Erlangung der Cybersecurity Maturity Model Certification (CMMC) für Auftragnehmer des US-Verteidigungsministeriums

Am 31. Januar 2020 veröffentlichte das Büro des Unterstaatssekretärs für Beschaffung und Instandhaltung im US-Verteidigungsministerium (DoD) die Version 1.0 der Cybersecurity Maturity Model Certification (CMMC). Das CMMC wurde als einheitlicher Cybersicherheitsstandard für alle Beschaffungen des DoD entwickelt und verlangt, dass alle über 300.000 Auftragnehmer des DoD ab Oktober 2020 CMMC-zertifiziert sein müssen, mit einer fünfjährigen Übergangsphase und anschließenden Verlängerungen alle drei Jahre.

CMMC verlangt von Unternehmen, dass sie sich von einer unabhängigen Stelle hinsichtlich der Einhaltung von Best Practices für Cybersicherheit und Informationsumgang zertifizieren lassen. Diese Zertifizierung entscheidet letztendlich darüber, ob ein Unternehmen einen Auftrag vom Verteidigungsministerium erhalten kann. CMMC soll kleinen Unternehmen helfen, ihre Cybersicherheitsmaßnahmen einfacher und kostengünstiger nachzuweisen, und zielt darauf ab, die Sicherheit und Widerstandsfähigkeit unserer gesamten nationalen Verteidigungslieferkette zu gewährleisten.

Dieser Blog befasst sich mit den Stufen der CMMC-Zertifizierung, die für Auftragnehmer des US-Verteidigungsministeriums verfügbar sind, der Entwicklung der Zertifizierungsinhalte, den Zertifizierungsprozessen, der Erlangung der Stufe-1-Zertifizierung durch Auftragnehmer und der Nutzung der Prevalent Third-Party Risk Management Platform durch zertifizierte Auditoren zur Erleichterung des Bewertungsprozesses.

CMMC-Zertifizierungsstufen

Es gibt fünf Stufen der CMMC-Zertifizierung, die von Stufe 1 (niedrigste Stufe, grundlegende Cyberhygiene) bis Stufe 5 (höchste Stufe, fortgeschritten/progressiv) reichen, wobei die Anforderungen und Kosten mit jeder Stufe steigen. Eine Erläuterung der Stufen finden Sie in der folgenden Grafik.

• Die Zertifizierung der Stufe 1 gilt für die überwiegende Mehrheit aller Auftragnehmer des Verteidigungsministeriums, etwa 285.000, und verlangt, dass das Unternehmen über 17 kostenlose Kontrollen berichtet, die auf bewährten Geschäftspraktiken und Standard-Cyberhygiene basieren.
• Stufe 2 ist eine Übergangsstufe für Organisationen, die über die Ressourcen verfügen, um Stufe 3 zu erreichen.
• Die Zertifizierung der Stufe 3 gilt für Organisationen, die für den Umgang mit kontrollierten, nicht klassifizierten Informationen (CUI) zugelassen sind, und verpflichtet diese Unternehmen gesetzlich dazu, die Zertifizierung für alle 110 Kontrollen gemäß NIST 171 nachzuweisen. Die Zertifizierung der Stufe 3 gilt für etwa 15.000 Auftragnehmer des Verteidigungsministeriums.
• Die Stufen 4 und 5 gelten jeweils für etwa 0,06 % aller Lieferanten des US-Verteidigungsministeriums. Sofern ein Unternehmen keine CUI erhält, muss es lediglich die CMMC-Zertifizierung der Stufe 1 aufrechterhalten.

Quelle: CMMC Public Briefing, 31. Januar 2020

Wie die Inhalte der CMMC-Zertifizierung entwickelt wurden

Der Rahmen für die CMMC-Zertifizierungsanforderungen umfasst die grundlegenden Sicherheitsanforderungen für Informationen aus Bundesverträgen (FCI) gemäß der Federal Acquisition Regulation (FAR) Klausel 52.204-21 und die Sicherheitsanforderungen für kontrollierte, nicht klassifizierte Informationen (CUI) gemäß der Sonderveröffentlichung ( SP) 800-171 des National Institute of Standards and Technology (NIST) Special Publication (SP) 800-171, „
“ gemäß der Defense Federal Acquisition Regulation Supplement (DFARS) Clause 252.204.7012.

Der CMMC-Zertifizierungsprozess

Alle Auftragnehmer des US-Verteidigungsministeriums müssen sich durch das Bestehen eines Audits CMMC-zertifizieren lassen. Damit wird bestätigt, dass sie das erforderliche Maß an Cybersicherheit erfüllen, um Geschäfte mit dem US-Verteidigungsministerium tätigen zu dürfen. CMMC bewertet anhand von 17 Kompetenzbereichen, wie in der obigen Abbildung dargestellt. Eine Darstellung der kumulativen Zertifizierungsanforderungen nach Stufe finden Sie in der folgenden Abbildung.

Quelle: https://www.acq.osd.mil/cmmc/docs/CMMC_ModelMain_V1.02_20200318.pdf

Jeder Lieferant des US-Verteidigungsministeriums muss die Website www.cmmcab.org besuchen, um zu erfahren, welche^Cyber-3rd-
-Audit-Organisationen (C3PAOs) als Auditoren zertifiziert sind. (Hinweis: Der Auditprozess erfordert derzeit eine Vor-Ort-Komponente, sodass sich die aktuelle Pandemie auf den Zeitplan für die Auditorenzertifizierung auswirken kann. ) Nach Abschluss des Lieferantenaudits reicht der Auditor den Audit-Informationsbericht bei der CMMC-Akkreditierungsstelle ein, die dem Unternehmen dann die Zertifizierung ausstellt.

Wie Auditoren CMMC-Bewertungen für alle 5 Stufen durchführen können

CMMC-zertifizierte Auditoren können die Prevalent Third-Party Risk Management Platform mit allen fünf Stufen der CMMC-Kontrollfragebögen nutzen. Mit diesem Zugang können zertifizierte Auditoren:

• Laden Sie Kunden auf die Prevalent-Plattform ein, um standardisierte Kontrollbewertungen in einer benutzerfreundlichen, sicheren Umgebung durchzuführen.
• Automatisierte Erinnerungen an Kunden, um den Zeitaufwand für die Durchführung von Bewertungen zu verringern
• Zentralisierung der Belege, die als Nachweis für das Vorhandensein von Kontrollen vorgelegt werden
• Erstellen Sie ein einziges Risikoregister auf der Grundlage der Antworten der Kunden.
• Empfehlungen zur Abhilfe bei fehlgeschlagenen Kontrollen abgeben

CMMC-Zertifizierung der Stufe 1 im Detail

Wirtschaftsprüfer und Lieferanten des US-Verteidigungsministeriums sollten die spezifischen Anforderungen für den Nachweis von Kontrollen auf jeder Zertifizierungsstufe konsultieren, wie sie vom Unterstaatssekretär für Beschaffung und Nachhaltigkeit des Verteidigungsministeriums festgelegt wurden. Dieser Abschnitt des Blogs konzentriert sich speziell auf die Zertifizierung der Stufe 1, da diese für die überwiegende Mehrheit der Auftragnehmer des US-Verteidigungsministeriums relevant ist, und sollte nicht als spezifische Compliance-Richtlinie betrachtet werden. Nachfolgend finden Sie eine Zusammenfassung der 17 CMMC-Praktiken der Stufe 1 nach Bereichen.

17 Praktiken der Stufe 1 nach Bereich

Zugangskontrolle (AC)

• AC.1.001 Beschränken Sieden Zugriff auf das Informationssystem auf autorisierte Benutzer, Prozesse, die im Namen autorisierter Benutzer handeln, oder Geräte (einschließlich anderer Informationssysteme).
• AC.1.002 Beschränken Sieden Zugriff auf das Informationssystem auf die Arten von Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.
• AC.1.003 Überprüfenund kontrollieren/begrenzen Sie Verbindungen zu und die Nutzung von externen Informationssystemen.
• AC.1.004Kontrollinformationen, die in öffentlich zugänglichen Informationssystemen veröffentlicht oder verarbeitet werden.

Identifizierung und Authentifizierung (IA)

• IA.1.076Identifizieren SieBenutzer von Informationssystemen, Prozesse, die im Namen von Benutzern ausgeführt werden, oder Geräte.
• IA.1.077 Authentifizierung(oder Überprüfung) der Identität dieser Benutzer, Prozesse oder Geräte als Voraussetzung für die Gewährung des Zugriffs auf die Informationssysteme der Organisation

Medien-Schutz (MP)

• MP.1.118Informationssystemmedien, die Informationen zu Bundesverträgen enthalten, müssen vor der Entsorgung oder Freigabe zur Wiederverwendung bereinigtoder vernichtet werden.

Physischer Schutz (PE)

• PE.1.131 Beschränken Sieden physischen Zugriff auf die Informationssysteme, Geräte und die jeweiligen Betriebsumgebungen der Organisation auf autorisierte Personen.
• PE.1.132Begleiten SieBesucher und überwachen Sie deren Aktivitäten.
• PE.1.133Führen SiePrüfprotokolle über den physischen Zugriff.
• PE.1.134Kontrolleund Verwaltung physischer Zugangsgeräte.

System- und Kommunikationsschutz (SC)

• SC.1.175 Überwachen, kontrollieren und schützen Sie die Kommunikation der Organisation (d. h. Informationen, die von den Informationssystemen der Organisation übertragen oder empfangen werden) an den externen Grenzen und wichtigen internen Grenzen der Informationssysteme.
• SC.1.176 Implementieren SieSubnetze für öffentlich zugängliche Systemkomponenten, die physisch oder logisch von internen Netzwerken getrennt sind.

System- und Informationsintegrität (SI)

• SI.1.210Informationen und Mängel im Informationssystem rechtzeitig erkennen, melden und beheben.
• SI.1.211Schützen Sie an geeigneten Stellen innerhalb der Informationssysteme Ihrer Organisation vor bösartigem Code.
• SI.1.212 Aktualisieren Siedie Schutzmechanismen gegen bösartigen Code, sobald neue Versionen verfügbar sind.
• SI.1.213 Führen Sieregelmäßige Scans des Informationssystems und Echtzeit-Scans von Dateien aus externen Quellen durch, wenn Dateien heruntergeladen, geöffnet oder ausgeführt werden.

Wie Auftragnehmer des US-Verteidigungsministeriums CMMC-Selbstbewertungen der Stufe 1 durchführen können

Jeder Auftragnehmer des US-Verteidigungsministeriums kann die Prevalent Third-Party Risk Management Platform nutzen, um vor der formellen Prüfung eine Vorabbewertung der Stufe 1 durchzuführen. Mit diesem Zugang können Auftragnehmer des US-Verteidigungsministeriums:

• Bewertung anhand der 17 Kontrollen, die zur Messung der Einhaltung von Stufe 1 erforderlich sind
• Hochladen von Unterlagen und Belegen zur Unterstützung der Antworten auf Fragen
• Transparenz über den aktuellen Stand der Einhaltung von Vorschriften
• Nutzen Sie die integrierten Korrekturhinweise, um Mängel vor Ihrer formellen Prüfung zu beheben.
• Erstellen Sie Compliance-Berichte für Wirtschaftsprüfer

Weitere Informationen darüber, wie Prevalent zur Sicherung der Lieferkette des US-Verteidigungsministeriums beiträgt, finden Sie auf unserer Seite zur CMMC-Compliance. Laden Sie unser Whitepaper zur Compliance herunter oder fordern Sie noch heute eine Demo der Prevalent-Plattform an.

---

Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.