Сокращение отставания программы, а не стандартов кибербезопасности

Поддержание соответствия требованиям: 4 важных аспекта стратегии CMMC

Промежуточный план действий

Предотвращение несанкционированного раскрытия данных

Итог

Основные выводы

Министерство обороны (DoW) приостановило график реализации сертификации модели зремости кибербезопасности (CMMC), отложив крайний срок выполнения требований Фазы II (аккредитация через обязательные сертифицированные сторонние оценочные организации, C3PAO), изначально запланированный на 10 ноября 2026 года.

Поскольку вновь сформированная целевая группа по реформированию CMMC сосредоточена на оптимизации программы CMMC 2.0, необходимость повышения стандартов кибербезопасности не отпала.

Реальность такова, что в современной сфере угроз риски только возрастают, особенно с учетом того, что искусственный интеллект позволяет злоумышленникам организовывать многовекторные, гиперобъемные атаки и атаки на уровне приложений.

В результате крайне важно продолжать уделять внимание распространению безопасности на основе принципа «Нулевого доверия» (Zero Trust) на периметр приложений, API и рабочих нагрузок.

Сокращение отставания программы, а не стандартов кибербезопасности

Хотя требования CMMC II приостановлены, пока целевая группа занимается оптимизацией программы, это не означает, что ваша стратегия соблюдения требований должна останавливаться. Любая организация в оборонной промышленности, которая работает с контролируемой несекретной информацией (CUI), включая коммерческие подрядные организации, исследовательские центры и правительственные объекты, должна продолжать соблюдать текущие мандаты оценки CMMC, а также соответствующие условия контрактов.

Поддержание соответствия требованиям: 4 важных аспекта стратегии CMMC

Вот четыре важных момента, о которых следует помнить:

Все требования самооценки CMMC Фазы II остаются в силе и подлежат строгому исполнению. Поддерживайте активное соответствие текущим базовым протоколам безопасности.

Все требования самооценки CMMC Фазы I остаются в силе и подлежат строгому исполнению. Поддерживайте активное соответствие текущим базовым протоколам безопасности.

Соответствие требованиям по-прежнему строго связано с рамками стандарта NIST SP 800-171 Rev. 2. Продолжайте демонстрировать соблюдение базовых требований кибербезопасности. По-прежнему сохраняется ответственность за выполнение требований пункта DFARS 252.204-7012, требующего постоянного соблюдения 110 элементов управления безопасностью NIST SP 800-171.

Соответствие требованиям по-прежнему строго связано с рамками стандарта NIST SP 800-171 Rev. 2. Продолжайте демонстрировать соблюдение базовых требований кибербезопасности. По-прежнему сохраняется ответственность за выполнение требований пункта DFARS 252.204-7012, требующего постоянного соблюдения 110 элементов управления безопасностью NIST SP 800-171.

По своей сути CMMC опирается на принципы «Нулевого доверия» (Zero Trust). Совершенствуйте свой подход к архитектуре Zero Trust, чтобы соответствовать промежуточным требованиям Минобороны и долгосрочным целям архитектуры безопасности.

По своей сути CMMC опирается на принципы «Нулевого доверия» (Zero Trust). Совершенствуйте свой подход к архитектуре Zero Trust, чтобы соответствовать промежуточным требованиям Минобороны и долгосрочным целям архитектуры безопасности.

Уровни сертификации CMMC зависят от оценок, проводимых правительством. Ожидайте соответствующего надзора со стороны Центра оценки кибербезопасности оборонно-промышленной базы (DIBCAC), который продолжает проводить многие из этих оценок, и других проверяющих в период этой паузы.

Уровни сертификации CMMC зависят от оценок, проводимых правительством. Ожидайте соответствующего надзора со стороны Центра оценки кибербезопасности оборонно-промышленной базы (DIBCAC), который продолжает проводить многие из этих оценок, и других проверяющих в период этой паузы.

Промежуточный план действий

Чтобы помочь вашей команде двигаться в правильном направлении, убедитесь, что вы выполняете непосредственные требования самооценки Фазы I и стандарты Национального института стандартов и технологий (NIST).

В таблице приведены хорошие способы увязки пяти основных этапов соблюдения требований с подходами и решениями, которые реализуют основные требования Zero Trust.

1. Обеспечьте соблюдение периметров идентификации и доступа

Ограничьте доступ исключительно проверенными, авторизованными пользователями

Ограничьте доступ исключительно проверенными, авторизованными пользователями

Установите детализированные протоколы проверки подлинности в средах, содержащих информацию о федеральных контрактах (FCI) или CUI

Установите детализированные протоколы проверки подлинности в средах, содержащих информацию о федеральных контрактах (FCI) или CUI

Контроль доступа и Zero Trust: Следуйте принципу «наименьших привилегий», чтобы обеспечить доступ на основе идентификационных данных для каждого запроса с помощью ZTNA как внутри предприятия, так и на тактической периферии (что соответствует категориям идентификации, аутентификации и контроля доступа NIST SP 800-171). Сюда также должна входить безопасность DNS для блокировки известных вредоносных доменов (например, ботнетов, фишинговых ссылок и сайтов внедрения вредоносного ПО).

Агентство национальной безопасности предоставляет Akamai GovShield для защищенной службы DNS (Protective DNS) бесплатно для малых и средних подрядчиков Оборонно-промышленной базы (DIB), чтобы помочь им соответствовать этим стандартам безопасности.

2. Обеспечьте безопасность анклавов и передачи данных

Создавайте безопасные анклавы для изоляции CUI от стандартного трафика коммерческого предприятия

Создавайте безопасные анклавы для изоляции CUI от стандартного трафика коммерческого предприятия

Внедрите надежные криптографические средства управления для данных, перемещающихся по периметру или за его пределы

Внедрите надежные криптографические средства управления для данных, перемещающихся по периметру или за его пределы

Сегментация сети и защита данных: Предотвращайте латеральное перемещение в вашей сети с помощью микросегментации и защищайте CUI во время передачи.

3. Автоматизируйте надзор и отслеживание

Откажитесь от ручного ведения журналов

Откажитесь от ручного ведения журналов

Установите непрерывный мониторинг сетевых архитектур, автоматизируйте сопоставление соответствия требованиям и отслеживайте несанкционированные изменения конфигурации

Установите непрерывный мониторинг сетевых архитектур, автоматизируйте сопоставление соответствия требованиям и отслеживайте несанкционированные изменения конфигурации

Аудит и подотчетность: Используйте управление состоянием DNS (DNS Posture Management) для автоматизации соответствия стандартам безопасности и мониторинга конфигурации системы.

4. Выполните самооценку по стандарту NIST SP 800-171

Оцените свою систему на соответствие 110 средствам контроля NIST SP 800-171 Rev. 2

Оцените свою систему на соответствие 110 средствам контроля NIST SP 800-171 Rev. 2

Честно оцените уровень соблюдения требований, выявите технические пробелы и составьте план действий и этапов (POA&M)

Честно оцените уровень соблюдения требований, выявите технические пробелы и составьте план действий и этапов (POA&M)

Базовые требования самоаттестации Фазы I: Выполните обязательную проверку базовой гигиены, требуемую Минобороны во время приостановки Фазы II. За дополнительными рекомендациями обращайтесь к структуре управления рисками NIST.

5. Загрузите результаты в SPRS

Убедитесь, что баллы вашей самооценки и статус корпоративного соответствия официально загружены и обновлены в системе оценки рисков эффективности поставщиков (SPRS)

Убедитесь, что баллы вашей самооценки и статус корпоративного соответствия официально загружены и обновлены в системе оценки рисков эффективности поставщиков (SPRS)

Будьте в курсе: Поддерживайте свой активный статус для любых ожидающих рассмотрения запросов информации (RFI) и будущих контрактов с Минобороны.

Используйте эту таблицу, чтобы убедиться, что ваши решения соответствуют требованиям Zero Trust

Предотвращение несанкционированного раскрытия данных

Когда подрядчики оборонной промышленности начинают использовать AI-ассистентов и автоматизированных агентов для обработки сложных предложений и инженерных данных, пути доступа к CUI и FCI становятся динамичными и управляемыми машинами. Традиционные контрольные границы не могут проверить, как конвейеры больших языковых моделей получают локальные данные. Расширение Zero Trust до края обеспечивает, чтобы автоматизированные AI-потоки, сервис-ко-сервис API и нечеловеческие идентификации строго соблюдали политики наименьших привилегий NIST SP 800-171 — предотвращая несанкционированное раскрытие данных до проведения аудитов соответствия.

Итог

Хотя Фаза II CMMC приостановлена, важно оставаться приверженными самой сильной защите. Приоритизируя автоматизированный аудит, строгую сегментацию сети и контроль доступа Zero Trust, вы можете оставаться в курсе требований самодиагностики Фазы I, оставаясь готовыми к любым будущим указаниям Рабочей группы реформы CMMC — включая любые будущие государственные оценки для организаций, стремящихся к более высоким уровням CMMC.

В Akamai мы можем помочь вам ориентироваться в CMMC и этом последнем сдвиге. Мы сотрудничаем с оборонными организациями по всему миру, чтобы укрепить их общую позицию Zero Trust во всех средах, от предприятия до тактического края. Чтобы узнать больше о наших решениях Zero Trust для обороны и о том, как вы можете достичь своих целей по соответствию и безопасности, свяжитесь с одним из наших экспертов сегодня.

О авторе(ах)

Эрин Верна

Эрин Верна — главный менеджер по маркетингу продуктов в Akamai. Она провела последние шесть лет, сосредоточив внимание на архитектурах Zero Trust, и имеет более десяти лет опыта в области прикладной безопасности.