingir o nível 3 do CMMC, quase todos os controles encontram-se na NIST SP 800-171. As organizações que em breve exigirão certificação sob o CMMC já foram mandatadas a atender aos controles descritos na NIST SP 800-171 desde 2016. A diferença crucial é que as organizações não podem mais auto-certificar e submeter um Plano de Ações e Marcos (POA&M) para tratar deficiências. Organizações buscando certificação devem ser formalmente avaliadas por uma Organização Avaliadora Terceirizada do CMMC (C3PAO) ou avaliador certificado pelo CMMC Accreditation Body, uma organização sem fins lucrativos encarregada de certificar a prontidão dos avaliadores. Embora nenhuma data tenha sido dada para o início das avaliações, o treinamento começou recentemente para o primeiro grupo de avaliadores do CMMC.

O que Fazer Agora?

A preparação para o CMMC é um exercício de implementação dos fundamentos de cibersegurança e melhoria contínua para alcançar maior resiliência. Os níveis do CMMC são cumulativos e escalonados, de forma que um nível constrói sobre o anterior; para atingir o nível 4, você deve estar totalmente em conformidade com o nível 3. Cada nível correlaciona-se à sofisticação de suas práticas de segurança, começando com higiene básica e elevando a medidas mais avançadas e proativas, como threat hunting no Nível 5. Com 171 controles de complexidade crescente, por onde começar?

• Eduque-se: Entenda os controles técnicos e políticas descritos pelo CMMC.
  • Aqui está a Versão 1 do CMMC.
  • Aqui está o FAQ do CMMC.
• Determine qual nível é adequado para você: As organizações precisarão decidir qual nível de certificação buscam. Organizações que armazenam apenas FCI podem se contentar com o Nível 1 do CMMC; aquelas que armazenam e manuseiam CUI ou contribuem para esforços mais sensíveis provavelmente buscarão certificação no Nível 3 ou superior. O DoD listará o requisito de nível CMMC na solicitação de propostas.
• Conheça-se: Entenda e documente seu ambiente, da rede interna aos parceiros de negócio. Diz-se frequentemente que "você não pode defender o que não conhece", e é verdade. Você deve compreender sua segmentação, sistemas e superfície de ataque antes de poder defendê-la.
• Autoavalie-se: Determine como você se compara aos controles do nível de certificação que sua organização busca. Identifique controles não atendidos, planeje como resolver as questões e reavalie. Para flexibilidade futura, identifique o que seria necessário para sua organização atingir o próximo nível.
• Comprometa-se (Buy-in): Somos tão fortes quanto nosso elo mais fraco; entenda que o CMMC foi desenhado para mitigar riscos de fazer negócios no setor de defesa. Alguns controles serão simples ou já estão sendo feitos; outros podem exigir suporte de várias partes da organização. Você pode precisar de aprovações, orçamento aumentado ou patrocínio executivo. Alguns controles podem ser um grande desafio técnico. Toda a organização precisará comprar a ideia, ser pragmática e fazer sua parte para apoiar e proteger a missão.
• Seja flexível: O CMMC é novo e cria pontes entre as grandes entidades complexas do DoD e da DIB. São organizações enormes, ainda há incógnitas com o CMMC, e o que se sabia há um mês pode mudar. Seja flexível, paciente, e saiba que todos precisamos fazer melhor para proteger o que valorizamos.

Seja você precisando de certificação no Nível 1 ou 5 do CMMC, ou talvez sua organização nem faça negócios com o DoD, os padrões estabelecidos pelo CMMC são um roteiro para qualquer organização amadurecer sua postura de cibersegurança. Independentemente do ponto de partida, alcançar a conformidade com o CMMC representará um desafio para organizações pequenas e grandes, mas o resultado é a melhoria que desesperadamente precisamos. Proteger nossos dados e propriedade intelectual é lógico e de absoluta necessidade para manter vantagem tecnológica sobre adversários. Avaliação contínua e melhoria na prática dos fundamentos de cibersegurança são primordiais para alcançar um nível de resiliência digital que nos permita combater ameaças modernas.

Wayne Lloyd é chief technology officer federal na RedSeal.