A recente pausa afetando a implementação da Certificação de Modelo de Maturidade de Cibersegurança (CMMC) Fase II gerou perguntas em toda a Base Industrial de Defesa (DIB). Para muitas organizações, a reação imediata foi perguntar se os prazos de conformidade mudarão, se a preparação para avaliação pode ser desacelerada ou se os investimentos em segurança podem ser adiados até que surjam orientações adicionais. Essas perguntas são compreensíveis, mas estão focadas na questão errada.
O que mudou e o que não mudou
Embora os prazos de implementação possam evoluir, os requisitos de segurança subjacentes que impulsionaram a criação do CMMC não mudaram. O Departamento de Defesa ainda depende de contratantes para proteger Informações Não Classificadas Controladas (CUI). Adversários continuam visando contratantes de defesa, cadeias de suprimentos e provedores de tecnologia crítica. As expectativas de cibersegurança federais permanecem em vigor.
O maior risco: tratar conformidade como evento de calendário
Um dos erros mais comuns que as organizações cometem é ver a conformidade como um projeto, em vez de uma capacidade. Quando isso acontece, iniciativas de segurança muitas vezes se tornam vinculadas a prazos externos. Recursos são alocados quando uma avaliação se aproxima e depois realocados para outro lugar quando os prazos mudam. O problema com essa abordagem é que adversários não operam em cronogramas de conformidade.
Áreas de dificuldade para contratantes
Após inúmeras discussões, um tema recorrente emerge: a maioria das organizações não luta com entender por que a segurança importa. Elas lutam com entender onde as informações sensíveis realmente residem e como elas se movem. Lacunas comuns de prontidão incluem controles de acesso, gerenciamento de contas privilegiadas, autenticação multifator, proteção de dados, auditoria de logs, visibilidade de ativos e documentação de segurança.
Protegendo informações controladas durante a pausa
Em vez de desacelerar os esforços de prontidão, as organizações devem usar este período para fortalecer áreas que muitas vezes recebem menos atenção durante projetos de conformidade formais. Um ponto de partida útil é saber onde suas informações controladas residem. As organizações devem ser capazes de responder a perguntas fundamentais sobre quais CUI possuem, onde são armazenadas, quem tem acesso e como são compartilhadas.
Manter a prontidão para avaliação
Organizações não precisam manter uma sala de guerra de conformidade em escala total durante a pausa. Elas, no entanto, precisam preservar o momentum. Ações práticas incluem continuar a implementação de controles NIST SP 800-171, manter Planos de Ação e Marcos (POA&Ms), atualizar documentação de segurança do sistema e coletar e organizar evidências. O objetivo deve ser reduzir o esforço de avaliação futuro, não criar trabalho adicional depois.