DoD-Lieferanten-Compliance: Wie zwei Cybersicherheits-Annahmen die Zukunft formen

Es wird geschätzt, dass es rund 300.000 Unternehmen in der Defense Industrial Base (DIB) über Fertigungs- und Nicht-Fertigungssektoren gibt. Etwa 99 % der DIB bestehen aus kleinen und mittleren Unternehmen – Firmen mit weniger als 500 Mitarbeitern.

Seit Dezember 2017 haben alle DIB-Unternehmen die Defense Federal Acquisition Regulation Supplement (DFARS) Klausel (252.204-7012 – Schutz klassifizierter Verteidigungsinformationen & Cyber-Vorfallsmeldung) in ihren Verträgen. Nach fast drei Jahren scheinen in der DIB diverse falsche Annahmen vorzuherrschen, von denen zwei tieferer Diskussion bedürfen...

Die erste Annahme: Selbstattestierungen sind keine große Sache

Durch Annahme der Vertragsbedingungen mit dem DoD attestieren Hersteller selbst, dass sie „angemessene Cybersicherheit“ zum Schutz von Controlled Unclassified Information (CUI) einsetzen. Angemessene Cybersicherheit wird durch die DFARS-Klausel als vollständige Implementierung der 110 Sicherheitsanforderungen in NIST Special Publication 800-171 definiert.

Viele Hersteller nehmen an, ihr Cybersicherheitsprogramm sei ausreichend. Die meisten CMTC-Kunden beginnen ihr Cybersicherheits-Engagement damit, einzuschätzen, sie seien 70–80 % konform. Der tatsächliche Durchschnitt nach einer Basis-Lückenanalyse liegt jedoch bei etwa 34 % Konformität.

Frühere Blogbeiträge deckten die oft übersehenen rechtlichen Risiken bei Nichteinhaltung von Cybersicherheitsanforderungen ab. Letztlich muss ein Unternehmen, das mit dem Department of Defense (DoD) Geschäfte machen will, die Vertragsbedingungen akzeptieren und damit ein konformes Cybersicherheitsniveau selbst attestieren.

Die zweite Annahme: Externe IT-Dienstleister allein sind die Antwort

Viele kleine Unternehmen haben kein dediziertes IT-Personal und -Ressourcen. Daher nutzen viele Hersteller Drittanbieter-IT-Dienstleister. Damit diese kleinen Unternehmen operieren können, werden externe Dienstleister mit umfangreichem administrativem Zugriff auf Unternehmens-Informationssysteme betraut. Oft nehmen Hersteller an, alles laufe nach Plan. Hersteller müssen ihre Drittanbieter-IT-Provider überwachen, um zu verstehen, welche Maßnahmen ergriffen werden. Die Cybersicherheitsreise des Herstellers mit einem IT-Provider ist kollaborativ, mit dem Unternehmen, das in Aktivitäten und Ergebnisse der Provider-Arbeit eingebunden ist.

Zudem sind in puncto Exposition etwa die Hälfte der 110 Sicherheitsanforderungen direkt mit technischen Operationen und technologischen Lösungen verbunden, die normalerweise von Drittanbieter-IT-Providern bereitgestellt werden. Einige Cybersicherheitsmaßnahmen sind so fundamental für Geschäftsoperationen, dass die Regierung vernünftigerweise annahm, alle DoD-Lieferanten würden ihr Risiko proaktiv managen. Hersteller und IT-Provider müssen zusammenarbeiten, um DoD-Compliance zu erreichen. Der DoD-Lieferant trägt langfristig die Verantwortung für Compliance.

Zusammen können diese beiden zentralen, falschen Annahmen enormen technischen und Compliance-Schuldenberg schaffen.

Regierungs-Cybersicherheits-Compliance-Audits stehen bevor – der beste Weg nach vorne ist, Ihren IT-Provider zu überwachen und kollaborativ an Ihrer Gesamt-Compliance zu arbeiten.

Empfohlene nächste Schritte

1) Fokus auf bestehende DFARS-Anforderungen.

2) Zeit nehmen, die Annahmen hinter NIST SP 800-171 gründlich zu verstehen.

3) Robusten Drittanbieter-Management-Prozess etablieren.

4) Zeit nehmen, vertragliche Weitergabe-Verpflichtungen gründlich zu verstehen.

Für einen kurzen Überblick über das gesamte regulatorische Ökosystem und eine tiefere Diskussion der hier skizzierten Themen können Sie das On-Demand-CMTC-Webinar hier ansehen.