- Сокращение отставания программы, а не стандартов кибербезопасности
- Поддержание соответствия требованиям: 4 важнейших фактора для стратегии CMMC
- План промежуточных мер
- Предотвращение несанкционированного раскрытия данных
- Итог
Ключевые выводы
Министерство войны США (DoW) свои сроки внедрения сертификации модели зрелости кибербезопасности (CMMC), приостановив дедлайн для требований Фазы II (аккредитация через обязательные сертифицированные сторонние оценочные организации, C3PAO), который изначально был назначен на 10 ноября 2026 года.
Поскольку новообразованная целевая группа по реформированию CMMC сосредоточена на оптимизации программы CMMC 2.0, необходимость повышения стандартов кибербезопасности осталась прежней.
Реальность такова, что в современной сфере угроз риски только возрастают, особенно учитывая то, что ИИ позволяет злоумышленникам организовывать многовекторные, гиперволюметрические атаки и атаки на уровне приложений.
В результате крайне важно сохранять фокус на распространении безопасности Zero Trust до уровня приложений, API и рабочих нагрузок.
Сокращение отставания программы, а не стандартов кибербезопасности
Хотя требования CMMC II приостановлены, пока целевая группа занимается оптимизацией программы, это не означает, что ваша стратегия соблюдения требований должна останавливаться. Любая организация в оборонной промышленности, которая работает с контролируемой несекретной информацией (CUI) — включая коммерческих подрядчиков, исследовательские центры и правительственные объекты, — должна по-прежнему следовать текущим мандатам оценки CMMC, а также соответствующим условиям контрактов.
Поддержание соответствия требованиям: 4 важнейших фактора для стратегии CMMC
Вот четыре важных момента, о которых следует помнить:
- Все требования самооценки CMMC Фазы I остаются в силе и подлежат обязательному исполнению. Поддерживайте активное соответствие текущим базовым протоколам безопасности.
Все требования самооценки CMMC Фазы I остаются в силе и подлежат обязательному исполнению. Поддерживайте активное соответствие текущим базовым протоколам безопасности.
- Соответствие требованиям по-прежнему строго связано с фреймворком NIST SP 800-171 Rev. 2. Продолжайте демонстрировать соблюдение базовых требований кибербезопасности. Сохраняется ответственность за соответствие требованиям пункта DFARS 252.204-7012, требующего постоянного соблюдения 110 элементов управления безопасностью NIST SP 800-171.
Соответствие требованиям по-прежнему строго связано с фреймворком NIST SP 800-171 Rev. 2. Продолжайте демонстрировать соблюдение базовых требований кибербезопасности. Сохраняется ответственность за соответствие требованиям пункта DFARS 252.204-7012, требующего постоянного соблюдения 110 элементов управления безопасностью NIST SP 800-171.
- В своей основе CMMC опирается на принципы Zero Trust. Совершенствуйте свой подход к архитектуре Zero Trust, чтобы помочь вам соответствовать промежуточным требованиям DoW и долгосрочным целям архитектуры безопасности.
В своей основе CMMC опирается на принципы Zero Trust. Совершенствуйте свой подход к архитектуре Zero Trust, чтобы помочь вам соответствовать промежуточным требованиям DoW и долгосрочным целям архитектуры безопасности.
- Уровни сертификации CMMC зависят от оценок, проводимых правительством. Ожидайте надлежащего надзора со стороны Центра оценки кибербезопасности оборонно-промышленного комплекса (DIBCAC), который продолжает проводить многие из этих оценок, и других экспертов во время этой паузы.
Уровни сертификации CMMC зависят от оценок, проводимых правительством. Ожидайте надлежащего надзора со стороны Центра оценки кибербезопасности оборонно-промышленного комплекса (DIBCAC), который продолжает проводить многие из этих оценок, и других экспертов во время этой паузы.
План промежуточных мер
Чтобы помочь вашей команде не сбиться с пути, убедитесь, что вы выполняете немедленные требования самооценки Фазы I и стандарты Национального института стандартов и технологий (NIST).
В таблице приведены хорошие способы увязать пять основных этапов соблюдения требований с подходами и решениями, отвечающими основным требованиям Zero Trust.
1. Обеспечьте соблюдение периметров идентификации и доступа
- Ограничьте доступ исключительно проверенными, авторизованными пользователями
Ограничьте доступ исключительно проверенными, авторизованными пользователями
- Создайте детализированные протоколы проверки подлинности в средах, содержащих информацию о федеральных контрактах (FCI) или CUI
Создайте детализированные протоколы проверки подлинности в средах, содержащих информацию о федеральных контрактах (FCI) или CUI
Контроль доступа и Zero Trust: Следуйте принципу «Наименьших привилегий», чтобы обеспечить основанный на идентификации доступ для каждого запроса с помощью ZTNA как внутри предприятия, так и на тактической периферии (что соответствует семействам идентификации, аутентификации и контроля доступа NIST SP 800-171). Сюда также должна входить безопасность DNS для блокировки известных вредоносных доменов (например, ботнетов, фишинговых ссылок и сайтов внедрения вредоносного ПО).
Агентство национальной безопасности предоставляет решение Akamai GovShield для защищенного DNS бесплатно для малых и средних подрядчиков Оборонно-промышленного комплекса (DIB), чтобы помочь им соответствовать этим стандартам безопасности.
2. Обеспечьте безопасность анклавов и передачи данных
- Создайте защищенные анклавы для изоляции CUI от стандартного коммерческого корпоративного трафика
Создайте защищенные анклавы для изоляции CUI от стандартного коммерческого корпоративного трафика
- Внедрите надежные криптографические средства контроля для данных, перемещающихся внутри или за пределами вашего периметра
Внедрите надежные криптографические средства контроля для данных, перемещающихся внутри или за пределами вашего периметра
Сегментация сети и защита данных: предотвращайте латеральное перемещение внутри сети с помощью микросегментации и защищайте CUI при передаче.
3. Автоматизируйте надзор и отслеживание
- Откажитесь от ручного ведения журналов
Откажитесь от ручного ведения журналов
- Установите непрерывный мониторинг сетевых архитектур, автоматизируйте сопоставление соответствия требованиям и отслеживайте несанкционированное отклонение конфигураций
Установите непрерывный мониторинг сетевых архитектур, автоматизируйте сопоставление соответствия требованиям и отслеживайте несанкционированное отклонение конфигураций
Аудит и подотчетность: используйте управление состоянием безопасности DNS (DNS Posture Management) для автоматизации соответствия стандартам безопасности и мониторинга конфигурации системы.
4. Проведите самооценку по стандарту NIST SP 800-171
- Оцените свою систему на соответствие 110 элементам управления NIST SP 800-171 Rev. 2
Оцените свою систему на соответствие 110 элементам управления NIST SP 800-171 Rev. 2
- Оцените уровень своего соответствия честно, выявите технические пробелы и составьте план действий и этапов (POA&M)
Оцените уровень своего соответствия честно, выявите технические пробелы и составьте план действий и этапов (POA&M)
Базовые требования для самоаттестации Фазы I: удовлетворяйте обязательным проверкам базовой гигиены, требуемым DoW во время приостановки Фазы II. Дополнительные рекомендации см. в фреймворке управления рисками NIST.
5. Загрузите результаты в SPRS
- Убедитесь, что результаты вашей самооценки и статус корпоративного соответствия официально загружены и обновлены в системе Supplier Performance Risk System (SPRS)
Убедитесь, что результаты вашей самооценки и статус корпоративного соответствия официально загружены и обновлены в системе Supplier Performance Risk System (SPRS)
Будьте в курсе событий: поддерживайте активный статус для любых ожидающих рассмотрения запросов информации (RFI) и будущих контрактов с DoW.
Предотвращение несанкционированного раскрытия данных
По мере того как оборонные подрядчики начинают использовать ИИ-ассистенты и автоматизированные агенты для обработки сложных предложений и инженерных данных, пути доступа к CUI и FCI становятся динамическими и машинными. Традиционные средства контроля периметра не могут проверять, как конвейеры больших языковых моделей извлекают локальные данные. Расширение концепции Zero Trust до уровня периферийных устройств гарантирует, что автоматизированные рабочие процессы ИИ, межсервисные API и нечеловеческие идентификационные данные строго соблюдают политики минимальных привилегий NIST SP 800-171, предотвращая несанкционированное раскрытие данных до проведения аудитов соответствия.
Главный вывод
Хотя вторая фаза CMMC приостановлена, крайне важно сохранять приверженность максимальной защите. Уделяя первостепенное внимание автоматизированному аудиту, строгой сегментации сети и управлению доступом на основе Zero Trust, вы можете выполнять требования первой фазы по самооценке и одновременно оставаться готовыми к любым будущим рекомендациям рабочей группы по реформированию CMMC, включая любые будущие оценки под руководством правительства для организаций, стремящихся получить более высокие уровни CMMC.
В Akamai мы можем помочь вам разобраться в требованиях CMMC и этом последнем изменении. Мы сотрудничаем с оборонными организациями по всему миру, помогая им укреплять общую защиту на основе Zero Trust во всех средах — от корпоративных сетей до тактического периферии. Чтобы узнать больше о наших решениях по защите на основе Zero Trust и о том, как достичь целей в области комплаенса и безопасности, обратитесь к одному из наших экспертов уже сегодня.
