Top 5 Cybersecurity-Fragen von Herstellern zur behördlichen Compliance

Dieser Artikel erschien ursprünglich in Industry Today. Gastbeitrag von Jennifer Kurtz, Cyber Program Director bei Manufacturer's Edge, einem NIST MEP Center in Colorado und Vertreter des MEP National Network™.

Laut dem U.S. Department of Homeland Security ist die Fertigungsindustrie basierend auf der Zahl gemeldeter Cyberangriffe die zweithäufigste Zielbranche. Zudem betrachten Cyberkriminelle kleine und mittlere Hersteller (SMMs) als bevorzugte Ziele, da viele dieser Unternehmen keine angemessenen Präventivmaßnahmen haben.

Für Verteidigungsministerium (DoD) Auftragnehmer und Subunternehmer ist „Business as usual“ vorbei. Die Bundesregierung, die zunehmend auf externe Dienstleister angewiesen ist, hat die Anforderungen beim Schutz von kontrollierten unklassifizierten Informationen (CUI) in nicht-bundesstaatlichen Informationssystemen und Organisationen erhöht. Seit dem 31. Dezember 2017 waren alle Bundesauftragnehmer verpflichtet, die Mindest-Cybersicherheitsanforderungen des Defense Acquisition Regulation Supplement (DFARS) zu erfüllen – andernfalls drohte Vertragsverlust. Trotz dieses abgelaufenen Stichtags fehlen vielen SMMs Wissen und Ressourcen, um ihre Systeme aufzurüsten, und sie wissen nicht, wie sie diese 110 neuen Sicherheitsanforderungen erfüllen sollen. Wichtig: Die Federal Acquisition Regulation, die für Regierungsauftragnehmer gilt, die für die General Services Administration (GSA) und die National Aeronautics and Space Administration (NASA) arbeiten, wird bald ähnliche Cybersicherheitsanforderungen enthalten.

Das MEP National Network, eine öffentlich-private Partnerschaft, die US-Herstellern umfassende, bewährte Lösungen liefert, bietet aktiv Awareness und Unterstützung, um US-Hersteller beim Schutz ihrer Informationswerte vor Cyberangriffsrisiken zu helfen. Die Organisation und ihre Partner dienen auch als nationale Ressource für US-Hersteller, die angemessene Sicherheit zur Sicherung gespeicherter, verarbeiteter und übertragener kontrolliert unklassifizierter Informationen implementieren wollen.

Folgen sind die fünf häufigsten Fragen, die ich von SMMs zu den DFARS-Sicherheitsrichtlinien der Bundesregierung höre.

Frage: Was sind kontrollierte unklassifizierte Informationen (CUI) und wie erkenne ich, ob ich diese Art von Informationen im Rahmen meines Vertrags verarbeite?

Antwort: Kontrollierte unklassifizierte Informationen (CUI) sind regierungs-eigene Daten. Es sind Informationen, die die Regierung sicher verwahrt sehen will, die aber nicht vital für die nationale Sicherheit sind. Die DFARS-Klausel 252.204.7012 kann in Ihrem Vertrag erscheinen, wird aber nur aktiv, wenn Sie CUI verarbeiten, speichern oder übertragen. CUI kann umfassen: Forschungs- und Ingenieurdaten, technische Zeichnungen, Spezifikationen, Handbücher, technische Berichte, Studien und Analysen, ausführbaren Computercode und Quellcode. CUI hat spezielle Kennzeichnungs- und Handhabungsanweisungen wie FOUO (For Official Use Only). Weitere Informationen zu CUI-Kennzeichnungen finden Sie im CUI-Register.

Frage: Ist DFARS-Compliance gesetzlich vorgeschrieben?

Antwort: Jeder Auftragnehmer oder Subunternehmer, der eine DFARS-Klausel im Vertrag hat, ist gesetzlich zur Compliance verpflichtet. Wer fälschlicherweise Compliance behauptet, riskiert den Verlust des Regierungsvertrags und aller zugehörigen Einnahmen und wird wahrscheinlich für zukünftige Regierungsverträge gesperrt.

Frage: Ich führe ein kleines Unternehmen und meine Regierungsaufträge sind klein. Gilt DFARS-Compliance für mich?

Antwort: Unabhängig von Unternehmens- oder Vertragsgröße: Wenn Sie Bundesauftragnehmer oder Subunternehmer sind, der CUI verarbeitet, speichert oder überträgt, müssen Sie comply. Cyberkriminelle zielen auf kleinere Unternehmen ab, da diese typischerweise weniger Sicherheitsmaßnahmen haben. Unternehmen in niedrigeren Lieferkettenstufen können leichter zu durchdringen sein als der direkte Angriff auf die Netzwerke des primären Ziels. Ein Lieferkettenangriff kann ein einfacherer Weg zu kontrollierten unklassifizierten Regierungsinformationen sein als der direkte Zugriff auf Regierungsnetzwerke.

Frage: Wie erkenne ich, ob mein Unternehmen derzeit DFARS-konform ist?

Antwort: Konsultieren Sie das NIST Handbook 162. Dieses Handbuch bietet eine Schritt-für-Schritt-Anleitung zur Bewertung der Informationssysteme eines Herstellers anhand der DFARS-Sicherheitsanforderungen.

Frage: Meine Organisation erfüllt die DFARS-Mindestanforderungen nicht, aber ich weiß nicht, wo ich den Compliance-Prozess beginnen soll?

Antwort: Die Implementierung eines regierungsgenehmigten Cybersicherheitsplans kann entmutigend sein. Sie können beginnen, indem Sie die NIST SP 800-171 Publikation prüfen, die die DFARS-Anforderungen darlegt. Sie können auch das MEP National Network kontaktieren, um Sie mit Ihrem lokalen MEP Center zu verbinden. Lokale MEP-Center bieten eine breite Palette kostenloser oder erschwinglicher Services und Initiativen, um Hersteller durch den Compliance-Prozess zu führen. Dazu gehören Verbindungen zu Cybersicherheitsexperten, die eine detaillierte Gap-Analyse von Protokollen und Verfahren erstellen und einen Aktionsplan entwickeln, der Schwachstellen und andere Compliance-Probleme adressiert.

Frage: Mein Unternehmen ist kein Regierungsauftragnehmer, aber ich möchte unsere Cybersicherheitsprotokolle verbessern. Kann ich die DFARS-Richtlinien nutzen?

Antwort: Absolut. Hersteller in kommerziellen Lieferketten sollten die DFARS-Sicherheitsanforderungen ernsthaft als integralen Aspekt ihres Organisationsrisikomanagements in Betracht ziehen.

Da der Fertigungssektor zunehmend digitalisiert wird, ist das Verstehen, Abmildern und Reagieren auf immer komplexere Cyberbedrohungen zum Kostenfaktor des Geschäftsbetriebs geworden.