Requisiti di Cybersecurity del DoD: Consigli per la Conformità

I sistemi IT e i dati del Dipartimento della Difesa (DoD) e della sua rete di appaltatori sono una questione di sicurezza nazionale. Di conseguenza, il DoD mantiene dei requisiti di cybersecurity che le organizzazioni devono soddisfare per essere un fornitore approvato dal DoD.

Questo articolo offre una panoramica dei documenti più pertinenti che informano le aspettative di cybersecurity del DoD per le organizzazioni della base industriale della difesa (DIB), una revisione dei framework utili e consigli per l'implementazione dei requisiti del DoD.

Quali sono i requisiti di cybersecurity del DoD?

I requisiti per la cybersecurity possono essere trovati nei seguenti tre documenti, che si supportano e fanno riferimento l'uno all'altro:

• Supplemento del Regolamento Federale di Acquisizione della Difesa (DFARS) — La clausola 252.204-7012 delinea le aspettative per l'igiene informatica delle organizzazioni DIB.
• NIST 800-171 — Basato su DFARS, NIST 800-171 fornisce linee guida dettagliate per le aziende per valutare le loro pratiche di cybersecurity.
• CMMC — Il CMMC offre un piano chiaro per le organizzazioni DIB per ottenere la certificazione di cyber igiene richiesta per essere un fornitore approvato dal DoD.

DFARS

DFARS stabilisce i requisiti per le aziende che fanno affari con il Dipartimento della Difesa. La cybersecurity è trattata sotto la clausola 252.204-7012, “Salvaguardia delle Informazioni di Difesa Coperte e Segnalazione degli Incidenti Informatici.”

Quali tipi di dati devono essere protetti?

I requisiti di cybersecurity del DoD proteggono due tipi principali di registrazioni digitali e fisiche: Controlled Unclassified Information (CUI) e Federal Contract Information (FCI)

CUI include quanto segue:

• Informazioni personali identificabili (PII)
• Informazioni Proprietarie di Business (PBI)
• Informazioni Tecniche Controllate Non Classificate (CTI)
• Per Uso Ufficiale Esclusivo (FOUO)

FCI include i dettagli di un contratto tra il governo e un'organizzazione. FCI non include informazioni che sono già di pubblico dominio (come quelle sui siti web governativi) o informazioni transazionali. PCI non è mai destinato alla pubblicazione pubblica.

Le organizzazioni che desiderano lavorare con il DoD devono essere in grado di identificare le CUI e le FCI che memorizzano ed elaborano, in modo da poterle proteggere in conformità con i requisiti del DoD.

Chi deve essere conforme?

Mentre gli standard del DoD forniscono linee guida utili per la cybersecurity in generale, sono un requisito per alcune aziende. Qualsiasi appaltatore che lavora con il DoD e che memorizza, elabora o diffonde CUI deve attenersi agli standard DFARS. Questo include garantire che tutti i dati non classificati del DoD siano protetti con adeguate misure di sicurezza, minimizzando le vulnerabilità del sistema e le potenziali conseguenze di una violazione, e implementando buone pratiche di segnalazione degli incidenti.

NIST 800-171

In risposta al DFARS, l'Istituto Nazionale di Standard e Tecnologia (NIST) ha sviluppato il NIST 800-171 per fornire una dettagliata suddivisione delle migliori pratiche di cyber igiene. In particolare, il NIST 800-171 è progettato per aiutare i contraenti del DoD a proteggere i dati CUI. Non copre la protezione dei dati FCI.

Famiglie di controllo NIST 800-171

NIST 800-171 suddivide i controlli di sicurezza nelle seguenti 14 famiglie:

Maggiori dettagli sui controlli NIST 800-171 possono essere trovati qui.

Aggiornamenti NIST

NIST 800-171 è stato creato nel 2015 e riceve aggiornamenti periodici. Ogni volta che si verifica un aggiornamento, i contraenti hanno un determinato periodo di tempo per ottenere la conformità con le nuove normative o rischiano di perdere il loro status di fornitore approvato con il DoD.

CMMC

Mentre la DFARS clause delinea le migliori pratiche per la cybersecurity aziendale, la Cybersecurity Maturity Model Certification (CMMC) valuta la qualità dei programmi di cybersecurity di un'organizzazione e fornisce un insieme di certificazioni che attestano questa qualità. Queste certificazioni standardizzano l'approvazione dei fornitori del DoD. Le certificazioni CMMC si applicano sia ai dati FCI che CUI.

A chi si applica CMMC?

Gli standard CMMC si applicano a tutte le organizzazioni che ricevono finanziamenti dal DoD per condurre affari o fornire servizi. Definito come il complesso industriale della difesa, ciò include oltre 300.000 organizzazioni che forniscono beni o servizi per il DoD.

Cronologia CMMC

Chiunque abbia seguito l'evoluzione del CMMC ha domande riguardo alla tempistica. Dopo la versione 1.0 e le successive “regole provvisorie” per il CMMC, la seconda versione della certificazione è stata rilasciata nel novembre 2021. Tuttavia, non è ancora entrata in vigore; CMMC 2.0 è ancora nel processo di definizione delle regole, che potrebbe richiedere fino a due anni.

Questo non significa che gli standard di certificazione non dovrebbero essere una priorità per le aziende. I contraenti stanno dando priorità alla conformità con i nuovi standard all'interno delle loro catene di fornitura nella speranza di prendere la testa. La conformità con CMMC 2.0 allineerà inoltre la tua azienda con le linee guida NIST 800-171.

Livelli di conformità CMMC

Il DoD ha apportato diverse modifiche tra CMMC 1.0 e 2.0 per semplificare i livelli di conformità. La prima versione aveva cinque livelli con diversi standard di valutazione. Nella versione 2.0, ci sono tre livelli di conformità CMMC, a seconda del tipo di dati e dell'intensità del contratto con il DoD. I diversi livelli hanno diverse aspettative per le valutazioni. Fare riferimento alla tabella sottostante per maggiori dettagli sui livelli di conformità CMMC 2.0.

Come conformarsi al CMMC

L'aderenza al CMMC richiede la conformità ai 17 gruppi di standard. Questi includono le 14 famiglie di controlli del NIST 800-171 esaminate sopra e i seguenti tre gruppi aggiuntivi:

Per supporto, scarica questa CMMC compliance starter checklist.

Framework del DoD

Come vice CIO o CISO di un'organizzazione affiliata al DoD, potresti trovare i requisiti del DFARS, NIST e del CMMC opprimenti. Ma esiste una ricchezza di risorse disponibili per aiutarti a raggiungere la conformità alla cybersecurity del DoD, come questa compilation of reference material. Qui sotto, forniamo risorse utili per aiutarti con molti aspetti critici della conformità.

Sviluppare una strategia di cybersecurity

Le organizzazioni dovrebbero creare una strategia di cybersecurity di 4-5 anni che consenta loro di modificare i processi e implementare controlli. Le seguenti risorse possono aiutarti a creare una solida strategia di cybersecurity:

• NIST SP 800-37 — Fornisce un quadro di gestione dei rischi
• NIST SP 800-39 — Fornisce linee guida sulla gestione del rischio di sicurezza delle informazioni
• DODD 8000.01 — Una direttiva per assegnare la responsabilità della gestione delle risorse informative al vostro CIO del DoD

Costruzione di reti difendibili

Costruire una rete difendibile richiede l'implementazione di strumenti e processi di monitoraggio, automazione, rilevamento delle minacce e risposta agli incidenti. Le seguenti risorse possono aiutare:

• FIPS 199 — Fornisce categorie standardizzate per i sistemi informativi federali basate sul loro livello di rischio, che possono aiutarti a stabilire le priorità per la tua strategia di sicurezza
• FIPS 200 – Definisce i requisiti minimi di sicurezza a seconda del livello di rischio delle informazioni e spiega il processo per la selezione dei controlli di sicurezza basati sul livello di rischio delle tue informazioni
• NIST SP 800-53 — Fornisce un catalogo di controlli di sicurezza e privacy per sistemi informativi federali e organizzazioni e un processo per la selezione dei controlli appropriati

Stabilire la protezione delle infrastrutture critiche

La protezione delle infrastrutture critiche (CIP) si riferisce a una strategia comprensiva di creazione di sistemi, reti e database resilienti. Questo include la prevenzione dei danni e la protezione dei dati così come la mitigazione degli incidenti, la risposta e il recupero. Ci sono molte risorse per i piani e le politiche CIP che possono supportare i CIO e i CISO. Ad esempio, gli standard ISA/IEC 62443 forniscono strumenti di sicurezza e migliori pratiche per i proprietari di asset, fornitori di servizi e fornitori.

Gestione dell'accesso

Le seguenti risorse possono aiutarti a gestire correttamente l'accesso ai tuoi dati, applicazioni e altri asset IT:

• NIST SP 800-60 — Fornisce indicazioni per la gestione degli accessi attraverso la guida per la categorizzazione delle informazioni come CUI e il controllo di chi vi ha accesso
• NIST SP 800-133 — Ti aiuta a proteggere i dati sensibili utilizzando algoritmi crittografici approvati

Condivisione delle informazioni

Condividere informazioni sulle minacce informatiche e sugli aggressori è fondamentale per rafforzare la sicurezza informatica. Le risorse seguenti possono essere d'aiuto.

• DoD Cyber Exchange — Fornisce orientamento e formazione per i professionisti della cyber security all'interno e all'esterno del DoD

Costruire una forza lavoro specializzata in cybersecurity

Le seguenti risorse possono aiutarti nell'onboarding, nella qualificazione e nella gestione delle persone che lavorano nell'IT o nella cybersecurity:

• NIST SP 800-16 — Fornisce concetti per la formazione sulla sicurezza informatica nel cyberspazio moderno consentendo flessibilità per il futuro software e le tecnologie
• NIST SP 800-100 — Fornisce indicazioni ai manager per l'istituzione di un programma di sicurezza delle informazioni

Consigli per rimanere protetti nel cyberspazio

Il National Cybersecurity and Communication Integration Center (NCCIC) ha compilato sette strategie chiave per iniziare a conformarsi agli standard di cyber igiene del DoD:

• Utilizzare il whitelisting delle applicazioni (AWL) — Definire un elenco di software approvati e bloccare tutto il resto. Questo è molto più efficace che cercare di mettere in blacklist ogni applicazione indesiderata.
• Mettete in pratica una corretta configurazione e gestione delle patch — Implementate configurazioni di base sicure e correggete prontamente qualsiasi deviazione. Assicuratevi che gli aggiornamenti critici vengano applicati tempestivamente.
• Rafforza la sicurezza della tua rete — Riduci i potenziali punti di ingresso per gli attaccanti e segmenta la tua rete in più enclavi per mettere in quarantena gli attaccanti.
• Implementare l'autenticazione multifattore — Utilizzare MFA, specialmente per gli account con accesso privilegiato alle CUI.
• Accesso remoto sicuro — Controlla l'accesso remoto utilizzando standard MFA e controllati dall'operatore e limitati nel tempo. Cerca regolarmente backdoor nascoste che potrebbero permettere agli aggressori di ottenere accesso remoto a un sistema.
• Monitorare costantemente i sistemi — Per accelerare il rilevamento delle minacce e la risposta e garantire la responsabilità, implementare un monitoraggio continuo con intelligence sulle minacce per il traffico IP ai confini degli ICS, il traffico IP all'interno della rete e l'attività degli account amministrativi.
• Stabilire e testare regolarmente un piano di risposta agli incidenti — Creare un piano di risposta completo per gli incidenti di sicurezza. Le azioni di risposta possono includere la disconnessione di tutti i dispositivi da internet, la disabilitazione di account specifici, l'isolamento di segmenti di rete, l'esecuzione di una ricerca di malware e la richiesta immediata di un reset della password. Testare e rivedere periodicamente il piano.
• Sviluppa una scheda di valutazione della sicurezza informatica secondo gli standard e i framework del DoD — Una scheda di valutazione ti aiuterà a misurare i tuoi progressi verso una sicurezza informatica più solida.

Come Netwrix può aiutare

Raggiungere e mantenere la conformità con gli standard di cybersecurity del DoD è necessario per un posto nella lista dei fornitori approvati dal governo. Netwrix solutions offrono un approccio olistico alle sfide della cybersecurity proteggendo la tua organizzazione su tutte le principali superfici di attacco: dati, identità e infrastruttura.

Scopri di più sulle nostre soluzioni principali:

• Governance dell'accesso ai dati — Riprendi il controllo sull'accesso ai dati sensibili.
• Sicurezza di Active Directory — Proteggi il tuo AD, sia on premises che nel cloud, da un capo all'altro.
• Protezione da ransomware — Mitigare il rischio di infezioni da ransomware e intercettare gli attacchi in corso.
• Privileged Access Management — Riduci il rischio derivante dalle attività privilegiate.
• Governance dell'informazione — Rendi i tuoi dati organizzati, rintracciabili e più sicuri.