Cybersecurity Maturity Model Certification (CMMC): Tipps zur Einhaltung

Nach einer Reihe von 83 Datenpannen allein im Jahr 2019, hat das Verteidigungsministerium der Vereinigten Staaten (DoD) die Cybersecurity Maturity Model Certification (CMMC) eingeführt. Das CMMC-Rahmenwerk ist ein einheitlicher nationaler Standard zur Verbesserung der Cybersicherheit. Unternehmen der Verteidigungsindustriebasis (DIB) müssen die CMMC-Anforderungen umsetzen, um Verträge zu gewinnen. Lesen Sie weiter, um herauszufinden, wie Sie die Konformität erreichen können.

Einführung in das CMMC

CMMC ist ein von dem Office of the Under Secretary of Defense (OUSD) für Acquisition & Sustainment geschaffener Cybersecurity-Standard. Er zielt darauf ab, auf Cyberbedrohungen zu reagieren, indem er die Art und Weise standardisiert, wie DoD-Vertragspartner kritische Informationen sichern.

Um die CMMC-Zertifizierung zu erreichen, müssen DIB-Unternehmen angemessene Cybersicherheitspraktiken und -prozesse implementieren, um alle sensiblen Informationen zu Bundesverträgen (FCI) und kontrollierte nicht klassifizierte Informationen (CUI), die sie verarbeiten oder speichern, zu schützen. Organisationen erhalten eine Reifebewertung ihrer Cybersicherheit auf einer Skala von eins bis fünf. Diese Bewertung bestimmt das Vertrauensniveau, das das DOD in die Organisation setzt und beeinflusst alles von der Einstellung bis zu Verträgen.

Gemäß den vorherigen Richtlinien (dem Defense Federal Acquisition Regulation Supplement [DFARS] 252.204-7012) konnten Auftragnehmer ihre Cybersicherheitsresilienz durch Selbstbestätigung der Einhaltung von NIST SP 800-171 nachweisen. Dieses Modell führte jedoch zu einer Reihe von hochkarätigen Datenverletzungen wie dem Solar Winds Vorfall, sowie zu Verstößen gegen den False Claims Act.

Um die Cybersicherheit zu verbessern, erfordert das CMMC nun, dass eine CMMC-Drittprüferorganisation zertifiziert, dass Auftragnehmer die Cybersicherheitsanforderungen erfüllt haben. Das Verteidigungsministerium plant die Implementierung der neuen CMMC-Anforderungen durch eine schrittweise Einführung, wobei die zusätzlichen Anforderungen ab 2025 wirksam werden, wie unten detaillierter besprochen.

Um die Einhaltung der CMMC-Anforderungen zu erreichen, benötigen Organisationen immer noch ein gründliches Verständnis von NIST SP 800-171, da der CMMC-Zertifizierungsprozess diesen Rahmen als Richtlinien verwendet, um die Systemsicherheit zu messen, die Reife eines Sicherheitsprogramms zu bewerten und eine Punktzahl zu vergeben.

Wer muss sich an das CMMC halten?

Das CMMC-Reifegradmodell gilt für jedes Unternehmen in der Lieferkette des DoD, nicht nur für die in der Verteidigungsindustriebasis, sondern auch für die in Beschaffung, Bau oder Entwicklung. Dies schließt Hauptauftragnehmer ein, die direkt mit dem DoD interagieren, sowie Subunternehmer, die mit Auftragnehmern zusammenarbeiten, um DoD-Verträge auszuführen.

Die Größe und Beziehung zu einem Vertrag spielen keine Rolle. Es gibt keine Schlupflöcher für kleine Unternehmen, die an „kleineren“ Teilen eines Vertrags arbeiten. Daher muss jeder Auftragnehmer und Subunternehmer, der mit irgendeiner Form von Verteidigungsinformationen zu tun hat, sich auf eine Überprüfung seiner Cybersicherheitspraktiken vorbereiten. Die Nichteinhaltung führt nicht zu Geldstrafen, aber zertifiziert zu sein, ist eine Voraussetzung für den Gewinn von Verträgen.

Welche Arten von Daten schützt CMMC?

Das CMMC schützt zwei Arten von Daten:

• Kontrollierte nicht klassifizierte Informationen (CUI) — Dies umfasst alle nicht klassifizierten Informationen, die von der Regierung erstellt wurden und Schutz benötigen. Dazu gehören private Informationen von Bundesangestellten, Informationen von Auftragnehmern, juristisches Material, technische Zeichnungen, elektronische Dateien und mehr. Um mit CUI umzugehen, muss eine Organisation eine Reifegradbewertung von 3 oder höher haben.
• Federal Contract Information (FCI) — FCI umfasst jegliche Informationen, die die Regierung unter einem Vertrag bereitstellt oder erstellt, um einen Dienst oder ein Produkt zu liefern, die jedoch nicht für die Öffentlichkeit freigegeben werden. Eine unsachgemäße Offenlegung dieser Daten kann eine erhebliche Bedrohung für die internen Abläufe der Logistik und Aktivitäten des Verteidigungsministeriums darstellen.

Der Umgang mit FCI erfordert nur Zertifizierungen der Stufe 1 oder 2.

CMMC-Zeitplan

Auftragnehmer haben bis 2025 Zeit, ihre Systeme so vorzubereiten, dass sie FCI und CUI gemäß CMMC verarbeiten können. Das Pentagon hat jedoch kürzlich den Einsatz von CMMC von reinen Planspielen auf den praktischen Einsatz im Feld umgestellt durch die Vergabe von 15 „Pathfinder“-Verträgen. Dieses Pilotprogramm konzentriert sich auf Unternehmen der Stufe 3 und deren Subunternehmer; mehr Unternehmen müssen sich an die Vorgaben halten, wenn die Einführung fortschreitet.

Was ist die Bewertungsmethodik?

Im Jahr 2020 hat das DoD eine Übergangsregelung erlassen, die das CMMC-Programm durch eine Bewertungsmethodik ergänzt, um zu prüfen, ob Unternehmen konform sind. Nach dieser Regelung erfolgt die CMMC-Zertifizierung in zwei Schritten. Sie müssen den Zertifizierungsprozess alle drei Jahre wiederholen.

• Schritt 1. Prüfer wenden die NIST SP 800-171 DoD Assessment Methodology auf das Unternehmen an. Diese Methodik klassifiziert potenzielle Bedrohungen für ein Projekt in drei Stufen (hoch, mittel und niedrig), basierend auf der Sensibilität der Informationen und der beteiligten Programme. Jeder Auftragnehmer, der eine hohe oder mittlere Genehmigungsstufe anstrebt, muss Zugang zu Einrichtungen, Systemen und Personal gewähren. Ohne eine solche Prüfung ist der Zugang zu CUI oder FCI unmöglich.
• Schritt 2. Wenn ein Unternehmen Schritt 1 besteht, wird ihm im Bewertungsprozess ein Reifegrad zugewiesen.

CMMC-Zertifizierungsstufen (Reifegrade)

Es gibt fünf CMMC-Stufen. Jede Stufe hat spezifische Anforderungen:

• Stufe 1: Grundlegende Cyber-Hygiene — Unternehmen auf Stufe 1 führen grundlegende Cyber-Hygiene durch. Daten müssen fehlerfrei sein, und Anwendungen sowie Informationssysteme, die sensible Informationen wie persönlich identifizierbare Informationen (PII) speichern oder verarbeiten, müssen angemessene Zugriffskontrollen haben. Standardverfahren wie das Verschleiern von PII und die Qualitätssicherung von Daten helfen Ihnen, diese Stufe einzuhalten. Die NIST-Richtlinien bieten 17 grundlegende Sicherheitskontrollen für diese Stufe.
• Stufe 2: Mittlere Cyber-Hygiene — Die nächste Stufe umfasst 72 Kontrollen (einschließlich der Kontrollen der Stufe 1); diese machen etwas mehr als die Hälfte aller NIST 800-171 Kontrollen aus. In dieser Phase muss Ihr Unternehmen FCI und CUI auf wiederholbare Weise schützen. Auditing, Medienschutz, Backup und Wiederherstellung, Wartung und Systemintegrität sind auf dieser Ebene wichtig. Der Hauptunterschied zwischen den Stufen 1 und 2 ist die Implementierung eines Plans und Verfahrens zum Schutz von Daten.
• Stufe 3: Gute Cyber-Hygiene — Stufe 3 erfordert die Implementierung von 132 Kontrollen, die das gesamte Set gemäß NIST SP 800-171 für CUI abdecken. Unternehmen auf dieser Stufe befassen sich in der Regel mit kontrollierten, aber nicht klassifizierten Informationen. Es erfordert einen starken Plan, um mit Cybersecurity-Bedrohungen umzugehen, und die Mittel, diesen durch Bewusstsein, Schulung und Incident Response umzusetzen.
• Stufe 4: Proaktive Cyber-Hygiene — Stufe 4 erfordert nachgewiesene Exzellenz in der Implementierung von 156 Kontrollen gemäß NIST und anderen Quellen. Die 24 zusätzlichen Kontrollen von Stufe 3 befassen sich hauptsächlich mit der Überprüfung von Sicherheitspraktiken: Das Unternehmen muss regelmäßig seine Richtlinien bewerten und überarbeiten, um maximale Effektivität zu gewährleisten, und das höhere Management wird kontinuierlich über Probleme informiert.
• Stufe 5: Fortgeschrittene Cyber-Hygiene — Stufe 5 fügt zusätzliche 25 Anforderungen im Bereich der fortgeschrittenen Bedrohungserkennung und -abwehr hinzu; diese Stufe ist erforderlich für Unternehmen, die mit besonders begehrten Informationen umgehen. Unternehmen müssen ausgefeiltere Werkzeuge wie Anomalieerkennung einsetzen und flexibel auf Bedrohungen reagieren können.

Komponenten, Ebenen und Domänen des CMMC-Frameworks

Sich mit den CMMC-Anforderungen vertraut zu machen, erfordert ein Verständnis von 17 verschiedenen Bereichen. 14 der Bereiche stammen aus den Federal Information Processing Standards (FIPS) 200 und NIST SP 800-171; CMMC fügt drei weitere hinzu: Wiederherstellung, Situationsbewusstsein und Asset-Management. Hier ist die vollständige Liste:

• Zugriffskontrolle — Wissen Sie, wer Zugang zu Ihren Systemen hat und beschränken Sie den Zugang streng nach Jobrolle.
• Audit und Rechenschaftspflicht — Verfolgen Sie Benutzer mit Zugriff auf sensible Daten. Sammeln Sie Ereignisprotokolle und untersuchen Sie die Informationen auf unangemessene oder verdächtige Aktivitäten.
• Asset Management — Verfolgen Sie Hardware- und Softwarebestände, um zu verhindern, dass veraltete und unerwünschte Technologie zu einem Datenleck führt
• Bewusstsein und Schulung — Bieten Sie regelmäßige Schulungen für Mitarbeiter an, um Sicherheitsverletzungen zu verhindern und wie man reagiert, falls eine eintritt.
• Konfigurationsmanagement — Legen Sie Basis-Konfigurationen fest, die Systeme vor unberechtigtem Zugriff schützen, und setzen Sie vernünftige Standardwerte, um Ihr Unternehmen nicht unnötigen Bedrohungen auszusetzen.
• Identifikation und Authentifizierung — Verwenden Sie Autorisierungsregeln und -praktiken, wie Multi-Faktor-Authentifizierung, um die Offenlegung von missionskritischen Informationen zu vermeiden.
• Incident Response – Erstellen Sie einen Plan für die schnelle Untersuchung, Berichterstattung und Behebung von Sicherheitsvorfällen.
• Wartung — Patchen und aktualisieren Sie regelmäßig Technologien und Einrichtungen, um Schwachstellen zu minimieren.
• Medienschutz — Identifizieren und schützen Sie Medien und erstellen Sie Protokolle für die Säuberung und Entsorgung.
• Personalsicherheit — Führen Sie angemessene Überprüfungen und Hintergrundkontrollen des Personals durch. Seien Sie darauf vorbereitet, Nachweise zu erbringen, dass Ihre CUI während Personalmaßnahmen wie Versetzungen oder Personalwechsel geschützt ist.
• Physischer Schutz — Schützen Sie Ihre Einrichtungen, Mitarbeiter und Systeme vor physischen Bedrohungen wie unbefugtem Zugriff, Diebstahl und Beschädigung.
• Wiederherstellung — Richten Sie einen soliden Backup- und Wiederherstellungsplan für den Fall eines teilweisen oder vollständigen Datenverlusts ein.
• Risikomanagement — Bewerten Sie regelmäßig Risiken, entwickeln Sie Strategien zu deren Bekämpfung und messen Sie den Fortschritt.
• Sicherheitsbewertung — Beurteilen Sie die Sicherheit durch Überprüfung früherer Audits, Ihrer Risikomanagementstrategie und weiterer Informationen.
• Situationsbewusstsein — Implementieren Sie Echtzeitüberwachung für Ihre Technologien und reagieren Sie angemessen auf Bedrohungen.
• Systemkommunikation und Schutz — Definieren Sie die erforderliche Sicherheit, um jedes System zu schützen.
• System- und Informationsintegrität — Identifizieren und verwalten Sie Schwachstellen in Systemen, finden Sie Gefahren und überprüfen Sie die Netzwerksicherheit auf potenzielle Probleme.

Wie kann ich eine CMMC-Zertifizierung erhalten?

Alle Verteidigungsunternehmer müssen einem offiziellen Audit unterzogen werden, das von einer unabhängigen CMMC-Drittprüferorganisation (C3PAO) oder einer vom DoD zertifizierten Person durchgeführt wird. Das DoD akzeptiert kein Ergebnis von einem anderen Prüfer. Der CMMC Accreditation Body hat weitere Informationen darüber, wer ein zertifizierter Prüfer ist.

Im Allgemeinen ist ein CMMC-Zertifikat 3 Jahre lang gültig und wird nicht öffentlich gemacht, aber es wird in spezifischen DoD-Datenbanken veröffentlicht. Eine Rezertifizierung ist nach diesem Zeitraum oder im Falle eines Datenverlusts erforderlich.

Ein DIB-Unternehmen, das einen Cybersecurity-Vorfall erleidet, verliert nicht automatisch seine CMMC-Zertifizierung. Sie müssen jedoch die richtigen Meldeverfahren befolgen. Kontaktieren Sie das DoD und erstellen Sie einen umfassenden Bericht über den Vorfall, der erläutert, warum er aufgetreten ist und wie eine solche Sicherheitsverletzung in Zukunft verhindert werden kann.

Wie kann ich mich auf ein CMMC-Zertifizierungsaudit vorbereiten?

Eine gute Richtlinie, der Sie folgen sollten, wenn Sie sich auf Ihre Prüfung vorbereiten, ist Executive Order 13556, die regelt, wie die Exekutive mit nicht klassifizierten Informationen umgeht, die Schutz benötigen.

Betrachten Sie allgemeiner die Verwendung der folgenden übergeordneten Checkliste:

1. Holen Sie sich Rat von Ihrer Bundes- oder Landesbehörde. Stellen Sie sicher, dass Sie verstehen, was von Ihnen erwartet wird.
2. Überprüfen Sie Ihre aktuellen Daten und Technologien. Sammeln Sie so viele Informationen wie möglich über den aktuellen Stand Ihrer Sicherheit, einschließlich Benutzerzugriffskontrollen, verwendeter Software und verfügbarer Sicherheitsverfahren. Identifizieren Sie, wo Sie CUI und FCI speichern, verarbeiten oder übermitteln.
3. Erstellen Sie einen soliden Plan. Anschließend erstellen Sie ein solides CMMC-Compliance-Programm oder einen Plan, der auf der Zertifizierungsstufe basiert, die Sie anstreben. Unternehmen, die die höchsten Reifestufen anstreben, werden ihre Netzwerke härten und Technologien, die mit hochsensiblen Informationen umgehen, vom Rest ihrer Infrastruktur trennen wollen.
4. Führen Sie eine Lückenanalyse durch. Bewerten Sie Ihren aktuellen Reifegrad der Cybersicherheit und ermitteln Sie, was Sie tun müssen, um das angemessene Niveau zu erreichen. Nehmen Sie die notwendigen Änderungen auf Grundlage der Lückenanalyse vor.
5. Setzen Sie Ihre Richtlinie um. Schulen Sie Ihr Personal und legen Sie Termine fest, um Ihre Organisation als Ganzes zu bewerten. Ausdauer ist der Schlüssel zur Absicherung Ihrer Systeme und zum schnellen Erkennen und Blockieren von Angriffen.
6. Beauftragen Sie einen Fachmann, um die Einhaltung zu überwachen. Diese Person wird mit Ihrem IT-Team zusammenarbeiten, um sicherzustellen, dass alle Standards erfüllt sind. Sie wird auch Beweise und Dokumentation vorbereiten, um zu belegen, dass Ihre Organisation CUI schützt.
7. Erweitern Sie Ihre Überprüfung. Stellen Sie sicher, dass alle Subunternehmer sowie jeder in Ihrer Lieferkette auch mit NIST SP 800-171 konform sind.

Wie hilft Netwrix bei der Einhaltung von CMMC?

Die Anwendung etablierter Best Practices und das Verständnis des Compliance-Lebenszyklus ist ein guter Weg, um eine solide Grundlage für die Einhaltung jeglicher Standards zu schaffen, einschließlich des CMMC. Mit der Netwrix Data Security Platform können Sie Compliance mit weniger Aufwand und Kosten erreichen, aufrechterhalten und nachweisen. Sie können Prozesse wie Änderungs-, Zugriffs- und Konfigurationsüberwachung automatisieren, eine genaue Entdeckung und Klassifizierung sensibler Daten sicherstellen und Einblicke in die Sicherheit Ihrer Daten und Infrastruktur erhalten.

FAQ

Was ist CMMC?

Die Cybersecurity Maturity Model Certification (CMMC) ist ein vom United States Department of Defense (DoD) festgelegter Standard, um sicherzustellen, dass die von Verteidigungsunternehmern verwendeten Cybersecurity-Protokolle stark genug sind. CMMC ist eine Sammlung bestehender Cybersecurity-Standards und -Rahmenwerke wie DFARS, FAR und NIST.

Wer unterliegt der CMMC-Zertifizierung?

CMMC gilt für jedes Unternehmen innerhalb der Lieferkette des DoD, einschließlich nicht nur derjenigen in der Verteidigungsindustriebasis, sondern auch derjenigen im Beschaffungswesen, im Bauwesen oder in der Entwicklung. Dies schließt Hauptauftragnehmer ein, die direkt mit dem DoD interagieren, sowie Subunternehmer, die mit Auftragnehmern zusammenarbeiten, um DoD-Verträge auszuführen.

Wie kann ich eine CMMC-Zertifizierung erhalten?

Sie können eine CMMC-Zertifizierung erhalten, indem Sie sich von einer unabhängigen Bewertungsorganisation (3PAO) oder einem einzelnen Prüfer auditieren lassen. Das Verteidigungsministerium wird weitere Details darüber veröffentlichen, wie Sie zertifiziert werden können, wenn wir uns dem CMMC-Rollout im Jahr 2025 nähern.