CMMC-Compliance und die entscheidende Rolle der MDM-Stil USB-Kontrolle beim Schutz von CUI

Regulatorische Aktualisierungen

Das US-Verteidigungsministerium hat den 32 CFR durch die 48 CFR Regeln ersetzt, die die CMMC compliance regeln und ein neues Durchsetzungsrahmenwerk für Verteidigungsunternehmer etablieren. Diese Änderung markiert den Beginn eines stärkeren, durchsetzbaren Compliance-Regimes, das von Organisationen verlangt, Kontrollen zu validieren und jegliche Lücken zu schließen, um den Bundesstandards zu entsprechen.

Dieser Übergang stellt einen grundlegenden Wandel dar: CMMC ist nicht mehr nur ein erstrebenswertes Ziel. Die Einhaltung ist nun eine messbare, durchsetzbare Anforderung, die direkt mit der Vertragsberechtigung verknüpft ist.

Der Stand von CMMC: Was hat sich verändert und warum ist es wichtig

CMMC, oder Cybersecurity Maturity Model Certification, ist nicht neu, aber jetzt dringend. Nach Jahren der Unsicherheit hat das Verteidigungsministerium seine Aktualisierungen durch den 48 CFR abgeschlossen und die Durchsetzung von CMMC in die Realität umgesetzt. Die Veröffentlichung der Regelung hat eine kurze Frist für die Einhaltung gestartet und gibt Organisationen begrenzte Zeit, sich an die Anforderungen anzupassen.

Im Kern ist CMMC der Beweis dafür, dass Unternehmen die in NIST 800-171 dargelegten Standards erfüllen: den Schutz von Controlled Unclassified Information (CUI) und Federal Contract Information (FCI). Für Organisationen, die Programme mit höherer Sensibilität verwalten, fügt NIST 800-172 eine zusätzliche Ebene an erweiterten Sicherheitsanforderungen hinzu, die darauf ausgelegt sind, CUI gegen fortgeschrittene, andauernde Bedrohungen (APTs) zu schützen. Es geht nicht nur darum, Richtlinien zu haben; es geht darum, Kontrolle zu demonstrieren. FCI fällt unter Level 1 (Selbstbewertung), während CUI die Einhaltung auf den Leveln 2 und 3 erfordert, die durch Audits von Dritten oder der Regierung verifiziert werden. Es ist wichtig zu beachten, dass die Anforderungen von Level 3 über NIST 800-171 hinausgehen und sich stärker an den erweiterten Schutzmaßnahmen orientieren, die in NIST 800-172 definiert sind.

CMMC-Bewertungsstufen

• Stufe 1: Selbstbewertung (für FCI)
• Stufe 2: Bewertung durch Dritte (C3PAO erforderlich)
• Stufe 3: Regierungsbeurteilung (durchgeführt von DIBCAC)

Die Anforderungsstufe hängt vom spezifischen Vertrag des Verteidigungsministeriums (DoD) ab. Für Hauptauftragnehmer und Subunternehmer gleichermaßen ist die Einhaltung nun Teil der Geschäftskosten.

Warum der Schutz von CUI komplexer ist, als Sie denken

Vertrauliche nicht klassifizierte Informationen (CUI) sind die Ingenieur-, Entwurfs- oder Projektdaten, die die Regierungsfertigung und Verteidigung untermauern. Anders als typische Industrien arbeiten viele DIB-Organisationen in von der Außenwelt isolierten Umgebungen, um kritische Systeme vom Internet zu trennen. Das bedeutet, dass sie immer noch stark auf USB-Laufwerke angewiesen sind, um Daten zwischen Arbeitsstationen, Fertigungswerkzeugen und Partnern zu bewegen.

Einfach USB-Ports zu deaktivieren ist keine Option. Diese Organisationen benötigen die Fähigkeit, Daten sicher zu übertragen, während sichergestellt wird, dass CUI niemals unverschlüsselt oder unbefugt die kontrollierte Umgebung verlässt.

Wichtige Definitionen und Anforderungen

• CUI (Controlled Unclassified Information): Sensible Ingenieur- oder Projektinformationen, die Regierungs- oder Verteidigungsprogramme unterstützen.
• FCI (Federal Contract Information): Daten über Regierungsaufträge, die geschützt werden müssen.
• Verschlüsselungsanforderung: Alle CUI auf USB-Laufwerken müssen eine FIPS-validierte Verschlüsselung verwenden, typischerweise den AES-256-Standard.
• Auditierung: CMMC basiert auf Nachweisen, nicht auf Vertrauen. Unternehmen müssen die Einhaltung durch Bewertungen und Belege nachweisen.

MDM neu denken: USB-Geräte wie mobile Endgeräte verwalten

Netwrix verfolgt einen Ansatz, der Wechselmedien mit derselben Disziplin behandelt, die auch auf mobile Geräte angewendet wird. Netwrix Endpoint Protector fungiert als ein MDM für USB-Laufwerke, indem es Verschlüsselung durchsetzt, Datenbewegungen überwacht und zentralisiertes Remote-Management bietet. Administratoren können automatisch Verschlüsselung durchsetzen, wenn ein USB angeschlossen wird, Entschlüsselungsschlüssel getrennt vom Gerät speichern und den Zugriff sofort durch Deaktivierung der Schlüsselverfügbarkeit widerrufen. Diese Trennung ermöglicht eine echte MDM-Stil-Kontrolle — selbst wenn der physische USB im Feld bleibt — und stellt sicher, dass Daten ohne Autorisierung nicht entschlüsselt oder exfiltriert werden können. Sie können auch granulare Richtlinien nach Benutzer oder Gerätevertrauensebene anwenden und USB-Laufwerke aus der Ferne löschen, selbst wenn sie sich außerhalb befinden.

Dieser einheitliche Ansatz ermöglicht es Organisationen, die Produktivität aufrechtzuerhalten, während sie Compliance und Kontrolle sicherstellen, insbesondere in von der Außenwelt isolierten Umgebungen, in denen herkömmliche Datenübertragungsmethoden begrenzt sind. Über die Verschlüsselung hinaus bietet er vollständige Kontrolle, Sichtbarkeit und Nachweis der Compliance.

Netwrix Endpoint Protector bietet:

• Dateiverfolgung und Schattenkopien: Vollständige Transparenz darüber, welche Daten auf einen USB-Stick geschrieben oder von diesem abgerufen werden.
• Inhaltsbewusster Schutz: Richtlinien, die bestimmte CUI-Typen oder Metadaten erkennen und blockieren.
• Mediensanierung: Fernlöschung und Überschreibung gemäß den NIST 800-88 Standards.
• Integration mit SIEM-Tools: Zentralisiertes Monitoring der Geräteaktivität über Umgebungen hinweg.

Gemeinsam helfen diese Fähigkeiten Organisationen dabei, einige der schwierigsten CMMC-Lücken zu schließen, wie Zugangskontrolle, Durchsetzung von Verschlüsselung, Ausrichtung der Multifaktorauthentifizierung und Datenbereinigung.

Das größere Bild: Datensicherung durch Identity

Der Schutz von Endpunkten ist nur ein Teil des Puzzles. Für eine vollständige CMMC-Ausrichtung benötigen Organisationen auch Einblick darin, wie Daten bewegt werden und wer darauf Zugriff hat. Hier ergänzt Netwrix Data Security Posture Management (DSPM) Netwrix Endpoint Protector, indem es hilft, Risiken zu identifizieren, Berechtigungen zu überwachen und Datenbewegungen in hybriden Umgebungen zu erkennen.

Datensicherheit beginnt mit Identität, und CMMC verstärkt dieses Prinzip. Ob es um die Verwaltung von USB-Verschlüsselung geht oder um die Durchsetzung des Least Privilege, das Ziel ist dasselbe: die richtigen Daten davor zu schützen, in die falschen Hände zu gelangen.